Vše se odehrálo v květnu. Dodavatel udělal vážnou chybu. Přední dveře nechal dokořán.
Brian Krebs byl první, kdo objevil nepořádek. Nešlo jen o drobné nedopatření, ale o situaci připomínající situaci digitálního rukojmí. Zaměstnanec dodavatele CISA nahrál na GitHub úložiště obsahující obrovské množství hesel. Klíče pro přístup k americkým vládním systémům byly otevřené a přístupné komukoli s webovým prohlížečem.
Vlastní vyšetřování incidentu CISA odhalilo nepříjemnou pravdu: agentura neměla žádný akční plán. vůbec žádný. Zatímco prach a šok z prvotního zjištění problému se usazovaly, pracovníci CISA neprováděli odpověď – vymýšleli si to.
“Zaměstnanci museli trávit čas vytvářením plánu reakce v raných fázích incidentu.”
Přemýšlejte o tom. Jste štítem, který chrání federální sítě před útokem, ale improvizujete, jak tento štít zvednout, když začne unikat data. Nemělo by to tak fungovat, ale přesně to se stalo.
Krebs si všiml zranitelnosti. Výzkumník GitGuardian se nejprve pokusil varovat dodavatele. Umlčet. Odpovědí je prázdnota. Pak Krebs šel nahoru: kontaktoval CISA. Teprve poté byla přijata opatření.
Úložiště bylo smazáno. Pověření byla zrušena a nahrazena.
Nebyla odcizena žádná zákaznická data. To je alespoň něco, myslím. CISA poděkovala novináři a výzkumníkovi za včasné varování. Z průšvihu jsme vyšli doslova o vlásek. Možná příliš blízko.
Agentura uznala, že její komunikační linky s bezpečnostními výzkumníky byly rozmazané. “Není dobře definováno,” řekli. Nyní se situace napravuje. Jsou implementovány rychlejší oznamovací cesty a jsou vytvořeny akční plány pro očekávané potřeby. Myšlenka je jednoduchá: během požáru byste neměli psát pravidla hry. Je třeba je přečíst, než se objeví první jiskra.
Ale stále bylo zpoždění. Mluvčí agentury odmítl sdělit, kolik času bylo ztraceno při sestavování akčního plánu. Mlčení v této věci mluví samo za sebe.
Je to překvapivé?
Infrastruktura se posiluje. Lidé zapomínají instalovat aktualizace zabezpečení. Někdy i obránci musí vymýšlet, co dělat, když zasáhne panika.
