Les signatures rapides étaient nécessaires si le géant du logiciel devait aller de l’avant avec un nouveau client des forces de l’ordre : le département de police de la ville de New York, selon des sources proches de la situation et des e-mails examinés par Protocol. Un porte-parole du NYPD n’a pas répondu aux multiples demandes de commentaires.

« Nous nous excusons pour le délai serré et réalisons que nous demandons votre aide ce week-end », a écrit l’ancien directeur de la fiducie, Jim Alkove, aux employés.

Les signatures étaient également nécessaires pour que les employés continuent à travailler dans la division gouvernementale. L’avertissement du sommet était clair : ceux qui ne signaient pas devraient déménager dans un autre département.

Le document en question traitait d’un obstacle secret auquel l’industrie technologique doit faire face avec des clients comme le NYPD: les services d’information sur la justice pénale, ou CJIS, une division du FBI qui stocke les empreintes digitales, les documents et d’autres données et preuves utilisées, entre autres activités d’application de la loi, examiner l’histoire des criminels présumés.

Pour qu’un fournisseur de logiciels puisse travailler avec, par exemple, le système pénitentiaire local d’une ville, les ingénieurs de ces comptes sont tenus de fournir leurs données personnelles – y compris les numéros de sécurité sociale – au CJIS pour des vérifications d’antécédents criminels et de crédit. C’est similaire à l’autorisation que les travailleurs de la technologie doivent obtenir pour travailler avec les agences fédérales, connues sous le nom de FedRAMP.

Mais contrairement à FedRAMP, des clients comme le NYPD peuvent ajouter des exigences supplémentaires – comme interdire à quiconque a déposé son bilan de travailler sur le compte – qui rendent le processus CJIS plus ad hoc. Cela a empêché Salesforce de pouvoir déployer un processus standardisé, selon des sources.

« La confiance est notre valeur numéro un et nous prenons très au sérieux la protection des données de nos clients. La protection des données des clients inclut la conformité à divers programmes réglementaires, tels que la politique de sécurité des services d’information sur la justice pénale (CJIS), qui peut imposer des exigences supplémentaires aux employés de Salesforce », a déclaré un porte-parole de Salesforce dans un communiqué envoyé par courrier électronique.

Après avoir reçu un aperçu détaillé des reportages dans cette histoire, le porte-parole a refusé de commenter davantage.

CJIS sur le cerveau

La plongée dans le travail lié au CJIS fait partie d’une tentative plus large de Salesforce de gagner plus d’affaires avec le gouvernement, y compris le travail top secret avec des agences comme le Département d’État. La société a au moins 12 accords en attente avec des clients liés au CJIS, y compris la Drug Enforcement Administration des États-Unis, selon une source proche du pipeline.

Cependant, l’entreprise a eu du mal à galvaniser le soutien des employés pour les exigences ultérieures qui accompagnent sa poussée plus profonde dans l’industrie de l’application de la loi. Signe des difficultés auxquelles Salesforce est confrontée, ni l’entreprise ni le NYPD ne confirmeraient si l’accord discuté lors de la réunion de décembre dernier est toujours actif.

Afin de gagner plus de clients du secteur public, Salesforce doit prouver qu’il peut répondre aux exigences imposées par le NYPD et d’autres. Mais l’effort de décembre a déclenché la sonnette d’alarme chez certains, ce qui a finalement entraîné le déplacement de plusieurs employés de la division cloud du gouvernement en raison de refus de signer le contrat et de soumettre leurs informations personnelles, ont indiqué des sources. Salesforce a refusé de commenter les questions liées aux employés.

Avec seulement quelques heures pour revoir un contrat plus gros que « Guerre et Paix », certains ingénieurs ont repoussé. Les dirigeants de Salesforce ont fini par devoir tenir une assemblée publique le 13 décembre pour répondre aux questions des employés, ont indiqué les sources.

Les ingénieurs ont été invités à remplir ce qui équivalait à des formulaires de réservation, ont indiqué les sources, y compris la liste de leurs tatouages ​​ou cicatrices visibles.

En fin de compte, les travailleurs ont eu plus de temps pour examiner et signer le contrat. Mais certains employés ont remis en question le calendrier urgent diffusé par Salesforce. Par exemple, les documents incluaient la signature d’un cadre qui avait quitté des mois auparavant, indiquant que Salesforce s’attendait depuis longtemps à cette confrontation, selon une source, et un canal Slack auquel les employés avaient accès montrait des conversations de cadres discutant du mandat en attente plusieurs mois auparavant.

De nombreuses questions des employés portaient sur la manière dont leurs informations seraient utilisées, les protocoles en place pour les protéger, combien de temps elles seraient stockées et, en fin de compte, si cela les ouvrirait à des vérifications de crédit ou d’antécédents non autorisées. Salesforce, ont indiqué des sources, a fourni peu de réponses.

L’autre problème flagrant avec le CJIS, ont-ils soutenu, est que chaque client potentiel peut avoir une liste distincte d’exigences d’informations supplémentaires et de demandes ultérieures qui pourraient empêcher un individu de travailler sur le compte. FedRAMP, d’autre part, a une liste uniforme d’exigences qui doivent être respectées par toutes les entreprises.

C’est aussi un problème que certains rivaux – et partenaires proches – n’ont pas. D’autres fournisseurs, à savoir les fournisseurs de cloud, n’ont probablement pas à soumettre d’informations sur les employés au système CJIS, même s’ils travaillent avec des clients similaires. En effet, AWS, Microsoft et Google ont, pour l’essentiel, mis en place des protections plus strictes qui empêchent leurs propres employés d’accéder aux informations des clients.

« Il est peu probable que le personnel du service cloud ait un accès non accompagné à des informations de justice pénale non cryptées », a déclaré un porte-parole du FBI à Protocol. Les porte-parole d’AWS, de Microsoft et de Google Cloud n’ont pas répondu aux multiples demandes envoyées par e-mail.

Cependant, les ingénieurs de Salesforce peuvent accéder à ces données pour aider à la maintenance et au support, selon une source familière avec son fonctionnement interne. Il est également difficile d’empêcher les ingénieurs d’accéder à des comptes spécifiques étant donné que les différents systèmes partagent tous une infrastructure sous-jacente qui rend difficile l’installation de tels pare-feu, selon les sources. Salesforce, cependant, essaie de déplacer certains programmes auto-hébergés vers des systèmes FedRAMP détenus et gérés par AWS, selon l’une des sources.

La troisième fois est le charme

Le NYPD avait des règles strictes concernant qui pouvait travailler sur le compte. Par exemple, toute personne ayant commis une infraction de déménagement passible d’une amende de plus de 300 dollars ou ayant déclaré faillite n’a pas été autorisée à travailler avec le client, ont indiqué des sources.

Certains employés ont immédiatement rechigné. En même temps, ce n’était pas une nouvelle demande pour beaucoup dans la salle.

Salesforce avait déjà tenté une démarche similaire à deux reprises, selon des sources : une fois, en 2017, avec les départements des prisons de Philadelphie, et une autre fois, des années plus tard, pour un client qui n’a pas pu être vérifié de manière indépendante par Protocol.

Le contrat avec le département des prisons de Philadelphie a échoué au milieu de la résistance des employés. Les ingénieurs ont été invités à remplir ce qui équivalait à des formulaires de réservation, ont indiqué les sources, y compris la liste de leurs tatouages ​​ou cicatrices visibles. Étant donné que les employés de Salesforce étaient techniquement des sous-traitants, c’était le seul moyen pour le système pénitentiaire de traiter les vérifications d’antécédents et de crédit nécessaires.

Cependant, un porte-parole du Département des prisons de Philadelphie a nié que c’était la raison pour laquelle l’accord s’était désintégré.

« Le contrat n’a pas été résilié car les employés se sont opposés à fournir leurs informations personnelles à CJIS », ont-ils déclaré dans un communiqué envoyé par courrier électronique. Le porte-parole a refusé de commenter davantage, citant un litige en cours avec la société. Salesforce a refusé de commenter.

Mais il est clair que l’entreprise n’était peut-être pas préparée à la résistance des employés.

L’une des exigences du CJIS, par exemple, concerne les empreintes digitales des employés. Salesforce a suggéré de stocker toutes les empreintes digitales des employés applicables sur un ordinateur portable crypté séparé. Cela, combiné à un accord signé des employés, permettrait alors à l’entreprise de fournir plus facilement les données de ses travailleurs aux futurs clients. Les ingénieurs, cependant, l’ont vu différemment et ont repoussé. L’idée a finalement été abandonnée.

La pression pour décrocher le NYPD – ainsi que l’embauche pour des rôles connexes – est un signe clair que Salesforce est impatient de gagner plus d’affaires dans le domaine de l’application de la loi. Salesforce tente également d’intensifier son travail avec d’autres agences fédérales. Par exemple, l’entreprise recrute actuellement pour un poste sur le « Projet Blackjack », le nom de code de Salesforce pour une initiative top secrète avec le Département d’État.

L’effort pour approfondir le secteur de l’application de la loi arrive à un moment intéressant pour Salesforce. Les employés rendent public leur déception face au travail de l’entreprise avec la NRA après la fusillade d’Uvalde. Et avec la réputation des forces de l’ordre ternie pour certains au-delà de toute réparation, les ambitions de croissance de Salesforce pourraient à nouveau se heurter à ses valeurs culturelles chères.