Auditorul: IRS nu verifică jurnalele Cyberaudit

Personalul IT al Departamentului de Servicii Internationale al Statelor Unite nu si-a verificat in mod obisnuit jurnalele de audit pentru securitatea informatica, potrivit unui raport publicat in aceasta saptamana de catre biroul general al inspectorilor generali.

IRS a implementat efectiv sisteme de detectare a intruziunilor la gateway- și a folosit controale de acces pentru firewall-uri și routere, a spus raportul, finalizat în iulie, dar lansat luni. Dar personalul IT al agenției nu salvează sau revizuiește mereu jurnalele de audit al sistemului, iar setările de ceas pe anumite firewall-uri și routere nu respectă regulile IRS, se arăta în raportul "

" Aceste slăbiciuni măresc probabilitatea ca intrușii de pe Internet să obțină accesul la date sensibile ale contribuabililor care locuiesc în rețeaua IRS fără a fi detectate ", se arată în raport.

[

] Un angajat al IRS, administratorul bazei de date pentru rutere, a avut accesul la jurnalele de audit al ruterului, chiar dacă normele IRS impun ca un lucrător din afara personalului IT imediat responsabil cu rutele să aibă acces la o revizuire independentă, se arată în raport. În plus, personalul IRS IT nu a salvat jurnalele de audit pe două servere separate, așa cum se recomandă în orientările IRS.

Raportul, cu bucăți mari redactate, recomandă IRS să permită revizuirea independentă a jurnalelor de audit și să stabilească proceduri pentru salvarea jurnalelor de audit. De asemenea, a recomandat ca IRS să testeze în mod regulat gateway-urile de Internet pentru a respecta configurațiile standard de securitate. IRS a fost de acord cu recomandările, declarând că intenționează să efectueze teste de conformitate bi-săptămânală.

Raportul a mai arătat că IRS a beneficiat de servicii inutile pe routere, deși versiunea publică a raportului nu arată ce servicii au fost.

"Am corectat multe dintre constatările prezentate în raportul dvs. și implementează agresiv modificări suplimentare pentru a ne proteja în continuare gateway-urile de Internet", a declarat Arthur Gonzalez, CIO al IRS, în răspunsul la raport. "Recomandările sugerate sunt conforme cu standardele care vor îmbunătăți în continuare poziția noastră de securitate."

Agenția părinte a IRS, Departamentul de Trezorerie, a obținut un grad nereușit pentru eforturile sale de securitate digitală din 2007, potrivit unui raport publicat în luna mai. Raportul anual, publicat de Congresul Statelor Unite, califică respectarea de către agențiile federale a Legii privind gestionarea securității informațiilor federale sau a FISMA.

Revizuirea IRS a fost efectuată la Centrul de răspuns la incidentele de securitate a calculatoarelor IRS și a acoperit perioada cuprinsă între februarie 2007 Martie a acestui an.