Kuinka microsoft turvaa vuonna 2019

Microsoft ilmoitti Ignite-konferenssissaan tällä viikolla erilaisia ​​tietoturvatuotteita, mutta eräs niistä erottui heidän vakaasta uskomuksestaan, että tietoturvatoimintojen suorittaminen on yhtä tärkeää kuin käyttämäsi tuotteet.

Microsoftin tietoturvajohtaja Bret Arsenault (ylhäällä) oli painokkaasti kuvaileessaan Microsoftin omaa turvallisuusympäristöä ja sen lähestymistapaa itsensä ja asiakkaidensa tietoturvan hallintaan. Hän sanoi, että yritys ratkaisee valtavan 20 miljardin tietoturvatapahtuman päivässä.

"Käyttäjät ovat sekä ensimmäinen linjani että viimeinen puolustuslinjani", Arsenault sanoi ja huomautti, että Microsoftilla on 125 000 työntekijää plus 70 000 "merkki" -kumppania. Hän korosti valtavan haasteen hallintaa niin suurelle ja monimuotoiselle ympäristölle, joka sisältää käytössä olevien 32 käyttöjärjestelmän version, 500 000 Linux-ympäristöä, toiseksi suurimman Macintosh-asennetun tukikohdan missä tahansa (Apple on ensin) ja seuraavan "N + 1" Windows-versio. Hän sanoi, että hänen päätavoitteenaan on suojella yritystä, ei käyttää Microsoftin tuotteita.

Arsenault vietti paljon aikaa "mahdollisuuksiin ja riskeihin" ja selitti kuinka jatkuvan käytön pääsy, massiiviset tietosarjat, pilvipohjainen tallennus ja moderni tekniikka luovat monia mahdollisuuksia ja merkittäviä turvallisuushaasteita. Esimerkiksi tietojen suvereniteetti on tärkeä kysymys, koska yrityksellä on 596 toimipaikkaa ja Arsenaultin on harkittava tietoja, jotka voivat ylittää rajat. Hän sanoi, että tietoverkkorikollisuudesta saatava raha on ylittänyt laittoman huumekaupan rahan. Hän on myös huolissaan toimitusketjusta ja yrityksen kyvystä suojata sitä.

Arsenault totesi siirtymisen pilvipalveluihin tarkoittaen, että vaikka verkkoturvallisuus on edelleen tärkeätä, se ei riitä, ja sanoi, että "identiteetti on uusi kehä".

Arsenault jakoi omat johtamisperiaatteensa, sanoen, että on tärkeää yksinkertaistaa tavoitteita. Hänen kolme pääkohtaansa: johtajan on luotava selkeyttä, tuotettava energiaa ja toimitettava menestys. Selvyyden vuoksi hän sanoi, että on tärkeää "laittaa tekninen lyijykynä alas ja poimia värikynä" - toisin sanoen, jotta asiat olisivat helppoja loppukäyttäjille. Arsenault korosti, että on tärkeää olla sekoittamatta tekniikan väestölle tarkoitettua viestiä siihen, joka toimii yleisen käyttäjäkunnan kannalta.

Tätä varten hän kuvaili strategiaansa kolmiosaisena jakkarana: henkilöllisyyden hallinta, data- ja telemetria sekä laitteen terveys.

Toisin sanoen, Arsenault sanoi, yhteydenpitoon mihin tahansa palveluun tarvitaan vahva identiteetti, joka varmennetaan monikerroksisella todennuksella. Jos sinulla on hyvä identiteetti, hänen on silti varmistettava, että laite, josta yhdistät, on suojattu. Koska hänellä on 20 miljardia tapahtumaa päivässä, hän tarvitsee suuren datan telemetrian järjestelmien seuraamiseksi, parantamiseksi ja suojaamiseksi.

Siirtyessään yleisestä yksityiskohtaisempaan, Arsenault kertoi tunnistaneensa viisi pääpilaria tai periaatetta sijoituskohteiksi tänä vuonna - riskienhallinta, henkilöllisyyden hallinta, laitteiden terveys, data- ja telemetria sekä tietosuoja - ja näissä pilareissa hän keskittyy 27 ydinpalvelussa. Hän luetti myös 11 "eeppistä" - mahdollisesti lyhytaikaista hanketta, joka kestää 18–24 kuukautta - joka valmistuu, epäonnistuu tai siitä tulee tulevaisuuden ydinpalveluita. Hänellä on suhteellisen pieni yhdeksän tai kymmenen ihmisen tiimi, joka tarkastelee kehittyvää tekniikkaa nähdäkseen, mikä voi auttaa yritystä sen turvallisuustarpeissa. Microsoftilla oli 80 tietoturvatoimittajaa, kun hän otti CISO-roolin 8 vuotta sitten, Arsenault lisäsi.

Yksi keskeinen aloite viime vuosina on ollut työtaakkojen siirtäminen Azureen. Arsenault kertoi, että yritys on siirtänyt 95 prosenttia työmäärästään. Prosessin kannalta ensimmäinen asia on harkita sovelluksia ja päättää, tarvitsevatko he niitä edelleen; noin 2000: sta liiketoiminta-sovelluksesta Arsenault sanoi, että Microsoftin mielestä se voisi yksinkertaisesti poistaa 30 prosenttia. Seuraava tehtävä on löytää sovelluksia, jotka voitaisiin muuntaa palvelukokonaisiksi ohjelmistoratkaisuiksi; tämä toimi noin 15 prosentilla Microsoftin sovelluksista. Jäljelle jääneille seuraava askel oli virtualisoida kaikki sovellukset ja ottaa uudet tai yksinkertaiset sovellukset ja siirtää ne Palvelualustaksi -palveluun tekemällä "nosta ja siirrä" palvelun infrastruktuuritarjontaan suurin osa muista.

Tässä prosessissa pilveen siirtyi enemmän sovelluksia kuin hän olisi luullut (mukaan lukien Microsoftin SAP-järjestelmä), ja hän ehdotti, että yritysten tulisi siirtyä PaaS: iin aikaisemmin kuin mitä he olivat suunnitelleet.

On tärkeää jatkaa liikkumista tällaisen työn aikana, Arsenault sanoi, ja luoda energiaa edelleen hankkeen ympärille, koska projektit lakkaavat usein etenemästä puolivälissä. Ihmiset käyttävät usein 5 prosenttia työmääristä, jotka eivät siirry pilveen, tekosyynä olla tekemättä muuta 95: tä prosenttia, ja hän sanoi, että sinun on luotava kiireellisyys, jotta muutto tapahtuu (kuten päivämäärän asettaminen) tietokeskuksen sulkemiseen).

Yksi hänen ryhmänsä luoma asia oli DevOps Toolkit for Azure, joka on suunniteltu seuraamaan 250 ohjausta eri sovelluksissa varmistaakseen, että kaikki toimii. Arsenault sanoi, että hänen ryhmänsä on asettanut tämän avoimen lähdekoodin välityksellä, ja uskoo, että nämä yrityksen hallinnan periaatteet rakennetaan Azureen noin 18 kuukaudessa.

Arsenault keskitti osan puheestaan ​​järjestelmänvalvojien turvaamiseen, joilla on yleensä eniten pääsy järjestelmään. Hän puhui pysyvien ylläpitäjien määrän vähentämisestä; erillisen henkilöllisyysjärjestelmän käyttäminen heille vähemmän etuoikeuksien saamiseksi; ja saada heidät suorittamaan suojaustehtäviä vain "suojatussa järjestelmänvalvojan työasemassa", jota hän kuvaili "erittäin turvalliseksi laitteeksi", jolla on erityinen kuva, joka tasoittaa ja rakentaa konetta usein ja joka on luotu suojattua toimitusketjua käyttämällä. Nämä koneet käyttävät vain sivukoodia ja ovat erittäin lukittuja, ja sallittujen luetteloiden avulla voidaan päättää mihin ja mihin ne voivat muodostaa yhteyden. Muiden palveluiden yhteyksiä varten järjestelmänvalvojat voivat muodostaa yhteyden virtuaalikoneisiin.

Arsenault puhui myös salasanojen poistamisen tärkeydestä. Hän on käyttänyt yrityksen Authenticator-sovellusta jo jonkin aikaa, ja sanoi, että on tärkeää, ettei "anneta täydellisyyttä olla hyvän vihollista". Hänen mukaansa kyse on todella kehotuksen poistamisesta, ja vaikka tämän sovelluksen käyttäjät eivät näe salasanoja, he ovat edelleen pinnan alla (vaikkakin muutaman vuoden kuluttua ne voidaan korvata sertifikaateilla). Hän ehdotti, että yritysten tietoturva-ammattilaiset lopettaisivat puhumisen MFA: sta ja alkavat sen sijaan puhua salasanojen poistamisesta. Tavoitteena on nähdä tämä ei ole ylimääräinen kerros, vaan jotain, joka helpottaa käyttäjien pääsyä.

• Microsoft päättää olla keskeyttämättä Firefox / Chrome-asennuksia Microsoft päättää olla keskeyttämättä Firefox / Chrome-asennuksia
• Microsoftin toimitusjohtaja työntää avoimen datan aloitteen, uusi tietoturva Ignitissä Microsoftin toimitusjohtaja työntää avoimen datan aloitteen, uusi tietoturva Ignitessa
• Microsoft Tips Uusi AI, Office-tietoturva, Microsoft 365 Microsoft Tips New AI, Office-tietoturva, Microsoft 365

Minusta Arsenault puhui todella siitä, että suurin osa hänen ideoistaan ​​- työkalujen yksinkertaistaminen, järjen siirtäminen pilvelle, identiteettiin keskittyminen, hallinnollisen kirjanpidon hallinta, perinteisten salasanojen ylittäminen - eivät ole uusia tai edes kiistanalaisia. Suurin haaste sen sijaan näyttää olevan näiden asioiden tosiasiallinen toteuttaminen tavalla, joka ei häiritse muuta IT-jalanjälkeäsi ja joka on loppukäyttäjillesi hyväksyttävä tai jopa parempi. Maailmassa, jossa on enemmän turvallisuusuhkia kuin koskaan, on tärkeää jatkaa etenemistä.