Vídeo: ¿CÓMO FUNCIONA MICROSOFT? (Setembre 2024)
Microsoft va anunciar una varietat de productes de seguretat a la conferència Ignite aquesta setmana, però una de les coses que va destacar va ser la seva ferma creença que la manera de gestionar les vostres operacions de seguretat és tan important com els productes que publiqueu.
El director general de seguretat de la informació de Microsoft, Bret Arsenault (a la part superior), va ser contundent quan va descriure el propi entorn de seguretat de Microsoft i el seu enfocament per gestionar la seguretat per a ell i els seus clients. Va dir que la companyia resol uns 20.000 milions d’esdeveniments de seguretat enormes al dia.
"Els usuaris són la meva primera línia i la meva última línia de defensa", va dir Arsenault, i va assenyalar que Microsoft té 125.000 empleats més 70.000 socis "malignes". Va destacar el gran repte de gestionar un entorn tan ampli i divers, que inclou 32 versions dels seus sistemes operatius en ús, 500.000 entorns Linux, la segona base instal·lada a Macintosh més gran a qualsevol lloc (Apple és la primera) i la "N + 1" següent. versió de Windows. Va dir que el seu objectiu principal és protegir l'empresa, no utilitzar productes de Microsoft.
Arsenault va dedicar molt temps a "oportunitat i risc", i va explicar com l'accés permanent, els massius conjunts de dades, l'emmagatzematge basat en núvols i l'enginyeria moderna creen moltes oportunitats i importants reptes de seguretat. Per exemple, la sobirania de les dades és un problema important, perquè l’empresa té 596 ubicacions i Arsenault ha de considerar dades que poden transcendir les fronteres. Va dir que els diners derivats de la ciberdelinqüència han superat la que es va fer al comerç il·legal de drogues. També li preocupa la cadena de subministrament i la capacitat de qualsevol empresa per protegir-la.
Arsenault va assenyalar que el canvi cap a la informàtica en núvol significa que, mentre que la seguretat de la xarxa segueix sent important, no és suficient i va dir que "la identitat és el nou perímetre".
Arsenault va compartir els seus propis principis de lideratge, dient que és important tenir objectius simplificats. Els seus tres punts principals: un líder ha de crear claredat, generar energia i aportar èxit. En termes de claredat, va dir que és important "deixar els llapis d'enginyeria i agafar un llapis", és a dir, que les coses siguin senzilles per als usuaris finals. Arsenault va destacar que és important no confondre un missatge que funcioni per a una població d'enginyeria amb el que funciona per a la base d'usuaris generals.
Per a això, va descriure la seva estratègia com a femta de tres potes: gestió de la identitat, dades i telemetria i salut del dispositiu.
Dit d’una altra manera, va dir Arsenault, per connectar-vos a qualsevol dels serveis, necessiteu una identitat forta, verificada amb autenticació de diversos factors. Si teniu una identitat molt gran, encara ha de garantir que el dispositiu des del qual us connecteu és segur. Amb 20 mil milions d’esdeveniments al dia, necessita una gran telemetria de dades per rastrejar sistemes, millorar-los i protegir-los.
Passant del general al més granular, Arsenault va dir que havia identificat cinc grans pilars o principis com a àrees d’inversió aquest any: gestió de riscos, gestió d’identitats, salut del dispositiu, dades i telemetria i protecció de la informació - i dins d’aquests pilars se centra. en 27 serveis bàsics. També va enumerar 11 "èpics", essencialment a curt termini de 18-24 mesos, que es completaran, fracassaran o es convertiran en futurs serveis bàsics. Té un equip relativament reduït de nou o deu persones que miren la tecnologia emergent per veure què pot ajudar l’empresa amb les seves necessitats de seguretat. Microsoft tenia 80 venedors de seguretat quan va assumir el paper CISO fa 8 anys, va afegir Arsenault.
Una de les iniciatives clau durant els últims anys ha estat traslladar les càrregues de treball a Azure. Arsenault va dir que la companyia ha traslladat el 95 per cent de les seves càrregues de treball. Pel que fa al procés, el primer que cal fer és considerar les sol·licituds i decidir si encara les necessiten; de prop de 2.000 aplicacions de línia de negoci, Arsenault va dir que Microsoft va trobar que només podia eliminar el 30 per cent. El següent que cal fer és trobar aplicacions que es puguin convertir en una solució de programari com a servei; això va funcionar al voltant del 15 per cent de les aplicacions de Microsoft. Per als que quedaven, el següent pas era virtualitzar totes les aplicacions, agafar aplicacions noves o simples i traslladar-les a Plataforma com a servei, fent un "ascensor i desplaçament" a les ofertes per a infraestructures com a servei. la majoria dels altres.
En aquest procés, es van moure més aplicacions al núvol del que hauria pensat (inclòs el sistema SAP de Microsoft), i va suggerir que les empreses es traslladessin a PaaS abans del que podrien haver previst.
És important seguir avançant durant un esforç d’aquest tipus, va dir Arsenault, i continuar creant energia al voltant del projecte, ja que els projectes sovint deixen d’avançar fins a la meitat. Les persones solen utilitzar el 5 per cent de les càrregues de treball que no es mouran al núvol com a excusa per no fer l’altre 95 per cent, i va dir que cal crear sensació d’urgència per fer que el moviment es produeixi (com per exemple, establir una data per tancar un centre de dades).
Una cosa que va crear el seu equip va ser un DevOps Toolkit per a Azure dissenyat per controlar 250 controls de diverses aplicacions per garantir que tot funciona. Arsenault va dir que el seu grup ho ha fet disponible a través de codi obert i creu que aquests principis per a la gestió de les empreses es construiran a Azure en uns 18 mesos.
Arsenault va centrar part de la seva xerrada a la seguretat dels administradors, que normalment tenen més accés a un sistema. Va parlar de reduir el nombre d'administradors permanents; utilitzar un sistema d’identitat independent per donar-los menys privilegis; i fer que realitzin tasques de seguretat només en una "estació de treball d'administració segura", que va descriure com un "dispositiu súper segur" amb una imatge especial que aplana i reconstrueix la màquina amb freqüència i que es crea mitjançant una cadena de subministrament segura. Aquestes màquines només tenen codi de lloc i estan molt bloquejades, amb llistes blanques per determinar què i on es poden connectar. Per a connexions amb altres serveis, els administradors poden connectar-se a màquines virtuals.
Arsenault també va parlar de la importància d’eliminar les contrasenyes. Fa temps que utilitza l’aplicació Authenticator de l’empresa i va dir que és important no “deixar que el perfecte sigui l’enemic del bé”. Es tracta d’eliminar la sol·licitud, i segons els usuaris d’aquesta aplicació no veuen contrasenyes, encara es troben sota la superfície (tot i que d’aquí a uns anys es poden substituir amb certificats). Va suggerir que els professionals de la seguretat de les empreses deixin de parlar de MFA i, en comptes d'això, comencen a parlar sobre l'eliminació de contrasenyes, l'objectiu és que això no sigui una capa addicional, sinó una cosa que facilita l'accés als usuaris.
- Microsoft decideix no interrompre les instal·lacions de Firefox / Chrome Microsoft decideix no interrompre les instal·lacions de Firefox / Chrome
- El CEO de Microsoft impulsa la iniciativa de dades obertes, una nova seguretat a Ignite El CEO de Microsoft impulsa la iniciativa de dades obertes, una nova seguretat a Ignite
- Microsoft Tips New AI, Security for Office, Microsoft 365 Microsoft Tips New AI, Security for Office, Microsoft 365
El que realment em va destacar a la xerrada d’Arsenault va ser que la majoria de les seves idees: simplificar les teves eines, traslladar el que té sentit al núvol, centrar-se en la identitat, controlar la comptabilitat administrativa, anar més enllà de les contrasenyes tradicionals, no són noves ni tan sols controvertides. El repte més important, en canvi, sembla que realment s’implementin aquestes coses de manera que no interfereixin amb la resta de la seva petjada informàtica i que siguin acceptables -o fins i tot preferibles- per als usuaris finals. En un món amb més amenaces de seguretat que mai, és crucial seguir endavant.
