Selama hampir satu dekade, Microsoft telah menggunakan insinyur di Tiongkok untuk mempertahankan sistem komputer Departemen Pertahanan yang sensitif, sebuah praktik yang bergantung pada solusi berisiko tinggi yang tampaknya tidak diketahui oleh pejabat tinggi Pentagon.
a Investigasi ProPublica mengungkapkan bahwa warga negara AS dengan izin keamanan, dijuluki”Digital Escorts,”mengawasi tenaga kerja asing ini. Cacat kritis? Pengawalan ini sering tidak memiliki keahlian teknis untuk mendeteksi kode berbahaya, membuat data keamanan nasional yang vital rentan.
Laporan tersebut telah memicu kejatuhan langsung. Mantan Kepala Petugas Informasi DOD John Sherman menyatakan keheranannya, menyatakan, “Saya mungkin seharusnya tahu tentang ini.”Sentimen ini dibagikan oleh mantan pemimpin keamanan nasional lainnya yang melihat kerentanan yang mencolok. David Mihelcic, mantan CTO di Badan Sistem Informasi Pertahanan (DISA), dengan blak-blakan menilai risikonya:”Di sini Anda memiliki satu orang yang benar-benar tidak Anda percayai karena mereka mungkin dalam dinas intelijen Tiongkok, dan orang lain tidak benar-benar mampu.”
KEPAJAAN RESSOUS TERJADI DAN KEGAGALAN KEBANYAAN OVERVERIGHT
Kesenjangan keterampilan dipanggang ke dalam sistem sejak awal. Iklan pekerjaan dari kontraktor Microsoft mencari pengawalan hanya dengan $ 18 per jam, memprioritaskan izin keamanan daripada pengetahuan teknis yang mendalam. Ini menciptakan skenario di mana pengawas yang kurang memenuhi syarat ditugaskan untuk mengawasi insinyur elit.
Proses tersebut sering melibatkan pengawalan pada tim Microsoft yang disebut hanya menyalin dan menempelkan perintah dari insinyur Cina ke jaringan federal. Sebagai seorang mantan insinyur Microsoft, Matthew Erickson, menjelaskan,”Jika seseorang menjalankan skrip yang disebut’fix_server.sh’tetapi sebenarnya melakukan sesuatu yang berbahaya maka [pengawalan] tidak akan tahu.”Kegagalan pengawasan tampak mendalam; Seorang juru bicara DISA pada awalnya mengatakan kepada ProPublica, “Secara harfiah tidak ada yang tahu apa-apa tentang ini, jadi saya tidak tahu ke mana harus pergi dari sini.”
laba atas keamanan: pola yang akrab di Microsoft
Untuk banyak pengamat, episode ini bukanlah kesalahan yang lebih baik dari Microsoft, tetapi bagian dari pola yang sulit di Microsoft. Praktik ini berlanjut bahkan setelah peretas yang disponsori negara Cina melanggar cloud perusahaan pada tahun 2023.
Serangan itu, yang mengganggu sekitar 60.000 email Departemen Luar Negeri, menghasilkan Laporan Pahat dari papan peninjauan keamanan cyber pemerintah . Dewan menyalahkan”kaskade kesalahan yang dapat dihindari”dan budaya perusahaan yang “membuat keamanan yang tertanam” di Microsoft untuk pelanggaran.