Commençons par le début. Juste pour préparer le terrain, à l'exception d'un poste d'AT que j'ai occupé à l'université, chaque emploi (emploi d'été, coopératif, stage, poste à temps plein) que j'ai jamais eu a été dans l'industrie de la défense, soit en tant que un employé civil du gouvernement ou chez un entrepreneur de la défense. De plus, je n'ai postulé qu'à un seul emploi en dehors du secteur de la défense / du renseignement. Je prévois de passer toute ma carrière dans ce secteur.

L'idée que les employeurs ne sont pas autorisés à parler de ce qu'ils font est incorrecte. J'étais candidat à un poste dans une agence de renseignement du ministère de la Défense spécialisée dans le renseignement électromagnétique, la protection des systèmes de communication et de réseau américains, la sécurité de l'information et la cryptographie / cryptanalyse. Au moment de l'entrevue, je n'avais même pas l'autorisation d'entrer dans leur installation principale - j'ai été interrogée hors site, dans un endroit éloigné, et je ne pouvais pas aller beaucoup au-delà du hall et des zones d'entrevue. Cependant, j'ai pu poser des questions sur le type de travail que je ferais - l'environnement de bureau, les outils et technologies, et les problèmes sur lesquels travailler (ou des problèmes représentatifs de ceux sur lesquels on travaille). Souvent, ce ne sont pas les problèmes qui sont classés, mais les solutions à ces problèmes et les capacités générées. J'ai pu en apprendre suffisamment sur ce que cette équipe en particulier a fait pour dire que je n'étais pas intéressé par le poste pour des raisons morales et éthiques.

Pendant le processus de candidature et d'entrevue, vous devriez être en mesure d'en apprendre suffisamment sur le poste pour être en mesure de prendre une décision éclairée sur le type de travail que vous effectuerez dans le cadre de l'emploi. Et apprendre les aspects de l'environnement de travail de l'emploi serait le même que pour tout autre emploi - renseignez-vous sur la culture, les avantages, les opportunités de croissance et de développement. Dans une agence gouvernementale, ce sont souvent des informations publiques car elles sont cohérentes entre les agences et les départements. Dans un environnement d'entrepreneur, ils seront plus qu'heureux de discuter de ces choses, car c'est généralement un sujet RH qui s'applique quel que soit le projet ou le programme.

En termes de politique au bureau, j'ai jamais rencontré cela, et quand je parle à des amis à moi en dehors de l'industrie de la défense, cela semble assez similaire dans la nature. Je soupçonne qu'il s'agit davantage d'une question de culture d'entreprise que de quelque chose qui peut être généralisé à l'industrie de la défense ou aux entrepreneurs gouvernementaux.

La sécurité au travail varie. La plupart des endroits offriront aux gens un espace de travail non classé en plus des espaces de travail dans des environnements classifiés. À mon bureau, j'ai un accès presque gratuit à Internet. Cependant, dans un environnement classé, vous n'avez pas cet accès. Une grande partie du travail que j'ai vu se déroule en fait dans des environnements non classés et est ensuite transférée dans des environnements classifiés parce que les données réelles et réelles sur lesquelles les systèmes fonctionnent sont classifiées. Le système lui-même peut être propriétaire, et parfois même open source.

En ce qui concerne l'obtention d'une habilitation de sécurité, les formulaires prennent un peu de temps. Vous devez souvent raconter vos emplois, adresses, amis, collègues et famille depuis 5 à 15 ans en fonction du type d'enquête de dédouanement. Selon certaines de vos réponses, il peut y avoir des entretiens, des polygraphes et des questionnaires à remplir. Vous pouvez consulter les formulaires en ligne, comme le SF-86 ( PDF ici), qui est utilisé pour l'autorisation DoD Secret (et peut-être aussi d'autres agences - je ne connais que le DoD).

J'ai une habilitation de sécurité. Le travail classifié réel est effectué sur un réseau séparé (non connecté à Internet), dans des salles avec des dispositions de sécurité spéciales. Cependant , la plupart des travaux ne sont pas réellement classés. Nous effectuons notre travail (développement de logiciels) dans un environnement de bureau ordinaire, et si nous avons besoin d'accéder à des données classifiées, nous allons au laboratoire.

La plupart des grandes entreprises ont des restrictions informatiques; vous trouverez probablement des sites comme YouTube, Facebook et Blogspot bloqués. Cependant, cela n'a rien à voir avec les habilitations de sécurité.

Si vous vous entretenez dans une entreprise qui nécessite une habilitation de sécurité, il y a de très bonnes chances qu'ils puissent toujours vous parler du travail suffisamment détails pour que vous décidiez si vous souhaitez y travailler. Tout ce qui se passe dans une telle entreprise n’est pas classé.

Si l’ensemble de l’établissement est classé (il s’agit d’un seul grand laboratoire de classe), vous ne pourrez pas passer la porte sans autorisation.

J'ai travaillé à la fois dans le secteur privé et dans des projets de défense nécessitant une autorisation au cours de ma carrière. J'aime les deux, mais je dirais qu'ils sont différents.

Il n'y a pas de "taille unique" pour les travaux nécessitant un dégagement. Je vous conseille fortement de considérer chaque opportunité au fur et à mesure qu'elle se présente.

Voici quelques points de variation:

• Contrôles de sécurité requis pour traiter les informations classifiées. La sensibilité de l'information et la nature du projet le dicteront. Il variera à la fois pour le matériel imprimé et le matériel électronique. Cela peut être aussi simple que de ne pas retirer de paperasse de l’espace dans lequel vous travaillez ou d’avoir à enfermer des informations secrètes dans un coffre-fort avant de partir.
• La nature de l’environnement de travail - peut être quelque chose d'un LAN totalement isolé pour travailler sur un réseau d'entreprise qui n'est pas fondamentalement différent de toute autre entreprise. Je n'ai pas encore vu ou entendu parler d'un poste de développeur qui refusait totalement aux employés d'accéder à Internet à des fins légitimes de navigation liées au travail. Le kilométrage varie considérablement en fonction de la définition de «légitime» et du niveau de verrouillage du réseau.
• L'état de la technologie. Contrairement aux entreprises technologiques de haut niveau actuelles, l'industrie de la défense a un cycle de vie TRÈS long. Equiper tout un service des forces armées n'est pas anodin. C'est l'une des rares industries qui a encore besoin de compétences technologiques très anciennes - si c'est votre tasse de thé, les ressources disponibles en interne sont souvent MIEUX que les ressources sur Internet.
• Instrusivité pour le contexte le contrôle varie à la fois en fonction du niveau d'autorisation, du type de matériel utilisé et de la nature de la branche gouvernementale pour laquelle vous travaillez. Sachez que toutes les histoires de guerre que vous entendez ne s'appliqueront pas aux procédures du processus que vous traversez.

Des choses qui ne varient pas - la qualité des personnes, la qualité de la direction. Il y a des gens incroyablement intelligents dans ce secteur et de très bons gestionnaires. Et il y a les opposés polaires. Pour la plupart, les géniaux ont tendance à rester discrets et à être très décontractés ... ce n'est pas une industrie pour les types de personnalités voyantes, car une grande partie du travail n'est vue que par une communauté limitée.

Technologies COTS - bien qu'il existe de nombreux codes spécialisés, COTS séduit autant les gouvernements que les entreprises privées. Il existe de nombreuses possibilités de rester à jour sur les produits COTS commercialisables de manière croisée.

Les choses à se poser avant de monter à bord

• les options pour l'équilibre travail / vie personnelle - sont susceptibles d'être différentes. Les entreprises sont toujours à la recherche de réponses créatives, mais certaines des protections physiques de sécurité ne sont tout simplement pas disponibles à la maison - donc comme toute entreprise - déterminez les règles et la culture d'entreprise avant de rejoindre.

• la nature de la vérification des antécédents - ils doivent savoir quel niveau d'autorisation ils veulent que vous ayez. Et à quel point ce sera intrusif. Ayez également une idée de l'ampleur de vos besoins en matière de dégagement. Souvent, les entreprises commencent quelqu'un à un niveau inférieur, car il est coûteux d'améliorer les dégagements et le nombre de créneaux horaires à des niveaux plus élevés n'est pas infini. Alors, obtenez à la fois la réponse à entendre et maintenant ainsi que la prise future.

• Quelle est la technologie du projet? Quelle est la probabilité de changement entre les projets et quelles autres technologies pourraient être impliquées? Ils ne peuvent généralement pas répondre à une question spécifique "ce projet utilise des questions X / Y / Z. Mais ils devraient être en mesure de vous donner une idée de savoir si l'endroit entier est un magasin JEE ou s'il est à 10% .NET et 90% VAX programmation!

• Quelle est la réponse à une violation de sécurité? Tout le monde se trompe de temps en temps - la grande question est que fait l'entreprise en réponse? Savoir comment cela fonctionne avant d'entrer peut vous aider à décider si ce travail est fait pour vous.

Mon premier emploi après l'université était pour un entrepreneur de la défense. J'ai évolué après quelques années car même si je travaillais sur des systèmes défense plutôt que sur des systèmes offensifs , j'ai décidé que cela entrait trop en conflit avec ma position morale. Cet aspect des choses est une décision personnelle à laquelle vous seul pouvez répondre.

Quand je suis entré dans le secteur commercial, il y avait peu de différence. Le travail que j'ai effectué était couvert par les accords de non-divulgation plutôt que par la loi sur les secrets officiels, mais il m'incombait toujours de garder la confidentialité de mon employeur concernant mon travail.

Dans l'un ou l'autre environnement, je pourrais parler de la façon dont j'ai été traité, me plaindre des horaires serrés et déplorer (en termes non spécifiques) que les clients changent constamment leurs spécifications, et dans aucun environnement je ne pourrais parler de qui mon client était ou ce que j'aidais à créer pour lui.

Partout où de graves problèmes de sécurité se posent, des politiques spécifiques seront appliquées pour y répondre. Que vous travailliez sur des systèmes de guidage de missiles ou des logiciels antivirus, certains réseaux peuvent ne pas être connectés à Internet. Vous devrez peut-être même travailler dans un coffre-fort TEMPEST renforcé, où vous êtes recherché des téléphones / clés USB avant d’être autorisé à entrer. Dans un environnement commercial cependant, vous pourriez facilement être coincé dans une arrière-salle ou un sous-sol sans lumière naturelle et sans serveur proxy mis en place par un BOFH.

Sinon, vous pouvez simplement avoir un bureau avec plusieurs ordinateurs et un espace d'air entre eux, donc tout ce que vous avez à faire pour passer d'un ordinateur réseau sécurisé à un ordinateur compatible Internet est de passer d'un clavier à l'autre. Bien sûr, vous perdez la possibilité de copier / coller entre eux (par rapport à l'utilisation d'un VPN pour accéder à un réseau plus sécurisé) mais cela n'a pas beaucoup d'impact sur la productivité que .

En fin de compte, un emploi contrôlé par la sécurité n'est pas vraiment différent d'un autre emploi, c'est juste que les priorités et les conséquences peuvent être assez différentes. Si vous pensez que vous ne pouvez pas y faire face de manière éthique, restez à l'écart, sinon gardez votre nez propre et vous pourrez travailler sur des projets intéressants et uniques.

J'ai passé 15 ans dans l'industrie de la défense, et je pense que la chose la plus pertinente que je puisse vous dire à propos de l'effet de la sécurité sur votre environnement de travail est qu'elle varie beaucoup.

Je trouve régulièrement que les directives du Pentagone me semblaient assez raisonnables et sensées. Que nos agents de sécurité locaux les interpréteraient de ce que je considérais comme bizarre.

Par exemple, il y avait une directive du Pentagone qui disait que vous ne devriez pas télécharger de logiciel à partir de sites inconnus ou non approuvés et l'installer sur des ordinateurs gouvernementaux. Eh bien, cela m'a semblé être du bon sens: ne téléchargez pas un jeu sur hackers-are-us.com et installez-le sur un système sécurisé. Je n'ai eu aucun problème avec ça. Nos responsables de la sécurité de base ont interprété cela comme signifiant que nous ne pouvions utiliser aucun logiciel open source.

Exemple 2: Le Pentagone a dit de ne pas faire de travail de développement sur les systèmes de production. Encore une fois, une règle de bon sens évidente que la plupart des développeurs diraient "duh". Nos responsables de la sécurité de base ont interprété cela comme signifiant que vous ne pouviez pas avoir de systèmes de production et de développement sur le même réseau, c'est-à-dire que nous n'étions pas autorisés à effectuer des travaux de développement sur le réseau de base. Nous avons donc dit d'accord, nous allons simplement mettre en place un réseau privé pour le développement. Non, ont-ils dit, tous les ordinateurs de la base doivent être connectés au réseau de base afin que nous puissions administrer les politiques de sécurité. Alors, comment sommes-nous censés faire du développement? Ils n'avaient pas de réponse. J'ai dansé autour de ça pendant des années.

Je veux dire, la façon dont les règles sont interprétées peut très bien varier entre les bases, les entreprises, etc.

Du côté positif, j'ai déjà assisté à une conférence sur sécurité où ils ont dit que les règles de sécurité doivent trouver un équilibre entre être suffisamment strict pour empêcher les personnes non autorisées d'entrer tout en étant suffisamment lâche pour que les personnes autorisées puissent faire leur travail.

Comme presque partout dans la vie, je suppose qu'il y en a des gens rationnels et il y a des gens fous.

Politiques de sécurité

Les politiques de sécurité pour les travaux classifiés varient considérablement en fonction du niveau de classification du programme, de l'entreprise et du personnel réel qui établit les politiques de sécurité. À un extrême se trouvent les programmes où la grande majorité du travail n'est pas classée et exécutée sur des réseaux non classés et peut être librement discutée, sauf pour des détails techniques très spécifiques. Dans de tels cas, même les spécifications logicielles et les documents d'algorithmes entiers pourraient ne pas être classés et seuls les chiffres de performances réels seraient protégés. Dans ces cas, votre travail pourrait être entièrement dans le monde blanc et ne devenir classifié que lorsqu'il était associé à des entrées classifiées. Dans une situation comme celle-ci, vous pourriez parler de beaucoup de choses et en apprendre un peu plus sur le poste potentiel avant de commencer.

À l'autre bout du spectre se trouvent des programmes dont les noms mêmes sont classés. Presque tous les travaux du programme se dérouleront sur des réseaux dédiés sans connexion Internet et avec des processus fastidieux et unidirectionnels pour transférer des informations sur eux depuis le côté non classifié (par exemple, gravure de CD). Dans ce type d'environnement, vous ne pouvez avoir accès à Internet que sur des ordinateurs de type kiosque éloignés de votre environnement de travail normal de bureau ou de laboratoire, ce qui vous empêcherait d'utiliser Google ou Stack Overflow pendant que vous travaillez. De plus, la configuration matérielle et logicielle des équipements sur le réseau est étroitement surveillée et ne peut être modifiée sans une paperasse importante . Cela signifie que les machines sont souvent lentes et obsolètes, que l'espace sur le disque dur est souvent limité, que les logiciels sont obsolètes et rarement corrigés, et obtenir de nouveaux logiciels pour vous aider à faire votre travail va d'une énorme douleur qui le rend probablement pas vaut l'effort de carrément impossible. C'est en partie cet environnement qui sous-tend le coût incroyable des programmes de défense.

Processus d'autorisation

Le processus de dédouanement est également fonction du type de dédouanement. Au fond, il s'agit d'un questionnaire sur l'endroit où vous avez vécu et travaillé. Beaucoup de paperasse mais pas trop mal et si vous n'avez pas passé beaucoup de temps à l'étranger ou si vous avez des contacts avec des ressortissants étrangers, c'est simple. Pour les niveaux supérieurs, il y a plus de questions qui remontent plus loin et le processus impliquera des entretiens en personne avec des enquêteurs, qui parleront également à des amis et à la famille et, finalement, à des personnes que vous connaissez dont vous n'avez pas fourni les noms. Des polygraphes peuvent être nécessaires, à la fois initialement et périodiquement et vous devrez peut-être obtenir une autorisation préalable pour voyager à l'étranger.

Risque et récompense

Il peut donc y avoir des inconvénients évidents à travailler dans un milieu classé et pour beaucoup ce n'est pas leur tasse de thé. Cela dit, il y a des choses développées dans ces environnements qui ont des années-lumière d'avance sur tout ce qui se passe dans le monde extérieur. Le problème et les inconvénients sont souvent dépassés par la nature convaincante de travailler et de résoudre ces problèmes et de pouvoir travailler en étroite collaboration avec des experts mondiaux dans des technologies et des domaines particuliers.