JWCC-contract roept vragen op over cyberbeveiliging en antitrustwetgeving.

In 2019 kende het Amerikaanse ministerie van Defensie een contract voor cloud computing ter waarde van 10 miljard dollar toe aan Microsoft, bekend als het 'War Cloud'- of JEDI-contract. Het doel van het contract was om de technologische infrastructuur van het Pentagon te moderniseren en militaire operaties te verbeteren. Het JEDI-contract werd in 2022 geannuleerd, maar een nieuw contract, het Joint Warfighting Cloud Capability (JWCC), neemt dit jaar zijn plaats in.

Het contract heeft echter tot bezorgdheid geleid bij het Congres en functionarissen van het ministerie van Defensie over mogelijke gevolgen voor de cyberveiligheid en schendingen van de antitrustwetgeving, aangezien Microsoft steeds meer wordt ingezet voor cyberbeveiligingsinstrumenten en -diensten. Dit sluit andere leveranciers uit en brengt potentiële veiligheidsrisico's met zich mee, omdat zoveel cyberbeveiligingsoplossingen bij één bron zijn ondergebracht.

Het contract voor 'War Cloud' ter waarde van 10 miljard dollar werd in oktober 2019 door het Pentagon aan Microsoft gegund, dat Amazon Web Services versloeg in een competitief biedingsproces. Het doel van het contract was om het Pentagon te helpen bij het moderniseren van zijn technologiesystemen en het verbeteren van zijn militaire operaties, infrastructuur en gegevensopslag. Dit jaar is het contract vervangen door het JWCC, dat de voorkeur geeft aan een breder netwerk voor meerdere cloudleveranciers.

Dit is echter misschien niet voldoende. Het einde van het JEDI-programma leidde tot behoorlijk wat weerstand onder leden van het Pentagon, aangezien de afhankelijkheid van Microsoft blijft toenemen. Zelfs nu, onder het nieuwe contract, lijkt er een te grote afhankelijkheid te zijn van Microsoft-clouddiensten om het zware werk te verrichten. Geld besparen is mooi, maar niet als dat ten koste gaat van de veiligheid en het ontstaan van een monopolie.

Het JEDI-contract was slechts een van de vele manieren waarop de overheid vertrouwt op Microsoft voor het beheer van de cyberbeveiliging van het Amerikaanse leger, iets wat de komende jaren nadelen zou kunnen hebben naarmate de prijzen voor deze diensten blijven stijgen. Overmatige afhankelijkheid van één enkele entiteit voor essentiële beveiligingsoplossingen sluit niet alleen concurrentie uit van oplossingen die mogelijk superieur zijn, maar leidt ook tot potentiële risico's voor de gegevensopslag.

Het cloudcontract van het ministerie van Defensie deed ook de vrees ontstaan voor mogelijke veiligheidsrisico's, een vrees die ook bij andere aspecten van het huidige gebruik van de dienst leeft. De gegevens van het Pentagon zouden worden verplaatst naar een commerciële cloud, waardoor gevoelige informatie het risico zou lopen op datalekken, cyberaanvallen of ongeoorloofde toegang. De eerdere betrokkenheid van Microsoft bij overheidscontracten en zijn relatie met overheidsfunctionarissen leidden ook tot bezorgdheid over schendingen van de antitrustwetgeving.

Het ministerie van Defensie heeft in april 2019 een onderzoek gestart naar het JEDI-contract om mogelijke antitrustkwesties te beoordelen. Er loopt ook een onderzoek naar de veiligheidsimplicaties van het contract. Eerlijke en open concurrentie, met name op het gebied van cyberbeveiligingsoplossingen, moet gebaseerd zijn op verdiensten en gebruik, en niet alleen op gemak. Momenteel komen de zorgen rond het JWCC voort uit het feit dat het grootste deel van de cloudassets en besturingssystemen onder de paraplu van Microsoft vallen.

Bezorgdheid over het JEDI-contract zette het Congres ertoe aan actie te ondernemen. In november 2019 verzocht het Congres om een evaluatie van de mogelijke veiligheidsrisico's die aan het contract verbonden waren en riep het op tot meer transparantie in het aanbestedingsproces. Microsoft en het ministerie van Defensie kwamen in actie om deze bezorgdheid weg te nemen door de nadruk te leggen op veiligheidsprotocollen en concurrentie in de technologiesector te bevorderen. Microsoft bracht ook een verklaring uit waarin het zijn toewijding aan het ondersteunen van de nationale veiligheid benadrukte. Maar zelfs nu JEDI is beëindigd en vervangen door JWCC, blijven er zorgen bestaan over de macht die Microsoft binnen de regering heeft.

Sinds 2017 gebruikt het Amerikaanse ministerie van Defensie uitsluitend het besturingssysteem Microsoft Windows op al zijn meer dan vier miljoen computers en maakt het steeds vaker gebruik van de Azure-cloudcomputingservices van Microsoft. Het merendeel van het actieve en reserve militair personeel gebruikt Microsoft-programma's zoals Outlook of Office. Nu gebruikt de overheid ook Microsoft Defender for Endpoint. Nu het aantal gebruiksscenario's toeneemt en concurrenten buiten spel worden gezet, lijkt het erop dat Microsoft zijn zinnen heeft gezet op een volledig softwaremonopolie bij de overheid.

Het JWCC-contract van het Pentagon met Microsoft heeft tot grote bezorgdheid geleid over mogelijke veiligheidsrisico's en schendingen van de antitrustwetgeving. Het Congres reageerde op JEDI met een oproep tot meer transparantie en verantwoordingsplicht in het aanbestedingsproces, terwijl Microsoft en het ministerie van Defensie zich inspanden om deze bezwaren weg te nemen.

Nu staat er meer op het spel, omdat het huidige JWCC-contract op het eerste gezicht aantrekkelijker lijkt voor meer cloudleveranciers, maar onder de oppervlakte schuilt een zee van Microsoft-producten en -controles. Er liggen tal van opties op tafel, maar als je gewend bent om dezelfde software te gebruiken, is het moeilijk om over te stappen.

Als het Amerikaanse ministerie van Defensie binnenkort nog meer gebruik gaat maken van Microsoft, zullen concurrenten worden buitengesloten. Het is de verantwoordelijkheid van de overheid om volledige en open concurrentie te waarborgen en de wet op dat gebied te handhaven. Het delegeren van beslissingsbevoegdheid op het gebied van cyberbeveiliging aan een derde partij leidt tot te veel problemen en te weinig oplossingen, ongeacht de mate van controle. Door dit over te laten aan een derde partij zoals Microsoft, wordt de macht van de overheid weggenomen en dat moet worden afgekeurd, ook al maakt het hun leven gemakkelijker. Bij beveiliging gaat het niet om gebruiksgemak, maar om effectiviteit.