General Accounting Office (odpowiednik polskiej NIK) nakazał amerykańskim agencjom federalnym, aby skorygowały swoje podejście do testowania i oceny bezpieczeństwa. Z nowego raportu GAO wynika, że agencje federalne "nie opracowały właściwie ani nie wdrożyły skutecznie polityk" testowania bezpieczeństwa IT w swoich sieciach. Jednym z najbardziej krytykowanych obszarów był sposób określania zakresu obowiązków w obrębie organizacji.

W sumie GAO zbadał polityki testowania bezpieczeństwa w 24 głównych agencjach federalnych. Sześć z nich zostało poddanych szczegółowemu badaniu - na potrzeby raportu dokładnie zanalizowano 30 systemów IT. Procedury stosowane przez te sześć agencji porównano ze standardami opublikowanymi przez Office of Management and Budget oraz National Institute of Standards and Technology. Badanie przeprowadzono w okresie od listopada 2005 r. do lipca 2006 r. zgodnie z ustanowionymi standardami przeprowadzania audytu.

Nowa technologia komunikacji, szczególnie Internet, zwiększyła zapotrzebowanie na niezawodność sieci, nie rozwiązało to jednak problemów - wynika z raportu. Ogólnie, badane agencje osiągnęły bardzo słabe wyniki: większość z nich nie posiadała wymaganej dokumentacji lub nie ustanowiła niezbędnych praktyk. Zaniedbywano istotne elementy bezpieczeństwa i nie przeprowadzano testów dotyczących ryzyka. W sześciu szczegółowo zbadanych agencjach, żaden z 30 systemów IT nie został poddany właściwym testom okresowym, a stosowane metody i praktyki zostały ocenione jako nieadekwatne. Powstały wątpliwości co do ich ogólnego bezpieczeństwa. Z 30 systemów poddanych audytowi 28 posiadało niewystarczającą dokumentację dotyczącą testowania, a w przypadku 24 systemów kontrole bezpieczeństwa nie zostały właściwie przetestowane.

To oznacza, że mimo nagłośnienia kwestii bezpieczeństwa IT, szczególnie w agencjach federalnych, w przyszłości należy liczyć się z występowaniem incydentów naruszenia bezpieczeństwa sieci, utraty danych czy kradzieży tożsamości. W celu zwiększenia bezpieczeństwa GOA zalecił wprowadzenie i realizację programów dotyczących testowania, które podlegałyby zwiększonemu nadzorowi rządowemu. Office of Management and Budget, który według autorów raportu powinien zająć się przygotowaniem nowych wytycznych, zgodził się rozważyć te nowe propozycje.

Źródło: GAO Report GCN