サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、金曜日に公開された事後分析レポートによると、進行中のセキュリティ侵害の初期段階において、職員が同庁のインシデント対応プレイブックを構築せざるを得なかったことを認めた。
この暴露は、CISAの請負業者の従業員が、AWS GovCloudのパスワードを含む機密認証情報を一般公開されたGitHubリポジトリにアップロードした後に明らかになった。この漏洩は、サイバー企業GitGuardianのセキュリティ研究者によって発見され、研究者は直接請負業者に警告したが返答はなかった。その後、研究者は独立系セキュリティジャーナリストのBrian Krebs氏に連絡し、同氏が問題をCISAにエスカレーションした。
CISAは侵害されたリポジトリをオフラインにし、露出したすべての認証情報を失効させて交換し、顧客データやミッションデータが侵害されていないことを確認した。しかし、同庁自身のインシデント後の報告書は、重大な組織上の欠陥を認めている：「CISAの職員はインシデントの初期段階で[プレイブックの]構築に時間を費やさなければならなかった。」
同庁は、将来のインシデント発生時にリアルタイムで対応に追われることを避けるため、「予想されるすべてのニーズ」に対応したプレイブックを準備したと述べた。プレイブックの欠如が対応をどの程度遅らせたかについては開示していない。
報告のギャップ
CISAはまた、セキュリティ研究者が潜在的なインシデントを同庁に通知するためのチャネルが「十分に定義されていなかった」ことを認めた。発見とエスカレーションは、研究者による直接の報告メカニズムではなく、第三者セキュリティ企業と独立系ジャーナリストに完全に依存していた。CISAは研究者による報告を円滑化するための変更を行ったと述べている。
組織的背景
このインシデントとその後の認める発言は、同庁にとって困難な時期に発生している。CISAは2025年1月のトランプ大統領の第二期開始以降、常任長官が不在の状態が続いている。2026年2月のNextgovの報告書によると、同庁は職員の約3分の1に影響を与える予算削減、一時帰休、解雇を経験している。
米国政府の主要なサイバー防衛機関の一つが基本的なインシデント対応プレイブックを備えておらず、インシデント進行中にそれを書かなければならなかったという事後分析の認める発言は、同庁のより深い構造的問題を反映していると述べるセキュリティ研究者からの批判を招いている。
出典: US cybersecurity agency CISA had to build its incident playbook during the incident, agency reveals (TechCrunch、2026年7月10日)
雅子 訳