Summary

  • GAO выбрало по две облачные системы у Госдепартамента, Министерства транспорта, Министерства по делам ветеранов и Администрации малого бизнеса США (SBA). Полностью требованиям к непрерывному контролю отвечали три из восьми; полностью оформленной реакции и восстановления — тоже три. Остальные пять в каждом случае соответствовали частично.
  • Пробелы проходили по линии передачи доказательств: Госдепартамент не показал проверку материалов поставщика для выбранного PaaS, а ведомство по делам ветеранов не доказало сбор и изучение журналов поставщика ни для одной из двух систем. Выборка не представляет все федеральные облака.

Подписать допуск легче, чем открыть отчёт

Доклад GAO от 25 июня 2026 года изучил четыре ведомства, отобранных по числу разрешений на использование облака, и по две системы у каждого. Среди них были платформенные и программные услуги. Названия систем скрыты из соображений чувствительности. Восемь случаев образуют нерепрезентативную выборку. Они показывают конкретные разрывы в проверенных системах, а не долю всех облачных служб правительства США.

GAO оценивало непрерывный контроль, реакцию и восстановление при инциденте и соглашение об уровне обслуживания. В первом случае ведомство должно проверять свои меры защиты и материалы подрядчика. Во втором — знать порядок обнаружения, уведомления и взаимодействия с подрядчиком. В третьем — закрепить метрику, способ её измерения и средство принудить к выполнению. Разрешение пользоваться облаком не делает этих действий за сотрудников после запуска.

Только три из восьми систем полностью отвечали требованиям непрерывного контроля. Госдепартамент подтвердил, что изучал материалы поставщика своего SaaS, но не представил аналогичного подтверждения по PaaS. Министерство по делам ветеранов имело планы наблюдения и правила работы с журналами, однако не доказало, что собирало и изучало журналы поставщика по двум выбранным системам. SBA показала работу с материалами и журналами SaaS, но не PaaS. Речь идёт о разнице между процедурой, лежащей в папке, и повторяемым действием с датой и ответственным.

Сигнал подрядчика должен попасть на часы ведомства

Реакция и восстановление тоже были полностью выполнены в трёх системах и частично в пяти. Министерство транспорта выполнило проверенную практику для обеих своих систем. В выбранном PaaS Госдепартамента не хватало правил координации с поставщиком. У ведомства по делам ветеранов не было процедуры измерения времени реакции для PaaS и задокументированного порядка испытаний для SaaS. Сотрудники сообщили, что подрядчик провёл проверку в октябре 2025 года, но не предоставили GAO её доказательство или методику.

У SBA не был подписан план реагирования; также имелись пробелы в правилах быстрого уведомления и координации с подрядчиком. Когда аномалию первым видит поставщик, ведомству нужны точный канал связи, срок уведомления, роли участников и время восстановления. GAO зафиксировало недостатки процедур и документов, а не определённый взлом или неудачную реакцию на названный инцидент.

Договорные рычаги тоже различались. Пять из восьми систем имели соглашения с полным набором необходимых показателей, одна — частичный, две — без показателей безопасности. В SaaS-соглашении ведомства по делам ветеранов показатели были, но не было способа их измерять и требовать исполнения. Для PaaS вместо конкретного соглашения предъявили общие тексты с сайтов. SBA имела полноценное соглашение для PaaS, но не для SaaS. Показатель без измерения и последствия для нарушителя украшает договор, а не управляет качеством.

Полный официальный отчёт содержит двенадцать рекомендаций: две Госдепартаменту, пять ведомству по делам ветеранов, пять Управлению малого бизнеса. Министерство транспорта не получило рекомендаций в окончательном тексте после предоставления документов, снявших предварительное замечание. Документы могут изменить оценку, когда показывают выполненную работу. Следующими такими доказательствами станут датированные просмотры отчётов, изученные журналы, совместные учения и измеримые условия договора.

Сервер может находиться у подрядчика. Государственный заказчик должен показать, когда получил сигнал и какие действия последовали. Подпись под облачным допуском эту последовательность не заменит.

Sources