要約

  • Executive Order 14158はUSDSに未分類の連邦システムへの迅速で広いアクセスを求めたが、後のGAO監査ではDOGEチームの権限を再構成できなかった。
  • 4機関は23超のシステムへのアクセスを報告した。SBAとVAは対象システムを示さず、残る4機関もアカウントの役割・権限・ログの確認要請に応じなかった。
  • CFPBは関連するサイバー・プライバシー事故はなかったと説明し、管理策も示した。GAOはアカウントやログを直接確認できなかった。
  • 問われるのは、利用者、承認された役割、操作記録、アクセス停止日を一つの線で結べるかだ。

GAO-26-108192が示すのは二つの数字だ。4機関はシステムへのアクセスを報告し、2機関は対象システムを示さなかった。前者が報告したアクセス先は合計23超のシステムに及ぶ。提出資料からは権限の水準を確定できず、各アカウントの役割や操作ログも確認できなかった。

欠けているのは、人物、アカウント、システム、権限、操作記録を結ぶ線だ。Executive Order 14158は広いアクセスを命じた。その命令がどう動いたかを示す証拠は、同じ精度では残っていない。

命令はアクセスを認めた。記録は途中で途切れた

2025年1月20日の命令は、法律の許す最大限の範囲で、U.S. DOGE Serviceが非機密の行政記録、ソフトウェア、ITシステムへ「full and prompt access」を得られるよう各機関に求めた。目的は政府技術の近代化と効率化だった。GAOが調べたのはCFPB、Department of Education、NOAA、SEC、SBA、VAの6機関である。

CFPB、Department of Education、NOAA、SECは、契約、助成金、人事、財務に使う23超のシステムにチームがアクセスしたと報告した。一部には個人を特定できる機微情報が含まれていた。この合計は各機関の報告に基づく。GAOによると、提出資料からアクセスの範囲と水準は特定できなかった。SBAとVAは対象システムを示さなかった。

USDSの一時組織は2026年7月4日に終了した。GAOは、命令がより広いUSDSそのものを終了させたわけではなく、USDSと各機関のDOGE要員はその後も活動できると指摘した。組織の終了日だけでは、アカウントや出向の終了日は分からない。9月の報告書も、アクセス全体を描き切れていなかった。

権限表は可能性を示し、ログは実行を残す

システム名だけでは、その中で利用者が何をできたかは分からない。閲覧だけのアカウントもあれば、データの変更や他人の権限設定ができるアカウントもある。GAOはシステム情報を出した4機関に対し、各アカウントの役割、役割に結び付いた権限、操作履歴のログを確認させるよう求めた。2026年9月までに、4機関はこの観察要請に応じていなかった。

CFPBは、2人のチームメンバーが自分や他人にシステム権限を付与できる権利を持っていたが、実行しなかったとGAOに説明し、CIOもその説明を確認した。同局はDOGEチームに関連するサイバー・プライバシー事故はなかったと報告した。GAOはこれらの説明を記録した一方、権限の付与や監視を示すシステムとログを直接確認できなかった。

管理策の書類もそろわなかった。 6機関のうち、CFPB、Department of Education、SECが限られた管理資料を提出し、NOAA、SBA、VAは関連する統制資料の要請に回答しなかった。CFPBは6人へのプライバシー説明会を記録し、セキュリティ研修の完了は4人分を示したが、全員分の証拠は出さなかった。Department of Educationは6人中5人が署名した情報システム行動規則を提出し、残る1人分は複数回の要請後も提出しなかった。SECは1人の身元調査が進行中で、別の調査は2017年に行われたと示したが、後者が問題なしと判定されたか確認しなかった。

監査の線は、本来見るべき場所で途切れる

GAOはNIST SP 800-53から15の管理策を選び、システムアクセス、完全性、機密性、利用監視を調べた。監査で確かめる記録は具体的だ。アカウントの所有者、付与された権限、研修と誓約の完了、操作ログ、離任時の停止日。その接続を示す証拠をGAOは求めた。

6機関の説明は異なる。CFPBは重複、業務妨害、追加作業の負担を挙げた。Department of Educationは係争中の訴訟と機密性への懸念を述べた。SECは今回の監査に対するGAOの権限を争い、NOAAも権限がないとの見解を示した。VAは理由を示さず回答しないと伝え、SBAは9月時点で未回答の理由を説明していなかった。GAOは31 U.S.C. §§716、717に基づく記録取得と評価の権限を示し、異議はその権利を弱めないとした。

機関は個人情報やシステム設定を保護したまま、監査人に役割、権限、承認日、ログを閲覧させられる。GAOは機微な記録を保護し、各機関と閲覧方法を調整してきたと説明する。管理された閲覧で、公開資料に個人情報や設定を載せずに権限記録を検証できる。

GAOが記録したのは証拠の連鎖が途切れた状態だ。4機関は23超のシステムを報告したが、アカウントの役割から操作ログまでを検証できる資料を示さず、残る2機関は対象システムを示さなかった。公開記録からは、各アカウントがアクセスできたシステム、可能な操作、実際に記録された操作を確認できない。

広いアクセス命令を出すのは簡単だ。説明責任は、受け入れ側の機関が権限表と対応するログを示せるところから始まる。

出典