Summary

  • El informe de la inspección general de la GSA, publicado el 27 de octubre de 2026, documenta 116 archivos con información no clasificada controlada compartidos indebidamente con todos los usuarios del Drive de la agencia, incluidos empleados y contratistas sin necesidad de acceso.
  • Catorce de esos 116 archivos superaban los 15 MB que podía analizar la herramienta contra pérdidas de datos. Los responsables de seguridad dijeron que no conocían ese límite hasta una alerta de abril de 2025. Tampoco existía un proceso de aprobación para compartir ese material con toda la agencia.

La casilla de «todos» tenía pocas preguntas

Un permiso amplio facilita el trabajo en grupo. En un repositorio con información protegida también distribuye decisiones sobre seguridad a miles de posibles lectores. La inspección halló información de seguridad física en 64 de los 116 documentos, además de datos personales y material empresarial reservado. Su contenido concreto no hace falta para entender el fallo: alguien pudo abrirlo a una audiencia sin justificación profesional y no había una autorización previa que frenara el gesto.

La dirección de la GSA cifró en unos 2,5 millones los documentos almacenados. El equipo auditor no los examinó todos. Usó 39 palabras clave en una búsqueda limitada de archivos compartidos con todos los usuarios. Por eso 116 es el conjunto descubierto, no una tasa de exposición del repositorio entero. El informe no necesita un porcentaje inventado: sus controles quedaron descritos con bastante precisión.

Las revisiones anuales de las palabras de búsqueda estaban incompletas. Algunos archivos con términos ya activos no aparecieron; otros términos pertinentes no figuraban en la configuración. Había reconocimiento óptico de caracteres, pero no se había activado. Y el análisis tenía un techo de 15 MB que los responsables desconocían. En la alerta separada de 2025, la propia GSA atribuyó al tamaño la falta de detección de 10 de 15 documentos entonces expuestos. No son los 14 del hallazgo de 2026.

El informe final censurado formula siete recomendaciones: reducir el acceso a los 116, localizar otros archivos, avisar a personas afectadas según la política y corregir autorizaciones, nombres, formación y detección. El director de informática aceptó las recomendaciones. Falta una constancia fechada de permisos por archivo y pruebas del sistema revisado para saber cuáles se han ejecutado. La firma bajo una recomendación no cambia un permiso en Drive.

Sources