GSA 长期忽视 Google Drive 安全管控，数百万敏感文件面临泄露风险
美国联邦总务管理局（GSA）再次被曝出在数据安全管理上存在严重疏漏。根据该机构监察长办公室（OIG）发布的最新报告，自 2014 年以来，GSA 在其 Google Drive 云环境中多次未能妥善保护“受控非机密信息”（CUI）。此次审计发现，约有 250 万份文件存储于 GSA 的 Google Drive 中，其中包含大量本应严格限制访问权限的敏感资料。
CUI 是指虽未定密但需依据法律、法规或政府政策进行传播限制的信息，仅限拥有合法知情权的个人访问。这类信息通常涵盖政府大楼的物理安全细节、雇员个人身份信息以及商业专有数据。报告指出，尽管 OIG 仅对 GSA 的 Google Drive 进行了有限范围的搜索，但有充分理由相信，实际暴露给未经授权人员（包括内部员工和外部承包商）的文件数量远超已发现的实例。
技术工具失效与管理流程缺失
调查官员揭示，GSA 未能有效利用现有的第三方工具来防止数据丢失或检测 CUI 暴露。具体缺陷包括：
- 审查机制不健全：每年对搜索术语的审查要么不完整，要么缺乏记录，且许多关键搜索术语未被实施。
- OCR 功能未启用：GSA 未开启可用的光学字符识别（OCR）功能，导致无法自动检测扫描文档中的敏感信息。
- 文件大小限制盲区：该工具存在 15 兆字节（MB）的文件大小处理上限，而 GSA 显然不知晓这一限制，这意味着即使配置正确，超过该大小的文件仍会被跳过检查。
- 缺乏标准化流程：GSA 既没有建立适当的敏感信息共享审批流程，也缺乏统一的标准命名规则。
泄露内容涉及建筑脆弱性与个人隐私
审计结果显示，被不当共享的文件内容令人震惊。其中包括华盛顿特区建筑物的规划图及渐进式崩溃分析，详细描述了建筑的崩溃漏洞、防御弱点及关键故障位置。此外，泄露数据还包含政府雇员的姓名、社会安全号码、出生日期、地址及联系方式等个人身份信息。
商业机密同样未能幸免，供应商提交的专有研究、技术方案及定价建议均处于可访问状态。虽然这些文件未必向公众完全开放，但这种控制失误构成了巨大的安全隐患。特别是当承包商能够访问 GSA 的 Google Drive 时，他们可能窥探到竞争对手的专有信息，从而获得不公平的商业优势。
屡犯不改的历史遗留问题
这并非 GSA 首次因数据保护不力受到指责。早在 2014 年 8 月，OIG 就报告称 GSA 在 Google 云计算环境中未能保护托儿中心、法院、水源设施、建筑自动化系统以及消防报警系统的敏感信息。随后在 2015 年至 2017 年间，又有其他报告指出 GSA 在保护云端敏感信息方面存在持续担忧。
最新的审计发生在 2025 年 4 月，发现了新一批不当共享的 Google Drive 文件。尽管 GSA 首席信息官与审计人员达成了七项整改建议，但报告并未确认纠正措施是否已落实到位。截至目前，媒体向 GSA 和 OIG 寻求关于整改进度的最新消息，尚未收到回复。
