Оценка отчета о политике и надзоре Министерства обороны: об использовании электронных систем обмена сообщениями, не контролируемых Министерством обороны, для служебной переписки

Список ключевых заголовков разделов

1. Исполнительное резюме
2. Рекомендации, комментарии руководства и наши ответы
3. Введение
4. Цели
5. Результаты
6. Сводка политики Министерства обороны, касающейся обмена информацией, связанной с классификацией, рассекречиванием и сотрудниками Министерства обороны, в системах электронных сообщений, не контролируемых Министерством обороны
7. Министерство обороны подтверждает свою политику; однако сотрудники не всегда соблюдают федеральные законы и политику Министерства обороны в отношении электронных сообщений и сохранения записей
8. Министерство обороны еще не полностью реализовало рекомендации Управления генерального инспектора Министерства обороны по использованию систем электронных сообщений, не контролируемых Министерством обороны
9. Нарушения политики Министерства обороны и неполная реализация рекомендаций по отчетности усугубляют риски безопасности
10. Рекомендации, комментарии руководства и наши ответы
11. Приложение A: Объем и методология
12. Приложение B: Статус рекомендаций отчета
13. Приложение C: Сводка политики и процедур Министерства обороны в отношении контролируемой несекретной информации, классификации и рассекречивания
14. Приложение D: Хронологическая сводка политики и руководящих принципов Министерства обороны по системам электронных сообщений

Краткое описание документа

Настоящий отчет подготовлен в ответ на запрос председателя и старшего члена Комитета Сената США по вооруженным силам от 26 марта 2025 года. Его цель — оценить политику Министерства обороны в отношении обмена чувствительной и засекреченной информацией государственными должностными лицами и служащими в неправительственных сетях и электронных приложениях, рассмотреть политику и процедуры классификации и рассекречивания, а также предложить рекомендации по выявленным потенциальным проблемам. Основу отчета составляет систематический обзор и обобщение проблем, выявленных в семи отчетах Управления генерального инспектора Министерства обороны, выпущенных в период с 2021 по 2024 год, на основе которых сформулированы рекомендации по улучшению. Следует отметить, что факты и обстоятельства конкретного инцидента, послужившего поводом для данного запроса (связанного с использованием министром обороны приложения Signal для служебных целей), рассматриваются в отдельном независимом отчете Управления генерального инспектора Министерства обороны.

В отчете четко указано, что в соответствии с многочисленными директивами Министерства обороны и требованиями к коммуникациям, его политическая система включает следующие ключевые положения: требование четко маркировать рассекреченную информацию и указывать орган, санкционировавший рассекречивание; принципиальный запрет на использование систем электронных сообщений, не контролируемых Министерством обороны (допускается только в ограниченных исключительных случаях), с явным запретом на использование таких систем для удобства или из субъективного мнения об их безопасности; требование к сотрудникам Министерства обороны защищать непубличную информацию Министерства обороны; а также требование к сотрудникам Министерства обороны соблюдать федеральные законы о сохранении официальных записей. Однако обзор семи предыдущих отчетов, представленный в данном документе, выявил случаи несоблюдения сотрудниками Министерства обороны политик в области безопасности информации и операций, использования электронных сообщений и сохранения записей. Например, в одной из оценок было обнаружено, что на начальном этапе массового удаленного режима работы во время пандемии COVID-19, из-за недостаточной подготовки некоторых подразделений Министерства обороны, некоторые удаленные сотрудники сообщали об использовании несанкционированных приложений для видеоконференций, личных ноутбуков и телефонов для выполнения работы. Кроме того, из 48 рекомендаций, содержащихся в семи обобщенных отчетах, 22 на момент проведения обзора оставались невыполненными.

Эти нарушения и задержки в реализации рекомендаций напрямую привели к накоплению и усугублению рисков безопасности. Использование сотрудниками Министерства обороны систем электронных сообщений, не контролируемых Министерством обороны, может поставить под угрозу операции или миссии Министерства обороны. Хотя политика Министерства обороны четко предписывает, что в случае использования таких систем соответствующие сотрудники должны передавать записи в систему учета Министерства обороны в течение 20 дней после отправки информации, на практике существуют пробелы в исполнении. Этот разрыв между политикой и практикой представляет собой значительную уязвимость в области информационной и операционной безопасности.

На основе вышеизложенных выводов отчет содержит четыре конкретные рекомендации, адресованные главному информационному директору Министерства обороны. Три из этих рекомендаций (включая: предоставление контролируемых Министерством обороны возможностей, отвечающих потребностям во внутреннем, внешнем, межсекретном обмене информацией и совместимых с мобильными устройствами; требование о предоставлении персонализированного обучения для политических назначенцев, генералов и высших гражданских руководителей Министерства обороны о том, как правомерно использовать мобильные устройства и приложения; а также разъяснение и унификацию процедуры получения исключений в политике Министерства обороны в отношении электронных сообщений) получили ответ от должностного лица, исполняющего обязанности главного информационного директора Министерства обороны, и считаются решенными, однако для их закрытия требуется предоставление доказательств реализации. Еще одна рекомендация о включении информации о последствиях и рисках использования служб электронных сообщений, не контролируемых Министерством обороны, в ежегодное обучение по кибербезопасности, в настоящее время вызывает разногласия у руководства и поэтому остается нерешенной. В то же время, отчет рекомендует Управлению заместителя министра обороны по разведке и безопасности провести оценку в масштабах всего Министерства обороны, чтобы определить распространенность и связанные с этим риски использования сотрудниками систем электронных сообщений, не контролируемых Министерством обороны, для служебных целей, и представить результаты главному информационному директору. Эта рекомендация в настоящее время получила лишь частичное согласие, планируется проведение оценки рисков в меньшем масштабе, что не полностью соответствует цели рекомендации, и поэтому она также считается нерешенной.

Данная оценка строго следовала установленным рамкам и методологии, изучив соответствующие политические документы, предыдущие отчеты и данные компьютерной обработки. Ее цель — предоставить руководству Министерства обороны доказательную базу для принятия решений, направленных на усиление управления информационной безопасностью, обеспечение эффективного исполнения политик и снижение системных рисков, возникающих из-за неправильного использования коммуникационных технологий.