ตอนนี้หน่วยงานเท่านั้นที่จะเห็นความคืบหน้าของรัฐบาลในการรักษาความปลอดภัยระบบและข้อมูลหลังจากการละเมิดข้อมูลจำนวนมหาศาลของ Office of Personnel Management และการวิ่งทางไซเบอร์ที่ตามมาหากไม่มีอะไรอื่น รายงาน Federal Information Security Management Act (FISMA) ประจำปีงบประมาณ 2559 ที่เสนอต่อสภาคองเกรสแสดงให้เห็นว่ารัฐบาลโอบามาให้ความสำคัญในช่วงสองปีที่ผ่านมาGrant Schneider รักษาการหัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลของรัฐบาลกลาง กล่าว
ในบล็อกโพสต์ว่า OMB ได้เห็นการปรับปรุงทั่วทั้งภาครัฐเกี่ยวกับ
ความสามารถในการตรวจสอบความปลอดภัยของข้อมูลอย่างต่อเนื่อง การใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยสำหรับการเข้าถึงเครือข่าย และการนำความสามารถในการป้องกันฟิชชิ่งและมัลแวร์มาใช้
“OMB ตรวจสอบข้อมูลจากหน่วยงาน CFO Act พลเรือน 23 แห่งทุกไตรมาส โดยเป็นส่วนหนึ่งของการประเมินความปลอดภัยทางไซเบอร์ของสภาการจัดการของประธานาธิบดี ซึ่งจะทบทวนโปรแกรมของหน่วยงานเทียบกับเป้าหมายประสิทธิภาพด้านความปลอดภัยทางไซเบอร์ของรัฐบาล ในไตรมาสแรกของปีงบประมาณ 2016 มีเพียง 5 หน่วยงานเท่านั้นที่มีโปรแกรมรักษาความปลอดภัยข้อมูลที่บรรลุหรือเกินเป้าหมายการปฏิบัติงานของรัฐบาล ภายในสิ้นปีงบประมาณ พ.ศ. 2559 หน่วยงาน 13 แห่งได้บรรลุเป้าหมายเหล่านี้แล้ว และหน่วยงานอื่นๆ ทั้งหมดมีความคืบหน้าอย่างมากในการบรรลุเป้าหมายนี้ ซึ่งเป็นผลโดยตรงจากกลไกการกำกับดูแลที่อธิบายไว้ข้างต้น” รายงานระบุ
CX Exchange ของ Federal News Network: เข้าร่วมกับเราในช่วงบ่ายสองวันที่ 26 และ 27 เมษายน ซึ่งเราจะสำรวจเทคโนโลยี นโยบาย และกระบวนการที่สนับสนุนความพยายามของหน่วยงานในการให้บริการสาธารณะ ธุรกิจ และเจ้าหน้าที่ของรัฐอย่างมีประสิทธิภาพมากขึ้น
กลไกการกำกับดูแลรวมถึงเซสชัน CyberStatซึ่งเพิ่มขึ้นเป็น 24 ครั้งในปี 2559 จาก 14 ครั้งในปี 2558 และการประชุมของ OMB กับหน่วยงาน CISO หรือเจ้าหน้าที่ด้านความปลอดภัยทางไซเบอร์อื่นๆ เพื่อ
ทบทวนตัวชี้วัด FISMA และจัดการกับความท้าทายต่างๆ
นอกจากเครื่องมือและบทวิจารณ์แล้ว OMB ยังกล่าวว่าหน่วยงานต่าง ๆ ได้ทำการปรับปรุงที่สำคัญในทีมงานด้านความปลอดภัยทางไซเบอร์
“หน่วยงานต่าง ๆ มีความก้าวหน้าอย่างมากในการแก้ปัญหาการขาดแคลนแรงงาน เนื่องจากพวกเขาจ้างพนักงานด้านความปลอดภัยทางไซเบอร์และไอทีกว่า 7,500 คนในปี 2559 เมื่อเทียบกันแล้ว หน่วยงานของรัฐบาลกลางจ้างพนักงานด้านความปลอดภัยทางไซเบอร์และไอที 5,100 คนในปี 2558” รายงานระบุ
ส่วนหนึ่งของการเพิ่มขึ้นนี้มาจากการผลักดันจาก OMB ซึ่งเปิดตัวกลยุทธ์บุคลากรทางไซเบอร์เป็นครั้งแรกในเดือนกรกฎาคม นอกจากนี้ สภาคองเกรสยังได้เพิ่มบทบัญญัติในพระราชบัญญัติความปลอดภัยทางไซเบอร์ปี 2558 ซึ่งกำหนดให้หน่วยงานต่างๆ ต้องประเมินทักษะของแรงงานของตน อย่างไรก็ตาม รายงานเบื้องต้นที่ส่งไปยัง House Homeland Security Committee แสดงให้เห็นว่าหน่วยงานต่าง ๆ กำลังประสบปัญหาในการฝึกอบรมพนักงานไซเบอร์ของตน
ความต้องการพนักงานไซเบอร์ที่มากขึ้นและดีขึ้นรวมถึงการป้องกันที่ดีขึ้นนั้นไม่เคยชัดเจนมากไปกว่าในปี 2559
ในรายงาน FISMA ทีมเตรียมพร้อมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของกระทรวงความมั่นคงแห่งมาตุภูมิแห่งสหรัฐอเมริกา (US-CERT) กล่าวว่าภายใต้แนวทางใหม่ในการรายงานหน่วยงานวัดเหตุการณ์ทั่วทั้งรัฐบาลเผชิญกับการโจมตีเกือบ 31,000 ครั้งในปีที่แล้ว
“ฉันขอปรบมือให้ OMB สำหรับการดำเนินการอย่างกล้าหาญในการเผยแพร่เหตุการณ์สำคัญๆ เป็นครั้งแรก สภาคองเกรสต้องทำหน้าที่ของพวกเขาในตอนนี้และขุดลึกลงไปในเหตุการณ์เหล่านี้” เทรเวอร์ รูดอล์ฟ อดีตหัวหน้าหน่วยไซเบอร์และความมั่นคงแห่งชาติของ OMB และปัจจุบันเป็นหัวหน้าฝ่ายปฏิบัติการธุรกิจและความปลอดภัยทางไซเบอร์ที่บริษัทที่ปรึกษา Whitehawk กล่าว “แนวทางการแจ้งเตือนเหตุการณ์ใหม่ของ DHS เป็นการปรับปรุงแนวทางก่อนหน้านี้ หลักเกณฑ์เหล่านี้ควรช่วยในการพิจารณาผลกระทบที่แท้จริงของแต่ละเหตุการณ์ เทียบกับการพิจารณาผลรวมดิบของเหตุการณ์ทั้งหมดที่เกิดขึ้นในหนึ่งปี (ซึ่งเป็นสิ่งที่เราใช้ในการรายงาน) ฉันสนับสนุน DHS เพื่อให้แน่ใจว่าพวกเขามีวิธีในการติดตามและวิเคราะห์ผลกระทบของเหตุการณ์ของรัฐบาลกลาง เพื่อให้เราสามารถระบุได้ว่าแนวโน้มบางอย่างจำเป็นต้องมีการเปลี่ยนแปลงเชิงกลยุทธ์ในแนวทางที่เราปกป้องเครือข่ายของรัฐบาลกลางหรือไม่
อ่านเพิ่มเติม: การจัดการ
การโจมตีทางอีเมลหรือฟิชชิ่งยังคงเป็นวิธีที่แฮ็กเกอร์นิยมมากที่สุดในการพยายามเข้าสู่เครือข่ายเอเจนซีด้วยเหตุการณ์ 3,160 ครั้ง
“ในปีงบประมาณ 2559 แนวทางการแจ้งเตือนเหตุการณ์ที่ปรับปรุงใหม่ของ US-CERT กำหนดให้หน่วยงานต่างๆ ใช้วิธีการรายงานเหตุการณ์ที่จำแนกเหตุการณ์ตามวิธีการโจมตี ซึ่งเรียกว่าเวกเตอร์การโจมตี และระบุผลกระทบต่อหน่วยงาน นี่คือการเปลี่ยนแปลงจากวิธีการรายงานก่อนหน้านี้ ซึ่งหน่วยงานต่างๆ รายงานเกี่ยวกับเหตุการณ์ประเภทต่างๆ ที่ไม่มีผลกระทบต่อการปฏิบัติงาน” Schneider กล่าว “ในขณะที่
