Microsoft afferma di aver smesso di avvalersi di ingegneri con sede in Cina per supportare i sistemi di cloud computing del Dipartimento della Difesa, dopo che ProPublica ha rivelato tale pratica in un'inchiesta pubblicata questa settimana .

"In risposta alle preoccupazioni sollevate all'inizio di questa settimana in merito agli ingegneri stranieri supervisionati dagli Stati Uniti, Microsoft ha apportato modifiche al supporto offerto ai clienti del governo statunitense per garantire che nessun team di ingegneri con sede in Cina fornisca assistenza tecnica per i servizi cloud e correlati del Dipartimento della Difesa", ha annunciato venerdì pomeriggio su X Frank Shaw, responsabile delle comunicazioni dell'azienda.

L'annuncio di Microsoft è arrivato poche ore dopo che il Segretario alla Difesa Pete Hegseth aveva dichiarato che la sua agenzia avrebbe esaminato l'utilizzo da parte di Microsoft di ingegneri con sede all'estero per la manutenzione dei sistemi cloud altamente sensibili.

"Agli ingegneri stranieri, di qualsiasi nazionalità, Cina compresa, NON dovrebbe MAI essere consentito di effettuare la manutenzione o di accedere ai sistemi del Dipartimento della Difesa", ha scritto Hegseth in un post su X venerdì.

Nella sua inchiesta, ProPublica ha dettagliato come Microsoft utilizzi ingegneri in Cina per la manutenzione dei sistemi informatici del Dipartimento della Difesa, con una supervisione minima da parte del personale statunitense, lasciando così alcuni dei dati più sensibili del Paese vulnerabili ad attacchi informatici o allo spionaggio da parte del suo principale avversario nel cyberspazio. Questo accordo, fondamentale per l'aggiudicazione da parte di Microsoft dell'appalto federale per il cloud computing una decina di anni fa, si basa sull'impiego di cittadini statunitensi con autorizzazioni di sicurezza per supervisionare il lavoro e fungere da barriera contro lo spionaggio e il sabotaggio.

Ma, come ha scoperto ProPublica, questi lavoratori, noti come "accompagnatori digitali", spesso non possiedono le competenze tecniche necessarie per controllare il lavoro di ingegneri stranieri con capacità ben più avanzate.

Venerdì scorso, il senatore repubblicano Tom Cotton dell'Arkansas, presidente della Commissione ristretta sull'intelligence, ha citato ProPublica in una lettera indirizzata a Hegseth, chiedendo dettagli su quali appaltatori del Dipartimento della Difesa si avvalgano di personale cinese per la manutenzione dei sistemi informatici del dipartimento.

La Cina rappresenta "una delle minacce più aggressive e pericolose per gli Stati Uniti, come dimostrano le sue infiltrazioni nelle nostre infrastrutture critiche, reti di telecomunicazioni e catene di approvvigionamento", ha scritto Cotton nella lettera , che ha pubblicato su X. "Il Dipartimento della Difesa deve proteggersi da tutte le potenziali minacce all'interno della sua catena di approvvigionamento, comprese quelle provenienti dai subappaltatori".

Dal 2011, le aziende di cloud computing come Microsoft che desideravano vendere i propri servizi al governo degli Stati Uniti dovevano stabilire come garantire che il personale che lavorava con dati federali possedesse le necessarie "autorizzazioni di accesso" e fosse sottoposto a controlli sui precedenti. Inoltre, il Dipartimento della Difesa richiede che le persone che gestiscono dati sensibili siano cittadini statunitensi o residenti permanenti.

Ciò ha rappresentato un problema per Microsoft, che si affida a una vasta forza lavoro globale con importanti attività in India, Cina e Unione Europea.

Così il colosso tecnologico si è avvalso di agenzie di reclutamento per assumere degli "accompagnatori digitali" con sede negli Stati Uniti, in possesso di autorizzazioni di sicurezza che consentivano loro di accedere a informazioni sensibili, con il compito di ricevere istruzioni dagli esperti all'estero. Un ingegnere poteva descrivere brevemente il lavoro da svolgere, ad esempio aggiornare un firewall, installare un aggiornamento per correggere un bug o esaminare i log per risolvere un problema. Quindi, senza un'adeguata supervisione, un accompagnatore copiava e incollava i comandi dell'ingegnere nel cloud federale.

"Confidiamo che ciò che stanno facendo non sia fatto con cattiveria, ma in realtà non possiamo esserne certi", ha detto una escort a ProPublica.

In una precedente dichiarazione in risposta all'inchiesta di ProPublica, Microsoft aveva affermato che il suo personale e i suoi collaboratori operano in modo "conforme ai requisiti e alle procedure del governo degli Stati Uniti".

Secondo la dichiarazione, i dipendenti globali dell'azienda "non hanno accesso diretto ai dati o ai sistemi dei clienti". Gli addetti all'assistenza, "in possesso delle autorizzazioni e della formazione appropriate, forniscono supporto diretto. A questo personale viene impartita una formazione specifica sulla protezione dei dati sensibili, sulla prevenzione dei danni e sull'utilizzo dei comandi/controlli specifici presenti nell'ambiente".

Inoltre, Microsoft ha dichiarato di disporre di un processo di revisione interno, noto come "Lockbox", per "assicurarsi che la richiesta sia considerata sicura o che non presenti alcun motivo di preoccupazione".

Insight Global, un'azienda appaltatrice che fornisce servizi di scorta digitale a Microsoft, ha dichiarato di "valutare le capacità tecniche di ogni risorsa durante l'intero processo di colloquio per garantire che possiedano le competenze tecniche richieste" per il lavoro e di fornire la formazione necessaria.

Per saperne di più