אבטחת מערכות המידע במחלקה האמריקנית לביטחון המולדת לוקה בחסר

This post is also available in: English (אנגלית)

הייתם נוטים לחשוב שבתור סוכנות האמונה על מערך אבטחה, המחלקה האמריקנית לביטחון המולדת תוכל לאתגר שמירת האבטחה שלה עצמה. ככל הנראה, אין הדבר כך כלל.

מתברר כי המחלקה לביטחון המולדת מריצה מאות בסיסי נתונים – חלקים עם מידע רגיש וחשאי ביותר – בלי מדיניות אבטחה או הרשאות. בדיקת בטיחות שהתרחשה לאחרונה על ידי משרד המפקח הכללי גילתה כי הסוכנות אינה תמיד מסוגלת "להגן על מידע רגיש" מפני מתקפות סייבר. הבדיקה מצאה מספר אזורים המהווים נקודות חולשה במערכות האבטחה של המחלקה.

הבדיקה העלתה 136 מקרים בהם הסוכנות מפעילה מערכות מידע "רגיש אך שאינו חסוי"," סודי" ו- "סודי ביותר" עם הרשאות הפעלה שפג תוקפן". משרד המפקח הכללי אמר כי "מבלי אותן סמכויות הפעלה, המחלקה לביטחון המולדת אינה יכולה להבטיח כי אותן מערכות מאובטחות כראוי לצורך הגנה על מידע רגיש הנשמר ומעובד בהן."

משמר החופים האמריקני התגלה כגוף המפעיל את מספר בסיסי הנתונים הבלתי מאובטחים הגבוה ביותר עם 26 מקרים כאלו. הסוכנות הפדרלית לניהול מקרי חירום מגיעה קרוב מאחור עם 25, ובסוכנות להגנת גבולות ומכס נמצאו 14 מקרים. במטה המחלקה לביטחון המולדת לבדו נמצאו 11 בסיסי נתונים לא מאובטחים, ולרשות לביטחון תעבורתי 10 מערכות רגישות או סודיות החסרות הרשאות מעודכנות.

הרגלים כללים אופטימליים – או אפילו מינימליים – לאבטחת מערכות מידע גם הם לא נדרשים בסוכנות. טלאי תוכנה למערכות ההפעלה, לדפדפנים, לשרתים ולבסיסי הנתונים אינם מעודכנים על בסיס קבוע, דבר המשאיר את מערכות הסוכנות פגיעות ביותר.

"ניצול חולשות אלו יכול לאפשר גישה למשתמשים שאינם מורשים למידע ממשלתי רגיש," כך לפי משרד המפקח הכללי.