Summary

  • 米政府監査院は2026年6月時点で、重要インフラ９分野の民間事業者に関係する既存のサイバーセキュリティ規則117本を、37の連邦機関から確認した。80本に３種類の積極的な報告義務のいずれかがあり、そのうち48本は事故報告を求めた。
  • 事故の定義、報告の引き金、期限、項目、宛先が重複または衝突する可能性がある。80本という数は報告類型の重なりを示し、一社が80通の重複報告を出した実績を表さない。
  • 連邦規制の調整を担うのは国家サイバー長官室、ONCD。2026年７月の監査時点で、新たな国家戦略の実施計画は公表されず、主担当と次の作業は外から確かめられなかった。

攻撃は一度、問い合わせ先は一つとは限らない

不審な通信を見つけても、現場はすぐには侵入の範囲を言い切れない。隔離すべき機器、止めずに守るべきサービス、通知を受けるべき相手を順に判断する。その最中に、法令上の「報告対象」を判定する。行政側には早い警告を受ける理由がある。だが事業者が別々の定義を読み替えている時間は、同じ人員が状況把握に使える時間でもある。

米政府監査院の2026年７月報告は、制度の厚みを数値で示した。37機関が定めた既存の117規則は、９つの重要インフラ分野の民間主体に関係する。うち80規則には、事故、セキュリティ計画や技術情報、監査や評価の結果という３類型の少なくとも一つを自発的に提出する義務があった。事故が48本、計画などが52本、監査・評価が25本。一つの規則に複数類型が入るため、合計は規則の数と一致しない。80規則には少なくとも125件の類型別要件があった。

事故報告の48規則を出した機関は27に上る。原報告書が問題にするのは、同じラベルを貼った規則の数だけではない。事故と呼ぶ閾値、発覚から報告までの時間、どの事実を求めるか、どこへ送るかが違う。事業者は調査の途中で、まだ確定していない一つの事象が複数の時計を始動させたかどうか判断しなければならない。期限を守るため早く出した報告ほど、後で訂正が必要になる可能性も高い。

監査院は潜在的な重複を分類した。80規則すべてが特定の企業に同じ報告を二度要求したと立証したわけではない。監査は実際の事故で失った対応時間や費用も測っていない。次に必要なのは対象を絞った照合表だ。一社のどの業務にどの規則がかかり、一つの事象について何時から何時までに何をどの機関へ送るのか。そこまで示せば、別々の公益のための質問と、単なる二重入力を区別できる。

金融業では十五の既存規則が交差する

監査院が挙げた金融分野には、事故の報告に関する既存規則が15本ある。一つの会社がその全部に従うという話ではない。銀行業務、証券取引、商品取引など、その会社の活動によって複数の規則が重なる可能性がある。監督機関にはそれぞれ違う責務がある。しかし一つの事故を別々の制度へ届ける仕事を、事故対応中の企業だけに設計させれば、連邦政府は自らの受信経路を把握しないままになる。

監査当時、重要インフラのサイバー事故報告法CIRCIAに基づく横断的な規則は提案段階だった。117本の既存規則には含まれない。CISAは、実質的に同じ内容の報告なら一つの提出で二つの義務を果たす例外を検討していた。事業者に必要なのは「検討」という言葉の先だ。適用条件、共通項目、転送の責任、両方の受領を証明する記録がそろって初めて、一つの提出が複数の時計を止められる。

事故以外の書類でも同じ構図が見える。複数の連邦機関にサービスを提供する事業者は、似たセキュリティ計画や監査資料を何度も提出する場合がある。交通分野の事業者は事業内容に応じ、最大７本の連邦規則に基づく計画提出に直面し得る。各機関は自分が受け取った資料を数える。版を合わせ、差分を説明し、送達を確かめる費用は企業側に積もる。

司令塔の名前はある。運行表がない

議会はONCDに連邦のサイバー規則を調整する役割を与えた。事故報告評議会の作業を受け、国土安全保障省は2023年に８項目の勧告をまとめた。対象となる事故の定義、期限、報告を始める条件をそろえる提案が含まれる。規制機関の横断フォーラムも存在し、2026年３月の国家戦略も調和と負担軽減を優先事項に掲げた。

監査が追った進捗は厳しい。横断フォーラムは2024年末から活動していなかった。2026年５月までに国土安全保障省は８勧告への対応状況を報告していない。監査院は2025年９月と2026年６月にONCDへ情報を求め、後者の時点でも回答を得られなかった。７月には新戦略の実施計画も公開されていなかった。誰が共通の定義を決め、誰が期限のずれを直し、誰が一回の提出を複数機関の受領として認めるのか。運用の主語がまだ見えない。

公開すべき地図は簡潔でよい。規則、対象者、発動条件、起算時点、期限、必要項目、受け手、法的に再利用できる提出、受領通知を一行ずつ結ぶ。更新責任者も明記する。二つの分野にまたがる事業者と机上演習を行えば、技術対応の時計と報告の時計を別々に測れる。政府が必要な情報を早く得られたか、現場がサービスを守る手を止めずに済んだかを確かめられる。

報告義務には理由がある。理由のある義務ほど、届く道筋をはっきりさせるべきだ。次の警報が鳴ってから窓口の関係を調べ始める制度は、時計の数を誇っている場合ではない。

出典：米政府監査院の報告ページ、同院の原報告書。