home *** CD-ROM | disk | FTP | other *** search
/ Hackers Underworld 2: Forbidden Knowledge / Hackers Underworld 2: Forbidden Knowledge.iso / HACKING / COM_SEC.90 < prev    next >
Text File  |  1994-07-17  |  55KB  |  1,193 lines
  1.  
  2.  
  3.                                      United States General Accounting Office
  4.           ___________________________________________________________________
  5.           GAO                         Report to the Chairman, Committee on
  6.                                       Science, Space, and Technology,
  7.                                       House of Representatives
  8.  
  9.           ___________________________________________________________________
  10.           May 1990                    COMPUTER SECURITY
  11.  
  12.                                       Governmentwide Planning Process
  13.                                       Had Limited Impact
  14.  
  15.  
  16.  
  17.  
  18.           ___________________________________________________________________
  19.           GAO/IMTEC-90-48
  20.  
  21.  
  22.  
  23.  
  24.          This U.S. General Accounting Office (GAO) report is 1 of 7
  25.          available over the Internet as part of a test to determine
  26.          whether there is sufficient interest within this community to
  27.          warrant making all GAO reports available over the Internet.
  28.          The file REPORTS at NIH lists the 7 reports.
  29.  
  30.          So that we can keep a count of report recipients, and your
  31.          reaction, please send an E-Mail message to KH3@CU.NIH.GOV and
  32.          include, along with your E-Mail address, the following
  33.          information:
  34.  
  35.               1)   Your organization.
  36.  
  37.               2)   Your position/title and name (optional).
  38.  
  39.               3)   The title/report number of the above reports you have
  40.                    retrieved electronically or ordered by mail or phone.
  41.  
  42.               4)   Whether you have ever obtained a GAO report before.
  43.  
  44.               5)   Whether you have copied a report onto another bulletin
  45.                    board--if so, which report and bulletin board.
  46.  
  47.               6)   Other GAO report subjects you would be interested in.
  48.                    GAO's reports cover a broad range of subjects such as
  49.                    major weapons systems, energy, financial institutions,
  50.                    and pollution control.
  51.  
  52.               7)   Any additional comments or suggestions.
  53.  
  54.          Thank you for your time.
  55.  
  56.  
  57.          Sincerely,
  58.  
  59.          Jack L. Brock, Jr.
  60.          Director,
  61.          Government Information and Financial
  62.          Management Issues
  63.          Information Management and Technology Division
  64.  
  65.                  B-238954
  66.  
  67.  
  68.                  May 10, 1990
  69.  
  70.  
  71.                  The Honorable Robert A. Roe
  72.                  Chairman, Committee on Science,
  73.                    Space, and Technology
  74.                  House of Representatives
  75.  
  76.                  Dear Mr. Chairman:
  77.  
  78.                  This report responds to your June 5, 1989, request and
  79.                  subsequent agreements with your office that we review the
  80.                  governmentwide computer security planning and review process
  81.                  required by the Computer Security Act of 1987.  The act
  82.                  required federal agencies to identify systems that contain
  83.                  sensitive information and to develop plans to safeguard
  84.                  them.  As agreed, we assessed the (1) planning process in 10
  85.                  civilian agencies as well as the extent to which they
  86.                  implemented planned controls described in 22 selected plans
  87.                  and (2) National Institute of Standards and Technology
  88.                  (NIST)/National Security Agency (NSA) review of the plans.
  89.  
  90.                  This is the fifth in a series of reports on implementation
  91.                  of the Computer Security Act that GAO has prepared for your
  92.                  committee.  Appendix I details the review's objectives,
  93.                  scope, and methodology.  Appendix II describes the systems
  94.                  covered by the 22 plans we reviewed.
  95.  
  96.                  RESULTS IN BRIEF
  97.                  ----------------
  98.                  The planning and review process implemented under the
  99.                  Computer Security Act did little to strengthen computer
  100.                  security governmentwide.  Although agency officials believe
  101.                  that the process heightened awareness of computer security,
  102.                  they typically described the plans as merely "reporting
  103.                  requirements" and of limited use in addressing agency-
  104.                  specific problems.
  105.  
  106.                  Officials cited three problems relating to the design and
  107.                  implementation of the planning process:  (1) the plans
  108.                  lacked adequate information to serve as management tools and
  109.                  some agencies already had planning processes in place, (2)
  110.                  managers had little time to prepare the plans, and (3) the
  111.                  Office of Management and Budget (OMB) planning guidance was
  112.                  sometimes unclear and misinterpreted by agency officials.
  113.  
  114.  
  115.  
  116.                                           1
  117.  
  118.                  B-238954
  119.  
  120.                  Although a year has passed since the initial computer
  121.                  security plans were completed, agencies have made little
  122.                  progress in implementing planned controls.  Agency officials
  123.                  said that budget constraints and inadequate top management
  124.                  support--in terms of resources and commitment--were key
  125.                  reasons why controls had not been implemented.
  126.  
  127.                  Based on the results of the planning and review process,
  128.                  OMB--in conjunction with NIST and NSA--issued draft security
  129.                  planning guidance in January 1990.  The draft guidance
  130.                  focuses on agency security programs and calls for NIST, NSA,
  131.                  and OMB to visit agencies to discuss their security programs
  132.                  and problems, and provide advice and technical assistance.
  133.                  We believe that efforts directed toward assisting agencies
  134.                  in solving specific problems and drawing top management
  135.                  attention to computer security issues have greater potential
  136.                  for improving computer security governmentwide.
  137.  
  138.                  BACKGROUND
  139.                  ----------
  140.                  The Computer Security Act of 1987 (P.L. 100-235) was passed
  141.                  in response to concerns that the security of sensitive
  142.                  information was not being adequately addressed in the
  143.                  federal government.1  The act's intent was to improve the
  144.                  security and privacy of sensitive information in federal
  145.                  computer systems by establishing minimum security practices.
  146.                  The act required agencies to (1) identify all developmental
  147.                  and operational systems with sensitive information, (2)
  148.                  develop and submit to NIST and NSA for advice and comment a
  149.                  security and privacy plan for each system identified, and
  150.                  (3) establish computer security training programs.
  151.  
  152.                  OMB Bulletin 88-16, developed with NIST and NSA assistance,
  153.                  provides guidance on the computer security plans required by
  154.                  the act.  To be in compliance, approximately 60 civilian
  155.                  agencies submitted almost 1,600 computer security plans to a
  156.                  NIST/NSA review team in early 1989.  Nearly all of these
  157.                  plans followed, to some degree, the format and content
  158.                  requested by the bulletin.  The bulletin requested that the
  159.                  following information be included in each plan:
  160.  
  161.  
  162.                 1The act defines sensitive information as any unclassified
  163.                  information that in the event of loss, misuse, or
  164.                  unauthorized access or modification, could adversely affect
  165.                  the national interest, conduct of a federal program, or the
  166.                  privacy individuals are entitled to under the Privacy Act of
  167.                  1974 (5 U.S.C.