GSA فایل های حساس Google Drive را برای کارکنان و پیمانکاران باز گذاشت

یک آژانس بزرگ فدرال ایالات متحده بارها و بارها اطلاعات حساس را در Google Drive خود گذاشته است که در دسترس کارمندان و پیمانکارانی است که نیازی به کسب و کار قانونی ندارند و حسابرسان راضی نیستند.

طبق گزارش دفتر بازرس کل آژانس، اداره خدمات عمومی (GSA)، که قرارداد، تدارکات، مدیریت اموال و سایر عناصر عملیات اساسی آژانس های فدرال را انجام می دهد، حداقل از سال 2014 با یافته های مکرر حفاظت ناکافی از اطلاعات طبقه بندی نشده کنترل شده (CUI) مواجه شده است. دوباره

اطلاعات طبقه بندی نشده کنترل شده، در اصطلاح دولت فدرال ایالات متحده، اطلاعاتی هستند که طبقه بندی نشده اند، اما بر اساس قوانین، مقررات، یا خط مشی های سراسری دولت، نیازمند حفاظت یا محدودیت در توزیع آن هستند. دسترسی عموما محدود به افرادی است که یک دولت قانونی باید بدانند. طبق گزارش OIG، این موارد می‌تواند شامل مواردی مانند اطلاعات امنیتی فیزیکی ساختمان‌های دولتی، اطلاعات شناسایی شخصی (PII) کارمندان دولت و اطلاعات تجاری اختصاصی باشد که GSA همه آنها را افشا کرده است.

طبق گزارشی که این هفته منتشر شد، کارمندان و پیمانکاران تقریبا 2.5 میلیون سند در Google Drive ذخیره شده اند.

در این گزارش آمده است: «در طول یک جستجوی محدود در Google Drive GSA، ما 116 فایل حاوی CUI را پیدا کردیم که به‌طور نادرست با همه کاربران GSA به اشتراک گذاشته شده بود. توجه داشته باشید که این یک جستجوی محدود است، و OIG دلایل زیادی برای این باور دارد که هر کسی که به نمونه Google Drive GSA دسترسی دارد، چیزی بیش از این وجود دارد که بتواند به صورت مخفیانه نگاهی به آن بیندازد.

OIG گفت که GSA در مدیریت صحیح ابزار شخص ثالثی که برای جلوگیری از از دست دادن داده ها و شناسایی مواجهه با CUI در اختیار دارد، با بررسی سالانه عبارات جستجو ناقص یا غیرمستند، بسیاری از عبارات جستجوی مرتبط اجرا نشده، و فعال کردن ویژگی تشخیص نوری کاراکتر که می تواند به شناسایی CUI در اسناد اسکن شده کمک کند، ناکام است. علاوه بر این، GSA ظاهرا "از محدودیت اندازه فایل ابزار در 15 مگابایت بی اطلاع بود"، به این معنی که حتی اگر GSA به درستی از آن ابزار استفاده می کرد، برخی از فایل های بزرگ باز هم حذف می شدند.

OIG افزود: «ما همچنین دریافتیم که GSA فاقد موارد زیر است: (1) فرآیند تأیید برای به اشتراک گذاری صحیح اطلاعات حساس و (2) یک قرارداد نامگذاری استاندارد که می تواند به طور مؤثرتری از قرار گرفتن در معرض CUI در Google Drive GSA جلوگیری کند.

در مورد آنچه افشا شد ... عالی نیست.

بر اساس ممیزی، طرح‌های سایت برای ساختمان‌ها در واشنگتن دی سی بخشی از فایل‌های دسترسی نامناسب کنترل‌شده، با داده‌هایی بود که شامل ورودی‌ها و تکنیک‌های غربالگری، و همچنین مکان مناطق حساس مانند قفسه‌های اسلحه می‌شد. یک تحلیل فروریختن پیشرونده که "آسیب پذیری های فروریختن ساختمان، آسیب پذیری های دفاعی و مکان های شکست بحرانی را توصیف می کند" نیز در معرض دید قرار گرفت.

PII افراد دولتی از جمله شماره تامین اجتماعی، آدرس، تاریخ تولد و اطلاعات تماس نیز افشا شد. اطلاعات کسب و کار اختصاصی نیز افشا شد، "از جمله تحقیقات اختصاصی و پیشنهادات فروشنده با اطلاعات فنی و قیمت".

این ممکن است به صورت عمومی در دسترس نبوده باشد، اما هنوز یک نقص تکان دهنده در کنترل داده ها است، به ویژه با توجه به اینکه پیمانکاران با دسترسی به Google Drive GSA به طور بالقوه می توانند اطلاعات اختصاصی متعلق به فروشندگان رقیب را مشاهده کنند و در صورت استفاده از آن مزیتی ناعادلانه به آنها می دهد.

بدتر از آن، این اولین باری نیست که GSA توسط بازرس کل خود به دلیل چنین اقدامات شوم حفاظت از داده ها مورد انتقاد قرار می گیرد. بر اساس این گزارش، در سال 2014 بود که OIG برای اولین بار چنین عادات بدی را مشاهده کرد.

OIG خاطرنشان کرد: «در آگوست 2014، ما برای اولین بار گزارش دادیم که GSA از اطلاعات حساس مراکز مراقبت از کودکان، دادگاه‌ها، منابع آب، سیستم‌های اتوماسیون ساختمان و سیستم‌های اعلام حریق و امنیتی در محیط محاسبات ابری Google محافظت نمی‌کند. ما گزارش‌های بیشتری را با اشاره به نگرانی‌هایی در مورد توانایی GSA برای محافظت از اطلاعات حساس در محیط Google خود بین سال‌های 2015 و 2017 منتشر کردیم.»

حسابرسان مجموعه دیگری از فایل‌های Google Drive را که به‌طور نادرست به اشتراک گذاشته شده بودند در آوریل 2025 پرچم‌گذاری کردند. در حالی که مدیر ارشد اطلاعات GSA با هفت توصیه حسابرسان برای رفع مشکلات موافقت کرد، این گزارش مشخص نمی‌کند که آیا کار اصلاحی کامل شده است یا خیر. ما برای به‌روزرسانی با GSA و دفتر OIG تماس گرفتیم، اما پاسخی از هیچکدام دریافت نکردیم. ®