Summary

  • Dans un échantillon non généralisable de huit systèmes répartis entre quatre agences, seuls trois remplissaient entièrement les critères du GAO pour la surveillance continue. Trois remplissaient entièrement ceux de la réponse aux incidents ; cinq systèmes étaient partiels dans chacune de ces deux catégories.
  • Les lacunes se situaient au passage entre fournisseur et administration : rapports de surveillance non examinés dans un système du Département d’État, journaux du fournisseur non démontrés comme collectés et lus dans deux systèmes des Anciens combattants, et contrats parfois privés de mesures ou de moyens d'exécution.

Une autorisation n'ouvre pas le rapport du fournisseur

Le GAO a publié son enquête le 25 juin 2026. Il a retenu deux systèmes par administration au Département d’État, aux Transports, aux Anciens combattants et à la Small Business Administration. Les noms des huit systèmes ne sont pas divulgués pour des raisons de sensibilité ; ils couvrent des services de plateforme et de logiciel. Les quatre administrations ont été sélectionnées selon leur nombre d'autorisations cloud. L'échantillon ne mesure pas l'ensemble des systèmes fédéraux.

Le contrôle portait sur trois tâches : surveiller en continu les protections techniques, préparer la réponse et le rétablissement après incident, et conclure un accord de niveau de service précisant les performances, leur mesure et leur exécution. La valeur d'une autorisation cloud se joue ensuite dans ces gestes ordinaires. Qui reçoit les données du fournisseur ? Qui lit les journaux ? Qui déclenche l'appel lorsque l'alerte arrive ?

Sur les huit systèmes, trois seulement satisfaisaient entièrement la surveillance continue ; cinq la satisfaisaient partiellement. Le Département d’État avait apporté la preuve d'une revue des livrables de son fournisseur SaaS, mais pas de ceux du fournisseur PaaS examiné. Les Anciens combattants disposaient de plans et de règles de gestion des journaux pour leurs deux systèmes, sans produire de preuve qu'ils recueillaient et examinaient effectivement les journaux du fournisseur. La Small Business Administration montrait cette revue pour son SaaS, pas pour son PaaS.

Des politiques écrites existaient ; l'opération répétée qui leur donne une valeur restait parfois sans trace.

Le test d'alerte doit inclure celui qui répond

La réponse aux incidents et le rétablissement étaient pleinement mis en œuvre dans trois systèmes sur huit, partiellement dans cinq. Les Transports satisfaisaient entièrement la pratique pour leurs deux systèmes. Dans le PaaS du Département d’État, les procédures ne précisaient pas suffisamment la coordination avec le fournisseur. Les Anciens combattants n'avaient pas de procédure pour mesurer le temps de réponse sur leur PaaS et pas de procédure documentée pour tester la réponse sur leur SaaS. Ils ont indiqué qu'un fournisseur avait testé en octobre 2025, sans remettre au GAO la preuve de ce test ni sa méthode.

La Small Business Administration avait un plan de réponse non signé et des lacunes dans le signalement rapide et la coordination avec le fournisseur. Ces lacunes prennent du poids au moment où un signal doit passer du fournisseur à l’équipe de l’agence. Le GAO n'a pas établi qu'un incident précis avait échoué. Il a décrit les procédures et les preuves manquantes qui rendraient un tel incident plus difficile à traiter.

Les clauses contractuelles n'étaient pas uniformes non plus. Cinq systèmes disposaient d'accords définissant entièrement les mesures de performance requises ; un était partiel, deux ne définissaient pas de mesures de sécurité. L'accord SaaS des Anciens combattants citait des objectifs sans fixer comment les mesurer ou les faire respecter. Pour leur PaaS, des pages web générales tenaient lieu de document présenté au GAO, sans accord précis entre agence et fournisseur. La Small Business Administration avait l'accord requis pour son PaaS, pas pour son SaaS.

Un chiffre dans le contrat qui ne peut ni être mesuré ni être appliqué n'exerce aucune pression sur la livraison.

Le rapport intégral du GAO compte douze recommandations : deux pour le Département d’État, cinq pour les Anciens combattants, cinq pour la Small Business Administration. Les Transports n'en ont pas reçu dans la version finale après avoir fourni des documents qui ont résolu une observation préliminaire. Une preuve supplémentaire a donc effectivement changé l'appréciation. L'agence peut changer la suivante en montrant des revues datées, des journaux examinés, des exercices d'incident et des clauses exécutoires.

L'idée de Heng Lu selon laquelle une affirmation institutionnelle se juge à la pratique réelle fournit une grille de lecture, sans apporter de faits sur ces systèmes. Dans le cloud, le serveur peut appartenir au fournisseur. La décision de lire son rapport et d'agir sur son alerte appartient encore à l'administration.

Sources