Comment le Pentagone veut acheter des cyberrésultats, pas des équipements

WASHINGTON — Pour répondre à la demande de nouvelles technologies et capacités alors que les menaces dans le cyberespace évoluent rapidement, le Pentagone a promu au cours des derniers mois un nouveau paradigme qui appelle à une implication plus directe des sous-traitants dans les opérations.

L’idée est connue sous le nom de Cyber ​​Effects-as-a-Service (CEaaS), un modèle axé sur la passation de contrats pour des résultats spécifiques plutôt que sur des outils spécifiques.

« Je me concentre sur une seule priorité, à savoir la construction d’un ensemble plus solide de capacités pour le secrétaire (à la Défense) et le président. Le signal de demande que nous voyons parmi tous nos dirigeants du département, nos commandants combattants… dépasse de loin l’offre dont nous disposons », a déclaré en septembre Katie Sutton, secrétaire adjointe à la Défense pour la cyberpolitique.

Sutton, dans plusieurs remarques au cours du mois dernier, a affirmé que la relation entre l’industrie et le gouvernement devait changer. Bien qu’il s’agisse d’un refrain courant parmi les responsables de nombreuses administrations, dans le paysage unique du cyberespace, Sutton a décrit un cadre souhaité consistant à passer d’une « relation contractuelle à un partenaire opérationnel » avec l’industrie et à s’appuyer davantage sur leur savoir-faire dans l’espace technologique pour promouvoir « des concepts et des façons de penser des choses qui sortent des sentiers battus (et) apporter de nouvelles idées bien plus rapidement que nous ne le pouvons ».

Politico a rapporté pour la première fois le mois dernier que les projets de la prochaine cyber-stratégie du ministère de la Défense montraient que le Pentagone souhaitait que les sous-traitants jouent eux-mêmes un rôle plus important dans la conduite des opérations.

Pour avoir une idée de la raison pour laquelle le changement intervient maintenant, du fonctionnement du CEaaS, des risques inhérents et de ce que le Pentagone attend de l’industrie alors qu’il recherche un partenariat plus opérationnel, Breaking Defense s’est entretenu avec plus d’une douzaine de sources de l’industrie actuelle, d’anciens responsables du Pentagone et des membres du monde universitaire.

Ils ont expliqué que la pression en faveur d’une plus grande coopération émanait à la fois du secteur privé et du gouvernement.

Un ancien responsable du Pentagone a déclaré que certaines entreprises du monde des start-up cherchaient à faire de ce type de modèle opérationnel leur gagne-pain, tandis que certaines entreprises plus traditionnelles et certaines grandes entreprises faisaient pression pour devenir les leaders dans ce domaine. Mais le gouvernement cherche actuellement à favoriser les petites organisations de type start-up, financées par le capital-investissement et le capital-risque (VC), a ajouté l’ancien responsable, d’autant plus que les jeunes entreprises sont moins chères pour le gouvernement.

Sutton a déclaré en septembre qu’elle était vraiment ravie de voir le changement au cours des cinq dernières années en matière de financement en particulier pour les entreprises qui se concentrent sur différents cyber-effets, en particulier les opérations de cyber-effets. J’ai vu beaucoup d’intérêt dans la communauté VC. Continuer à soutenir cela, continuer à trouver des moyens de les attirer.

Le Pentagone contacte diverses sociétés commerciales pour voir où ce concept peut s’implanter.

Le bureau de Sutton a organisé un exercice de simulation fin septembre avec des membres de l’industrie des secteurs de l’IA et des technologies de défense, ainsi que le Cyber ​​Command américain. L’événement visait à déterminer comment le Pentagone peut construire « de nouveaux modèles opérationnels avec l’industrie pour produire des résultats cybernétiques à la vitesse, à l’échelle et à la complexité requises par l’environnement de menace moderne ».

Le communiqué du DoD ne dit pas exactement ce qui a été appris de l’exercice sur table, mais propose que la discussion soit passée des concepts généraux à la mise en œuvre pratique. Le Pentagone prévoit d’utiliser les résultats de l’événement pour affiner le cadre CEaaS et identifier les opportunités à court terme.

Start-ups de cyberguerre

Le modèle actuel de conduite des cyber-opérations est trop obsolète dans le monde moderne et face aux menaces modernes, selon des responsables gouvernementaux et des experts du secteur.

« Le paradigme actuel sur la manière dont les cyberopérations sont conceptualisées, financées et menées, issu du domaine du renseignement électromagnétique, est incompatible avec les exigences des opérations militaires modernes », a déclaré Joe Lin, co-fondateur et PDG de Twenty, une start-up de cyberguerre financée par du capital-risque, dans une interview. « Nous avons besoin de capacités qui offrent les options nécessaires aux décideurs et aux commandants pour répondre à tout le spectre de la concurrence et des conflits. »

Selon le modèle traditionnel, le gouvernement publie des demandes de capacités pour que l’industrie puisse soumissionner et fournir l’expertise, la main-d’œuvre et les outils nécessaires pour fournir exactement ce que le gouvernement a demandé. Actuellement, il est très courant que l’industrie apporte également son soutien à la planification des opérations et s’assoie même aux côtés des opérateurs.

Cependant, le modèle CEaaS émergent vise à solliciter des résultats spécifiques plutôt que des outils sur mesure, sous la direction et la supervision des sources gouvernementales indiquées. Cela signifie essentiellement que les entreprises ne se lancent pas seules et ne choisissent pas leurs propres cibles.

Le Pentagone a décrit le CEaaS dans son communiqué soulignant l’exercice de simulation comme « un modèle pour l’achat de résultats cyber prêts à l’emploi sous la direction et la surveillance du ministère. Le DoW conserve la responsabilité des objectifs, des autorisations et des fonctions intrinsèquement gouvernementales, tandis que l’industrie fournit l’expertise technique, le savoir-faire et l’innovation nécessaires pour fournir les résultats autorisés ».

Les résultats pourraient par exemple être l’obligation d’accéder à un réseau particulier dans lequel l’entreprise effectue cette opération en utilisant ses propres personnes, outils et infrastructures ou de concert avec des opérateurs militaires.

De nombreux responsables et personnalités de l’industrie avec lesquels Breaking Defense s’est entretenu ont déclaré qu’il était un peu trop tôt pour dire à quoi cela ressemblerait dans la pratique, mais ont reconnu qu’un scénario potentiel pourrait être celui où le gouvernement engagerait une entreprise privée pour accéder aux réseaux d’un adversaire afin d’effectuer une mission spécifique, comme l’accès ou un certain type de perturbation.

Dans le monde physique, cela s’apparenterait à des vols de renseignement, de surveillance et de reconnaissance appartenant à des sous-traitants et opérés par des sous-traitants au cours desquels les entreprises utilisent leur propre personnel et leurs propres avions pour surveiller des cibles dans les airs sous la direction du Pentagone. Le CEaaS irait encore plus loin si l’avion quittait l’espace aérien ami pour avoir une meilleure vue sur le territoire hostile, laissant l’hypothétique avion appartenant à l’entrepreneur dans l’espace aérien ennemi en tant que combattant direct.

« Nous ne pouvons pas compter uniquement sur les processus existants pour faire face à une menace à la vitesse d’une machine. Nous avons besoin de relations axées sur les résultats qui associent l’orientation et la responsabilité du gouvernement à l’innovation inégalée du secteur privé américain », a déclaré Sutton dans le communiqué du Pentagone.

Jouer

L’administration Trump a cherché à obtenir davantage de soutien du secteur privé dans le cyberespace. En août, il a publié un décret décrivant un cadre permettant aux entreprises privées de mener des opérations contre les organisations criminelles transnationales sous l’égide du ministère de la Justice et de la Sécurité intérieure, un cadre qui est encore en cours d’élaboration.

De même, le projet de loi politique annuel adopté par le Sénat comprenait une disposition autorisant un programme pilote permettant au Pentagone de recruter des sous-traitants pour effectuer des opérations d’accès sur sa propre infrastructure.

Mais à l’instar du cadre criminel transnational, les experts qui ont parlé à Breaking Defense se demandent comment un CEaaS fonctionnerait dans la pratique et ont souligné les risques associés aux acteurs du secteur privé effectuant ces opérations, même sous la direction du gouvernement.

Bien que les détails soient encore flous sur la manière exacte dont ce modèle fonctionnera dans la pratique, des sources ont reconnu que le ministère voit un rôle plus important pour la participation de l’industrie.

« Le plus difficile est de savoir à quoi ressemblera le modèle opérationnel de bout en bout, en particulier parce que si le gouvernement veut contrôler l’opération – comme il le devrait – je ne pense pas que l’industrie puisse intervenir et dire que nous pouvons garantir le résultat », a déclaré à Breaking Defense un haut responsable cyber d’une entreprise de défense. « Il devient difficile de garantir un résultat lorsqu’il s’agit d’opérations dans le cyberespace. »

Un deuxième ancien responsable du Pentagone a noté que le modèle basé sur les résultats est attrayant parce que les outils commerciaux de l’industrie sont prêts à être utilisés pour résoudre immédiatement les problèmes plutôt que le modèle plus amorphe consistant à demander à une entreprise de construire une capacité que les opérateurs militaires devront ensuite intégrer eux-mêmes dans les opérations.

Mais le responsable de l’industrie a ajouté que le gouvernement doit encore déterminer exactement ce qu’il veut que l’industrie fasse d’un point de vue opérationnel, qu’il s’agisse de s’en prendre à des groupes non étatiques tels que des acteurs criminels ou d’entreprendre des efforts à plus haut risque contre les États-nations.

Par exemple, Gary Corn, ancien juge-avocat chez CYBERCOM et actuel directeur du programme Technologie, Droit et Sécurité à l’Université américaine, a décrit les risques que les entreprises et leurs opérateurs pourraient assumer .

« Si les entreprises commencent à s’engager dans des opérations d’effets hors réseau à partir de leurs propres réseaux et infrastructures, cela pourrait inciter les adversaires à réagir », a déclaré Corn. « Ces entreprises sont désormais des cibles potentiellement plus pertinentes ou plus avantageuses pour l’ennemi. Ces entreprises et individus sont potentiellement exposés à des responsabilités pénales et civiles en dehors des États-Unis, où les immunités ou les défenses qui pourraient être disponibles en vertu du droit national n’existeraient pas pour les protéger. »

Le seul domaine dans lequel le deuxième ancien responsable a déclaré que le Pentagone devrait faire preuve de prudence est la manière dont ces contrats ou opportunités sont communiqués ou rédigés. Une demande de résultat trop spécifique pourrait alerter les adversaires d’une lacune dans les capacités du Pentagone. Si les demandes vont au-delà d’une simple description du souhait d’obtenir des effets sur certaines choses et deviennent trop spécifiques, cela peut mettre en évidence des lacunes dans les capacités du gouvernement, car cela montre que l’armée n’a peut-être pas la capacité de le faire pour le moment.

Pour Jason Healey, chercheur principal à l’Université de Columbia, il est plus préoccupé par la gouvernance d’un tel programme.

« S’il est mal gouverné et réussi, le Pentagone décidera que si un peu de dépendance à l’égard des sous-traitants est une bonne chose, alors beaucoup doit être bien mieux. Le programme deviendra incontrôlable, les sous-traitants menant bien plus d’opérations qu’il n’est sage de faire contre les services de renseignement et les forces militaires de rivaux dotés de l’arme nucléaire », a-t-il déclaré. « S’il est mal gouverné et échoue, le Pentagone pourrait décider qu’il doit supprimer davantage les restrictions, en s’engageant avec encore plus de persistance et en prenant des risques encore plus grands. »

Évolution naturelle ?

Même si accorder aux entrepreneurs une plus grande autonomie pour mener eux-mêmes des cyberopérations – ce qui est généralement réservé au gouvernement – ​​constitue une dérogation aux normes, certains experts interrogés par Breaking Defense estiment qu’il s’agit d’une évolution naturelle du paysage cybernétique.

« Même si nous avons investi des ressources dans la cyber-entreprise gouvernementale, nous n’avons tout simplement pas assez de capacité pour faire face à toutes les menaces », a déclaré Corn dans une interview. « Les lignes de front de cet espace de conflit se déplacent vers le secteur privé. La pression s’est accrue progressivement au fil du temps pour faire évoluer la collaboration public-privé au-delà de ce qui a été des discussions et des cadres anémiques autour du partage d’informations. »

Pour beaucoup, exploiter davantage le secteur privé est tout à fait logique, étant donné que ce sont les entreprises technologiques, et non le gouvernement, qui construisent le cyberespace et sont à la pointe des technologies émergentes.

« L’industrie dispose de nombreuses capacités dont on peut tirer davantage parti », a déclaré Robert Skinner, ancien commandant du Cyber ​​Defense Command, dans une interview.

« Du point de vue des cyber-effets, il existe de nombreuses capacités. Parce qu’au fait, beaucoup de ces entreprises développent les outils que le gouvernement utilise déjà. Alors pourquoi ne pas être en mesure de tirer pleinement parti de la force dont elles disposent ? » Skinner, qui est actuellement président du conseil d’administration d’Axonius Federal Systems, a ajouté.