Một cuộc kiểm toán gần đây đối với 4 học khu ở Florida cho thấy cần áp dụng các biện pháp kiểm soát mạng mạnh mẽ hơn khi mối đe doạ từ các phần mềm độc hại ngày càng tăng đáng kể mỗi năm. Tổng Kiểm toán Florida đã tiến hành một cuộc kiểm toán hoạt động công nghệ thông tin từ tháng 12/2021 đến 9/2022 tập trung vào 4 học khu gồm Desoto, Escambia, Indian River và Pasco.
Cuộc kiểm toán nhằm “xác định các vấn đề để khắc phục nhằm cải thiện trách nhiệm giải trình và tính hiệu quả của chính quyền cũng như trách nhiệm của cơ quan quản lý”. Cuộc kiểm toán phát hiện các học khu Desoto và Pasco phải cải thiện việc đào tạo nhân viên về an ninh mạng. Desoto đã nghiên cứu triển khai các quy trình để cải thiện các biện pháp bảo mật, nhưng từ tháng 8/2022 vẫn chưa thiết lập được chương trình nhận thức về bảo mật nào.
Học khu quận Pasco đã triển khai đào tạo về bảo mật và đã cung cấp các chương trình đào tạo trực tuyến cho nhân viên về các thông lệ tốt nhất liên quan đến sử dụng internet và bảo mật email, tuy nhiên, cuộc kiểm toán cho thấy Pasco cũng chưa triển khai được một chương trình đào tạo phù hợp. Theo cuộc kiểm toán, “các chương trình đào tạo nhận thức bảo mật hiệu quả bao gồm các thông lệ tốt nhất về xác thực và xử lý dữ liệu, các phiên họp để nhận biết các cuộc tấn công xã hội, hướng dẫn để hiểu rõ nguyên nhân của việc lộ dữ liệu không chủ ý, hướng dẫn nhận biết, báo cáo sự cố bảo mật và yêu cầu nâng cao nhận thức bảo mật. Việc thiếu chương trình đào tạo nâng cao nhận thức bảo mật toàn diện, bắt buộc sẽ làm tăng nguy cơ nhân viên có thể xâm phạm tính bảo mật, tính sẵn có và tính toàn vẹn dữ liệu về học khu và các tài nguyên công nghệ thông tin”.
Cuộc kiểm toán khuyến nghị: “Bộ phận quản lý tại các học khu Desoto và Pasco cần thiết lập một chương trình đào tạo nâng cao nhận thức bảo mật toàn diện, bắt buộc để đảm bảo nhân viên nhận thức được trách nhiệm của họ, tầm quan trọng của việc bảo mật dữ liệu và tài nguyên công nghệ thông tin của học khu”. Phản hồi lại khuyến nghị này, giám đốc học khu Desoto và Pasco cho biết sẽ áp dụng một số biện pháp mới và hiện cả 2 đều đang trong quá trình thực hiện đào tạo bắt buộc cho nhân viên.
Cuộc kiểm toán cũng chỉ ra một số phát hiện liên quan đến các biện pháp kiểm soát bảo mật – cụ thể là xác thực, quản lý tài khoản, khôi phục dữ liệu, quản lý cấu hình, quản lý lỗ hổng bảo mật và bảo vệ dữ liệu. Những lĩnh vực này cũng đang bị hạn chế tuy nhiên hiện các khuyến nghị chưa được công khai “để tránh gây ảnh hưởng đến tính bảo mật của dữ liệu học khu và các tài nguyên công nghệ thông tin liên quan”./.
