Intégrer la "vigilance proactive" dans la chaîne d'approvisionnement high-tech du Pentagone

Dans le domaine de la défense nationale, les erreurs de la chaîne d’approvisionnement, lorsqu’elles sont détectées trop tard, peuvent être massives et difficiles à surmonter. Et pourtant, le Pentagone n’est pas très désireux de mettre en œuvre des systèmes de détection plus proactifs, un processus potentiellement coûteux consistant à tester de manière aléatoire les assurances des sous-traitants.

Mais ce manque de « vigilance proactive » peut avoir des coûts importants. Dans les cas de construction navale, de l’acier non conforme aux spécifications – un composant essentiel – a été utilisé sur les sous-marins de la marine américaine pendant deux décennies avant que le Pentagone ne prenne connaissance des problèmes. Plus récemment, des arbres hors spécifications à bord du patrouilleur offshore de la Garde côtière a dû être installé et supprimé— une perte de temps et d'argent embarrassante, tant pour les entrepreneurs que pour les clients gouvernementaux.

Si ces problèmes avaient été détectés tôt, le coup porté à court terme aux bénéfices ou au calendrier aurait plus que compensé les dommages plus larges d’une défaillance complexe et à long terme de la chaîne d’approvisionnement.

En d’autres termes, les fournisseurs peuvent bénéficier de tests externes rigoureux et de tests de conformité plus rigoureux, voire aléatoires.

Peter Kassabov, fondateur de Fortress Information Security, s'exprimant lors d'un Podcast du rapport sur la défense et l'aérospatiale plus tôt cette année, a noté que les attitudes changent et que de plus en plus de dirigeants de la défense commenceront probablement à considérer « la chaîne d’approvisionnement non seulement comme un catalyseur, mais aussi comme un risque potentiel ».

Une réglementation protectrice est encore en cours d’élaboration. Mais pour inciter les entreprises à prendre plus au sérieux la vigilance proactive de leur chaîne d’approvisionnement, elles pourraient être confrontées à des incitations plus importantes, à des sanctions plus lourdes, voire à l’obligation pour les dirigeants des principaux donneurs d’ordre d’être personnellement responsables des dommages.

Les anciens régimes de conformité se concentrent sur d’anciens objectifs

De plus, le cadre de conformité de la chaîne d'approvisionnement du Pentagone, tel qu'il existe, reste axé sur la garantie de l'intégrité physique fondamentale des composants structurels de base. Et tandis que les systèmes de contrôle qualité actuels du Pentagone sont à peine capables de détecter des problèmes physiques concrets, le Pentagone a vraiment du mal à faire respecter les normes d'intégrité actuelles du ministère de la Défense pour l'électronique et les logiciels.

La difficulté d’évaluer l’intégrité de l’électronique et des logiciels constitue un gros problème. De nos jours, les équipements et logiciels utilisés dans les « boîtes noires » militaires sont bien plus critiques. En tant que général de l'armée de l'air expliqué en 2013, « Le B-52 a vécu et est mort grâce à la qualité de sa tôle. Aujourd’hui, nos avions vivront ou mourront grâce à la qualité de nos logiciels.

Kassabov fait écho à cette préoccupation, avertissant que « le monde change et que nous devons changer nos défenses ».

Certes, même si les spécifications « à l'ancienne » des boulons et des attaches restent importantes, le logiciel est réellement au cœur de la proposition de valeur de presque toutes les armes modernes. Pour le F-35, une arme électronique et une passerelle clé d’information et de communication sur le champ de bataille, le Pentagone devrait être bien plus à l’écoute des contributions chinoises, russes ou autres contributions douteuses à des logiciels critiques qu’il ne pourrait l’être dans la détection de certains alliages d’origine chinoise.

Non pas que le contenu national des composants structurels manque d’importance, mais à mesure que la formulation des logiciels devient plus complexe, soutenue par des sous-programmes modulaires omniprésents et des éléments de base open source, le potentiel de méfait augmente. En d’autres termes, un alliage d’origine chinoise ne fera pas tomber un avion à lui seul, mais un logiciel corrompu d’origine chinoise introduit très tôt dans la production du sous-système pourrait le faire.

La question mérite d'être posée. Si les fournisseurs des systèmes d'armes les plus prioritaires aux États-Unis négligent quelque chose d'aussi simple que les spécifications de l'acier et des arbres, quelles sont les chances que des logiciels nuisibles et hors spécifications soient involontairement contaminés par un code troublant ?

Le logiciel a besoin de plus d’examen

Les enjeux sont élevés. L'année dernière, le rapport annuel Les testeurs d’armes du Pentagone du Bureau du directeur des tests opérationnels et de l’évaluation (DOT&E) ont averti que « la grande majorité des systèmes du DOD sont extrêmement gourmands en logiciels. La qualité des logiciels et la cybersécurité globale du système sont souvent les facteurs qui déterminent l'efficacité opérationnelle et la capacité de survie, et parfois la létalité.

« La chose la plus importante que nous puissions sécuriser est le logiciel qui permet ces systèmes, explique Kassabov. « Les fournisseurs de défense ne peuvent pas se contenter de se concentrer et de s’assurer que le système ne vient pas de Russie ou de Chine. Il est plus important de comprendre réellement quel est le logiciel à l’intérieur de ce système et comment ce logiciel est éventuellement vulnérable.

Mais les testeurs ne disposent peut-être pas des outils nécessaires pour évaluer le risque opérationnel. Selon le DOT&E, les opérateurs demandent à quelqu'un au Pentagone de « leur expliquer quels sont les risques de cybersécurité et leurs conséquences potentielles, et de les aider à concevoir des options d'atténuation pour lutter contre une perte de capacité ».

Pour y parvenir, le gouvernement américain s’appuie sur des entités critiques et discrètes comme le Institut National des Standards et de la technologie, ou NIST, pour générer des normes et d'autres outils de conformité de base nécessaires à la sécurisation des logiciels. Mais le financement n’est tout simplement pas là. Mark Montgomery, directeur exécutif de la Cyberspace Solarium Commission, a été occupé, avertissement que le NIST aura du mal à faire des choses comme publier des conseils sur les mesures de sécurité pour les logiciels critiques, élaborer des normes minimales pour les tests de logiciels ou guider la sécurité de la chaîne d'approvisionnement « avec un budget qui, depuis des années, oscille à un peu moins de 80 millions de dollars ».

Aucune solution simple n’est en vue. Les directives « back-office » du NIST, associées à des efforts de conformité plus agressifs, peuvent aider, mais le Pentagone doit s'éloigner de l'approche « réactive » démodée de l'intégrité de la chaîne d'approvisionnement. Certes, s’il est formidable de détecter les échecs, il est de loin préférable que des efforts proactifs visant à maintenir l’intégrité de la chaîne d’approvisionnement soient lancés dès le deuxième moment. Les sous-traitants de la défense commencent d’abord à élaborer un code lié à la défense.