Summary

  • 截至2026年9月，GAO调查的22家美国民事机构中，15家建立了物联网和运行技术设备清单，11家持续维护，十家记下八类必需信息，七家同时满足三项要求。这些是相互交叉的检验，不能把初始清单当成全部完成。
  • 住房部的新资产管理工具发现旧系统漏记的160多台物联网设备。商务部和司法部的清单字段齐全，却没有在整个部门持续更新。白宫管理和预算办公室当时尚未发布覆盖2026财年的更新指令，也没有在确定期限内监督执行。

设备先上墙，名字后来才上表

GAO于2026年9月30日发布的报告研究的是会与物理世界互动的联网设备：楼宇传感器、控制器、实验室和医疗设施的专用设备。机构要保护它们，得先知道哪些设备连接着网络，谁负责、软件和固件是什么版本、它们与哪些系统相通。管理和预算办公室在2023年12月提出要求，并于2025年1月更新：相关民事机构应在2024年9月前建立覆盖全机构的初始清单，此后持续维护。

到2026年9月，七家机构仍在建设首份清单。15家有清单，其中11家在维护，十家填全了八类设备信息，三项全部完成的只有七家。一张表建成，只证明设备曾被登记过；设备新增、更换或退役之后，名单若不动，表格便慢慢脱离建筑物。反过来，勤于更新但缺少关键字段的清单，也难帮助安全人员作决定。

八类字段列出了控制链条：资产标识、描述和分类，系统负责人或安全官，制造商，软件与固件版本，网络连接与接口，以及安全控制。没有负责人，异常不知道该找谁；缺少版本，设备与补丁难以准确对应；缺少连接信息，设备与其他系统之间的路径便难追。清单真正要回答的是谁能在设备变化时采取行动。

住房部提供了一个醒目的发现。该部官员说，新硬件资产管理系统识别出旧系统没报告的160多台物联网设备。机构仍在部署新工具，也没有给出完成全机构清单的日期。GAO没有把这160多台写成遭入侵的设备。它记录的是换一种寻找办法后，机构眼中的设备总数发生了变化。被漏记的机器原本就在那里。

字段齐全的清单也可能停在昨天

商务部首份清单涵盖八类信息；但下属单位各自维护，整个部门并未定期更新统一清单。司法部也填满字段，却因人员流动和资源限制没有持续维护。两家机构的难题不是少一个表头，而是每次安装、换机、退役，能否让全机构的记录跟着改变。

另一些机构卡在内容。交通部建了清单并制定维护计划，但八类字段只完整记录两类，一类部分记录，五类缺失。财政部有初始清单，却没有纳入八类要求中的任何一类，维护也不持续。能源部填全四类、部分填一类，另三类缺失；其官员说，部分数据因价值不足或敏感性而被删去。发现设备、保持更新、完善字段、处理敏感资料，是四种不同工作。

GAO正式报告全文也列出达到三项要求的机构，包括教育部、国土安全部、国务院、环保署、总务管理局、NASA和人事管理局。它们说明这件事可以做成。NASA同时指出，自动发现工具难以可靠地区分普通IT、物联网和运行技术；对敏感设备主动探测，可能干扰其运行。更好的清单需要适合设备的发现方法，不能只靠提高扫描强度。

22家机构都没有报告物联网网络安全豁免。这是已报告的豁免状态；尚未进入清单的设备，甚至到不了讨论是否给予例外的决策桌前。

总部缺一张带日期的督办表

GAO发现，管理和预算办公室尚未发布覆盖2026财年的联网设备更新指令，也没有在设定期限内监督各机构落实。机构提出技术困难、资源不足和其他优先事项。中央办公室掌握任务的优先级和截止时间，具体部门负责安排人手。没有下一次核验日期，建清单就能一直挂在“进行中”，而设备不会停止接入。

GAO建议管理和预算办公室发出更新指令，明确优先级与时间表，并监督实施。该办公室没有对报告草稿发表评论。新的正式指令、按机构核验的设备字段和持续更新记录会改变判断。Heng Lu关于透过机构叙事检查实际运行的笔记提供观察角度，联邦事实则来自GAO原始报告。

Sources