خمسة من ثمانية أنظمة سحابية اتحادية بمراقبة جزئية

Summary

في عينة غير قابلة للتعميم تضم ثمانية أنظمة لدى أربع وكالات، استوفت ثلاثة فقط المراقبة المستمرة بالكامل، وثلاثة فقط الاستجابة والتعافي الموثقين بالكامل؛ كانت الأنظمة الخمسة الأخرى جزئية في كل من الممارستين.
ظهرت الفجوات عند تسليم الدليل: لم تُظهر وزارة الخارجية مراجعة لمخرجات مراقبة مورد نظامها PaaS المختار، ولم تقدم شؤون المحاربين القدامى دليلاً على جمع سجلات المورد ومراجعتها في أي من نظاميها المختارين.

رخصة الاستخدام لا تفتح تقارير المورد

نشر مكتب مساءلة الحكومة تقريره في 25 يونيو 2026. اختار نظامين من كل من وزارات الخارجية والنقل وشؤون المحاربين القدامى، وإدارة الأعمال الصغيرة. شملت العينة خدمات منصة وخدمات برمجية، وأُخفيت أسماء الأنظمة لحساسيتها. اختيرت الوكالات بحسب عدد تراخيصها السحابية، والعينة المكونة من ثمانية أنظمة غير ممثلة لكل الأنظمة الاتحادية. هذه الحدود تحافظ على معنى الرقم: خمس حالات محددة، لا نسبة تخمينية في الحكومة كلها.

فحص المكتب ثلاث ممارسات: متابعة أمن النظام باستمرار، والاستجابة للحوادث والتعافي منها، واتفاقات مستوى الخدمة التي تحدد الأداء وطريقة قياسه وآليات إلزام المورد. تحصل الخدمة السحابية على تفويض استخدام، ثم تبدأ أيام العمل العادية. هل قرأ موظف الجهة تقرير المراقبة؟ هل جُمعت السجلات التي وعدت السياسة بمراجعتها؟ هل يعرف الفريق من يتصل بالمورد ومتى؟ هذه أسئلة تشغيل، لا أسئلة توقيع.

في المراقبة المستمرة، استوفت ثلاثة أنظمة المعايير كاملة، وخمسة جزئياً. قدمت الخارجية دليلاً على مراجعة مخرجات مورد SaaS المختار، لكنها لم تُظهر مراجعة مماثلة لمورد PaaS. كانت لدى شؤون المحاربين القدامى خطط مراقبة وسياسات لسجلات التدقيق في نظاميها، ولم تقدم ما يثبت أنها جمعت سجلات المورد وفحصتها. راجعت إدارة الأعمال الصغيرة مخرجات المورد والسجلات في SaaS، ولم تُظهر ذلك في PaaS. توجد الخطة في الملف؛ أثر تنفيذها المنتظم لا يظهر دائماً معه.

إنذار المورد يحتاج ساعة اتصال عند الوكالة

في الاستجابة والتعافي، استوفت ثلاثة أنظمة الممارسة بالكامل وبقيت خمسة جزئية. استوفت وزارة النقل المعيار في نظاميها. افتقر PaaS المختار لدى الخارجية إلى إجراءات كافية للتنسيق مع المورد. لم توثق شؤون المحاربين القدامى طريقة قياس زمن الاستجابة في PaaS، ولا إجراء اختبار الاستجابة في SaaS. قالت إن المورد أجرى اختباراً في أكتوبر 2025، لكنها لم تقدم للمكتب دليله أو خطواته.

كانت خطة الاستجابة لدى إدارة الأعمال الصغيرة الأميركية (SBA) غير موقعة، مع ثغرات في الإبلاغ السريع والتنسيق مع المورد. عندما تظهر إشارة خطرة لدى المورد، على الجهة أن تعرف وقت الإبلاغ، وطريق الاتصال، ومن يتخذ القرار داخل الجهة، ومن يعلن انتهاء المعالجة. لم يثبت التقرير وقوع هجوم محدد في هذه الأنظمة؛ كشف نقص الإجراءات والأدلة التي تجعل التصرف أثناء هجوم أصعب.

لم تكن العقود حاسمة دائماً. خمسة أنظمة امتلكت اتفاقات تحدد مقاييس الأداء المطلوبة بالكامل؛ واحد جزئياً، واثنان بلا مقاييس أمنية. ذكر اتفاق SaaS لشؤون المحاربين القدامى مقاييس دون طريقة قياس أو آلية إلزام. وفي PaaS قدمت الجهة لغة عامة منشورة على مواقع إلكترونية بدلاً من اتفاق خاص بينها وبين المورد بهذه العناصر. امتلكت إدارة الأعمال الصغيرة الاتفاق المطلوب لـPaaS ولم تمتلك نظيره لـSaaS. المقياس الذي لا يُقاس ولا يُنفذ مجرد زينة تعاقدية.

أصدر التقرير الرسمي الكامل 12 توصية: اثنتان للخارجية، وخمس لشؤون المحاربين القدامى، وخمس لإدارة الأعمال الصغيرة. لم تتلق النقل توصية في النص النهائي بعدما قدمت مستندات حلت ملاحظة أولية. غير الدليل المقدم الحكم فعلاً؛ ويمكن لمراجعات مؤرخة للتقارير والسجلات، وتمارين اتصال، وعقود قابلة للقياس أن تغيره في الأنظمة الأخرى.

تقدم فكرة Heng Lu عن اختبار ادعاءات المؤسسات بما يجري فعلاً زاوية تحليلية، لا حقائق عن السحابة الأمريكية. يستطيع المورد امتلاك الخادم. أما السؤال عمن رأى الإنذار وتصرف في وقته فيبقى على مكتب الوكالة.