Gouvernance, risque et conformité
FBI CJIS Security Policy 6.1
Les exigences de sécurité applicables aux renseignements de justice pénale (CJI).
La version 6. 1 a été publiée le 25 juin 2026 et est la version actuelle.
La structure modernisée a remplacé les treize anciens domaines de politique par les familles de contrôles de la publication NIST SP 800-53, et chaque exigence comporte désormais une priorité de P1 à P4 ainsi qu’une attribution des responsabilités infonuagiques entre IaaS, PaaS et SaaS. Comprenez bien le calendrier des sanctions, car il est plus subtil qu’il n’y paraît.
Depuis le 1er octobre 2024, l’ensemble passible de sanctions comprend les exigences de la version 5. 9 antérieure à la modernisation, PLUS tout ce qui est désigné comme priorité 1.
Les exigences de priorités 2, 3 et 4 sont en statut de cycle zéro du 1er octobre 2024 au 30 septembre 2027 : elles sont évaluées et signalées, mais non sanctionnées. Le 1er octobre 2027, l’ensemble de la politique devient passible de sanctions.
Conséquence pratique : un organisme est aujourd’hui évalué selon deux référentiels à la fois, ce qui explique pourquoi le cadre CJIS 5. 9.
5 demeure actif parallèlement à celui-ci. Évaluez les deux.
Les réponses alimentent les mêmes contrôles partagés; le chevauchement ne coûte donc rien. S’applique à tout organisme ou entrepreneur qui a accès aux CJI.
Pour une ville, cela comprend le service de police et habituellement aussi la cour municipale, la division des dossiers et quiconque administre le système de gestion des dossiers, y compris un fournisseur de TI externe, qui doit signer un CJIS Security Addendum et soumettre à un filtrage fondé sur les empreintes digitales chaque personne susceptible d’accéder aux données.
Niveaux d’évaluation pris en charge par Lavawall
Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.
| Niveau | Ce qu’il couvre | Inclut les niveaux inférieurs |
|---|---|---|
| Jalon 1 : ancienne version 5.9 | Les exigences de la version 5.9 antérieure à la modernisation. Passibles de sanctions depuis le 1er octobre 2024, et encore aujourd’hui. Les organismes ratent souvent ce jalon parce que l’attention s’est portée sur la politique modernisée : les anciennes exigences n’ont pas été retirées à la publication de la version 6.0, et un audit peut encore relever des constatations à leur égard. Évaluez-les au moyen du cadre CJIS 5.9.5, qui les présente dans leurs propres treize domaines de politique. | Non |
| Jalon 2 : priorité 1 | Les exigences modernisées de priorité 1. Passibles de sanctions depuis le 1er octobre 2024, en même temps que les exigences de l’ancienne version 5.9 du jalon 1. Évaluez-les en premier. Un audit mené aujourd’hui mesure la conformité aux jalons 1 et 2 et à rien d’autre; un écart de priorité 1 constitue donc une constatation dès maintenant, alors qu’un écart de priorité 3 relève d’un plan. | Oui |
| Jalon 3 : priorité 2 | Exigences modernisées de priorité 2. En statut de cycle zéro du 1er octobre 2024 au 30 septembre 2027 (évaluées et signalées lors des audits, mais non sanctionnées) et passibles de sanctions à compter du 1er octobre 2027. Le cycle zéro n’est pas un délai de grâce qui dispense de faire le travail. C’est une période pendant laquelle une constatation vous coûte un plan de correction plutôt qu’une sanction, et le plan est exigé dans les deux cas. | Non |
| Jalon 4 : priorité 3 | Exigences modernisées de priorité 3, en statut de cycle zéro jusqu’au 30 septembre 2027 et passibles de sanctions à compter du 1er octobre 2027. Il s’agit généralement des exigences qui nécessitent un cycle budgétaire ou un processus d’approvisionnement, et c’est précisément pourquoi elles doivent figurer au plan dès maintenant plutôt qu’en 2027. | Non |
| Jalon 5 : priorité 4 | Exigences modernisées de priorité 4, en statut de cycle zéro jusqu’au 30 septembre 2027 et passibles de sanctions à compter du 1er octobre 2027. La priorité la plus basse de la politique, et les exigences les plus susceptibles d’être réellement non applicables à un petit organisme; toutefois, la non-applicabilité doit faire l’objet d’une décision documentée, et non d’une supposition. | Non |
| Jalon 6 : politique complète | L’ensemble de la politique modernisée, de la priorité 1 à la priorité 4. Tout son contenu devient passible de sanctions le 1er octobre 2027. Utilisez ce niveau pour établir le plan de correction et voir la marge de manœuvre réelle de chaque écart : un écart de priorité 1 n’en a aucune, et un écart de priorité 4 a jusqu’au jalon de 2027. Les deux doivent figurer au plan; un seul doit être en tête de liste. | Oui |
| Revue des changements de 6.0 à 6.1 | Une revue des changements plutôt qu’une évaluation de la posture. La version 6.1 comprend trois ensembles de modifications de l’Advisory Policy Board (Addressing Omissions, Corrections, and Additions to the Modernized CJIS Security Policy, parties 1, 2 et 3, printemps 2025, APB#16, SA#1 à SA#3) ainsi que des modifications administratives approuvées par le Security and Access Subcommittee le 14 novembre 2025. Le Summary of Changes publié nomme les ensembles de modifications, mais ne précise pas quels contrôles ont changé; ce niveau guide donc un examinateur à travers chaque famille de contrôles en regard du Requirements Companion Document et consigne la décision prise. Exécutez-le une fois par version et conservez le dossier. | Non |
FBI CJIS Security Policy : comment Lavawall® vous aide à atteindre la conformité
Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.
- Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
- Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
- Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.
Ressources connexes
Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.
En un coup d’œil
- Cadre
- FBI CJIS Security Policy 6.1
- Catégorie
- Régional
- Région
- États-Unis
- Niveaux
- 7 niveaux d’évaluation
Cartographier ce cadre gratuitementParler à notre équipe