Summary

  • Em oito sistemas escolhidos em quatro órgãos, apenas três cumpriam integralmente o monitoramento contínuo e três cumpriam integralmente a resposta e recuperação documentadas; cinco eram parciais em cada prática. A amostra não representa todos os serviços federais de nuvem.
  • A passagem de informação entre órgão e provedor falhava em pontos verificáveis: o Departamento de Estado não demonstrou a revisão dos relatórios de seu PaaS selecionado, e o Departamento de Assuntos de Veteranos não apresentou prova de coleta e análise dos registros do provedor em dois sistemas.

Oito sistemas expõem o trabalho que ficou sem prova

O relatório do GAO de 25 de junho de 2026 examinou dois sistemas de cada um dos departamentos de Estado, Transportes e Assuntos de Veteranos, além da Small Business Administration (SBA). Havia serviços de plataforma e de software. Os nomes dos sistemas foram omitidos por sensibilidade. A escolha dos quatro órgãos considerou a quantidade de autorizações de nuvem, formando uma amostra não generalizável de oito sistemas. As contagens medem esse grupo, e não a segurança de toda a nuvem federal.

Três tarefas foram avaliadas: acompanhamento contínuo dos controles, resposta e recuperação de incidentes, e acordos de nível de serviço com métricas, formas de medição e mecanismos de cumprimento. Autorizar um serviço é uma decisão inicial. Na rotina, alguém precisa receber o material do provedor, decidir o que o registro mostra e saber como agir quando um alerta atravessa a fronteira entre as organizações.

No monitoramento contínuo, três sistemas cumpriam todos os critérios e cinco apenas parte deles. O Departamento de Estado comprovou análise de material do provedor SaaS escolhido, mas não do PaaS. Assuntos de Veteranos tinha planos de monitoramento e políticas de registros para dois sistemas, sem apresentar prova de que recolhia e examinava os logs do provedor. A SBA demonstrou essa revisão para seu SaaS, mas não para o PaaS. O padrão é o mesmo: um plano assinado é mais fácil de mostrar que uma sequência de revisões realizadas.

O alarme precisa atravessar o contrato

A resposta e a recuperação estavam plenamente implantadas em três sistemas, parcialmente em cinco. Transportes cumpriu a prática para ambos os seus sistemas. O PaaS do Departamento de Estado não tinha os procedimentos exigidos de coordenação com o provedor. Assuntos de Veteranos não documentou como medir o tempo de resposta do PaaS nem o procedimento de teste da resposta para o SaaS. Autoridades disseram que o fornecedor testara em outubro de 2025, mas não entregaram ao GAO o procedimento ou a prova do teste.

Na SBA, o plano de resposta não estava assinado e havia lacunas na notificação rápida e na coordenação com o provedor. O problema aparece no primeiro minuto de uma ocorrência: quem vê o sinal, quem recebe a ligação, quem na agência decide o próximo passo e quem mede a recuperação. O GAO avaliou documentos e evidências; não relatou uma invasão específica nem uma resposta real fracassada nesses sistemas.

O contrato tampouco fechava sempre a cadeia. Cinco dos oito sistemas tinham acordos completos sobre as métricas exigidas; um era parcial e dois não definiam métricas de segurança. Para o SaaS de Assuntos de Veteranos, havia indicadores, sem método de medição ou mecanismo de exigência. Para o PaaS, a documentação oferecida era linguagem genérica de páginas na web, sem acordo específico entre órgão e provedor com esses elementos. A SBA tinha acordo completo para o PaaS, nenhum equivalente para o SaaS. Uma cláusula impossível de medir dificilmente muda o comportamento de quem entrega o serviço.

O texto integral oficial trouxe doze recomendações: duas ao Estado, cinco a Assuntos de Veteranos e cinco à SBA. Transportes não recebeu recomendação final depois de apresentar documentos que resolveram uma observação preliminar. Prova concreta mudou o julgamento nessa parte da auditoria. Revisões datadas, logs examinados, exercícios conjuntos e acordos executáveis poderiam mudar os demais.

A defesa de Heng Lu de testar afirmações institucionais contra a operação real fornece uma lente, não os fatos sobre os órgãos americanos. A infraestrutura pode estar no prédio do fornecedor. A responsabilidade de saber o que ocorreu com os dados públicos continua na mesa da agência.

Sources