A NIST iránymutatásai A július 31-én kiadott, polgári ügynökségekhez tartozó nem minősített adatok esetében a szövetségi informatikai rendszereket a legmagasabb biztonsági követelményeknek megfelelően hagyta el, mondta a Cyber ​​Secure Institute. Az alacsony vagy mérsékelt hatású szövetségi rendszerek szerint a biztonsági ellenőrzések nem alkalmasak arra, hogy felkészüljenek a képzett és jól finanszírozott hackerekre, a csoport a héten közzétett kritikában elmondta.

[

] A probléma az, hogy sok érzékeny szövetségi rendszer a mérsékelt hatású kategóriába tartozik, beleértve azokat a rendszereket is, amelyek a "rendkívül érzékeny" vizsgálatokhoz kapcsolódó információkat tartalmaznak a szövetségi törvények szerint a végrehajtó szervek szerint Rob Housman, a CSI ügyvezető igazgatója. Úgy tűnik, hogy az elektronikus egészségügyi adatok a mérsékelt hatású kategóriába esnek, azt mondta.

"Ha egy IRS [Internal Revenue Service] vizsgálat nem olyan dolog, amit magasabb védelmi szintre szeretne kifinomult támadó, nem tudom, mi van "- mondta Housman, aki a White House Drug Czar Hivatala stratégiai tervezésének asszisztensének igazgatójaként szolgált és a Maryland-i Egyetemen terrorizmusellenes és hazai biztonsági osztályokat tanított. "Szinte minden beszélgetésem mind a köz-, mind a magánszférabeli informatikai cégekkel, CISO-kkal és másokkal, amit mondanak, hogy látják … kifinomult hackerek."

A NIST ajánlásai alacsony és közepes hatású rendszereket igényelnek csak a kifogásolt fenyegetés ellen, vagy "a közmondásos tinédzser hiúsághacker, aki az alagsorban hackel" - jelentette CSI-jelentés.

De Ron Ross, a NIST egyik vezető számítógépes tudósa és információbiztonsági kutatója szerint a CSI kritikái a NIST irányelvek félreértéséről. Először is, a NIST iránymutatások a minimumkövetelmények, és az egyes ügynökségeknek kockázatértékelést kell készíteniük, és az iránymutatásokat saját szükségleteikhez kell igazítaniuk.

A szövetségi ügynökségeknek saját rendszereiket kell kategorizálniuk, és a nagy hatású rendszerek azok lennének amelyek "súlyos, katasztrofális hatással" rendelkeznek, ha elveszettek, mondta Ross. "Ezek a kiindulási alapok [a NIST ajánlásokban] minimális kiindulópontok az ügynökségek számára" - mondta. "A következtetésnek nem szabad ott lennie, hogy ez elegendő kontrollcsoportot tartalmaz bizonyos típusú támadások ellen."

Néhány ügynökség, amelyet az amerikai ellenfelek céloznak meg, további lépéseket kell tennie számítógépes rendszereik védelme érdekében, Ross azt mondta:

Van némi kockázat, hogy az ügynökségek csak minimálisra dolgoznak, mondta Ross. Az új NIST-iránymutatásokat azonban "a legszélesebb, a leggazdagabb és a legmélyebb vezérlőkészletnek nevezte … bárhol a világon". Az Egyesült Államok Védelmi Minisztériuma és hírszerző ügynökségei a NIST-rel dolgozták ezen iránymutatásokat, azt mondta.

Ha a NIST követné a CSI ajánlásait, minden szövetségi információs rendszerben minden biztonsági irányítást ajánlott, mondta Ross. "Nyilvánvaló, hogy ez rendkívül drága lenne, és túl sok lenne a sok rendszer számára, amit nekünk van" - mondta. "Minden ellenőrző rendszert, amit a rendszerbe helyezünk … az ügynökség pénzét fogja fizetni."

Emellett az iránymutatások tovább fognak fejlődni, mondta Ross. Míg a Fehér Ház Igazgatási és Költségvetési Hivatala felállítja az ügynökségek határidőt arra vonatkozóan, hogy betartsák a NIST kiberbiztonsági iránymutatásainak ezen harmadik változatát, a NIST továbbra is pontosítja az ajánlásokat.

Housman elismerte, hogy a költségvetés nagy kérdés a szövetségi ügynökségek számára. És bár elmondta, hogy a NIST-ajánlások nem mennek elég messzire, úgy hívta őket "nagy előrelépést" a múltbeli erőfeszítésekről.

Azonban Barack Obama amerikai elnök május végén tartott beszédében a cybersecurity status quo "- tette hozzá Housman.

" Ez egyfajta status-quo plusz, amit hack és patch-nak hívok "- mondta. "Magától értetődővé váltunk, elfogadjuk azt a tényt, hogy lesznek csapkodók, és sikeresek lesznek, és meg kell javítanunk őket."