Department of Homeland Security lagrade känslig information från landets bioterrorismförsvarsprogram på en osäker webbplats där den var sårbar för attacker från hackare i över ett decennium, enligt regeringsdokument som granskats av Los Angeles Times.

Uppgifterna inkluderade placeringen av åtminstone några BioWatch luftprovtagare, som är installerade på tunnelbanestationer och andra offentliga platser i mer än 30 amerikanska städer och är utformade för att upptäcka mjältbrand eller andra luftburna biologiska vapen, Homeland Security-tjänstemän bekräftade. Det inkluderade också resultaten av tester för möjliga patogener, en lista över biologiska agens som skulle kunna upptäckas och reaktionsplaner som skulle införas i händelse av en attack.

Informationen – som finns på en .org-webbplats som drivs av en privat entreprenör – har flyttats bakom en säker federal regeringsbrandvägg, och webbplatsen stängdes i maj. Men Homeland Security-tjänstemän erkänner att de inte vet om hackare någonsin fått tillgång till data.

E-postmeddelanden från intern hemvärnsskydd och andra dokument visar att frågan utlöste en bitter sammandrabbning inom departementet om huruvida att behålla informationen på .org-webbplatsen utgör ett hot mot den nationella säkerheten. En före detta säkerhetschef på BioWatch lämnade in ett anmälan från en whistleblower där han hävdade att han utsattes för repressalier efter att ha kritiserat programmets slappa säkerhet.

Webbplatsen delade information mellan lokala, statliga och federala tjänstemän. Det var lätt att identifiera via sökmotorer online, men ett användarnamn och lösenord krävdes för att komma åt känsliga uppgifter.

En säkerhetsrevision som slutfördes i januari 2017 fann "kritiska" och "högrisk" sårbarheter, inklusive svag kryptering som gjorde webbplatsen "extremt utsatt" för onlineattacker. Revisionen drog slutsatsen att det "inte verkar finnas någon skyddande övervakning av platsen, " enligt en rapport från Homeland Security som sammanfattar resultaten.

En rapport från generalinspektören som publicerades senare samma år sa att känslig information hade lagrats på BioWatch-portalen sedan 2007 och att den var sårbar för hackare. Rapporten rekommenderade att data flyttas bakom regeringens brandvägg och sa att hemvärnstjänstemän hade gått med på att göra det.

Det är oklart hur värdefull informationen skulle ha varit för en terroristgrupp eller fiendestat. Forskare har varnat för att BioWatch-tekniken är opålitlig. Systemet känner bara igen ett smalt spektrum av mikrober, och det kämpar för att skilja mellan typiska miljöbakterier och farliga hot.

Fortfarande, flera bioförsvarsexperter sa att det var oroande att tjänstemän inom hemlandets säkerhet misslyckades med att på ett adekvat sätt säkra känslig information från ett av landets antiterrorprogram.

"Att marknadsföra dina sårbarheter är aldrig bra. Att låta dina motståndare lätt komma åt dina sårbarheter - det är en nationell säkerhetsrisk, enligt min bedömning, sa Tom Ridge, som som landets första sekreterare för inrikessäkerhet övervakade lanseringen av BioWatch 2003 men har sedan dess fördömt programmet som ineffektivt. "Varje amerikansk medborgare skulle undra, "Vad mer är så lättillgängligt för resten av världen?"

James F. McDonnell, en biträdande sekreterare utsedd av president Donald Trump för att övervaka Homeland Securitys nya byrå för bekämpning av massförstörelsevapen, som inkluderar BioWatch, sa att data som fanns utanför den säkra regeringens brandvägg inte var tillräckligt viktig för att orsaka ett hot mot nationell säkerhet, men han sa att tjänstemän har vidtagit åtgärder för att stärka cybersäkerheten över hela avdelningen. Han noterade att problemet föregick hans utnämning.

"Vad hände innan, hänt tidigare. Du kan inte stoppa tillbaka anden i flaskan, ", sa han. "Det har skett en rejäl ökning av farhågor om cybersäkerhet."

—-

Säkerhetsproblemen lägger till en lång lista med problem för BioWatch.

Programmet, vilket har kostat skattebetalarna mer än 1,6 miljarder dollar, lanserades två år efter att brev spetsade med mjältbrandsporer dödade fem personer och gjorde 17 andra sjuka kort efter den 11 september, 2001, terroristattacker. BioWatch blev en del av Homeland Securitys Office of Health Affairs 2007.

En undersökning från Times 2012 identifierade allvarliga brister, inklusive falska larm och tvivel om huruvida BioWatch kunde litas på för att identifiera en bioterrorismhändelse. 2015, En studie från Government Accountability Office drog slutsatsen att programmet inte kunde räknas med att upptäcka en attack och sa att BioWatch genererade 149 falska larm från 2003 till 2014.

Varje dag, Folkhälsopersonal över hela landet samlar in filter från luftprovtagarna och gör tester på innehållet, letar efter tecken på farliga patogener i luften. I vissa fall, rapporter om misstänkta labbfynd laddas upp till BioWatch-portalen för granskning av andra tjänstemän.

Vissa lokala tjänstemän motsatte sig att lagra dessa och andra känsliga dokument på en federal server som andra regeringstjänstemän kunde komma åt utan deras vetskap eller samtycke, enligt riksinspektörens rapport. Som ett resultat, rapporten sa, Office of Health Affairs beslutade att inte flytta portalen inuti Department of Homeland Securitys brandvägg.

—-

I augusti 2016 Harry Jackson, som arbetade för en gren av Homeland Security som sysslar med informationssäkerhet, tilldelades BioWatch-programmet. Tre månader senare, sa han i en intervju med The Times, han lärde sig om biowatchportal.org och krävde att byrån skulle sluta använda den, med argumentet att den innehöll sekretessbelagd information och att portalens säkerhetsåtgärder var otillräckliga.

Två andra avdelningstjänstemän med uppgift att övervaka hur känslig information hanteras upprepade farhågorna i e-postmeddelanden till BioWatch-chefer, enligt uppgifter som granskats av The Times.

BioWatch tjänstemän tryckte tillbaka. Michael Walter, programmets chef, sade i ett konferenssamtal med andra tjänstemän inom Homeland Security att information om platsen för nätverkets luftprovtagare inte skulle undergräva dess effektivitet eftersom det var utformat för att upptäcka en massiv biologisk krigsattack. Provtagarna är synliga, han sa, enligt en inspelning av samtalet som Jackson gjorde och granskat av The Times.

Larry "Dave" Fluty, dåvarande hälsovårdens biträdande biträdande sekreterare, hävdade under samma samtal att byrån tidigare hade beslutat att behandlingen av informationen som sekretessbelagd – och därför utlöser strängare åtkomstriktlinjer – skulle kräva säkerhetstillstånd för ungefär 1, 000 lokala tjänstemän som är involverade i att samla in och analysera data från luftuppsamlingsenheterna.

"Det var bestämt från en politisk synpunkt att det inte kan hända, " han sa.

Veckor efter telefonkonferensen, Steven Lynch, dåvarande chef för Homeland Securitys division för särskilda säkerhetsprogram, skrev i ett memo som granskats av The Times att byrån planerade att flytta portalen till en .gov-sida bakom den säkra federala brandväggen. Fortfarande, han sa, experter drog slutsatsen att det inte fanns några bevis för brottslig eller misstänkt aktivitet som involverade .org-portalen och "minimal till ingen risk för obehörig åtkomst."

Men ett klagomål till inspektörens allmänna hotline hade redan utlöst en internrevision av biowatchportal.org.

Granskningen visade 41 sårbarheter, och en skanning upptäckte ett möjligt försök från en hackare att komma åt portalen. Granskningsteamet kunde inte validera skanningens fynd, och teamet rekommenderade att entreprenören som övervakar platsen undersöker. Det är oklart om det gjordes.

Entreprenören, Logistics Management Institute, avböjde att lämna en kommentar. Walter, Fluty och Lynch svarade inte på mejl eller telefonsamtal från The Times.

—-

I januari 2017, Jackson publicerade sin oro över portalen i Journal of Bioterrorism &Biodefense. Hans artikel beskrev vad han kallade "oaktsam" säkerhet som endast krävde enfaktorsautentisering för att komma åt webbplatsen.

Tjänstemän vid Department of Homeland Security tog bort BioWatch från Jacksons portfölj, avbröt sedan sitt säkerhetstillstånd och satte honom senare på administrativ ledighet. De meddelade honom att han inte hade sökt rätt godkännande för att publicera sin artikel och att den innehöll information som inte borde ha offentliggjorts. De åberopade också hans nyligen fällda för rattfylleri.

Jackson lämnade in anmälningar om whistleblower till flera federala myndigheter, påstå att han var offer för vedergällning för att ha kritiserat programmets säkerhet. I ett, han skrev att en framgångsrik hacker kunde "övervaka systemet, manipulera data, och skapa falska flaggor för att sätta ut federala, statliga och lokala svar på en möjlig incident."

Klagomålet fortsatte:"Till denna dag, DHS kommer aldrig att få veta vilken skada som har resulterat av detta eftersom det inte finns någon möjlighet att upptäcka intrång."

Generalinspektörens rapport som publicerades senare samma år sa att ingen hemligstämplad information hittades på BioWatch-portalen, men den bekräftade att "kritiska och högrisksårbarheter" kan tillåta en angripare att komma åt känslig information på webbplatsen.

I oktober 2017, Homeland Security återinförde Jacksons säkerhetstillstånd men utfärdade en varning till honom. Ett brev som underrättade honom om beslutet behandlade inte hans anspråk på visslare. Han lämnade byrån några veckor senare.

Ingen federal byrå gick med på att undersöka Jacksons klagomål. I maj, han överklagade till Office of the Intelligence Community Inspector General. Han väntar på svar.

©2019 Los Angeles Times
Distribueras av Tribune Content Agency, LLC.