国防省政策・監視報告評価：非国防省管理の電子メッセージシステムを利用した公務処理に関する報告

主要セクションタイトル一覧

1. エグゼクティブサマリー
2. 勧告、経営陣のコメント及び当方の回答
3. 序論
4. 目的
5. 発見事項
6. 非国防省管理電子メッセージシステムにおける情報共有に関する国防省の分類、機密解除及び人員政策の概要
7. 国防省はその政策を再確認したが、職員は電子メッセージ及び記録保存に関する連邦法及び国防省政策を常に遵守していない
8. 国防省は非国防省管理電子メッセージシステムの使用に関する国防総監察官室の勧告を完全には実施していない
9. 国防省政策違反及び報告勧告の不完全な実施はセキュリティリスクを悪化させた
10. 勧告、経営陣のコメント及び当方の回答
11. 付録A：範囲と方法論
12. 付録B：報告勧告の状況
13. 付録C：国防省管理非機密情報、分類及び機密解除の政策とプロセス概要
14. 付録D：国防省電子メッセージシステム政策とガイダンスの年表概要

文書概要

本報告書は、2025年3月26日付の米国上院軍事委員会委員長及び筆頭委員からの要請に応じて作成されたものであり、政府職員及び従業員が非政府ネットワーク及び電子アプリケーション上で機微・機密情報を共有する際の国防省の政策を評価し、その分類・機密解除政策及びプロセスを検証し、特定された潜在的問題に対して勧告を行うことを目的としている。報告書の中核は、2021年から2024年にかけて発行された7件の国防総監察官室報告書が明らかにした問題の体系的レビューと総括、及びそれに基づく改善勧告である。なお、本審査要請の直接の契機となった具体的な事案（国防長官によるSignalアプリケーションの公務使用に関わるもの）の事実と状況については、別個の国防総監察官室報告書において扱われている。

報告書は明確に指摘している。国防省の複数の政策及び通信要件に基づき、その政策体系には以下の重要な規定が含まれている：機密解除情報には明確な表示と解除権限者の明記を要求すること；原則として非国防省管理電子メッセージシステムの使用を禁止し（限定的な例外を除く）、利便性や主観的な安全性を理由とした使用を明確に禁止すること；国防省職員が非公開の国防省情報を保護することを要求すること；および国防省職員が公式記録を保存するよう連邦法を遵守することを要求すること。しかしながら、本報告書による過去7件の報告書のレビューでは、国防省職員が情報・作戦セキュリティ、電子メッセージ使用、記録保存政策を遵守していない事例が確認された。例えば、ある評価では、COVID-19パンデミックに伴う大規模なテレワーク導入初期において、一部の国防省下部組織の準備不足により、一部のテレワーク従事者が業務遂行のために未承認のビデオ会議アプリケーション、個人用ノートパソコン、携帯電話を使用したと報告している。さらに、レビュー対象とした7件の報告書に含まれる合計48件の勧告のうち、審査時点で22件が未完了の状態であった。

これらの非遵守行為と勧告実施の遅延は、セキュリティリスクの蓄積と悪化に直接つながっている。国防省職員による非国防省管理電子メッセージシステムの使用は、国防省の作戦や任務を危険にさらす可能性がある。国防省政策は、仮にそのようなシステムを使用する場合、関係者は情報送信後20日以内に記録を国防省記録システムに移行しなければならないと明確に規定しているが、実際の実施にはギャップが存在する。この政策と実践の間の隔たりが、顕著な情報セキュリティ及び作戦セキュリティ上の脆弱性を構成している。

上記の発見事項に基づき、報告書は国防省最高情報責任者に対して4件の具体的な勧告を行っている。このうち3件の勧告（国防省内部・外部間、複数セキュリティレベル間、モバイルデバイス対応の準拠した情報共有ニーズを満たす国防省管理可能な能力を提供すること；国防省の政治任命者、将官、上級文民幹部に対し、モバイルデバイス及びアプリケーションの準拠した使用方法に関するカスタマイズされたトレーニングを提供するよう要求すること；および国防省電子メッセージ政策における免除プロセスを明確化・統一化すること）は、国防省最高情報責任者の職務を代行する官員からの回答を得て対応済みとなっているが、実施証拠の提供を待って閉鎖可能な状態である。年次サイバーセキュリティトレーニングに非国防省管理電子メッセージサービスの使用に伴う影響とリスクに関する情報を追加するというもう1件の勧告については、現在経営陣の間で意見の相違があり、未解決の状態にある。同時に、報告書は、国防省情報・安全保障担当次官補室に対し、職員による公務処理のための非国防省管理電子メッセージシステム使用の普及度と関連リスクを特定するための国防省全体評価を実施し、その結果を最高情報責任者に提出するよう勧告している。この勧告は現在部分的合意を得ているのみで、より限定されたリスク評価を計画しており、勧告の意図を完全には満たしていないため、これも未解決と分類されている。

本評価は、確立された範囲と方法論に厳密に従い、関連政策文書、過去の報告書、コンピュータ処理データをレビューし、国防省の意思決定層に対して証拠に基づく意思決定支援を提供し、情報セキュリティ管理の強化、政策の効果的な実施の確保、通信技術の不適切な使用に起因するシステミックリスクの低減を図ることを目的としている。