Microsoft ha pubblicato il primo report sui progressi della sua Secure Future Initiative (SFI), un ambizioso progetto di cybersicurezza lanciato nel novembre 2023 e ampliato nel maggio 2024. La pubblicazione, che rappresenta il più vasto sforzo di ingegneria della sicurezza nella storia e che arriva poco dopo il summit a porte chiuse con i vendor di cybersecurity a seguito dell’incidente CrowdStrike, ha visto l’impiego dell’equivalente di 34.000 ingegneri a tempo pieno.

Il colosso di Redmond ha adottato un approccio olistico alla sicurezza, articolato in sei pilastri fondamentali. Questo nuovo paradigma pone la sicurezza al centro di ogni attività, coinvolgendo ogni dipendente Microsoft in questo impegno collettivo. Per rafforzare la governance, Microsoft ha istituito un Consiglio di Governance per la Cybersicurezza e ha nominato Vice Chief Information Security Officers (Deputy CISOs) per le principali funzioni di sicurezza e tutte le divisioni di ingegneria. Questo consiglio, guidato dal CISO Igor Tsyganskiy, sovrintende al rischio informatico complessivo, alla difesa e alla conformità dell’azienda.

La sicurezza è ora una priorità fondamentale per tutti i dipendenti Microsoft, tanto da essere inclusa nelle loro valutazioni delle prestazioni. Questa mossa mira a responsabilizzare ogni individuo e a codificare il contributo dei dipendenti all’SFI e, per supportare questo obiettivo, Microsoft ha lanciato la Security Skilling Academy, un’esperienza di apprendimento personalizzata con formazioni sulla sicurezza per tutti i dipendenti a livello globale.

Per garantire responsabilità e trasparenza ai massimi livelli, il team di leadership senior di Microsoft esamina settimanalmente i progressi dell’SFI e fornisce aggiornamenti trimestrali al CDA. Inoltre, le prestazioni in materia di sicurezza sono ora direttamente collegate alla retribuzione dei dirigenti senior.

Microsoft Secure Future Initiative

Microsoft ha annunciato di aver compiuto progressi significativi in ciascuno dei sei pilastri chiave:

  • Protezione di identità e segreti: Microsoft ha completato gli aggiornamenti di Microsoft Entra ID e Microsoft Account per generare, archiviare e ruotare automaticamente le chiavi di firma dei token di accesso utilizzando il servizio Azure Managed Hardware Security Module. Ha inoltre esteso la convalida standardizzata dei token di sicurezza e implementato la verifica video degli utenti per il 95% degli utenti interni Microsoft
  • Protezione dei tenant e isolamento dei sistemi di produzione: Microsoft ha eliminato 730.000 app inutilizzate e 5,75 milioni di tenant inattivi, riducendo drasticamente la potenziale superficie di attacco informatico. Ha anche implementato un nuovo sistema per semplificare la creazione di tenant di test con impostazioni predefinite sicure
  • Protezione delle reti: Oltre il 99% delle risorse fisiche sulla rete di produzione è ora registrato in un sistema di inventario centrale. Le reti virtuali con connettività backend sono isolate dalla rete aziendale Microsoft per ridurre il movimento laterale
  • Protezione dei sistemi di ingegneria: L’85% delle pipeline di build di produzione per il cloud commerciale utilizza ora modelli di pipeline governati centralmente. Microsoft ha anche ridotto la durata dei Personal Access Token a sette giorni e disabilitato l’accesso SSH per tutti i repository di ingegneria interni
  • Monitoraggio e rilevamento delle minacce: Microsoft ha fatto progressi significativi nell’applicazione di librerie standard per i log di audit di sicurezza in tutta l’infrastruttura e i servizi di produzione aziendali, garantendo l’emissione di telemetria rilevante e la conservazione dei log per un minimo di due anni
  • Accelerazione della risposta e della correzione: Microsoft ha aggiornato i processi per migliorare il tempo di mitigazione per le vulnerabilità critiche del cloud. Ha inoltre iniziato a pubblicare le vulnerabilità critiche del cloud come Common Vulnerability and Exposures (CVE) e ha istituito il Customer Security Management Office (CSMO) per migliorare la comunicazione pubblica e il coinvolgimento dei clienti in caso di incidenti di sicurezza.

Microsoft si impegna infine a evolvere continuamente l’SFI, adattandosi alle nuove minacce informatiche e raffinando le proprie pratiche di sicurezza. Questo impegno è rafforzato dal sostegno di Microsoft al Secure by Design pledge della United States Cybersecurity and Infrastructure Security Agency (CISA) e dall’integrazione delle raccomandazioni del Cyber Safety Review Board (CSRB).