米上院有力議員、国防総省契約業者のサプライチェーンリスクを指摘

ダイブ・ブリーフ：

• 上院情報特別委員会委員長のトム・コットン議員（共和党、アーカンソー州選出）は、マイクロソフトが中国のエンジニアを機密業務に利用しているとの報道を受け、国防総省に対し、契約業者が中国人労働者に依存している実態を調査するよう求めています。
• 「国防総省は、下請け業者を含むサプライチェーン内のあらゆる潜在的脅威から守らなければならない」とコットン議員は水曜日の書簡でピート・ヘグセス国防長官に述べました。
• コットン議員の調査は、マイクロソフトの中国人エンジニアとの異例の取り決めを受けて、議会内で軍用コンピュータシステムの安全性に対する深い懸念を反映しています。

ダイブ・インサイト：

コットン議員の書簡は、7月15日のProPublicaの記事を受けたもので、マイクロソフトが中国人従業員を使い、米国人従業員が国防総省のコンピュータシステムに変更を加える際に「エスコート」していた実態を明らかにしました。ProPublicaに対し、ある「デジタルエスコート」は「彼らが悪意のあることをしていないと信じているが、実際のところは分からない」と述べており、この取り決めが「10年前にマイクロソフトが連邦政府のクラウド事業を獲得する上で重要だった」と報じられています。

コットン議員はヘグセス長官に対し、「中国人を雇用してDoDシステムの保守やその他のサービスを提供しているすべての軍事契約業者」のリスト、およびマイクロソフトや他の契約業者のためにデジタルエスコートを雇用している下請け業者のリストを求めました。また、これらのエスコートの採用や訓練に関するプロトコルについても情報提供を要請しました。

「この取り決めは技術的には米国市民が機密データを扱うという要件を満たしているが、デジタルエスコートは悪意のあるコードや不審な行動を見抜くための技術的訓練や専門知識を持っていないことが多い」とコットン議員は書いています。

議会による監視は、マイクロソフトや他の中国ビジネスを大きく展開する著名な政府契約業者が、サプライチェーンのセキュリティ対策について厳しい精査を受ける可能性を示唆しています。

特にマイクロソフトは、ずさんなセキュリティ対策によって連邦システムへの大規模なサイバー攻撃を招いたとして、長年米政府の標的となっています。これらの攻撃キャンペーンの一つは、ゼロデイ脆弱性を突いたMicrosoft Exchangeサーバーへの攻撃で、中国政府と関係するハッカーによる活動から始まったと連邦検察官が述べています。

マイクロソフトはコットン議員の書簡についてのコメント要請にすぐには応じませんでした。