Пробелы в кибербезопасности беспокоят Госдепартамент США, предупреждает отчет GAO

Федеральное ведомство, которое осуществляет надзор за дипломатическим корпусом США за рубежом, страдает от серьезной нехватки информации о киберугрозах, с которыми оно сталкивается, и уязвимостях безопасности, которые оно скрывает.

Государственный департамент США должен полностью реализовать свою программу по борьбе с рисками кибербезопасности и предпринять дополнительные шаги для лучшей защиты своей ИТ-сети и систем, предупреждает 92-страничный отчет Главного бухгалтерского управления (GAO).

Государственный департамент завершил процесс авторизации менее чем для половины (44%) своих почти 500 информационных систем и еще не внедрил систему непрерывного мониторинга в масштабах всего департамента.

С положительной стороны, департамент определил роли и обязанности по управлению рисками и разработал стратегию управления киберрисками.

Однако, “пока департамент не осуществит необходимые действия по управлению рисками, у него нет уверенности в том, что его средства контроля безопасности работают должным образом”, – отмечается в отчете. “Более того, государство, вероятно, не в полной мере осведомлено об уязвимостях в информационной безопасности и угрозах, влияющих на операции миссии”.

И этих угроз, вероятно, множество.

Государственный департамент Сталкивается с множеством выдающихся киберзадач

В отчете, который является частью обширной работы GAO по проблемам кибербезопасности и информационной безопасности правительства США, перечислены 15 рекомендаций для действий исполнительной власти, которые остаются невыполненными.

Первым и главным среди них является рекомендация Госдепартаменту поручить ИТ-директору разработать и поддерживать профиль рисков в масштабах всего департамента, уделяя приоритетное внимание наиболее значительным рискам департамента.

После этого Государственный департамент должен разработать планы по устранению уязвимостей, выявленных ИТ-директором, а затем провести оценку рисков на уровне бюро для 28 бюро, которые владели информационными системами, рассмотренными GAO.

В отчете отмечается, что департамент также сталкивается с проблемами при реализации своей программы реагирования на инциденты, обновлении и тестировании планов действий информационной системы в чрезвычайных ситуациях и надлежащей настройке своей базы данных инвентаризации.

Необходимо улучшить общую безопасность ИТ-инфраструктуры, включая замену устаревших аппаратных и программных установок, некоторые из которых используются более 13 лет.

“Это включает в себя замену 23 689 аппаратных систем и 3102 случаев установки программного обеспечения сетевых и серверных операционных систем”, – отмечается в отчете.

ИТ-директор Государственного департамента также сталкивается с ограничениями в обеспечении безопасности ИТ-систем из-за общих обязанностей по управлению и плохой коммуникации, добавляется в отчете.

В то время как ИТ-директор контролирует основную сеть и устанавливает стандарты, отдельные бюро решают многие задачи независимо, включая закупки оборудования, управление ИТ-системой и финансирование.

В отчете сделан вывод, что это отсутствие координации также приводит к путанице среди сотрудников службы безопасности информационных систем в отношении требований.

Эти недостатки в значительной степени являются результатом изолированной культуры департамента и неадекватной коммуникации между ИТ-директором и отдельными бюро.

“Пока государство не устранит эти и другие недостатки, ИТ-директор сталкивается с проблемами в управлении программой кибербезопасности департамента и надзоре за ней, включая управление рисками и реагирование на инциденты, а системы департамента остаются уязвимыми”, – предупреждается в отчете.

Между тем, надвигающееся закрытие федерального правительства угрожает вызвать дополнительные осложнения в области кибербезопасности во множестве агентств и департаментов, при этом CISA заявляет, что уволит более 80% сотрудников на неопределенный срок, если Конгресс не сможет достичь соглашения о финансировании федерального правительства.

Инфраструктура подвергается риску из-за иностранных угроз

Отчет следует за успешной атакой китайских хакеров на 25 правительственных учреждений США, включая Госдепартамент, в мае, что привело к краже 60 000 электронных писем высокопоставленных чиновников.

В результате взлома электронной почты украденный ключ учетной записи Microsoft (MSA) позволил APT Storm-0558 подделывать токены аутентификации для маскировки под авторизованных пользователей Azure Active Directory (AD), получая доступ к корпоративным учетным записям электронной почты Microsoft 365 и потенциально конфиденциальной информации, содержащейся в них.

В апреле 2022 года Государственный департамент объявил о создании Бюро киберпространства и цифровой политики, чтобы помочь сформировать нормы ответственного поведения правительства в киберпространстве и помочь союзникам США укрепить свои собственные программы кибербезопасности, что отражает растущую важность кибербезопасности в национальной политике, экономике и обороне.