Quello che è successo

Il Dipartimento della Difesa ha inasprito i requisiti di sicurezza informatica per le aziende tecnologiche che vendono servizi di cloud computing al Pentagono.

Gli aggiornamenti, pubblicati questo mese, vietano ai fornitori di servizi IT di impiegare personale con sede in Cina per lavorare sui sistemi informatici dei dipartimenti e impongono alle aziende di conservare una documentazione digitale completa degli interventi di manutenzione effettuati dai propri tecnici all'estero.

Sfondo

Le modifiche fanno seguito a un'inchiesta di ProPublica che ha rivelato come Microsoft abbia utilizzato ingegneri con sede in Cina per la manutenzione dei sistemi informatici governativi per quasi un decennio, una pratica che ha reso alcuni dei dati più sensibili del Paese vulnerabili agli attacchi informatici del suo principale avversario.

I supervisori con sede negli Stati Uniti, noti come "accompagnatori digitali", avrebbero dovuto fungere da controllo su questi dipendenti stranieri, ma abbiamo scoperto che spesso non possedevano le competenze necessarie per supervisionare efficacemente ingegneri con capacità tecniche di gran lunga superiori alle loro.

Ciò che hanno detto

Il Dipartimento della Difesa ora afferma nella sua " Guida ai requisiti di sicurezza " che solo il "personale proveniente da paesi non avversari" può lavorare sui suoi sistemi cloud e che le persone che accompagnano questi lavoratori stranieri "devono essere tecnicamente qualificate nel codice/sistema o nella tecnologia a cui forniscono accesso".

Inoltre, i fornitori di servizi cloud devono mantenere registri di controllo dettagliati, una traccia digitale delle azioni eseguite nei sistemi informatici. I registri "devono includere l'identificazione dell'accompagnatore e dell'accompagnato", compreso il paese di origine, nonché i dettagli dei comandi eseguiti e delle impostazioni modificate.

Perché è importante

Fino alla pubblicazione del nostro articolo, alti funzionari del Pentagono avevano dichiarato di non essere a conoscenza del sistema di scorta digitale di Microsoft, sviluppato dall'azienda come soluzione alternativa a un requisito del Dipartimento della Difesa che imponeva che le persone che gestivano dati sensibili fossero cittadini statunitensi o residenti permanenti.

Esperti di sicurezza informatica e intelligence hanno dichiarato a ProPublica che l'accordo comporta gravi rischi per la sicurezza nazionale, dato che le leggi cinesi conferiscono ai funzionari del Paese ampi poteri di raccolta dati. A loro volta, importanti membri del Congresso hanno chiesto al Dipartimento della Difesa di rafforzare i requisiti di sicurezza, criticando aspramente Microsoft per quello che alcuni repubblicani hanno definito "un tradimento nazionale".

Il Pentagono sta conducendo un'indagine sul programma di scorta digitale , concentrandosi sugli ingegneri di Microsoft con sede in Cina.

Risposta

In seguito alle inchieste di ProPublica, a luglio Microsoft ha annunciato che avrebbe smesso di avvalersi di ingegneri con sede in Cina per la manutenzione dei sistemi cloud del Dipartimento della Difesa. In una dichiarazione rilasciata per questo articolo, un portavoce ha affermato che l'azienda si impegna ad attuare i nuovi requisiti del dipartimento.

"Il nostro impegno per la sicurezza nazionale è fondamentale e restiamo concentrati nel fornire al governo degli Stati Uniti i servizi più sicuri possibili", ha dichiarato il portavoce. "Recentemente abbiamo apportato modifiche al nostro modello di supporto al Dipartimento e continueremo a collaborare con i nostri partner per la sicurezza nazionale al fine di valutare e adeguare i nostri protocolli di sicurezza alla luce delle nuove direttive."

Per saperne di più