في خبرٍ يُثير القلق حول أمان البيانات في المؤسسات الكبرى، كشف تقرير لمكتب المفتش العام لوكالة الخدمات العامة الأمريكية (GSA) عن فشل الوكالة المتكرر في حماية المعلومات الحساسة المخزنة على Google Drive. تُركت هذه البيانات المهمة مكشوفة لموظفين ومتعاقدين لا يمتلكون حق الوصول المشروع إليها، وذلك لسنوات عديدة.
ما الذي كشفت عنه الوكالة؟
- معلومات أمنية مادية لمباني حكومية، تتضمن تفاصيل عن المداخل وتقنيات الفحص والمواقع الحساسة، بالإضافة إلى تحليل انهيار تدريجي يصف نقاط ضعف المبنى.
- معلومات تعريف شخصية (PII) لموظفين حكوميين، مثل أرقام الضمان الاجتماعي والعناوين وتواريخ الميلاد ومعلومات الاتصال.
- معلومات أعمال خاصة، بما في ذلك أبحاث ملكية ومقترحات للموردين تحتوي على تفاصيل تقنية ومعلومات تسعير.
ما يزيد الأمر سوءًا هو أن هذه ليست المرة الأولى التي يُسجل فيها على GSA هذا الإهمال. فقد أشار التقرير إلى أن مكتب المفتش العام اكتشف ممارسات حماية بيانات سيئة مماثلة لأول مرة في عام 2014، مع تقارير إضافية بين عامي 2015 و2017، وآخرها في أبريل 2025.
جذور المشكلة: إخفاقات متتالية
شملت الإخفاقات التي رصدها المدققون عدم إدارة GSA بشكل صحيح لأداة منع فقدان البيانات (DLP) التابعة لجهة خارجية، مع مراجعات سنوية غير مكتملة أو غير موثقة، وعدم تطبيق العديد من مصطلحات البحث ذات الصلة، والفشل في تفعيل ميزة التعرف البصري على الحروف (OCR) للكشف عن المعلومات الحساسة في المستندات الممسوحة ضوئيًا. كما لم تكن الوكالة على علم بحد حجم الملفات البالغ 15 ميجابايت للأداة.
بالإضافة إلى ذلك، تفتقر الوكالة إلى عملية موافقة لتبادل المعلومات الحساسة وتسمية موحدة للملفات، مما ساهم في سهولة انكشاف هذه البيانات.
ما الذي يعنيه هذا للمطورين والمصممين؟
بالنسبة للمطورين ومصممي المنتجات، تُعد هذه الحادثة تذكيرًا قويًا بأن مجرد استخدام الخدمات السحابية مثل Google Drive لا يضمن الأمان التام. يجب أن تكون سياسات الوصول، وإدارة الهوية، وأدوات منع فقدان البيانات (DLP) جزءًا أساسيًا من أي استراتيجية أمنية.
نرى أن إعداد ضوابط الوصول الدقيقة، وتصنيف البيانات بوضوح (مثل CUI)، وتدريب المستخدمين على أفضل الممارسات الأمنية، أمر حيوي لضمان عدم تعرض المعلومات الحساسة للخطر، حتى داخل الشبكات الداخلية. هذا يؤكد على أهمية مبدأ «أقل امتياز» و«الحاجة إلى المعرفة» في منح الأذونات.
إن الفشل في تطبيق هذه الضوابط لا يؤدي فقط إلى انكشاف البيانات الشخصية والملكية، بل قد يمنح ميزة غير عادلة للمنافسين في حال الوصول إلى معلومات المناقصات والعروض.
المصدر: theregister.com