Le projet Gatekeeper de l’armée vise à réduire les délais d’approbation des logiciels de plusieurs mois à quelques « minutes »

WASHINGTON — Dans dix jours seulement, l’armée activera le projet Gatekeeper, un nouveau bac à sable de cybersécurité amélioré par l’IA, conçu pour contrôler les logiciels commerciaux destinés à être utilisés sur les réseaux de l’armée, ont annoncé aujourd’hui des responsables.

Lancé le 23 octobre, le projet Gatekeeper crée un environnement sandbox unique – fonctionnant sur le cloud de l’armée mais isolé des réseaux opérationnels et des données sensibles – dans lequel les entreprises peuvent apporter leurs logiciels pour évaluation, même si elles n’ont pas de contrat avec l’armée ou de gestionnaire de programme pour les parrainer. Les responsables affirment que Gatekeeper réduira le temps nécessaire pour faire approuver un logiciel de plusieurs mois à « minutes » – sans sacrifier la sécurité dans le processus.

« Le succès, pour moi, c’est qu’une entreprise est capable, en quelques minutes, de se connecter, de soumettre son code et d’obtenir la coche verte de notre pipeline qui indique que vous êtes prêt à partir », a déclaré le chef de l’information de l’armée par intérim, Gabe Chiulli, aux journalistes lors de la conférence annuelle de l’AUSA ici ce matin.

Comparez cela avec le processus d’autorisation actuel et fastidieux qui peut prendre des jours, voire des semaines, bloquant certains projets logiciels pendant neuf mois, ont déclaré Chiulli et d’autres responsables. Il faut beaucoup de temps pour attendre une mise à niveau logicielle, en particulier dans le cadre d’un processus qui, selon les responsables, manque de pratiques cohérentes en matière de cybersécurité, de transparence pour les sous-traitants et de visibilité pour les chefs de l’armée sur ce qui se passe réellement sur leurs réseaux.

« Nous avons dû faire beaucoup de choses bizarres pour introduire du code dans nos environnements », a déclaré Chiulli. Parfois, il disait : « Je ne sais pas comment ils nous transmettent le code. »

La racine du problème, selon les responsables, est que l’armée ne dispose pas d’un processus unique, standardisé et centralisé pour introduire des logiciels commerciaux sur ses réseaux sécurisés. Au lieu de cela, « cela dépendait de chaque responsable de programme », a expliqué David Markowitz, responsable des données et de l’analyse du service.

Mais de nombreux bureaux de programme n’avaient pas la capacité ou la volonté de mener des évaluations de cybersécurité de codes nouveaux et inconnus. Plutôt que d’évaluer eux-mêmes le logiciel, ils attendraient qu’une autre organisation examine l’entreprise et accorde officiellement à son logiciel l’autorité d’opérer (ATO) sur les réseaux militaires.

« Souvent, les organisations de l’armée ne parlent pas aux (entreprises) tant qu’elles n’ont pas obtenu cet ‘ATO en or' », a déclaré Chiulli.

Cela a créé une sorte de situation sans issue : les entreprises les mieux placées pour remporter des contrats de logiciels de l’armée étaient souvent celles qui les détenaient déjà. Pendant ce temps, les nouveaux entrants innovants – le genre d’entreprises que le Pentagone courtise depuis plus d’une décennie – ont eu du mal à naviguer dans la complexité combinée des règles de cybersécurité, des réglementations en matière de marchés publics et de la bureaucratie militaire.

De plus, si un responsable de programme décidait de donner une chance à un nouveau logiciel, il disposait rarement d’un bac à sable dédié et isolé dans lequel le tester. Au lieu de cela, ils ont dû l’introduire dans un réseau militaire et l’évaluer là-bas. Cela, à son tour, exigeait que le personnel de l’entreprise obtienne l’autorisation d’utiliser des cartes d’accès communes (CAC) afin de pouvoir accéder au système de l’armée.

« Nous avons consacré beaucoup de temps et d’énergie à essayer d’obtenir des cartes CAC simplement pour nous aider à travailler avec nous », a déclaré Chiulli. « Il s’agit de se débarrasser de tout cela (et) de réduire les barrières à l’entrée. »

Gatekeeper permettra aux entreprises de tester leurs logiciels avant d’avoir un contrat avec l’armée, un gestionnaire de programme les parrainant ou même une demande formelle de propositions à laquelle répondre, ont souligné les responsables, permettant ainsi aux fournisseurs potentiels d’identifier et de résoudre les problèmes de cybersécurité avant d’essayer de faire affaire avec le service.

Les entreprises auront toujours besoin de cartes CAC pour accéder à la plateforme dans un premier temps, ont reconnu les responsables. Mais l’armée est en train de finaliser un accord avec la General Services Administration (GSA) pour utiliser sa plateforme Login.gov, qui permet au public d’accéder de manière sécurisée aux systèmes gouvernementaux.

« Nous envisageons d’intégrer cela à la mi-novembre, date à laquelle nous serons en mesure de rendre cela réellement accessible commercialement », a déclaré David Wright, ingénieur en chef au Army Software and Innovation Center (ASIC).

Une fois qu’une entreprise a accès à la plateforme Gatekeeper, elle peut télécharger son logiciel et l’exécuter via les outils de cybersécurité standardisés de l’armée, y compris une évaluation de l’IA, ont expliqué des responsables. En quelques minutes, le système automatisé indiquera à l’entreprise que son logiciel a réussi le test ou fournira des commentaires détaillés et exploitables expliquant pourquoi il a échoué.

Gatekeeper inclura également le kit de développement logiciel DevSecOps de l’armée, a déclaré Wright, offrant ainsi aux entreprises un environnement sécurisé dans lequel résoudre les problèmes à l’aide d’outils que l’armée elle-même a approuvés.

« L’idée ici n’est pas de diminuer les exigences de sécurité », a souligné Wright, « mais plutôt de rendre le processus plus accessible et plus disponible, afin qu’ils puissent obtenir un retour d’information immédiat et comprendre ce qui doit être ajusté ou corrigé avant que ces choses ne soient introduites dans un environnement militaire. »