Summary

  • En septembre 2026, quinze des vingt-deux agences civiles examinées avaient établi un inventaire de leurs objets connectés et équipements opérationnels en réseau. Onze entretenaient cet inventaire, dix y incluaient les huit catégories de données exigées, et sept remplissaient les trois conditions à la fois.
  • Le HUD a dit avoir découvert, grâce à un nouveau système, plus de 160 appareils IoT absents de l'ancien. Le Commerce et la Justice possédaient des inventaires renseignant toutes les catégories requises, mais ne les actualisaient pas régulièrement à l'échelle du ministère. Le Bureau de la gestion et du budget n'avait pas publié de directive actualisée pour l'exercice 2026 ni assuré le suivi dans un délai défini.

Les appareils travaillent avant d'être inscrits

Le rapport du GAO daté du 30 septembre 2026 porte sur des objets reliés au monde physique : capteurs, systèmes techniques des bâtiments et équipements spécialisés de laboratoires ou d'établissements de santé. Un responsable de sécurité doit connaître leur présence sur le réseau, leur propriétaire opérationnel, leur version logicielle et les connexions qu'ils utilisent. Les instructions fédérales existaient déjà : le Bureau de la gestion et du budget (OMB) avait demandé aux agences civiles concernées de dresser un inventaire général avant septembre 2024, puis de le tenir à jour. Elles ont été établies en décembre 2023 et précisées en janvier 2025.

Deux ans après l'échéance initiale, sept agences n'avaient toujours pas achevé leur premier registre. Quinze en avaient créé un ; onze le maintenaient ; dix avaient enregistré les huit familles d'informations demandées pour chaque actif. Sept réunissaient toutes ces qualités. Il s'agit de mesures qui se chevauchent : posséder une liste ne prouve ni sa fraîcheur ni l'utilité des données qu'elle contient.

Les huit familles montrent le travail caché derrière le mot « inventaire ». OMB demande l'identifiant, la description et la catégorie de l'appareil, le propriétaire du système ou son responsable de sécurité, le fabricant, les versions du logiciel et du micrologiciel, les raccordements réseau et interfaces, puis les protections appliquées. Sans propriétaire désigné, une anomalie peut rester orpheline. Sans version, il devient difficile de relier l'appareil à une mise à jour. Sans raccordements, la carte des dépendances perd une voie par laquelle l'appareil communique.

Le cas du HUD donne une dimension à l'écart de découverte. Ses responsables ont signalé que leur nouveau système de gestion du matériel avait identifié plus de 160 appareils IoT que l'ancien ne recensait pas. Ils déployaient l'outil pour établir l'inventaire général, sans date d'achèvement annoncée. Ce chiffre décrit des appareils retrouvés dans les comptes, pas une intrusion. Il dit à quel point une méthode de découverte change ce que l'administration croit posséder.

Une liste complète le lundi peut être périmée le vendredi

Au Commerce, le premier inventaire couvrait les huit catégories. Chaque composante entretenait cependant sa propre liste, et le ministère ne procédait pas à une mise à jour récurrente à l'échelle de l'ensemble. La Justice présentait aussi toutes les rubriques, mais ne maintenait pas régulièrement son registre ; elle a évoqué le renouvellement du personnel et des ressources limitées. L'enjeu n'est donc pas d'ajouter une colonne au fichier. Il est de faire entrer chaque installation, remplacement et retrait dans le registre commun.

D'autres services avaient un problème de contenu. Le département des Transports avait établi un inventaire et prévu de le maintenir, mais deux catégories seulement étaient complètes, une partielle et cinq absentes. Le Trésor avait une liste initiale dépourvue des huit rubriques exigées et ne l'actualisait pas régulièrement. L'Énergie remplissait quatre rubriques, une partiellement et en laissait trois vides ; ses responsables ont expliqué que certaines données avaient été retirées en raison de leur faible utilité ou de leur sensibilité.

Dans chaque cas, la prochaine tâche diffère : découvrir les appareils, stabiliser une routine, renseigner les champs ou protéger l'information sensible.

Le texte officiel complet montre également des agences ayant satisfait aux trois conditions, notamment l'Éducation, le DHS, le Département d'État, l'EPA, la GSA, la NASA et l'OPM. Leur présence interdit de traiter l'exigence comme une fiction administrative. Elle ne rend pas le travail simple : la NASA a expliqué que les outils de découverte distinguent mal informatique générale, objets connectés et équipements opérationnels. Des interrogations actives peuvent perturber des systèmes sensibles. Un bon registre exige un mode de découverte adapté aux machines réelles.

Aucune des vingt-deux agences n'a déclaré de dérogation à la règle fédérale sur la cybersécurité des objets connectés. Le registre des dérogations est donc vide pour cette population ; un appareil absent de l'inventaire n'atteint même pas le bureau où sa situation serait examinée.

Le silence d'OMB laisse la date en suspens

Le GAO a constaté qu'OMB n'avait pas publié de directive mise à jour pour l'exercice 2026 ni surveillé l'application des exigences dans un délai établi. Les agences ont cité des contraintes techniques, des ressources insuffisantes et d'autres priorités. Une instruction centrale fixe le calendrier à partir duquel les responsables peuvent affecter du personnel et rendre compte des résultats. Sans échéance nouvelle, le projet d'inventaire peut rester permanent tandis que les appareils continuent d'arriver.

Le GAO a formulé une recommandation : OMB doit publier des directives actualisées sur les objets connectés et technologies opérationnelles, indiquer clairement la priorité et le calendrier, puis contrôler la mise en œuvre. OMB n'a pas commenté le projet de rapport. Une instruction datée et des preuves de listes réellement maintenues changeraient l'évaluation. La note de Heng Lu invitant à regarder le fonctionnement sous le récit institutionnel donne l'angle éditorial ; les constats fédéraux viennent du GAO.

Sources