GAO報告書、サイバーセキュリティ規制の重複範囲を詳細に指摘

米政府監査院(GAO)によると、連邦政府のサイバーセキュリティ規制のおよそ70%が報告要件の重複を含んでおり、監督当局にとって大きな利益を生まないまま、重要インフラ事業者に不必要な負担を課している可能性があるといいます。

37の機関が9つのインフラ部門を対象とする117件のサイバーセキュリティ規則を発行しており、水曜日に公表された報告書でGAOはこう述べています。そのうち80件の規則が同じ領域をカバーしており、サイバーセキュリティインシデント、計画、または監査に関する報告を求めています。この80件の規則全体で、GAOは125種類の個別の要件を確認しました。

「多くの規制が複数の種類の報告を求めていました」と、GAOのアナリストたちは下院・上院の国土安全保障委員会の指導者宛の報告書に記しています。「複数の規制が同種の報告要件を持つ場合、特にその要件が同一部門内あるいは複数部門にまたがる事業者に影響を及ぼす場合、それらの規制は重複または矛盾する可能性を孕みます」

GAOは、27機関による48件のインシデント報告要件、26機関による52件の計画報告要件、そして15機関による25件の監査報告要件を特定しました。

インシデント報告の分野では、金融サービス部門の企業が最も大きな規制重複の可能性に直面しています。同部門の企業は、財務省、連邦取引委員会(FTC)、連邦預金保険公社(FDIC)、その他の機関が定める15件の規則のいずれかに準拠しなければならない場合があります。

サイバーセキュリティ計画の報告に関しては、連邦政府と契約する企業が、同じ計画情報を取引先の各機関に個別に提出しなければならない場合があります。また、極めて多様な輸送部門では、規制当局が計画報告を義務付ける7件の規則を発行しており、GAOによれば「全部門に影響を及ぼす規制が、特定部門に特化した規制と重複または矛盾する可能性がある」といいます。

第三者による監査や評価の結果提出を企業に義務付ける規制については、GAOは「複数の規制に準拠するため、重複するコンプライアンスデータの提出や、範囲・深度・手法が異なりうる複数のコンプライアンス監査の実施を求められる可能性がある」と警告しています。

今回のGAOの規制重複に関する報告書は、サイバーセキュリティ・インフラセキュリティ庁(CISA)が規則の最終策定を進めている最中に公表されました。この規則は「重要インフラのためのサイバーインシデント報告法(CIRCIA)」によって義務付けられているもので、業種横断的な広範な重要インフラ事業者に、重大なインシデント報告要件を課すことになると見込まれています。

規制の調和が図られなければ、CIRCIAは重複の問題をさらに悪化させることになる、とGAOは指摘しています。特に金融サービスのようにすでに規制が手厚い部門ではその傾向が顕著だといいます。重複にとどまらず、CIRCIAは矛盾も生み出しかねないとアナリストたちは記しています。「金融サービス部門の事業者がいつサイバーセキュリティインシデントを報告すべきか、何を報告すべきか、そして連邦機関にどれだけ迅速に通知することが求められるかについて、CIRCIAが異なる要件を課す可能性が存在します」

GAOは、連邦政府の規制の錯綜状況についてインフラ事業者からの意見を収集しているところであり、秋にはその見解をまとめた報告書を発行する予定だとしています。

停滞する調和への取り組み

バイデン政権とトランプ政権はいずれも、重複する規則を撤廃し規制条文を現代化することで規制環境を合理化すると約束してきました。しかしGAOの調査によると、各機関はこの点でこれといった進展を遂げていません。

省庁横断の「独立・行政府規制当局向けサイバーセキュリティフォーラム」は2024年後半から活動を停止しています。国土安全保障省(DHS)は自らのサイバーインシデント報告協議会の勧告を実行に移している証拠を何ら示しておらず、トランプ政権はドナルド・トランプ大統領の国家サイバーセキュリティ戦略を実行するための計画の発行を先延ばしにし続けています。

「実施計画を策定することに加え、[国家サイバー長官室(ONCD)]をはじめとする関係機関にとっては、サイバーセキュリティ規制の調和に向けてすでに着手している取り組みを優先し、最後までやり遂げることが重要になります」と、GAOのアナリストたちは記しています。「そうすることで、民間部門への負担となりうる要件を軽減しつつ、国の重要インフラのサイバーセキュリティを強化するという目標の達成に資するでしょう」

GAOは意見や論評を求めるためこの報告書をONCDと共有しましたが、同局はコメントを控えています。