Komponentit

Tilintarkastaja: IRS ei tarkista Cyberaudit-lokeja

Taloushallinto - Mitä tilintarkastus pitää sisälläään?

Taloushallinto - Mitä tilintarkastus pitää sisälläään?
Anonim

Yhdysvaltain sisäisen tuloveropalvelun IT-henkilöstö ei ole rutiininomaisesti tarkistanut tietoverkkojen tietoturvapäivystään viraston tarkastajan toimiston tällä viikolla julkaiseman raportin mukaan.

IRS on käyttänyt tehokkaasti tunkeutumisen havainnointijärjestelmiä Internet-yhdyskäytävillä, ja se on käyttänyt palomuurien ja reitittimien käyttöoikeustarkastuksia, sanoi raportti, joka valmistui heinäkuussa mutta julkaistiin maanantaina. Mutta viraston IT-henkilöstö ei aina säästänyt tai tarkastellut järjestelmän tarkastuslokia, ja joidenkin palomuurien ja reitittimien kelloasetukset eivät noudattaneet IRS-sääntöjä, raportti totesi.

"Nämä heikkoudet lisäävät todennäköisyyttä, että Internetin tunkeilijat voivat "

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Yksi IRS: n työntekijä, reitittimien tietokannan pääkäyttäjä, oli hankkinut käyttöoikeuden herkille veronmaksajille, jotka asuvat IRS-verkossa. pääsy reitittimen tarkistuslokiin, vaikka IRS-säännöt edellyttävät, että reitittimestä vastaavan välittömän IT-henkilöstön ulkopuolella oleva työntekijä pääsee riippumattomaan tarkasteluun. Lisäksi IRS-tietotekniikan henkilökunta ei tallentanut lokitiedostoja kahdelle erilliselle palvelimelle, kuten IRS-ohjeissa suositellaan.

Raportti, jossa on suuret palaset, suosittelee, että IRS sallii tarkastuslokien riippumattoman tarkistamisen ja määrittää menettelyt tallennuslokien tallentamiseen. Se suositteli myös, että IRS säännöllisesti testaa Internet-yhdyskäytävät standardien suojausasetusten noudattamiseksi.

Raportissa sanottiin myös, että IRS: llä oli käytettävissään tarpeettomat palvelut reitittimille, vaikka raportin julkinen versio ei kerro, mitä nämä palvelut olivat.

"Olemme korjanneet monia raportissasi esiin tulleita havaintoja ja olemme aggressiivisesti toteuttaneet lisämuutoksia Internet-yhdyskäytävien suojaamiseksi", kirjoitti vastaus raporttiin Arthur Gonzalez, IRS-CIO. "Ehdotetut suosituksesi ovat normeja, jotka parantavat tietoturvallisuusasiantuntumistasi".

IRS: n vanhempi viraston varainministeriö sai epäonnistuneen arvosanan vuoden 2007 tietoturvapyrkimyksestään toukokuussa julkaistun raporttikartan mukaan. Yhdysvaltojen kongressin julkaiseman vuosikertomuksen mukaan liittovaltion viranomaiset noudattavat liittovaltion tietoturvallisuuslainsäädäntöä tai FISMAa.

IRS: n tarkistus tehtiin IRS: n tietoturvaongelmakeskuksessa ja kattoi ajanjakson helmikuusta 2007 Tämän vuoden maaliskuussa.