一向に改善されない連邦政府機関のサイバーセキュリティ事情

Richard Forno
2004年3月22日 11:39 GMT

　過去数年間にわたり、会計検査院（GAO）から議会の委員会に至るまでワシントンの様々な政府機関が情報セキュリティに関する調査を毎年行い、その報告書を発表している。各ケースにおいて多少の例外はあるものの、調査結果は極めて厳しいものから呆れてしまうものまで多種多様だ。しかし、基本的に 1990 年代の中頃からその状況は変化していないようだ。

　政府機関の監視に関連する他の問題と同様、情報セキュリティに関する報告書の発表はワシントンの毎年恒例の行事となりつつある。そして連邦政府機関ネットワークの安全性をこれまで以上に確保するため、我々が "行う" 必要のある施策について様々な論議が議会で繰り広げられる。政府機関の高官や最高情報責任者（CIO）が議会に召喚され、証言する場合もある。また、法案を提出しても上院に上程される前に廃案になる場合もある。結果、この問題は翌年の報告書の発表までデジタル・メモリの中に仕舞い込まれ、状況は何も改善されることなく、また同じことが繰り返されるのだ。

　これは、我々が年に一度歯医者に行くのと似ている。つまり、歯科医は歯をよく磨き、甘いものを控えるよう注意する。歯科医は患者を前にしてそれらの忠告を行い、カルテに書き込む。他方、患者である我々はその時、一種の居心地の悪さを覚えるだろう。何故なら、それらの忠告は十二分に分かりきったことだからだ。それを我々は毎年、耐えているのである。何故なら、良好な口腔衛生を保つためにはしなければならないことだからだ。当然のことながら、我々は歯科医の忠告を無視する。理由は面倒だから。加えて、キャンディはセロリよりも美味しい。

　前述の患者の態度は、連邦政府機関の多くの情報システム・セキュリティ担当者にも当てはまる。以下に 1990 年代後半まで遡った報告書の一部を記述した。そこには悪い調査結果が多数報告されており、それに対する改善策も提案されている。しかし、患者は言うことをきかないのである...。他方、歯科医は患者の歯に対する態度を改めさせることはできない（この場合、歯科医にその気がないとも言う）。

●危機に晒されている政府機関のネットワーク
　1998年9月24日

　議会の調査機関によると、内国税歳入局や国防省を含む 24 の主要政府機関のネットワーク・セキュリティは脆弱と見なされ、重要な政府の運用およびデータを詐欺、不正使用、破壊の危険に晒すものだ。

●報告：政府の Web サイトはプライバシー、セキュリティに関して脆弱
　2000年9月12日

　会計検査院（GAO）が発行した報告書によると、米政府の Web サイトおよびコンピュータ・システムはプライバシーおよびセキュリティを適切に確保していない。同報告書は、連邦政府の様々な機関の Web サイトに提出された情報を連邦政府が十分に保護しておらず、もしくは悪意ある人物から情報システムを十分に防衛していないと強く指摘している。GAO のプライバシーに関する調査では、政府機関の Web サイト方針を評価するための基準として連邦取引委員会（FTC）が商用サイトの判定に用いている方法を採用した。FTC の公正情報ガイドラインは次のように述べている。Web サイトは消費者から情報を収集する前にプライバシー方針を掲載する必要がある。情報の開示を禁止するオプト・アウトの選択肢を消費者に与える。消費者が情報を提出する前に情報を精査できるようにする。許可されていない使用を阻止するために適切なセキュリティを施す。

●FAA のセキュリティ不備、改善されず
　2000年9月27日

　本日リリースされたコンピュータ・セキュリティに関する政府の最新報告書によると、連邦航空局（FAA）は今夏、政府の調査で明らかにされた深刻なセキュリティ問題を修正しようとしている。しかし、航空交通管制で使用されているような基幹コンピュータ・システムのセキュリティは依然として十分に確保できていない。また、下院科学委員会の声明文によると、依然として改善されない FAA のコンピュータ・セキュリティ不備に関する会計検査院の報告書は、下院科学委員会を前にして聴聞会で発表され議論された。尚、下院科学委員会は、それらの不備が旅行者に与える影響などを調査している。

●米政府機関のハイテク・セキュリティ、落第
　2001年11月9日

　金曜日に開かれた議会聴聞会での証言によると、政府機関は自身のコンピュータ・セキュリティに関して複数の慢性的問題を抱えている。下院政府改革委員会の小委員会が、政府機関のハッカーやテロリストそして他の犯罪者対策についてランク付けを行ったところ、ほとんどの機関が落第の烙印を押された。行政管理予算局の情報技術（IT）および電子政府担当の Mark Forman 氏は次のように述べている。「政府機関が IT セキュリティに投資する割合とセキュリティの評価には、あまり関連性はない」。

［情報提供：The Register］
http://www.theregister.co.uk/

［翻訳：関谷　麻美］

（詳しくはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec