DOGE звернувся до Верховного Суду за доступом до даних SSA

5 травня 2025 року адміністрація Трампа подала термінову заяву до Верховного Суду з проханням скасувати два несприятливі рішення, які забороняли Міністерству ефективності уряду (DOGE) доступ до записів Адміністрації соціального забезпечення (SSA). Генеральний прокурор Джон Сауер стверджує, що заборона завдає “незворотної шкоди” місії виконавчої влади щодо модернізації ІТ-інфраструктури та усунення витрат, шахрайства й зловживань у федеральних програмах.

Судові битви та апеляція до Верховного Суду

На даний момент DOGE зазнало двох суттєвих поразок:

• Березень 2025 року: Суддя окружного суду США Еллен Ліптон Холланд видала попередню заборону, яка забороняла SSA ділитися неномінованою особистою інформацією (PII) з DOGE. Суддя розкритикувала “риболовлю” агентства та наказала видалити всі неноміновані записи, які вже були передані.
• Квітень 2025 року: Апеляційний суд США Четвертого округу відмовив адміністрації Трампа у терміновому клопотанні про призупинення рішення окружного суду, проголосувавши 9–6. Більшість суддів, призначених демократичними президентами, дійшли висновку, що цілі DOGE можна досягти, використовуючи анонімізовані або редаговані набори даних відповідно до існуючих протоколів SSA.

У своїй заяві до Верховного Суду (досьє № 24Axxx) Генеральний прокурор стверджує, що обидва нижчі суди перевищили свої повноваження відповідно до Закону про конфіденційність 1974 року, який дозволяє агентствам ділитися записами з будь-яким посадовцем, що має законну “потребу знати”. У документі підкреслюється, що члени команди DOGE зобов’язані дотримуватися тих же стандартів конфіденційності та етики, що й штатні працівники SSA.

Технічна реалізація каналу даних SSA–DOGE

Запропонований DOGE канал даних базується на архітектурі з нульовою довірою та шифруванні з кінця в кінець. Основні технічні специфікації включають:

• Шифрування даних: Вся PII шифрується як у спокої, так і в процесі передачі з використанням AES-256 з модулями, верифікованими за стандартами FIPS 140-2.
• Контроль доступу: Контроль доступу на основі ролей (RBAC) та контроль доступу на основі атрибутів (ABAC), реалізовані через контрольні сімейства NIST SP 800-53 Rev. 5 (AC-2, AC-3, AC-6).
• Аудит: Незмінні, з часовими мітками журнали, зберігаються в книзі, що дозволяє лише додавати записи, з виявленням аномалій у реальному часі за допомогою інструментів SIEM (управління інформаційною безпекою та подіями).
• Сегментація даних: Поля PII токенізуються, а повні дані доступні лише для персоналу, який пройшов перевірки минулого та спеціальні навчальні модулі відповідно до Закону про модернізацію безпеки інформації федерального уряду (FISMA).

Незважаючи на ці заходи безпеки, суддя Холланд у своєму березневому рішенні визнала, що партнери DOGE не мали необхідної потреби знати та не пройшли стандартні процеси найму та перевірки минулого, які вимагаються для працівників SSA.

Контроль конфіденційності та безпеки: стандарти та найкращі практики

Експерти галузі зазначають, що державні агентства зазвичай дотримуються багатошарового моделі безпеки:

• Багатофакторна аутентифікація (MFA) для всього віддаленого доступу, відповідно до меморандуму OMB M-22-09.
• Безперервний моніторинг поведінки користувачів за допомогою аналітики поведінки користувачів та сутностей (UEBA).
• Мінімізація даних і анонімізація: Зменшення впливу PII шляхом використання технік диференційної конфіденційності та рамок k-анонімності.
• Регулярне тестування на проникнення третіми сторонами та вправи червоної команди для перевірки контролів.

Доктор Лена Ортіс, головний директор з даних у провідній компанії з кібербезпеки, зазначила: “Агентства можуть безпечно ділитися чутливою інформацією лише тоді, коли вони впроваджують сувору сегментацію та безперервну валідацію кожного запиту на доступ. Без цього навіть зашифровані системи можуть бути вразливими до загроз зсередини.”

Юридичні прецеденти та наслідки для управління даними

Юридичні аналітики вказують на два важливих прецеденти, які мають відношення до цієї справи:

• Міністерство юстиції США проти Ландано (1993): Встановлено відстрочку вимог за Законом про конфіденційність, коли розкриття служить слідчим цілям, але наголошено на необхідності індивідуального балансу.
• NASA проти Нельсона (2011): Підтверджено перевірки минулого та допуск до безпеки для федеральних підрядників, які отримують доступ до особистих даних, підкреслюючи інтерес уряду до захисту конфіденційності громадян.

Професор Рейчел Кляйн з Юридичної школи Джорджтаун зазначає: “Рішення Верховного Суду може переосмислити обсяг виконавчої влади щодо обміну даними в федеральному уряді та уточнити, як винятки із Закону про конфіденційність застосовуються до сучасних ініціатив з аналізу даних.”

Думки експертів та перспективи

Якщо Верховний Суд надасть тимчасову заборону, DOGE зможе відновити заплановану інтеграцію зі старими системами SSA, включаючи основні системи на базі COBOL та нові API-шлюзи, побудовані на RESTful мікросервісах у безпечному урядовому хмарі (FedRAMP High). Це дозволить здійснювати майже миттєве виявлення шахрайства за допомогою моделей машинного навчання, розміщених у гібридних середовищах.

Однак, якщо заборона буде підтверджена, агентства, ймовірно, посилять анонімізацію та шукатимуть обхідні шляхи, щоб уникнути обміну сирими PII, що може затримати проекти з підвищення ефективності на основі штучного інтелекту на місяці або роки. Згідно з внутрішньою запискою Білого дому, отриманою The Washington Post, адміністрація вважає це критичним тестовим випадком для своєї більш широкої програми цифрової трансформації.

Верховний Суд очікує прийняти рішення до кінця травня щодо надання або відмови в терміновій заяві. Вирок у будь-якому випадку матиме далекосяжні наслідки для управління даними, законодавства про конфіденційність та майбутнього ініціатив з кібербезпеки на федеральному рівні.