NSA, güvenlik açıklarını kapatamıyor

Güvenlik protokolleri amacına ulaşamadı
Yorumlar

ABD'nin siber istihbarat toplama birimi olan Ulusal Güvenlik Ajansı(NSA), 2013 yılında Edward Snowden'ın ''gözetim ve denetim'' sistemleriyle ilgili hassas verileri sızdırmasının ardından kurum içi güveliğe son derece önem veriyor. Buna karşılık geçen 5 yılda kurumdaki güvenlik açıkları kontol altına alınabilmiş değil. NSA Genel Müfettişliği tarafından paylaşılan rapora göre kurum içinde güvenlik zaafiyetleriyle yeterince ilgilenilmiyor ve yakın tarihli güvenli kaçıkları giderilmiyor.

Güvenlik protokolleri amacına ulaşamadı

Müfettiliğin geçtiğimiz 1 Ekim 2017 ile 31 Mart 2018 arasında gerçekleştirdiği incelemelere göre kurumun bir an önce ele alması gereken 669 farklı güvenlik problemi mevcut. Bunlardan en dikkat çekeni ise Edward Snowden'ın verileri sızdırmasının ardından devreye giren iki kişilik doğrulama faaliyetleri. 2013 yılından sonra Snowden'ın yaptığı gibi başka çalışanların da veri sızdırmamasını amaçlayan NSA, iki kişilik erişim sistemini kurdu. Böylece başka bir çalışan tarafından incelenip onaylanmadığı sürece hiçbir çalışan veya yüklenici hassas verilere doğrudan ulaşamayacaktı ancak bu sistemin şu an için hedeflendiği gibi çalışmadığı belirtiliyor.

Bir diğer dikkat çeken güvenlik açığı ise kuruma dışarıdan getirilen flash bellekler gibi veri taşımaya müsait cihazların gerekli güvenlik prosedürlerinden geçmemesi. Rapora göre bu tip cihazlara yönelik ciddi bir virüs taraması yapılmıyor. Bu da sızdırma amacı olmasa bile bir çalışanın kullandığı flash belleği önemli bir sızdırma aracı haline dönüştürüyor. Hatılanacağı üzere geçtiğimiz yıl bazı NSA çalışanlarına ait kişisel bilgisayarlar üzerinden hackerların kuruma yönelik siber operasyonlar yürüttüğü iddiası ortaya atılmıştı. NSA Genel Müfettişliği bu gibi durumların önüne geçmek için kontrol mekanizmasının daha sıkı hale getirilmesini istiyor.

Tabi raporda üzerinde durulan çok fazla güvenlik açığı olsa da bu açıkların nasıl giderileceği konusunda bir program oluşturulmuş değil. Son yıllarda siber saldırılar ve güvenlik zaafiyetleriyle mücadele eden kurumun ''son derece taze'' olan bu güvenlik açıklarını yeni bir saldırı yaşanmadan çözüp çözemeyeceği ise merak konusu.