Come Microsoft fa la sicurezza nel 2019

Microsoft ha annunciato una varietà di prodotti per la sicurezza alla sua conferenza Ignite questa settimana, ma una delle cose che si è distinta è stata la loro ferma convinzione che il modo in cui esegui le tue operazioni di sicurezza è importante quanto i prodotti che esegui.

Il responsabile della sicurezza delle informazioni di Microsoft, Bret Arsenault (in alto), è stato enfatico nel descrivere l'ambiente di sicurezza di Microsoft e il suo approccio alla gestione della sicurezza per sé e per i suoi clienti. Ha detto che la società risolve un enorme 20 miliardi di eventi di sicurezza al giorno.

"Gli utenti sono sia la mia prima linea che la mia ultima linea di difesa", ha detto Arsenault e ha osservato che Microsoft ha 125.000 dipendenti più 70.000 partner "con badge". Ha sottolineato l'enorme sfida della gestione di un ambiente così ampio e diversificato, che include 32 versioni dei suoi sistemi operativi in ​​uso, 500.000 ambienti Linux, la seconda più grande base installata per Macintosh ovunque (Apple è la prima) e la "N + 1" successiva versione di Windows. Ha affermato che il suo obiettivo principale è proteggere l'azienda, non utilizzare i prodotti Microsoft.

Arsenault ha dedicato molto tempo a "opportunità e rischi" e ha spiegato in che modo l'accesso sempre attivo, enormi set di dati, archiviazione basata su cloud e ingegneria moderna creano molte opportunità e sfide significative per la sicurezza. Ad esempio, la sovranità dei dati è un grosso problema, perché la società ha 596 posizioni e Arsenault deve prendere in considerazione i dati che possono trascendere i confini. Ha detto che il denaro derivato dal crimine informatico ha superato quello realizzato nel commercio illegale di droga. È anche preoccupato per la catena di approvvigionamento e la capacità di qualsiasi azienda di proteggerla.

Arsenault ha osservato che il passaggio al cloud computing significa che mentre la sicurezza della rete rimane importante, non è sufficiente e ha affermato che "l'identità è il nuovo perimetro".

Arsenault ha condiviso i suoi principi di leadership, dicendo che è importante avere obiettivi semplificati. I suoi tre punti principali: un leader deve creare chiarezza, generare energia e fornire successo. Per chiarezza, ha affermato che è importante "posare la matita tecnica e raccogliere un pastello", in altre parole, per rendere le cose semplici per gli utenti finali. Arsenault ha sottolineato che è importante non confondere un messaggio che funziona per una popolazione ingegneristica con ciò che funziona per la base di utenti generale.

A tal fine, ha descritto la sua strategia come uno sgabello a tre gambe: gestione delle identità, dati e telemetria e integrità del dispositivo.

In altre parole, ha detto Arsenault, per connettersi a uno qualsiasi dei servizi, è necessaria un'identità forte, verificata dall'autenticazione a più fattori. Se hai una grande identità, deve comunque assicurarsi che il dispositivo da cui ti stai connettendo sia sicuro. Con 20 miliardi di eventi al giorno, ha bisogno di ottimi dati di telemetria per tracciare i sistemi, migliorarli e proteggerli.

Passando dal generale al più granulare, Arsenault ha affermato di aver identificato cinque pilastri o principi principali come aree di investimento quest'anno - gestione del rischio, gestione delle identità, integrità dei dispositivi, dati e telemetria e protezione delle informazioni - e all'interno di questi pilastri si concentra su 27 servizi principali. Ha anche elencato 11 "epopee", essenzialmente progetti a breve termine della durata di 18-24 mesi, che saranno completati, falliranno o diventeranno futuri servizi di base. Ha un team relativamente piccolo di nove o dieci persone che guardano alla tecnologia emergente per vedere cosa può aiutare l'azienda con le sue esigenze di sicurezza. Microsoft aveva 80 fornitori di sicurezza quando ha assunto il ruolo di CISO 8 anni fa, ha aggiunto Arsenault.

Un'iniziativa chiave negli ultimi anni è stata lo spostamento dei carichi di lavoro in Azure. Arsenault ha dichiarato che l'azienda ha spostato il 95 percento dei suoi carichi di lavoro. In termini di processo, la prima cosa da fare è considerare le domande e decidere se ne hanno ancora bisogno; di circa 2.000 applicazioni line-of-business, Arsenault ha affermato che Microsoft ha scoperto che potrebbe semplicemente eliminare il 30 percento. La prossima cosa da fare è trovare applicazioni che potrebbero essere convertite in una soluzione Software-as-a-Service; questo ha funzionato per circa il 15 percento delle applicazioni di Microsoft. Per quelli che sono rimasti, il passo successivo è stato quello di virtualizzare tutte le applicazioni e prendere applicazioni nuove o semplici e spostarle in Platform-as-a-Service, facendo un "passaggio" alle offerte Infrastructure-as-a-Service per la maggior parte degli altri.

In questo processo, più applicazioni si sono spostate sul cloud di quanto avrebbe pensato (incluso il sistema SAP di Microsoft) e ha suggerito che le aziende dovrebbero passare a PaaS prima di quanto avrebbero potuto pianificare.

È importante continuare a muoversi durante tale sforzo, ha detto Arsenault, e continuare a creare energia attorno al progetto, poiché i progetti spesso cessano di avanzare a metà. Le persone spesso usano il 5 percento dei carichi di lavoro che non si sposteranno sul cloud come scusa per non fare l'altro 95 percento, e ha detto che è necessario creare un senso di urgenza per far sì che il trasferimento avvenga (come impostare una data per chiudere un data center).

Una cosa creata dal suo team è stata un DevOps Toolkit per Azure progettato per monitorare 250 controlli su varie applicazioni per garantire che tutto funzioni. Arsenault ha affermato che il suo gruppo lo ha reso disponibile tramite open source e ritiene che questi principi per la gestione aziendale saranno integrati in Azure tra circa 18 mesi.

Arsenault ha focalizzato parte del suo intervento sulla protezione degli amministratori, che in genere hanno più accesso a un sistema. Ha parlato della riduzione del numero di amministratori permanenti; utilizzando un sistema di identità separato per dare loro meno privilegi; e facendoli svolgere attività di sicurezza solo su una "workstation di amministrazione sicura", che ha descritto come un "dispositivo super sicuro" con un'immagine speciale che appiattisce e ricostruisce frequentemente la macchina e che viene creata utilizzando una catena di approvvigionamento sicura. Queste macchine eseguono solo il codice del sito e sono fortemente bloccate, con le whitelist per determinare a cosa e dove possono connettersi. Per le connessioni ad altri servizi, gli amministratori possono connettersi alle macchine virtuali.

Arsenault ha anche parlato dell'importanza dell'eliminazione delle password. Ha usato l'app Authenticator dell'azienda per un po 'di tempo e ha detto che è importante non "lasciare che il perfetto sia nemico del bene". Si tratta in realtà di eliminare i suggerimenti, ha affermato, e mentre gli utenti di questa app non vedono le password, sono ancora lì sotto la superficie (anche se in pochi anni potrebbero essere sostituiti con certificati). Ha suggerito che i professionisti della sicurezza all'interno delle aziende smettono di parlare di AMF e invece iniziano a parlare dell'eliminazione delle password, con l'obiettivo di vederlo non come un livello aggiuntivo, ma piuttosto come qualcosa che facilita l'accesso per gli utenti.

• Microsoft decide di non interrompere le installazioni di Firefox / Chrome Microsoft decide di non interrompere le installazioni di Firefox / Chrome
• Il CEO di Microsoft promuove Open Data Initiative, nuova sicurezza presso Ignite Il CEO di Microsoft promuove Open Data Initiative, nuova sicurezza presso Ignite
• Microsoft Tips New AI, Security for Office, Microsoft 365 Microsoft Tips New AI, Security for Office, Microsoft 365

Ciò che mi ha davvero colpito nel discorso di Arsenault è stato che la maggior parte delle sue idee - semplificare i tuoi strumenti, spostare ciò che ha senso nel cloud, concentrarsi sull'identità, controllare la contabilità amministrativa, andare oltre le password tradizionali - non sono nuove o addirittura controverse. La sfida più grande, invece, sembra essere effettivamente implementare queste cose in modi che non interferiscano con il resto del tuo footprint IT e che sono accettabili, o addirittura preferibili, per gli utenti finali. In un mondo con più minacce alla sicurezza che mai, è fondamentale continuare ad andare avanti.