尽管微软的政府云服务 GCC High 存在严重的安全文档缺失和加密不透明问题，联邦网络安全审批机构 FedRAMP 仍于 2024 年底对其授予了安全认证。这一决定暴露了美国联邦云安全监管体系的系统性溃败：为了推动政府全面转向云端，监管机构在无法证实系统安全性的情况下，最终向商业利益和既成事实妥协。
“安全演戏”而非真正的安全
联邦网络安全评估人员对微软 GCC High 产品的评价极其严厉。一份政府内部报告显示，由于微软缺乏详细的安全文档，评审员完全无法评估该系统的整体安全态势。
- 内部恶评： 一名评审团队成员直言不讳地称该产品包是“一堆垃圾”。
- 无法核实的加密： 评审员多年来要求微软提供数据流向图，以证明敏感数据在服务器间传输时得到了妥善加密，但微软一直未能提供达标的细节。
- 被迫妥协： 最终通过审批并非因为安全问题得到了解决，而是因为司法部和国防部等机构已经大规模使用了该产品，“木已成舟”让监管机构别无选择。
这不是真正的安全，这是“安全演戏”（Security Theater）。 —— Tony Sager，前美国国家安全局（NSA）计算机科学家
核心漏洞与利益冲突
调查发现，当前的联邦云安全审查流程存在严重的制度缺陷，导致监管效力被大大削弱：
- 裁判员由运动员付费： 所谓的“第三方评估机构”是由微软等供应商直接聘请并支付费用的。虽然这些机构私下向政府表达了对微软产品的担忧，但在正式报告中往往含糊其辞。
- 监管能力萎缩： FedRAMP 的年度预算仅为 1000 万美元，且在政府效率改革中遭遇了严重的人员裁减，目前已沦为一个单纯的“盖章机器”。
- 遗留代码风险： 微软的云服务建立在数十年的旧代码基础上，架构极其复杂（被评审员形容为“乱麻”），难以像亚马逊或谷歌那样实现彻底的安全隔离。
监管者与被监管者的“旋转门”
司法部（DOJ）在推动 GCC High 获批的过程中起到了关键作用。尽管存在安全顾虑，司法部官员仍向 FedRAMP 施压，要求尽快通过审计。
- 角色转换： 前司法部副首席信息官 Melinda Rogers 在任内推动了 GCC High 的部署，离职后便加入了微软。
- 高层变动： 曾主导打击承包商网络欺诈的副部长 Lisa Monaco，近期也已入职微软担任全球事务总裁。
现实影响：普通人为何要关注？
这不仅仅是政府内部的官僚纠纷，它直接关乎国家安全和公共数据的安全：
- 敏感数据暴露： 司法部和能源部利用该系统处理极其敏感的执法记录和资产信息，一旦发生泄露，后果将是灾难性的。
- 外国间谍威胁： 此前已有中国和俄罗斯黑客利用微软系统的漏洞窃取了美国高级官员的邮件。
- 违规风险： 微软曾被曝使用位于中国的工程师来维护敏感的政府云系统，这直接违反了美国国防部关于“非美国公民不得访问敏感数据”的规定。
总结而言，GCC High 的获批标志着联邦政府在网络安全博弈中向大型科技公司全面退让，将“业务连续性”置于“数据安全性”之上，留下了难以预测的安全隐患。