Сторога адміністрації малого бізнесу оприлюднив попередження агентству про можливі загрози ІТ -безпеки через відсутність багатофакторної автентифікації на особистих пристроях.
У консультації з управління, надісланого адміністратору СБА Келлі Лоффлер, який був оприлюднений на цьому тижні, Управління генерального інспектора виявив за допомогою федеральної оцінки закону про модернізацію інформації у фінансовому 2023 та 2024 роках, що агентство не має МЗС для користувачів, які отримують доступ до безпечних мереж SBA.
Вартовий також виявив, що пристрої для особистості можуть отримати доступ до цих агентських мереж із іноземних місць, порушення ІТ -політики SBA.
“Інформаційні системи SBA є більш вразливими до несанкціонованого доступу, який міг би використовувати конфіденційну інформацію агентства”, – заявив консультативний.
Користувачі змогли отримати доступ до мережі SBA з іноземних IP -адрес через портал Microsoft 365, повідомляє OIG, хоча менеджери агентства вручну заблокували один індивідуальний два дні після того, як стався доступ. Однак ця вразливість все ще існує, відповідно до консультацій.
“Вразливість сталася через те, що програмне забезпечення безпеки, яке використовує агентство, повинно автоматично заважати користувачеві набирати в'їзд до мережевих ресурсів на всі спроби”, – пояснив консультативний. “Агентство було вразливим до загроз кібербезпеки з боку іноземних IP -адрес у минулому”.
Ресурси SBA повинні бути доступні лише за кордоном користувачами агентства, які виконують офіційні урядові обов'язки або на офіційні урядові подорожі, додав ОГ.
Проблема MFA з мобільними пристроями, що отримують доступ до мереж агентства, була позначена OIG в грудні минулого року, що викликало негайне повідомлення в управлінні SBA. За словами сторожової сторони, менеджери SBA з тих пір взяли участь у “план відновлення”.
“Без мультифакторної автентифікації кожен особистий пристрій, який підключається до мережі, є потенційною кіберзагровою”, – зазначає консультативні. “Далі, конфіденційні дані не повинні завантажуватися, зберігати чи друкувати на пристроях, що належать особистій власності.”
OIG надав чотири рекомендації SBA, які вже були розглянуті: застосування МЗС на особистих пристроях; Забезпечення особистих пристроїв, підключених до мережі SBA, оновило програмне забезпечення проти зловмисного програмного забезпечення; забезпечення того, щоб різні заходи безпеки могли застосовуватися для мобільних пристроїв; і забороняти користувачам підключатися до систем SBA через закордонні IP -адреси.
Сторож також рекомендував SBA прийняти “постійний моніторинг даних мобільного телефону та персональних комп'ютерів у режимі реального часу з автоматизованим реагуванням та аналізом на основі правил”, що агентство заявило, що це зробить.
