Nya avslöjanden visar hur Microsofts säkerhetspaket “GCC High” godkändes för statligt bruk, trots år av allvarliga varningar och interna sågningar.
Det är inte varje dag man ser federala cybersäkerhetsexperter använda ordet ”skit” i officiella rapporter, men för Microsofts räkning gjordes tydligen ett undantag. En granskning från ProPublica visar nu att mjukvarujättens molnlösning för extremt känslig data, Government Community Cloud High (GCC High), fick grönt ljus av myndigheten FedRAMP – trots att granskarna saknade förtroende för systemets säkerhet.
En “hög med spaghettipajer”
Problemen verkar ha pågått sedan 2020. Granskarna tjatade i åratal på Microsoft om att få se detaljerade flödesscheman över hur data krypteras när den hoppar mellan servrar. Svaret? Enligt uppgifter ska Microsoft ha tyckt det var för “utmanande” att rita upp.
En granskare jämförde systemets arkitektur med en ”hög av spaghettipajer”. Istället för en rak och säker motorväg för data, liknade processen en rörig resa med både buss, färja och flyg – där varje byte innebär en risk för hackare att kliva ombord.
”BOOM SHAKA LAKA”
Trots att experterna konstaterade att de inte kunde bedöma den faktiska säkerheten, rullade myndigheterna ut systemet ändå. Varför? För att det redan användes så flitigt att det ansågs för dyrt och krångligt att backa.
När godkännandet väl kom firade Microsofts säkerhetsarkitekt på nätet med ett kaxigt ”BOOM SHAKA LAKA” och ett meme på Leonardo DiCaprio. Samtidigt varnar oberoende experter för att det som pågår inte är riktig säkerhet, utan snarare ”säkerhetsteater”.
Svängdörrar i Washington
Som grädde på moset har flera nyckelpersoner från myndighetssidan, som tidigare satt och godkände Microsofts lösningar, nu rekryterats till toppjobb hos just – trumvirvel – Microsoft. Bland annat har den tidigare chefen för IT-säkerhet på justitiedepartementet och den tidigare biträdande riksåklagaren bytt sida.
Det ser ut som att “molnet” inte bara innehåller data, utan även en hel del tveksamma genvägar och lukrativa karriärsteg.