GSA để lộ tài liệu nhạy cảm trên Google Drive cho nhân viên và nhà thầu

Cơ quan Quản lý Dịch vụ Tổng hợp Mỹ (GSA) đang bị chính cơ quan thanh tra nội bộ của mình chỉ trích vì nhiều lần để tài liệu nhạy cảm trên Google Drive mở công khai cho toàn bộ nhân viên và nhà thầu — những người không hề có nhu cầu công việc chính đáng để xem. Đáng chú ý, đây không phải lần đầu tiên vấn đề này bị phát hiện: các kiểm toán viên đã cảnh báo về những lỗ hổng tương tự từ tận năm 2014.

Sự cố lặp lại suốt hơn một thập kỷ

Theo báo cáo của Văn phòng Thanh tra (OIG) thuộc GSA, cơ quan này liên tục bị ghi nhận về việc bảo vệ không đầy đủ đối với thông tin không mật nhưng có kiểm soát (CUI — Controlled Unclassified Information).

Đây là loại thông tin tuy không thuộc diện mật, nhưng vẫn phải được bảo vệ hoặc hạn chế phạm vi phân phối theo luật và quy định. Quyền truy cập thường chỉ dành cho những người thực sự cần biết để phục vụ công việc chính phủ.

"Trong một lần tìm kiếm giới hạn trên Google Drive của GSA, chúng tôi phát hiện 116 tệp chứa CUI được chia sẻ không đúng cách cho toàn bộ người dùng GSA."

Đáng lo ngại là đây chỉ là kết quả từ một lần tìm kiếm giới hạn. OIG cho rằng còn nhiều tệp khác đang mở cho bất kỳ ai có quyền truy cập vào hệ thống Google Drive của GSA. Toàn bộ nhân viên và nhà thầu đang lưu trữ khoảng 2,5 triệu tài liệu trên nền tảng này.

Những gì đã bị lộ?

Danh sách các tài liệu bị lộ không hề nhỏ:

• Sơ đồ mặt bằng các tòa nhà tại Washington, DC, bao gồm thông tin về lối vào, quy trình kiểm soát an ninh và vị trí các khu vực nhạy cảm như tủ khóa súng.
• Phân tích sụp đổ lũy tiến mô tả các điểm yếu kết cấu, lỗ hổng phòng thủ và vị trí hư hỏng nghiêm trọng của công trình.
• Thông tin cá nhân (PII) của nhân viên chính phủ, gồm số an sinh xã hội, địa chỉ, ngày sinh và thông tin liên lạc.
• Thông tin kinh doanh độc quyền, bao gồm nghiên cứu riêng và đề xuất của nhà cung cấp kèm chi tiết kỹ thuật và giá cả.

Dù các tài liệu này không công khai ra bên ngoài internet, nhưng đây vẫn là lỗ hổng kiểm soát dữ liệu nghiêm trọng. Đáng lo hơn, nhà thầu có quyền truy cập Google Drive của GSA có thể xem được thông tin độc quyền của các nhà cung cấp đối thủ — tạo ra lợi thế cạnh tranh không công bằng nếu họ lợi dụng.

Công cụ chống thất thoát dữ liệu không được vận hành đúng

GSA có trang bị công cụ bên thứ ba để phát hiện và ngăn chặn lộ CUI, nhưng theo OIG, cơ quan này đã quản lý công cụ này rất kém:

• Việc rà soát từ khóa tìm kiếm hằng năm không đầy đủ hoặc không có tài liệu ghi chép.
• Nhiều từ khóa quan trọng không được triển khai.
• Không bật tính năng nhận dạng ký tự quang học (OCR) vốn có thể phát hiện CUI trong tài liệu quét.
• Không biết công cụ có giới hạn kích thước tệp 15 MB — nghĩa là các tệp lớn vẫn bị bỏ qua ngay cả khi công cụ hoạt động.

Ngoài ra, GSA còn thiếu quy trình phê duyệt việc chia sẻ thông tin nhạy cảm và thiếu quy ước đặt tên chuẩn để giảm nguy cơ lộ CUI.

Bài học về quản trị dữ liệu trên cloud

Câu chuyện của GSA là lời cảnh tỉnh cho mọi tổ chức đang dùng nền tảng lưu trữ đám mây như Google Workspace hay Microsoft 365. Dù hạ tầng cloud của các ông lớn công nghệ có bảo mật đến đâu, lỗi cấu hình chia sẻ và thiếu quy trình quản trị vẫn là nguyên nhân phổ biến nhất gây rò rỉ dữ liệu.

Với các doanh nghiệp Việt Nam đang chuyển dần lên cloud, bài học rút ra rất rõ ràng: cần thiết lập quy ước đặt tên tệp, phân quyền theo nguyên tắc tối thiểu (least privilege), định kỳ rà soát quyền truy cập và đảm bảo các công cụ DLP (chống thất thoát dữ liệu) thực sự được cấu hình đúng thay vì chỉ "có cho đủ".

Giám đốc thông tin (CIO) của GSA đã đồng ý với cả bảy khuyến nghị khắc phục của kiểm toán viên, nhưng báo cáo chưa xác nhận liệu công việc sửa chữa đã hoàn tất hay chưa. Một câu hỏi đáng suy ngẫm: nếu vấn đề đã được cảnh báo từ năm 2014, tại sao đến nay nó vẫn tiếp diễn?