La filtración del documento secreto: Hablemos de la trivia de Jack Teixeira
El arresto del aviador de primera clase Jack Teixeira, de 21 años, la semana pasada provocó una gran cantidad de reacciones de los expertos de salón que dijeron que 21 años es demasiado joven para confiar información clasificada sobre la necesidad de una reforma del Departamento de Defensa y los servicios de inteligencia al presidente de Estados Unidos. la Cámara de Representantes exigió audiencias sobre cómo la administración del presidente Joe Biden pudo haber permitido tal violación. En mi opinión, la verdadera preocupación es la necesidad de reformar las políticas y los procesos relacionados con el acceso a información privilegiada.
A medida que se desarrolla el caso presentado contra Teixeira, no necesitamos esperar a que nos demos cuenta de que el programa de gestión de riesgos internos dentro del 102º Escuadrón de Inteligencia de la Fuerza Aérea de los EE. UU. en la Base de la Guardia Nacional Aérea de Otis ha fallado, y de manera espectacular. una lectura de Declaración jurada del Departamento de Justicia en apoyo de una orden de arresto da una idea de la ingenuidad de Teixeira y que sus acciones fueron maliciosas desde el principio.
Acceso a los secretos de Teixeira
Cuando se inscribió, Teixeira pasó por un entrenamiento básico, completó un entrenamiento cibernético de nivel de entrada, se sometió a una investigación de antecedentes con un área requerida para obtener autorización de alto secreto y acceso a información confidencial del departamento (SCI) y aproximadamente los dos años en su especialidad de operaciones militares. – operaciones de defensa cibernética – hasta el punto en que fue ascendido a oficial.
The Washington Post informó que como oficial de operaciones de defensa cibernética, Teixeira tenía acceso al Sistema de Comunicaciones de Inteligencia Mundial Conjunta (JWICS) (1D751, su área de especialización, podría haber sido en cualquiera de estas especializaciones: red, sistemas, seguridad , sistemas cliente u operaciones de desarrollo de software).
¿Es la edad realmente un factor de seguridad?
Es fácil decir que 21 es demasiado joven. Eso plantea la pregunta de quién tiene la edad suficiente para guardar secretos nacionales. Yo era un empleado de la CIA de 20 años con una autorización de alto secreto más contraseña y me las arreglé para mantener los secretos a los que tenía acceso. También sé por mi propia visita VIP al portaaviones USS John C. Stennis que la edad promedio en el barco era de 26 años; Cuando el motor de un F-18 se incendió en la catapulta de lanzamiento y la tripulación bien entrenada entró en acción, la primera persona para el piloto fue un marinero de 18 años. Estuvo en el barco menos de seis semanas, pero fue entrenada para ese entrenamiento y actuó, corriendo directamente al fuego para sacar al piloto del avión.
El ejército de EE. UU. asume una gran responsabilidad por diseño y necesidad, y espera una gran disciplina y confianza de sus cuadros, independientemente de su edad. De las revelaciones sobre la profundidad de la información que compartió en Discord, está claro que el nivel de confianza del que disfrutaba Teixeira era inadecuado.
El acceso es primordial
Siguiendo con las revelaciones de Teixeira en su canal de Discord, cabe preguntarse: ¿necesitaba saber algo de esta información sobre el Sistema de Comunicaciones de Inteligencia Mundial Conjunta (JWICS) para cumplir con sus funciones como oficial de operaciones de ciberdefensa? ¿La lectura de las evaluaciones de la defensa de Ucrania tiene alguna relación con la defensa de la red específica que se le ha encomendado proteger?
No hay duda de que existen procesos y procedimientos para dictar cómo se manejarán los distintos niveles de información clasificada. Para obtener acceso a los materiales de SCI, deben firmar una declaración reconociendo que entienden que la información es altamente confidencial, no debe divulgarse y el manejo inadecuado podría resultar en penas de prisión y multas.
Los procesos y procedimientos de control de acceso que parecen estar implementados dentro de los sistemas a los que accede Teixeira se basaron en funciones. ¿Es este un problema exclusivo de las agencias militares o gubernamentales? No por mucho tiempo. Se ve en demasiadas organizaciones.
Cuando la cadena de toma de decisiones en torno al control de acceso no se basa en el acceso basado en la necesidad o en los atributos, se garantiza que la información se compartirá en exceso. El secretario de Defensa, Lloyd Austin, ordenó al subsecretario de Inteligencia y Seguridad, Ronald Moultrie, que «realice una revisión de nuestros procedimientos de acceso, responsabilidad y control de inteligencia dentro del Departamento para informar nuestros esfuerzos para evitar que ocurran este tipo de incidentes».
El comportamiento como indicador de confiabilidad
¿Los CISO que tienen personas en posiciones excepcionales de confianza emplean un mecanismo para reevaluar esa confianza? ¿Qué tipo de procesos y procedimientos de control de acceso existen? ¿Los administradores de su sistema necesitan ver el contenido para saber si un sistema está en funcionamiento? Quizás lo más importante, ¿su sistema está diseñado para denegar el acceso a la información cuando el individuo ya no necesita saberlo?
De lo contrario, el CISO debe reconsiderar el proceso de control de acceso en función de la necesidad de conocimiento y luego considerar la divulgación contenida en él. un estudio de 2022 de Beyond Identity que una gran mayoría de los ex empleados (83%) admitieron que todavía tienen acceso a las cuentas de un empleador anterior. Ahora la parte aterradora, más de la mitad de ellos (56%) dijeron que mantuvieron el acceso con la intención muy específica de dañar a su empleador anterior.
La pregunta que se cierne es por qué la impresión de documentos secretos no fue vista como una anomalía por los sistemas de vigilancia establecidos; estaban allí, ¿no es así?
La declaración jurada comparte cómo revisó los sistemas clasificados en busca de evidencia de que el Departamento de Defensa estaba buscando a un «filtrador» el día que su filtración de información clasificada golpeó inapropiadamente a los principales medios de comunicación. Debido a su comportamiento dentro del entorno secreto, ¿por qué no se registró una anomalía mientras recopilaba información de aquí y de allá? Además, ¿hubo algún cambio en su comportamiento desde que fue reclutado hasta que fue arrestado?
El sistema de evaluación continua dentro de la comunidad gubernamental liberada está diseñado para descubrir cambios en la vida de una persona que pueden indicar que la situación personal de la persona presenta un riesgo potencial que debe abordarse. No es automáticamente un descalificador de aptitudes, sino uno que garantiza dedicación y determinación.
Ser consciente de un principio rector para el acceso
La malicia es uno de los principales vectores que pueden causar y causan los daños más graves. Honestamente, en Teixeira vemos otro ejemplo de una situación de comportamiento malicioso prevenible. Sabía que lo que estaba haciendo estaba mal. Sabía que lo que estaba haciendo podía dañar la seguridad nacional de los Estados Unidos. Sabía que sus acciones violaban el proceso y el procedimiento establecidos, y lo hizo de todos modos porque quería ser visto en su alegre grupo de seguidores como lo que solíamos llamar el «gran hombre del campus». Aportó información a la mesa que otros no podían ver y, francamente, no necesitaban ver.
Por cierto, este síndrome no es exclusivo de los jugadores en línea de 21 años que tienen acceso a secretos de seguridad nacional. El ex presidente de los Estados Unidos también tomó documentos de su entorno controlado y los compartió con personas que no necesitaban saber. Si “llegar a conocer” no es su principio rector en la protección de activos/datos, entonces no se sorprenda si las personas que no necesitan saber terminan sabiendo.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Encontrarás la noticia original en el siguiente enlace: https://www.csoonline.com/article/3693708/the-classified-document-leak-let-s-talk-about-jack-teixeira-s-need-to-know.html#tk.rss_news