T-Mobile US：顧客データをアイデンティティガバナンスの試練に変えた侵害の記録

概要

• 確認済み:2021 年のインシデントでは、侵入者が通信機器への正規の接続をなりすまして T-Mobile のラボに到達し、サーバーのパスワードを推測し、環境間を移動し、パスワードスプレー攻撃を実行し、データベースのバックアップに到達しました。その後の集団訴訟の和解では、データ要素がサブセット間で大きく異なるものの、影響を受けた人数として 7660 万人が用いられました。
• 確認済み:FCC の統合記録には、2022 年後半から 2023 年初頭にかけての 3 つの追加インシデントが記載されています。従業員のアイデンティティ侵害による MVNO 管理プラットフォームへの不正アクセス、フィッシングで入手した小売認証情報を用いたパンデミック期のリモート販売アプリケーションへのアクセス、そして、約 3700 万の現行ポストペイドおよびプリペイドアカウントに関連するアカウントデータを API が返すことを許した人為的な権限エラーです。
• 評価:これらは同一のエクスプロイトの 4 回の繰り返しではありません。全体として、デバイス信頼、パスワード、従業員アクセス、リモートアクセス例外、アプリケーション認可、顧客データの範囲にわたるアイデンティティガバナンスの問題を浮き彫りにしています。米国内での物理的な保存だけでは、これらの経路のいずれも防げなかったでしょう。
• 説明責任:犯罪行為者が侵入と悪用に責任を負います。T-Mobile は、環境、認証情報、API 権限、保持データセット、監視、例外のライフサイクル、顧客対応を管理していました。その後の 3 億 5000 万ドルの集団訴訟基金、1 億 5000 万ドルのセキュリティ支出コミットメント、FCC による制裁金、強制力のある管理プログラムは重要な対応ですが、支出はあくまで投入です。持続可能な改善には、アクセス、データ最小化、検出、ガバナンス管理が長期にわたり機能している証拠が必要です。

重要な数字は単一の数字ではない

2021 年の T-Mobile の侵害は、公開情報が異なる段階で異なる母集団、データ項目、単位を記述していたため、単一の明確な件数に集約できません。2021 年 8 月 20 日、T-Mobile は、約 780 万件の現行ポストペイド顧客アカウントで、氏名、生年月日、社会保障番号、運転免許証またはその他の身分証明書情報が侵害され、後に電話番号やデバイス識別子もこのグループに含まれたと発表しました。別の 530 万件の現行ポストペイドアカウントでは、1 つ以上の重要度の低い項目がアクセスされました。約 4000 万人の過去または見込み顧客が、氏名、生年月日、社会保障番号、身分証明書情報を含むファイルに含まれていました。その他のグループには、66 万 7000 件の過去アカウントと約 85 万件のアクティブなプリペイドアカウントが含まれ、氏名、電話番号、アカウント PIN が露出しました。(T-Mobile 2021 年 8 月 20 日調査アップデート)

これらの数字を単純に合計して、一意の個人の確定数と呼ぶべきではありません。アカウントは常に個人と対応するとは限らず、1 人の人物が複数の顧客状態で現れることがあり、最初の公表スナップショットは調査官がより多くのファイルを特定するにつれて変化しました。連邦通信委員会（FCC）の後の同意判決では、集団訴訟の和解目的で影響を受けた消費者を 7660 万人としています。これは和解を議論する上で最も有用な統合母集団ですが、それでも 7660 万人の個人が同じ項目を失ったことを意味するわけではありません。判決では、ごく一部の顧客のみが顧客専有ネットワーク情報（CPNI）の影響を受け、はるかに多くの母集団で身元情報や連絡先記録が露出したとされています。(FCC 同意判決)

この区別が重要なのは、被害はプレスリリースの規模ではなく、データの組み合わせによって生じるからです。社会保障番号、生年月日、政府発行 ID、電話番号、デバイス識別子が盗まれた現行のポストペイド加入者は、名前と住所のみが単独で現れた人とは異なるリスクに直面します。PIN が露出したプリペイド加入者は、即時の変更が必要となるアカウント管理上の問題に直面します。見込み顧客は、もはや通信事業者とのアクティブな関係を持たないかもしれませんが、リセットできない永続的な識別子を依然として保持しています。過去の顧客は、通信事業者がなぜまだその記録を保持していたのか、そしてそれが依然として必要だったのかと合理的に問うことができます。

カリフォルニア州司法長官は 2022 年 3 月、この侵害が 5300 万人の個人に影響を及ぼし、うちカリフォルニア州民が 600 万人以上含まれると発表しました。この警告は、データの大部分が販売されているのが発見された後の消費者保護に重点を置き、信用凍結と監視を促しました。これは、後の 7660 万人という和解母集団が誤りであるという証拠ではありません。むしろ、公表された件数が日付、目的、定義に結びついていたことの証拠です。(カリフォルニア州司法長官消費者警告)

したがって、適切な説明責任は、見出しの合計数ではなく、データマップから始まります。影響を受けたすべての母集団について、通信事業者は、関係の種類、記録システム、項目、機密性、保持の正当性、アクセス経路、一意の個人の数、アカウント数、通知経路、提供された改善策を明示できるべきです。そのマップがなければ、通知は一般的なものになり、管理テストはリスクを生み出した記録から切り離されてしまいます。

2021 年の出来事は、「顧客」という言葉が重要な義務を覆い隠しうる理由も露呈しました。侵害された母集団には、現行、過去、見込みの顧客が含まれていました。T-Mobile はその多くから現行のサービス収入を得ておらず、中には一度もアカウントを開設したことのない人もいました。それでも同社は害を及ぼしうる身元情報を保有していました。責任はアクティブな課金状態ではなく、情報の保管に付随します。現行のアカウントだけを中心に保護策を構成するデータガバナンスプログラムは、まさにこの出来事をこれほど大規模にしたロングテールを見逃すことになります。

アクセス、発見、封じ込めのタイムライン

最も詳細な公の再構築は、侵害から 3 年後、FCC が 2021 年、2022 年、2023 年のインシデントに関する調査を解決したときに行われました。この同意判決は交渉による和解であり、裁判の判決ではありません。T-Mobile と FCC 執行局は、関連する時点で導入されていたセキュリティプログラムとポリシーが、適用される注意義務基準または規制に違反していたかどうかについて、明確に意見が異なっていました。そのような境界があっても、事実に関する説明は、最初の数週間に T-Mobile が開示できたものよりはるかに具体的です。

2021 年 3 月 18 日:T-Mobile の後の証券提出書類によると、侵入者はこの日頃に同社システムの特定領域に不正アクセスしました。同社はデータ取得がその後、8 月 3 日頃に始まったと述べています。この間隔は重要です。初期アクセス、水平展開、データ窃取は別々の段階でした。(T-Mobile 2021 年第 3 四半期フォーム 10-Q)

2021 年 8 月以前の数ヶ月:FCC によると、攻撃者は数ヶ月にわたって偵察活動を行っていた模様です。攻撃者は通信機器への正規の接続をなりすますことでラボ環境にアクセスしました。そこから、特定のサーバーのパスワードを推測することに成功し、ネットワーク環境間を移動し、別のラボに到達し、さらにスキャンし、パスワードスプレー攻撃を使用しました。これらの手順により、データベースバックアップファイルやその他の情報を含む環境へのアクセスが開かれました。

この一連の流れは、露出したルーターが侵害を引き起こしたというよくある短絡的な説明よりも強力な証拠です。これは一連の決定の連鎖を特定しています。機器が接続のアイデンティティを受け入れました。サーバーが推測されたパスワードを受け入れました。環境の境界が移動を許しました。2 つ目のラボが、有用な期間にわたりスキャンとパスワードスプレーを許容しました。バックアップデータはその経路から到達可能なままでした。監視はデータが持ち出される前にこの流れを止めませんでした。各ステップには異なる所有者がおり、異なる可能な管理策がありました。

2021 年 8 月 3 日:T-Mobile の完了したフォレンジック調査では、顧客データへのアクセスと取得の開始がこの日頃とされました。FCC 判決によると、侵入者の活動の最後の証拠は 8 月 13 日でした。

8 月 12 日～15 日:T-Mobile は 8 月 12 日に潜在的な攻撃を認識し、調査を開始し、8 月 15 日に攻撃を確認しました。最初の公式アップデートでは、悪意ある行為者が同社システムを侵害したというオンラインフォーラムの主張を知らされたと述べられました。つまり、外部のシグナルが発見のきっかけとなったのです。これは、T-Mobile に内部アラートがなかったことを証明するものではありませんが、公開記録には、データが売りに出される前に数ヶ月にわたるアクセスを遮断した内部検知が示されていません。

8 月 16 日～27 日:T-Mobile は状況の変化に応じて段階的な公式声明を発表しました。CEO のマイク・シーバートは、同社が情報流出を防げなかったことを認め、マンディアントが調査を支援していると述べ、テスト環境へのアクセスとそれに続く顧客データを含むサーバーへのブルートフォースその他の移動について説明しました。T-Mobile は 2 年間の個人情報保護を提供し、PIN とパスワードの変更を推奨し、流出したアクティブなプリペイド PIN をリセットし、アカウント乗っ取り対策と詐欺対策を促進しました。また、マンディアントおよび KPMG と長期的に協力してセキュリティ管理を評価し、複数年にわたる変革を構築することも発表しました。(T-Mobile CEO アカウント)

8 月 15 日～10 月 8 日:FCC によると、T-Mobile はネットワークパスワードを変更し、ファイアウォールルールを追加し、機器を切断し、その他のアクセス遮断措置を講じました。この封じ込め期間の長さは、攻撃者が 10 月まで活動していたことの証明と解釈すべきではありません。判決では、活動の最後の証拠は 8 月 13 日とされています。これはむしろ、インシデントの終結には、単にデータの持ち出しが止まったことを確認するだけでなく、経路を排除することが含まれることを示しています。

2022 年 7 月～2023 年 6 月:T-Mobile は、請求、弁護士費用、管理費に 3 億 5000 万ドルの基金を提供し、2022 年と 2023 年にかけて合計 1 億 5000 万ドルの増分データセキュリティおよび関連技術支出を行う集団訴訟和解に合意しました。合意には、責任、不正行為、または義務の承認は含まれていません。連邦地方裁判所は 2023 年 6 月に和解を承認しましたが、弁護士費用に関する控訴は継続しました。(T-Mobile 2022 年 7 月フォーム 8-K)

後に第 8 巡回区控訴裁判所は弁護士費用の裁定を破棄し、その問題を再審理のために差し戻しました。これは、和解クラスが推定 7660 万人に関係するという事実上の前提を覆したり、T-Mobile の根底にあるセキュリティ責任を裁定したものではありません。この控訴審意見は、消費者基金、弁護士費用、別個のセキュリティ支出コミットメントを区別している点で有用です。(第 8 巡回区控訴裁判所意見)

この年表は、長い潜伏期間、短い窃取期間、外部からのきっかけによる発見、そして訴訟、顧客サポート、複数年プログラムを通じて継続した対応を明らかにしています。すべての内部アラート、正確な機器構成、侵害されたサーバー名、完全なネットワークトポロジーを確定するものではありません。それらは正当な証拠の欠落であり、憶測でネットワーク図を埋めるよう促すものではありません。

4 つのインシデント、4 つのアイデンティティの形

FCC 判決は 4 つの調査を統合しています。これらを 1 つの再発するエクスプロイトとして扱うのは不正確です。無関係な不運として扱うのは、共通の制御面を見逃すことになります。各インシデントは、システムが、人、デバイス、接続、またはアプリケーションが持つべきでない権限を持っていると判断したことに関わっています。

2021 年のラボとバックアップ経路

最初のアイデンティティは、ある通信機器に提示された接続でした。攻撃者は正規の接続をなりすまし、ラボに到達しました。これは単なるユーザー・パスワードのイベントではありませんでした。機器とネットワーク経路にもアイデンティティがあります。デバイス証明書、キー、送信元属性、設定状態、予想される通信パターンはすべて、接続が受け入れられるかどうかに寄与し得ます。

次のアイデンティティはサーバーアカウントでした。パスワード推測とスプレー攻撃が成功し、その後攻撃者は環境を越えました。パスワードは技術的には有効であっても、運用上信頼できないことがあります。めったに使用されないサーバーアイデンティティが通常と異なる経路から認証し、ネットワークを列挙してバックアップデータに到達した場合、制御システムは一致する秘密にとどまらず、コンテキストを評価しなければなりません。

最後のアイデンティティは暗黙的でした。ラボ内または隣接環境にいること自体が、移動を続けるのに十分な信頼を与えたように見えます。NIST のゼロトラストアーキテクチャガイダンスは、その前提を拒否しています。信頼は物理的またはネットワーク上の位置のみから生じるべきではなく、アクセスはユーザー、資産、リソースを中心に評価されるべきであると述べています。この原則は、特定の商用ゼロトラスト製品がこれを防げたと主張することなく、この出来事に直接当てはまります。(NIST SP 800-207)

2022 年後半の MVNO プラットフォームインシデント

2022 年後半、脅威アクターが、MVNO（仮想移動体通信事業者）の再販業者が自社の顧客にサービスを提供するために使用する T-Mobile 管理プラットフォームに不正アクセスしました。このプラットフォームには、それら下流の顧客の情報が含まれていました。FCC によると、アクセスにはいくつかの戦術が関与していたようです。T-Mobile 従業員 1 名の違法な SIM スワップ、別の従業員へのフィッシング、および出所不明の少なくとも 1 件の侵害です。

このインシデントは、通常の SIM スワップの話を逆転させます。通信事業者の従業員自身の回線が、事業者業務への経路の一部となりました。その従業員は単にパスワードを知っている人物ではなく、電話番号、デバイス、または関連するチャネルが、本人確認プロセスを突破するのに有用だったようです。この出来事は、通信会社における従業員のアイデンティティ管理が、通信ベースの要素自体が攻撃されうることを前提としなければならない理由を示しています。

また、これは卸売関係における説明責任を複雑にします。プラットフォームは T-Mobile が所有し、再販業者が使用し、露出した記録は再販業者のエンドユーザーに関するものでした。影響を受けたある MVNO は 2023 年 1 月 10 日に CPNI ポータルを通じてインシデントを報告し、T-Mobile は 2 月 6 日に報告書を提出しました。下流のプロバイダーは顧客を保護するために十分なテレメトリと通知権限を必要とし、プラットフォーム所有者はテナント間でのアクセスを関連付ける必要があります。卸売契約は、プラットフォームのアイデンティティ境界を消し去るわけではありません。

2023 年初頭の販売アプリケーションインシデント

2023 年初頭、脅威アクターが盗んだ T-Mobile アカウントの認証情報を使用して、フロントラインの販売アプリケーションにアクセスしました。リモートアクセスは、COVID-19 パンデミック中に業務を維持するために有効化されていました。アクターは数十人の小売従業員の認証情報を入手し（T-Mobile は標的型フィッシングに由来すると考えています）、限られた量の CPNI を含む顧客データを閲覧しました。

T-Mobile は、顧客からの番号ポータビリティ（ポートアウト）に関する苦情が増加した後の 2 月下旬に認識しました。調査により、3 月 30 日頃に従業員の認証情報侵害が特定され、同社は 4 月 11 日に CPNI 報告書を提出しました。この検知経路は重要です。顧客は、企業が認証情報キャンペーンを完全に再構築する前に、回線レベルで完全性または管理上の症状を経験しました。

リモートアクセスは、有効化された時点で必ずしも誤りではありませんでした。公衆衛生上の緊急事態において、フロントラインの販売およびサービス業務を維持することは、正当な事業継続の決定であり得ます。統治上の失敗として検証すべきは、その例外に所有者がいたか、定義された範囲があったか、強力な認証があったか、行動監視があったか、最小権限が適用されていたか、有効期限または再承認日が設定されていたかです。「一時的」が技術的な終了状態を持たない場合、緊急時の管理策は通常の攻撃対象領域となります。

3700 万アカウントの API インシデント

2023 年 1 月 5 日、T-Mobile は単一のアプリケーションプログラミングインターフェース（API）を通じた不正なデータ取得を特定しました。SEC 提出書類によると、同社は発信元を追跡し、1 日以内に活動を停止しました。アクターは 2022 年 11 月 25 日頃からデータの取得を開始していました。この API は、氏名、請求先住所、電子メールアドレス、電話番号、生年月日、T-Mobile アカウント番号、回線数、プラン特長を返すことができました。T-Mobile は、支払いカードデータ、社会保障番号や納税者番号、運転免許証やその他の政府発行 ID、パスワード、PIN、金融口座情報は返さなかったと述べました。予備的な母集団は約 3700 万の現行ポストペイドおよびプリペイドアカウントでしたが、必ずしもすべての項目を持つ 3700 万人の一意の個人ではありませんでした。(T-Mobile 2023 年 1 月フォーム 8-K)

FCC は後に欠けていた原因の詳細を追加しました。人為的エラーにより権限の設定ミスが生じ、アクターがクエリを送信してアカウントデータを取得することを許しました。したがって、アクターがシステムやネットワークに侵入または侵害しなかったという T-Mobile の声明は、大規模な不正開示と両立します。API は設定されていた機能を実行したのであり、認可の境界が誤っていました。

これはワークロードアイデンティティとアプリケーション認可の問題であり、従来の従業員ログインではありません。安全な API は、呼び出し元を識別し、各データオブジェクトとフィールドを認可し、クエリ量を制限し、列挙を検出し、1 つの経路を通じて到達可能なデータを制限する必要があります。NIST のクラウドネイティブゼロトラストモデルは、ユーザー、サービス、アプリケーションのアイデンティティと、アプリケーションが実行される場所に依存しないきめ細かいポリシー適用を重視しています。これは、攻撃者が最初に対話型シェルを取得しなくても API に到達できる場合に特に関連します。(NIST SP 800-207A)

したがって、4 つのインシデントは技術よりも深いレベルでつながっています。2021 年、環境は接続、サーバーパスワード、ネットワーク上の位置を過度に信頼しました。MVNO の事案では、従業員のテレコム経路とフィッシング経路が突破されました。販売の事案では、フィッシングで入手した従業員アイデンティティが、緊急時から維持されていたリモートアプリケーションに到達しました。API の事案では、アプリケーションの権限が呼び出し元に過剰なデータを提供しました。アイデンティティガバナンスとは、それらすべてのアイデンティティを把握し、狭い権限を割り当て、使用状況を観察し、コンテキストが変化したときに信頼を撤回するという規律です。

バックアップ、過去の顧客、データインベントリの問題

2021 年のアクターはデータベースのバックアップファイルに到達しました。この事実は通常よりも注目に値します。バックアップは事業継続のために作成されますが、本番アプリケーションに適用される管理の外で広範な過去のデータセットを保存する場合、機密性を弱める可能性があります。本番インターフェースは一度に 1 人の顧客を表示したり、項目をマスクしたり、ロール固有のクエリを強制したりできます。バックアップはこれらの区別を、復旧とデータ持ち出しの両方に有用な集中的なオブジェクトへと崩壊させる可能性があります。

リカバリコピーは不活性なストレージとして扱うことはできません。それらは独自のインベントリ、所有者、暗号化キー、アクセスポリシー、ネットワーク分離、保持スケジュール、リストアテスト、アクセステレメトリを必要とします。ラボや非本番経路がバックアップデータに到達できる場合、本番/非本番の境界は機密性にとって意味がありません。FCC の後の判決は、本番環境と非本番環境の合理的な分離と、対象情報が非本番で長期間使用される場合の補償的管理を要求することで、この問題に直接対処しています。

過去および見込み顧客データの存在は、第 2 の疑問を提起します。なぜ各記録がまだ存在していたのか？一部の保持は正当化され得ます。事業者は税金、詐欺、与信、紛争、訴訟、規制、またはアカウント履歴の目的で記録を必要とする場合があります。見込み顧客データは、申し込みや放棄された注文をサポートする可能性があります。この侵害は、すべての過去の記録が不適切に保持されていたことを証明するものではありません。

しかし、「理由があるかもしれない」というのは統治ではありません。防御可能なプログラムは、各データ区分を目的、法的根拠、保持期間、システム所有者、削除または匿名化イベントに結びつけます。それは一次データベースだけでなく、コピーも特定できます。削除された本番記録が、テスト抽出物、分析テーブル、またはリカバリ可能なバックアップ内で、承認された期間を超えて無期限に存続しないことを証明できます。

FCC の和解は、T-Mobile に対し、対象情報の収集を正当な事業上または法律上の目的のために合理的に必要なものに限定し、目的が終了した場合の破棄または匿名化のポリシーを維持し、データ削減プロセスを運用し、対象情報を含むデータベースの所有者のための証明プロセスを作成することを求めています。さらに、最小化、保持、廃棄をサポートするように設計された消費者データインベントリを別途要求しています。これらの義務は、セキュリティを境界の強度だけでなく、記録のライフサイクルに結びつけているため、示唆的です。

API インシデントは、ライブデータの方向から同じ問題を示しています。T-Mobile は、API が最も機密性の高い金融および政府の識別子を露出しなかったことを強調しました。これは重要な制限制御でした。しかし、返された項目は、アイデンティティ、連絡先チャネル、生年月日、アカウント番号、回線数、プラン特長といった豊富なアカウントプロファイルに組み合わされる可能性があります。約 3700 万アカウントという規模では、「限定された」項目セットでも、大規模な詐欺、フィッシング、ソーシャルエンジニアリングの攻撃面を生み出します。

データ最小化は 2 つの次元で機能します。行の最小化は、どの人物や過去の関係を残すべきかを問います。列の最小化は、アプリケーション、ユーザー、またはワークフローがどの項目を必要とするかを問います。2021 年のバックアップは多くの行を利用可能にしました。2023 年の API は、定義された一連の列を巨大な規模で利用可能にしました。真剣なインベントリは、この両方の質問に答え、さらに 3 つ目の質問を加える必要があります：どのクエリレートで、管理が介入する前にそれらの行と列が取得され得るのか？

T-Mobile の現在のプライバシー通知では、同社は必要な期間のみデータを保持するよう努めており、その処理は主に米国内で行われているが、データは関連会社やサービスプロバイダーが事業を展開する他の国に転送または処理される場合もあると述べています。この現在の通知は公約を理解するのに有用ですが、2021 年のシステムの地図や特定の保持期間への準拠の証明として過去に遡って投影すべきではありません。(T-Mobile プライバシー通知)

証拠の基準は運用上のものであるべきです。データベース所有者の証明は、それがディスカバリースキャン、バックアップカタログ、API スキーマ、クラウドストア、データ損失防止の検出結果、削除ログと照合されている場合により強力になります。所有者がある項目はもはや保持されていないと述べても、自動化されたディスカバリーがコピーを発見した場合、その不一致は改善項目となります。所有者が長期間を承認する場合、その承認は目的、法的根拠、補償的管理を特定すべきです。照合のない証明は、データインベントリを、環境が矛盾し得る別のポリシー文書に変えてしまうリスクがあります。

ローカルストレージはデータ主権ではない

「データ主権」という言葉は、あたかもサーバーを国境内に置けば管理が決着するかのように使われることがよくあります。T-Mobile の記録は、それでは不十分である理由を示しています。2021 年のアクターは、受け入れ可能な接続信号とアカウント信号を提示することでデータに到達できました。2022 年のプラットフォーム攻撃者は、従業員のアイデンティティ経路を突破しました。2023 年の API は、権限が誤っていたためにデータを返しました。これらの失敗はいずれも、攻撃者がサーバーの隣に立つことや、ハードウェアを国境を越えて移動させることには依存していません。

3 つの概念を区別する必要があります。

レジデンシー（所在地）は、データが物理的に保存または処理される場所です。国内保存のコミットメントは、一部の外国の法制度やサプライチェーン経路への露出を減らすことができます。また、場所要件のある公共契約をサポートできます。しかし、これによって呼び出し元の認証、ラボのセグメント化、API 制限、古いレコードの削除が行われるわけではありません。

主権（ソブリンティ）は、データを統治する権威に関わります。法律、規制当局、契約、所有権、法的要求、強制力のある権利です。T-Mobile は米国の通信事業者であり、通信法、FCC 規則、証券開示、州の侵害通知および消費者保護法、裁判手続きの対象となります。2021 年の侵害は、連邦調査、州の警告、私的訴訟、さらに後のワシントン州司法長官による訴訟を引き起こしました。これらの重複する法廷は、主権が実践において、単にラックの場所ではなく、通信事業者、消費者、サービス、管轄区域に付随する法的権限を通じて管理が割り当てられることを示しています。

論理的局所性（ロジカルローカリティ）は、権限が行使される場所を表します。API ポリシーエンジンは、リモートでデータアクセスの決定を下すことができます。特権的な従業員セッションは、別の州からレコードを管理できます。サービスアイデンティティは、クエリが承認されるまで物理的にデータを移動させることなく、内部環境の境界を越えることができます。現代の通信事業者システムでは、信頼が付与される場所が、バイトが置かれている場所よりも重要になり得ます。

NIST のゼロトラストガイダンスはこの点を直接的に示しています。物理的またはネットワーク上の位置は、暗黙の信頼を生み出すべきではありません。FCC 判決は、この原則を T-Mobile に対する具体的な義務に翻訳しています。セグメンテーション、開放されたファイアウォールポートの文書化、セグメンテーション例外のレビュー、本番/非本番分離、可能な場合はフィッシング耐性のある多要素認証、アカウント管理、リアルタイム監視、重要資産のインベントリ、消費者データインベントリを要求しています。重要資産インベントリにおける「ロケーション」には、T-Mobile ネットワーク内のロケーションが含まれます。これは地理的な概念であると同時に、コントロールプレーンの概念でもあります。

判決は、無条件の国内保存ルールを課してはいません。米国市民である独立した評価者を要求し、プログラムを米国の規制当局の下に置いていますが、多くの条項で技術的実現可能性、合理性、補償的管理の条件も認めています。適切な結論は、FCC が最も強力な地理的意味でのデータ主権を義務付けたということではありません。むしろ、対象情報に誰が到達できるか、重要資産がネットワーク内のどこにあるか、データがなぜ残っているか、そしてコンプライアンスがどのように評価されるかについての証拠を義務付けたのです。

州の訴訟は、所在地のみのモデルをさらに複雑にします。カリフォルニア州の警告は、記録が侵害された居住者に焦点を当てました。2025 年 1 月、ワシントン州司法長官は 2021 年の事案で T-Mobile を提訴し、200 万人以上のワシントン州民が影響を受けたこと、同社が管理の弱点を認識していたこと、弱い認証情報と監視が寄与したこと、通知が不適切であったことなどを主張しました。これらは係争中の訴訟における主張であり、裁定された事実ではありません。T-Mobile のその後の年次報告書は、引き続き調査や手続きについて説明し、集団訴訟和解にはいかなる承認も含まれていないと述べました。(ワシントン州司法長官訴訟発表)

したがって、公共機関が通信事業者サービスを購入する場合、所在地要件には付随的な質問が必要です。どのシステムが従業員やアカウント管理者の ID を保持しているか？海外の関連会社やサービスプロバイダーがそれらを処理できるか？それらの処理者を統治する法律は何か？政府アカウントは消費者サポートツールから分離されているか？ログはどこに保持されるか？誰がポートアウトや SIM 変更を承認できるか？事後に機関は証拠を入手できるか？「データは米国内にとどまる」という条項は、その管理セットの一層としてのみ意味を持ちます。

停止を伴わない継続性の問題

2021 年から 2023 年のインシデントが全国的な T-Mobile ネットワークの停止を引き起こしたり、911 ルーティングを中断させたり、通話やテキストの内容を一般的に露出させたという公的証拠はありません。API インシデントの提出書類は明示的に限られたアカウントデータセットを説明しており、FCC の 2021 年の説明でもごく限られた量の CPNI が持ち出されたとされています。公共部門の継続性分析は、その否定的発見から始めるべきです。機密性の喪失は、自動的にサービスの利用不能を意味するわけではありません。

それでも、これらのインシデントが継続性にとって重要なのは、モバイルアカウントが運用上のアイデンティティであるからです。それは電話番号、サービス契約、復旧チャネルを管理し、多くの組織にとって認証や通知のワークフローを支えています。販売アプリケーションの侵害は、ポートアウトの苦情の増加を通じて可視化されました。不正なポートアウトが成功すれば、番号を正規のユーザーから移動させ、着信サービスを中断させ、メッセージや復旧コードをリダイレクトする可能性があります。1 回線の規模では、アイデンティティの完全性と可用性が同時に損なわれ得ます。

このインシデントでファーストレスポンダー、緊急指令員、政府関係者が回線を失ったことを証拠は立証していません。論点はより狭く、メカニズムが回線管理に影響を及ぼし、通信事業者が顧客の継続性の症状を通じてキャンペーンの一部を検知したということです。公共機関は、全国的な無線停止を待つことなく、通信事業者のアカウント管理を継続性の依存要素として扱うべきです。

CISA は、無線ネットワークを含む通信システムを、緊急対応、公共警報、911、公益事業調整、運輸、金融、その他のインフラにとって重要であると説明しています。同じ依存関係のページでは、これらのシステムが地理的に広範囲にわたり、主に民間事業者によって提供されていることを強調しています。これが、通信事業者のアイデンティティ管理が、インシデントが小売やラボのシステムから始まった場合でも公共的な結果をもたらす構造的な理由です。(CISA 通信システム依存関係プライマー)

通信事業者の記録はまた、公的権威との接点にも位置します。T-Mobile の 2022 年透明性レポートは、法的要求、緊急要請、さまざまな形式の顧客情報に適用する基準について説明しています。このレポートは、これらの法執行機関や緊急用のデータセットがこれらの侵害で露出したことを示すものではなく、そのように示唆するために使用すべきではありません。このレポートは、通信事業者が保持するアイデンティティ、アカウント、ネットワーク記録が、時間的制約のある公共機能をサポートできる理由と、不正な改変や開示がマーケティングプライバシーを超えた結果をもたらし得る理由を示しています。(T-Mobile 2022 年透明性レポート)

公共機関の継続性計画では、少なくとも 4 つの通信事業者の障害モードを区別する必要があります。無線アクセスやコアネットワークの停止は、接続性に広範に影響します。アカウントの乗っ取りは、回線の管理に影響します。顧客データの侵害は機密性に影響し、攻撃者がユーザーになりすます能力を向上させる可能性があります。サポートやプロビジョニングプラットフォームの侵害は、通話が通常通り行われている間でも管理上の変更に影響を及ぼし得ます。各モードには異なる代替手段が必要です。

重要な回線について、公共機関は、運用上正当化される場合は複数の通信事業者を維持し、ポートアウト保護を登録し、SMS に依存しないフィッシング耐性のある認証を使用し、誰がアカウント変更を要求できるかを管理し、検証済みの通信事業者エスカレーション連絡先を保持し、回線インベントリを照合し、緊急時の交換をテストすることで、依存度を低減できます。通信事業者のポータルだけが唯一のコピーとならないように、電話番号から役割への内部マッピングを保持する必要があります。また、番号が移転されたり、調査中に通信事業者アカウントがロックされた場合の通信方法も計画すべきです。

通信事業者側の継続性の取り決めも同様に具体的です。高リスクのアカウント変更には、強力でコンテキストを認識した検証が必要です。従業員ツールは、必要最小限のデータと権限のみを表示すべきです。リモート小売アクセスは、期限切れにするか再承認を受けるべきです。ポートアウトの異常は、従業員の認証情報、店舗、顧客の苦情、転送先事業者を迅速に相関させるために、セキュリティ監視に反映されるべきです。顧客は、証拠が保全されている間に不審な変更を凍結する手段を必要とします。

これが、公共部門の継続性が、イベントを停止に誇張することなく、データ侵害分析に属する理由です。全国的な通信事業者がサービスを維持する能力は、サービスを管理するアイデンティティの完全性に部分的に依存します。2023 年の販売イベントは、侵害された従業員アクセスと顧客の回線管理の苦情との間の文書化された橋渡しを提供します。その橋渡しが関連するシグナルです。

改善は約束から特定された管理策へと移行した

T-Mobile の最初の対応には 3 つの層がありました。アクセス経路と出口経路を閉鎖し、認証情報を変更し、ファイアウォールルールを変更し、機器を切断しました。個人情報監視、PIN リセット、詐欺対策、アカウント乗っ取りツールを含む消費者保護を提供しました。調査、戦略計画、ポリシーレビュー、パフォーマンス測定のためにマンディアントと KPMG を雇いました。

これらは信頼できる対応カテゴリーでしたが、初期の公式説明は管理のベースライン、完了日、または独立したテスト結果を提供しませんでした。パートナーシップの発表は専門知識が関与したことを示しますが、どの資産がインベントリされたか、いくつのパスワード経路が排除されたか、非本番データが削減されたかは示しません。

集団訴訟和解は、資金と時間枠を追加しました。T-Mobile は、2022 年と 2023 年にかけて、和解基金 3 億 5000 万ドルとは別に、合計 1 億 5000 万ドルの増分セキュリティおよび技術支出をコミットしました。2022 年の年次報告書では、そのコミットメントを超えた大幅な追加投資を意図しており、提案された和解と個別の消費者和解に関連して、保険回収により部分的に相殺された約 4 億ドルの税引前費用を計上したと述べています。(T-Mobile 2022 年フォーム 10-K)

その後のインシデントは、1 億 5000 万ドルのプログラム全体が失敗したことを証明するものではありません。MVNO と API の活動は、プログラムが進行中の 2022 年後半に始まっており、通信事業者の変革が即座に完了することは合理的に期待できません。API の取得は検知から 1 日以内に停止されましたが、これは意味のある対応結果です。同時に、投資期間中の大規模な API 認可エラーと従業員アイデンティティ侵害は、支出が成果指標とはなり得ない理由を示しています。資金はツール、コンサルタント、スタッフを購入するかもしれませんが、権限、データ範囲、緊急時アクセスが正しいことを証明するものではありません。

2023 年の年次報告書までに、T-Mobile は、エンタープライズリスクと統合されたサイバーリスク管理、NIST サイバーセキュリティフレームワークの使用、定期的な取締役会および委員会への報告、従業員トレーニング、外部専門家、サードパーティリスク管理について公的に説明しました。また、2021 年と 2023 年のインシデント、および継続的なコストの可能性についても説明しました。これらの開示は統治の記録を作成しますが、独立した管理意見ではなく、会社の説明にとどまります。(T-Mobile 2023 年フォーム 10-K)

2024 年 9 月に発効した FCC の和解は、プログラムが何をしなければならないかを規定したため、記録の質を変えました。T-Mobile は 1575 万ドルの民事制裁金を支払い、さらに 2 年間で 1575 万ドルの増分サイバーセキュリティ支出を行うことに同意しました。金額よりも重要なのは、判決が以下を要求していることです。

• 権限、リソース、最高経営責任者または指名者および取締役会への定期的な直接報告を伴う上級セキュリティリーダー
• 500 人以上の消費者に影響を与える対象インシデントの確認後 48 時間以内の取締役会への通知
• 少なくとも年 1 回レビューされる文書化された情報セキュリティプログラム
• 会社支給のエンドポイント、ネットワークセグメンテーション、ポート文書化、例外レビュー、本番/非本番分離のためのハイブリッドゼロトラストフレームワーク
• 実行可能な場合、対象情報を保持するシステムへのアクセスにはフィッシング耐性のある多要素認証、ならびにパスワード、特権アクセス、デフォルト認証情報の管理
• リアルタイムのログ記録と監視、アラートトリアージ、年次チューニングレビュー、少なくとも 12 ヶ月の不審なアクティビティのアラートログ
• 収集制限、保持および廃棄ポリシー、データ削減プロセス、データベース所有者の証明
• 対象サードパーティ、重要資産、消費者データのインベントリ
• 文書化されたリスク受容、パッチおよび脆弱性管理、1 万人以上の消費者に影響を与えるインシデントのフォレンジックレポート、セキュリティに関する虚偽表示の制限
• 2 回の独立したサードパーティ評価（レポートは FCC に提供）

FCC はこの和解をモバイル業界のモデルと呼び、取締役会の可視性、ゼロトラスト、セグメンテーション、アイデンティティおよびアクセス管理、データ最小化を強調しました。この特徴付けは規制当局の見解であり、合意が署名された時点ですべての義務がすでに完了していたことの証明ではありません。(FCC 和解発表)

2026 年 7 月 10 日現在、公衆は判決、そのスケジュール、T-Mobile の継続的な年次報告書における統治の説明を検証できます。T-Mobile の 2025 年年次報告書は、2021 年と 2023 年のイベントから多大なコストが発生し、2024 年の合意を通じて 1 つの FCC 調査が解決されたが、他の政府の調査や手続きに引き続き直面していると述べています。取締役会の監督、定期的な報告、四半期ごとのエンタープライズリスク評価、サードパーティリスク管理、より広範な複数年セキュリティ戦略について説明しています。(T-Mobile 2025 年フォーム 10-K)

レビューされた記録から公衆が検証できないことも同様に重要です。判決では、独立した評価レポートは法律で許容される範囲で機密として扱われるとされています。セグメンテーションの適用範囲、MFA の例外、データ削除の結果、API 認可テスト、アラートパフォーマンス指標の公開は要求していません。これらの公開成果物の欠如は、不遵守の証拠ではありません。これは、外部保証が制限されたままであることを意味します。FCC は、消費者、顧客、研究者が一般的に検査できない証拠を受け取ることができます。

プログラムはまた、発効日から 3 年後の 2027 年に失効します。判決が有効であるという理由だけで存在する管理策は、持続可能な統治ではありません。T-Mobile の取締役会と経営陣は、規制監督が終了した後も、インベントリ、リスク受容、テスト、報告が通常の運営規律であり続けることを示せるべきです。

FCC 判決が根本原因について述べていること

同意判決は時に逆読みされます。和解が管理策を要求する場合、規制当局がその管理策が根本的なすべての事象で欠如していたことを証明したと見なされます。それは強すぎる見方です。FCC と T-Mobile は注意義務基準の問題を争っており、多くの義務は将来に向けたものです。判決は、リストされたすべての保護策が以前に欠けていたか、指定された正確な形で法的に要求されていたことを認めることなく、調査リスクを解決します。

それでも、救済策の構造は示唆的です。規制当局は「サイバーセキュリティを改善する」という一般的な約束で満足しませんでした。観察された経路に密接に対応する管理策を要求しました。

セグメンテーション、本番/非本番分離、ポートガバナンスは、2021 年の通信機器からラボ、データ保有環境への移動に対応します。パスワード管理、デフォルト認証情報手順、フィッシング耐性 MFA、特権アクセス慣行は、推測されたパスワード、スプレー攻撃、従業員フィッシングに対応します。監視、アラート保持、チューニングは、発見前の長い期間と、不審なアクティビティを相関させる必要性に対応します。データ最小化、所有者の証明、インベントリは、バックアップの集中と過去の顧客記録の存在に対応します。サードパーティおよび MVNO の監督は、共有プラットフォームの露出に対応します。消費者データと重要資産のインベントリは、何が到達可能で、どこにあるのかという繰り返しの質問に対応します。

判決の API との関連性はあまり明示的ではありませんが、依然として存在します。対象情報のインベントリだけでは、過剰な API 取得を止めることはできません。情報セキュリティ、リスク評価、アクセス制御、監視、最小化の規定は、フィールドレベルの認可と列挙検出の基盤を作りますが、信頼できる実装には API 固有のテストが必要です。外部に公開されている、またはパートナー向けのすべての API は、名前付きの所有者、認証されたワークロードアイデンティティ、目的に拘束されたスコープ、オブジェクトおよびフィールドレベルの認可、レートとボリュームの制限、スキーマインベントリ、ネガティブテスト、および連続的な抽出に対するアラートを持つべきです。

同様に、フィッシング耐性 MFA は必要ですが十分ではありません。MVNO のイベントには従業員の SIM スワップが含まれており、特権的な通信事業者アクセスにおいて電話チャネルの所持を高保証の要素として扱うべきでない理由を示しています。販売アプリケーションは数十人の従業員の認証情報とポートアウトの影響を伴いました。強力な認証は、管理されたデバイス状態、最小権限、短いセッション、不可能な移動や行動の信号、機密性の高い変更に対するステップアップ検証、アプリケーション全体での迅速な失効と組み合わせるべきです。

判決は、管理策が技術的に実行不可能または不当に負担が大きい場合、代替策が意図を満たす限り例外を認めています。これは大規模で混合世代のテレコムエステートにとって実用的です。また、統治リスクも生み出します。例外は、所有者、有効期限、リスク評価、補償的証拠、経営陣の可視性がない場合、影のアーキテクチャになる可能性があります。したがって、セグメンテーション例外をレビューし、重大なリスク受容を文書化するという要件は、名目上のゼロトラスト要件と同様に重要です。

公的な説明責任のテストは、T-Mobile が「ゼロトラストを持っている」と言えるかどうかではありません。ゼロトラストはアーキテクチャの方向性であり、二値の証明書ではありません。テストは、1 つのラボ、アプリケーション、または API に到達するアイデンティティが、そのリソースに対して最小限の権限のみを受け取るかどうか、新しい要求が現在のアイデンティティ、デバイス、行動の証拠を使用して評価されるかどうか、水平移動が観察可能かどうか、組織が事後にアクセス決定と所有者を生成できるかどうかです。

FCC は 2023 年の別の命令で通信事業者の侵害報告要件を近代化し、保護範囲を CPNI を超えて個人識別情報に拡大し、更新されたトリガーの下で委員会、法執行機関、影響を受ける顧客への通知を要求しました。これらの規則は 2024 年に発効し、2021 年のイベントの報告基準として遡及的に扱うべきではありません。これらは、通信事業者が保持するアイデンティティデータを、二次的な消費者データベースではなく、中核的な通信プライバシー義務の一部として扱うという規制の転換を示しています。(FCC データ侵害報告命令)

証拠に基づく管理スコアカード

改善プログラムは、再現可能なテストに答えられるようになると信頼性が増します。以下のスコアカードは、T-Mobile の機密の現在の構成についての主張ではありません。これは、存在する証拠を、非公開または未知のままの証拠から区別する方法です。

このフレームワークは、2 つのよくある誤りを回避します。1 つ目は、新たなリスクを生み出すような公開ネットワーク図や検出ルールを要求することです。説明責任は秘密の公開を要求しません。集計された適用範囲、独立した範囲、例外の経過期間、検証されたクロージャは、攻撃者に経路図を与えることなく開示できます。

2 つ目の誤りは、金額やフレームワーク名を証拠として受け入れることです。1 億 5000 万ドルの集団訴訟コミットメントと 1575 万ドルの FCC 投資は相当なものですが、管理策は高価でも不適切に設定されている場合があります。逆に、狭い権限の変更が、ほとんどコストをかけずに膨大な抽出を防ぐことができます。成果指標は攻撃経路を追うべきです。アイデンティティがどれだけの権限を取得できるか、どれだけ遠くまで移動できるか、どれだけのデータを取得できるか、そして悪用がどれだけ迅速に検知され封じ込められるかです。

企業、規制当局、顧客にわたる説明責任

犯罪行為者は、不正アクセス、窃取、販売未遂、フィッシング、SIM スワッピング、および関連する悪用に対して直接的な責任を負います。セキュリティ分析はこれを薄めてはなりません。また、犯罪の意図が、同社が保有を選択したデータの機密性と規模に見合った管理策を運用する通信事業者の義務を消し去ってはなりません。

T-Mobile は、2021 年に使用された機器とラボ、認証情報と環境境界、バックアップの配置、MVNO 管理プラットフォーム、リモート販売アプリケーション、API 権限、監視システム、過去および見込み顧客記録の保持を管理していました。したがって、インシデント前に完全なシステム横断的リスクを低減できる唯一の当事者でした。顧客は警告後に信用凍結、PIN リセット、ポートアウト報告ができましたが、T-Mobile のネットワークをセグメント化したり、その API 認可を修正したりすることはできませんでした。

再販業者は自社の顧客関係の一部を管理し、異常なプラットフォーム動作を検知または報告できました。従業員は認証情報を渡さない義務がありましたが、フィッシングキャンペーンと SIM スワップは予見可能な敵対的条件です。成熟したシステムは、一部の人が騙されることを前提とし、侵害された 1 つのアイデンティティができることを制限します。説明責任は、従業員の非難よりも前に、管理設計にあります。

取締役会の役割はファイアウォールルールを選択することではありません。それは、意欲、リソース、証拠を統治することです。この記録は、取締役会が答えられるべき疑問を提起します。どの非本番システムが対象データに到達できるか？フィッシング耐性 MFA を欠く特権経路はいくつあるか？緊急アクセスの例外はどれくらいの期間開かれたままか？顧客データストアの何パーセントが保持ポリシーと照合されているか？改善が困難であるために受け入れられたリスクはどれか？各インシデント後に何が変わり、その変更はどのように独立してテストされたか？

FCC の役割は、判決後に強化されています。評価レポートを要求し、特定された義務を執行できるからです。しかし、その証拠の多くは機密のままであり、より広範な市場規律を制限しています。規制当局は、合法的な範囲で集計されたコンプライアンス結果を公開すべきです。評価が行われたかどうか、所見の大まかな数と重大度、改善が検証されたかどうか、重大な例外が残っているかどうかです。これにより、セキュリティの詳細を保持しながら、命令が単なる書類ではないことを示せます。

私的訴訟は、責任の承認なしに補償とセキュリティ支出のコミットメントを生み出しました。3 億 5000 万ドルの基金は規制上の罰金と表現すべきではなく、1 億 5000 万ドルは消費者に支払われた現金と表現すべきではありません。弁護士費用に関する控訴審の争いは、和解のセキュリティ義務の破棄と誤解すべきではありません。

ワシントン州の 2025 年の訴訟は、既知の脆弱性、監視、パスワード、表明、通知の質に関する争点のある主張を追加します。これらの主張は特定の説明責任理論を特定しているため注目に値しますが、本記事でレビューした情報源では未解決のままです。訴状はフォレンジックの所見ではありません。攻撃メカニクスについては FCC の交渉された事実説明がより強力な情報源であり、会社が報告したタイミング、コスト、法的地位については T-Mobile の SEC 提出書類がより強力な情報源です。

消費者は実用的な役割を保持しますが、残余の管理手段となるべきではありません。信用凍結、アカウント乗っ取り保護、PIN 変更、フィッシングへの注意は、開示後の被害を減らすことができます。どれも恒久的な識別子を再び秘密にすることはできません。個人情報監視は悪用を人に警告できますが、社会保障番号や運転免許証番号の独占性を回復するものではありません。したがって、補償とサポートは、即時の不正請求だけでなく、リスクの期間を反映すべきです。

公共部門の顧客は、追加の調達役割を持っています。アカウント管理、サポートアクセス、データの場所、サブプロセッサー、認証、ポートアウト管理、通知、ログの可用性、継続性テストに関する証拠を要求できます。データセンターの国内立地を主権と同一視したり、フレームワークの整合性声明をテスト済みのセキュリティと同一視する契約文言を避けるべきです。調達は通信事業者全体を監督することはできませんが、高リスクのアカウント経路を可視化し、インシデント前にエスカレーション権を保持することができます。

何が変わり、何がまだ主張できないか

改善の記録は、最初の 2021 年の約束よりも実質的に強力です。T-Mobile は外部専門家を関与させ、消費者サポートに資金を提供し、大規模なセキュリティ支出をコミットし、エンタープライズガバナンスを説明し、詳細な FCC プログラムを受け入れ、独立した評価に同意し、サイバーリスクを公に報告し続けました。API インシデントは検知後に迅速に封じ込められ、FCC の和解は、アイデンティティ、セグメンテーション、監視、インベントリ、保持に関する広範な目標を具体的な義務に変換しています。

複数年の変革中にインシデントが発生したからといって、何も変わらなかったと主張するのは誤りです。セキュリティプログラムは、アクティブな敵対者と継承されたシステムに対して運用されます。後のいくつかのイベントは、最初のプログラムが完了する前に始まりました。また、公的記録は、ここで分析された 2021 年から 2023 年のレンズ内で、判決後に同等の顧客データ範囲の別の侵害を確立していません。

問題が解決したと宣言するのも同様に誤りです。サードパーティの評価レポートは公開されていません。判決は 2027 年まで有効です。現在の年次報告書はプロセスと残余リスクを説明していますが、フィールドレベルの管理有効性は説明していません。レビューされた情報源は、完全な MFA 適用範囲、API インベントリ、セグメンテーション例外、過去データの削除総数、クロス環境移動の平均検知時間、規制当局が要求する評価の結果を開示していません。

最も防御可能な結論は条件的です。T-Mobile は、インシデント対応と自発的投資から、強制力のあるアーキテクチャと証拠のプログラムへと移行しました。これは説明責任における真の進歩です。実装の公的な証明は部分的です。なぜなら、最も強力な保証チャネルは、企業、評価者、FCC の間で非公開で実行されているからです。

この記録は、当初のイベントの理解の仕方も変えます。それは単にインターネット上に放置されたデータベースではありませんでした。侵入者は、通信機器からラボ、サーバー、バックアップに至る一連の信頼決定を通過しました。その後のアクターは、従業員の要素、リモート販売アクセス、API 権限に異なる信頼決定を見出しました。共通の弱点は 1 つの製品ではありませんでした。それは、提示したアイデンティティが到達を許されるべき範囲を超えて拡張された権限でした。

データの局所性だけではこれを解決できません。レコードは物理的に米国内にとどまりながら、リモートアクターが論理的にローカルなセッションを取得し、認可されたシステムにそれを返させることができます。主権は、法的権限、技術的ポリシー、インベントリ、監視、証拠が、誰がデータにどのように行動できるかについて一致するときに現実のものとなります。

継続性も基地局の稼働時間だけで測定すべきではありません。インシデントは文書化された全国的なサービス停止を引き起こしませんでしたが、1 つは不正なポートアウトの症状を通じて検知され、露出した記録には加入者関係の周りで使用される識別子とアカウントコンテキストが含まれていました。公共機関や重要インフラ運営者にとって、回線を管理するアイデンティティを維持することは、回線を維持することの一部です。

これが、T-Mobile の 2021 年から 2023 年の記録からの永続的な説明責任基準です。人数を正確に数えること。防御可能な目的があるものだけを保持すること。バックアップとラボをデータ保有システムとして扱うこと。デバイス、従業員、サービス、API に狭いアイデンティティを付与すること。緊急時の例外を意図的に終了させること。有効な認証情報が無効な作業を行うことを検出すること。取締役会と規制当局が受け入れられた管理負債を認識できるようにすること。そして、次のインシデントがテストを提供する前に、改善が証明可能であること。