Summary

  • En una muestra no generalizable de ocho sistemas de cuatro agencias, el GAO encontró que tres aplicaban plenamente la vigilancia continua y tres cumplían plenamente la respuesta y recuperación documentadas; los otros cinco eran parciales en cada práctica.
  • El hueco aparecía entre agencia y proveedor: Estado no demostró revisar entregables de vigilancia de su PaaS seleccionado; Asuntos de Veteranos no aportó evidencia de que recogiera y revisara registros del proveedor en ninguno de sus dos sistemas; algunos acuerdos carecían de métricas exigibles.

El proveedor envía un informe; la agencia debe leerlo

El GAO publicó el estudio el 25 de junio de 2026. Seleccionó dos sistemas de cada una de cuatro agencias: Estado, Transporte, Asuntos de Veteranos y la Administración de Pequeñas Empresas. Incluyó servicios de plataforma y de software. No identificó los sistemas por nombre debido a su sensibilidad. Las cuatro agencias fueron escogidas por su número de autorizaciones cloud, y las ocho instalaciones forman una muestra que no se puede extrapolar a todo el gobierno federal.

El examen se concentró en tres tareas precisas. La vigilancia continua exige conocer el estado de los controles de seguridad y revisar lo que entrega el proveedor. La respuesta y recuperación requieren procedimientos de identificación, aviso, contención y coordinación con el proveedor. El acuerdo de nivel de servicio debe especificar qué se exige, cómo se mide y qué ocurre si no se cumple. Una autorización de uso no ejecuta ninguna de estas tareas por sí sola.

Solo tres de ocho sistemas cumplieron plenamente la vigilancia continua. Los otros cinco cumplieron una parte. Estado mostró revisión de entregables del proveedor SaaS examinado, pero no del PaaS. Asuntos de Veteranos tenía planes y políticas de registros, pero no aportó evidencia de recogida y revisión de los registros del proveedor para ninguno de los dos sistemas. La Administración de Pequeñas Empresas sí había revisado entregables y registros de su SaaS; no demostró lo mismo para el PaaS. La diferencia no está entre tener y no tener un documento, sino entre poseer una regla y demostrar el trabajo recurrente que ordena.

Una alarma compartida necesita un reloj compartido

La práctica de respuesta y recuperación estaba completa en tres sistemas y parcial en cinco. Transporte cumplió plenamente en sus dos sistemas. Para el PaaS de Estado faltaban procedimientos de coordinación con el proveedor. Asuntos de Veteranos no tenía una forma documentada de medir el tiempo de respuesta en su PaaS ni un procedimiento de ensayo para su SaaS. Sus funcionarios dijeron que el proveedor había realizado una prueba en octubre de 2025, pero no entregaron al GAO la evidencia ni el procedimiento de esa prueba.

La Small Business Administration (SBA) tenía un plan de respuesta sin firma y lagunas en la notificación rápida y la coordinación con el proveedor. Cuando una alerta nace en los sistemas de una empresa y exige una decisión pública, la hora y el destinatario del aviso importan. Un diagrama de responsabilidades sin ensayo deja el traspaso más delicado para el día de la emergencia. El GAO describió deficiencias de procedimiento y evidencia; no informó de un ataque concreto con respuesta fallida.

El contrato tampoco cerraba siempre el círculo. Cinco sistemas tenían acuerdos con métricas completas, uno era parcial y dos no definían métricas de seguridad. El acuerdo SaaS de Asuntos de Veteranos nombraba indicadores, pero no explicaba su medición ni los mecanismos para exigirlos. Para su PaaS, la agencia presentó lenguaje general de sitios web en vez de un acuerdo entre agencia y proveedor con esos elementos. La Administración de Pequeñas Empresas tenía un acuerdo completo para el PaaS, pero ninguno equivalente para el SaaS. Una métrica que nadie puede medir o reclamar es decoración contractual.

El informe íntegro oficial formuló doce recomendaciones: dos a Estado, cinco a Asuntos de Veteranos y cinco a la Administración de Pequeñas Empresas. Transporte no recibió ninguna en la versión final, después de aportar documentación que resolvió una observación preliminar. Los papeles sí pueden cambiar una conclusión cuando prueban trabajo real. Lo que falta en los demás sistemas tiene una forma igualmente concreta: revisión fechada de entregables, registros examinados, pruebas de aviso y términos contractuales medibles.

La propuesta de Heng Lu de contrastar la autoridad institucional con la práctica que funciona ofrece una lente, no datos sobre estas agencias. El proveedor puede operar el servidor. La agencia debe saber qué ocurre allí y conservar pruebas de que lo supo a tiempo.

Sources