GSA : 116 fichiers exposés et un contrôle limité à 15 Mo

À la GSA, le contrôle s’arrêtait à 15 Mo. Quatorze dossiers exposés passaient au-dessus.

Pourquoi c'est important

L’administration fédérale avait un outil de prévention des fuites, mais ses responsables ignoraient la limite de taille de son analyse. L’inspection a trouvé 116 fichiers sensibles ouverts à tous les utilisateurs internes de Drive. Le vrai pouvoir se trouvait dans les paramètres que personne ne gouvernait.

Daniel Kade3 novembre 2026 à 21:34 UTCTemps de lecture 3 minDernière mise à jour: 3 novembre 2026

Image conceptuelle d’une limite de taille qui laisse un dossier partagé hors du contrôle.

Summary

Dans son rapport du 27 octobre 2026, l’inspection générale de la General Services Administration relève 116 fichiers contenant des informations non classifiées contrôlées, partagés à tort avec l’ensemble des utilisateurs du Drive de l’agence.
Parmi ces fichiers, 14 dépassaient les 15 Mo que l’outil de prévention des fuites pouvait analyser. Les responsables de la sécurité ont dit avoir appris cette limite lors d’une alerte d’avril 2025. L’agence n’avait pas davantage de procédure d’autorisation pour un partage aussi large.

Un réglage technique, une décision politique

Partager un document avec « tous les utilisateurs » semblait être une option de travail. Pour un dossier sensible, c’est une décision sur qui peut connaître quoi. L’audit établit que des agents et prestataires dépourvus de besoin professionnel figuraient dans ce public. Il relève des informations de sécurité physique dans 64 des 116 fichiers, ainsi que des données personnelles et des informations commerciales protégées. Décrire plus précisément ces pièces ne renforcerait pas le contrôle qui leur a manqué.

La GSA indique que son Drive contient environ 2,5 millions de documents. Les inspecteurs ont procédé autrement qu’à un recensement intégral : 39 termes, une recherche ciblée sur les fichiers ouverts à tous et un examen limité des résultats. Le chiffre de 116 mesure les cas trouvés, pas la fréquence des expositions dans les 2,5 millions de documents. C’est déjà assez pour interroger le système chargé de les empêcher.

Ce système avait plusieurs trous. La révision annuelle des termes de recherche n’était pas achevée. Des fichiers contenant des termes actifs ont échappé à la détection ; d’autres expressions pertinentes n’avaient pas été intégrées. La reconnaissance optique de caractères était disponible mais désactivée. L’outil cessait d’analyser au-delà de 15 Mo. Dans une alerte distincte de 2025, la GSA avait déjà attribué à cette limite l’absence de détection de 10 fichiers sur 15 exposés. Les 14 fichiers du nouvel audit appartiennent à un autre ensemble.

Le rapport intégral expurgé recommande sept actions : limiter l’accès aux 116 fichiers, chercher d’autres partages, notifier les personnes concernées selon les règles, puis revoir autorisations, désignation des fichiers, formation et paramètres de détection. Le directeur informatique de la GSA les accepte. Une acceptation écrite ne ferme pas un accès. Il manque un état daté des droits de chaque fichier et des essais du nouveau paramétrage pour savoir ce qui a changé.