Komponente

Revizor: IRS ne provjerava dnevnike Cyberaudita

Alec Soth + Stacey Baker: This is what enduring love looks like

Alec Soth + Stacey Baker: This is what enduring love looks like
Anonim

IT osoblje američkog Internal Revenue Service-a nije redovito provjeravalo svoje dnevnike revizije cybersecuritya, navodi se u izvješću objavljenom ovog tjedna od strane agencijskog ureda glavnog inspektora.

IRS je učinkovito implementirao sustave za otkrivanje upada na svojim internetskim pristupnicima, a koristila je kontrolu pristupa za vatrozide i usmjerivače, rekao je izvješće, dovršeno u srpnju, ali objavljeno u ponedjeljak. No, agencijsko IT osoblje nije uvijek spremalo ili pregledavalo zapisnike revizije sustava, a postavke sata na nekim vatrozidima i usmjerivačima nisu se pridržavale pravila IRS-a, navodi se u izvješću.

"Te slabosti povećavaju vjerojatnost da bi uljezi s interneta mogli omogućiti pristup osjetljivim poreznim obveznicima koji se nalaze na IRS mreži bez otkrivanja ", navodi se u izvješću.

Jedan zaposlenik IRS-a, administrator baze podataka za usmjerivače, imao je pristup revizijskim zapisima usmjerivača, iako pravila IRS-a zahtijevaju da radnik izvan neposrednog IT osoblja odgovara za usmjerivače imaju pristup neovisnoj reviziji, navodi se u izvješću. Osim toga, osoblje IRS IT-a nije spremilo revizijske zapise na dva odvojena poslužitelja, kao što je preporučeno u IRS smjernicama.

Izvješće, s velikim komadima redaktora, preporučuje IRS dopušta neovisno preispitivanje dnevnika revizije i uspostavljanje postupaka za spremanje dnevnika revizije. Također je preporučio da IRS redovito ispituje svoje internetske pristupnike za sukladnost sa standardnim sigurnosnim konfiguracijama. IRS je složio s preporukama, rekavši kako planira napraviti dvotjedno testiranje sukladnosti.

Izvješće je također izjavilo da je IRS imao nepotrebne usluge omogućene na usmjerivačima, iako javna verzija izvješća ne govori o tim uslugama.

"Ispravili smo mnoge nalaze navedene u vašem izvješću i agresivno provodimo dodatne izmjene kako bismo zaštitili naše internetske pristupnike", napisao je odgovor na izvješće Arthur Gonzalez, IRS CIO. "Vaše predložene preporuke pridržavaju se standarda koji će dodatno poboljšati naš položaj sigurnosti".

Materijalna agencija IRS-a, Department of Treasury, dobila je ocjenu za svoje napore u cybersecurityu 2007.,, Godišnje izvješće, objavljeno od strane američkog Kongresa, ocjenjuje usklađenost saveznih agencija s Federalnim zakonom o upravljanju informacijama, ili FISMA.

IRS pregled je obavljen na IRS računalnoj sigurnosti incident Response Center i pokriva razdoblje od veljače 2007 do Ožujak ove godine.