Auditor: US SEC moet cybersecurity verbeteren

De Amerikaanse Securities and Exchange Commission (SEC) heeft stappen ondernomen om haar informatiebeveiliging te verbeteren, maar ze heeft nog steeds een aantal tekortkomingen in februari 2008 niet gecorrigeerd volgens een accountantsrapport.

De SEC, het bureau dat toezicht houdt op de worstelende VS financiële sector, heeft 18 van de 34 zwakke punten in de informatiebeveiliging hersteld die het Amerikaanse Government Accountability Office in februari 2008 heeft aangetroffen, en de GAO heeft 23 nieuwe tekortkomingen geïdentificeerd, zo werd in een nieuw rapport gezegd.

De nieuwe tekortkomingen zijn controles die bedoeld zijn om toegang tot gegevens en systemen, en in andere besturingselementen "die de vertrouwelijkheid, integriteit en beschikbaarheid van SEC's financiële en gevoelige informatie nog steeds in gevaar brengen", zei de GAO in zijn rapport, dat dinsdag is vrijgegeven.

[Lees meer: ​​Hoe om malware van uw Windows-pc te verwijderen]

De belangrijkste reden voor de zwakke punten is dat de SEC zijn informatiebeveiligingsprogramma niet volledig heeft uitgerold, een vacature voor senior information security officer heeft vervuld en de effectiviteit van zijn informatiebeveiligingscontroles volledig heeft getest, zei de GAO. "Deze tekortkomingen vormen een aanzienlijke tekortkoming in de interne beheersing van de informatiesystemen en gegevens die worden gebruikt voor financiële rapportage", aldus het rapport van de GAO. De SEC heeft niet altijd krachtige wachtwoordinstellingen afgedwongen op haar databases met bedrijfsdatabases en meerdere gebruikers hebben dezelfde gebruiker gedeeld accounts om systeeminformatie in te voeren over een belangrijke bedrijfsapplicatie voor SEC Enterprise, volgens het GAO-rapport.

Wachtwoorden in platte tekst zijn mogelijk beschikbaar voor ongeautoriseerde gebruikers, het rapport is toegevoegd.

Bovendien heeft de SEC niet altijd gevoelige gegevens gecodeerd informatie, waaronder communicatie tussen clientcomputers en databaseservers van een belangrijke financiële applicatie, aldus het rapport. Gebruikers die authenticeren in een belangrijke bedrijfsdatabasetoepassing, hebben ook niet-versleutelde wachtwoorden verzonden via het netwerk.

SEC leverde ook niet altijd voldoende controle en bewaking van bedrijfsdatabases en bewaarde geen volledige controlesporen van activiteit door gebruikers en applicaties in de database toepassingen die relevant waren voor de beveiliging, zei het GAO-rapport.

Totdat deze tekortkomingen zijn verholpen, zal de financiële informatie van de SEC een verhoogd risico houden op ongeautoriseerde openbaarmaking, wijziging of vernietiging en kunnen zijn beheersbeslissingen gebaseerd zijn op onbetrouwbare of onnauwkeurige informatie, "aldus het GAO-rapport.

In reactie op het rapport zei SEC-voorzitter Mary Schapiro dat het bureau het over het algemeen eens is met de GAO-aanbevelingen. Maar Schapiro zei ook dat de SEC" voortdurende vooruitgang "heeft gemaakt in de verbetering van informatie. veiligheid. "Omdat de SEC in voorgaande jaren veel van de meer algemene zwakke punten in informatiebeveiliging had aangepakt, hebben auditors hun beoordelingen steeds meer gericht op een beperktere set van besturingselementen van relatief lagere niveaus," schreef ze in een antwoord in het GAO-rapport.

De SEC zal zich in de toekomst richten op authenticatie en versleuteling, schreef Schapiro.