Le DoD JEDI se tourne vers une alternative au support Microsoft Premier, US Cloud.
JEDI est le cloud militaire américain destiné aux combattants. Le cloud militaire américain offrira tous les avantages en matière de sécurité, d'évolutivité, de rentabilité, de basculement, d'IA, mais aussi les inconvénients habituels du cloud, tels que la migration et l'intégration hybride. La plateforme cloud Microsoft apportera un flux constant de nouvelles fonctionnalités et de mises à jour. Savoir comment utiliser ces nouvelles fonctionnalités et quel sera leur impact sur les environnements existants deviendra de plus en plus important à mesure que l'adoption de JEDI progressera.
Microsoft répond aux exigences du ministère américain de la Défense en matière de souveraineté des données et veille à ce que ses centres de données américains ne soient gérés que par des citoyens américains ayant fait l'objet d'une vérification. Cependant, Microsoft ne garantit pas que lorsqu'une entité du ministère américain de la Défense appelle pour un problème lié à Office 365, Azure ou tout autre produit Microsoft, la personne à l'autre bout du fil n'est pas un ressortissant étranger. Et bien que la plupart des problèmes couverts par le support Microsoft Premier (Unified) soient assez courants et ne soient pas critiques pour l'entreprise, il peut y avoir et il y aura des incidents critiques pour la mission, et leur résolution rapide par des citoyens américains sélectionnés sera primordiale pour nos combattants américains et le DoD.
Qu'est-ce que JEDI ?
L'armée américaine se lance dans un projet ambitieux et coûteux de transformation vers le cloud afin de moderniser les ressources informatiques de tous les départements du Pentagone et de toutes les branches des forces armées.
L'initiative JEDI ( Joint Enterprise Defense Infrastructure ) est l'un des volets de ce plan. Un document sur la stratégie cloud présenté au Congrès établit une distinction entre le besoin du ministère de la Défense (DoD) d'un cloud « à usage général » et celui d'un cloud « adapté à l'usage prévu ».
Le cloud à usage général qui sera fourni par AWS ou Microsoft sera le cloud de premier choix, avec une « préférence pour la mise en œuvre principale » pour toutes les agences de défense. Ce n'est que lorsque les besoins de la mission ne pourront pas être satisfaits par le cloud à usage général que des alternatives adaptées à l'usage prévu seront envisagées », indique le document.
Les « responsables de mission » qui souhaitent s'écarter du fournisseur de services cloud sélectionné dans le cadre de l'initiative JEDI devront soumettre un « dossier d'exception » au directeur informatique du ministère américain de la Défense, expliquant pourquoi ils estiment que le cloud à usage général ne peut pas répondre à leurs besoins.
Comment JEDI pourrait-il souffrir sans le soutien souverain du cloud américain ?
Scénario 1 Impact minimal : un ressortissant étranger travaillant pour Microsoft via ses sous-traitants offshoretiers et soutenant JEDI via son contrat d'assistance Microsoft Premier (Unified) avec le DoD, reçoit un ticket d'assistance « critique » et retarde délibérément le processus de résolution de plusieurs heures ou jours. Au minimum, cela ralentit la vitesse opérationnelle du DoD, mais au pire, cela menace les missions des combattants déployés. L'« employé Microsoft » muni d'une carte de visite transmet ensuite l'analyse des causes profondes (RCA) à l'État dont il est réellement employé afin de créer un cadre pour de futures cyberattaques contre JEDI.
Scénario 2 Impact modéré : un ressortissant étranger travaillant pour Microsoft via ses sous-traitants offshoretiers déclare avoir besoin d'un accès à distance aux systèmes du ministère de la Défense pour résoudre des problèmes techniques et se voit accorder des privilèges. L'« employé Microsoft » muni d'une carte virtuelle utilise alors cet accès pour compromettre l'environnement en y implantant des logiciels malveillants ou pour siphonner des données sensibles vers le pays dont il est réellement ressortissant.
Scénario 3 Impact critique : un ressortissant étranger travaillant pour Microsoft via ses sous-traitants offshoretiers a obtenu un accès à distance aux systèmes JEDI et cartographie lentement et discrètement son modèle de basculement. L'« employé Microsoft » muni d'une carte de visite électronique utilise ensuite ce modèle et s'apprête à activer des logiciels malveillants dormants et indétectables afin de voler des identifiants et de mettre hors service une partie ou la totalité du système JEDI, limitant ainsi la capacité du ministère de la Défense à détecter ou à répondre à une cyberattaque ou à une attaque militaire coordonnée de plus grande envergure contre les États-Unis.
Sécurité JEDI
Avec un cloud militaire, la sécurité est la préoccupation principale.
Point de vue des hauts gradés du Pentagone nuage public comme un avantage pour sécuriser les données et les systèmes militaires, et la stratégie cloud du DoD a été élaborée pour s'aligner sur sa stratégie cyber plus large. Le DoD doit adopter les mécanismes de sécurité modernes intégrés aux plateformes des fournisseurs de cloud commerciaux modernes afin de garantir la sécurité de ces grandes quantités de données et de protéger les informations », indique le rapport.
L'infrastructure actuelle du Pentagone pose un problème de sécurité. Le rapport révèle que le ministère de la Défense a du mal à faire face aux menaces liées à la cybersécurité. « En possédant et en exploitant le matériel physique associé aux centres de données sur site, le ministère peut s'exposer à des risques inutiles en matière de sécurité et consommer des ressources qui pourraient autrement être réaffectées pour soutenir les combattants et le personnel dans d'autres domaines opérationnels », indique le rapport.
Des politiques et des procédures d'approvisionnement trop strictes empêchent les professionnels informatiques du ministère américain de la Défense de garantir la mise à jour adéquate du matériel et des logiciels. Les fournisseurs de cloud public qui souhaitent remporter ces contrats lucratifs seront soumis à un examen minutieux de leurs capacités en matière de sécurité.
« Le ministère américain de la Défense devrait tester et évaluer de manière indépendante la sécurité des réseaux cloud afin de vérifier la conformité en matière de sécurité et la réponse aux incidents, et examiner tous les résultats des tests effectués par les sous-traitants et les tiers afin de s'assurer que la surveillance des performances et de la sécurité est suffisante. »
Les responsables militaires souhaitent que la cybersécurité ne se concentre plus uniquement sur la protection des périmètres des réseaux, mais aussi sur le contrôle actif de l'accès aux données. Les algorithmes de chiffrement modernes et les systèmes de gestion des clés intégrés aux services cloud commerciaux, ainsi qu'un étiquetage approprié des données, permettront d'atteindre cet objectif.
En plus de contrôler l'accès aux données, les responsables militaires doivent vérifier que tous les techniciens chargés de l'assistance technique des systèmes Microsoft sont des citoyens américains ayant fait l'objet d'une vérification préalable. Cela garantira la conformité à l'ITAR et réduira le risque d'exposer inutilement des ressortissants étrangers au JEDI.
Danger imminent – Ressortissants étrangers soutenant JEDI
Les services d'assistance Microsoft Premier (Unified) font de plus en plus appel à des prestataires tiers (notamment Wipro et Tata) pour renforcer leurs propres équipes. Les organisations fédérales ont constaté que, contractuellement, Microsoft ne garantit pas qu'aucun ressortissant étranger ne répondra aux appels d'assistance ou ne traitera leurs tickets. Les organisations fédérales, étatiques et locales délaissent Microsoft au profit de US Cloud pour des raisons de souveraineté et de responsabilité fiscale.
En avril 2019, Wipro (NYSE : WIT), fournisseur indien de services d'externalisation informatique et d'assistance Microsoft Premier (Unified), a été piraté. L'affaire a été révélée par Krebs on Security. Selon certaines sources, l'outil d'accès à distance ScreenConnect aurait été utilisé en mars 2019 pour compromettre les systèmes de Wipro, puis pour attaquer les clients de Wipro aux États-Unis et dans d'autres pays. L'origine de l'attaque reste inconnue, mais une transaction intéressante a eu lieu le mois même où l'affaire de la violation des données de Wipro a été révélée.
Le 4 avril 2019, le gouvernement indien a vendu des actions « ennemies » de Wipro pour une valeur d'environ 166 millions de dollars. Selon cet article dans La norme commercialeLes actions ennemies sont ainsi nommées parce qu'elles étaient à l'origine détenues par des personnes qui ont émigré au Pakistan ou en Chine et qui ne sont plus citoyens indiens.
« Au total, 44,4 millions d'actions, détenues par le Custodian of Enemy Property for India (dépositaire des biens ennemis pour l'Inde), ont été vendues à 259 roupies chacune à la Bourse de Bombay », a rapporté The Business Standard. « Les acheteurs étaient la société publique Life Insurance Corporation of India (LIC), New India Assurance et General Insurance Corporation. LIC »
L'annonce récente, en juin 2019, des attaques Cloud Hopper a compromis plusieurs fournisseurs de premier plan, dont Tata, une extensiontierce couramment utilisée pour les services d'assistance Microsoft Premier (Unified). Reuters a initialement rapporté cette attaque. Tata a refusé de commenter. Une mise en accusation américaine est actuellement en cours et le ministère chinois de la Sécurité d'État est soupçonné d'être à l'origine de l'attaque.
Selon des sources de Reuters, ces attaques se sont déroulées entre 2014 et 2017 et visaient des prestataires informatiques internationaux dans le seul but de voler les secrets commerciaux de leurs clients. Par coïncidence, en 2014, Tata a été poursuivi par Epic Systems aux États-Unis pour vol de propriété intellectuelle et a perdu un procès pour un montant de 420 millions de dollars.
Coûts de soutien JEDI du ministère américain de la Défense
L'armée est soumise à des contraintes budgétaires. Les dirigeants du Pentagone considèrent que le cloud offre des avantages économiques, comme l'ont compris de nombreuses entreprises privées.
« Le modèle de paiement à l'utilisation du cloud offrira la flexibilité nécessaire pour optimiser les coûts dans l'ensemble du portefeuille informatique et permettra au ministère de la Défense de s'adapter à l'évolution des priorités, des conditions budgétaires et des développements du secteur », indique le rapport. Les systèmes existants qui ne sont pas « prêts pour le cloud » utilisent souvent « des quantités excessives de ressources d'infrastructure cloud », ce qui les rend moins efficaces et donc plus coûteux à exploiter.
L'armée reconnaît également, comme de nombreuses entreprises l'ont découvert, qu'il est difficile de prévoir les coûts liés au cloud. Pour garantir la transparence des coûts, l'armée devra mettre en place une « gouvernance stricte » afin de contrôler la manière dont les applications sont développées et dont les données sont transmises et stockées.
« À mesure que nous développons ces normes, que nous les mettons en œuvre, puis que nous apprenons et alignons mieux nos services et nos données sur une solution d'entreprise, nous pouvons nous tourner vers des outils et des techniques automatisés pour mieux informer le suivi précis de l'exécution financière des ressources cloud. »
Tout comme le cloud offre des avantages économiques, Services fédéraux américains d'assistance au cloudServices. Les organisations dépendantes de Microsoft, telles que le ministère américain de la Défense, réduisent généralement leurs coûts de moitié lorsqu'elles passent du support Microsoft Unified (anciennement Premier) au support US Cloud. Ces économies substantielles permettraient au ministère américain de la Défense de respecter son budget et de réaffecter les fonds économisés au support là où nos combattants en ont le plus besoin.
Suivre le rythme du cloud
À mesure que les gouvernements fédéral, étatiques et locaux américains adoptent des plateformes de services cloud telles que Microsoft Azure et Office 365, de nouvelles fonctionnalités et mises à jour de sécurité sont automatiquement transmises par Microsoft à la base d'utilisateurs. Cela contribue à renforcer la sécurité de l'environnement et des utilisateurs, mais entraîne également des changements plus fréquents. Les administrateurs savent-ils quelles nouvelles fonctionnalités vont être mises en place et à quel moment ? Certaines des fonctionnalités en cours de développement sont-elles susceptibles de perturber l'environnement existant lors de leur déploiement ? Les utilisateurs connaissent-ils les nouvelles fonctionnalités et savent-ils comment les utiliser ? Si ce n'est pas le cas, qui se chargera de la formation et à quel moment ?
Il est essentiel que la feuille de route informatique d'une organisation soit alignée sur la feuille de route des services cloud de Microsoft. Les fournisseurs de support tiers de confiance tels que US Cloud peuvent non seulement prendre en charge les technologies Microsoft critiques telles qu'OpenAI, mais aussi offrir des services de conseil et de feuille de route afin de maximiser l'investissement de l'organisation dans l'ensemble de la pile Microsoft.
Soutenir le cloud militaire américain
L'un des volets de cette initiative, baptisé JEDI, a déclenché une vive polémique dans la Silicon Valley, suscitant notamment les critiques d'un groupe professionnel du secteur,des protestations auprès du GAO etune action en justice intentée par Oraclecontre le gouvernement fédéral.
Même si la stratégie cloud du ministère américain de la Défense est beaucoup plus large que celle de JEDI, elle a besoin de l'aide des fournisseurs de cloud d'entreprise pour donner plus de moyens aux troupes sur le terrain et aux professionnels du renseignement militaire.
« La stratégie cloud du ministère américain de la Défense réaffirme notre engagement envers le cloud et la nécessité d'envisager les initiatives cloud dans une perspective d'entreprise pour une adoption plus efficace », peut-on lire dans l'avant-propos du document, rédigé par le secrétaire à la Défense par intérim Patrick Shanahan.
« Le ministère de la Défense (DoD) est entré dans l'ère moderne de la guerre, où le champ de bataille existe autant dans le monde numérique que dans le monde physique », explique Shanahan.
« Le cloud est un élément fondamental de l'infrastructure mondiale qui permettra aux combattants d'accéder à des données et qui est essentiel au maintien de l'avantage technologique de notre armée. »
US Cloud est prêt, avec son équipe composée à 100 % de citoyens américains, à soutenir le cloud militaire américain et sa base d'utilisateurs composée de combattants. Le soutien à la souveraineté, la conformité à l'ITAR et les économies de 30 à 60 % font de US Cloud le choix responsable pour le ministère de la Défense et les contribuables américains.
Soutien souverain – De la patrie au champ de bataille
L'environnement cloud du ministère américain de la Défense doit prendre en charge les opérations militaires, du champ de bataille au front intérieur.
« Nous devons fournir à JEDI et au ministère américain de la Défense le personnel de soutien souverain américain qu'ils méritent pour mener à bien leurs missions », déclare Robert E. LaMear IV, fondateur de US Cloud. « Intégrer des ressortissants étrangers dans la chaîne d'approvisionnement du soutien technique du pays (États-Unis) est irresponsable et fait courir un risque inutile à notre sécurité nationale. »
Une exigence pour le cloud du DoD est l'intégration et l'exploitation de solutions informatiques simples et reproductibles à tous les niveaux de classification. « Cela permettra aux combattants de prendre des décisions fondées sur des données et améliorera la capacité du DoD à partager des données avec ses alliés et à opérer en tant que force de coalition », indique le rapport.
Le rapport souligne que le secteur technologique a fait d'énormes progrès dans la mise en œuvre d'opérations hors connexion. « Les clouds à usage général et adaptés à l'usage prévu du département tireront parti de ces efforts pour fournir aux combattants les technologies les plus récentes là où ils en ont besoin et quand ils en ont besoin, quel que soit l'environnement. »
Les appareils « robustes et adaptables » utilisés par les combattants sur le terrain doivent pouvoir se synchroniser automatiquement avec le cloud lorsque les communications sont suffisantes ou rétablies.
« La synchronisation automatique des informations garantira que les combattants conservent les données, les réinjectent dans les modèles et combattent à l'aide des algorithmes les plus récents. Le fait de procéder ainsi dans un environnement sécurisé constituera un multiplicateur de force et soutiendra directement l'objectif principal de l'environnement cloud : la supériorité en matière d'informations. »
