連邦政府のサイバーセキュリティ報告規則、7割が重複と判明

連邦機関への文書報告を義務付ける連邦サイバー規制のうち10件中7件が、他の規則と重複していることが、政府監査機関による水曜日の議会向け報告書で明らかになりました。

そして、これまでのところ、規則間の矛盾を解消しようとする取り組みはあまり成果を上げていない、と同報告書を作成した米政府監査院(GAO)は結論付けています。

GAOは2人の有力議員の要請を受け、37の連邦機関におけるサイバー規制を調査しました。その結果、117件の規則のうち80件が「ある業種に適用される報告要件が他の規則と同種のものであるか、あるいは少なくとも1件の他の規則と全く同じ報告要件を含んでいる」ことが判明しました。

こうした矛盾する規則を調和させたいという意向は、バイデン政権下で勢いを増しました。同政権は歴代政権よりも積極的にサイバーセキュリティ規制を推し進めていたためです。この取り組みは第2次トランプ政権下でも継続しています。

GAOは、下院国土安全保障委員会のアンドリュー・ガルバリノ委員長(共和党・ニューヨーク州選出)と、上院の対応する委員会で野党第一党を務めるゲイリー・ピーターズ議員(民主党・ミシガン州選出)からの要請に基づく調査の一環として、民間企業にサイバーセキュリティインシデント・計画・レビューを連邦機関に報告するよう義務付ける規則を精査しました。

ケースによっては、単一の重要インフラ分野が複数の機関との間で規則の重複を抱えることもあります。例えば、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、2022年の重要インフラのためのサイバーインシデント報告法(CIRCIA)に基づく規則の策定を進めています。この規則は、重要インフラの所有者・運営者に対し、大規模な攻撃の被害に遭った場合やランサムウェアの身代金を支払った場合に報告を義務付けるものです。

金融サービス分野の一部の事業者は、監督権限を持つ機関によっては、既存の15件のサイバーセキュリティ報告規則のいずれかに該当する場合がありますが、それに加えて策定中のCIRCIA規則の対象にもなり得る、とGAOは指摘しています。

2024年の国家安全保障覚書は、国家サイバー長官室(ONCD)と国土安全保障省(DHS)に対し、矛盾する規制の調和を図るよう指示し、両機関ともこの目標に向けて一定の進展を見せました。

しかし、行政府は昨年3月にトランプ大統領が大統領令を発令した後、これらの取り組みの一部を中断し、2024年の覚書に関する見直しを実施しました。この見直しは、GAOによれば、先月の時点でもなお継続中だといいます。

そのため、規則の調和に関して「過去の連邦政府の取り組みの多くは遅延に見舞われ、進展も限定的だった」と、GAOは水曜日の報告書で結論付けています。これは、この分野に関する同院の最新の報告書となります。 

議会もまた、サイバーセキュリティ規制を簡素化する方法を検討してきました。

GAOの調査は連邦レベルの規則のみを対象としたものでした。サイバーインシデント対応を手がける企業BreachRxは水曜日、主要なサイバーインシデントと、重複する規制上の報告義務がどのように関わってきたかを検証した独自の報告書を公表し、州法など他の情報源に基づく規制も併せて分析しています。