Login.gov transformou alegações de garantia de identidade em um teste de responsabilidade baseado em evidências de controle

Resumo

• A principal constatação confirmada vem daavaliação do Escritório do Inspetor Geral da GSA de março de 2023. Ele descobriu que o Login.gov nunca incluiu a comparação física ou biométrica necessária para o serviço IAL2 que representava para agências clientes, que a GSA não divulgou prontamente a não conformidade conhecida e que a GSA faturou mais de US$ 10 milhões a clientes IAL2 até maio de 2022.
• A falha não foi que o Login.gov considerou equidade, privacidade ou alternativas ao reconhecimento facial automatizado. Essas são restrições legítimas de serviço público. A falha foi que uma decisão de não implementar um controle obrigatório não desencadeou uma mudança simultânea na alegação de garantia, nos acordos interagências, no tratamento de faturamento, nas representações de financiamento e nas decisões de risco do cliente.
• As evidências de reparo são substanciais. A GSA corrigiu descrições públicas, expandiu a verificação presencial, pilotou o reconhecimento facial um-para-um, obteve uma avaliação independente NIST SP 800-63-3 IAL2 em outubro de 2024, separou a verificação básica não IAL2 da verificação aprimorada IAL2, expandiu verificações de registros autoritativos e documentou práticas atuais de privacidade. Os registros de supervisão também mostram as cinco recomendações do OIG de 2023 como encerradas.
• Reparo não é o mesmo que responsabilidade completa. O registro público não quantifica solicitantes de benefícios admitidos ou negados sob uma suposição incorreta de garantia, identifica todas as decisões de remediação de clientes, publica os resultados da revisão de faturamento cliente por cliente, estabelece reembolsos ou restituições, ou divulga resultados longitudinais de aprovação, reprovação, fraude e reparação por via de verificação e população afetada.
• O teste duradouro é se toda afirmação de garantia pode ser rastreada, no momento em que é feita, a um padrão versionado, controles implantados, evidências independentes, termos precisos do cliente, faturamento correspondente, divulgação oportuna de exceções, medidas de resultados do usuário e um caminho documentado para mudanças de padrão. Um certificado posterior prova um estado de serviço posterior; não pode validar retroativamente uma reivindicação anterior.

Um rótulo de garantia é uma promessa operacional

As discussões sobre identidade digital frequentemente colapsam autenticação, verificação de identidade, elegibilidade e autorização em uma ideia: fazer login. O Login.gov não toma decisões de benefícios ou elegibilidade, e sua explicação pública atual diz isso. Uma pessoa cria uma conta, autentica com uma senha e outro fator, e pode então concluir a verificação de identidade se a agência parceira exigir. A agência parceira decide o que a pessoa pode acessar e se a pessoa se qualifica para um serviço. Essa divisão de trabalho é importante, mas não torna a representação de garantia do Login.gov incidental.

Um Nível de Garantia de Identidade descreve a confiança de que um solicitante está associado a uma identidade do mundo real. É diferente de um Nível de Garantia de Autenticação, que diz respeito à confiança de que a pessoa que apresenta um autenticador o controla. Um serviço pode exigir autenticação multifator forte e ainda assim falhar em estabelecer a identidade do mundo real reivindicada no nível prometido.

O relatório do OIG de 2023 também encontrou um problema de configuração AAL2 separado que a GSA corrigiu posteriormente, mas a questão de responsabilidade definidora aqui é IAL2: se a evidência de identidade não foi apenas coletada e validada, mas vinculada ao solicitante vivo da maneira que o padrão governante exigia.

Esse rótulo tinha pelo menos cinco públicos operacionais. As pessoas encontravam as etapas de verificação e entregavam informações confidenciais. As agências parceiras usavam as afirmações resultantes para projetar caminhos de acesso para benefícios, registros, transações financeiras e informações protegidas. Os funcionários de compras e programas usavam acordos interagências para definir o que a GSA entregaria. O Conselho do Fundo de Modernização Tecnológica avaliou uma grande proposta de financiamento.

Auditores e oficiais autorizadores precisavam de uma trilha de evidências mostrando que o serviço de produção correspondia ao seu conjunto declarado de controles.

Para cada público, "IAL2" carregava mais informações do que "realizamos várias verificações de identidade". Implicava conformidade com um conjunto de requisitos publicado. Se o serviço, em vez disso, fornecesse um pacote útil mas diferente de autenticação de documentos, verificações de registros, confirmação de endereço e controles de fraude, o nome verdadeiro do produto precisava dizer isso. O Login.gov agora faz exatamente isso: suadescrição atual de serviçodistingue a verificação básica de identidade que não é compatível com IAL2 da verificação aprimorada de identidade que é. Essa separação posterior ilustra a disciplina de governança que faltava durante o período revisado.

O que o padrão governante exigia na época

A conduta histórica deve ser avaliada de acordo com o padrão então em vigor, não retroativamente contra uma revisão posterior. Durante o período coberto pela avaliação do OIG, o NIST SP 800-63-3 e seu volume complementar SP 800-63A governavam a reivindicação relevante. Osrequisitos de verificação de identidade Rev.3descreviam o IAL2 como exigindo evidências que apoiassem a existência real da identidade reivindicada e a verificação de que o solicitante estava apropriadamente associado a essa identidade. Para a evidência de identidade mais forte usada no IAL2, a verificação precisava de força classificada como forte. A rota aceita era uma comparação física do solicitante com a fotografia na evidência mais forte ou uma comparação biométrica usando a evidência.

Orecurso de implementação Rev.3 do NIST sobre verificação de identidadetornava o limite de controle especialmente claro. A validação de identidade pergunta se as evidências e atributos são autênticos e precisos. A verificação de identidade pergunta se as evidências válidas realmente pertencem ao solicitante que aparece para verificação. Comparar os dados de um cartão de identificação com registros autoritativos ou comerciais pode apoiar a validação. Isso, por si só, não vincula o cartão à pessoa viva que o apresenta. A comparação física ou biométrica ausente não era, portanto, um defeito menor de documentação. Era o passo que ligava a evidência ao solicitante.

O padrão permitia que as agências se afastassem de um conjunto completo de requisitos normativos em algumas circunstâncias, mas essa flexibilidade vinha com um ônus de evidência. O OIG citou o SP 800-63-3 como exigindo comparabilidade de uma alternativa, documentação do desvio e detalhes dos controles compensatórios. O OIG descobriu que a GSA não tinha alternativa comparável, nem controles compensatórios, nem justificativa documentada para o requisito de verificação ausente. Rejeitou descrições como atender ao "espírito" ou "sabor" do IAL2 como equivalentes a atender ao padrão.

O contexto político também importava. OMemorando OMB M-19-17, emitido em maio de 2019, dirigia as agências federais a implementar o NIST SP 800-63-3 com o conjunto mais amplo de políticas federais de gerenciamento de identidade. Uma agência dependente ainda tinha que realizar sua própria avaliação de risco de identidade digital e escolher um nível de garantia apropriado para cada aplicação. Mas essa responsabilidade pressupunha informações precisas do serviço. Uma agência não pode fazer uma escolha de risco informada se o rótulo do provedor e o controle implantado diferirem.

Essa distinção previne dois erros opostos. Seria errado dizer que o serviço antigo não realizava verificações de identidade; os registros oficiais descrevem autenticação de documentos, verificações de registros, confirmação de endereço e controles de fraude. Também seria errado dizer que essas verificações tornavam o controle de verificação ausente irrelevante. A questão confirmada não era se o Login.gov fazia algo útil. Era se entregava o serviço definido que dizia entregar.

A linha do tempo confirmada mostra divergência repetida entre reivindicação e controle

O Login.gov foi lançado em 2017 como um serviço de login compartilhado. A avaliação do OIG, aberta em abril de 2022 após o Escritório do Consultor Geral da GSA relatar possível má conduta, examinou a atividade do programa de maio de 2016 a dezembro de 2022. Sua cronologia mostra que a incompatibilidade não foi descoberta apenas após uma mudança repentina de padrão.

Em setembro de 2018, os funcionários do Login.gov discutiam serviços IAL2 internamente e com clientes em potencial. A linguagem do acordo interagências começou a afirmar que o serviço IAL2 atendia ao NIST 800-63-3 para AAL2 e IAL2 e que o TTS forneceria esses serviços em base reembolsável. O OIG descobriu que 18 dos 22 acordos executados de 18 de setembro de 2018 a 7 de julho de 2021 afirmavam que incluíam serviços IAL2 que atendiam ou eram consistentes com os requisitos IAL2.

Em julho de 2019, o Diretor de Informação da GSA afirmou na autorização do sistema FedRAMP do Login.gov para operar que o sistema poderia suportar validação no IAL1 ou IAL2. Em novembro de 2019, o CIO permitiu a implantação de IAL2 pelo cliente sujeito a condições. No entanto, de acordo com o OIG, o serviço de produção disponível aos clientes nunca incluiu uma comparação física ou biométrica. Ele usava um terceiro para comparar cartões de identificação com informações em registros comerciais. Isso poderia validar evidências e atributos, mas não realizava a verificação de propriedade necessária.

O conhecimento da lacuna percorreu a organização. O OIG relatou discussões sobre a incapacidade de atender ao IAL2 pelo menos desde 2019. Disse que um conselheiro sênior do TTS informou a equipe em janeiro de 2020 que um componente biométrico era necessário. Um consultor deu o mesmo aviso em agosto de 2020. Discussões internas também reconheciam preocupações sobre tecnologia de selfie, detecção de vivacidade e taxas de rejeição diferenciais associadas a características físicas como cor e tom de pele. Essas preocupações eram entradas legítimas de governança; não tornavam o serviço conforme.

Em 24 de junho de 2021, o Diretor do TTS e o Vice-Comissário da FAS anunciaram internamente que o TTS estava suspendendo os esforços para atender ao requisito de comparação biométrica, citando preocupações de equidade com tecnologia de vivacidade e selfie. O OIG descobriu que as agências clientes não foram notificadas quando essa decisão de produto foi tomada. Esta data é a dobradiça de responsabilidade mais clara.

Uma vez que a liderança decidiu não implantar o controle então entendido como necessário, o estado da reivindicação deveria ter mudado em todos os lugares: catálogo de produtos, evidências de autorização, acordo interagências, código de faturamento, discussão de vendas, proposta de financiamento e notificação ao cliente.

Em vez disso, em setembro de 2021, a GSA submeteu uma proposta ao Fundo de Modernização Tecnológica que dizia que o Login.gov fornecia serviços de identidade de acordo com o M-19-17 e cumpria o NIST 800-63-3 tanto para AAL2 quanto para IAL2. A proposta finalmente garantiu aproximadamente US$ 187 milhões para 2022 a 2025. O OIG não tratou o prêmio total como uma perda mensurável; os fundos tinham objetivos mais amplos, incluindo adoção, equidade, cibersegurança e capacidade antifraude. Constatou que a declaração de conformidade usada para obter o financiamento era imprecisa.

A notificação ao cliente veio em fevereiro de 2022. O OIG registrou reações de clientes mostrando que as agências entenderam que estavam recebendo serviço IAL2 conforme e agora tinham que determinar o que a mudança significava para os sistemas de produção. Alguns perguntaram se o serviço havia sido removido. Um concluiu a partir do esclarecimento que seu sistema de produção não era compatível com IAL2 desde o lançamento porque a comparação facial nunca esteve em produção. Essas reações são evidência direta de confiança e risco de retrabalho.

Não são prova de que uma pessoa inelegível específica recebeu um benefício ou que um solicitante nomeado foi negado.

A GSA também revisou suas representações AAL2, notificou 51 clientes em março de 2022 e outro em abril, e alterou as configurações para corrigir essa questão separada. Para IAL2, ainda não tinha capacidade de fazer o mesmo tipo de correção de configuração. Aavaliação de impacto na privacidade do Login.gov de janeiro de 2024usou linguagem precisa posteriormente: o serviço de verificação de identidade não atendia ao NIST IAL2 naquele momento, enquanto listava os controles que fornecia. Esse era um padrão de divulgação materialmente melhor.

A linha do tempo de faturamento correu paralelamente à linha do tempo da reivindicação. A partir de 2019, a GSA cobrou das agências por serviços descritos como IAL2. O OIG encontrou faturas para 22 agências clientes e calculou US$ 10.060.254 até maio de 2022: US$ 459.877 no ano fiscal de 2020, US$ 4.288.990 no ano fiscal de 2021 e US$ 5.311.387 até maio do ano fiscal de 2022. Sua nota de rodapé advertiu que os totais faturados incluíam taxas de verificação de identidade, taxas de plataforma e taxas de autenticação, e que o Login.gov não diferenciava todos os custos em um nível que isola um valor puro de controle não conforme.

O número é, portanto, um total de faturamento confirmado, não um prêmio de danos judiciais e não prova de que cada dólar comprou nenhum valor.

Em 7 de março de 2023, o OIG emitiu cinco constatações e cinco recomendações. Concluiu que a GSA enganou clientes, faturou serviços IAL2 não fornecidos conforme representado, usou linguagem de conformidade imprecisa na proposta de financiamento e permitiu controles de gestão inadequados e uma cultura de não interferência. A administração da GSA concordou com as constatações e recomendações. O relatório foi uma inspeção e avaliação do inspetor geral, não uma condenação criminal ou julgamento civil, e suas conclusões devem ser descritas nesses termos.

O controle prático foi distribuído, mas a responsabilidade não foi diluída

O registro suporta um mapa de controle em camadas em vez de uma narrativa de vilão único.

A liderança de produto e programa do Login.gov controlava o estado do serviço.O programa controlava quais etapas de verificação eram implantadas, quais fornecedores e fontes de dados eram usados, como a evidência era vinculada a um solicitante, quais nomes de produtos apareciam na documentação e quais limitações técnicas eram escaladas. As equipes de produto também estavam mais próximas das evidências de que o conjunto de controles não satisfazia o nível afirmado.

O Serviço de Transformação Tecnológica controlava a comercialização e o escalonamento.A liderança do TTS controlava a decisão de suspender a implementação biométrica, comunicações com parceiros, modelos de acordos, operações de negócios e a interface entre os fatos do programa e as reivindicações externas. Uma vez que a decisão de produto e a alegação de garantia divergiram, o TTS tinha poder prático para interromper a incompatibilidade.

O Serviço de Aquisição Federal controlava a supervisão institucional.A FAS supervisionava o TTS, assinava ou supervisionava relações interagências e era responsável por controles de gestão, planejamento financeiro, aquisição e governança de programas. O OIG rejeitou especificamente a ideia de que a independência do programa eximia a FAS de responsabilidade. Descobriu que a supervisão inadequada da FAS permitiu a cultura de não interferência e as representações enganosas.

O CIO e o processo de autorização controlavam a aceitação formal de risco.Uma autorização para operar não é uma certificação independente de produto, mas é um ponto de verificação de controle formal. Quando a autorização de 2019 dizia que o sistema poderia suportar IAL2, essa declaração tornou-se parte da cadeia de evidência institucional. Os oficiais autorizadores precisavam de um mapa de requisitos para implementação capaz de detectar que a validação estava sendo substituída pela verificação.

As agências clientes controlavam a garantia e autorização em nível de aplicação.Cada agência dependente tinha que avaliar o dano de erros de identidade, escolher um nível de garantia, decidir quais atributos solicitar e determinar o que uma afirmação bem-sucedida do Login.gov permitia. Esses deveres permanecem. Eles não desculpam representações imprecisas do provedor. Serviços compartilhados existem em parte para que as agências possam confiar em uma implementação de controle comum em vez de reconstruí-la; portanto, limites de serviço verdadeiros são um pré-requisito para a responsabilidade do cliente.

O Conselho do Fundo de Modernização Tecnológica controlava o financiamento, não a verdade do serviço.O Conselho poderia avaliar e condicionar um prêmio, mas dependia da precisão da proposta e dos materiais de apoio. Sua aprovação não transformou um serviço não conforme em conforme.

Os fornecedores de componentes controlavam o desempenho dos componentes.Fontes de dados comerciais e governamentais podiam autenticar documentos, validar atributos, realizar reconhecimento facial, avaliar dispositivos ou fornecer sinais de fraude. O Login.gov, como o provedor de serviços de credenciais apresentado às agências, retinha a responsabilidade de montar esses componentes em um serviço que atendesse ao nível reivindicado e de explicar os fluxos de dados resultantes e as limitações.

NIST, Kantara, OIG e GAO controlavam diferentes funções de evidência.O NIST definia requisitos técnicos e processuais; não operava o Login.gov. A Kantara avaliou posteriormente um serviço especificado contra a Rev.3. O OIG reconstruiu a falha histórica de reivindicação e gestão. O GAO avaliou capacidades, experiência da agência, pilotos, controles de privacidade e ações de acompanhamento. Nenhum desses órgãos substituiu o dever diário da GSA de manter as reivindicações alinhadas com os controles implantados.

Essa alocação importa porque a responsabilidade pode desaparecer quando cada participante aponta para o papel de outro participante. A melhor regra é que cada parte responde pelas decisões que realmente podia mudar. A GSA controlava a reivindicação do produto e o pacote de evidências. As agências clientes controlavam a seleção do caso de uso e a autorização downstream. Os avaliadores controlavam a integridade e o escopo de suas avaliações. Os usuários controlavam quase nenhuma dessas escolhas institucionais.

O dano e o custo começam antes de uma transação fraudulenta confirmada

O registro público não estabelece uma contagem de aprovações fraudulentas, negações indevidas, benefícios roubados ou contas comprometidas causadas pela etapa de verificação IAL2 ausente. Seria especulação inventar uma. Mas a ausência de uma perda de transação quantificada não torna a falha inócua.

Primeiro, as agências perderam qualidade de decisão. Uma parte dependente escolhendo um serviço de verificação precisa saber a probabilidade e o tipo de erro de identidade que os controles são projetados para reduzir. Se um serviço representava que ligava a evidência a um solicitante vivo, mas não realizava a comparação necessária, a análise de risco residual da agência partia de uma premissa falsa. Ela poderia impor pouca proteção em uma transação de alto risco ou gastar tempo projetando medidas compensatórias apenas após divulgação tardia.

Segundo, as agências incorreram em custos de investigação e migração. O GAO relatou posteriormente que a Administração de Pequenas Empresas pausou a adoção após a constatação do OIG e realizou chamadas e revisões adicionais de dados sobre custo e segurança. O Tesouro disse ao GAO que usar um serviço não alinhado para aplicações que exigem IAL2 o exporia a risco de segurança. Tais efeitos são custos operacionais mesmo quando não podem ser reduzidos a uma fatura pública.

Terceiro, o faturamento criou um interesse auditável do contribuinte. Os confirmados US$ 10.060.254 não eram uma medida limpa de pagamento excessivo porque as faturas incluíam serviços que foram entregues. Era, no entanto, dinheiro faturado a clientes sob um relacionamento de serviço IAL2 que o OIG descobriu não atender ao IAL2. Uma revisão abrangente de faturamento era, portanto, necessária para determinar quais cobranças correspondiam à capacidade entregue, quais termos precisavam de correção e se algum ajuste financeiro era devido.

Quarto, lacunas de capacidade podem empurrar as agências para sistemas paralelos. Acomparação do GAO de junho de 2025descobriu que as agências do CFO Act relataram gastar cerca de US$ 32,5 milhões no Login.gov e US$ 209 milhões em soluções comerciais do ano fiscal de 2020 a 2023. O GAO alertou que o preço proprietário impedia uma comparação direta. Também relatou que grande parte dos gastos comerciais refletia capacidades, incluindo IAL2 e biometria, que o Login.gov não oferecia durante o período. Esses números mostram a escala econômica da verificação de identidade fragmentada; não provam que a deturpação do Login.gov causou todo o gasto comercial.

Quinto, as pessoas suportam custos de acesso e privacidade. Uma tentativa de verificação falha pode atrasar o acesso a registros, aplicações ou benefícios. Um controle mais invasivo pode exigir uma imagem do rosto, documento de identidade, número de Seguro Social, sinais de dispositivo e verificações de registros autoritativos. Um controle menos eficaz pode expor fundos públicos ou contas pessoais à personificação. O problema de responsabilidade é, portanto, dupla face: prevenir fraude sem transformar erros de verificação, viés biométrico, barreiras documentais ou compartilhamento opaco de dados em um mecanismo de negação.

Orelatório do GAO de outubro de 2024capturou tanto valor quanto ônus. Das 21 agências do CFO Act relatando uso do Login.gov, 16 citaram operações melhoradas, 11 melhoraram a experiência do usuário e sete economias de custos. Doze citaram a lacuna de alinhamento IAL2, nove citaram problemas técnicos e oito citaram incerteza de custos. Uma agência relatou taxas de falha na criação de conta de 30 a 40 por cento para seus usuários; o GAO não atribuiu cada falha à verificação de identidade ou à reivindicação histórica IAL2. Essa evidência mista é mais útil do que um simples rótulo de sucesso ou falha. Identidade compartilhada pode reduzir trabalho duplicado e ainda impor custos sérios de controle e acesso quando sua evidência é fraca ou seu fluxo de trabalho falha.

Finalmente, a credibilidade é em si infraestrutura. O Login.gov pede que as agências centralizem uma função de confiança sensível e pede que as pessoas usem uma conta em todo o governo. Esse modelo pode reduzir a complexidade, mas concentra a confiança em representações feitas pelo provedor compartilhado. Quando a linguagem de garantia se mostra não confiável, as agências podem duplicar a verificação, atrasar a adoção ou comprar serviços paralelos. O custo resultante não é meramente reputacional; pode minar as economias de escala que o serviço foi criado para entregar.

As preocupações de equidade eram restrições válidas, não permissão para rotular mal o serviço

O registro do OIG não deve ser lido como prova de que a GSA deveria ter ignorado taxas de erro disparatadas ou implantado qualquer tecnologia facial disponível imediatamente. A contínuaAvaliação de Tecnologia de Reconhecimento Facial do NIST, atualizada até junho de 2026, relata variação demográfica em falsas correspondências e falsas não correspondências entre algoritmos. Também explica que qualidade de imagem, iluminação, exposição e geometria da câmera podem afetar o desempenho falso-negativo. Esses fatos apoiam testes cuidadosos, condições de captura acessíveis, caminhos alternativos e medição contínua de resultados.

O erro de governança foi acoplar uma preocupação de produto defensável com uma prática de reivindicação indefensável. Se a liderança concluiu em junho de 2021 que o risco de equidade da abordagem planejada de selfie e vivacidade superava seu benefício, quatro opções verdadeiras permaneciam. A GSA poderia rotular o serviço como não IAL2. Poderia desenvolver uma comparação física presencial ou remota assistida. Poderia usar um serviço externo conforme para aplicações que exigem IAL2 enquanto retém seu próprio produto de garantia inferior.

Ou poderia documentar uma alternativa genuinamente comparável com controles compensatórios e obter revisão autoritativa antes de reivindicar conformidade. O que não podia fazer era manter o rótulo IAL2 inalterado enquanto o controle exigido estava ausente.

A arquitetura posterior demonstra o valor de múltiplos caminhos. O anúncio de piloto da GSA em abril de 2024 pareou o reconhecimento facial remoto um-para-um com uma opção presencial inicial em mais de 18.000 agências dos Correios participantes. O GAO relatou que, em um piloto presencial de 1.000 participantes realizado de janeiro a março de 2024, 57 por cento daqueles que verificaram com sucesso escolheram o caminho presencial quando oferecido no início. A GSA tornou a opção inicial permanente em abril. Isso é evidência de que um canal alternativo pode ser um caminho de serviço central em vez de uma exceção escondida após falha online.

Escolha, no entanto, deve ser medida em vez de assumida. Proximidade a uma agência dos Correios não prova que uma pessoa pode viajar até lá durante o horário de funcionamento, tem documentos aceitáveis, pode tirar tempo do trabalho ou cuidados, ou pode completar o processo da agência após a verificação. Uma correspondência facial remota não prova desempenho operacional igual entre dispositivos e populações. Um canal presencial não prova que a equipe aplica regras de comparação e exceção de forma consistente.

O registro de controle correto inclui taxas de aprovação e reprovação ajustada por tipo de verificação, pontos de abandono, ajuste de suspeita de fraude, tempo de espera, tempo de reparação, resultados de acessibilidade e análise demográfica realizada com salvaguardas legais de privacidade.

A Revisão 4 de 2025 do NIST reforça essa abordagem. Permite caminhos IAL2 biométricos, não biométricos e de evidência digital, exige garantia agregada comparável e adiciona expectativas mais fortes para opções, privacidade, experiência do cliente e reparação. Também diz que provedores que oferecem um caminho IAL2 não biométrico devem comunicar seu uso às partes dependentes. A lição não é "biometria é sempre exigida" ou "equidade anula padrões". É que o provedor deve nomear o caminho, satisfazer os requisitos aplicáveis, medir seu desempenho e dizer aos clientes exatamente que afirmação estão recebendo.

Fatos confirmados, inferências apoiadas e desconhecidos

Fatos confirmadosno registro público são excepcionalmente fortes. O OIG da GSA descobriu que o serviço de produção oferecido às agências clientes não tinha a comparação física ou biométrica exigida para seu serviço Rev.3 IAL2 reivindicado. Descobriu que pessoal sênior soube da lacuna em múltiplos pontos, que o TTS suspendeu os esforços para implementar o controle biométrico em junho de 2021 sem notificação contemporânea ao cliente, que 18 dos 22 acordos interagências revisados continham linguagem IAL2 enganosa, que a proposta de financiamento de setembro de 2021 incluía uma declaração de conformidade imprecisa e que a GSA faturou mais de US$ 10 milhões a clientes IAL2 até maio de 2022. A administração da GSA concordou com as constatações e recomendações do relatório.

Também é confirmado que a GSA notificou as agências clientes em fevereiro de 2022, corrigiu descrições públicas e posteriormente construiu novos caminhos de verificação. A GSA anunciou um piloto de reconhecimento facial remoto e expandiu a verificação presencial em abril de 2024. Em outubro de 2024, a GSA anunciou que um serviço IAL2 Rev.3 avaliado independentemente entrou em disponibilidade geral. Alista de status de confiança da Kantaraidentifica o Login.gov como um serviço completo Rev.3 aprovado no IAL2 e AAL2. Os materiais atuais do Login.gov distinguem a verificação básica não IAL2 da verificação aprimorada IAL2.

É confirmado que a supervisão continuou após o certificado. A página de recomendações atuais do GAO diz que verificou em março de 2025 que o piloto remoto estava completo e que um revisor terceirizado ajudou a confirmar que a funcionalidade funcionava conforme o pretendido. Marca as recomendações de conclusão do piloto e lições aprendidas como encerradas. Ainda lista a recomendação para abordar desafios técnicos relatados por agências com prazos mutuamente acordados como aberta e parcialmente abordada.

Separadamente, a recomendação de controle de backup do GAO de 2025 agora mostra encerrada após o GAO verificar testes anuais usando evidências de junho de 2025 e junho de 2026.

Inferência apoiadacomeça onde os documentos estabelecem as premissas, mas não um resultado medido direto. É razoável inferir que a reivindicação imprecisa prejudicou as decisões de risco do cliente porque as agências contrataram um serviço de garantia definido e expressaram surpresa quando foram informadas de que estava indisponível. É razoável inferir que algumas agências incorreram em custos de revisão, atraso, integração ou substituição porque o GAO documentou adoção pausada e uso de produtos comerciais para capacidades que o Login.gov não possuía. É razoável inferir que um portal de requisitos para controle ligando o estado do produto a acordos e faturamento poderia ter revelado a incompatibilidade mais cedo.

Também é razoável inferir que a certificação atual, a separação de serviços, a escolha presencial, a validação de passaporte, a documentação de privacidade e a supervisão recorrente reduzem materialmente o risco histórico de reivindicação-controle. Essas são mudanças observáveis em capacidade e evidência, não apenas nova linguagem. Mas iria além da evidência inferir que todo cliente histórico foi compensado, toda aplicação afetada foi reavaliada quanto ao risco, ou todo caminho de verificação atual tem desempenho equitativo em produção.

Desconhecidospermanecem materiais. As fontes públicas revisadas aqui não identificam toda pessoa que aprovou cada representação histórica, reproduzem cada acordo interagências, divulgam todos os aconselhamentos jurídicos internos ou fornecem os papéis de trabalho completos da revisão de faturamento. Eles não estabelecem se a GSA reembolsou ou creditou clientes específicos, que metodologia usou para ratear cobranças agrupadas, ou se as agências clientes mudaram regras de autorização após a notificação.

O registro público também não quantifica fraude de identidade, acesso indevido, perda de benefício, comprometimento de conta, falsa rejeição, abandono de serviço ou recebimento atrasado de benefício causado especificamente pela comparação ausente. Não publica resultados de confiança cliente por cliente. Não estabelece intenção criminal, julgamento sob a Lei de Reivindicações Falsas ou responsabilidade civil individual. Saídas de pessoal relatadas na cronologia do OIG não são, sem evidência adicional, prova de disciplina ou culpabilidade por um ato específico.

Para o serviço reparado, o registro público não fornece o relatório de avaliação independente completo, todos os casos de teste, limites operacionais específicos do fornecedor, taxas de erro de produção, tabelas de resultados demográficos, medidas de resolução de reparação ou resultados de reavaliação anual. Aavaliação de impacto na privacidade do Login.gov de março de 2026nomeia categorias de dados, terceiros, limites de retenção e controles, mas uma PIA não é uma auditoria de desempenho pública. Uma marca de confiança é uma forte evidência de conformidade para seu escopo e data avaliados; não é uma garantia perpétua contra desvio de configuração ou um substituto para evidência de resultado do usuário.

O registro de supervisão e legal é mais amplo que um relatório

A avaliação do OIG de 2023 produziu cinco recomendações: estabelecer controles de gestão adequados do TTS; documentar políticas, decisões, procedimentos, transações essenciais e registros; revisar abrangentemente os faturamentos IAL2; estabelecer revisões de conformidade internas; e adotar uma política que diga claramente a cada cliente se o Login.gov atende aos padrões NIST aplicáveis e aos serviços especificados no acordo. O Oversight.gov atualmente marca todas as cinco como encerradas:controles de gestão,documentação e registros,revisão de faturamento,revisão de conformidade internaenotificação ao cliente.

O encerramento é importante, mas seu significado probatório é limitado. Mostra que o processo de supervisão responsável aceitou ação da agência suficiente para encerrar cada recomendação. As páginas de status públicas não publicam a revisão de faturamento em si, os ajustes em nível de cliente, as amostras de teste para revisões internas ou todos os novos artefatos de controle de gestão. Um arquivo de responsabilidade durável deve preservar ambos os fatos: as recomendações não estão abertas, e algumas evidências de resultado subjacentes permanecem não públicas.

O cenário legal e político inclui mais do que conformidade com NIST. A PIA atual identifica autoridades legais incluindo requisitos federais de cibersegurança, a Lei de Governo Eletrônico, a lei federal de política de informação e a autoridade da GSA para fornecer serviços a agências executivas. Mapeia o sistema Login.gov para um aviso de sistema de registros da Lei de Privacidade.

Diz que a verificação de identidade atual pode coletar nome, data de nascimento, endereço, número de Seguro Social, dados e imagens de identificação estadual ou passaporte, uma autofotografia quando exigida e sinais de dispositivo ou comportamentais para mitigação de fraude. Também identifica AAMVA, o Departamento de Estado, LexisNexis e Socure como serviços ou fontes atuais de verificação de identidade.

Essas divulgações tornam a governança de dados parte da responsabilidade de garantia. Um caminho de verificação mais forte pode reduzir o risco de personificação enquanto expande a coleta e o processamento por terceiros. A PIA atual diz que o Login.gov não armazena imagens de identificação estadual após o processamento de autenticidade e que certos dados de terceiros e antifraude são retidos por períodos limitados, geralmente não excedendo um ano, a menos que uma investigação exija mais. Essas são descrições oficiais da prática atual.

Prova durável requer evidência de auditoria de que a exclusão, acesso, limitação de propósito, restrição de fornecedor e controles de incidentes descritos operam conforme declarado.

O GAO adiciona um registro de controle contínuo. Sua revisão de 2024 identificou benefícios e desafios técnicos da agência e recomendou ação datada sobre questões relatadas, conclusão do piloto remoto e lições aprendidas documentadas. Em 15 de julho de 2026, duas estão encerradas e a recomendação de desafio técnico permanece parcialmente abordada. Sua revisão de 2025 descobriu que o Login.gov implementou em grande parte práticas selecionadas de proteção de dados, mas não demonstrou testes anuais de integridade de backup. A página atual do GAO registra encerramento após evidência de testes em junho de 2025 e junho de 2026.

Esse é um modelo útil de evidência de reparo: política, resultado de teste, recorrência e verificação independente.

A evidência de reparo é real, mas deve ser lida por data e escopo

A cronologia do reparo começa antes da certificação. A GSA corrigiu sites e comunicações com clientes após a divulgação de 2022. Sua PIA de janeiro de 2024 dizia explicitamente que o serviço não era IAL2 naquele momento. A GSA concluiu um piloto de verificação presencial inicial em março de 2024 e tornou esse caminho geralmente disponível em abril. Seuanúncio de abril de 2024descreveu um piloto separado de reconhecimento facial remoto com início previsto para maio e disse que a GSA buscaria avaliação independente.

Em 9 de outubro de 2024, a GSAanunciou a disponibilidade geral de uma opção IAL2 certificada independentemente. O fluxo de trabalho remoto adicionou correspondência um-para-um de uma selfie ao vivo com a fotografia em uma identificação fornecida pelo usuário. A GSA disse que não usava identificação um-para-muitos e não usava as imagens para fins não relacionados. A certificação também cobria uma opção presencial. Isso importa porque vinculou uma nova reivindicação a um controle implantado e uma avaliação externa antes da ampla disponibilidade.

As datas reconciliam um aparente conflito no registro. O relatório do GAO de 16 de outubro de 2024 disse que o Login.gov ainda não era compatível com IAL2 em julho de 2024 e descreveu o piloto remoto como incompleto com base em evidências coletadas antes da certificação de outubro. O anúncio da GSA diz respeito ao estado de serviço posterior. As fontes são sequenciais, não contraditórias. Isso é exatamente por que as declarações de garantia precisam de datas de vigência e versões de serviço.

A separação atual de produtos é outro reparo. O site do parceiro descreve três serviços: autenticação, verificação básica de identidade que não atende ao IAL2 e verificação aprimorada de identidade que é compatível com IAL2. Oguia de nível de garantia para agênciasdiz aos parceiros para realizar uma avaliação de risco de identidade digital e identifica casos de uso de maior risco que podem justificar IAL2. Também diz que a GSA não escolhe o nível para o parceiro. Isso torna o limite de decisão do cliente mais visível do que era na linguagem histórica do acordo.

A documentação atual voltada ao usuário também mostra múltiplas rotas. Apágina de ajuda de verificação de identidadediz que os usuários podem fornecer uma carteira de motorista, identificação estadual ou passaporte, um número de Seguro Social e um número de telefone ou endereço postal dos EUA; alguns usuários são solicitados a fornecer uma selfie, e um caminho presencial nos correios pode estar disponível. O anúncio de verificação baseada em passaporte da GSA de agosto de 2025 descreve a verificação de atributos de passaporte através de uma interface do Departamento de Estado que preserva a privacidade. Essas são melhorias de capacidade e acesso, embora cada uma introduza suas próprias questões de disponibilidade, privacidade e erro.

A escala torna a durabilidade do controle mais consequente. O roteiro da GSA de dezembro de 2025 relatou mais de 100 milhões de contas, mais de 500 milhões de logins anuais, mais de 700 sites e serviços ativos e 54 parceiros estaduais e de agências. Essas são métricas relatadas pelo programa, não contagens auditadas independentemente neste artigo. Nessa escala, mesmo uma baixa taxa de falha ou falsa aceitação pode afetar muitas pessoas, enquanto um controle corretivo comum pode beneficiar muitas agências.

Oroteiro de dezembro de 2025também diz que o Login.gov concluiu a avaliação Rev.3 independente e está trabalhando em direção ao recém-lançado NIST SP 800-63-4. Essa é uma declaração apropriadamente limitada: trabalhar em direção a um padrão mais novo não é o mesmo que já certificado para ele. O roteiro é prospectivo e rotula estimativas como sujeitas a alterações. Seus planos para carteiras de motorista móveis, verificação herdada, caminhos alternativos, fornecedores adicionais e compartilhamento de sinais de fraude não são prova de que essas capacidades estão completas até que existam evidências de lançamento e operação.

O registro de reparo tem, portanto, múltiplos pontos fortes. Os mais fortes são linguagem de reivindicação corrigida, separação de serviços implantada, piloto concluído, avaliação Rev.3 independente, documentação pública de privacidade, recomendações do OIG encerradas e testes de backup recorrentes verificados pelo GAO. Evidências mais fracas, mas úteis, incluem roteiros, comunicados de imprensa da agência e capacidades planejadas.

Evidências ausentes incluem resultados detalhados de faturamento de clientes, a avaliação de certificação completa, medidas de produção longitudinais, resultados demográficos para o serviço real, eficácia de reparação e um registro de conformidade Rev.4 concluído.

O contrafactual era divulgação mais separação de serviços

Um contrafactual crível não assume que a GSA poderia ter produzido um serviço biométrico perfeito e equitativo da noite para o dia. Pergunta que controles estavam disponíveis quando os líderes sabiam que o serviço existente não correspondia à reivindicação.

No mais tardar, a decisão de 24 de junho de 2021 de suspender o requisito biométrico planejado deveria ter desencadeado um incidente de reivindicação-controle. O proprietário do serviço poderia ter congelado novas representações IAL2; mudado o catálogo para "verificação de identidade, não IAL2"; notificado agências existentes; alterado acordos interagências; revisado a linguagem de autorização; parado ou segregado o faturamento IAL2; corrigido a proposta de financiamento pendente; e dado a cada agência dependente um pacote de transição.

Esse pacote poderia oferecer uso continuado para transações de menor risco, serviço IAL2 externo para transações de maior risco, uma alternativa presencial ou assistida em desenvolvimento e um cronograma documentado para reavaliação.

Um portal de conformidade independente antes da primeira implantação de cliente IAL2 teria sido ainda mais forte. O avaliador teria rastreado cada requisito Rev.3 até um controle de produção, evidência de implementação, resultado de teste, exceção e análise de controle compensatório. A comparação ausente de solicitante para evidência teria aparecido como um controle obrigatório não resolvido em vez de ser obscurecida por uma longa lista de outras verificações de identidade.

O custo deste contrafactual não teria sido zero. A GSA poderia ter perdido ou atrasado clientes, arcado com custos de alteração e revisão, acelerado um canal presencial ou financiado capacidade comercial. As agências poderiam ter tido que mudar integrações. Mas esses são os custos de alocar com precisão um risco conhecido. O caminho real transferiu parte desse custo para as agências mais tarde, depois que elas fizeram planos e firmaram acordos sob o rótulo mais forte.

A taxonomia atual de serviço valida a ideia central de design. A GSA agora oferece um produto básico não IAL2 e um produto aprimorado IAL2 distinto. Agora apresenta opções presenciais e remotas. Isso não prova que a arquitetura exata atual era viável em 2021, mas mostra que utilidade não exigia colapsar todo serviço em uma única alegação de garantia. Um serviço de garantia inferior verdadeiro pode coexistir com um de garantia superior evidenciado separadamente.

O comparador mais amplo não é um fornecedor privado específico. Alternativas comerciais têm preços, modelos de privacidade, populações, fontes de dados e transparência diferentes. A comparação útil é processual: um provedor que condiciona reivindicações em evidências independentes e imediatamente divulga um desvio de controle material dá aos clientes a chance de escolher. Um provedor que preserva a reivindicação enquanto muda o controle faz a escolha por eles.

Um teste de responsabilidade de evidência de controle durável

O Login.gov não deve ser julgado nem pela falha histórica sozinha nem pelo último certificado sozinho. Um teste de responsabilidade durável pergunta se o sistema de garantia mantém reivindicações, controles, decisões de clientes e resultados de usuários alinhados ao longo do tempo.

1. Teste de reivindicação versionada.Toda alegação de garantia deve identificar a revisão do padrão, a variante de serviço, o caminho de verificação, a data de vigência e as exclusões materiais. "IAL2" sem "Rev.3 remoto aprimorado" ou um identificador de serviço equivalente é muito grosseiro uma vez que múltiplos padrões e caminhos coexistem. O NISTpublicou o SP 800-63-4 em agosto de 2025, substituindo a Rev.3. Uma marca de confiança Rev.3 continua sendo evidência do que foi avaliado; não deve ser apresentada como prova silenciosa de conformidade com Rev.4.

2. Teste de requisito para controle.Uma matriz mantida deve mapear todo requisito normativo para código implantado, processo, componente de fornecedor, proprietário responsável, teste, localização de evidência, exceção e última data de validação. Validação e verificação devem ocupar linhas separadas para que uma verificação de registros não possa ser confundida com vinculação do solicitante. Mudanças em qualquer componente mapeado devem desencadear análise de impacto.

3. Teste de portal pré-reivindicação.Nenhuma página pública, modelo de acordo, declaração de autorização, proposta de financiamento, artefato de vendas ou valor de protocolo deve afirmar um nível de garantia até que um oficial responsável e um avaliador independente tenham aprovado o pacote de evidências para a configuração de produção. O portal deve falhar fechado quando um controle obrigatório é suspenso.

4. Teste de paridade de contrato e faturamento.Identificadores de produto no pedido técnico, acordo interagências, catálogo de serviços, fatura e relatório do cliente devem resolver para a mesma definição de garantia. Os sistemas de faturamento devem separar autenticação, verificação básica, verificação aprimorada, plataforma e cobranças de suporte suficientemente para apoiar revisão e correção. Um downgrade de controle deve parar automaticamente o faturamento de garantia superior até que os clientes aceitem termos alterados.

5. Teste de divulgação e escalonamento.Um desvio de controle material deve ter um relógio de notificação, destinatários nomeados, regras de gravidade e um registro de decisão preservado. A notificação deve declarar o que mudou, quando, quais afirmações podem ser afetadas, que controles provisórios existem, o que os clientes devem reavaliar e como o faturamento será tratado. Preocupações de equidade ou privacidade devem ser documentadas como razões para uma decisão de design, não usadas para obscurecer o estado de garantia resultante.

6. Teste de evidência independente e contínua.A certificação deve ser escopada, datada, renovável e complementada por monitoramento de configuração. Deve cobrir política e implementação, não apenas um fluxo de demonstração. Reavaliação anual, revisão de mudança significativa, amostragem de controle e status público da marca de confiança devem tornar o desvio visível. O encerramento pelo GAO da recomendação de backup após observar evidência de dois ciclos anuais de teste ilustra a diferença entre uma política escrita e prova operacional.

7. Teste de decisão da parte dependente.As agências devem receber evidência suficiente para conduzir sua própria avaliação de risco: nível de garantia, caminho, atributos, limites conhecidos, modelo de fraude, alocação de privacidade, rota de reparação, medidas de desempenho e histórico de mudanças. O provedor deve obter confirmação afirmativa do cliente quando um limite de serviço muda. A responsabilidade do cliente é significativa apenas quando o cliente recebe fatos precisos.

8. Teste de resultado do usuário e equidade.ONIST SP 800-63A-4pede opções, garantia comparável, avisos, reparação e controles de experiência do cliente. O conjunto Rev.4 mais amplo identifica medidas incluindo taxas de aprovação geral e por caminho, taxas de reprovação e taxas de reprovação ajustadas por fraude. O Login.gov deve publicar ou fornecer agregados revisáveis independentemente para conclusão, abandono, falsa aceitação, falsa rejeição, revisão manual, tempo de espera, acessibilidade e reparação, com análise demográfica cuidadosa e proteção de privacidade. Resultados de laboratório do fornecedor sozinhos não estabelecem resultados de serviço público de ponta a ponta.

9. Teste de governança de dados.Todo atributo coletado, imagem de documento, amostra biométrica, sinal de dispositivo e característica comportamental deve ter um propósito, autoridade legal, mapa de compartilhamento, período de retenção, prova de exclusão, registro de acesso e restrição de fornecedor. Mudanças em modelos de fraude ou fontes de dados devem desencadear revisão de privacidade e viés. Usuários e agências devem poder entender qual parte tem quais dados e que recurso existe quando estão errados.

10. Teste de correção retrospectiva.Quando uma alegação de garantia é considerada imprecisa, o reparo deve olhar para trás também para frente. O provedor deve identificar acordos, afirmações, aplicações, faturas, declarações de financiamento e usuários afetados; notificar as partes certas; apoiar a reavaliação de risco; corrigir cobranças onde justificado; preservar registros; e publicar um encerramento adequadamente agregado. Um novo produto conforme é reparo para frente. Não responde a todas as perguntas sobre o produto antigo.

11. Teste de transição de padrões.Um provedor de identidade compartilhado precisa de um plano de transição público sempre que o NIST emitir uma nova revisão: data de aplicabilidade, avaliação de lacunas, status temporário de certificações antigas, regras de migração de clientes, mudanças de protocolo, treinamento, reavaliação e evidência final de conformidade. O roteiro do Login.gov diz que o trabalho Rev.4 está em andamento. O portal durável permanece aberto até que as reivindicações atuais e evidências independentes sejam explicitamente mapeadas para a revisão substituta.

12. Teste de sobrevivência da governança.Os controles devem sobreviver a mudanças de pessoal, urgência, ciclos de financiamento e cultura de produto. Registros de decisão, revisão de conformidade interna, acesso de auditoria, gerenciamento de registros e propriedade clara FAS-TTS-programa devem evitar que uma estrutura de não interferência se repita. Um sistema não é durável se a verdade depende de um funcionário se lembrar de desafiar um rótulo.

Aplicado em 15 de julho de 2026, o resultado é misto, mas não ambíguo. O teste histórico de reivindicação-controle falhou. O teste posterior de capacidade Rev.3 e avaliação independente passou para o serviço aprimorado escopado. A rotulagem de produto e a escolha de canal melhoraram. As recomendações do OIG estão encerradas, e vários acompanhamentos do GAO têm evidência operacional.

Mas a recomendação atual de desafio técnico do GAO permanece parcialmente abordada, a transição Rev.4 ainda é descrita como trabalho em andamento, e a evidência pública para resultados retrospectivos de faturamento e desempenho do usuário de ponta a ponta permanece incompleta.

Responsabilidade segue a capacidade de manter a afirmação verdadeira

A lição mais durável do Login.gov não é que as agências públicas devem evitar serviços compartilhados ambiciosos ou que o reconhecimento facial é a única rota para identidade confiável. É que uma afirmação de garantia é uma saída controlada. Deve mudar quando o controle subjacente muda, e deve ser apoiada por evidências antes que agências, financiadores ou usuários sejam solicitados a confiar nela.

O registro de reparo posterior da GSA merece peso. O serviço agora distingue ofertas não IAL2 e IAL2, suporta caminhos remotos e presenciais, tem uma marca de confiança Rev.3 independente, publica um registro de privacidade mais detalhado e está se movendo em direção à Rev.4. Esses passos mostram que segurança, acesso, privacidade e limites honestos de produto podem ser buscados juntos.

A questão de responsabilidade restante é se essa disciplina é permanente e retrospectiva. As agências e o público precisam de evidência não apenas de que o fluxo aprimorado de hoje contém a comparação ausente, mas que as reivindicações são versionadas, os termos do cliente e as faturas correspondem à produção, as exceções desencadeiam divulgação imediata, erros antigos são reconciliados e usuários reais podem completar ou desafiar o processo sem exclusão oculta. Esse é o teste de evidência de controle.

O Login.gov passa apenas quando a afirmação, o serviço implantado, o contrato, a fatura, a avaliação independente e o resultado vivido descrevem todos o mesmo sistema.