Android

Les nouvelles lignes directrices sur le cyber-gouvernement manquent,

Anonim

Un nouvel ensemble de lignes directrices sur la cybersécurité, publié par l'Institut national américain des normes et de la technologie (NIST), n'atteint pas la protection requise pour les systèmes gouvernementaux, selon une analyse de la cybersécurité et un groupe de défense. Selon le Cyber ​​Secure Institute, les données non classifiées des agences civiles, publiées le 31 juillet, laissent de nombreux systèmes informatiques fédéraux hors des plus hautes exigences en matière de sécurité. Les systèmes fédéraux classés comme cibles à impact faible ou modéré auraient des contrôles de sécurité qui ne sont pas conçus pour résister à des pirates qualifiés et bien financés, a déclaré le groupe dans une critique publiée cette semaine.

"Les menaces dites haut de gamme sont maintenant la norme n'est pas l'exception ", a déclaré CSI dans son rapport. «Les professionnels de l'informatique des secteurs fédéral et privé rapportent de plus en plus que les attaques auxquelles ils sont régulièrement confrontés proviennent d'acteurs hautement qualifiés, très motivés et dotés de ressources suffisantes - de la mafia russe aux militaires chinois en passant par les cybercriminels organisés.

[Plus d'informations: Comment supprimer les logiciels malveillants sur votre PC Windows]

Le problème est que de nombreux systèmes fédéraux sensibles entrent dans la catégorie des impacts modérés, notamment les systèmes contenant des informations sur les enquêtes "extrêmement sensibles" en droit fédéral Rob Housman, directeur exécutif par intérim chez CSI.

"Si une enquête IRS [Internal Revenue Service] n'est pas le genre de chose que vous voulez avoir un plus haut degré de protection contre un attaquant sophistiqué, je ne sais pas ce que c'est ", a déclaré Housman, qui a servi comme directeur adjoint pour la planification stratégique au Bureau du tsar de la Maison Blanche et qui enseigne les cours de contre-terrorisme et de sécurité intérieure à l'Université du Maryland. «Dans presque toutes mes conversations avec les DSI des secteurs public et privé, les RSSI et autres, ce qu'ils disent être des … pirates informatiques sophistiqués.»

Les recommandations du NIST exigent que les systèmes à impact faible ou modéré soient Selon le rapport de CSI, Ron Baker, informaticien en chef et chercheur en sécurité de l'information au NIST, a déclaré que les critiques de CSI semblaient fondées. sur un malentendu des lignes directrices du NIST. Tout d'abord, les directives du NIST sont des normes minimales, et les agences individuelles doivent évaluer les risques et adapter les directives à leurs besoins, a-t-il dit.

Les agences fédérales sont tenues de classer leurs propres systèmes, et les systèmes à impact élevé Ross a dit avoir un «effet grave et catastrophique» s'ils sont perdus. "Ces lignes de base [dans les recommandations du NIST] sont des points de départ minimum pour les agences", a-t-il déclaré. "L'implication ne devrait pas être là que c'est un ensemble de contrôles suffisant contre certains des types d'attaques que nous voyons."

Certaines agences ciblées par des adversaires américains devront prendre des mesures supplémentaires pour protéger leurs systèmes informatiques, Ross a dit

Il y a un certain risque que les agences travaillent seulement au minimum, a dit Ross. Mais il a qualifié les nouvelles lignes directrices du NIST de «l'ensemble de contrôles le plus large, le plus riche et le plus profond … partout dans le monde».

En outre, les lignes directrices continueront d'évoluer, a déclaré Ross. Alors que le Bureau de la gestion et du budget de la Maison Blanche établira le calendrier pour que les agences se conforment à cette troisième version des lignes directrices du NIST en matière de cybersécurité, le NIST continuera à affiner les recommandations, a-t-il dit.Housman a reconnu que le budget est un gros problème pour les organismes fédéraux. Et même s'il a dit que les recommandations du NIST ne vont pas assez loin, il les a qualifiées de "grand pas en avant" des efforts passés.

Cependant, le président américain Barack Obama, dans un discours prononcé fin mai, a appelé à la fin "Il s'agit d'une sorte de statu quo plus, que j'appelle hack and patch", a-t-il ajouté. "Nous sommes devenus complaisants, nous acceptons le fait qu'il y aura des hacks, et ils vont réussir, et nous allons devoir les patcher."