Συστατικά

Ο ελεγκτής: Το IRS δεν ελέγχει τα αρχεία Cyberaudit

Thrive HD (Multi-Subtitles)

Thrive HD (Multi-Subtitles)
Anonim

Το προσωπικό πληροφορικής της Υπηρεσίας Εσωτερικής Αξιολόγησης των Η.Π.Α. δεν έχει ελέγξει συστηματικά τα αρχεία καταγραφής ελέγχου του κυβερνοχώρου, σύμφωνα με έκθεση που δημοσιεύθηκε αυτή την εβδομάδα από το γραφείο του γενικού επιθεωρητή του οργανισμού.

Το IRS έχει αναπτύξει αποτελεσματικά συστήματα ανίχνευσης εισβολών στις πύλες του Διαδικτύου, και έχει χρησιμοποιήσει ελέγχους πρόσβασης για τείχη προστασίας και δρομολογητές, ανέφερε η έκθεση, που ολοκληρώθηκε τον Ιούλιο αλλά κυκλοφόρησε τη Δευτέρα. Ωστόσο, το προσωπικό πληροφορικής του οργανισμού δεν εξοικονομούσε ή επανεξέταζε τα αρχεία καταγραφής ελέγχου συστήματος και οι ρυθμίσεις ρολογιού σε ορισμένα τείχη προστασίας και δρομολογητές δεν συμμορφώνονταν με τους κανόνες IRS.

"Αυτές οι αδυναμίες αυξάνουν την πιθανότητα εισβολείς από το Διαδίκτυο αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα φορολογουμένων που διαμένουν στο δίκτυο IRS χωρίς να εντοπιστούν », ανέφερε η έκθεση.

Ένας υπάλληλος IRS, ο διαχειριστής βάσης δεδομένων για δρομολογητές, είχε πρόσβαση στα αρχεία καταγραφής ελέγχου δρομολογητή, παρόλο που οι κανόνες IRS απαιτούν από έναν εργαζόμενο εκτός του άμεσου προσωπικού πληροφορικής που είναι υπεύθυνος για δρομολογητές να έχουν πρόσβαση για ανεξάρτητη αναθεώρηση, ανέφερε η έκθεση. Επιπλέον, το προσωπικό IRS IT δεν αποθηκεύει τα αρχεία καταγραφής ελέγχου σε δύο χωριστούς διακομιστές, όπως συνιστάται στις κατευθυντήριες γραμμές IRS.

Η έκθεση, με μεγάλα κομμάτια, συνιστά στο IRS να επιτρέπει την ανεξάρτητη ανασκόπηση των αρχείων καταγραφής ελέγχου και να καθορίζει διαδικασίες για την αποθήκευση των αρχείων καταγραφής ελέγχου. Επίσης, συνέστησε στο IRS να δοκιμάζει τακτικά τις πύλες του Διαδικτύου για συμμόρφωση με τυποποιημένες διαμορφώσεις ασφαλείας. Το IRS συμφώνησε με τις συστάσεις, λέγοντας ότι σχεδίαζε να διενεργήσει δύο εβδομαδιαίες δοκιμές συμμόρφωσης.

Η έκθεση ανέφερε επίσης ότι το IRS είχε περιττές υπηρεσίες σε δρομολογητές, αν και η δημόσια έκδοση της έκθεσης δεν λέει τι είναι αυτές οι υπηρεσίες.

«Διορθώσαμε πολλά από τα συμπεράσματα που περιγράφονται στην έκθεσή σας και εφαρμόζουμε επιθετικά πρόσθετες αλλαγές για την περαιτέρω προστασία των διαδικτυακών πύλων μας», έγραψε ο Αρθούρ Γκονζάλες, ο CIO της IRS, σε απάντηση στην έκθεση. "Οι προτεινόμενες συστάσεις σας ανταποκρίνονται σε πρότυπα που θα βελτιώσουν περαιτέρω την στάση μας όσον αφορά την ασφάλεια."

Η μητρική υπηρεσία του IRS, το Υπουργείο Οικονομικών, έτυχε βαθμού αποτυχίας για τις προσπάθειες ασφάλειας του κυβερνοχώρου του 2007,. Η ετήσια έκθεση που δημοσιεύθηκε από το αμερικανικό Κογκρέσο βαθμολογεί τη συμμόρφωση των ομοσπονδιακών υπηρεσιών με τον Ομοσπονδιακό νόμο περί διαχείρισης της ασφάλειας πληροφοριών ή με το FISMA.

Η αναθεώρηση του IRS πραγματοποιήθηκε στο Κέντρο Αντιμετώπισης Περιστατικών Υπεράσπισης του IRS και καλύπτει την περίοδο από τον Φεβρουάριο του 2007 έως Μάρτιος του τρέχοντος έτους.