Summary

  • GAO从国务院、交通部、退伍军人事务部及小企业管理局各选两个云系统，共八个；持续监测只有三个完全达标，事件响应与恢复也只有三个完全达标，其余五个在各自项目上部分达标。这个样本不具备全国推算性。
  • 缺口集中在机构与供应商之间：国务院一个PaaS系统没有展示供应商监测材料的审阅记录；退伍军人事务部两个系统没有提供收集并审阅供应商日志的证据；部分服务协议缺少可测量和可执行的安全指标。

授权书放在柜里，供应商报告放在谁的桌上

GAO于2026年6月25日发布的报告选了四家机构各两个系统，涵盖平台即服务和软件即服务。由于敏感性，报告没有公布具体系统名称。四家机构是依据云授权数量选出的非代表性样本。八个系统的结果只说明这八个系统；把“五个部分达标”写成整个联邦云的比例，会让审计本来清楚的边界消失。

GAO评估三项具体工作。持续监测要让机构知道自身控制措施的状态，也要审阅供应商交来的材料。事件响应与恢复要求事先写清识别、遏制、报告和协作程序。服务级别协议应定义绩效指标、测量方法和追责手段。云服务获得使用授权只是开始；系统上线之后，每项工作仍需实际执行。

持续监测方面，八个系统只有三个完全达到GAO标准。国务院展示了对所选SaaS供应商材料的审阅，却没有展示对所选PaaS供应商的同类审阅。退伍军人事务部为两个系统制定了监测计划和日志政策，但没有提供从供应商收集并审阅日志的证据。小企业管理局审阅了所选SaaS的材料与日志，对PaaS则没有展示相同的执行。制度文件已经存在；负责打开文件、检查数据并留下日期的人和动作，还没有处处落到纸面。

警报跨越两家公司时，时间谁来计

八个系统中，事件响应与恢复同样是三个完全达标、五个部分达标。交通部两个系统均完全达到这一项。国务院所选PaaS缺少与供应商协调应急的完整程序。退伍军人事务部的PaaS缺少测量并追踪响应时间的程序，SaaS缺少演练程序。该部官员称供应商在2025年10月做过测试，却没有向GAO提供测试证据或程序。供应商替机构操作系统，不等于机构手中自然会有事故时间线。

小企业管理局（SBA）的事件应对计划尚未签署，供应商及时通报和协调机制也存在缺口。真正出事时，供应商与机构需要按顺序接力：谁发现、谁通知、谁计时、谁决定隔离、谁记录恢复。GAO报告的是程序和证明缺口，并没有确认某次真实攻击因这些缺口而失控。

合同本身也有漏洞。八个系统的服务级别协议中，五个完整定义所需绩效指标，一个部分定义，两个没有安全指标。退伍军人事务部的SaaS协议列了指标，却没有说明如何测量和执行；其PaaS提交的是一般网站条款，而非包含指标、测量与执行规则的机构—供应商协议。小企业管理局的PaaS有完整协议，SaaS却没有。一个无法测量也无法追责的指标，只会把采购语言装饰得更像管理。

GAO报告全文提出12项建议：国务院两项、退伍军人事务部五项、小企业管理局五项。交通部在最终报告中没有收到建议，因为它补交的材料消除了一项初步发现。这恰好证明审计看的是可展示的执行记录；记录足够，结论就会变。其余系统要改变结论，也需要带日期的供应商材料审阅、日志检查、联合演练和可执行合同条款。

Heng Lu把实际运行视为检验制度声明的办法。在这份审计里，检验点很具体：报告有没有被读、日志有没有被查、通知有没有被演练。机房可以归供应商；看没看见异常、何时通知、能否恢复，仍由机构向公众负责。

Sources