Summary

  • К сентябрю 2026 года 15 из 22 проверенных гражданских федеральных ведомств создали первоначальный реестр сетевых устройств IoT и операционных технологий. Одиннадцать поддерживали его в актуальном состоянии, десять указывали все восемь требуемых групп сведений, а семь выполнили три условия одновременно.
  • Министерство жилищного строительства и городского развития США (HUD) сообщило, что новая программа нашла более 160 устройств, отсутствовавших в старой базе. Министерства торговли и юстиции имели все требуемые поля, но не обновляли сводные реестры регулярно. Административно-бюджетное управление (OMB) не выпустило обновлённое руководство на 2026 финансовый год и не проконтролировало выполнение в установленный срок.

Устройство появляется раньше записи

Доклад Счётной палаты США (GAO) от 30 сентября 2026 года посвящён сетевым приборам, которые действуют в физической среде: датчикам, системам зданий, специальному оснащению лабораторий и медицинских учреждений. Чтобы защитить их, нужно знать, какие приборы подключены, кто ими управляет, какие версии программ работают и куда идут соединения. OMB потребовало от охваченных гражданских ведомств создать общеорганизационные реестры до сентября 2024 года и затем поддерживать их. Правила появились в декабре 2023-го и были уточнены в январе 2025-го.

Спустя два года семь ведомств ещё не имели готовой первоначальной описи. У пятнадцати она была, одиннадцать поддерживали её, десять включали все восемь требуемых групп данных для каждого объекта. Другие семь выполнили все три условия одновременно. Эти числа измеряют разные, пересекающиеся свойства. Папка с первым списком может устареть сразу после нового монтажа. Регулярное обновление списка, где не записаны нужные свойства, также оставляет специалиста без основы для решения.

Восемь групп сведений — идентификатор; описание; категория актива; владелец информационной системы или специалист по безопасности; изготовитель; версии программного обеспечения и прошивки; сетевые связи и интерфейсы; меры защиты. Если не указан ответственный, непонятно, кому поручить проверку. Если нет версии, сложнее сопоставить прибор с обновлением. Без схемы соединений невозможно уверенно представить его место в сети. Опись связывает предмет с человеком, который может на него повлиять.

HUD продемонстрировало проблему обнаружения конкретным числом. Его представители сообщили, что новая система управления оборудованием выявила более 160 устройств интернета вещей, не отражённых в старой. Смена инструмента показала, сколько уже установленного оборудования не попадало в видимую ведомству картину.

Полные графы ещё не делают список живым

Министерство торговли собрало все восемь групп сведений в первоначальном реестре. Однако подразделения отвечали за собственные списки, а единая опись министерства не обновлялась периодически. У Министерства юстиции поля тоже были заполнены, но кадровые перестановки и нехватка ресурсов мешали постоянному уходу за базой. В обоих случаях недостаёт рабочего процесса, который после установки, замены или вывода прибора меняет общую запись.

Другие ведомства испытывали недостаток самих данных. У Министерства финансов США первоначальный список не содержал ни одной группы и не обновлялся регулярно. Министерство энергетики США полностью включило четыре, частично одну и пропустило три; чиновники объяснили удаление части информации её малой ценностью или чувствительностью. Обнаружить устройства, наладить ведение и заполнить надёжные поля — разные задачи.

Полный официальный отчёт называет и тех, кто выполнил все условия: министерства образования, внутренней безопасности и иностранных дел, Environmental Protection Agency (EPA), General Services Administration (GSA), NASA и Office of Personnel Management (OPM). Их результаты показывают, что работа осуществима. При этом NASA отметило: программы поиска не всегда надёжно различают обычную ИТ-технику, IoT и операционные системы; активные запросы могут нарушить работу чувствительных установок. Метод учёта приходится приспосабливать к самим устройствам.

Ни одно из 22 ведомств не сообщило об исключении из федеральных требований безопасности IoT. Таково состояние зарегистрированных исключений. Неизвестный системе прибор не попадает даже на рассмотрение вопроса о формальном исключении.

Федеральный центр оставил без даты следующую проверку

GAO установила, что OMB не выпустило обновлённые указания на 2026 финансовый год и не надзирало за исполнением в обозначенные сроки. Ведомства ссылались на технические трудности, ресурсы и конкурирующие задачи. Центр задаёт приоритет и дату отчёта; ведомства выделяют людей и средства. Без очередной контрольной точки первоначальный реестр может годами числиться «в работе», пока новые устройства продолжают подключаться.

GAO рекомендовала OMB обновить указания по IoT и операционным технологиям, установить ясные приоритет и график, а затем контролировать выполнение. OMB не прокомментировало проект доклада. Датированный документ и проверяемые обновления ведомственных списков изменят оценку. Хэн Лу предлагает смотреть на фактическое устройство системы. Здесь проверкой служит соответствие записи реальному прибору.

Sources