Summary

  • 2026年9月時点で、対象の22民間連邦機関のうち15機関はネットワーク接続型IoT・運用技術機器の初期台帳を作っていた。維持していたのは11機関、八種類の必須情報をすべて記録していたのは10機関で、三条件を満たしたのは七機関だった。
  • HUDの新しい資産管理システムは旧システムが報告しなかったIoT機器を160台超発見した。商務省と司法省は必須項目をそろえていたが、省全体での定期的な更新を行っていなかった。行政管理予算局（OMB）は2026会計年度向けの更新指針と期限を決めた監督を欠いていた。

機器は登録を待ってくれない

2026年9月30日のGAO報告が扱うのは、建物の制御装置、センサー、研究室や医療施設の専門機器など、現実の設備と結び付くネットワーク機器だ。守るには、何が接続され、誰が責任者で、どのソフトウェアを動かし、どこへ通信するかを知らなければならない。OMBは2023年12月に民間機関へ全組織の機器台帳を求め、2025年1月に内容を更新した。初期台帳の期限は2024年9月。その後も保守が必要だった。

2026年9月には、七機関がなお最初の台帳を作っている途中だった。15機関には初期台帳があり、11機関は維持し、10機関は八種類の必要項目をそろえた。三つを同時に満たしたのは七機関だ。三つの数字は別々の条件が重なった結果である。作った瞬間に完成していても、機器の設置や更新に追随しなければ古くなる。逆に更新しても、肝心な項目が空欄なら判断に使えない。

八種類の項目は資産の識別子、説明、分類、システム責任者または保安担当者、製造元、ソフトウェアとファームウェアの版、ネットワーク接続とインターフェース、適用するセキュリティ対策だ。担当者が空欄なら異変の確認先が曖昧になる。版が分からなければ必要な更新との照合が難しい。接続先を欠けば、その機器がどこへ影響を及ぼすかを追いにくい。台帳の目的は台数の発表より、次の行動につながる情報を残すことにある。

HUDでは、見る道具を変えた途端に見える機器が増えた。当局者によると、新しいハードウェア資産管理システムは旧システムが報告していなかったIoT機器を160台超特定した。全組織で使う台帳のために新システムを導入中だが、完了日は示していなかった。160台は旧台帳から漏れた機器の数であり、GAOが侵入被害として挙げた数ではない。現場の物と本部の記録がずれる具体的な幅だ。

項目が埋まっていても、日付が止まれば古地図になる

商務省の初期台帳には八種類の情報が入っていた。しかし各部局が独自に維持を担い、省全体で定期的に更新していなかった。司法省も項目はそろっていたが、職員の入れ替わりと人手不足を理由に継続的な更新ができていなかった。列を足す仕事と、設置・交換・廃止のたびに全組織の記録を直す仕事は違う。

情報自体が不足する機関もある。運輸省は台帳と維持計画を持つ一方、八項目のうち完全だったのは二つ、部分的が一つ、残り五つはなかった。財務省の初期台帳には必須の八項目が一つも入らず、定期更新もされていなかった。エネルギー省は四項目を満たし、一つが部分的、三つが欠けた。担当者は意味の乏しい情報や機微性を理由に一部を削除したと説明した。発見、継続、内容、機微情報の扱いはそれぞれ別の実務問題だ。

GAOの報告書全文には三条件を満たした機関も示されている。教育省、国土安全保障省、国務省、環境保護庁、General Services Administration、NASA、人事管理局の七機関だ。NASAは達成したうえで、機器発見ツールが一般IT、IoT、運用技術を確実には分類できず、敏感な機器への能動的な問い合わせは運転を乱す可能性があると述べた。調査方法は設備の性質に合わせる必要がある。

22機関のいずれもIoT機器に関するサイバーセキュリティ要件の免除を報告しなかった。これは報告された免除の状態だ。見つけていない機器については、例外を認めるかどうかの検討も始められない。

OMBが期限を示さなければ「作成中」は長く続く

GAOによると、OMBは2026会計年度を対象にした更新指針を出しておらず、決められた期限内で実施を監督していなかった。機関は技術的な制約、予算と人手、他の優先業務を挙げた。中央の予算管理機関が重要度と日付を明確にすれば、現場は必要な人員を割り振りやすい。次の確認日がなければ、機器が増える間も台帳は「作成中」に置かれる。

GAOの勧告は一件。OMBにIoT・運用技術機器の新しい指針、優先度と実施日程、各機関への監督を求めた。OMBは報告書案にコメントしなかった。日付のある指針と、実際に更新された機器情報が次の評価を変える。制度の説明より稼働の実態を見ようというHeng Luのノートは視点を与え、連邦機関の事実はGAOの一次資料に置く。

Sources