Summary

  • 2026年10月27日公表の監察報告は、GSAのDriveで管理対象の非機密情報を含む116件のファイルが、全利用者に不適切に共有されていたと記す。業務上の閲覧理由がない職員や委託先も、その範囲に含まれた。
  • 116件中14件は情報漏えい防止ツールの走査上限である15MBを超えていた。安全管理担当者がこの上限を知ったのは2025年4月の警告時だったという。全利用者への共有を事前に承認する手続きもなかった。

「全員に共有」の前に誰が止めるのか

クラウドの共有設定は一瞬で変えられる。管理対象の情報では、その一瞬が閲覧権限の拡大を意味する。116件のうち64件には施設などの物理的な安全に関する情報があり、個人情報や企業の非公開情報も見つかった。文書の中身を詳しく広める必要はない。必要性を確かめず全利用者へ開いたことが、問題の輪郭を十分に示す。

GSA側によれば、Driveには約250万件の文書がある。監察官は全件を検査したわけではない。39の検索語を使い、全利用者向け共有を対象に絞った調査で116件を確認した。したがって、116を250万で割って組織全体の露出率にするのは調査設計に反する。問うべきは、見つかった件数を生んだ管理手順だ。

検索語の年次点検は完了しておらず、設定済みの語を含む文書さえ検知から漏れた。関係する語の一部は登録されていない。利用可能な光学文字認識も使われていなかった。さらに15MBを超えるファイルはツールの走査対象外となる。別件の2025年の警告では、当時露出した15件のうち10件が容量のため走査されなかったとGSAが説明した。今回の14件と足し合わせる数字ではない。

一部を伏せた監察官の最終報告は、116件のアクセス制限、他の共有事例の発見、方針に沿った関係者への通知、承認・命名・研修・検知方法の改善など七つを勧告した。GSAの最高情報責任者は同意した。修正が済んだかを判断するには、各ファイルの権限変更記録と新しい検知設定の試験結果が要る。同意は操作履歴ではない。

Sources