Il supporto cloud statunitense garantisce la sovranità e assicura che non vi siano cittadini stranieri per la conformità del governo, del Dipartimento della Difesa e del settore aerospaziale.

IL SUPPORTO CLOUD STATUNITENSE GARANTISCE LA SOVRANITÀ E ASSICURA LA CONFORMITÀ DEL GOVERNO, DEL DIPARTIMENTO DELLA DIFESA E DEL SETTORE AEROSPAZIALE RISPETTO ALLE NORMATIVE STRANIERE

Supporta la sovranità presso US Cloud garantisce a TUTTI I CITTADINI STATUNITENSI il supporto Microsoft per la conformità federale, statale, locale, del Dipartimento della Difesa e aerospaziale. Supporta la sovranità evitando rischi inutili senza accesso da parte di cittadini stranieri a sistemi IT sicuri, supportando al contempo tutte le tecnologie MSFT.

Destinatari: Appalti e approvvigionamenti nel settore pubblico | Dirigenti IT di enti governativi, Dipartimento della Difesa, settore aerospaziale

Rischio inutile

Gran parte del supporto Premier/Unified di Microsoft è esternalizzato e fornito da cittadini stranieri. Per molte agenzie federali, appaltatori della difesa e imprese aerospaziali, ciò comporta rischi inutili di esfiltrazione dei dati, ransomware e spionaggio.

"Inserire cittadini stranieri nella catena di fornitura dell'assistenza tecnica del Paese (USA) è irresponsabile e comporta un rischio inutile per la nostra proprietà intellettuale e la nostra sicurezza nazionale".

— Robert E. LaMear IV, FONDATORE, US CLOUD

Integrità compromessa

Per i sistemi IT governativi, del Dipartimento della Difesa o aerospaziali, la sicurezza è una questione di primaria importanza.

Come già detto, Microsoft non può garantire che un cittadino straniero non fornisca servizi di assistenza Microsoft ai propri clienti governativi. Nel dicembre 2019, la massiccia violazione dei dati di supporto Microsoft ha portato alla divulgazione di migliaia di informazioni di sistema, registri e ticket dei clienti Microsoft Premier Support. È probabile che alcune delle informazioni di sistema raccolte dalla violazione dei dati abbiano contribuito al successo di diversi attacchi hacker di alto profilo ai danni di Microsoft nel 2021.

Per essere onesti nei confronti di Microsoft, che esternalizza gran parte del proprio supporto Premier/Unified all'estero, sembra probabile che la violazione dei dati del supporto Premier sia stata causata da un partner di outsourcing estero e non da Microsoft stessa. Ci sono stati tre importanti insegnamenti da trarre dalla violazione dei dati del supporto Microsoft Premier:

1. I database di supporto violati non erano crittografati (non sembra una mossa da professionisti MSFT).
2. I cinque database di supporto erano ospitati nel cloud pubblico Azure multi-tenant (regione non divulgata; forse al di fuori degli Stati Uniti?).
3. I database di supporto non sono stati sottoposti a pulizia per limitare la copertura pluriennale. (2005-2019 esposti)

Supporto Superiorità

Il Pentagono ha comunicato le proprie aspettative in materia di superiorità militare su terra, aria, mare, spazio e cyberspazio. Il programma Joint Warfighter Cloud Capability (JWCC) consentirà al Dipartimento della Difesa di modernizzare rapidamente i sistemi e sfruttare il cloud, l'apprendimento automatico e l'intelligenza artificiale per il successo delle missioni.

Il Pentagono potrebbe avvalersi della sovranità del supporto IT di US Cloud per estendere la superiorità militare alla catena di fornitura del supporto Microsoft per JWCC e altri ambienti di sicurezza attivi del Dipartimento della Difesa. US Cloud garantirà contrattualmente che tutti i log e i ticket di supporto crittografati rimangano negli Stati Uniti e che tutto il personale di supporto che lavora sui ticket dell'help desk sia composto esclusivamente da cittadini statunitensi rigorosamente selezionati.

Il supporto US Cloud Premier per tutte le tecnologie Microsoft offre tempi di risposta quattro volte più rapidi rispetto a MSFT, oltre agli unici SLA con copertura finanziaria del settore. Tutti i clienti governativi federali, statali e locali godono dei vantaggi di un supporto di qualità superiore, oltre a significativi risparmi di budget. Il Dipartimento di Stato degli Stati Uniti ha risparmiato il 38%. Il Dipartimento del Lavoro degli Stati Uniti ha risparmiato il 42%. L'Agenzia per la protezione dell'ambienteha risparmiato il 53% e 7,5 milioni di dollari nei cinque anni successivi grazie al supporto sovrano di US Cloud.

Cloud Azure per la pubblica amministrazione

Microsoft sta rispondendo alle esigenze del Dipartimento della Difesa in materia di sovranità dei dati e sta facendo in modo che i suoi data center cloud federali statunitensi siano gestiti esclusivamente da cittadini statunitensi sottoposti a controlli di sicurezza. Tuttavia, Microsoft non garantisce che quando un'entità del Dipartimento della Difesa chiama per un problema relativo a Office 365, Azure o altri prodotti Microsoft, la persona all'altro capo del telefono non sia un cittadino straniero.

Microsoft Azure per il quadro di adozione del cloud governativo

US Cloud svolge un ruolo fondamentale nella fase di mantenimento di Azure for Gov per fornire servizi al Dipartimento della Difesa, alle entità federali, statali, locali e aerospaziali.

Sebbene la maggior parte dei problemi coperti dal supporto Microsoft Premier (Unified) siano piuttosto ordinari e non critici per l'agenzia, possono verificarsi e si verificheranno incidenti che espongono informazioni sensibili al personale di supporto.

È irresponsabile mettere inutilmente a rischio un cittadino straniero che lavora su un ticket di assistenza Microsoft Azure Gov Cloud e che potrebbe causare danni irreparabili.

Supporto di salvaguardia

I servizi di assistenza Microsoft Premier (Unified) ricorrono sempre più spesso a fornitori terzi (tra cui, a titolo esemplificativo ma non esaustivo, Wipro e Tata) per potenziare il proprio team. Le organizzazioni DoD, Federal, Intelligence, State/Local Government e Aerospace hanno scoperto che, contrattualmente, Microsoft non garantisce che un cittadino straniero non risponda alla linea di assistenza o non gestisca i loro ticket. Molti stanno passando da Microsoft a US Cloud per proteggere meglio la loro missione, i loro elettori e il loro budget.

Nell'aprile 2019, Wipro (NYSE: WIT), fornitore indiano di servizi di outsourcing informatico (IT) e supporto Microsoft Premier (Unified), è stato vittima di un attacco hacker. La notizia è stata diffusa da Krebs on Security. Fonti sostengono che lo strumento di accesso remoto ScreenConnect sia stato utilizzato nel marzo 2019 per compromettere i sistemi Wipro e poi passare ad attaccare i clienti Wipro negli Stati Uniti e in altri paesi. La fonte dell'attacco è ancora sconosciuta, tuttavia nello stesso mese in cui è stata resa nota la notizia della violazione dei dati Wipro si è verificata una transazione interessante.

Rischio legato agli Stati stranieri – Il 4 aprile 2019, il governo indiano ha venduto azioni "nemiche" di Wipro per un valore di circa 166 milioni di dollari. Secondo questo articolo pubblicato su The Business Standard, le azioni nemiche sono così chiamate perché originariamente erano detenute da persone che sono emigrate in Pakistan o in Cina e non sono più cittadini indiani.

"Un totale di 44,4 milioni di azioni, detenute dal Custode dei beni nemici per l'India, sono state vendute al prezzo di 259 rupie ciascuna alla Borsa di Bombay", ha riportato The Business Standard. "Gli acquirenti sono stati la Life Insurance Corporation of India (LIC), la New India Assurance e la General Insurance Corporation LLC, tutte società statali".

Attacchi da parte di Stati stranieri – L'annuncio del giugno 2019 relativo agli attacchi Cloud Hopper ha compromesso diversi fornitori di rilievo, tra cui Tata, un'estensione di terze parti comunemente utilizzata dei servizi di assistenza Microsoft Premier (Unified). La notizia dell'attacco è stata riportata inizialmente da Reuters. Tata ha rifiutato di commentare. È ora in corso un procedimento penale negli Stati Uniti e si sospetta che la fonte dell'attacco sia il Ministero della Sicurezza di Stato cinese.

Fonti Reuters hanno riferito che gli attacchi sono stati perpetrati dal 2014 al 2017 e hanno preso di mira fornitori globali di servizi di outsourcing IT con l'unico obiettivo di rubare segreti commerciali dai loro clienti. Per coincidenza, nel 2014 Tata è stata citata in giudizio da Epic Systems negli Stati Uniti per furto di proprietà intellettuale e ha perso una causa per 420 milioni di dollari.

JEDI sostituito da JWCC

La disputa sul progetto di cloud computing non sembra ancora completamente conclusa. Il Pentagono ha dichiarato in un comunicato stampa che necessita ancora di capacità cloud su scala aziendale e ha annunciato un nuovo contratto multivendor denominato Joint Warfighter Cloud Capability (JWCC). L'agenzia ha affermato che intende richiedere proposte sia ad Amazon che a Microsoft per il contratto, aggiungendo che sono gli unici fornitori di servizi cloud in grado di soddisfare le sue esigenze. Tuttavia, ha aggiunto che continuerà a condurre ricerche di mercato per verificare se anche altri fornitori siano in grado di soddisfare le sue specifiche.

"Le esigenze della missione sono state il nostro principale motore in questo senso", ha affermato John Sherman, Chief Information Officer ad interim del Dipartimento della Difesa.

Il Pentagono ha dichiarato che il fornitore di servizi cloud per il nuovo contratto dovrà soddisfare diversi criteri, come lavorare su tutti e trei livelli di classificazione (cioè non classificato, segreto o top secret), essere disponibile in tutto il mondo e disporre di controlli di sicurezza informatica di alto livello.

L'agenzia ha dichiarato che prevede che il valore del nuovo contratto sarà dell'ordine di diversi miliardi, anche se sta ancora determinando il valore massimo. Prevede che il contratto avrà una durata massima di cinque anni, compreso un periodo base di tre anni e due periodi opzionali di un anno ciascuno.

Il Pentagono si aspetta che il JWCC "sia un ponte verso il nostro approccio a lungo termine", ha affermato Sherman. Ha aggiunto che il dipartimento prevede di assegnare i premi diretti attraverso il contratto intorno ad aprile 2022 e di aprire una competizione più ampia già nel 2025.

Affari esteri JWCC

Il supporto Microsoft esternalizzato a fornitori esteri viene solitamente identificato nelle e-mail con un trattino V. Se vedete un'e-mail Microsoft con un trattino V che gestisce il vostro ticket di supporto Premier/Unified, è molto probabile che i vostri dati, il ticket e il personale di supporto si trovino al di fuori degli Stati Uniti, mettendo a rischio la conformità della vostra organizzazione.

V-dash: un fornitore che lavora con Microsoft e che può anche avere un indirizzo e-mail Microsoft temporaneo preceduto dal prefisso "V-". Chiamato anche "Green Badge" per il colore dei badge fisici rilasciati da Microsoft quando si trovano nel campus aziendale.

JWCC è un ottimo esempio di come anche il supporto esternalizzato di Microsoft possa mettere a rischio la missione della vostra organizzazione.

Scenario 1 Impatto minimo: Un cittadino straniero che lavora per Microsoft tramite i suoi outsourcer offshore di terze parti e che supporta il programma Joint Warfighter Cloud Capability (JWCC) tramite il suo contratto di assistenza Microsoft Premier (Unified) con il Dipartimento della Difesa, riceve un ticket di assistenza di gravità "mission-critical" e ritarda intenzionalmente il processo di risoluzione di ore o giorni. Come minimo, rallenta la velocità operativa del Dipartimento della Difesa, ma al massimo minaccia le missioni dei combattenti schierati. Il "dipendente Microsoft" con una v-card trasmette quindi l'analisi delle cause alla nazione in cui è realmente impiegato per creare un quadro di riferimento per futuri attacchi informatici al JWCC.

Scenario 2 Impatto moderato: Un cittadino straniero che lavora per Microsoft tramite i suoi outsourcer offshore di terze parti afferma di aver bisogno di accedere in remoto ai sistemi del Dipartimento della Difesa per risolvere dei problemi e ottiene i privilegi necessari. Il "dipendente Microsoft" con una v-card utilizza quindi l'accesso per compromettere l'ambiente installando malware o sottraendo dati sensibili allo Stato nazionale del suo vero datore di lavoro.

Scenario 3 Impatto grave: Un cittadino straniero che lavora per Microsoft tramite i suoi outsourcer offshore di terze parti ha ottenuto l'accesso remoto ai sistemi JWCC e sta lentamente e furtivamente mappando il suo modello di failover. Il "dipendente Microsoft" con una v-card utilizza quindi questo modello ed è pronto ad attivare malware dormienti e non rilevati per rubare credenziali e mettere fuori uso una parte o l'intero JWCC, limitando la capacità del Dipartimento della Difesa di rilevare o rispondere a un attacco informatico o militare coordinato su larga scala contro gli Stati Uniti.

Conservazione del bilancio

Le organizzazioni del Dipartimento della Difesa, federali, di intelligence, statali/locali e aerospaziali sono tutte gravate da debiti tecnici e sistemi legacy. Devono modernizzarsi e investire in nuove tecnologie per portare avanti le loro missioni.

US Cloud restituisce immediatamente il 30-50% delle spese di assistenza Microsoft Premier (Unified) al budget nel primo anno. Poiché Microsoft Unified è guidato principalmente dalla crescita del consumo cloud MSFT, le previsioni quinquennali rivelano risparmi ancora maggiori con US Cloud.

Il risparmio tipico nel secondo-quinto anno supera il 250%. Non è raro che le organizzazioni più grandi registrino un risparmio superiore al 300% in cinque anni e liberino milioni di dollari da investire nell'innovazione e nel perseguimento delle proprie missioni.

Veicoli a contratto

Il servizio US Cloud Premier Support for Government soddisfa le esigenze di: governo federale, governo statale, governo locale, settore aerospaziale, sanità/ospedali, istruzione/scuole e laboratori di ricerca.

Approvvigionamento elettronico: SAP Ariba, GSA, Exostar

Profilo aziendale cloud statunitense: piccola impresa certificata registrata su SAM.gov, MPIN 86137652R, codice ufficio SBA 0768, DUNS# 78-462-6355, NAICS 541511, PSC AJ26, CAGE 4XKR3, NIGP 920-45-84, Paese 189, distretto congressuale 02, area statistica metropolitana 7040

Veicoli contrattuali: NASPO, GSA, GWAC, IDIQ

Controlli dei precedenti: DD254, DHS E-Verify