DoD JEDI ontwaakt voor alternatief voor Microsoft Premier Support, US Cloud.
JEDI is de cloud van het Amerikaanse leger voor zijn strijders. De Amerikaanse militaire cloud biedt alle voordelen op het gebied van beveiliging, schaalbaarheid, kosteneffectiviteit en failover, maar ook de typische cloudproblemen van migratie en hybride integratie. Het Microsoft-cloudplatform zorgt voor een gestage stroom van nieuwe functies en updates. Naarmate JEDI steeds meer wordt gebruikt, wordt het steeds belangrijker om te weten hoe de nieuwe functies moeten worden gebruikt en welke impact ze hebben op bestaande omgevingen.
Microsoft voldoet aan de eisen van het Amerikaanse ministerie van Defensie op het gebied van gegevenssoevereiniteit en zorgt ervoor dat zijn datacenters in de VS uitsluitend worden bemand door gescreende Amerikaanse staatsburgers. Microsoft kan echter niet garanderen dat wanneer een medewerker van het ministerie van Defensie belt met een vraag over Office 365, Azure of een ander Microsoft-product, de persoon aan de andere kant van de lijn geen buitenlands staatsburger is. Hoewel de meeste problemen die onder Microsoft Premier (Unified) Support vallen vrij routinematig zijn en niet bedrijfskritisch, kunnen er zich incidenten voordoen die wel bedrijfskritisch zijn. Een snelle oplossing door gescreende Amerikaanse burgers is dan van cruciaal belang voor onze Amerikaanse militairen en het DoD.
Wat is JEDI?
Het Amerikaanse leger begint aan een ambitieus en duur cloudtransformatieproject om de IT-middelen van alle afdelingen van het Pentagon en alle takken van de strijdkrachten te moderniseren.
Het Joint Enterprise Defense Infrastructure (JEDI)-initiatief is een onderdeel van dat plan. In een aan het Congres voorgelegd document over de cloudstrategie wordt een onderscheid gemaakt tussen de behoefte van het ministerie van Defensie (DoD) aan een cloud voor "algemene doeleinden" en clouds die "geschikt zijn voor het beoogde doel".
De algemene cloud die naar AWS of Microsoft gaat, zal de cloud van eerste keuze zijn, met een 'primaire implementatievoorkeur' voor alle defensie-instanties. Alleen wanneer missiebehoeften niet door de algemene cloud kunnen worden ondersteund, zullen alternatieven die geschikt zijn voor het beoogde doel worden onderzocht", aldus het document.
"Missie-eigenaren" die willen afwijken van de cloudprovider die via het JEDI-initiatief is geselecteerd, moeten een "Exception Brief" indienen bij de CIO van het DoD, waarin ze uitleggen waarom ze denken dat de door hen vereiste capaciteit niet kan worden geleverd door de General Purpose-cloud.
Hoe zou JEDI kunnen lijden zonder de soevereine steun van US Cloud?
Scenario 1 Minimale impact: Een buitenlandse werknemer die voor Microsoft werkt viaexterne offshore-outsourcers en JEDI ondersteunt via het Microsoft Premier (Unified) Support-contract met het Amerikaanse ministerie van Defensie, ontvangt een 'missiekritiek' supportticket en vertraagt opzettelijk het oplossingsproces met uren of dagen. Dit vertraagt op zijn minst de operationele snelheid van het ministerie van Defensie, maar kan in het ergste geval de missies van uitgezonden militairen in gevaar brengen. De 'Microsoft-medewerker' met een v-card geeft vervolgens de Root Cause Analysis (RCA) door aan de natiestaat waar hij werkelijk werkzaam is, om een kader te creëren voor toekomstige cyberaanvallen op JEDI.
Scenario 2 Matige impact: Een buitenlandse werknemer die voor Microsoft werkt viaexterne offshore-outsourcers, zegt dat hij op afstand toegang nodig heeft tot DoD-systemen om problemen op te lossen en krijgt daarvoor privileges. De 'Microsoft-werknemer' met een v-card gebruikt vervolgens de toegang om de omgeving te compromitteren door malware te plaatsen of gevoelige gegevens door te sluizen naar het land waar hij daadwerkelijk werkzaam is.
Scenario 3 Kritieke impact: Een buitenlandse werknemer van Microsoft, die via eenexterne offshore-outsourcer voor het bedrijf werkt, heeft op afstand toegang gekregen tot JEDI-systemen en brengt langzaam en heimelijk het failover-model in kaart. De 'Microsoft-medewerker' met een v-card gebruikt dit model vervolgens en staat klaar om slapende en onopgemerkte malware te activeren om inloggegevens te stelen en een deel van JEDI of heel JEDI uit te schakelen, waardoor het vermogen van het Amerikaanse ministerie van Defensie om een grotere gecoördineerde cyber- of militaire aanval op de Verenigde Staten te detecteren of erop te reageren, wordt beperkt.
JEDI-beveiliging
Bij een militaire cloud is veiligheid het allerbelangrijkste.
Pentagon-top openbare cloud als een voordeel bij het beveiligen van militaire gegevens en systemen, en de cloudstrategie van het DoD is afgestemd op de bredere cyberstrategie. Het DoD moet moderne beveiligingsmechanismen omarmen die zijn ingebouwd in de platforms van moderne commerciële cloudproviders om de veiligheid van deze grote hoeveelheden gegevens te waarborgen en de informatie te beschermen", aldus het rapport.
De huidige infrastructuur van het Pentagon vormt een veiligheidsrisico. Het rapport onthult dat het ministerie van Defensie het een uitdaging vindt om cyberdreigingen bij te houden. "Door het bezit en beheer van de fysieke hardware die bij lokale datacenters hoort, kan het ministerie onnodige veiligheidsrisico's lopen en middelen verbruiken die anders zouden kunnen worden ingezet om militairen en personeel in andere missiegebieden te ondersteunen", aldus het rapport.
Door te strenge beleidsregels en aanbestedingsprocedures is het voor IT-professionals van het Amerikaanse ministerie van Defensie moeilijk om ervoor te zorgen dat hardware en software op de juiste manier worden bijgewerkt. Openbare cloudleveranciers die lucratieve contracten willen binnenhalen, zullen grondig worden gecontroleerd op hun beveiligingsmogelijkheden.
"Het ministerie van Defensie moet de beveiliging van het cloudnetwerk onafhankelijk testen en beoordelen om de naleving van beveiligingsvoorschriften en de respons op incidenten te controleren, en alle testresultaten van aannemers en derde partijen beoordelen om ervoor te zorgen dat de prestaties en beveiligingsmonitoring voldoende zijn."
Militaire leiders willen de focus van cyberbeveiliging verschuiven van het bewaken van de grenzen van netwerken naar het actief controleren van de toegang tot gegevens. De moderne versleutelingsalgoritmen en sleutelbeheersystemen die in commerciële clouddiensten zijn ingebouwd, en het correct taggen van gegevens, zullen dat mogelijk maken.
Naast het controleren van de toegang tot gegevens, moeten militaire leiders controleren of alle technische ondersteuningsmedewerkers die hun Microsoft-systemen ondersteunen, gescreende Amerikaanse burgers zijn. Dit zorgt ervoor dat de ITAR-voorschriften worden nageleefd en vermindert het risico dat buitenlanders onnodig worden blootgesteld aan JEDI.
Dreigend gevaar – Buitenlanders die JEDI steunen
Microsoft Premier (Unified) ondersteuningsdiensten maken steeds vaker gebruik van externe leveranciers (waaronder, maar niet beperkt tot, Wipro en Tata) om hun eigen team uit te breiden. Federale organisaties hebben ontdekt dat Microsoft contractueel niet kan garanderen dat een buitenlander de ondersteuningslijn niet zal beantwoorden of hun tickets zal afhandelen. Federale, staats- en lokale organisaties stappen over van Microsoft naar US Cloud omwille van soevereiniteit en fiscale verantwoordelijkheid.
In april 2019 werd Wipro (NYSE: WIT), een Indiase leverancier van IT-outsourcing en Microsoft Premier (Unified) ondersteuning, gehackt. Het nieuws werd bekendgemaakt door Krebs on Security. Bronnen beweren dat de tool voor externe toegang ScreenConnect in maart 2019 werd gebruikt om de systemen van Wipro te compromitteren en vervolgens door te gaan met aanvallen op klanten van Wipro in de VS en andere landen. De bron van de aanval is nog onbekend, maar in dezelfde maand dat het nieuws over het datalek bij Wipro bekend werd, vond er een interessante transactie plaats.
Op 4 april 2019 verkocht de Indiase regering 'vijandige' aandelen in Wipro ter waarde van ongeveer 166 miljoen dollar. Volgens dit artikel in De zakelijke normVijandige aandelen worden zo genoemd omdat ze oorspronkelijk in het bezit waren van mensen die naar Pakistan of China zijn geëmigreerd en geen Indiase staatsburgers meer zijn.
"In totaal werden 44,4 miljoen aandelen, die in het bezit waren van de Custodian of Enemy Property for India, verkocht voor 259 roepies per stuk op de Bombay Stock Exchange", meldde The Business Standard. "De kopers waren de staatsbedrijven Life Insurance Corporation of India (LIC), New India Assurance en General Insurance Corporation. LIC"
De recente aankondiging in juni 2019 van Cloud Hopper-aanvallen bracht verschillende prominente providers in gevaar, waaronder Tata, een veelgebruikteexterne personeelsuitbreiding van Microsoft Premier (Unified) ondersteuningsdiensten. Reuters bracht als eerste verslag uit over de aanval. Tata heeft geweigerd commentaar te geven. Er loopt momenteel een Amerikaanse rechtszaak en het Chinese Ministerie van Staatsveiligheid wordt verdacht als bron van de aanval.
Bronnen van Reuters meldden dat de aanvallen plaatsvonden tussen 2014 en 2017 en gericht waren op wereldwijde IT-outsourcingproviders, met als enig doel het stelen van bedrijfsgeheimen van hun klanten. Toevallig werd Tata in 2014 in de VS door Epic Systems aangeklaagd wegens diefstal van intellectueel eigendom en verloor het bedrijf een rechtszaak ter waarde van 420 miljoen dollar.
DoD JEDI-ondersteuningskosten
Het leger wordt beperkt door budgetten. Leiders van het Pentagon zien dat de cloud economische voordelen biedt, zoals veel particuliere ondernemingen inmiddels ook hebben ingezien.
"Het cloud-pay-for-use-model biedt de flexibiliteit om de kosten binnen de IT-portefeuille te optimaliseren en stelt het DoD in staat zich aan te passen aan veranderende prioriteiten, budgettaire omstandigheden en ontwikkelingen in de sector", aldus het rapport. Bestaande systemen die niet "cloud-ready" zijn, maken vaak gebruik van "buitensporige hoeveelheden cloudinfrastructuurmiddelen", waardoor ze minder efficiënt zijn en dus duurder in het gebruik.
Het leger erkent ook, zoals veel bedrijven inmiddels hebben ontdekt, dat het moeilijk is om cloudkosten te voorspellen. Om kostentransparantie te bereiken, zal het leger een "sterk bestuur" moeten implementeren om te controleren hoe applicaties worden ontwikkeld en gegevens worden verzonden en opgeslagen.
"Terwijl we deze normen ontwikkelen, implementeren en vervolgens onze diensten en gegevens beter afstemmen op een bedrijfsoplossing, kunnen we kijken naar geautomatiseerde tools en technieken om de financiële uitvoering van cloudresources nauwkeuriger te volgen."
Net zoals de cloud economische efficiëntie oplevert, doet US Cloud Federal Support Sservices. Organisaties die afhankelijk zijn van Microsoft, zoals het DoD, halveren doorgaans hun kosten wanneer ze overschakelen van Microsoft Unified (voorheen Premier) support naar US Cloud. Deze aanzienlijke besparingen zouden het DoD in staat stellen om binnen het budget te blijven en de bespaarde supportkosten te herverdelen naar waar onze militairen deze het hardst nodig hebben.
Het tempo van de cloud bijhouden
Nu Amerikaanse federale, staats- en lokale overheden cloudserviceplatforms zoals Microsoft Azure en Office 365 gaan gebruiken, komen nieuwe functies en beveiligingsupdates automatisch van Microsoft naar de gebruikers. Dit helpt om de omgeving en gebruikers veiliger te houden, maar zorgt ook voor vaker voorkomende veranderingen. Weten de beheerders welke nieuwe functies eraan komen en wanneer? Zijn er functies in de pijplijn die de bestaande omgeving kunnen verstoren wanneer ze worden uitgerold? Zijn gebruikers op de hoogte van nieuwe functies en hoe ze deze moeten gebruiken? Zo niet, wie geeft dan de training en wanneer?
Het is van cruciaal belang dat de IT-roadmap van een organisatie aansluit bij de roadmap voor clouddiensten van Microsoft. Betrouwbare externe ondersteuningsproviders zoals US Cloud kunnen niet alleen ondersteuning bieden voor bedrijfskritische Microsoft-technologieën zoals OpenAI, maar ook advies- en roadmapdiensten leveren om de investering van de organisatie in de volledige Microsoft-stack te maximaliseren.
Ondersteuning van de Amerikaanse militaire cloud
Eén onderdeel, het JEDI-initiatief, heeft een storm van controverse veroorzaakt in Silicon Valley, met onder meer kritiek van een brancheorganisatie,protesten bij de GAO eneen rechtszaak van Oracletegen de federale overheid.
Hoewel de cloudstrategie van het Amerikaanse ministerie van Defensie veel breder is dan JEDI, heeft het de hulp nodig van zakelijke cloudproviders om troepen in het veld en militaire inlichtingenprofessionals te ondersteunen.
"De cloudstrategie van het Amerikaanse ministerie van Defensie bevestigt opnieuw ons streven naar cloudgebruik en de noodzaak om cloudinitiatieven vanuit een bedrijfsmatig perspectief te bekijken voor een effectievere implementatie", aldus het voorwoord van het document, geschreven door waarnemend minister van Defensie Patrick Shanahan.
"Het ministerie van Defensie (DoD) is het moderne tijdperk van oorlogsvoering binnengetreden, waarin het slagveld zowel in de digitale wereld als in de fysieke wereld bestaat", aldus Shanahan.
"De cloud is een fundamenteel onderdeel van de wereldwijde infrastructuur die militairen van gegevens voorziet en van cruciaal belang is voor het behoud van het technologische voordeel van ons leger."
US Cloud staat klaar met zijn team van 100% Amerikaanse staatsburgers om de Amerikaanse militaire cloud en zijn gebruikersgroep van militairen te ondersteunen. Ondersteuning van soevereiniteit, naleving van ITAR en kostenbesparingen van 30-60% maken US Cloud tot de verantwoorde keuze voor het ministerie van Defensie en de belastingbetalers van de Verenigde Staten.
Soevereine steun – Van vaderland tot slagveld
De cloudomgeving van het Amerikaanse ministerie van Defensie moet militaire operaties ondersteunen, van het slagveld tot het thuisfront.
"We moeten JEDI en het Amerikaanse ministerie van Defensie de Amerikaanse ondersteunende medewerkers geven die ze verdienen om hun missies succesvol te kunnen volbrengen", zegt Robert E. LaMear IV, oprichter van US Cloud. "Het is onverantwoord om buitenlanders toe te laten tot de technische ondersteuningsketen van het land (de VS) en het vormt een onnodig risico voor onze nationale veiligheid."
Een vereiste voor de cloud van het Amerikaanse ministerie van Defensie is de integratie en werking van computeroplossingen die eenvoudig en herhaalbaar zijn voor alle classificatieniveaus. "Hierdoor kunnen militairen datagestuurde beslissingen nemen en kan het ministerie van Defensie beter gegevens delen met bondgenoten en opereren als een coalitietroepenmacht", aldus het rapport.
Het rapport merkt op dat de technologie-industrie grote vooruitgang heeft geboekt op het gebied van offline operaties. "De General Purpose- en Fit For Purpose-clouds van het ministerie zullen profiteren van deze inspanningen om militairen te voorzien van de nieuwste technologie waar en wanneer ze die nodig hebben, ongeacht de omgeving."
De 'robuuste en aanpasbare' apparaten die door strijders in het veld worden gebruikt, moeten automatisch kunnen synchroniseren met de cloud wanneer de communicatie voldoende is of opnieuw tot stand is gebracht.
"Automatische synchronisatie van informatie zorgt ervoor dat militairen gegevens bewaren, deze terugvoeren naar modellen en vechten met de meest recente algoritmen. Door dit in een veilige omgeving te doen, wordt een krachtversterkend effect bereikt en wordt het primaire doel van de cloudomgeving direct ondersteund: informatie-superioriteit."
