Expertos en ciberseguridad del Gobierno de EEUU califican la nube de Microsoft (GCC) como "una porquería" por no garantizar la protección adecuada en su plataforma.

Expertos federales de ciberseguridad estadounidenses han mostrado una gran preocupación por la oferta en la nube de Microsoft, que actualmente ofrece un paquete de seguridad que han llegado a tildar de "una porquería" porque no garantiza la protección de los datos que debería.

Estos expertos tienen la mirada puesta en Microsoft 365 Government Community Cloud (GCC), un entorno de nube gubernamental destinado al control de datos de Estados Unidos y entre cuyos clientes se encuentran agencias civiles federales, gobiernos estatales y locales y contratistas.

Un informe de ProPublica ha avanzado que, a pesar de que expertos en ciberseguridad federales advirtieron que esta plataforma de Microsoft no garantiza la seguridad que debería, desde la Administración optaron por aprobarla para ser utilizada por sus funcionarios.

Concretamente, el Programa Federal de Gestión de Riesgos y Autorización (FedRAMP), que no solo autorizó el producto, sino que también le otorgó lo que equivale al sello de aprobación del Gobierno federal en materia de ciberseguridad.

De esa manera FedRAMP ayudó a Microsoft a expandir un imperio comercial con el Gobierno estadounidense valorado en miles de millones de dólares, tal y como señalan desde la publicación indicada. Esto, a pesar de que Microsoft ya había sido el centro de dos importantes ciberataques en el país en tres años.

Microsoft, el niño mimado del Gobierno de Estados Unidos

ProPublica, que es una organización de noticias independiente y sin ánimo de lucro, ha realizado esta observación tras tener acceso a memorandos internos de FedRAMP, registros, correos electrónicos, actas de reuniones y entrevistas, tanto con empleados actuales como con desempleados.

Según han señalado en el escrito, FedRAMP planteó dudas sobre la seguridad GCC High por primera vez en 2020 y solicitó a Microsoft diagramas detallados que explicaran sus prácticas de cifrados. Sobra decir que nunca lo hizo, a pesar de que han pasado ya unos años.

La tecnológica, por su parte expuso una información que desde FedRAMP consideraron incompleta pero, a pesar de eso, los responsables de este programa no rechazaron la solicitud de Microsoft.

A pesar de que la autorización oficial se quedó en una suerte de stand by y aunque este organismo planteó dudas sobre la seguridad de la plataforma, ésta se empezó a utilizar tanto en el Gobierno como en la industria de Defensa.

De esa manera, cuando cuatro años después se comprobó que GCC High hacía aguas, no se pudo hacer nada para ponerlo en pausa, aunque de filtrarse la información que maneja "podría tener un efecto adverso grave o catastrófico" en las operaciones de sectores clave del Gobierno federal.

Excepciones que podrían comprometer la seguridad nacional

Estas revelaciones surgen en un momento en el que el Departamento de Justicia estadounidense ha intensificado el escrutinio sobre los contratistas tecnológicos del Gobierno y lo cierto es que este no ha sido el único motivo por el que Microsoft está en el punto de mira.

La compañía también ha sido cuestionada sobre la información que ha proporcionado al Gobierno o, mejor dicho, que no ha proporcionado, debido a que no informó al Departamento de Defensa de la Administración Trump sobre el uso de ingenieros con sede en China para el mantenimiento de estos sistemas en la nube.

Esto, por lo tanto, choca con la normativa que señala que ninguna persona extranjera puede tener acceso a los datos más sensibles de sus organizaciones o ciudadanos. Esta ley, conocida como Orden Ejecutiva 14117, fue aprobada por el que fuera presidente Joe Biden en febrero de 2024.

Desde Microsoft, no obstante, han negado no haber aportado la documentación exhaustiva requerida por el Ejecutivo y han asegurado haber "corregido las deficiencias detectadas en la medida de lo posible".