Крупное федеральное агентство США неоднократно оставляло конфиденциальную информацию в Google Drive доступной для сотрудников и подрядчиков, которым не было никакой законной необходимости ее видеть, и аудиторы недовольны.
Генеральное управление служб (GSA), которое занимается контрактами, закупками, управлением имуществом и другими элементами базовых операций федеральных агентств, с 2014 года сталкивается с неоднократными выводами о неадекватной защите контролируемой несекретной информации (CUI), согласно отчету Управления генерального инспектора агентства. Опять.
Контролируемая несекретная информация, по терминологии федерального правительства США, — это информация, которая не является секретной, но требует защиты или ограничений на ее распространение в соответствии с применимыми законами, нормативными актами или общеправительственными политиками. Доступ к ней, как правило, ограничен лицами, имеющими законную государственную необходимость знать. Согласно отчету OIG, это может включать информацию о физической безопасности правительственных зданий, персональные данные (PII) государственных служащих и конфиденциальную деловую информацию, все из которых GSA оставило незащищенными.
Согласно опубликованному на этой неделе отчету, сотрудники и подрядчики хранят в Google Drive GSA около 2,5 миллионов документов.
«В ходе ограниченного поиска в Google Drive GSA мы обнаружили 116 файлов, содержащих CUI, которые были ненадлежащим образом предоставлены всем пользователям GSA», — отмечается в отчете. Это, заметьте, ограниченный поиск, и OIG имеет все основания полагать, что там есть гораздо больше, чем просто это, доступное любому, кто имеет доступ к экземпляру Google Drive GSA, чтобы подсмотреть.
OIG заявило, что GSA не управляет должным образом сторонним инструментом, который используется для предотвращения потери данных и обнаружения утечек CUI: ежегодные проверки поисковых запросов неполны или не задокументированы, многие соответствующие поисковые запросы не реализованы, а функция оптического распознавания символов, которая могла бы помочь обнаружить CUI в отсканированных документах, не включена. Кроме того, GSA, по-видимому, «не знало об ограничении размера файла инструмента в 15 мегабайт», что означает, что даже если бы GSA правильно использовало этот инструмент, некоторые большие файлы все равно были бы пропущены.
«Мы также обнаружили, что GSA не имеет: (1) процесса утверждения для надлежащего обмена конфиденциальной информацией и (2) стандартного соглашения об именовании, которое могло бы более эффективно предотвращать утечки CUI в Google Drive GSA», — добавил OIG.
Что касается того, что было раскрыто… это не очень хорошо.
Согласно аудиту, планы объектов зданий в Вашингтоне, округ Колумбия, были среди файлов с ненадлежащим контролем доступа, содержащих данные о входах и методах досмотра, а также о местоположении чувствительных зон, таких как оружейные комнаты. Также был раскрыт анализ прогрессирующего обрушения, который «описывает уязвимости здания к обрушению, оборонительные уязвимости и критические точки отказа».
Были раскрыты персональные данные государственных служащих, включая номера социального страхования, адреса, даты рождения и контактную информацию. Также была раскрыта конфиденциальная деловая информация, «включая конфиденциальные исследования и предложения поставщиков с технической информацией и информацией о ценах».
Это, возможно, и не было общедоступным, но это все равно шокирующий сбой в контроле данных, особенно учитывая, что подрядчики, имеющие доступ к Google Drive GSA, потенциально могли просматривать конфиденциальную информацию конкурирующих поставщиков, получая несправедливое преимущество, если бы они ее использовали.
Что еще хуже, это не первый случай, когда GSA получает замечание от своего собственного генерального инспектора за такую плохую практику защиты данных. Согласно отчету, OIG впервые обнаружило такие плохие привычки в 2014 году.
«В августе 2014 года мы впервые сообщили, что GSA не защищала конфиденциальную информацию о детских садах, зданиях судов, источниках воды, системах автоматизации зданий, а также системах безопасности и пожарной сигнализации в своей облачной вычислительной среде Google», — отметил OIG. «Мы опубликовали дополнительные отчеты, в которых указывались опасения относительно способности GSA защищать конфиденциальную информацию в своей среде Google в период с 2015 по 2017 год».
Аудиторы выявили еще один набор ненадлежащим образом распространенных файлов в Google Drive в апреле 2025 года. Хотя главный информационный директор GSA согласился с семью рекомендациями аудиторов по устранению проблем, в отчете не указано, была ли завершена корректирующая работа. Мы обратились в GSA и офис OIG за обновлением, но не получили ответа ни от одной из сторон. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Brandon Vigliarolo
