Μια έρευνα από το Γραφείο του Γενικού Επιθεωρητή (OIG) του Υπουργείου Δικαιοσύνης των ΗΠΑ εντόπισε κάποια σημαντικά κενά ασφαλείας στα συστήματα διαχείρισης και αποθήκευσης του FBI, τα οποία περιέχουν ευαίσθητες και διαβαθμισμένες πληροφορίες.
Σύμφωνα με την έρευνα, υπάρχουν πολλά ζητήματα που σχετίζονται με πολιτικές και διαδικασίες ή ελέγχους του FBI για την παρακολούθηση μέσων αποθήκευσης που εξάγονται από συσκευές. Επιπλέον, εντοπίστηκαν κενά φυσικής ασφάλειας στη διαδικασία καταστροφής media.
Το FBI έχει αναγνωρίσει αυτά τα ζητήματα και προσπαθεί να διορθώσει τα λάθη, ακολουθώντας τις συστάσεις του OIG.
Δείτε επίσης: SolarWinds: Διορθώνει κρίσιμη ευπάθεια στο Web Help Desk
Ποια κενά ασφαλείας ανακαλύφθηκαν σε συστήματα και πολιτικές του FBI;
Όπως προείπαμε, ο έλεγχος του OIG διαπίστωσε αρκετές αδυναμίες στις διαδικασίες διαχείρισης και διάθεσης αποθεμάτων του FBI για ηλεκτρονικά μέσα αποθήκευσης που περιέχουν (ευαίσθητες μη διαβαθμισμένες και διαβαθμισμένες) πληροφορίες εθνικής ασφάλειας.
Πιο συγκεκριμένα, τα τρία βασικά ευρήματα ήταν τα εξής:
- Το FBI δεν παρακολουθεί επαρκώς τα ηλεκτρονικά μέσα αποθήκευσης, όπως εσωτερικές μονάδες σκληρού δίσκου και thumb drives, όταν εξάγονται από μεγαλύτερες συσκευές. Αυτό μπορεί να έχει ως αποτέλεσμα την απώλεια ή την κλοπή αυτών των μέσων.
- Η υπηρεσία δεν επισημαίνει σωστά τα ηλεκτρονικά μέσα αποθήκευσης (π.χ. Secret, Top Secret), κάτι που θα μπορούσε να οδηγήσει σε λάθος χειρισμό ή μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες.
- Εντοπίστηκε και ανεπαρκής φυσική ασφάλεια στις εγκαταστάσεις του FBI όπου σημειώνεται καταστροφή μέσων. Συγκεκριμένα, το OIG διαπίστωσε ανεπαρκείς εσωτερικούς ελέγχους πρόσβασης, μη ασφαλή αποθήκευση των μέσων που προορίζονται για καταστροφή και μη λειτουργικές κάμερες παρακολούθησης. Όλα αυτά μπορούν να αυξήσουν τον κίνδυνο παραβίασης διαβαθμισμένων πληροφοριών.
Δείτε επίσης: GitHub: Ευπάθεια GHES επιτρέπει παράκαμψη ελέγχου ταυτότητας
Πώς ανταποκρίνεται το FBI στα ευρήματα και τις συστάσεις;
Το OIG έχει κάνει ήδη κάποιες συστάσεις στο FBI για την αντιμετώπιση των παραπάνω προβλημάτων. Αυτές περιλαμβάνουν αναθεώρηση σημαντικών διαδικασιών ώστε να διασφαλίζεται ότι όλα τα ηλεκτρονικά μέσα αποθήκευσης καταγράφονται, παρακολουθούνται και καταστρέφονται κατάλληλα. Το FBI καλείται, επίσης, να εφαρμόσει ελέγχους για να διασφαλίσει ότι τα ηλεκτρονικά του μέσα αποθήκευσης φέρουν τις κατάλληλες σημάνσεις επιπέδου ταξινόμησης NSI (Secret κλπ), σύμφωνα με τις ισχύουσες πολιτικές και οδηγίες. Τέλος, η τρίτη σύσταση σχετίζεται με τον έλεγχο και τις πρακτικές για τη φυσική ασφάλεια των ηλεκτρονικών μέσων αποθήκευσης.
Το FBI αναγνώρισε τα ευρήματα και δήλωσε ότι βρίσκεται στη διαδικασία ανάπτυξης μιας νέας οδηγίας με τίτλο «Physical Control and Destruction of Classified and Sensitive Electronic Devices and Material Policy Directive».
Αυτή η νέα πολιτική αναμένεται να αντιμετωπίσει τα παραπάνω προβλήματα.
Επιπλέον, το FBI είπε ότι βρίσκεται στη διαδικασία εγκατάστασης προστατευτικών «cages» που θα χρησιμοποιηθούν ως σημεία αποθήκευσης για τα media, τα οποία θα καλύπτονται από βιντεο-παρακολούθηση.
Το FBI καλείται να ενημερώσει το OIG σχετικά με τις διορθωτικές ενέργειες εντός 90 ημερών. Καθώς φαίνεται, οι διορθωτικές ενέργειες είναι ζωτικής σημασίας για τη διατήρηση της ακεραιότητας και της ασφάλειας των ευαίσθητων πληροφοριών εντός του FBI. Στη σημερινή ψηφιακή εποχή, είναι επιτακτική ανάγκη για τις κρατικές υπηρεσίες να επανεξετάζουν και να ενημερώνουν συνεχώς τις πολιτικές και τις διαδικασίες τους σχετικά με τα ηλεκτρονικά μέσα αποθήκευσης. Με το συνεχώς εξελισσόμενο τοπίο της τεχνολογίας και τις πιθανές απειλές στον κυβερνοχώρο, είναι σημαντικό οι οργανισμοί να διαθέτουν ισχυρές δικλείδες ασφαλείας για την προστασία από μη εξουσιοδοτημένη πρόσβαση ή κακή χρήση ευαίσθητων δεδομένων.
Δείτε επίσης: Διασφάλιση της ιδιωτικότητας στις εφαρμογές τεχνητής νοημοσύνης
Εκτός από την εφαρμογή ισχυρότερων ελέγχων και πρωτοκόλλων, το FBI πρέπει επίσης να δώσει προτεραιότητα σε τακτικούς ελέγχους και αξιολογήσεις των διαδικασιών διαχείρισης αποθεμάτων του. Αυτό θα του επιτρέψει να εντοπίσει τυχόν πιθανές αδυναμίες ή κενά προτού γίνουν σημαντικά ζητήματα. Αναθεωρώντας τακτικά τις διαδικασίες του, το FBI μπορεί να διασφαλίσει ότι τα συστήματά του εξελίσσονται συνεχώς ώστε να ανταποκρίνονται στο μεταβαλλόμενο τοπίο της ασφάλειας των πληροφοριών.
Πηγή: www.bleepingcomputer.com
