摘要

  • 2026年10月28日，美联储理事会监察长发布信息安全审计。理事会每半年开展应急测试，保存部门级业务连续性计划，但未为单个信息系统建立包含所需技术恢复步骤的完整计划。
  • 业务影响和流程分析由情报、内部风险与国家安全项目部门负责，技术应急计划由信息技术部门负责。两者没有明确的共同协调和更新规则。多数业务影响分析自2023年或更早以后未更新，超过一半的业务流程分析自2024年或更早以后未更新；这些是文件更新时间，不是实际恢复失败的记录。
  • 理事会的信息安全项目按联邦评估方法得2级，满分5级，低于被视为有效的4级。评分方法变化和治理领域的纳入影响历年数字比较。此前17项建议中13项仍未完成；理事会接受了本次新增的8项建议。

演练的尽头是一台具体的机器

理事会监察长的原始审计报告针对的是美联储理事会，不是所有地区联储银行。这个机构处理用于金融监管与决策的敏感信息。报告没有把它描绘成没有准备的组织：理事会每半年做一次应急测试，各部门也保有业务连续性计划。审计真正找不到的是针对单个信息系统、包含完整必要恢复内容的计划。

部门计划能够写明哪项业务不能停。到了系统层面，技术人员还需要知道恢复顺序、数据应回到哪个时间点、替代处理方式、测试要求和实际复原动作。监察长逐一列出这些缺项。一名理事会官员说，有关信息已经记在系统安全计划里；审计人员检查后发现，那些计划并没有提供单个系统所需的恢复程序。文件名称可以覆盖一项职责，文件内容却接不上那项职责。

因此，问题不是演练次数少了多少，而是演练证明了什么。一个部门完成集合、联系和职责分派，并不会自动证明某个应用可以在约定的时间里恢复到可用的数据状态。中断发生时，谁先恢复、恢复到哪一版、临时如何处理，必须在事前由掌握业务优先级和技术依赖的人共同决定。

两个部门把同一场危机写成了两份版本

负责情报、内部风险与国家安全项目的 IINS 团队管理业务影响分析、业务流程分析和连续性计划。信息技术部门管理技术应急计划。监察长发现，理事会没有建立明确的制度，规定两个团队如何协调、谁负责对齐优先级和技术能力、相关文件多久联合复核一次。

时间戳把断口暴露出来。多数业务影响分析自2023年或更早以来没有更新，超过一半的业务流程分析自2024年或更早以来没有更新。若干流程分析在2025年做了修订，对应的影响分析却没同步。一个团队拿到的是新版业务流程，另一个团队可能仍依据旧版重要性排序。灾时再核对版本，代价由正在等待恢复的人承担。

监察长据此判断，理事会对关键系统能否在中断后稳定、及时恢复，缺乏充分把握。这是对计划与控制的判断；报告没有记载某个具体系统已经恢复失败。要改变它，需要一条清楚的责任链，把业务影响、系统依赖和恢复时间放到同一个可测试的决定里。

系统清单也显示同一种管理裂缝。理事会自己的标准要求记录32个字段，现有清单缺了其中10个，包括信息类型、授权边界、系统负责人和云服务类型。一些处理个人信息或支撑基本职能的系统被错误分类；另一些系统出现在合规工具中，却不在主清单里。缺的是10个字段，不能写成少了10套系统。缺失的字段恰恰是分配负责人、识别依赖、安排恢复顺序时需要的信息。

“2级”有方法，恢复能力要有证据

监察长的官方摘要给理事会2026年度信息安全项目的成熟度评为2级，五级制中的“已定义但未持续落实”。联邦标准把可管理、可测量的4级视为有效。理事会2024年度曾获4级，2025年度获3级。把4、3、2画成一条纯粹恶化的斜线会漏掉评估方法的变化：计算从取最常见等级改为平均值，网络安全治理成为独立评估领域，监察长也纳入了新发现的控制问题。当前2级是明确的审计结论；跨年比较需要逐项看方法。

积压更直观：此前年度审计留下的17项建议中，13项仍未完成；另外4项在理事会采取措施后关闭。本次又提出8项建议，其中包括全机构业务影响与流程分析协调、单个系统应急计划、系统清单、多因素认证例外、漏洞处理、持续监测与云服务合同。理事会的首席信息官和首席财务官同意审计结论，并提出拟采取的行动。接受建议使责任有了收件人，还没有使恢复步骤出现在计划中。

其中一项建议直指两份文件之间的缝：让 IINS 和信息技术部门协调业务影响与流程分析，约定各自职责和联合复核节奏，并要求单个系统的应急计划。下一次能够改变判断的凭据，应是带日期、能相互对应的业务分析与技术计划，标明系统负责人、恢复目标和测试结果。理事会已经会定期演练；现在需要证明演练能走到单个系统。

来源