Инспектор DHS: 86% агентств не выполнили директивы CISA по облачной безопасности
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Отчёт генерального инспектора Министерства внутренней безопасности США показал, что 88 из 102 федеральных гражданских агентств, или 86%, не выполнили к июню 2025 года директивы CISA по облачной безопасности. Инспектор пришёл к выводу, что у CISA нет полномочий требовать соблюдения, что оставляет агентства уязвимыми для предотвратимых кибератак. Отчёт опубликован в среду.
Ключевые факты
- 88 из 102 федеральных гражданских агентств исполнительной власти, или 86%, не выполнили все обязательные политики SCuBA из директивы BOD 25-01 к крайнему сроку в июне 2025 года.
- По состоянию на февраль 2026 года 78 из 102 агентств (76%) всё ещё не соответствовали требованиям BOD 25-01.
- Генеральный инспектор Министерства внутренней безопасности США пришёл к выводу, что у CISA нет полномочий требовать полного и своевременного выполнения обязательных операционных директив.
- Проект SCuBA был создан в ответ на атаку SolarWinds 2022 года для предоставления безопасных базовых конфигураций облачных приложений.
- CISA не ответила на отчёт генерального инспектора, согласно надзорному органу.
Несоблюдение требований
Генеральный инспектор Министерства внутренней безопасности США изучил проект Secure Cloud Business Applications (SCuBA), созданный в ответ на атаку SolarWinds 2022 года. Директива BOD 25-01 от декабря 2024 года установила список требований для соответствия SCuBA с крайним сроком в июне 2025 года. Инспектор обнаружил, что 88 из 102 агентств, или 86%, не внедрили все обязательные политики SCuBA из директивы BOD 25-01. К февралю 2026 года соответствие не улучшилось: 78 из 102 агентств (76%) всё ещё не выполняли требования. Примерами невыполненных базовых требований были блокировка устаревших процедур аутентификации, внедрение многофакторной аутентификации и защита конфиденциальной и персонально идентифицируемой информации.
Ограниченные полномочия CISA
Генеральный инспектор пришёл к выводу, что у CISA нет полномочий, необходимых для требования полного и своевременного выполнения обязательных операционных директив. В отчёте говорится, что без определённого надзора за соблюдением политик SCuBA федеральная облачная безопасность во всём федеральном секторе ослаблена. Когда агентства не принимают требуемые конфигурации или не соблюдают сроки внедрения, их облачные среды остаются подвержены предотвратимым угрозам. CISA не ответила на отчёт, по данным генерального инспектора, и не сразу ответила на запрос комментария от CyberScoop.
3 источника
Время · отставание