La plus grande transformation de sécurité de Microsoft : Un rapport détaillé sur les progrès

L'engagement de Microsoft envers la cybersécurité en 2023

Dans un effort pour prioriser la sécurité comme jamais auparavant, Microsoft a clairement indiqué que la cybersécurité est désormais un axe central pour chaque employé au sein de l'organisation. Ce changement survient à la suite d'un rapport critique du US Cyber Safety Review Board et fait suite au lancement de leur Initiative pour un Futur Securisé (IFS) en novembre 2023. Cet article explore les mesures que Microsoft prend pour améliorer sa posture de sécurité et les implications pour ses employés.

Comprendre la nécessité du changement

Les résultats du US Cyber Safety Review Board ont peint un tableau préoccupant de la culture de sécurité de Microsoft, mettant en évidence le besoin urgent d'une refonte. Cela a incité Microsoft à engager activement tous ses employés, en soulignant leur responsabilité dans l'assurance de la sécurité à tous les niveaux.

L'Initiative pour un Futur Sécurisé (IFS)

Accompagné d'une équivalence de main-d'œuvre remarquable de 34 000 ingénieurs à temps plein dédiés à cette initiative, Microsoft a pris des mesures tangibles pour rénover ses processus de sécurité :

• Cadres de sécurité mis à jour : Améliorations apportées aux systèmes Entra ID et Microsoft Account pour améliorer la gestion des clés.
• Réduction des surfaces d'attaque : 5,75 millions de locataires inactifs ont été éliminés comme mesure pour minimiser les vulnérabilités.
• Surveillance et conformité : Plus de 99 % du réseau physique de Microsoft est maintenant suivi dans un système central d'inventaire pour un meilleur contrôle.

Performance des employés et normes de sécurité

Tous les employés sont désormais évalués en fonction de leurs contributions à la sécurité, Microsoft ayant intégré la sécurité dans son système d'évaluation des performances. Les principaux changements incluent :

• Contrôles d'accès : Validité réduite des tokens d'accès personnels et restriction de l'accès SSH dans les dépôts internes.
• Transparence dans les rapports de sécurité : Microsoft publie désormais de manière proactive les Vulnérabilités et Expositions Courantes (CVE) pour favoriser une culture de transparence.

Améliorations structurelles et directives de direction

Pour rationaliser les réformes de sécurité, Microsoft a mis en place une nouvelle structure de gouvernance avec la formation du Conseil de Gouvernance en Cybersécurité. Cela inclut la nomination de 13 deuxième directeurs de la sécurité de l’information (CISO), avec des embauches notables provenant de divers secteurs :

• Damon Becknel : CISO adjoint pour les industries régulées.
• Geoff Belknap : CISO adjoint pour les activités principales et les fusions et acquisitions.
• Shawn Bowen : CISO adjoint pour les jeux.
• Timothy Langan : CISO adjoint pour les affaires gouvernementales.

Formation continue et développement

En juillet, Microsoft a introduit une académie de formation en sécurité destinée à doter tous les employés des connaissances et pratiques de sécurité essentielles, soulignant son engagement envers l'apprentissage continu et la sécurité opérationnelle. Charlie Bell, responsable de la sécurité, exprime que "notre engagement envers la transparence et la collaboration dans l'industrie demeure inébranlable." Il a souligné la sécurité comme un élément fondamental plutôt que comme une simple fonctionnalité.

La route à suivre

Alors que Microsoft s'engage sur cette voie vers une culture de sécurité plus robuste, l'entreprise reconnaît que reconstruire la confiance et améliorer sa réputation prendra du temps. Cependant, grâce à des efforts dédiés et des évaluations fréquentes de la part de la direction, ils se dirigent vers un avenir où la sécurité est intégrée dans leur tissu opérationnel.

Conclusion

En conclusion, l'Initiative pour un Futur Sécurisé de Microsoft marque une étape significative en réponse aux critiques passées et à l'élévation de ses normes de cybersécurité. Avec un chemin clair tracé pour une amélioration continue, Microsoft vise non seulement à protéger ses actifs mais aussi à rassurer ses clients de son engagement à préserver l'intégrité des données.