بر اساس گزارش منتشر شده توسط دفتر بازرس کل (OIG)، سازمان خدمات عمومی آمریکا (GSA) نتوانسته است از امنیت فیزیکی، داده‌های شناسایی شخصی (PII) و اطلاعات تجاری محرمانه ذخیره شده در Google Drive خود به طور مؤثر محافظت کند.
جزئیات افشای داده‌ها
در بررسی‌های محدود انجام شده روی Google Drive این سازمان، بازرسان ۱۱۶ فایل حاوی اطلاعات طبقه‌بندی‌نشده کنترل‌شده (CUI) را شناسایی کردند که به طور نادرست در اختیار کارکنان و پیمانکارانی قرار گرفته بود که دلیل تجاری مشروعی برای دسترسی به این جزئیات نداشتند. داده‌های افشا شده شامل شماره‌های تامین اجتماعی (SSN)، شماره تلفن‌ها، تحقیقات اختصاصی، پیشنهادهای تامین‌کنندگان و نقشه‌های سایت یک ساختمان در واشینگتن دی.سی بود.
دیوید شایو، مدیر ارشد فناوری (CIO) سازمان GSA، در پاسخ به این گزارش اعلام کرد که بررسی‌های واحد IT نشان می‌دهد این اسناد «به صورت خارجی افشا نشده‌اند» و «هیچ نشانه‌ای از قصد مخرب» در این مورد یافت نشده است.
علت‌های فنی و نقص در نظارت
دفتر بازرس کل، علت این افشای اطلاعات را «نقص در نظارت» سازمان GSA دانست. طبق این گزارش، سازمان نتوانسته است یک ابزار شخص ثالث جلوگیری از نشت داده‌ها (DLP) را که برای شناسایی و جلوگیری از افشای CUI استفاده می‌شد، به درستی مدیریت کند.
این ابزار DLP با جستجوی کلمات کلیدی یا عبارات مرتبط با CUI در اسناد Google Drive عمل می‌کند و در صورت شناسایی، واکنش‌های پیش‌طراحی شده‌ای مانند محدود کردن دسترسی، اطلاع‌رسانی به بخش عملیات امنیت (SOC) و ارسال ایمیل به مالک سند را اجرا می‌کند. با این حال، نقص‌های زیر در عملکرد این سیستم شناسایی شد:
- عدم تکمیل بررسی‌های سالانه برای به‌روزرسانی کلمات کلیدی جستجو.
- عدم گنجاندن بسیاری از عبارات مرتبط با دستورالعمل‌های سازمان در فیلترهای ابزار.
- عدم فعال‌سازی قابلیت شناسایی نوری نویسه‌ها (OCR) که می‌توانست از افشای داده‌های موجود در تصاویر یا اسناد اسکن شده جلوگیری کند.
- ناآگاهی از محدودیت اندازه فایل (۱۵ مگابایت) در ابزار DLP، که باعث می‌شد فایل‌های حجیم‌تر بررسی نشوند.
توصیه‌های امنیتی و اقدامات اصلاحی
دفتر OIG هفت توصیه کلیدی برای جلوگیری از تکرار این اتفاق ارائه کرد، از جمله محدود کردن دسترسی به ۱۱۶ سند شناسایی شده، اطلاع‌رسانی به افراد متأثر، پیاده‌سازی فرآیند تایید برای اشتراک‌گذاری اسناد CUI و بهبود مدیریت ابزار DLP از طریق به‌روزرسانی سالانه کلمات کلیدی.
مدیریت IT سازمان GSA اعلام کرده است که با تمامی این توصیه‌ها موافق است و در حال اجرای برنامه‌ای برای رفع این نواقص است. همچنین اشاره شد که اقدامات اصلاحی فوری از جمله به‌روزرسانی رویه‌های داخلی، محدود کردن دسترسی‌های دامنه (Domain-wide) و فعال‌سازی قابلیت OCR در Google Workspace انجام شده است.
شایان ذکر است که این اولین بار نیست که OIG نقص‌های امنیتی در محیط ابری گوگلِ این سازمان گزارش می‌کند؛ گزارش‌های مشابهی در سال‌های ۲۰۱۴، ۲۰۱۵، ۲۰۱۷ و حتی آپریل ۲۰۲۵ در مورد عدم محافظت از اطلاعات حساس منتشر شده بود.
