Overheid VS krijgt slecht cijfer voor computerbeveiliging

Een commissie van het Huis van Afgevaardigden, de Amerikaanse Tweede Kamer, heeft een meer dan kritisch rapport over computerbeveiliging door de Amerikaanse federale overheid gepubliceerd. In het rapport wordt voor alle ministeries en organisaties als de NASA een waardering gegeven. Daarvoor werd onder meer gekeken naar het aantal kwetsbare systemen, de procedures om eventuele lekken te dichten, incident response-beleid, training van medewerkers en de beschikbaarheid van backup-materiaal. De gemiddelde overheidsdienst bleek goed voor een D+, wat neerkomt op een mager viertje. De ministeries van Financiën, Defensie, Binnenlandse Zaken, Energie en Landbouw kwamen zelfs niet verder dan een F, de laagst mogelijke kwalificatie.

Het rapport wordt sinds 2002 jaarlijks opgemaakt in het kader van de FISMA-wetgeving, die bedoeld is om de risico's van ICT-gebruik voor de Amerikaanse overheid te helpen minimaliseren. De beste verdediging tegen cyberaanvallen is goed beleid, aldus het rapport, en het rapport moet inzichtelijk maken in hoeverre de diverse organisaties bestand zijn tegen digitale aanvallen van terroristen, hackers en vijandige mogendheden. 'Helaas niet best', luidt de sippe conclusie, al is er sinds 2002 al heel wat progressie geboekt: toen moest de gehele overheid met een F beoordeeld worden. Ten opzichte van 2004 is de situatie echter nauwelijks verbeterd, en de vraag of Amerika voorbereid is op een 'digitaal Pearl Harbor' wordt dan ook wel gesteld, maar het antwoord wordt maar achterwege gelaten.

Reacties (17)

[Verwijderd]

Ik vraag me af waarom de VS niet alle mogelijke middelen zet om hun systemen optimaal te beveiligen. Het zal een hoop kosten en het is moeilijk om "steeds bij te blijven", maar de kosten wegen wat mij betreft ruimschoots op tegen de baten. Rapporten als deze treffen het imago ook nog eens een keer.

[Verwijderd]

Ik vraag me af welke computers er nou precies onderzocht zijn en welk percentage zij opmaken in het totale plaatje van overheidshosts.

Een groot deel van de computers van de Amerikaanse overheid (met name defensie, maar ook zeker andere overheidsorganen zijn ermee verbonden) staan namelijk niet eens direct in verbinding met het internet maar met SIPR, en dat zijn vaak nou juist de computers welke je moet hebben als terrorist zijnde... De vraag rijst dan hoe volledig dit onderzoek is, en hoe accuraat het uiteindelijke rapport is.

Wikipedia over SIPR, ook wel interessant.

[kodak]

Beveiliging is een kwestie van afwegen, want het beveiligen is nooit een doel op zich maar onderdeel van het gebruik en beheer.
Voor de beschikbaarheid, integriteit en vertrouwelijkheid waar het om draait moeten net zo goed keuzes worden gemaakt als voor de inzet van andere middelen. Sterker nog, omdat het onderdeel is van gebruik en beheer zullen er zelfs offers gemaakt moeten worden om kosten niet onevenredig te maken en gebruik en beheer niet te nadelig te beinvloeden.
Alle mogelijke middelen inzetten kan dus niet zomaar. Wat wel kan is heel goed afwegen welke risico's er genomen kunnen worden en risico's beperken. Maar zelfs dan is de praktijk nooit optimaal en kan zelfs minder middelen inzetten een betere beveiliging opleveren dan alle mogelijke middelen inzetten.

[stewie]

omdat ze oorlog belangerijker vinden

[Verwijderd]

idd, "holbewoners" kunnen immers toch geen verstand van de moderne techiek hebben.
(ze konden immers ook die 2 vliegtuigen niet netjes aan de grond krijgen)

Beetje naief van die amerikanen

[DropjesLover]

ze hebben daar ook allemaal windows

sorry, dit is geen windows-bashing, maar ze hebben al vaker problemen gehad met de computers daar vanwege windows. zo is al 5 keer een helemaal nieuwe kruiser weggesleept omdat de besturing niet meer werkte wegens een systeem-error -> alles plat...

[FragFrog]

Ja, daarom is dat schip ook een beta. Alles is nieuw, geheid dat er dan een keer iets mis gaat - heeft geen donder te maken met welk OS ze draaien. Overigens is het slechts 1 keer voorgekomen dat het niet meer op eigen kracht naar de haven kon terugkomen, stemmingsmakerij vooral.

Daarnaast gaat het hier ook niet om wat voor OS de workstations draaien, getuige het feit dat het hier om beleid gaat. Ook voor *nix heb je een goede backup-policy nodig, sterke firewalls, etc.

Dat sommige ministeries nog steeds mager scoren is dan ook niet verwonderlijk, we hebben het hier over een compleet andere manier van denken, een ministerie met een budget van een klein afrikaans land kan niet zo 1, 2 3 z'n ICT beleid compleet omgooien. Niet terwijl de kosten binnen de perken blijven. Zelfs als je je ICT infrastructuur van de grond af opbouwt is het al lastig alles goed secure te houden, maar al te snel slippen er gaten in je verdediging (er hoeft maar 1 persoon een WiFi adapter te plaatsen voor z'n afdeling en je hele netwerk ligt potentieel op straat bijvoorbeeld). Een bestaand netwerk beter beveiligen is iets waar je al helemaal niet aan wilt beginnen.

[DropjesLover]

het was geen beta-schip en ze hadden volgens vele beter kunnen kiezen voor een *nix systeem, maar een lobby ofzo wilde toch graag windows. en op een nieuw marine-schip zet je natuurlijk niet je beste mensen om ervoor te zorgen dat het vaart, maar wel het beste besturingssysteem (tegen beter weten in van n onderzoek)

[Verwijderd]

Human error, not Microsoft Windows NT, was the cause of a LAN failure aboard the Aegis cruiser USS Yorktown that left the Smart Ship dead in the water for nearly three hours last fall during maneuvers near Cape Charles, Va., Navy officials said.
The Yorktown last September suffered an engineering LAN casualty when a petty officer calibrating a fuel valve entered a zero into a shipboard database, officials said. The resulting database overload caused the ship's LAN, including 27 dual 200-MHz Pentium Pro miniature remote terminal units, to crash, they said.

Het was dus een fout in database software. Het was mogelijk om een opdracht uit te voeren die ervoor zorgde dat de boel plat ging.

Ook gaat het om een bericht uit 1998. Oude koeien uit de sloot halen??

Gepost door z03m - maandag 20 maart 2006 - 18:58 - Score: 1
Dat zegt meer over het persoon die de apparatuur onderhoudt dan over de gebruikte software.

@dropstickjuh
Het was dus waarschijnlijk ook gebeurt als men *nix draaide. Als ik een essentiele database kan laten crashen dan kan mijn OS daar weinig aan veranderen.

[webfreakz.nl]

Mja, tijdje terug ook nog een gigantische foutmelding van DirectX op reclame schermen op Times Square (New York?). Was niet een artikel geworden maar stond wel in de nieuws-queue

[Verwijderd]

Dat zegt meer over het persoon die de apparatuur onderhoudt dan over de gebruikte software.

[ProfPi]

Niet een"helemaal nieuwe cruiser. De USS Yorktown was gebouwd in 1984. Het schip kreeg nieuwe besturings hard-, en software in 1996 in een Smart Ship proefprogramma.

De hele upgrade was niet goed voorbereid en overhaast geimplementeerd. Het probleem was trouwens met de database manager (en "verkeerde" data die door een gebruiker werd ingevoerd), en niet perse met Windows NT.

[Tenshi818]

ze kunnen upgraden en beveiligen wat ze willen het menselijke deel zal altijd he zwakste punt zijn.

Daarom denk ik dat goede training van alle medewerkers die ook maar in de buurt van een pc komen zo'n beetje het belangrijkste aspect is.

En goede soft en hardware beveiliging is natuurlijk ook van belang maar goede opgeleide medewerkers is het halve werk.

want wie heeft er nu exploits of backdoors nodig als de voordeur wagenweid open staat.

[webfreakz.nl]

Al 4 jaar elk jaar een onderzoek, en nogsteeds een F halen

[Paitor]

Waar lees je dat dan?
In 2002 hadden ze een F, vorig onderzoek een D+ en deze keer weer. Neemt niet weg dat ze moeten verbeteren hoor

[webfreakz.nl]

Ik bedoelde meer dat ze sinds 2002 elk jaar een onderzoek krijgen. En dat ze dan nu, in 2006, nogsteeds een F als 'cijfer' krijgen. Ze hebben toch tijd zat gehad om er wat aan te doen!

[darkfader]

Eenmaal gecompromiseerd is het lastig om alles weer te dichten