Den Gemensamma Kommittén för Offentliga Räkenskaper och Revision på torsdag hört att Geovetenskapligt Australien hade en körbar fil som finns på systemet tillbaka i 2017, som hade suttit där i “några månader”.
Filen hittades av den Australiska Signaler Direktoratet (ASD), tillsammans med Geovetenskapliga Australien VD Dr James Johnson säger att det var den enda instans att han var medveten om att den utgjorde en av it-incidenter.
“Vi har haft körbara filer som finns i vårt system-vid ett tillfälle, jag är medveten om — där det hittades och det hade varit bosatt i våra system, för att några månader”, sade han. “Det är faktiskt inte hade utvecklats till ett stort problem och det var som identifierats för oss av ASD och vi agerade i enlighet med detta att rätta till det.”
Medan Johnson inte kunde ge en exakt tidsplan, han sa att det var “ungefär 2017”, och medgav att det fanns en fördröjning mellan när det kom ut och när det var identifierade.
“Där vi har identifierat något på vårt nätverk som vi är osäkra på om vi deltar med [Australian Cyber Security Center] ganska snabbt och även med vår leverantör för it-tjänster”, tillade Trent Rawlings, som förutom att vara Geovetenskap Australien s chief operating officer ansvarar också för säkerheten på internet.
“Vi är verkligen ökande mognad i denna del av vår övervakning och incidenthantering, men säkerligen har det inte varit något datum som har orsakat en betydande inverkan för vår organisation att vi är medvetna om.”
I en rapport om beredskapen från Australian National Audit Office (ANAO), som gavs ut ett år efter den körbara filen hittades, Geovetenskap Australien var märkt som saknas där den Australiska regeringens Topp 4 riskreducerande strategier som var berörda.
I början av 2017, är de bästa 4 utvidgades till att de Grundläggande Åtta.
Efter ANAO sond, Geovetenskap Australien enades om att upp sin säkerhet hållning, med Johnson säger kommittén på torsdagen att hans organ skulle vara kompatibel med de bästa 4 komma 30 juni 2019.
“Vi kom överens med ANAO resultat och har genomfört en förbättring av säkerheten program för att ta itu med dessa resultat och att uppfylla våra krav på överensstämmelse, och förbättra den övergripande styrning och ledning av it-säkerhet”, sade han.
“Vi är väl fler it-motståndskraftig än vid tidpunkten för revisionen förra året.”
Säkerheten programmet, Johnson förklarade, kommer att genomföra de bästa 4 cyber riskreducerande strategier för väsentliga system-användarens arbete stationer, e-post system, och system för autentisering — som prioriteringar, och “förbättra styrning och stöd för att säkerställa att de fungerar effektivt”.
Johnson erkände att cybersäkerhet som tidigare inte var en prioritet för regeringen att myndigheten.
“Som en organisation som öppet aktier huvuddelen av sin information, Geovetenskap Australien har historiskt sett placeras en högre prioritet på att stödja vetenskapliga strävanden än it-säkerhet. Detta bygger på antagandet att en cyber hot som allvarligt inverkar på organisationen var låg”, sade han.
“Vikten av och beroende av IKT-system har ökat snabbt och har förändrats risk i organisationen, därför är vi ändra våra rutiner.”
Medan Geovetenskap Australien gör nästan alla av de uppgifter som det innehar allmänt tillgängliga, det finns fortfarande potential för personlig information av personal för att brytas, för IP-av andra vetenskapliga organisationer engagerar sig för att vara målinriktad, eller att Geovetenskapligt Australien är i sig användas som en kanal till andra statliga myndigheter och bolag som har en högre nivå av säkerhet klassificering.
Förutom Geovetenskap Australien att vara kompatibel med de bästa 4 under de kommande månaderna, Johnson berättade utskottet har också genomfört en handfull konkreta åtgärder, till exempel att minska antalet anställda med administratörsbehörighet, testa och skaffa en vitlista lösning, och att genomföra en kampanj för att öka medvetenheten inom organisationen.
Den ANAO sökt två andra Commonwealth enheter förutom Geovetenskap Australien i juni 2018 rapport: Treasury och National Archives of Australia. Det finns Treasury var kompatibel och riksarkivet, som Geovetenskapligt Australien, saknades.
På den tiden, ANAO sa att det hade bara finns fyra statliga enheter som är kompatibla med de bästa 4 krav när det var obligatoriskt i April 2013, från 14 organisationer den hade undersökts.
RELATERADE TÄCKNING
Australiska politiska partier också drabbats av statlig aktör i parlamentariska nätverk attack: PMAustralian regeringen datorer nätverk återställa följande säkerhet ” incident’ASD avslöjar regler för att hålla sårbarheter secretACSC stramar åt kontroller för Australiska regeringen systemsAustralian regeringen släpar STORBRITANNIEN i utbyggnaden av DMARC e-spoofing preventionCISOs med tanke på cyber ledande roll i Australien nya informationssäkerhet ManualAustralia behöver mer it i middleATO fordringar cyber överensstämmelse med ASD Topp 4 strategier eftersom November5 sätt att upprätthålla företagets säkerhet (TechRepublic)
Relaterade Ämnen:
Australien
Säkerhet-TV
Hantering Av Data
CXO
Datacenter