要約

  • 2026年10月28日の監察総監報告によると、米連邦準備制度理事会は半年ごとに緊急時の訓練を行い、部門別の業務継続計画を備える。しかし個別の情報システムについて、必要な技術的復旧手順をすべて含む計画は作っていない。
  • 業務影響・業務過程の分析は情報、内部リスク、国家安全保障を扱う部署が担い、技術面の緊急対応はIT部門が担う。両者の調整と更新を定める共通の方針はない。業務影響分析の大半は2023年以前から更新されていなかった。
  • 情報セキュリティー計画の成熟度は５段階中２で、連邦基準が有効とする４を下回った。採点方法の変更と統治分野の追加が過年度比較に影響する。過去の勧告17件のうち13件は未完了で、理事会は新たな８件を受け入れた。

部門の計画から一台のシステムまで

監察総監の2026年公式報告書が調べたのは、機密性の高い金融・監督情報を扱う連邦準備制度理事会であり、すべての地区連邦準備銀行ではない。理事会には部門別の継続計画があり、緊急時の訓練も半年ごとに実施している。監査で見つからなかったのは、各情報システムを対象に、求められる内容を備えた復旧計画だった。

ある部門の仕事を先に戻すと決めても、それを動かすシステムを何から直すかは別の決定である。復旧の優先順位、データを戻す時点、代替処理、訓練方法、具体的な復旧作業を記す必要がある。監察総監は、部門の継続計画とシステムの安全計画に、これらの技術的手順が十分にないとした。理事会の担当者は安全計画に情報を入れていると説明したが、監査官が確認した文書には個別システムの復旧手順が欠けていた。

訓練があることは、この欠落を小さくしない。部門単位の演習は連絡や意思決定の流れを確認できる。しかしシステムをいつ、どの状態まで戻せるかを証明するには、対象を特定した手順と試験結果が要る。障害が起きてから両者をつなぐのでは、最も時間のないときに優先順位を決め直すことになる。

同じ業務に二つの版がある

理事会の情報・内部リスク・国家安全保障プログラム部門（IINS）は業務影響分析、業務過程分析、継続計画を扱う。IT部門は技術的な緊急時対応を扱う。監察総監は、両部門の役割の照合、協力の方法、記録の共同更新頻度を定める方針を確認できなかった。

記録の古さが具体的な結果として現れている。業務影響分析の大半は2023年以前から更新されず、業務過程分析の半数超は2024年以前から更新されていない。2025年に改めた過程分析の一部も、対応する影響分析へ反映されていなかった。片方が新しい業務を前提にし、もう片方が古い優先順位を持つ。復旧手順の調整より前に、まずどの文書が現在の判断なのかを決めなければならない。

監察総監は、そのため重要なシステムを中断後に安定して適時に戻せるという確証が限られると評価した。実際の障害や復旧失敗を認定したわけではない。問題は、業務の切迫度と技術的な復旧能力を誰が同じ表で判断するかだ。

システム台帳にも同じ穴がある。理事会自身の基準が求める32の項目のうち10項目が欠け、情報の種類、認可の境界、責任者、クラウドサービスの種類などが含まれる。個人情報を持つシステムや重要業務を支えるシステムの分類に誤りがあり、別の管理ツールに載る一部システムも台帳から漏れていた。欠けたのは「10台」ではなく「32項目中10項目」。誰が所有し、どの業務に必要かが曖昧な台帳から正しい復旧順序は作りにくい。

評点２の読み方

監察総監の公式要約は、理事会の情報セキュリティー計画を５段階中２と評価した。方針は定められたが実施が一貫せず、連邦側が「有効」とみなす管理・測定可能な段階４に届かない。2024年度は４、2025年度は３だった。ただし採点は最頻値方式から平均値方式へ変わり、サイバー統治が独立した評価分野となり、新たな弱点も加わった。３つの数字を同一条件で測った劣化曲線として扱うことはできない。

過去の年次監査から残った17件の勧告のうち13件は未完了で、４件は理事会の対応を受けて終了した。今回の報告には新たに８件がある。全庁的なIT統治、台帳、多要素認証の例外、脆弱性、監視、復旧、クラウド契約が対象だ。最高情報責任者と最高財務責任者は監査結果と勧告に同意し、予定する対応を示した。同意書には実行すべき仕事が書かれる。個々のシステムの復旧手順は、その後に作らなければならない。

中心の勧告は IINS と IT部門に業務影響・過程分析を協調させ、システムごとの緊急時計画を求めるものだ。次に判断を変える資料は、日付のある共同方針、責任者を備えた台帳、対応する業務分析と実際に試した復旧手順になる。理事会は訓練を続けてきた。これから問われるのは、その訓練が一台のシステムを戻す決定まで届くかである。

出典