Por Canuto  

Una auditoría de la Oficina del Inspector General de la GSA halló 116 archivos con información controlada no clasificada compartidos con todos los usuarios de la agencia, en una búsqueda que solo cubrió parte de sus documentos.
***

  • La GSA almacena unos 2,5 millones de documentos en su Google Drive; los auditores encontraron 116 archivos sensibles compartidos de forma indebida con todos los usuarios de la agencia.
  • Entre los datos expuestos internamente figuraban planos de edificios en Washington, información personal y documentos comerciales de proveedores.
  • La agencia dijo que sus medidas impidieron una exposición externa y que trabaja para atender las recomendaciones; la auditoría no confirma que las correcciones estén completas.

La Administración de Servicios Generales de Estados Unidos (GSA) volvió a quedar bajo escrutinio por la gestión de archivos sensibles en su entorno de Google Drive. Una auditoría de la Oficina del Inspector General (OIG), publicada el 27 de octubre de 2026, encontró 116 documentos con información controlada no clasificada compartidos indebidamente con todos los usuarios de la agencia, dentro de una búsqueda que los propios auditores describieron como limitada. El informe se titula “Controlled Unclassified Information in GSA’s Google Drive Was Improperly Exposed”.

El hallazgo preocupa por el tipo de datos involucrados y por la escala del repositorio: empleados y contratistas tienen alrededor de 2,5 millones de documentos almacenados en el Google Drive de la GSA. La agencia sostiene que sus controles evitaron que los archivos identificados quedaran expuestos fuera de la organización, pero esa afirmación no elimina el problema de que personas con acceso interno pudieran ver información que no necesitaban para su trabajo.

Una búsqueda limitada encontró documentos sensibles

La información controlada no clasificada, conocida en el gobierno estadounidense como CUI, no equivale a información clasificada, aunque sí requiere protección o restricciones de distribución conforme a leyes, regulaciones o políticas aplicables. Su acceso suele limitarse a quienes tienen una necesidad legítima de conocerla, de modo que compartirla con todos los usuarios de una agencia puede quebrantar esos límites incluso si el archivo no está disponible para el público.

En su revisión, la OIG identificó 116 archivos con CUI que estaban compartidos con todos los usuarios de la GSA. Los auditores subrayaron que revisaron solo una parte del entorno y señalaron que tenían motivos para pensar que otros documentos podían estar disponibles en condiciones similares para cualquier persona con acceso a la instancia de Google Drive de la agencia.

El volumen total del repositorio hace que la búsqueda incompleta sea especialmente relevante: los aproximadamente 2,5 millones de documentos no constituyen una cifra de archivos expuestos, sino el conjunto almacenado por empleados y contratistas. La distinción importa porque el informe documenta hallazgos concretos, pero no establece cuántos documentos adicionales podrían presentar el mismo problema ni afirma que todos los archivos de la plataforma sean sensibles.

La GSA es una agencia federal encargada de funciones como contratación, adquisiciones y gestión de propiedades, además de otros servicios que sostienen las operaciones de las agencias públicas. Por eso, los documentos bajo su custodia pueden abarcar desde información sobre edificios gubernamentales hasta datos personales de empleados y material comercial de empresas que participan en procesos de contratación.

Controles técnicos y procedimientos incompletos

La auditoría cuestionó también la gestión de una herramienta de terceros instalada para prevenir la pérdida de datos y detectar exposiciones de CUI. Según los auditores, la GSA no completó o no documentó adecuadamente las revisiones anuales de los términos de búsqueda, y dejó sin implementar muchos términos que podían ayudar a localizar información sensible.

La herramienta tenía disponible una función de reconocimiento óptico de caracteres que podía contribuir a detectar CUI en documentos escaneados, pero la GSA no la había habilitado. Esa omisión limita la capacidad de identificar contenido sensible cuando está guardado como imagen y no como texto seleccionable, precisamente el tipo de archivo que puede escapar a búsquedas convencionales.

Los auditores señalaron además que la agencia desconocía el límite de tamaño de 15 megabytes de la herramienta. En consecuencia, incluso un uso correcto del sistema podía dejar fuera de la detección algunos archivos más grandes, lo que añadía una restricción técnica a los problemas de configuración y mantenimiento identificados en la revisión.

La OIG también observó que faltaban un proceso de aprobación para compartir información sensible y una convención estándar para nombrar archivos. Ambos controles podrían ayudar a ordenar quién autoriza el acceso y a reconocer con mayor facilidad documentos que requieren protección, aunque el informe no detalla un mecanismo alternativo que la GSA estuviera aplicando de manera uniforme.

Planos, datos personales e información comercial

Entre los documentos con controles de acceso inadecuados había planos de edificios en Washington, DC, con detalles sobre entradas, técnicas de filtrado y la ubicación de áreas sensibles, como los espacios donde se guardan armas. La auditoría también encontró un análisis de colapso progresivo que describía vulnerabilidades estructurales, debilidades de defensa y puntos críticos de falla en un edificio.

La exposición interna alcanzó además información de identificación personal de personas vinculadas al gobierno, incluidos números de Seguro Social, direcciones, fechas de nacimiento y datos de contacto. El informe no sostiene que esos datos se publicaran en internet; el problema descrito es que personas con acceso a Google Drive de la GSA podían encontrarlos sin que necesariamente existiera una razón de trabajo para consultarlos.

Otro grupo de archivos contenía información comercial propietaria, como investigaciones y propuestas de proveedores con datos técnicos y de precios. La posibilidad de que contratistas con acceso al repositorio vieran información de empresas competidoras plantea un riesgo de ventaja injusta si alguien utilizara esos materiales, aunque la auditoría no afirma que se haya demostrado tal uso.

La combinación de planos de seguridad, datos personales y propuestas comerciales muestra que el problema no se limita a una categoría documental. Cada clase de información implica consecuencias distintas, pero todas dependen de que la agencia restrinja el acceso a quienes lo necesitan y pueda identificar los documentos que requieren protección antes de compartirlos.

Antecedentes y respuesta de la agencia

Los hallazgos actuales se suman a advertencias anteriores de la OIG sobre la protección de información en los servicios de Google utilizados por la GSA. El inspector general informó que identificó por primera vez problemas de este tipo en agosto de 2014, cuando advirtió sobre datos de centros de cuidado infantil, juzgados, fuentes de agua, sistemas de automatización de edificios y sistemas de seguridad y alarmas contra incendios.

La oficina emitió informes adicionales entre 2015 y 2017 sobre la capacidad de la GSA para proteger información sensible en su entorno de Google. Más recientemente, los auditores señalaron otro conjunto de archivos de Google Drive compartidos indebidamente en abril de 2025, lo que sitúa el hallazgo actual dentro de una secuencia de preocupaciones que se extiende por más de una década.

El director de información de la GSA estuvo de acuerdo con las siete recomendaciones de los auditores para corregir las deficiencias. Sin embargo, el informe no indica si la agencia completó el trabajo correctivo, por lo que el acuerdo con las recomendaciones no permite concluir que los problemas técnicos y procedimentales ya estén resueltos. En el portal de recomendaciones abiertas de Oversight.gov figura una recomendación para restringir el acceso a los 116 documentos con CUI a usuarios de la GSA con autorización legal.

Consultada por The Register, la GSA afirmó que sus medidas de protección impidieron la exposición externa de los documentos identificados y que, después de la auditoría, tomó acciones significativas para fortalecer la protección de CUI en todo Google Workspace. La agencia añadió que su equipo de tecnología de la información trabaja para atender plenamente las recomendaciones del inspector general, una respuesta que distingue la exposición pública de los accesos internos demasiado amplios descritos por los auditores.

La diferencia entre ambos puntos es central para interpretar el caso: la GSA niega que los documentos identificados quedaran expuestos fuera de la agencia, mientras que la auditoría cuestiona que estuvieran disponibles para todos sus usuarios. Mientras no se conozca el estado de las siete recomendaciones, el informe deja abiertas preguntas sobre la cobertura de las búsquedas, la configuración de la herramienta y los procesos que deben impedir que un archivo sensible llegue a personas sin necesidad de consultarlo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados