Protection De La Informacion Sobre Seguridad Nacional

Protección del a información sobre seguridad nacional en la Drug Enforcement Administration

Situación

Análisis

Problemas y causas:

- La DEA tiene un inventario de computadoras que procesaba información clasificada, en este inventario no se incluía las computadoras que las oficinas centrales del a DEA y las de su División B utilizan para procesar datos clasificados, esto debido a que nunca fueron encuestadas ni se respondieron a las solicitudes de esta información. Esto ocasiono la falta de control y seguridad de información clasificada.

- La política del Justice Department requería que la información clasificada sea autorizada por el departamento de seguridad oficial y que tenga salvaguardas de seguridad necesarios. El sistema de la DEA no estaba autorizado para procesar dicha información nacional de seguridad y no había realizado un análisis de riesgo del sistema utilizado.

- La instalación del sistema de automatización de oficinas operaba abiertamente, sin tener áreas protegidas y usando dispositivos de almacenamiento de discos fijos.

- Uso de este equipo permite acceder a información clasificada a personas no autorizadas sin que estas sean detectadas.

- El equipo no cuenta con la protección TEMPEST, la cual es necesaria para proteger las emisiones electromagnéticas del equipo de que sean descifradas e interceptadas por especialistas.

- Cualquier empleado de la DEA o que haya trabajado en esta tenga acceso a la información clasificada y a los datos almacenados sin que otro empleado lo sepa

- Proveedores tenían acceso a las estaciones de trabajo ya que no se cambiaron las palabras de pase del sistema.

- El personal de limpieza y mantenimiento no era controlado ni vigilado por ningún tipo de sistema de seguridad por lo cual podían ingresar a las áreas donde las computadoras procesan información de seguridad nacional.

- Las computadoras eran desatendidas y se las dejaba encendidas, sin tener ningún control de seguridad en las horas no laborales.

- El personal de seguridad de la división no revisaba los registros de tarjetas de llave para ver quien entraba fuera del horario normal de trabajo.

- Los empleados del a DEA no llevaban gafetes de seguridad.

- No hubo cambio del as chapas del a división B desde 1985.

- Llaves perdidas o hurtadas de las áreas de seguridad nacional. (incluyendo las llaves maestras)

- Dsiquets etiquetados con información confidencial se quedaban rutinariamente sin custodia en estantes abiertos y sin protección.

- Documentos marcados como clasificados se dejaban sin seguridad en áreas donde trabaja el personal de limpieza.

- Cajas fuertes abiertas y sin vigilancia.

- La DEA almacenaba y procesaba información sobre seguridad nacional en equipos de computo no autorizados.

- Las lineas de comunicación no cumplían con los requerimientos de seguridad nacional.

- Acceso a áreas sensibles carecían de la suficiente identificación de seguridad.

- El acceso a la instalación de información sensible no tiene existe, por lo cual es fácil entrar a información altamente clasificada.

Se puede observar que a causa de estos problemas el sistema utilizado por la DEA no es el mas adecuado considerando la importancia que tiene dicho departamento sobre información clasificada, todas las debilidades que se pueden reflejar en el sistema representas posibles amenazas de retención de información por parte de personas no autorizadas, ya sea dentro o fuera de la organización.

Existe el riesgo de perdida de la información debido a que el sistema es vulnerable a acceso por la falta de control de los computadores, además que se puede utilizar esta información de manera inapropiada e ilegal, perjudicando así al departamento.

Los factores de administración que fueron responsables de las debilidades han sido la falta de control de los sistemas, ya que el acceso a estos es completamente libre y no se tienen informes de quienes entraron, para que y que modificaciones pudieron haber realizado dentro de los datos del sistema. No existe ningún tipo de restricción (códigos de acceso) para ingresar a las áreas donde se encuentra información altamente clasificada.

En la parte de la organización creemos que la responsabilidad recae en la mala distribución de la información ya que esta debería ser accesible a las personas de acuerdo al nivel o cargo que tengan (mayor nivel información mas confidencial)dentro de la organización.

Factores tecnológicos: el sistema es inapropiado por factores mencionados anteriormente (falta de códigos, orden de la información, seguridad, etc.)

Los sistemas que tiene que ser aplicados según nuestro criterio son el TPS ya que se necesita que toda la información automatiza debido al alto riesgo de personas no autorizadas dentro de la organización, también se optara por un sistema de MIS con el propósito

...