الخلاصة

  • طلب الأمر التنفيذي 14158 وصولاً واسعاً وسريعاً لـUSDS إلى الأنظمة الفدرالية غير المصنفة؛ لكن تدقيقاً لاحقاً لم يستطع إعادة بناء صلاحيات فرق DOGE.
  • أبلغت أربع وكالات عن أكثر من 23 نظاماً. ولم تقدم SBA وVA قائمة بالأنظمة، كما لم تستجب الوكالات الأربع الأخرى لطلبات فحص الأدوار والصلاحيات والسجلات.
  • قالت CFPB إنه لم تقع حوادث سيبرانية أو حوادث خصوصية مرتبطة بفريقها، وشرحت ضوابطها. ولم يتمكن GAO من فحص الحسابات أو السجلات مباشرة.
  • الاختبار العملي هو ربط كل مستخدم بدور معتمد وسجل للأفعال وتاريخ لتعطيل الوصول.

يعرض تقرير GAO-26-108192 رقمين واضحين: أربع وكالات أبلغت عن أنظمة، واثنتان لم تحددا أي نظام. وقالت الوكالات الأربع إن فرقها وصلت مجتمعة إلى أكثر من 23 نظاماً. ولم تسمح الوثائق المقدمة لـGAO بتحديد مستويات الوصول أو فحص أدوار الحسابات وسجلات النشاط.

الفجوة مؤسسية ولها عنوان تقني واضح: الصلة بين الشخص والحساب والنظام والصلاحية والفعل المسجل. صاغ الأمر التنفيذي 14158 صلاحية واسعة. أما الأدلة على تطبيقها فلم تكتمل بالقدر نفسه.

الأمر وسّع الوصول؛ والوثائق توقفت قبل اكتمال المسار

في 20 يناير 2025، طلب الأمر من رؤساء الوكالات ضمان وصول U.S. DOGE Service بسرعة وبصورة كاملة إلى السجلات والبرمجيات وأنظمة تقنية المعلومات غير المصنفة، في أقصى ما يسمح به القانون. كان الهدف المعلن تحديث تقنية الحكومة وزيادة الكفاءة. راجع GAO ست وكالات مستضيفة: CFPB وDepartment of Education وNOAA وSEC وSBA وVA.

أفادت CFPB وDepartment of Education وNOAA وSEC بأن فرقها وصلت مجتمعة إلى أكثر من 23 نظاماً للعقود والمنح والموارد البشرية والمالية؛ واحتوى بعضها معلومات حساسة تحدد هوية أشخاص. قدمت الوكالات هذا الإجمالي. ويقول GAO إن الوثائق المتاحة لم تحدد مدى الوصول أو مستواه. ولم تحدد SBA وVA الأنظمة التي وصلت إليها فرقها.

انتهت المنظمة المؤقتة لـUSDS في 4 يوليو 2026. وأشار GAO إلى أن الأمر لم ينهِ كيان USDS الأوسع، ولذلك كان من الممكن أن يواصل الكيان وموظفو DOGE في الوكالات العمل. تاريخ انتهاء منظمة مؤقتة لا يحدد وحده متى أغلقت الحسابات أو انتهت الإعارات. وعندما نُشر التقرير في سبتمبر، ظل مسار الوصول غير مكتمل.

الصلاحية تحدد الممكن، والسجل يثبت الفعل

اسم النظام لا يخبرنا بما يستطيع مستخدمه فعله داخله. فقد يكون الحساب للقراءة فقط، أو يسمح بتعديل البيانات، أو يمنح صلاحيات إدارية لتغيير وصول الآخرين. طلب GAO من الوكالات الأربع التي قدمت معلومات أولية أن تتيح له فحص دور كل حساب، والصلاحيات المرتبطة به، وسجلات الأفعال. وحتى سبتمبر 2026 لم تستجب لهذه الطلبات.

قالت CFPB لـGAO إن عضوين من الفريق امتلكا صلاحية منح الوصول لنفسيهما أو لغيرهما، وأكد مسؤول المعلومات في الوكالة أنهما لم يفعلا ذلك. كما أفادت الوكالة بعدم وقوع حوادث سيبرانية أو حوادث خصوصية مرتبطة بفريق DOGE. سجل GAO هذه الإفادات؛ ولم يتمكن مدققوه من معاينة الأنظمة أو السجلات التي توضح كيف مُنح الوصول وكيف جرت مراقبته.

وكانت وثائق الضوابط ناقصة أيضاً. من بين الوكالات الست، قدمت CFPB وDepartment of Education وSEC وثائق محدودة عن الضوابط؛ ولم تستجب NOAA وSBA وVA لطلبات هذه المعلومات. قدمت CFPB ما يثبت حضور ستة أعضاء إحاطة عن الخصوصية، وأثبتت إتمام أربعة للتدريب الأمني، لكنها لم تقدم الدليل المطلوب للجميع. وأرسلت Department of Education قواعد سلوك الأنظمة الموقعة من خمسة أعضاء من أصل ستة، ولم تقدم الوثيقة السادسة رغم الطلبات المتكررة. وأظهرت SEC أن فحصاً أمنياً لشخص كان جارياً، وأن فحصاً آخر يعود إلى عام 2017، من دون تأكيد أن النتيجة القديمة كانت إيجابية.

ينتهي مسار التدقيق حيث كان ينبغي أن يبدأ

اختار GAO خمسة عشر ضابطاً من NIST SP 800-53 تشمل الوصول إلى الأنظمة وسلامتها وسريتها ومراقبة استخدامها. وسلسلة السجلات المطلوبة محددة: صاحب الحساب، والصلاحيات الممنوحة، والتدريب والتعهدات المطلوبة، والأفعال المسجلة، وتاريخ تعطيل الوصول عند المغادرة. طلب التدقيق أدلة تربط كل عنصر بالآخر.

وقدمت الوكالات الست أسباباً مختلفة. قالت CFPB إن الطلبات مكررة وقد تعطل العمل وتزيد العبء. وأشارت Department of Education إلى تقاضٍ قائم ومخاوف سرية. وطعنت SEC في صلاحية GAO لإجراء هذه المراجعة؛ وقالت NOAA أيضاً إن هذه الصلاحية غير متوافرة. وأبلغت VA أنها لن ترد من دون بيان السبب؛ ولم تكن SBA قد فسرت عدم الرد حتى سبتمبر. استند GAO إلى المادتين 716 و717 من العنوان 31 في U.S. Code، وقال إن اعتراضات الوكالات لا تنتقص من حقه القانوني في السجلات.

يمكن للوكالة حماية البيانات الشخصية وإتاحة فحص الأدوار والصلاحيات وتواريخ الموافقة وسجلات النشاط للمدقق. ويقول GAO إنه يحمي المواد الحساسة وسبق أن نسق ترتيبات للفحص مع وكالات. يتيح الفحص المنضبط اختبار قرارات الوصول مع إبقاء تفاصيل إعدادات الأنظمة محمية.

يوثق التقرير انقطاع سلسلة الأدلة بين الحساب والفعل. ذكرت أربع وكالات أكثر من 23 نظاماً، لكنها لم تقدم لـGAO مساراً قابلاً للفحص من أدوار الحسابات إلى الأفعال المسجلة؛ ولم تحدد وكالتان أنظمتهما. لذلك لا يبين السجل العام، لكل حساب، الأنظمة المتاحة أو الأفعال التي تسمح بها الصلاحيات أو ما سجلته السجلات.

نشر أمر وصول واسع سهل. تبدأ المساءلة حين تستطيع الوكالة المستضيفة تقديم خريطة الصلاحيات والسجل الذي يثبتها.

المصادر