Auditor: IRS Tidak Memeriksa Log Cyberaudit

Staf TI Dinas Pendapatan Internal AS belum secara rutin memeriksa catatan audit cybersecurity-nya, menurut laporan yang dirilis minggu ini oleh kantor inspektur jenderal agensi.

IRS telah secara efektif menerapkan sistem deteksi intrusi di gateway Internetnya, dan telah menggunakan kontrol akses untuk firewall dan router, kata laporan itu, yang selesai pada Juli tetapi dirilis Senin. Tetapi staf TI agen tidak selalu menyimpan atau meninjau log audit sistem, dan pengaturan jam pada beberapa firewall dan router tidak sesuai dengan aturan IRS, kata laporan itu.

"Kelemahan ini meningkatkan kemungkinan penyusup dari Internet dapat mendapatkan akses ke data pembayar pajak sensitif yang berada di jaringan IRS tanpa terdeteksi, "kata laporan itu.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Satu karyawan IRS, administrator database untuk router, memiliki akses ke log audit router, meskipun aturan IRS mengharuskan pekerja di luar staf TI langsung yang bertanggung jawab untuk router memiliki akses untuk peninjauan independen, kata laporan itu. Selain itu, staf IRS IT tidak menyimpan log audit pada dua server terpisah, seperti yang direkomendasikan dalam panduan IRS.

Laporan, dengan potongan besar disunting, merekomendasikan IRS memungkinkan peninjauan independen dari log audit dan menetapkan prosedur untuk menyimpan log audit. Ini juga merekomendasikan bahwa IRS secara teratur menguji gateway Internetnya untuk mematuhi konfigurasi keamanan standar. IRS setuju dengan rekomendasi, mengatakan bahwa mereka berencana melakukan pengujian kepatuhan dua mingguan.

Laporan itu juga mengatakan IRS memiliki layanan yang tidak perlu diaktifkan pada router, meskipun versi publik dari laporan tersebut tidak memberi tahu layanan apa itu.

"Kami telah mengoreksi banyak temuan yang diuraikan dalam laporan Anda dan secara agresif menerapkan perubahan tambahan untuk melindungi lebih lanjut gateway Internet kami," Arthur Gonzalez, IRS CIO, menulis sebagai tanggapan atas laporan tersebut. "Rekomendasi yang Anda sarankan adalah sesuai dengan standar yang akan lebih meningkatkan postur keamanan kami."

Agensi induk IRS, Departemen Keuangan, menerima nilai gagal untuk usaha cybersecurity 2007, menurut kartu laporan yang dirilis pada bulan Mei.. Laporan tahunan, yang dikeluarkan oleh Kongres AS, menilai kepatuhan lembaga federal dengan Undang-Undang Pengelolaan Keamanan Informasi Federal, atau FISMA.

Tinjauan IRS dilakukan di Pusat Respons Insiden Keamanan Komputer IRS dan mencakup periode dari Februari 2007 hingga Maret tahun ini.