Le contrat JWCC soulève des inquiétudes concernant la cybersécurité et les lois antitrust.

En 2019, le ministère américain de la Défense a attribué à Microsoft un contrat de 10 milliards de dollars dans le domaine du cloud computing, connu sous le nom de « War Cloud » ou contrat JEDI. L'objectif de ce contrat était de moderniser l'infrastructure technologique du Pentagone et d'améliorer les opérations militaires. Le contrat JEDI a été annulé en 2022, mais un nouveau contrat, le Joint Warfighting Cloud Capability (JWCC), prendra sa place cette année.

Cependant, ce contrat a suscité des inquiétudes parmi les membres du Congrès et les responsables du ministère de la Défense quant à ses implications potentielles en matière de cybersécurité et de violation des lois antitrust, Microsoft étant de plus en plus sollicité pour fournir des outils et des services de cybersécurité. Cela exclut les autres fournisseurs et pose des risques potentiels pour la sécurité, tant de solutions de cybersécurité étant regroupées auprès d'un seul fournisseur.

Le contrat « War Cloud », d'une valeur de 10 milliards de dollars, a été attribué à Microsoft par le Pentagone en octobre 2019, devançant Amazon Web Services dans le cadre d'un processus d'appel d'offres concurrentiel. L'objectif de ce contrat était d'aider le Pentagone à moderniser ses systèmes technologiques et à améliorer ses opérations militaires, ses infrastructures et son stockage de données. Cette année, le contrat a été remplacé par le JWCC, qui privilégie un réseau plus large pour plusieurs fournisseurs de services cloud.

Cependant, cela pourrait ne pas suffire. La fin du programme JEDI a suscité une vive réaction parmi les membres du Pentagone, car la dépendance vis-à-vis de Microsoft continue de croître. Même aujourd'hui, dans le cadre du nouveau contrat, il semble y avoir une dépendance excessive vis-à-vis des services cloud de Microsoft pour gérer les tâches les plus lourdes. Réaliser des économies est une bonne chose, mais pas si cela se fait au détriment de la sécurité et crée un monopole.

Le contrat JEDI n'était qu'un exemple parmi tant d'autres de la dépendance du gouvernement américain envers Microsoft pour la gestion de la cybersécurité militaire, ce qui pourrait présenter des inconvénients dans les années à venir, compte tenu de l'augmentation continue des prix des services. Une dépendance excessive envers une seule entité pour des solutions de sécurité vitales empêche non seulement la concurrence de proposer des solutions potentiellement supérieures, mais entraîne également des risques potentiels en matière de stockage des données.

Le contrat cloud du ministère de la Défense a également suscité des craintes quant à d'éventuels risques pour la sécurité, craintes qui se retrouvent dans d'autres aspects de l'utilisation actuelle du service. Les données du Pentagone seraient transférées vers un cloud commercial, ce qui pourrait exposer les informations sensibles à des risques de violation de données, de cyberattaques ou d'accès non autorisé. La participation antérieure de Microsoft à des contrats gouvernementaux et ses relations avec des responsables gouvernementaux ont également suscité des inquiétudes quant à des violations des lois antitrust.

Le ministère américain de la Défense a lancé en avril 2019 une enquête sur le contrat JEDI afin d'examiner d'éventuels problèmes liés aux lois antitrust. Une étude sur les implications du contrat en matière de sécurité est également en cours. Une concurrence loyale et ouverte, en particulier dans le domaine des solutions de cybersécurité, doit être fondée sur le mérite et l'utilisation, et non uniquement sur la commodité. Actuellement, les inquiétudes concernant le JWCC proviennent du fait que la plupart des actifs cloud et des systèmes d'exploitation relèvent de la compétence de Microsoft.

Les inquiétudes suscitées par le contrat JEDI ont poussé le Congrès à agir. En novembre 2019, le Congrès a demandé un examen des risques potentiels pour la sécurité associés au contrat et a appelé à une plus grande transparence dans le processus d'approvisionnement. Microsoft et le ministère de la Défense ont pris des mesures pour répondre à ces préoccupations en mettant l'accent sur les protocoles de sécurité et en encourageant la concurrence dans le secteur technologique. Microsoft a également publié une déclaration soulignant son engagement à soutenir la sécurité nationale. Cependant, même avec la résiliation du contrat JEDI et son remplacement par le JWCC, des inquiétudes subsistent quant au pouvoir dont dispose Microsoft au sein du gouvernement.

Depuis 2017, le ministère américain de la Défense utilise exclusivement le système d'exploitation Microsoft Windows sur l'ensemble de ses plus de quatre millions d'ordinateurs et recourt de plus en plus aux services de cloud computing Azure de Microsoft. La plupart des militaires d'active et de réserve utilisent des programmes Microsoft tels qu'Outlook ou Office. Aujourd'hui, le gouvernement utilise également Microsoft Defender for Endpoint. Avec l'augmentation des cas d'utilisation et l'éviction des concurrents, il semble que Microsoft vise le monopole total des logiciels au sein du gouvernement.

Le contrat JWCC conclu entre le Pentagone et Microsoft a suscité de vives inquiétudes quant aux risques potentiels pour la sécurité et aux violations des lois antitrust. Le Congrès a réagi au projet JEDI en exigeant une plus grande transparence et une meilleure responsabilité dans le processus d'approvisionnement, tandis que Microsoft et le ministère de la Défense se sont efforcés de répondre à ces préoccupations.

Les enjeux sont désormais plus importants, car le contrat actuel du JWCC semble attirer davantage de fournisseurs de services cloud en apparence, mais en réalité, il recèle une multitude de produits et de contrôles Microsoft. De nombreuses options sont disponibles, mais lorsqu'on est habitué à utiliser le même logiciel, il est difficile de changer.

Si le ministère américain de la Défense double bientôt la mise sur Microsoft, il exclura ses concurrents. Il incombe au gouvernement de garantir une concurrence pleine et ouverte et de faire respecter la loi à cet égard. Déléguer à un tiers le pouvoir de décision en matière de cybersécurité soulève trop de problèmes sans offrir suffisamment de solutions, quel que soit le degré de contrôle. Laisser cette responsabilité à un tiers comme Microsoft enlève tout pouvoir au gouvernement et devrait être mal vu, même si cela lui facilite la vie. La sécurité n'est pas une question de facilité d'utilisation, mais d'efficacité.