Summary

  • 2026년 10월 27일 발표된 GSA 감찰관 보고서는 통제 대상 비밀 아닌 정보를 담은 파일 116건이 기관 Drive의 모든 사용자에게 부적절하게 공유됐다고 밝혔다. 업무상 열람할 이유가 없는 직원과 계약자도 그 범위에 들어갔다.
  • 이 가운데 14건은 정보 유출 방지 도구가 검사할 수 있는 15MB 한도를 넘었다. 보안 관리자들은 2025년 4월 경고를 받고서야 그 한도를 알았다고 말했다. 기관 전체 공유를 사전에 승인하는 절차도 없었다.

‘모두에게 공유’는 누가 승인했나

협업 파일이라면 넓은 접근 권한이 편할 수 있다. 통제 대상 정보라면 그 권한은 열람자를 정하는 실질적인 결정이다. 116건 중 64건에는 시설 등의 물리적 보안 정보가 있었고, 개인정보와 기업의 보호 대상 정보도 확인됐다. 세부 내용을 되풀이할 필요는 없다. 업무 목적이 없는 사람까지 접근할 수 있었던 권한 설정이 핵심이다.

GSA 경영진에 따르면 Drive에는 약 250만 개의 문서가 있다. 감찰관은 이를 전수 조사하지 않았다. 39개 검색어를 사용해 모든 사용자에게 공유된 파일을 제한적으로 찾았다. 따라서 116건을 250만 건으로 나눈 수치는 전체 노출률이 아니다. 이 제한적 조사만으로도 공유 허가와 탐지 절차가 제대로 작동하는지 묻기에 충분하다.

탐지 도구의 검색어는 연례 검토가 끝나지 않았다. 이미 설정된 단어가 든 노출 파일도 일부 놓쳤고, 관련 단어 일부는 아예 목록에 없었다. 사용 가능한 광학 문자 인식 기능은 켜지지 않았다. 여기에 15MB 검사 상한이 있었다. 별도의 2025년 경고에서 GSA는 당시 노출된 문서 15건 중 10건이 크기 때문에 검사되지 않았다고 설명했다. 그 10건을 이번 감사의 14건과 합쳐 하나의 사건처럼 셀 수는 없다.

일부 내용을 가린 최종 보고서는 일곱 가지 조치를 권고했다. 116건의 접근 제한, 다른 사례 탐색, 규정에 따른 영향 당사자 통지, 승인·파일 명명·교육·탐지 방식 개선이다. GSA 최고정보책임자는 동의했다. 실제 변경 여부는 파일별 권한 변경 날짜와 새 설정의 시험 결과가 보여줄 것이다. 동의한다는 문장은 공유 버튼을 다시 누르지 않는다.

Sources