Summary

  • GAOは国務省、運輸省、退役軍人省、米中小企業庁の各2システム、計8件を調査した。継続監視を全面的に実施したのは3件、事故対応と復旧を全面的に実施したのも3件で、それぞれ残る5件は部分実施だった。全連邦システムへ一般化できる標本ではない。
  • 国務省の選定PaaSでは事業者の監視資料を確認した記録が示されず、退役軍人省は選定した2システムの事業者ログを収集・確認した証拠を出せなかった。サービス水準契約にも測定や履行確保の不足があった。

承認の後で、誰が報告書を開くのか

GAOの2026年6月25日付報告は、クラウド利用承認の件数を基に4機関を選び、各機関のプラットフォーム型とソフトウエア型を含む2システムを調べた。対象システム名は機微性を理由に伏せている。この8件は非代表性の標本であり、米政府のクラウド全体についての割合を示さない。監査が示すのは、実際に調べたシステムでどんな仕事の証拠が欠けていたかだ。

GAOが確認した仕事は三つ。継続監視では、機関自身の管理策に加え、事業者の提出物を確認する。事故対応と復旧では、異常の発見、封じ込め、報告、事業者との連絡を定める。サービス水準契約では、成果指標、その測り方、守られない場合の措置を明記する。クラウドの認可は使い始める条件であり、毎月の点検や緊急時の連絡を自動で代行しない。

継続監視を全面的に実施していたのは8件中3件。国務省は選定SaaSの事業者資料を確認していたが、選定PaaSでは確認を示せなかった。退役軍人省は2システムの監視計画とログ管理方針を持ちながら、事業者の監査ログを実際に集めて調べた証拠を提出できなかった。米中小企業庁は選定SaaSでは資料とログを確認した一方、PaaSでは同じ実施を示していない。計画を保管する仕事と、届いたデータから異常を探す仕事は違う。

事業者が警報を鳴らしても、機関に届かなければ

事故対応と復旧も、全面実施は3件、部分実施は5件だった。運輸省の2システムは全面実施。国務省の選定PaaSでは事業者と連携する手順が不足した。退役軍人省ではPaaSの対応時間を計測・追跡する手順がなく、SaaSでは対応訓練の手順がなかった。同省は事業者が2025年10月に試験したと説明したが、GAOへ試験の証拠や手順を提供していない。

米中小企業庁（SBA）には未署名の事故対応計画があり、事業者の迅速報告と連携の手順にも不足があった。情報を最初に見るのが事業者で、対外的な責任を負うのが機関である以上、通知経路と時計を決めて試す必要がある。GAOが挙げたのは手順と証拠の不足であり、名指しの攻撃で対応に失敗した事例ではない。

契約による監督も一様ではなかった。8件のうち5件は必要な成果指標を全面的に定め、1件が部分的、2件はセキュリティー指標がなかった。退役軍人省のSaaS契約には指標があるが、測り方と履行確保の仕組みがない。PaaSでは一般的なウェブ上の文言を示しただけで、機関と事業者の間で指標を定めた契約を提示できなかった。米中小企業庁はPaaSで必要な契約を持つ一方、SaaSでは持たなかった。測れない目標は、事業者に仕事を要求する道具にならない。

GAO報告書全文の勧告は12件。国務省に2件、退役軍人省に5件、米中小企業庁に5件だった。運輸省は追加資料で暫定的な指摘を解消し、最終版で勧告を受けていない。証拠が出れば監査の結論は変わる。ほかの機関にも必要なのは、日付入りの資料確認、ログ点検、連絡訓練、測定可能な契約条件だ。

Heng Luは制度の宣言より実際に動く手順を問う。この監査でその問いに当たるのは、事業者の報告を読んだ日付、監査ログの確認記録、事故訓練の結果だ。サーバーが事業者の建物にあっても、警報を見たかどうかを説明する責任は機関に残る。

Sources