डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी ऑफिस ऑफ इंस्पेक्टर जनरल की 29 सितंबर की एक रिपोर्ट के अनुसार, ट्रांसपोर्टेशन सिक्योरिटी एडमिनिस्ट्रेशन को संवेदनशील इंफॉर्मेशन टेक्नोलॉजी सिस्टमों तक किसकी एक्सेस है, इस पर मजबूत नियंत्रण की आवश्यकता है। इस ऑडिट ने अकाउंट गवर्नेंस, विशेषाधिकार एक्सेस और एजेंसी छोड़ने पर एक्सेस हटाने की जांच की।
इंस्पेक्टर जनरल ने विशेषाधिकार अकाउंट के लिए स्वीकृति दस्तावेज़ीकरण, वार्षिक एक्सेस समीक्षाओं और अलग हुए कर्मियों के लिए समय पर डिप्रोविज़निंग में कमियां रिपोर्ट कीं। ये प्रशासनिक नियंत्रण हैं, लेकिन यह सीधे प्रभावित करते हैं कि तकनीकी सुरक्षा उपाय एजेंसी की इच्छित एक्सेस पॉलिसी को भरोसेमंद ढंग से लागू कर सकते हैं या नहीं।
पांच सिफारिशें जारी की गईं
इस रिपोर्ट ने अकाउंट प्रमाणन, नियमित समीक्षाओं, सबूत रिटेंशन और ऑफबोर्डिंग को मजबूत करने के इरादे से पांच सिफारिशें की। ऑडिट के अनुसार, टीएसए ने सभी पांच से सहमति जताई। एजेंसी ने सुधारात्मक कार्य का भी वर्णन किया, जिसमें अकाउंट प्रबंधन और समीक्षा वर्कफ़्लो को बेहतर बनाने के लिए जुलाई 2026 में पेश की गई एक ServiceNow-आधारित प्रक्रिया शामिल है।
क्योंकि रिपोर्ट के कुछ हिस्से रिडैक्टेड हैं, सार्वजनिक दस्तावेज़ विस्तृत सिस्टम कॉन्फिगरेशन उजागर नहीं करता। फिर भी यह एक स्पष्ट गवर्नेंस सीख प्रदान करता है: एक्सेस-कंट्रोल की प्रभावशीलता केवल ऑथेंटिकेशन तकनीक पर नहीं, बल्कि अद्यतन पहचान रिकॉर्ड, दर्ज स्वीकृतियों और त्वरित रद्दीकरण पर निर्भर करती है।
यह निष्कर्ष टीएसए से आगे क्यों महत्वपूर्ण हैं
परिवहन संगठन तेज़ी से परिचालन, प्रशासनिक और फिजिकल-सिक्योरिटी सिस्टमों को जोड़ रहे हैं। इस कारण एक पुराना या अत्यधिक-विशेषाधिकार प्राप्त अकाउंट संवेदनशील डेटा या वास्तविक दुनिया के परिचालनों का समर्थन करने वाले सिस्टमों का एक रास्ता बन सकता है। परिपक्व प्रोग्राम मानव-संसाधन घटनाओं, पहचान गवर्नेंस और तकनीकी प्रवर्तन को इस तरह जोड़ते हैं कि भूमिका परिवर्तन और अलगाव पूर्वानुमानित एक्सेस अपडेट को ट्रिगर करें।
सिक्योरिटी टीमें विशेषाधिकार अकाउंट की इन्वेंटरी बनाकर, जवाबदेह मालिक नियुक्त करके, स्वीकृति सबूत रखकर और मापनीय सेवा लक्ष्यों के साथ ऑफबोर्डिंग का परीक्षण करके समान सिद्धांत लागू कर सकती हैं। स्वतंत्र समीक्षा को यह सत्यापित करना चाहिए कि दर्ज प्रक्रिया लाइव सिस्टम में अपेक्षित परिणाम उत्पन्न करती है। अपवादों के नामित मालिक, समाप्ति तिथियां और दर्ज प्रतिपूरक नियंत्रण होने चाहिए।
यह निष्कर्ष सेकटेकमीडिया की साइबर-भौतिक सुरक्षा अभिसरण गाइड में चर्चित साइबर और भौतिक जोखिम के बीच संबंध को भी मजबूत करते हैं।
प्रातिक्रिया दे