Gouvernance, risque et conformité
Politique de sécurité CJIS 6.1 du FBI
Version actuelle 6.1, publiée le 25 juin 2026 · la version 5.9.5 d’avant la modernisation s’applique toujours
La politique de sécurité CJIS établit les exigences de sécurité associées aux informations de justice pénale (CJI). La version 6.1 est la version actuelle, publiée le 25 juin 2026. Deux ensembles de règles sont passibles de sanctions en même temps : depuis le 1er octobre 2024, l’ensemble passible de sanctions est constitué des exigences de la version 5.9 d’avant la modernisation et de tout ce qui est marqué priorité 1 dans la politique modernisée. Les priorités 2 à 4 sont évaluées, mais ne font pas l’objet de sanctions avant le 1er octobre 2027, date à laquelle l’ensemble de la politique devient passible de sanctions.
Qu’est-ce qui est passible de sanctions aujourd’hui?
Aujourd’hui, l’ensemble passible de sanctions est constitué des exigences de la 5.9 d’avant la modernisation et de chaque exigence de priorité 1 de la politique modernisée, les deux à la fois. Une agence auditée maintenant est évaluée selon l’ancien ensemble de règles et le nouvel ensemble de priorité 1 en même temps. Quiconque a interprété « échéance de modernisation 2027 » comme une permission de reporter a un problème aujourd’hui, pas dans trois ans.
Les priorités 2, 3 et 4 sont en statut de cycle zéro du 1er octobre 2024 au 30 septembre 2027 : évaluées et signalées lors d’un audit, mais sans sanctions. Le 1er octobre 2027, l’ensemble de la politique devient passible de sanctions. Les dates ci-dessous racontent toute l’histoire; lisez donc le tableau complet avant de planifier.
| Jalon | Ce qu’il couvre | Statut actuel | Passible de sanctions |
|---|---|---|---|
| Jalon 1 | Exigences de la version 5.9 (héritées) | Passible de sanctions | Depuis le 1er oct. 2024 |
| Jalon 2 | Priorité 1 (modernisée) | Passible de sanctions | Depuis le 1er oct. 2024 |
| Jalon 3 | Priorité 2 | Cycle zéro : évaluée, sans sanctions | 1er oct. 2027 |
| Jalon 4 | Priorité 3 | Cycle zéro : évaluée, sans sanctions | 1er oct. 2027 |
| Jalon 5 | Priorité 4 | Cycle zéro : évaluée, sans sanctions | 1er oct. 2027 |
| Jalon 6 | Politique complète, toutes les priorités | Pas encore passible de sanctions | 1er oct. 2027 |
Ce que Lavawall livre pour la CJIS
Six évaluations, toutes disponibles dans le produit, pour que vous évaluiez la version et le jalon où vous en êtes réellement plutôt qu’une liste de vérification générique.
| Évaluation | Questions | À quoi ça sert |
|---|---|---|
| CJIS 6.1 : priorité 1 (passible de sanctions maintenant) | 24 | L’ensemble que mesure un audit aujourd’hui |
| CJIS 6.1 : politique complète (P1 à P4) | 55 | Les vingt familles de contrôles, y compris les appareils mobiles |
| CJIS 5.9.5 : treize domaines de politique | 49 | Les exigences héritées qui sont toujours passibles de sanctions |
| CJIS 5.9.4 → 5.9.5 : revue des écarts | 22 | Pour un programme jamais mis à jour au-delà de la 5.9.4 |
| CJIS 5.9.5 → 6.1 : écart de migration | 32 | Planifier la sortie de la politique d’avant la modernisation |
| CJIS 6.0 → 6.1 : revue des changements | 26 | À exécuter une fois par version |
Six niveaux de jalons de sanction se trouvent derrière ces évaluations, de sorte qu’un écart montre derrière quel chronomètre il se trouve : le jalon 1 pour l’ensemble hérité de la 5.9, le jalon 2 pour la priorité 1, les jalons 3 à 5 pour les priorités en cycle zéro et le jalon 6 pour le jalon de la politique complète du 1er octobre 2027.
Chacune de ces évaluations alimente la même bibliothèque de contrôles partagée. Une agence qui applique la 5.9.5 et la 6.1 en parallèle répond une seule fois à chaque contrôle sous-jacent; la seconde évaluation est en grande partie déjà répondue. C’est pourquoi porter deux ensembles de règles ne coûte pas deux fois le travail, et c’est la véritable raison d’évaluer les deux plutôt que de deviner lequel votre auditeur ouvrira.
Qu’est-ce qui a changé entre la 6.0 et la 6.1?
Le sommaire des changements publié nomme trois ensembles de l’Advisory Policy Board plutôt que de détailler les changements contrôle par contrôle. C’est précisément pourquoi une revue structurée vaut mieux que la lecture d’un différentiel : il n’existe aucun journal des modifications propre, ligne par ligne, à lire.
Lavawall livre une revue des changements de la 6.0 à la 6.1 (26 questions) pour parcourir les ensembles par rapport à votre situation actuelle. Nous préférons vous dire que le différentiel n’est pas détaillé plutôt que de prétendre à une exhaustivité que personne ne peut vérifier par rapport à la source.
Un outil de conformité peut-il se trouver à l’intérieur de notre périmètre de sécurité CJI?
Oui, lorsqu’il est déployé à cette fin. C’est l’objection qui bloque réellement ces ventes; voici donc la version honnête plutôt que celle de la brochure.
Les locataires de Lavawall destinés aux clients de la sécurité publique des États-Unis peuvent être provisionnés dans un environnement Government Community Cloud conçu pour les exigences ITAR et CJIS, de sorte que Lavawall fonctionne à l’intérieur d’un périmètre de sécurité CJI plutôt qu’à côté. Tous les fournisseurs disent « nuage gouvernemental »; ce sont donc les précisions qui comptent : résidence des données exclusivement aux États-Unis, soutien et administration assurés par des personnes des États-Unis, vérification du personnel et conditions contractuelles qui résistent à un audit CJIS.
Concrètement, Lavawall signera un addenda de sécurité CJIS (CJIS Security Addendum), et le personnel qui pourrait accéder aux données d’une agence fait l’objet d’une vérification par empreintes digitales. L’addenda de sécurité est le document précis qu’un agent de sécurité de l’agence locale (Local Agency Security Officer) doit pouvoir remettre à son auditeur; c’est donc ce qu’il faut demander par son nom.
Soyons clairs sur le partage des responsabilités. La politique modernisée répartit chaque exigence entre l’IaaS, le PaaS et le SaaS. Lavawall couvre sa part et vous remet une vue documentée de la vôtre. Nous ne prétendons pas que le produit rend votre agence conforme; il vous montre où vous en êtes et tient la preuve à jour. C’est l’énoncé véridique, et c’est le plus convaincant pour quiconque s’est fait vendre du rêve par un fournisseur qui en promettait trop.
Nous ne prétendons pas détenir une autorisation FedRAMP. FedRAMP autorise des fournisseurs infonuagiques à vendre aux agences fédérales, elle se vérifie dans une base de données publique en moins d’une minute et ce n’est de toute façon pas le bon programme pour un acheteur du système de justice pénale. Si un statut compte pour votre approvisionnement, demandez-nous et nous vous indiquerons la réponse exacte.
StateRAMP et GovRAMP, est-ce la même chose?
Oui. GovRAMP (anciennement StateRAMP) est le même programme sous un nouveau nom : il a changé de nom en 2025, et les statuts, les exigences, les prix et les autorisations existantes ont tous été reportés sans changement.
Si votre approvisionnement demande un statut d’assurance pour les fournisseurs infonuagiques, consultez GovRAMP. La CJIS est elle-même une politique selon laquelle votre agence est évaluée; GovRAMP est un statut que peut détenir un produit que vous achetez.
Comment Lavawall® vous aide à démontrer la conformité à la CJIS
L’essentiel de la CJIS se résume à des contrôles techniques que vous devez exploiter et démontrer : contrôle d’accès, audit et responsabilisation, gestion de la configuration, réponse aux incidents, chiffrement, et conservation de la preuve que tout cela a réellement eu lieu. Lavawall exploite ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe à la fois aux exigences de la 5.9 et aux priorités modernisées, et suit votre posture en continu plutôt que la semaine précédant un audit.
- Évaluez selon la 6.1 (priorité 1 ou politique complète) et la 5.9.5 dans le module GRC de Lavawall, à partir de la même bibliothèque de contrôles partagée.
- Corrigez les lacunes sur la même plateforme au moyen de l’application des correctifs, du durcissement des configurations, de la détection des intrusions, des sauvegardes et de la revue des accès, plutôt que dans un projet distinct.
- Documentez le tout au moyen de registres horodatés et exportables qu’un auditeur CJIS accepte.
Pour ce qui est précisément de la FIPS 140-3, Lavawall couvre deux volets. Premièrement, il peut exiger que les clés de sécurité utilisées pour se connecter soient des modèles validés FIPS 140-3, vérifiés par rapport à la liste CMVP du NIST à l’enregistrement et à chaque connexion, ce qui est le contrôle pour le volet d’authentification avancée de la politique. Deuxièmement, pour le contrôle SC-13, qui exige que les informations de justice pénale en transit soient protégées par des modules cryptographiques validés FIPS 140-3 : lorsqu’un technicien ouvre une session de bureau à distance sur une machine qui affiche des informations de justice pénale, ce trafic est protégé en transit par un module validé FIPS 140-3, le certificat CMVP du NIST no 5247, ce qui constitue le cas SC-13 qui passe par Lavawall. SC-13 couvre aussi les informations de justice pénale qui circulent dans votre propre infrastructure, ce qui relève de cette infrastructure et demeure à l’agence de valider. La FIPS 140-2 passe à la liste historique du NIST le 21 septembre 2026. Consultez clés de sécurité validées FIPS 140-3 pour le détail.
La YubiKey 5C NFC FIPS (140-3) coûte 88$ US sur Amazon, ou 88$ US directement chez Yubico. Prix vérifiés le 13 octobre 2026 (Amazon) et le 14 octobre 2026 (Yubico). Consultez le détaillant pour le prix actuel.
Voir aussi
Source principale : le CJIS Security Policy Resource Center du FBI. Dernière vérification : 27 août 2026.
Questions fréquentes
Quelle version de la politique de sécurité CJIS est actuelle?
La version 6.1, publiée le 25 juin 2026. Elle a succédé à la 6.0, première version modernisée. La dernière version d’avant la modernisation était la 5.9.5, publiée le 9 juillet 2024, et certaines parties des exigences de la 5.9 sont toujours passibles de sanctions : elle n’a donc pas disparu.
Qu’est-ce qui est passible de sanctions aujourd’hui?
Depuis le 1er octobre 2024, l’ensemble passible de sanctions est constitué des exigences de la version 5.9 d’avant la modernisation et de chaque exigence désignée de priorité 1 dans la politique modernisée. Deux ensembles de règles, tous deux en vigueur. Une agence auditée aujourd’hui est évaluée selon les deux à la fois.
Qu’est-ce que le statut de cycle zéro?
Les exigences de priorité 2, 3 et 4 sont en statut de cycle zéro du 1er octobre 2024 au 30 septembre 2027 : elles sont évaluées et signalées lors d’un audit, mais ne font pas l’objet de sanctions. Le 1er octobre 2027, l’ensemble de la politique devient passible de sanctions.
La CJIS 5.9.5 est-elle encore exigée?
Oui. Les exigences de la 5.9 demeurent dans l’ensemble passible de sanctions jusqu’au 1er octobre 2027; une agence doit donc encore les respecter et en faire la preuve. C’est pourquoi Lavawall tient une évaluation CJIS 5.9.5 distincte en plus de celle de la 6.1.
Qu’est-ce qui a changé entre la 5.9.4 et la 5.9.5?
La 5.9.5 (9 juillet 2024) a introduit les niveaux de priorité et leurs dates de mise en œuvre, a élargi le contrôle d’accès, l’audit et la responsabilisation, la gestion de la configuration, la réponse aux incidents, la protection physique et environnementale ainsi que la protection des systèmes et des communications avant le reste de la politique, et a ajouté la maintenance, la planification, la planification d’urgence et l’évaluation des risques comme nouveaux domaines.
Qu’est-ce qui a changé entre la 6.0 et la 6.1?
Le sommaire des changements publié nomme trois ensembles de l’Advisory Policy Board plutôt qu’un détail des écarts contrôle par contrôle, et c’est précisément pourquoi une revue structurée de la 6.0 à la 6.1 vaut mieux que d’essayer de lire un journal des modifications. Lavawall livre pour cette raison une revue des changements de la 6.0 à la 6.1.
Un outil infonuagique peut-il être utilisé à l’intérieur d’un périmètre de sécurité CJI?
Oui, s’il est déployé dans un environnement conçu pour la CJIS et couvert par un addenda de sécurité CJIS (CJIS Security Addendum) signé, avec une résidence des données exclusivement aux États-Unis et une administration assurée par des personnes des États-Unis ayant fait l’objet d’une vérification. La politique modernisée répartit chaque exigence entre l’IaaS, le PaaS et le SaaS : l’agence et le fournisseur assument chacun une part documentée.
StateRAMP et GovRAMP, est-ce la même chose?
Oui. StateRAMP a changé de nom pour GovRAMP en 2025. Les statuts, les exigences, les prix et les autorisations existantes ont tous été reportés sans changement : un produit inscrit sous l’ancien nom est donc le même produit.