Auditor: IRS Doesn't Check Cyberaudit Logs

لم يقم موظفو تكنولوجيا المعلومات في دائرة الإيرادات الداخلية الأمريكية بفحص سجلات تدقيق الأمن السيبراني بشكل روتيني ، وذلك وفقًا لتقرير صدر هذا الأسبوع عن مكتب المفتش العام للوكالة.

قامت مصلحة الضرائب الأمريكية بنشر أنظمة كشف التسلل بشكل فعال في بوابات الإنترنت الخاصة بها ، واستخدم التقرير ضوابط الدخول للجدران النارية وأجهزة التوجيه ، حسبما جاء في التقرير ، الذي اكتمل في يوليو / تموز ولكنه صدر يوم الاثنين. لكن موظفي تكنولوجيا المعلومات في الوكالة لم يكونوا دائما يقومون بحفظ أو مراجعة سجلات تدقيق النظام ، كما أن إعدادات الساعة على بعض الجدران النارية وأجهزة التوجيه لم تمتثل لقواعد مصلحة الضرائب ، كما يقول التقرير. "نقاط الضعف هذه تزيد من احتمال أن المتسللين من الإنترنت يمكنهم الحصول على حق الوصول إلى بيانات دافعي الضرائب الحساسة المقيمين على شبكة IRS دون الكشف عنها ، "كما قال التقرير.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows]

موظف واحد في IRS ، مسؤول قاعدة البيانات لأجهزة التوجيه ، الوصول إلى سجلات تدقيق جهاز التوجيه ، على الرغم من أن قواعد IRS تتطلب أن يكون هناك عامل خارج فريق تكنولوجيا المعلومات المباشر المسؤول عن أجهزة التوجيه للوصول إلى مراجعة مستقلة ، حسبما ذكر التقرير. بالإضافة إلى ذلك ، لم يقم موظفو تكنولوجيا المعلومات في IRS بحفظ سجلات التدقيق على خادمين منفصلين ، كما هو موصى به في إرشادات IRS.

يوصي التقرير ، مع قطع كبيرة تم تصحيحها ، مصلحة الضرائب بمراجعة مستقلة لسجلات التدقيق ووضع إجراءات لحفظ سجلات التدقيق. كما أوصت بأن تقوم مصلحة الضرائب الأمريكية باختبار بوابات الإنترنت الخاصة بها بانتظام للامتثال لتكوينات الأمان القياسية. ووافقت مصلحة الضرائب الأمريكية على التوصيات ، قائلة إنها تعتزم إجراء اختبار الامتثال كل أسبوعين.

كما ذكر التقرير أن خدمة IRS قد تم تمكينها على أجهزة التوجيه غير الضرورية ، على الرغم من أن النسخة العامة من التقرير لا توضح ما هي تلك الخدمات.

"لقد صححنا العديد من النتائج الواردة في تقريرك ونقوم بتنفيذ تغييرات إضافية بشكل مكثف لتوفير المزيد من الحماية لبوابات الإنترنت لدينا" ، كتب آرثر جونزاليس ، مدير مكتب IRS CIO ، رداً على التقرير. "توصياتك المقترحة تتماشى مع المعايير التي ستزيد من تحسين وضعنا الأمني."

حصلت الوكالة الأم لـ IRS ، إدارة الخزانة ، على تقدير فاشل لجهودها في الأمن السيبراني لعام 2007 ، وفقًا لبطاقة تقرير صدرت في مايو. التقرير السنوي ، الذي أصدره الكونغرس الأمريكي ، يحترم امتثال الوكالات الفدرالية لقانون إدارة أمن المعلومات الفيدرالية ، أو FISMA.

تم إجراء مراجعة IRS في مركز الاستجابة لحوادث أمن الكمبيوتر IRS وغطت الفترة من فبراير 2007 إلى مارس من هذا العام.