Summary

  • 美联储理事会监察长 2026 年 10 月 28 日的审计发现，一个内设 IT 小组约 97% 的用户在某些应用上不必执行抗钓鱼多因素认证。这不是全理事会的比例，也不等于这些用户所有登录都无需第二项验证。
  • 理事会没有中央统一的认证豁免清单。管理层无法迅速说明部分豁免理由，中央 IT 部门也不掌握豁免已持续多久、何时到期。监察长要求建立全机构政策并重新审查豁免人群。

规则在中央，出口散在各处

理事会实行抗钓鱼多因素认证，但例外由不同部门沿不同流程管理。完整审计报告把最刺眼的一角量了出来：一个内设 IT 小组约 97% 的用户，在某些应用上得到豁免。这个数字有严格边界，却足以揭示制度的重心。若一个部门的例外几乎覆盖全员，例外在当地就成了默认办法。

中央 IT 部门不知道豁免的年龄和到期时间；管理层也无法立即解释一些人为何获批。审计没有报告一次已发生的入侵，也没有说所有用户完全不用多因素认证。真正的漏洞是，理事会可以公布统一标准，却无法统一回答谁离开了标准、离开多久、谁承担这项决定。

另一个证据来自同一内设小组。它为多个部门提供支持，却保留独立的漏洞管理程序；本地政策允许自行决定是否向信息安全官报告漏洞，而全机构程序要求强制上报。理事会的系统清单也缺少 32 类必填字段中的 10 类，包括系统负责人和授权边界。这里缺的是字段类别，不能写成“丢了 10 个系统”。看不见例外与看不清系统归属，是同一条治理裂缝的两端。

监察长将 2026 财年的安全成熟度评为五级中的第二级，低于被视为有效的第四级；2025 年为第三级，2024 年为第四级。报告说明，变化既有实际控制弱点，也受到评分算法及治理指标权重变化影响，不能把三年的级别直接写成同口径事故曲线。此前年度审计的 17 项建议中，13 项仍未完成。新的八项建议包括统一管理认证豁免，理事会表示同意。签字同意之后，还需要能核对的豁免台账。

Sources