Summary

  • Аудит генерального инспектора ФРС от 28 октября 2026 года установил, что около 97% пользователей одной внутренней ИТ-группы были освобождены от устойчивой к фишингу многофакторной аутентификации для определённых приложений. Эта доля не относится ко всему Совету и ко всем входам этих пользователей.
  • Совет не вёл централизованный учёт исключений. Руководство не могло быстро объяснить основания некоторых освобождений, а центральный ИТ-отдел не видел их сроков действия. Инспектор рекомендовал общую политику и проверку числа исключений.

Кто выдавал пропуск мимо правила

ФРС применяет аутентификацию, устойчивую к фишингу. Однако исключениями управляли несколько подразделений по разным процедурам. Полный отчёт описывает один особенно наглядный случай: в одной внутренней ИТ-группе около 97% пользователей не должны были применять более стойкий метод для отдельных приложений. Это не утверждение, что они входили во все системы без второго фактора. Документ показывает, насколько широко внутри определённой среды распространился обход именно этого требования.

У центрального ИТ-отдела не было общего списка с датами начала и окончания исключений. Основания некоторых решений руководство не могло назвать сразу. Если почти вся группа живёт по исключению, слово «исключение» перестаёт объяснять практику. Общая политика остаётся на бумаге; рабочее правило возникает в местном порядке согласования.

У одной внутренней группы, поддерживающей несколько подразделений, были и собственные правила обработки уязвимостей. По её политике сообщение ответственному за информационную безопасность зависело от усмотрения группы, тогда как общий порядок требовал обязательного повышения уровня рассмотрения. Эта местная свобода проявилась и в неполноте общей картины. В реестре систем Совета отсутствовали десять из 32 обязательных типов полей, включая владельца системы и границу авторизации. Центр не сможет назначить ответственного за риск, если решение о нём остаётся местным, а запись о системе не указывает владельца.

Программа безопасности за 2026 финансовый год получила вторую ступень зрелости из пяти, ниже эффективной четвёртой. В 2025 году была третья, в 2024-м четвёртая. Инспектор связывает снижение как с обнаруженными слабостями, так и с методом подсчёта и новым весом управления.

Долгий список незавершённой работы показывает другую сторону оценки. Тринадцать из 17 прежних ежегодных рекомендаций оставались невыполненными. Совет согласился с восемью новыми, включая управление освобождениями. Для закрытия каждого пункта потребуется отдельная запись о выполнении.

Sources