微软在一系列失败后将安全性视为“首要任务”进行全面改革

📝

内容提要

微软将安全性作为员工首要任务，制定了安全原则和目标，并与高级领导团队的薪酬挂钩。微软已制定三个安全原则，加强工程团队的安全思维。微软实施了多因素身份验证，并删除了不符合标准的应用程序。微软增加了副首席信息安全官，并将威胁情报团队直接报告给首席信息安全官。

🔎

延伸解读

薪酬挂钩：安全改革的问责机制

微软将高级领导团队的薪酬与安全计划进展挂钩，这直接回应了美国网络空间安全审查委员会对微软安全文化不达标的批评。通过经济激励，微软试图在内部建立更强的安全问责制，确保领导层对安全目标负责。这种机制可能推动安全措施更快落地，但实际效果取决于目标设定和评估的透明度。

三大原则与六大支柱：从设计到运营的安全框架

微软提出了“设计安全、默认安全、运营安全”三大原则，并细化为六大安全支柱，涵盖身份保护、租户隔离、网络防护、工程系统安全、威胁监控和响应加速。这些目标具体且可衡量，例如100%账户启用多因素认证、保留100%安全日志两年等，为改革提供了清晰的路线图。

已见成效：多因素认证与清理不合规应用

微软已在超过100万个内部租户中默认启用多因素认证，并删除了73万个不符合安全标准的应用程序。这些早期成果表明改革并非空谈，而是已进入执行阶段。不过，这些措施主要针对微软自身环境，其能否有效防范类似2023年美国政府邮箱被入侵的事件，仍需时间检验。

组织调整：副CISO与威胁情报直报

微软为每个产品团队增加副首席信息安全官，并将威胁情报团队直接汇报给首席信息安全官。这一结构调整旨在将安全责任嵌入工程团队，并提升威胁情报的决策层级。结合每周和每月的运营会议，微软正试图从文化层面改变安全思维，但文化转型往往比技术改革更漫长。

❓

Q&A

微软为何将安全性视为首要任务？

微软在经历了一系列安全问题和批评后，决定将安全性作为首要任务，以应对来自网络安全审查委员会的报告和外部攻击的压力。

微软制定了哪些安全原则？

微软制定了三个安全原则：设计时安全、默认安全和运营安全。

微软如何确保用户账户的安全？

微软承诺实施多因素身份验证，确保100%的用户账户受到保护。

微软在安全文化方面有哪些改进措施？

微软定期召开运营会议，提升安全思维，并为每个产品团队增加副首席信息安全官。

微软如何处理安全漏洞？

微软承诺加快响应和修复，减少高严重性云安全漏洞的修复时间，并提高透明度。

微软在实施多因素身份验证方面取得了哪些进展？

微软已在超过100万个租户中默认实施多因素身份验证，并删除了73万个不符合标准的应用程序。

🏷️

标签

多因素身份验证 安全原则 安全性 工程团队 微软