Аудиторы обнаружили в Google Drive американского Управления общих служб США (GSA) 116 файлов с контролируемой несекретной информацией, открытых для всех пользователей ведомства — сотрудников и подрядчиков. Это очередной пример того, как безопасность Google Drive ломается не из-за сложной атаки, а из-за прав доступа, незакрытых настроек и отсутствия контроля. Для компаний, которые хранят документы в облаке и дают доступ внешним исполнителям, история GSA — неприятно узнаваемый сценарий.
Проблему выявило управление генерального инспектора GSA, сообщает The Register. Ведомство отвечает за закупки, госконтракты, недвижимость и часть базовой операционной работы федеральных структур США. В его корпоративном Google Drive находится около 2,5 млн документов. Аудиторы провели ограниченную выборку и нашли 116 файлов с CUI — так в американской системе называют данные, не имеющие грифа секретности, но требующие защиты по закону, регламенту или государственной политике.
Среди неправильно расшаренных материалов оказались планы объектов в Вашингтоне с данными о входах, процедурах досмотра и расположении чувствительных зон, включая оружейные комнаты. В открытом внутри организации доступе лежал и анализ прогрессирующего обрушения здания: документ описывал уязвимости объекта, критические точки отказа и слабые места защиты. Отдельно аудит упоминает персональные данные госслужащих — номера социального страхования, адреса, даты рождения и контакты — а также закрытую коммерческую информацию: исследования, технические и ценовые предложения поставщиков.
Последняя категория особенно токсична для организации, которая занимается закупками. Подрядчик с доступом к общему диску потенциально мог увидеть предложение конкурента и использовать технические либо ценовые детали в собственной заявке. Формально это не публичная утечка в интернет, но модель «доступно всем внутри домена» давно перестала быть безопасной границей: в крупных организациях в неё входят временные сотрудники, партнёры и поставщики с разным уровнем проверки и разными задачами.
Проблема, судя по отчёту, не сводится к нескольким ошибочно выставленным галочкам. GSA использует сторонний инструмент для поиска CUI и предотвращения утечек, но ежегодные пересмотры поисковых правил либо не завершались, либо не были документированы. Часть нужных терминов в систему вообще не добавили. Ведомство также не включило доступную функцию OCR, которая могла бы находить чувствительные данные в сканах, и не знало об ограничении инструмента: файлы крупнее 15 МБ он не проверяет. Иными словами, даже корректно настроенный процесс оставлял бы заметную слепую зону.
Аудиторы добавили ещё две базовые проблемы: у GSA не было утверждённого процесса, который регулировал бы публикацию чувствительных материалов, и единого соглашения об именовании файлов. Второй пункт выглядит почти бытовым, но для автоматического контроля он критичен. Если документ с планом безопасности, персональными данными или заявкой поставщика называется произвольно, DLP-система теряет один из самых дешёвых и полезных сигналов для проверки.
Для GSA это далеко не первый сигнал. Управление генерального инспектора впервые сообщило о недостаточной защите чувствительных данных в Google-облаке ведомства ещё в августе 2014 года. Тогда речь шла, в частности, о сведениях о детских центрах, судах, источниках воды, системах автоматизации зданий, охранной и пожарной сигнализации. Новые отчёты с похожими претензиями выходили в период с 2015 по 2017 год, а в апреле 2025-го аудиторы снова нашли неправильно расшаренные файлы Google Drive. Двенадцать лет повторяющихся замечаний превращают инцидент из ошибки отдельной команды в диагноз системе управления данными.
ИТ-служба GSA в ответ заявила, что защитные меры не позволили вынести найденные документы за пределы ведомства. После аудита агентство предприняло существенные шаги для усиления защиты CUI в Google Workspace и работает над выполнением рекомендаций инспектора. Главный информационный директор GSA согласился со всеми семью рекомендациями, однако из отчёта не следует, что корректирующие меры уже завершены и проверены независимым аудитом.
Для российских ИТ-команд здесь нет экзотической американской специфики, кроме термина CUI. Практический вывод знаком: безопасность Google Drive нельзя делегировать одному DLP-инструменту и считать закрытой задачей. Нужны минимальные права по умолчанию, отдельные группы для подрядчиков, регулярная ревизия общих папок, обязательное сканирование изображений и понятный маршрут согласования для документов с персональными, финансовыми и коммерческими данными. Ограничение на размер проверяемого файла тоже должно быть видно владельцу процесса, а не обнаруживаться в отчёте после инцидента.
История GSA показывает более неприятный тренд: облачные сервисы давно умеют давать тонкие права и искать рискованный контент, но организационная дисциплина остаётся узким местом. Вопрос теперь не в том, найдёт ли ведомство ещё несколько десятков открытых файлов, а сможет ли оно доказать, что после семи рекомендаций и многолетних предупреждений контроль доступа стал работающим процессом, а не очередной кампанией по уборке общего диска.
