T-Mobile US：顧客データをアイデンティティガバナンスの試金石とした侵害の記録

要約

• 確認:2021年のインシデントでは、攻撃者が通信機器への正当な接続になりすまして T-Mobile の研究所にアクセスし、サーバーのパスワードを推測、環境間を移動、パスワードスプレーを実行し、データベースのバックアップに到達した。その後の集団訴訟和解では、影響を受けた人の総数は7,660万人とされたが、データ項目は対象集団によって大きく異なる。
• 確認:FCC の統合記録には、2022年後半から2023年初めにかけての3件の追加インシデントが記載されている。従業員の ID が侵害されたことによる MVNO 管理プラットフォームへの不正アクセス、フィッシングで取得した小売店資格情報を用いたパンデミック時のリモート販売アプリケーションへのアクセス、そして約3,700万件の現行ポストペイドおよびプリペイドアカウントに関連するデータを API が返すことを許した人為的な権限設定ミスである。
• 評価:これらは同一のエクスプロイトが4回繰り返されたわけではない。これらは全体として、デバイス信頼、パスワード、従業員アクセス、リモートアクセスの例外、アプリケーション認可、顧客データの範囲にわたるアイデンティティガバナンスの問題を明らかにしている。米国内に物理的に保存するだけでは、これらの経路のいずれも防ぐことはできなかっただろう。
• 説明責任:犯罪行為者が侵入と悪用に対して責任を負う。T-Mobile は、環境、資格情報、API 許可、保有データセット、監視、例外のライフサイクル、および顧客対応を管理していた。その後の3億5,000万ドルの集団訴訟基金、1億5,000万ドルのセキュリティ支出コミットメント、FCC の制裁金、そして強制力のある管理プログラムは実質的な対応であるが、支出はインプットに過ぎない。持続的な是正には、アクセス、データ最小化、検知、ガバナンスの各管理策が長期にわたって機能している証拠が必要である。

重要な数字はひとつではない

2021年の T-Mobile のデータ侵害は、単一の明確な数を割り当てることが困難です。なぜなら、公表された情報は時期によって異なる対象集団やデータフィールド、集計単位を記述していたからです。2021年8月20日、T-Mobile は、現行のポストペイド契約者約780万件のアカウントで、氏名、生年月日、社会保障番号、運転免許証番号またはその他の本人確認情報が流出したと発表しました。また、このグループについては電話番号や端末識別子も後日含まれています。別の530万件の現行ポストペイド契約者アカウントでは、1つ以上のそれほど機密性の高くない情報がアクセスされました。約4,000万人の旧契約者または見込み顧客のファイルには、氏名、生年月日、社会保障番号、本人確認情報が含まれていました。その他のグループには、旧契約者66万7,000件、および氏名、電話番号、アカウント PIN が露出したアクティブなプリペイド契約者約85万件が含まれます。(T-Mobile 2021年8月20日の調査更新情報)

これらの数字を単純に合算して、影響を受けたユニークな個人の明確な数とみなすべきではありません。アカウントは個人とは限らず、一人の人が複数の顧客状態でカウントされる可能性があり、また最初の公開内容は調査員がさらにファイルを特定するにつれて変わりました。後に Federal Communications Commission が発表した同意判決では、集団訴訟の目的で7,660万人の影響を受けた消費者という数字が用いられています。これは和解を議論する上で最も有用な統合された人口ですが、それでも7,660万人全員が同じフィールドを失ったことを意味するわけではありません。判決では、顧客専有ネットワーク情報（CPNI）の影響を受けたのはごく一部であり、はるかに多くの人々の ID や連絡先記録が露出したと記されています。(FCC 同意判決)

この区別が重要なのは、被害はデータの組み合わせに応じて生じるためであり、プレスリリースの規模に応じて決まるわけではないからです。社会保障番号、生年月日、政府発行 ID、電話番号、端末識別子が流出した現行のポストペイド契約者は、氏名と住所だけが流出した人とは異なるリスクに直面します。PIN が露出したプリペイド契約者は、即時のローテーションが必要なアカウント制御の問題に直面します。見込み顧客は、現在は通信事業者とのアクティブな関係がないかもしれませんが、リセットできない永続的な識別子を抱えています。旧顧客は、なぜ通信事業者がまだその記録を保持しているのか、そしてそれが依然として必要だったのかを当然のこととして問うことができます。

カリフォルニア州司法長官は2022年3月、この侵害が5300万人に影響を与え、その中には600万人以上のカリフォルニア州民が含まれていると説明しました。その注意喚起は、データの大部分が販売用に出回っているのが発見された後の消費者保護に焦点を当て、信用凍結と監視を促しました。これは、後に示された7,660万人の和解対象人口が虚偽である証拠にはなりません。これは、公表された数字が日付、目的、定義に結びついていたことを示す証拠です。(カリフォルニア州司法長官 消費者向け注意喚起)

したがって、適切な説明責任は見出しの合計数ではなく、データマップから始まります。影響を受けたすべての集団について、通信事業者は、関係の種類、記録システム、フィールド、機密性、保持の正当性、アクセス経路、ユニークな個人の数、アカウントの数、通知経路、および提供された是正策を明らかにできるべきです。そのマップがなければ、通知は画一的になり、管理テストはリスクを生み出したレコードから切り離されてしまいます。

2021年の出来事は、「顧客」という言葉が重要な義務を隠す可能性がある理由も明らかにしました。侵害された母集団には、現在の顧客、元顧客、および見込み顧客が含まれていました。T-Mobile はその多くから現在のサービス収益を得ておらず、中には一度もアカウントを開設したことがない人もいるかもしれません。それでも同社は、損害を引き起こす可能性のある ID 情報を保持していました。責任は、アクティブな課金ステータスではなく、保管に伴うものです。現行のアカウントだけを中心に保護策を組織するデータガバナンス・プログラムは、まさにこの出来事をこれほど大規模にしたロングテールを見逃すことになります。

アクセス、発見、封じ込めのタイムライン

最も詳細な公開された再構築は、FCC が2021年、2022年、2023年のインシデントに関する調査を解決した、侵害から3年後に行われました。この同意判決は交渉による和解であり、裁判の判決ではありません。T-Mobile と FCC 執行局は、該当期間中に実施されていたセキュリティプログラムとポリシーが適用される注意義務や規制に違反していたかどうかについて、明確に見解を異にしていました。その境界線があるにせよ、事実関係の説明は T-Mobile が最初の数週間に開示できたものよりはるかに具体的です。

2021年3月18日:T-Mobile のその後の証券取引委員会（SEC）提出書類では、侵入者がこの日かその前後に同社のシステムの特定領域に不正にアクセスしたとされています。同社はデータの取得がそれより後の、2021年8月3日ごろに始まったとしています。この時間差は重要です。初期アクセス、水平探索、データ窃取は別個の段階でした。(T-Mobile 2021年第3四半期 Form 10-Q)

2021年8月より数か月前:FCC によると、攻撃者は数か月にわたって偵察を行っていたようです。攻撃者は通信機器を介して、正当な接続になりすますことでラボ環境にアクセスしました。そこから、特定のサーバーのパスワードを推測し、ネットワーク環境を移動し、別のラボに到達し、さらにスキャンし、パスワードスプレー攻撃を行いました。これらの手順により、データベースのバックアップファイルやその他の情報を含む環境へのアクセスが開かれました。

この一連の流れは、露出したルーターが侵害を引き起こしたという、よくある表面的な説明よりも強力な証拠です。これは一連の決定の連鎖を特定しています。機器は接続アイデンティティを受け入れました。サーバーは推測されたパスワードを受け入れました。環境境界は移動を許可しました。2つ目のラボは、有用な期間にわたりスキャンとパスワードスプレーを許容しました。バックアップデータはその経路から到達可能なままでした。監視はデータが外部に持ち出される前に一連の流れを止めませんでした。各段階には異なる所有者が存在し、異なる制御の可能性がありました。

2021年8月3日:T-Mobile の完了した法科学アカウントでは、顧客データへのアクセスと取得がこの日かその前後に始まったとしています。FCC の同意判決によると、侵入者の活動の最後の証拠は8月13日でした。

2021年8月12日～15日:T-Mobile は8月12日に攻撃の可能性を認識し、調査を開始し、8月15日に攻撃を確認しました。最初の公開情報では、悪意ある行為者によって自社のシステムが侵害されたという主張がオンラインフォーラムでなされたという情報を得たとしています。これは、外部からのシグナルが発見のきっかけとなったことを意味します。これは T-Mobile が内部アラートを全く持っていなかったことを証明するものではありませんが、公開記録には、データが販売用に出回る前に数か月に及ぶアクセスを遮断した内部検知があったことは示されていません。

2021年8月16日～27日:T-Mobile は範囲が変わるにつれて段階的に公式声明を発表しました。CEO の Mike Sievert は、同社が情報露出を防ぐことができなかったことを認め、Mandiant が調査を支援したと述べ、テスト環境へのアクセスに続いてブルートフォースやその他の手法で顧客データを含むサーバーに移動したと説明しました。T-Mobile は2年間の ID 保護を提供し、PIN とパスワードの変更を推奨し、露出したアクティブなプリペイド PIN をリセットし、アカウント乗っ取りや詐欺対策を推進しました。また、Mandiant や KPMG との長期的な協力を発表し、セキュリティ管理策を評価し、複数年にわたる変革を構築するとしました。(T-Mobile CEO の説明)

2021年8月15日～10月8日:FCC によると、T-Mobile はネットワークパスワードをローテーションし、ファイアウォールルールを追加し、機器の接続を遮断し、その他の措置を講じてアクセスを遮断しました。この封じ込め期間の長さは、攻撃者が10月まで活動していた証拠とは解釈すべきではありません。判決では活動の最後の証拠は8月13日とされています。むしろ、インシデントの終結には、単にデータ持ち出しが止まったことを観察するだけでなく、経路を排除することが含まれることを示しています。

2022年7月～2023年6月:T-Mobile は、請求、弁護士費用、管理のための3億5,000万ドルの基金を提供し、2022年と2023年にかけてデータセキュリティおよび関連技術への増分支出として総額1億5,000万ドルをコミットする集団訴訟和解に合意しました。この合意には、責任、不正行為、または過失の承認は含まれていません。連邦地方裁判所は2023年6月に和解を承認しましたが、弁護士費用をめぐる控訴は継続しました。(T-Mobile 2022年7月 Form 8-K)

第8巡回区控訴裁判所は後に弁護士費用の認定を破棄し、その問題を再検討のために差し戻しました。裁判所は、和解集団が推定7,660万人に関係するという事実の前提を覆したり、T-Mobile の根底にあるセキュリティ責任について裁定を下したりしたわけではありません。この控訴審の意見は、消費者基金、弁護士費用、および別個のセキュリティ支出コミットメントを区別している点で有用です。(第8巡回区控訴裁判所意見)

この時系列は、長い潜伏期間、短い窃取期間、外部からの兆候による発見、そして訴訟、顧客サポート、複数年プログラムを通じて継続した対応を確立しています。これは、すべての内部アラート、正確な機器構成、侵害されたサーバーの名前、または完全なトポロジーを確立するものではありません。それらは依然として正当な証拠の欠落であり、噂からネットワーク図を埋め合わせる誘因ではありません。

4つのインシデント、4つのアイデンティティの形態

FCC の同意判決は4つの調査を統合しています。これらを1つの反復的なエクスプロイトとして扱うのは不正確です。これらを無関係な不運として扱うことは、共通の制御面を見落とすことになります。各インシデントは、あるシステムが、人物、デバイス、接続、またはアプリケーションが持つべきでない権限を持っていると判断したことに関係しています。

2021年のラボとバックアップの経路

最初のアイデンティティは、通信機器に対して提示された接続でした。攻撃者は正当な接続になりすまし、ラボに到達しました。これは単なるユーザー・パスワードのイベントではありませんでした。機器とネットワーク経路にもアイデンティティがあります。デバイス証明書、鍵、送信元属性、構成状態、予想される通信パターンはすべて、接続が受け入れられるかどうかに貢献する可能性があります。

次のアイデンティティはサーバーアカウントでした。パスワードの推測とスプレーが成功し、その後攻撃者は環境を越えて移動しました。パスワードは技術的に有効でありながら、運用上は信頼できない場合があります。ほとんど使用されないサーバーID が通常とは異なる経路から認証し、ネットワークを列挙し、バックアップデータに到達する場合、制御システムはコンテキストを評価しなければならず、文字列が一致した時点で停止してはなりません。

最後のアイデンティティは暗黙的でした。ラボ内または隣接環境にいること自体が、移動を続けるのに十分な信頼を与えたようです。NIST のゼロトラストアーキテクチャガイダンスはこの前提を否定しています。それは、信頼は物理的またはネットワーク上の場所だけから生じるべきではなく、アクセスはユーザー、資産、リソースを中心に評価されるべきだと述べています。この原則は、特定の商用ゼロトラスト製品がそれを防いだであろうと主張することなく、この出来事に直接当てはまります。(NIST SP 800-207)

2022年後半の MVNO プラットフォームのインシデント

2022年後半、脅威アクターは、MVNO（仮想移動体通信事業者）の再販業者が自社の顧客にサービスを提供するために使用する T-Mobile の管理プラットフォームに不正アクセスしました。このプラットフォームには、それらの下流顧客の情報が含まれていました。FCC によると、アクセスにはいくつかの手口が関与したようです。1人の T-Mobile 従業員の違法な SIM スワップ、別の従業員へのフィッシング、および少なくとも1件の出所不明の侵害です。

このインシデントは、通常の SIM スワップの話を逆転させています。通信事業者の従業員自身の回線が、通信事業者の業務への経路の一部となりました。この従業員は単にパスワードを知っている人ではありませんでした。電話番号、デバイス、または関連チャネルは、どうやら ID プロセスを無効にするのに有用でした。この出来事は、通信事業者における従業員の ID 管理策が、通信ベースの要素自体が攻撃されうることを前提としなければならない理由を示しています。

また、卸売り関係をまたがる説明責任を複雑にしています。プラットフォームは T-Mobile に属し、再販業者がそれを使用し、露出した記録は再販業者のエンドユーザーに関するものでした。ある影響を受けた MVNO は、2023年1月10日に CPNI ポータルにインシデントを報告し、T-Mobile は2月6日に報告書を提出しました。下流の事業者は、顧客を保護するのに十分なテレメトリと通知権限を必要とする一方で、プラットフォーム所有者はテナント間でアクセスを相関させる必要があります。卸売り契約は、プラットフォームのアイデンティティ境界を消滅させるわけではありません。

2023年初頭の販売アプリケーションのインシデント

2023年初頭、脅威アクターは盗まれた T-Mobile アカウントの資格情報を使用して、フロントラインの販売アプリケーションに到達しました。COVID-19 パンデミック中に業務を維持するためにリモートアクセスが有効化されていました。アクターは数十人の小売店従業員の資格情報を取得し（T-Mobile は標的型フィッシングによるものとみています）、限定的な量の CPNI を含む顧客データを閲覧しました。

T-Mobile は、顧客のポートアウト苦情が増加した後、2月下旬にこの事態を認識しました。同社の調査により、3月30日頃に従業員資格情報の侵害が特定され、CPNI 報告書が4月11日に提出されました。この検知経路は重要です。顧客は、企業が資格情報キャンペーンを完全に再構築する前に、回線レベルで完全性または制御の兆候を経験していました。

リモートアクセスは、有効化された時点で必ずしも誤りだったわけではありません。公衆衛生上の緊急事態において、フロントラインの販売およびサービス業務を維持することは、正当な事業継続上の判断でありえます。テストすべきガバナンスの失敗は、その例外規定に所有者、定義された範囲、強力な認証、行動監視、最小権限、そして有効期限または再承認日があったかどうかです。「一時的」に技術的な終了状態がない場合、緊急時の管理策は通常の攻撃対象領域となります。

3,700万アカウントの API インシデント

2023年1月5日、T-Mobile は単一の API（アプリケーションプログラミングインターフェース）を通じた不正な情報取得を特定しました。同社の SEC 提出書類によると、発生源を追跡し、1日以内に活動を停止させました。アクターは2022年11月25日頃からデータの取得を開始していました。この API は、氏名、請求先住所、電子メールアドレス、電話番号、生年月日、T-Mobile アカウント番号、回線数、およびプラン特長を返すことができました。T-Mobile は、支払いカードデータ、社会保障番号や納税者番号、運転免許証番号やその他の政府発行 ID、パスワード、PIN、または金融口座情報は返さなかったとしています。暫定的な対象は、約3,700万件の現行ポストペイドおよびプリペイドアカウントであり、必ずしも全フィールドを持つ3,700万人の一意の個人ではありません。(T-Mobile 2023年1月 Form 8-K)

FCC は後に、欠けていた因果関係の詳細を追加しました。人為的ミスが許可設定の誤りを引き起こし、アクターがクエリを送信してアカウントデータを取得することを許したのです。したがって、T-Mobile が、アクターが自社のシステムやネットワークを侵害または侵害していないという声明は、大規模な不正開示と両立しうるものです。API は、設定されていた機能を実行しました。認可境界が誤っていたのです。

これは、従来の従業員ログインではなく、ワークロードアイデンティティとアプリケーション認可の問題です。安全な API は、呼び出し元を特定し、各データオブジェクトとフィールドを認可し、クエリ量を制限し、列挙を検出し、1つの経路で到達可能なデータを制限する必要があります。NIST のクラウドネイティブなゼロトラストモデルは、ユーザー、サービス、アプリケーションのアイデンティティと、アプリケーションが実行される場所に依存しないきめ細かなポリシー実施を強調しています。これは、攻撃者が最初に対話型シェルを取得しなくても API に到達できる場合に特に関連性があります。(NIST SP 800-207A)

したがって、4つのインシデントは、手法よりも深いレベルで結びついています。2021年には、環境が接続、サーバーパスワード、ネットワーク上の位置を過剰に信頼しました。MVNO のイベントでは、従業員の通信手段とフィッシングの経路が突破されました。販売イベントでは、フィッシングされた従業員の ID が、緊急時から維持されていたリモートアプリケーションに到達しました。API イベントでは、アプリケーションの許可が呼び出し元に過剰なデータを提供しました。アイデンティティガバナンスは、それらすべてのアイデンティティを把握し、狭い権限を割り当て、使用を観察し、コンテキストが変わったときに信頼を撤回するという規律です。

バックアップ、元顧客、データインベントリの問題

2021年の攻撃者はデータベースのバックアップファイルに到達しました。この事実は通常受けるよりも注目に値します。バックアップは事業継続のために作成されますが、広範な過去のデータセットを、本番アプリケーションに適用される管理策の外側に保存する場合、機密性を弱める可能性があります。本番インターフェースは一度に1人の顧客を表示したり、フィールドをマスクしたり、役割固有のクエリを強制したりするかもしれません。バックアップはこれらの区別を、復旧と持ち出しの両方に有用な集中化されたオブジェクトに崩してしまいます。

リカバリコピーは無害なストレージとして扱うことはできません。それらには独自のインベントリ、所有者、暗号化キー、アクセスポリシー、ネットワーク分離、保持スケジュール、リストアテスト、アクセステレメトリが必要です。ラボまたは非本番経路がバックアップデータに到達できる場合、本番/非本番境界は機密性の観点から意味をなしません。FCC の後の同意判決は、本番環境と非本番環境の合理的な分離、およびカバー対象情報が長期間非本番環境で使用される場合の補償的コントロールを要求することで、この問題に直接対処しています。

旧顧客および見込み顧客のデータが存在したことは、別の疑問を提起します。なぜ各レコードがまだ存在していたのか。一部の保持は正当化されうるものです。通信事業者は、税務、不正、信用、紛争、訴訟、規制、またはアカウント履歴の目的で記録を必要とする場合があります。見込み顧客データは、アプリケーションまたは放棄された注文をサポートするかもしれません。この侵害は、すべての履歴記録が不適切に保持されていたことを証明するものではありません。

しかし、「理由があるかもしれない」はガバナンスではありません。防御可能なプログラムは、各データクラスを目的、法的根拠、保持期間、システム所有者、および削除または匿名化のイベントにリンクさせます。プライマリデータベースだけでなく、コピーを特定できます。削除された本番レコードが、テスト環境の抽出物、分析テーブル、または承認された期間を超えた復旧可能なバックアップに無期限に残り続けることがないことを証明できます。

FCC の和解では、T-Mobile に対し、カバー対象情報の収集を正当な事業上または法律上の目的のために合理的に必要なものに限定し、目的終了時に破棄または匿名化するための方針を維持し、データ削減プロセスを運用し、カバー対象情報を含むデータベースの所有者に対して証明プロセスを設けることが求められています。また、最小化、保持、廃棄を支援するための消費者データインベントリも別途要求しています。これらの義務は、セキュリティを記録のライフサイクルに結びつけており、境界の強度だけに結びつけているのではないという点で示唆的です。

API インシデントは、同じ問題をライブデータの方向から示しています。T-Mobile は、API が最も機密性の高い財務および政府発行の識別子を露出させなかったことを強調しました。これは重要な制限制御でした。しかし、返されたフィールドは、身元、連絡チャネル、生年月日、アカウント番号、回線数、プラン特長といった豊富なアカウントプロファイルに組み合わさる可能性がありました。約3,700万アカウントの規模では、「限定的な」フィールドセットであっても、大規模な詐欺、フィッシング、ソーシャルエンジニアリングの攻撃面を生み出します。

データ最小化は2つの次元で機能します。行の最小化は、どの人物や過去の関係を残すべきかを問います。列の最小化は、アプリケーション、ユーザー、またはワークフローがどのフィールドを必要とするかを問います。2021年のバックアップは多数の行を利用可能にしました。2023年の API は、定義された列セットを膨大な規模で利用可能にしました。本格的なインベントリは、両方の質問に答え、さらに3つ目の質問を追加しなければなりません。どれだけのクエリレートでそれらの行と列を取得できるのか、制御機能が介入する前に。

T-Mobile の現在のプライバシー通知では、同社は合理的な限りにおいてのみデータを保持するよう努めており、その処理は主に米国内で行われるが、提携会社やサービスプロバイダーが事業を展開する他の国にデータが転送または処理される場合もあると述べています。この現在の通知は、公約を理解する上で有用ですが、2021年のシステムのマップや特定の保持期間への準拠の証拠として遡及的に投影されるべきではありません。(T-Mobile プライバシー通知)

証拠の基準は運用面にあるべきです。データベース所有者の証明は、検出スキャン、バックアップカタログ、API スキーマ、クラウドストア、データ損失防止の検出結果、削除ログと照合される場合により強力です。所有者があるフィールドはもはや保持されていないと言うが、自動検出がコピーを発見した場合、その不一致は是正項目となります。所有者が長期間を承認する場合、その承認は目的、法的根拠、補償的コントロールを特定すべきです。照合のない証明は、データインベントリを、環境が矛盾する可能性のある別のポリシー文書に変えるリスクがあります。

ローカルストレージはデータ主権ではない

「データ主権」というフレーズは、サーバーを国境内に設置することが管理を確立すると考えられがちです。T-Mobile の記録は、それがなぜ不十分かを示しています。2021年の攻撃者は、受け入れ可能な接続とアカウントのシグナルを提示することでデータに到達できました。2022年のプラットフォーム攻撃者は、従業員のアイデンティティ経路を突破しました。2023年の API は、許可設定が間違っていたためにデータを返しました。これらの失敗はいずれも、攻撃者がサーバーの横に立っていることや、ハードウェアを国境を越えて移動させることには依存していません。

3つの考え方を区別する必要があります。

所在（Residency）は、データが物理的に保存または処理される場所です。国内所在のコミットメントは、一部の外国法制度やサプライチェーンの経路への露出を減らすことができます。また、立地要件のある公共契約をサポートすることもできます。それは、発信者を認証したり、ラボをセグメント化したり、API を制限したり、古いレコードを削除したりするものではありません。

主権（Sovereignty）は、データを支配する権限、つまり法律、規制当局、契約、所有権、法的要求、強制可能な権利に関係します。T-Mobile は、通信法、FCC 規則、証券開示、州のデータ侵害および消費者保護法、ならびに裁判手続きの対象となる米国の通信事業者です。2021年の侵害は、連邦調査、州の注意喚起、私的訴訟、そして後にワシントン州司法長官による訴訟を引き起こしました。これらの重複するフォーラムは、主権が実際に機能する様を示しています。管理は、単にラックの場所ではなく、通信事業者、消費者、サービス、および管轄区域に結びついた法的権限を通じて割り当てられます。

論理的局所性（Logical locality）は、権限が行使される場所を記述します。API ポリシーエンジンは、リモートでデータアクセスの決定を下すことができます。特権的な従業員セッションは、別の州からレコードを管理できます。サービス ID は、クエリが承認されるまで物理的にデータを移動させることなく、内部環境の境界を越えることができます。現代の通信事業者システムでは、信頼が付与される場所が、バイトが置かれている場所よりも重要になりえます。

NIST のゼロトラストガイダンスはこの点を直接的に指摘しています。物理的またはネットワーク上の場所は暗黙の信頼を生み出すべきではありません。FCC の同意判決は、その原則を T-Mobile にとって具体的な義務に変換しています。セグメンテーション、開かれたファイアウォールポートの文書化、セグメンテーション例外のレビュー、本番/非本番の分離、実行可能な場合はフィッシング耐性のある多要素認証、アカウント管理、リアルタイム監視、重要資産インベントリ、および消費者データインベントリが要求されています。重要資産インベントリにおける「場所」は、T-Mobile ネットワーク内の場所を含みます。それは地理的な概念と同様に、コントロールプレーンの概念でもあります。

同意判決は、包括的な国内限定ストレージのルールを課しているわけではありません。独立した評価者は米国市民であることが求められ、プログラムは米国の規制当局の下に置かれますが、技術的な実現可能性、合理性、および補償的コントロールの資格を複数の条項で認めています。適切な結論は、FCC が最も強い地理的意味でのデータ主権を義務付けたわけではないということです。同委員会は、誰がカバー対象情報に到達できるのか、重要な資産がネットワーク内のどこに位置するのか、データがなぜ残っているのか、そしてコンプライアンスがどのように評価されるのかについての証拠を義務付けました。

州の措置は、場所のみのモデルをさらに複雑にします。カリフォルニア州の注意喚起は、記録が侵害された居住者に焦点を当てていました。2025年1月、ワシントン州司法長官は2021年の出来事に関して T-Mobile を提訴し、200万人以上のワシントン州民が影響を受け、同社が管理策の弱点を認識しており、弱い資格情報と監視が寄与し、通知が不十分だったと主張しました。これらは係争中の訴訟における主張であり、裁定された事実ではありません。T-Mobile のその後の年次報告書は、引き続き照会や手続きについて説明しており、集団訴訟和解には責任の承認は含まれていないと述べています。(ワシントン州司法長官による訴訟発表)

したがって、公共機関が通信サービスを購入する場合、所在地要件には付随的な質問が必要です。どのシステムが従業員およびアカウント管理者のアイデンティティを保持しているのか。海外の関連会社やサービスプロバイダーがそれらを処理できるのか。どの法律がそれらの処理者を支配するのか。政府機関のアカウントは、一般消費者向けサポートツールとセグメント化されているのか。ログはどこに保持されるのか。誰がポートアウトや SIM 変更を承認できるのか。機関は事象発生後に証拠を入手できるのか。「データは米国内に留まる」という条項は、その管理セットの一層としてのみ意味があります。

停止を伴わない継続性の問題

2021年から2023年のインシデントが全国的な T-Mobile ネットワークの停止を引き起こしたり、911ルーティングを中断させたり、一般的な通話やテキストの内容を露出させたりしたという公開証拠はありません。API インシデントの提出書類は明示的に限定されたアカウントデータセットについて述べており、FCC の2021年の説明ではごく限られた量の CPNI のみが持ち出されたとしています。公共部門の継続性分析は、この否定的な所見から始めるべきです。機密性の喪失は自動的にサービスの可用性の喪失ではありません。

それでもなお、モバイルアカウントは運用的なアイデンティティであるため、これらのインシデントは継続性にとって重要です。これは電話番号、サービス関係、リカバリチャネル、そして多くの組織にとっては認証や通知のワークフローを制御します。販売アプリケーションの侵害は、ポートアウト苦情の増加を通じて見えるようになりました。不正なポートアウトが成功すると、番号が正当なユーザーから移動し、着信サービスが中断され、メッセージやリカバリコードがリダイレクトされる可能性があります。1つの回線の規模では、アイデンティティの完全性と可用性が同時に失われる可能性があります。

この証拠は、このインシデントで第一応答者、緊急指令係、または政府関係者が回線を失ったことを立証するものではありません。ポイントはより狭いものです。そのメカニズムは回線管理に影響を与え、通信事業者はそのキャンペーンを部分的に顧客の継続性症状を通じて検知しました。公共機関は、国内無線の停止を待つべきではなく、通信事業者のアカウント管理を継続性の依存関係として扱うべきです。

CISA は、無線ネットワークを含む通信システムが、緊急対応、公共警報、911、公益事業調整、運輸、金融、その他のインフラにとって重要であると説明しています。同じ依存性のページは、これらのシステムが地理的に広範囲に及び、主に民間事業者によって提供されていることを強調しています。これが、通信事業者のアイデンティティ管理策が、たとえインシデントが小売やラボシステムで始まった場合でも、公共的な結果をもたらす構造的な理由です。(CISA 通信システム依存性入門)

通信事業者の記録は、公的権限との接点にも位置しています。T-Mobile の2022年透明性レポートは、法的要請、緊急要請、および異なる形式の顧客情報に適用される基準について説明しています。このレポートは、これらの法執行機関や緊急データセットがこれらの侵害で露出したことを示しておらず、それを暗示するために使用すべきではありません。これは、通信事業者が保有するアイデンティティ、アカウント、ネットワークの記録が、時間的に重要な公共機能を支えることができる理由と、不正な変更や開示がマーケティングプライバシーを超えた結果をもたらす可能性がある理由を示しています。(T-Mobile 2022年透明性レポート)

公共機関の継続性計画では、少なくとも4つの通信事業者の故障モードを区別すべきです。無線アクセスまたはコアネットワークの停止は、広範に接続性に影響します。アカウントの乗っ取りは、回線の制御に影響します。顧客データの侵害は機密性に影響し、攻撃者がユーザーになりすます能力を向上させる可能性があります。サポートまたはプロビジョニングプラットフォームの侵害は、通話が正常に続いている間でも管理変更に影響を与える可能性があります。各モードには異なる代替手段が必要です。

重要な回線については、公共機関は、運用上正当化される場合に複数の通信事業者を維持し、ポートアウト保護を登録し、SMS に依存しないフィッシング耐性のある認証を使用し、アカウント変更を要求できる者を制御し、検証済みの通信事業者エスカレーション連絡先を保持し、回線インベントリを調整し、緊急交換をテストすることで、依存度を減らすことができます。また、通信事業者のポータルだけを唯一のコピーにすることなく、電話番号から役割への内部マッピングを保持すべきです。番号が転送されたり、通信事業者のアカウントが調査中にロックされた場合の通信方法も計画すべきです。

通信事業者側の継続性の条件も同様に具体的です。高リスクのアカウント変更には、強力でコンテキストを認識した検証が必要です。従業員ツールは最小限のデータと権限を表示すべきです。リモート小売アクセスは期限切れか再承認されるべきです。ポートアウトの異常は、従業員の資格情報、店舗、顧客の苦情、転送先の通信事業者を相関させるのに十分な速さでセキュリティ監視にフィードされるべきです。顧客は、証拠が保持されている間に疑わしい変更を凍結する経路が必要です。

これが、公共部門の継続性がデータ侵害分析に属する理由であり、インシデントを停止にまで拡大解釈することなく述べる理由です。国内通信事業者のサービス維持能力は、サービスを管理するアイデンティティの完全性に部分的に依存しています。2023年の販売イベントは、侵害された従業員のアクセスと顧客の回線管理の苦情との間に文書化された橋渡しを提供しています。その橋渡しこそが、関連するシグナルです。

修復措置は約束から特定の管理策へと移行した

T-Mobile の最初の対応は3つの層からなりました。アクセスおよび出口経路を閉鎖し、資格情報をローテーションし、ファイアウォールルールを変更し、機器を切断しました。ID 監視、PIN リセット、詐欺対策、アカウント乗っ取り防止ツールを含む消費者保護を提供しました。そして、調査、戦略的計画、ポリシーレビュー、パフォーマンス測定のために Mandiant と KPMG を雇いました。

これらは信頼できる対応カテゴリでしたが、当初の公表は管理ベースライン、完了日、または独立したテスト結果を提供しませんでした。パートナーシップの発表は専門知識が関与したことを示していますが、どの資産がインベントリされたのか、どれだけのパスワード経路が排除されたのか、非本番データが削減されたかどうかは示しません。

集団訴訟和解は資金と時間枠を追加しました。T-Mobile は、2022年と2023年にかけて、3億5,000万ドルの和解基金とは別に、総額1億5,000万ドルの増分セキュリティおよび技術支出をコミットしました。同社の2022年年次報告書では、そのコミットメントを超える実質的な追加投資を意図しており、提案された和解および個別の消費者和解に関連する約4億ドルの税引前費用を計上し、保険回収により一部相殺したと記録しています。(T-Mobile 2022年 Form 10-K)

後のインシデントは、1億5,000万ドルのプログラム全体が失敗したことを証明するものではありません。MVNO と API の活動は2022年後半に始まっており、プログラムが進行中であり、通信事業者資産の変革が即座に完了することは到底考えられません。API の取得は検知から1日以内に停止されましたが、これは意味のある対応結果です。しかし同時に、投資期間中の大規模な API 認可の誤りや従業員 ID の侵害は、支出が成果の指標にはなりえないことを示しています。ドルはツール、コンサルタント、スタッフを購入するかもしれませんが、許可、データ範囲、緊急アクセスが正しいことを証明するものではありません。

2023年の年次報告書までに、T-Mobile は、企業リスクと統合されたサイバーリスク管理、NIST Cybersecurity Framework の利用、定期的な取締役会および委員会への報告、従業員トレーニング、外部専門家、サードパーティリスク管理について公的に説明しました。また、2021年と2023年のインシデント、および継続的なコストの可能性についても説明しました。これらの開示はガバナンスの記録を作成しますが、独立した管理の意見ではなく、依然として企業の説明のままです。(T-Mobile 2023年 Form 10-K)

2024年9月に発効した FCC の和解は、プログラムが何をしなければならないかを指定したため、記録の質を変えました。T-Mobile は1,575万ドルの民事制裁金を支払い、さらに1,575万ドルの増分サイバーセキュリティ支出を2年間で行うことに合意しました。金額よりも重要なのは、同意判決が以下を要求していることです。

• 権限、リソース、および CEO またはその指名者および取締役会への定期的な直接報告を行う上級セキュリティリーダー。
• 500人以上の消費者に影響を与える対象インシデントの確認後48時間以内の取締役会への通知。
• 少なくとも年1回見直される文書化された情報セキュリティプログラム。
• 会社支給のエンドポイント向けのハイブリッドなゼロトラストフレームワーク、ネットワークセグメンテーション、ポートの文書化、例外レビュー、本番/非本番の分離。
• 可能な場合、カバー対象情報を保持するシステムへのアクセスにはフィッシング耐性のある多要素認証を導入し、パスワード、特権アクセス、デフォルト資格情報の管理策を整備する。
• リアルタイムのログ記録と監視、アラートトリアージ、年次チューニングレビュー、および少なくとも12か月分の不審な活動アラートのログ。
• 収集制限、保持と廃棄の方針、データ削減プロセス、データベース所有者の証明。
• 対象となるサードパーティ、重要資産、および消費者データのインベントリ。
• 文書化されたリスク受容、パッチと脆弱性管理、10,000人以上の消費者に影響を与えるインシデントのフォレンジックレポート、およびセキュリティの虚偽表示の制限。
• 2回の独立した第三者評価と、その報告書の FCC への提出。

FCC はこの和解をモバイル業界のモデルと称し、取締役会の可視性、ゼロトラスト、セグメンテーション、アイデンティティとアクセス管理、データ最小化を強調しました。この特徴づけは規制当局の見解であり、合意が署名された時点ですべての義務が既に完了していたことを証明するものではありません。(FCC 和解発表)

2026年7月10日現在、一般の人々は同意判決、そのスケジュール、および T-Mobile の継続的な年次報告書によるガバナンスの説明を検証できます。T-Mobile の2025年の年次報告書では、同社は2021年と2023年のイベントから多大なコストが発生し、2024年の合意を通じて1件の FCC 調査を解決し、他の政府機関による照会や手続きに引き続き直面していると述べています。取締役会の監督、定期的な報告、四半期ごとの企業リスク評価、サードパーティリスク管理、そしてより広範な複数年にわたるセキュリティ戦略について説明しています。(T-Mobile 2025年 Form 10-K)

一般の人々がレビューした記録から検証できないことも同様に重要です。同意判決では、独立した評価報告書は法律で許される範囲で機密扱いとされます。セグメンテーションのカバレッジ、MFA の例外、データ削除の結果、API 認可テスト、またはアラートパフォーマンス指標の公開を要求していません。これらの公開情報が存在しないことは、コンプライアンス違反の証拠ではありません。それは、外部からの保証が制限されたままであることを意味します。FCC は、消費者や顧客、研究者が通常は検査できない証拠を受け取ることができます。

プログラムは発効日から3年後の2027年に失効します。同意判決が有効であるという理由だけで存在する管理策は、永続的なガバナンスではありません。T-Mobile の取締役会と経営陣は、規制監督が終了した後も、インベントリ、リスク受容、テスト、報告が通常の運営規律として残ることを示せるはずです。

FCC の同意判決が根本原因について述べていること

同意判決は時に逆に読まれることがあります。和解が特定の管理策を要求している場合、規制当局は、根底にあるすべての事件でその管理策が欠如していたことを証明したと見なされがちです。それは強すぎる解釈です。FCC と T-Mobile は注意義務の基準の問題で争っており、多くの義務は将来を見据えたものです。この判決は、リストにあるすべての保護策が以前から欠如していた、または指定された正確な形で法的に義務付けられていたという承認なしに、調査リスクを解決しています。

それでも、救済措置の構造は示唆的です。規制当局は「サイバーセキュリティを改善する」という一般的な約束で妥協しませんでした。彼らは、観察された経路に密接に対応する管理策を要求しました。

セグメンテーション、本番/非本番の分離、ポートガバナンスは、通信機器からラボを経由してデータを含む環境へ至る2021年の移動に対応しています。パスワード管理策、デフォルト資格情報の手続き、フィッシング耐性のある MFA、特権アクセス慣行は、推測されたパスワード、スプレー、従業員のフィッシングに対応しています。監視、アラートの保持、チューニングは、発見までの長い間隔と、不審な活動を相関させる必要性に対応しています。データ最小化、所有者の証明、インベントリは、バックアップの集中と過去の顧客記録の存在に対応しています。サードパーティと MVNO の監視は、共有プラットフォームの露出に対応しています。消費者データと重要資産のインベントリは、何が到達可能でどこにあったのかという繰り返しの質問に対応しています。

この判決の API との関連性はそれほど明示的ではありませんが、依然として存在します。カバー対象情報のインベントリだけでは、過剰な API 取得を阻止できません。情報セキュリティ、リスク評価、アクセス制御、監視、最小化の各規定は、フィールドレベルの認可と列挙検知の基盤を作りますが、信頼できる実装には API 固有のテストが必要です。すべての外部から到達可能な API またはパートナー向け API は、指名された所有者、認証されたワークロードアイデンティティ、目的に限定されたスコープ、オブジェクトおよびフィールドレベルの認可、レートとボリュームの制限、スキーマインベントリ、ネガティブテスト、シーケンシャル抽出のアラートを備えるべきです。

同様に、フィッシング耐性のある MFA は必要ですが十分ではありません。MVNO のイベントでは従業員の SIM スワップが含まれており、電話チャネルの所持が特権的な通信事業者アクセスの高保証要素として扱われるべきではない理由を示しています。販売アプリケーションは数十人の従業員資格情報とポートアウトの影響を伴いました。強力な認証は、管理されたデバイス状態、最小権限、短いセッション、不可能な移動と行動シグナル、機密性の高い変更のためのステップアップ検証、アプリケーション全体での迅速な失効と組み合わせるべきです。

同意判決は、管理策が技術的に実現不可能または不合理に負担が大きい場合に、代替策が意図を満たすことを条件に例外を認めています。これは、大規模で混在世代の通信資産にとって実用的です。また、ガバナンスリスクも生み出します。例外は、所有者、有効期限、リスク格付け、補償的証拠、経営陣の可視性がなければ、シャドーアーキテクチャになる可能性があります。したがって、セグメンテーション例外をレビューし、重大なリスク受容を文書化するという要件は、名目上のゼロトラスト要件と同じくらい重要です。

公的な説明責任のテストは、T-Mobile が「ゼロトラストを持っている」と言えるかどうかではありません。ゼロトラストはアーキテクチャ上の方向性であり、二者択一の認証ではありません。テストは、あるラボ、アプリケーション、または API に到達するアイデンティティがそのリソースに対する最小限の権限のみを受け取るかどうか、新しい要求が現在のアイデンティティ、デバイス、行動の証拠を用いて評価されるかどうか、水平移動が観測可能かどうか、そして組織が事後的にアクセス決定とその所有者を提示できるかどうかです。

FCC は、2023年の別個の命令で通信事業者のデータ侵害報告要件を近代化し、保護範囲を CPNI から個人識別情報にまで拡大し、更新されたトリガーの下で、法執行機関や影響を受ける顧客に加えて委員会への通知を義務付けました。これらの規則は2024年に発効し、2021年のイベントの報告基準として遡及的に扱われるべきではありません。これらは、通信事業者が保有する ID データを、二次的な消費者データベースではなく、通信プライバシー義務の核心部分として扱う方向への規制上のシフトを示しています。(FCC データ侵害報告命令)

証拠に基づく管理スコアカード

修復プログラムは、反復可能なテストに答えられる場合に信頼性を獲得します。以下のスコアカードは、T-Mobile の機密の現在の構成に関する主張ではありません。これは、存在する証拠と、非公開または不明のままの証拠を区別する方法です。

このフレームワークは、よくある2つの誤りを回避します。1つ目は、新たなリスクを生み出すような公開ネットワーク図や検知ルールを要求することです。説明責任は秘密を公開することを必要としません。集約されたカバレッジ、独立した範囲、例外の経過、検証済みのクローズドは、攻撃者にルートマップを与えることなく開示できます。

2つ目の誤りは、金額やフレームワーク名を証拠として受け入れることです。1億5,000万ドルの集団訴訟コミットメントと1,575万ドルの FCC 投資は多額ですが、管理策は高価で誤って構成される可能性があります。逆に、狭い許可の変更が、ほとんどコストをかけずに膨大な抽出を防ぐ可能性があります。成果指標は攻撃経路に従うべきです。アイデンティティがどれだけの権限を取得できるか、どこまで移動できるか、どれだけのデータを取得できるか、そして悪用がどれだけ迅速に検知され封じ込められるかです。

企業、規制当局、顧客を横断する説明責任

犯罪行為者は、不正アクセス、窃取、販売未遂、フィッシング、SIM スワッピング、関連する悪用に対して直接的な責任を負います。セキュリティ分析はそれを薄めてはなりません。また、犯罪の意図が、同社が保持することを選択したデータの機密性と規模に適した管理策を運用するという通信事業者の義務を消し去ることを許してはなりません。

T-Mobile は、2021年に使用された機器とラボ、資格情報と環境の境界、バックアップの配置、MVNO 管理プラットフォーム、リモート販売アプリケーション、API 許可、監視システム、旧顧客および見込み顧客の記録の保持を管理していました。したがって、インシデント前にシステム全体のリスクを低減できる唯一の当事者でした。顧客は警告後に信用を凍結したり、PIN をリセットしたり、ポートアウトを報告したりすることはできましたが、T-Mobile のネットワークをセグメント化したり、API 認可を修正したりすることはできませんでした。

再販業者は、自らの顧客関係の一部を管理し、異常なプラットフォームの動作を検出または報告することができました。従業員には資格情報を漏洩させない義務がありましたが、フィッシングキャンペーンと SIM スワップは予見可能な敵対的条件です。成熟したシステムは、一部の人が騙されることを前提とし、侵害された1つのアイデンティティができることを制限します。説明責任は、従業員の非難よりも前に、管理設計にあります。

取締役会の役割は、ファイアウォールルールを選択することではありません。それは、リスク選好、リソース、証拠を統治することです。記録は、取締役会が答えられるべき質問を提起します。どの非本番システムがカバー対象データに到達できるのか？フィッシング耐性のある MFA を欠く特権経路はいくつあるのか？緊急アクセスの例外はどれくらいの期間開いたままなのか？顧客データストアの何パーセントが保持ポリシーと調整されているのか？修復が困難なためにどのリスクが受け入れられているのか？各インシデントの後に何が変わり、その変更はどのように独立してテストされたのか？

FCC の役割はこの同意判決の後、評価レポートを要求し、特定された義務を執行できるため、より強力になっています。しかし、その証拠の多くは非公開のままであり、より広い市場の規律を制限しています。規制当局は、法律で許される限り、集計されたコンプライアンスの結果を公開すべきです。すなわち、評価が実施されたかどうか、所見の大まかな数と深刻度、修復が検証されたかどうか、重大な例外が残っているかどうかです。これは、セキュリティの詳細を保持しながら、命令が単なる紙切れではないことを示すことになります。

私的訴訟は、責任の承認なしに補償とセキュリティ支出コミットメントを生み出しました。3億5,000万ドルの基金は規制上の罰金として説明されるべきではなく、1億5,000万ドルは消費者に支払われた現金として説明されるべきではありません。弁護士費用をめぐる控訴審の係争は、和解のセキュリティ義務の撤回と誤解されるべきではありません。

ワシントン州の2025年の訴訟は、既知の脆弱性、監視、パスワード、表明、通知の質に関する争点のある主張を追加しています。これらの主張は、特定の説明責任の理論を特定しているため注目に値しますが、この記事のためにレビューされた情報源では未解決のままです。訴状はフォレンジックな所見ではありません。FCC の交渉による事実説明は、攻撃メカニズムに関してより強力な情報源であり、T-Mobile の SEC 提出書類は、企業が報告したタイミング、コスト、法的地位に関してより強力な情報源です。

消費者は実用的な役割を保持しますが、残余的な制御手段になるべきではありません。信用凍結、アカウント乗っ取り防止、PIN 変更、フィッシング注意は、開示後の被害を減らすことができます。どれも、永続的な識別子を再び秘密にすることはできません。ID 監視は、悪用を個人に警告することはできますが、社会保障番号や運転免許証番号の独占性を回復するものではありません。したがって、補償とサポートは、当面の不正請求だけでなく、リスクの持続期間を反映すべきです。

公共部門の顧客は、追加的な調達の役割を持ちます。彼らは、アカウント管理、サポートアクセス、データの場所、サブプロセッサー、認証、ポートアウト管理策、通知、ログの可用性、継続性テストに関する証拠を要求できます。国内データセンターを主権と同一視したり、フレームワークの整合性表明をテスト済みのセキュリティと同一視したりする契約文言を避けるべきです。調達は通信事業者全体を監督することはできませんが、高リスクのアカウント経路を見えるようにし、インシデント前にエスカレーション権を保持することはできます。

何が変わり、まだ主張できないことは何か

修復の記録は、当初の2021年の約束よりも実質的に強化されています。T-Mobile は外部専門家を関与させ、消費者サポートに資金を提供し、主要なセキュリティ支出をコミットし、企業ガバナンスを説明し、詳細な FCC プログラムを受け入れ、独立した評価に合意し、サイバーリスクを公的に報告し続けました。API インシデントは検知後迅速に封じ込められ、FCC の和解は、アイデンティティ、セグメンテーション、監視、インベントリ、保持に関する具体的な義務へと広範な目標を転換しました。

複数年にわたる変革の途中でインシデントが発生したため、何も変わらなかったと主張するのは誤りです。セキュリティプログラムは、アクティブな敵対者と継承されたシステムに対して運用されます。後のイベントの一部は、最初のプログラムが完了する前に始まりました。また、公開記録は、ここで分析した2021年から2023年のレンズの中で、同意判決後に同等の顧客データ範囲の別の侵害を立証していません。

問題が解決されたと宣言することも同様に誤りです。第三者評価報告書は公開されていません。同意判決は2027年まで有効です。現在の年次報告書はプロセスと残余リスクを説明していますが、フィールドレベルの管理の有効性については説明していません。レビューされた情報源は、完全な MFA カバレッジ、API インベントリ、セグメンテーションの例外、過去のデータ削除の合計、環境横断的な移動を検知する平均時間、または規制当局が要求する評価の結果を開示していません。

最も防御可能な結論は条件付きです。T-Mobile は、インシデント対応と自発的な投資から、強制力のあるアーキテクチャと証拠のプログラムへと移行しました。これは説明責任における真の進歩です。実装の公開証明は、最も強力な保証チャネルが企業と評価者、FCC の間で非公開で機能しているため、部分的です。

この記録はまた、当初の出来事がどのように理解されるべきかを変えます。それは単にインターネット上に放置されたデータベースではありませんでした。侵入者は、通信機器からラボ、サーバー、バックアップへと至る一連の信頼決定を通過しました。その後のアクターたちは、従業員の要素、リモート販売アクセス、API 許可に別の信頼決定を見つけました。共通の弱点は、1つの製品ではありませんでした。それは、提示するアイデンティティが到達を許されるべき範囲を超えて拡張された権限でした。

データの所在地だけではこれを解決できません。記録は物理的に米国内に留まることができますが、リモートのアクターが論理的にローカルなセッションを取得し、認可されたシステムにそれを返させるかもしれません。主権は、法的権限、技術的ポリシー、インベントリ、監視、証拠が、誰がデータに対して行動できるのか、そしてその理由について合致するときに現実のものとなります。

継続性はタワーの稼働時間だけによって測定されるべきでもありません。インシデントは文書化された全国的なサービス停止を引き起こしませんでしたが、そのうちの1つは不正なポートアウトの症状を通じて検知され、露出した記録には契約者関係の周りで使用される識別子とアカウントコンテキストが含まれていました。公共機関や重要な事業者にとって、回線を制御するアイデンティティを保護することは、回線を保護することの一部です。

これが、T-Mobile の2021年から2023年の記録からの永続的な説明責任の基準です。正確に人を数えること。防御可能な目的があるものだけを保持すること。バックアップとラボをデータを保持するシステムとして扱うこと。デバイス、従業員、サービス、API に狭いアイデンティティを与えること。緊急時の例外を意図的に終了させること。無効な作業を行っている有効な資格情報を検知すること。取締役会と規制当局が受け入れられた管理債務を見えるようにすること。そして、次のインシデントがテストを提供する前に、修復を証明可能にすることです。