摘要

  • Executive Order 14158要求USDS迅速、广泛访问未分类联邦系统；后续GAO审计却无法还原DOGE团队实际获批的权限链。
  • 四家机构报告23个以上系统，SBA与VA没有提交系统清单；另外四家也没有回应账号角色、权限和操作日志的现场核验请求。
  • CFPB称其团队没有发生相关网络安全或隐私事件，并说明了控制措施；GAO没有机会查看相关账号与日志。
  • 可核验的标准很具体：每名使用者对应什么获批角色、留下什么操作记录、何时撤销访问。

GAO-26-108192留下两组清楚的数字：四家机构报告了系统访问，两家没有列出任何系统。前四家合计报告团队可访问23个以上系统；提交材料仍不足以让GAO确定权限等级或查看账号角色和操作日志。

这是一个有明确技术落点的治理缺口：人、账号、系统、权限与操作记录之间的对应关系断了。Executive Order 14158把访问授权写得很宽，机构却没有拿出同样完整的运行记录。

命令打开了门，记录没有跟上

2025年1月20日的命令要求各机构负责人确保U.S. DOGE Service在法律允许的最大范围内，迅速访问非涉密机构记录、软件和信息技术系统。目标是推动政府技术现代化、提升效率。GAO审查了六家主机机构：CFPB、Department of Education、NOAA、SEC、SBA和VA。

CFPB、Department of Education、NOAA和SEC报告称，团队合计可访问23个以上合同、拨款、人力资源和财务系统；其中部分系统包含可识别个人身份的敏感数据。这个合计数来自四家机构的报告。GAO指出，提交材料不足以确定访问范围和权限等级。SBA和VA没有说明团队能够进入哪些系统。

USDS临时组织于2026年7月4日结束。GAO同时指出，命令并未终止更大的USDS实体，因此USDS和机构DOGE人员可能继续工作。一个临时组织的终止日期并不会自动回答账号和派驻人员何时撤权。报告在9月发布时，权限全貌仍无法拼出。

权限列出可做之事；日志留下实际操作

系统名称无法说明使用者在里面能做什么。账号可能只能查看部分记录，也可能能够修改数据，甚至替其他人开通权限。GAO要求前述四家机构展示每个账号的角色、该角色对应的权限，以及记录账号操作的日志。到2026年9月，这四家没有回应观察系统的请求。

CFPB提供了一个具体例子：两名团队成员拥有为自己或他人开通系统访问的权限，首席信息官向GAO确认他们没有这样做。CFPB还报告称，其DOGE团队没有发生相关网络安全或隐私事件。GAO记录了这些陈述；审计人员无法查看相关系统和日志，因而无法核对权限如何授予、如何监控。

控制材料也不完整。 六家中，CFPB、Department of Education和SEC只提供了有限控制材料；NOAA、SBA和VA没有回应相关控制信息请求。CFPB证明六名团队成员参加了隐私说明会，其中四人完成安全培训；但没有提供全员完成培训的证明。Department of Education提交了六人中五人签署的信息系统行为规则，多次被要求后仍未提供第六份。SEC展示一人的背景调查仍在进行，另一人的调查时间为2017年，却没有确认旧调查是否得到肯定结论。

审计追到的地方，正是本该开始的地方

GAO依据NIST SP 800-53选取15项控制措施，覆盖系统访问、完整性、保密性和使用监测。基本记录链包括账号归属、角色权限、规定培训与规则签署情况、操作日志，以及离岗时的撤权日期。审计要求核对的正是这些记录之间的对应关系。

六家机构给出的理由各不相同。CFPB称请求重复、会干扰运营且增加负担。Department of Education提到正在进行的诉讼和保密顾虑。SEC质疑GAO对此次审查是否有权限；NOAA也表示不认可其权限。VA称不会回应，却没有说明理由；截至9月，SBA没有解释不回应。GAO依据《美国法典》第31编第716和717条主张其获取记录和开展评估的法定权力，并表示这些异议不削弱其权利。

机构可以在保护个人信息和系统配置的同时，安排审计人员检查角色、权限、批准日期与活动日志。GAO表示会保护敏感材料，也曾与机构商定受控查验方式。这样的安排能核验授权记录，并继续保护系统细节。

审计记录显示一条证据链断在账号与操作之间。四家机构报告23个以上系统，却没有向GAO提供从账号角色到操作日志的可核验路径；另两家没有列出系统。公开材料因此无法逐个说明哪些账号可进入哪些系统、各角色允许什么操作、日志实际记录了什么。

发布一条宽泛的访问命令很容易。问责从主机机构拿得出权限图和对应日志时才开始。

来源