GSA bị cảnh báo để lộ tài liệu nhạy cảm trên Google Drive trong nội bộ

Tài liệu về an ninh tòa nhà, dữ liệu cá nhân và đề xuất kinh doanh độc quyền đã bị chia sẻ quá rộng trong hệ thống Google Drive của Cơ quan Quản lý Dịch vụ Tổng hợp Mỹ (GSA), theo báo cáo thanh tra công bố trong tuần này. Đáng chú ý, cơ quan này đã nhiều lần bị cảnh báo về những thiếu sót tương tự kể từ năm 2014.

GSA phụ trách mua sắm, hợp đồng, quản lý bất động sản và nhiều hoạt động vận hành cho các cơ quan liên bang Mỹ. Theo Văn phòng Tổng thanh tra của GSA (OIG), nhân viên và nhà thầu đang lưu trữ khoảng 2,5 triệu tài liệu trên Google Drive của cơ quan.

Chỉ qua một đợt tìm kiếm giới hạn, nhóm thanh tra đã phát hiện 116 tệp chứa thông tin nhạy cảm được chia sẻ không phù hợp với toàn bộ người dùng GSA, bao gồm cả những người không có nhu cầu công việc chính đáng để tiếp cận. Phạm vi kiểm tra hạn chế cũng đồng nghĩa con số này chưa phản ánh đầy đủ quy mô vấn đề.

Các tệp được phát hiện chứa thông tin không mật có kiểm soát, gọi tắt là CUI. Trong hệ thống liên bang Mỹ, đây là thông tin không thuộc diện bí mật nhà nước nhưng vẫn phải được bảo vệ hoặc hạn chế phân phối theo luật, quy định hay chính sách chung của chính phủ. Quyền tiếp cận thường chỉ dành cho người có nhu cầu chính đáng phục vụ công việc nhà nước.

Trong số tài liệu bị chia sẻ sai phạm có sơ đồ các tòa nhà tại Washington, D.C., thể hiện lối vào, phương thức kiểm tra an ninh và vị trí những khu vực nhạy cảm như tủ cất súng. Một báo cáo phân tích sụp đổ dây chuyền — đánh giá cách hư hỏng tại một bộ phận có thể lan sang các phần khác của công trình — cũng bị mở quyền truy cập quá rộng, kèm thông tin về điểm yếu kết cấu, khả năng phòng vệ và các vị trí hư hỏng trọng yếu.

Nhóm thanh tra còn tìm thấy thông tin định danh cá nhân (PII), tức dữ liệu có thể nhận diện một người, như số an sinh xã hội, địa chỉ, ngày sinh và thông tin liên hệ. Các nghiên cứu độc quyền cùng đề xuất của nhà cung cấp, bao gồm chi tiết kỹ thuật và giá cả, cũng xuất hiện trong nhóm tài liệu này.

Báo cáo không cho thấy các tệp đã được công khai trên Internet. Tuy nhiên, việc nhà thầu có thể tiếp cận thông tin độc quyền của đối thủ vẫn đặt ra nguy cơ tạo lợi thế cạnh tranh không công bằng nếu dữ liệu bị khai thác.

Theo OIG, GSA chưa quản lý hiệu quả công cụ bên thứ ba dùng để ngăn thất thoát dữ liệu và phát hiện CUI bị chia sẻ sai. Loại công cụ này rà soát nội dung nhằm nhận diện thông tin nhạy cảm và hỗ trợ kiểm soát việc phân phối tài liệu, nhưng hiệu quả phụ thuộc vào cấu hình và quá trình vận hành.

Các cuộc rà soát từ khóa tìm kiếm hằng năm không được hoàn tất hoặc thiếu hồ sơ chứng minh; nhiều từ khóa liên quan chưa được triển khai. GSA cũng chưa bật tính năng nhận dạng ký tự quang học (OCR), vốn chuyển chữ trong ảnh hoặc tài liệu quét thành văn bản có thể tìm kiếm, qua đó giúp phát hiện dữ liệu nhạy cảm nằm ngoài các tệp văn bản thông thường.

Một điểm mù khác là giới hạn dung lượng 15 MB của công cụ mà GSA không nắm được. Vì vậy, ngay cả khi các thiết lập khác được sử dụng đúng, một số tệp lớn vẫn có thể bị bỏ qua.

Cơ quan thanh tra còn xác định GSA thiếu quy trình phê duyệt việc chia sẻ thông tin nhạy cảm và chưa có quy tắc đặt tên tệp thống nhất để hỗ trợ ngăn CUI bị chia sẻ ngoài phạm vi cần thiết.

Đây không phải lần đầu vấn đề được nêu ra. Tháng 8/2014, OIG từng báo cáo GSA không bảo vệ đầy đủ thông tin nhạy cảm về nhà trẻ, tòa án, nguồn nước, hệ thống tự động hóa tòa nhà cùng hệ thống báo cháy và an ninh trong môi trường điện toán đám mây của Google. Những báo cáo tiếp theo giai đoạn 2015–2017 tiếp tục bày tỏ lo ngại về khả năng bảo vệ dữ liệu của cơ quan.

Đến tháng 4/2025, thanh tra lại phát hiện một nhóm tệp Google Drive bị chia sẻ không phù hợp. Giám đốc công nghệ thông tin của GSA đã đồng ý với bảy khuyến nghị khắc phục, nhưng báo cáo hiện tại không xác nhận công việc sửa chữa đã hoàn tất hay chưa.

Phản hồi với The Register, người phát ngôn GSA cho biết trong thời gian kiểm toán, bộ phận công nghệ thông tin đã xác nhận các biện pháp bảo vệ ngăn những tài liệu được xác định bị lộ ra bên ngoài. Cơ quan nói đã triển khai các hành động đáng kể để tăng cường bảo vệ CUI trên Google Workspace, bộ ứng dụng làm việc trực tuyến bao gồm Google Drive, và đang tiếp tục xử lý đầy đủ các khuyến nghị của tổng thanh tra.

Sự phân biệt giữa không bị lộ ra ngoài và được kiểm soát đúng trong nội bộ là trọng tâm của vụ việc: dữ liệu nhạy cảm không cần xuất hiện công khai mới tạo ra rủi ro. Chỉ riêng việc cấp quyền cho người không có nhu cầu sử dụng cũng đã làm suy yếu hàng rào bảo vệ thông tin.