Una grave lacuna nella gestione della sicurezza dei dati è emersa presso la General Services Administration (GSA) degli Stati Uniti, un’agenzia federale che gestisce contratti e operazioni per altri enti governativi. Gli auditor hanno scoperto che informazioni sensibili sono state più volte lasciate accessibili su Google Drive a dipendenti e appaltatori che non avevano un motivo legittimo per visualizzarle.
Un rapporto pubblicato dall’Ufficio del Segretario Generale della GSA ha rivelato che l’agenzia ha fronteggiato ripetute segnalazioni di inadequata protezione per le informazioni non classificate controllate (CUI) fin dal 2014. Le CUI comprendono informazioni che non sono classificate, ma che richiedono comunque protezione e restrizioni sulla loro distribuzione secondo leggi, regolamenti e politiche governative. Tali informazioni possono riguardare dati come la sicurezza fisica di edifici governativi, informazioni identificabili sui dipendenti e dati aziendali riservati, tutti rimasti esposti dalla GSA.
Il rapporto ha rivelato che attualmente circa 2,5 milioni di documenti sono archiviati nel Google Drive della GSA. “Durante una ricerca limitata nel Google Drive della GSA, abbiamo trovato 116 file contenenti CUI che sono stati condivisi impropriamente con tutti gli utenti della GSA”, si legge nel rapporto, suggerendo che esistano ulteriori file aperti a chiunque abbia accesso a quest’area del Drive.
Gestione inadeguata della sicurezza
L’OIG ha sottolineato che la GSA non gestisce adeguatamente lo strumento di terze parti installato per prevenire la perdita di dati e rilevare esposizioni di CUI. Le recensioni annuali dei termini di ricerca sono state incomplete o non documentate e molti termini rilevanti non sono stati implementati. Inoltre, la GSA non era nemmeno a conoscenza di un limite di dimensione dei file di 15 megabyte per lo strumento, il che significa che alcuni file di grandi dimensioni vengono esclusi anche se il sistema fosse correttamente utilizzato.
L’audit ha anche evidenziato l’assenza di un processo di approvazione per la condivisione corretta di informazioni sensibili e una mancanza di una convenzione di denominazione standard che potrebbe efficacemente prevenire l’esposizione di CUI nel Google Drive della GSA.
Tipo di informazioni esposte
Le informazioni esposte non sono certo banali. Tra i file accessibili senza restrizioni ci sono piani di siti per edifici a Washington, D.C., con dati su ingressi, tecniche di screening e la posizione di aree sensibili come i depositi delle armi. È stato anche esposto un’analisi sul crollo progressivo che descrive le vulnerabilità degli edifici e le posizioni critiche in caso di fallimento strutturale.
In aggiunta, sono stati divulgati dati personali identificabili di funzionari governativi, inclusi numeri di previdenza sociale, indirizzi, date di nascita e informazioni di contatto. Anche informazioni riservate relative a ricerche e proposte commerciali, con dettagli tecnici e di prezzo, sono state esposte, dando la possibilità a potenziali concorrenti di ottenere informazioni riservate.
Questa non è la prima volta che la GSA è stata criticata per pratiche di protezione dei dati inadeguate. Tornando al 2014, l’OIG aveva già evidenziato la mancanza di protezione per informazioni sensibili relative a centri di assistenza all’infanzia, tribunali e sistemi di allerta antincendio. Purtroppo, un’altra serie di file condivisi impropriamente è stata segnalata ad aprile 2025. Sebbene il Chief Information Officer della GSA abbia concordato con le sette raccomandazioni formulate dagli auditor per risolvere questi problemi, il rapporto non chiarisce se il lavoro correttivo sia stato completato. È stato contattato sia l’ufficio della GSA che quello dell’OIG, ma non è stata ricevuta alcuna risposta.
