A soberania do suporte em nuvem dos EUA garante que não haja estrangeiros para conformidade com o governo, o Departamento de Defesa e o setor aeroespacial.

A SOBERANIA DO SUPORTE EM NUVEM DOS EUA GARANTE QUE NENHUM ESTRANGEIRO ESTEJA EM CONFORMIDADE COM O GOVERNO, O DEPARTAMENTO DE DEFESA E O SETOR AEROESPACIAL

A suporte à soberania na US Cloud garante a TODOS OS CIDADÃOS DOS EUA suporte da Microsoft para conformidade com os governos federal, estadual e local, o Departamento de Defesa e o setor aeroespacial. O suporte à soberania evita riscos desnecessários, sem acesso de estrangeiros a sistemas de TI seguros, ao mesmo tempo em que oferece suporte a todas as tecnologias MSFT.

Público-alvo: Contratação e aquisição no setor público | Executivos governamentais, do Departamento de Defesa e de TI aeroespacial

Risco desnecessário

Grande parte do suporte Premier/Unified da Microsoft é terceirizado e prestado por cidadãos estrangeiros. Para muitas agências federais, empreiteiras de defesa e empresas aeroespaciais, isso introduz riscos desnecessários de exfiltração de dados, ransomware e espionagem.

«Inserir cidadãos estrangeiros na cadeia de abastecimento de suporte técnico do país (EUA) é irresponsável e representa um risco desnecessário para a nossa propriedade intelectual e segurança nacional.»

— Robert E. LaMear IV, FUNDADOR, US CLOUD

Integridade comprometida

Nos sistemas de TI do governo, do Departamento de Defesa ou do setor aeroespacial, a segurança é uma preocupação primordial.

Conforme mencionado anteriormente, a Microsoft não pode garantir que um cidadão estrangeiro não prestará serviços de suporte da Microsoft aos seus clientes governamentais. Em dezembro de 2019, a enorme violação de dados de suporte da Microsoft resultou na exposição de informações do sistema, registos e tickets de milhares de clientes do Microsoft Premier Support. Há uma boa chance de que algumas das informações do sistema obtidas com a violação de dados tenham aumentado o sucesso de vários ataques recentes de alto perfil à Microsoft em 2021.

Para ser justo com a Microsoft, que terceiriza boa parte do seu suporte Premier/Unified no exterior, parece provável que a violação de dados do suporte Premier tenha sido causada por um parceiro de terceirização no exterior, e não pela própria Microsoft. Houve três grandes conclusões a partir da violação de dados do Suporte Premier da Microsoft:

1. As bases de dados de suporte violadas não estavam encriptadas (não parece algo que um profissional da MSFT faria).
2. As cinco bases de dados de suporte estavam na nuvem pública Azure multi-tenant (região não divulgada; pode ter sido fora dos EUA?).
3. As bases de dados de suporte não foram podadas para limitar o intervalo de vários anos. (2005-2019 exposto)

Supremacia no suporte

O Pentágono comunicou a sua expectativa de superioridade militar em terra, ar, mar, espaço e ciberespaço. O programa Joint Warfighter Cloud Capability (JWCC) permitirá ao Departamento de Defesa modernizar rapidamente os sistemas e aproveitar a nuvem, a aprendizagem automática e a IA para o sucesso das missões.

O Pentágono poderia usar a soberania do suporte de TI da US Cloud para estender a superioridade militar à cadeia de fornecimento de suporte da Microsoft para o JWCC e outros ambientes de segurança ativos do Departamento de Defesa. A US Cloud garantirá contratualmente que todos os registos e tickets de suporte criptografados permaneçam nos EUA e que todo o pessoal de suporte que trabalha com tickets de help desk seja rigorosamente selecionado entre cidadãos americanos.

O suporte US Cloud Premier para todas as tecnologias Microsoft oferece tempos de resposta 4 vezes mais rápidos do que a MSFT, bem como os únicos SLAs com garantia financeira do setor. Todos os clientes governamentais federais, estaduais e locais desfrutam dos benefícios de um suporte superior, além de economias significativas no orçamento. O Departamento de Estado dos EUA economizou 38%. O Departamento do Trabalho dos EUA economizou 42%. A Agência de Proteção Ambientaleconomizou 53% e US$ 7,5 milhões nos próximos cinco anos com o suporte soberano da US Cloud.

Nuvem Azure para o setor público

A Microsoft está a atender aos requisitos do Departamento de Defesa dos EUA (DoD) em relação à soberania de dados e a garantir que os seus centros de dados federais em nuvem nos EUA sejam operados apenas por cidadãos americanos selecionados. No entanto, a Microsoft não garante que, quando uma entidade do DoD ligar para o suporte técnico do Office 365, Azure ou outro produto da Microsoft, a pessoa do outro lado da linha não seja um cidadão estrangeiro.

Microsoft Azure para o Quadro de Adoção da Nuvem Governamental

A US Cloud desempenha um papel fundamental na fase de manutenção do Azure for Gov para atender às entidades do Departamento de Defesa, federais, estaduais, locais e aeroespaciais.

E embora a maioria das questões abrangidas pelo Suporte Microsoft Premier (Unificado) sejam bastante rotineiras e não críticas para a agência, podem ocorrer e ocorrerão incidentes que expõem informações confidenciais ao pessoal de suporte.

É irresponsável arriscar desnecessariamente um cidadão estrangeiro a trabalhar num ticket de suporte do Microsoft Azure Gov Cloud e possivelmente causar danos irreparáveis.

Suporte de proteção

Os serviços de suporte Microsoft Premier (Unified) estão cada vez mais a recorrer a fornecedores terceirizados (incluindo, entre outros, Wipro e Tata) para reforçar a sua própria equipa. Organizações do Departamento de Defesa, federais, de inteligência, governamentais estaduais/locais e aeroespaciais descobriram que, contratualmente, a Microsoft não garante que um cidadão estrangeiro não atenda a linha de suporte ou trabalhe nos seus tickets. Muitas estão a mudar da Microsoft para a US Cloud para proteger melhor a sua missão, os seus constituintes e o seu orçamento.

Em abril de 2019, a Wipro (NYSE: WIT), fornecedora indiana de serviços de outsourcing de tecnologia da informação (TI) e suporte Microsoft Premier (Unified), foi alvo de um ataque cibernético. A notícia foi divulgada pelo Krebs on Security. Fontes afirmam que a ferramenta de acesso remoto ScreenConnect foi usada em março de 2019 para comprometer os sistemas da Wipro e, em seguida, atacar os clientes da Wipro nos EUA e em outros países. A origem do ataque ainda é desconhecida, mas uma transação interessante ocorreu no mesmo mês em que a notícia da violação de dados da Wipro veio a público.

Risco de nação estrangeira – Em 4 de abril de 2019, o governo da Índia vendeu ações «inimigas» da Wipro no valor aproximado de US$ 166 milhões. De acordo com este artigo do The Business Standard, as ações inimigas são assim chamadas porque eram originalmente detidas por pessoas que migraram para o Paquistão ou a China e não são mais cidadãos indianos.

«Um total de 44,4 milhões de ações, que estavam na posse do Custódio de Propriedades Inamicas da Índia, foram vendidas a 259 rúpias cada na Bolsa de Valores de Bombaim», informou o The Business Standard. «Os compradores foram a estatal Life Insurance Corporation of India (LIC), a New India Assurance e a General Insurance Corporation LLC.»

Ataques de nações estrangeiras – O anúncio, em junho de 2019, dos ataques Cloud Hopper comprometeu vários fornecedores proeminentes, incluindo a Tata, uma extensão de pessoal terceirizada comumente usada dos serviços de suporte Microsoft Premier (Unified). A Reuters foi a primeira a noticiar o ataque. A Tata se recusou a comentar. Uma acusação nos EUA está pendente e o Ministério de Segurança do Estado chinês é suspeito de ser a origem do ataque.

Fontes da Reuters afirmaram que os ataques ocorreram entre 2014 e 2017 e tinham como alvo fornecedores globais de outsourcing de TI, com o único objetivo de roubar segredos comerciais dos seus clientes. Coincidentemente, em 2014, a Tata foi processada pela Epic Systems nos EUA por roubo de propriedade intelectual e perdeu um julgamento no valor de 420 milhões de dólares.

JEDI substituído por JWCC

A disputa sobre um projeto de computação em nuvem ainda não parece ter chegado ao fim. O Pentágono afirmou num comunicado de imprensa que ainda precisa de capacidade de nuvem em escala empresarial e anunciou um novo contrato com vários fornecedores, conhecido como Joint Warfighter Cloud Capability (JWCC). A agência disse que planeia solicitar propostas da Amazon e da Microsoft para o contrato, acrescentando que elas são as únicas prestadoras de serviços em nuvem que podem atender às suas necessidades. Mas, acrescentou, continuará a fazer pesquisas de mercado para ver se outras empresas também poderiam atender às suas especificações.

«As necessidades da missão têm sido o nosso principal motivador nisto», afirmou John Sherman, diretor de informação interino do Departamento de Defesa dos EUA.

O Pentágono afirmou que o fornecedor de serviços em nuvem para o novo contrato terá de cumprir vários critérios, como trabalhar em todosos trêsníveis de classificação (ou seja, não classificado, secreto ou ultra-secreto), estar disponível em todo o mundo e ter controlos de cibersegurança de alto nível.

A agência disse que espera que o valor do novo contrato seja da ordem de vários bilhões, embora ainda esteja a determinar o valor máximo. Ela espera que o contrato tenha duração de até cinco anos, incluindo um período base de desempenho de três anos e dois períodos opcionais de um ano.

O Pentágono espera que o JWCC «seja uma ponte para a nossa abordagem de longo prazo», disse Sherman. Ele afirmou que o departamento espera fazer as recompensas diretas por meio do contrato por volta de abril de 2022 e abrir uma competição mais ampla já em 2025.

Assuntos Externos da JWCC

O suporte da Microsoft terceirizado para fornecedores no exterior é normalmente identificado em e-mails como um V-dash. Se vir um e-mail da Microsoft com V-dash a trabalhar no seu ticket de suporte Premier/Unified, é provável que os seus dados, ticket e pessoal de suporte estejam fora dos EUA, comprometendo a conformidade da sua organização.

V-dash: Um fornecedor que trabalha com a Microsoft e que também pode ter um endereço de e-mail temporário da Microsoft precedido pelo prefixo «V-». Também chamado de «Green Badge» devido à cor dos crachás físicos emitidos pela Microsoft quando se encontra no campus da empresa.

A JWCC é um bom exemplo de como o suporte terceirizado da Microsoft também pode colocar em risco a missão da sua organização.

Cenário 1 Impacto mínimo: Um cidadão estrangeiro que trabalha para a Microsoft através de seus terceirizados offshore e apoia o programa Joint Warfighter Cloud Capability (JWCC) através do seu contrato de suporte Microsoft Premier (Unified) com o Departamento de Defesa dos EUA (DoD) recebe um ticket de suporte de gravidade "crítica para a missão" e atrasa propositadamente o processo de resolução por horas ou dias. No mínimo, isso retarda a velocidade operacional do Departamento de Defesa, mas, no máximo, ameaça as missões dos combatentes destacados. O «funcionário da Microsoft» com um cartão de visita virtual então repassa a Análise da Causa Raiz (RCA) ao Estado-nação de seu verdadeiro empregador para criar uma estrutura para futuros ataques cibernéticos ao JWCC.

Cenário 2 Impacto moderado: Um cidadão estrangeiro que trabalha para a Microsoft através de seus terceirizados offshore afirma que precisa de acesso remoto aos sistemas do Departamento de Defesa para solucionar problemas e recebe privilégios. O "funcionário da Microsoft" com um cartão virtual usa então o acesso para comprometer o ambiente, plantando malware ou roubando dados confidenciais para o país onde realmente trabalha.

Cenário 3 Impacto grave: Um cidadão estrangeiro que trabalha para a Microsoft através de seus terceirizados offshore obteve acesso remoto aos sistemas do JWCC e está, lenta e secretamente, mapeando seu modelo de failover. O «funcionário da Microsoft» com um cartão virtual usa então esse modelo e está pronto para ativar malware dormente e não detetado para roubar credenciais e derrubar uma parte ou todo o JWCC, limitando a capacidade do Departamento de Defesa de detetar ou responder a um ataque cibernético ou militar coordenado de maior magnitude contra os Estados Unidos.

Preservação do orçamento

As organizações do Departamento de Defesa, federais, de inteligência, governamentais estaduais/locais e aeroespaciais estão todas sobrecarregadas com dívidas técnicas e sistemas legados. Elas precisam se modernizar e investir em novas tecnologias para levar adiante as suas missões.

A US Cloud devolve imediatamente 30-50% das despesas com o Suporte Premier (Unificado) da Microsoft ao orçamento no primeiro ano. Como o Microsoft Unified é impulsionado principalmente pelo crescimento do consumo da nuvem MSFT, as previsões para cinco anos revelam economias ainda maiores com a US Cloud.

A poupança típica nos anos 2 a 5 é superior a 250%. Não é incomum que organizações maiores obtenham uma poupança superior a 300% ao longo de 5 anos e milhões de dólares liberados para investir em inovação e impulsionar as suas missões.

Veículos contratuais

O Suporte Premier para Nuvem dos EUA para o Governo atende às necessidades de: governo federal, governo estadual, governo local, aeroespacial, saúde/hospitais, educação/escolas e laboratórios de pesquisa.

Compras eletrónicas: SAP Ariba, GSA, Exostar

Perfil da empresa na nuvem dos EUA: Pequena empresa certificada registada no SAM.gov, MPIN 86137652R, Código do escritório da SBA 0768, DUNS# 78-462-6355, NAICS 541511, PSC AJ26, CAGE 4XKR3, NIGP 920-45-84, País 189, Distrito congressional 02, Área estatística metropolitana 7040

Veículos contratuais: NASPO, GSA, GWAC, IDIQ

Verificação de antecedentes: DD254, DHS E-Verify