【惨敗土挫】Microsoftのクラウドをサイバー専門家らは「クソの山」と非難していたが圧力を受けて承認

Microsoftは機密性の高い情報を扱うユーザー向けのクラウドサービス群である
「Government Community Cloud High(GCCH)」を、さまざまな政府機関や政府の請負業者に提供しています。
しかし、アメリカ政府のクラウドサービス認証制度である米国連邦情報セキュリティ管理プログラム(FedRAMP)は繰り返しGCCHの問題を指摘していたにもかかわらず、
政府内外の圧力を受けてGCCHを承認せざるを得なかったと、非営利報道機関のProPublicaが報じました。

https://gigazine.net/news/20260319-microsoft-cloud-fedramp-concerns-cybersecurity/

許せない

税金を

クラウド土挫器に

注入？

土挫フォンに

注入？

なのに

どこにも

売ってない？

MicrosoftにとってFedRAMPとのやり取りを打ち切ることは、
「GCCHにはセキュリティ上の懸念がある」というシグナルを市場に送ることを意味します。
そこでMicrosoftのバーギン氏らは司法省関係者に働きかけて、GCCHがFedRAMPの承認を得られるように支援を求めたとのこと。

注入？

結局、多方面からの圧力を受けたFedRAMPは2024年の夏にGCCHを再審査することになりました。
ProPublicaが入手した調査結果の概要によると、FedRAMPはGCCHに含まれる多くのサービスのうち
Exchange OnlineとTeamsの2つしか調査できなかったとのこと。
しかし、この2つだけでもリスク管理の根本的な問題が特定され、
依然としてMicrosoftから十分なセキュリティ文書が得られなかったとされています。
あるチームメンバーはGCCHについて、「このパッケージはクソの山だ」と非難したそうです。

注入？

これらの調査結果にもかかわらず、FedRAMPにとってGCCHを却下するという選択肢はありませんでした。
ProPublicaが入手した文書には、「承認を発行しないと、すでにGCCHを使用している複数の機関に影響が出る」と記されており、
結局FedRAMPは政府による継続的な監視を条件として承認を発行。2024年12月末にGCCHはFedRAMP認証を取得しましたが、
FedRAMPは認証パッケージに添付した文書の中で、GCCHの欠陥を列挙し、未知のリスクが存在することを指摘したと報じられています。

注入？

その後もGCCHは政府機関で使われ続けていますが、
2025年にはMicrosoftが国防総省のシステム保守に中国人エンジニアを使用していたことが判明。
ProPublicaに証言した司法省の職員によると、Microsoftはこの取り組みについて司法省に伝えておらず、
当時のProPublicaによる報道により初めて中国人エンジニアの使用を知ったとのこと。

中華スパイを

注入？

なお、司法省幹部としてGCCHを推進したロジャース氏は、2025年6月にMicrosoftへ入社しています。
この件についてProPublicaがMicrosoftへ問い合わせたところ、
広報担当者はロジャーズ氏の採用とGCCHの選考プロセスにおける決定との間には一切の関係がなく、
すべての規則・規制・倫理基準を順守していると主張しました。

許せない

徹底的に落としていこうな

ｗ

ｗ