مايكروسوفت تضاعف جهودها مبادرة المستقبل الآمن التي تم إطلاقها مؤخرًا (SFI)، توسيع البرنامج – الذي يهدف إلى معالجة مشكلات البرامج والثغرات الأمنية التي يتم استغلالها بشكل متكرر من قبل الجهات الفاعلة في مجال التهديد – في أعقاب تقرير مجلس مراجعة السلامة السيبرانية التابع لحكومة الولايات المتحدة (CSRB) على اقتحام Storm-0558 العام الماضي و هجوم منتصف الليل Blizzard في يناير 2024 (Cozy Bear)..
وقال ريدموند إن التطور السريع لمشهد التهديدات يسلط الضوء على خطورة التهديدات التي تواجه عملياته وعمليات عملائه على السواء، وأقر بأنه نظرا لدوره المركزي في النظام البيئي لتكنولوجيا المعلومات في العالم، فإنه يتحمل “مسؤولية حاسمة” لكسب المال. والحفاظ على الثقة.
“إننا نجعل الأمان على رأس أولوياتنا في Microsoft، قبل كل شيء – قبل كل الميزات الأخرى. نحن نعمل على توسيع نطاق SFI، ودمج التوصيات الأخيرة الصادرة عن CSRB قال تشارلي بيل، نائب الرئيس التنفيذي لـ Microsoft Security: “بالإضافة إلى ما تعلمناه من Midnight Blizzard لضمان بقاء نهج الأمن السيبراني لدينا قويًا ومتكيفًا مع مشهد التهديدات المتطور”.
“سنحشد ركائز وأهداف SFI الموسعة عبر Microsoft وسيكون هذا بُعدًا في قرارات التوظيف لدينا. بالإضافة إلى ذلك، سنعمل على ترسيخ المساءلة من خلال إسناد جزء من تعويضات فريق القيادة العليا للشركة إلى التقدم الذي أحرزناه في تلبية خططنا ومعالمنا الأمنية.
إس إف آي، كما هو موضح في البداية بقلم نائب رئيس مايكروسوفت ورئيسها براد سميث في نوفمبر 2023، تتمحور هذه الاستراتيجية حول ثلاث ركائز أساسية – تطوير وتحسين الدفاعات السيبرانية القائمة على الذكاء الاصطناعي، وتحسين ممارسة هندسة البرمجيات، والدعوة إلى تطبيق أقوى للمعايير الدولية في الفضاء السيبراني.
في منشور بالمدونة يوضح توسيع SFIوأوضح بيل أن هذا النهج سوف يتطور الآن مع العمل على أن يسترشد بثلاثة مبادئ جديدة:
- الأمان حسب التصميم، كاعتبار أساسي في تصميم وتطوير أي منتج أو خدمة من منتجات Microsoft؛
- الأمان افتراضيًا، مع تمكين وسائل الحماية وتنفيذها افتراضيًا، ولا تتطلب أي جهد إضافي من المستخدمين، ولكن أيضًا بدون إلغاء الاشتراك؛
- عمليات آمنة، مع تحسين عناصر التحكم والمراقبة بشكل مستمر لمواجهة التهديدات المتغيرة بشكل مباشر.
إضافة إلى ذلك، ستقوم Microsoft الآن بمواءمة مجموعة من الأهداف والإجراءات الموسعة مع ستة ركائز ذات أولوية، على النحو التالي:
- حماية الهويات والأسرار باستخدام أفضل المعايير الجاهزة للقياس الكمي؛
- حماية وعزل جميع مستأجري Microsoft وأنظمة الإنتاج؛
- حماية شبكات إنتاج Microsoft، وعزل موارد Microsoft والعملاء؛
- حماية الأنظمة الهندسية، بما في ذلك أصول البرامج وأمن التعليمات البرمجية وإدارة سلسلة توريد البرامج؛
- مراقبة التهديدات واكتشافها، وتوفير تغطية شاملة والكشف التلقائي عن التهديدات للبنية التحتية لإنتاج Microsoft؛
- تسريع الاستجابة ومعالجة نقاط الضعف، وتقليل الوقت اللازم للتخفيف من الأخطاء عالية الخطورة وتحسين الرسائل العامة والشفافية.
“تتوافق هذه الأهداف بشكل مباشر مع ما تعلمناه من حادثة Midnight Blizzard بالإضافة إلى جميع توصيات CSRB الأربعة المقدمة إلى Microsoft وجميع التوصيات الـ 12 لمقدمي الخدمات السحابية (CSPs)، عبر مجالات الثقافة الأمنية، وأفضل ممارسات الأمن السيبراني، ومعايير تسجيل التدقيق، قال بيل: “معايير الهوية الرقمية والتوجيهات والشفافية”.
وأضاف: “نحن نحقق هذه الأهداف من خلال مستوى جديد من التنسيق مع نموذج تشغيل جديد يربط القادة والفرق بالركائز الستة لـ SFI، من أجل دفع الأمن بشكل كلي وكسر الصوامع التقليدية”.
داخليًا، تتخذ Microsoft أيضًا خطوات لتحسين كيفية استجابة موظفيها كفريق واحد، وتنفيذ مبادرات جديدة للمساعدة في تفعيل تعلمها من الحوادث، ووضع إطار عمل جديد للحوكمة يشرف عليه CISO Igor Tsyganskiy، والذي يقدم شراكة بين الفرق الهندسية وفريق العمل. مجموعة تم إنشاؤها حديثًا من نواب مسؤولي أمن المعلومات، وسيتم دعمها من خلال النطاق الكامل لممثل الدولة القومي الحالي لدى Microsoft وقدرات صيد التهديدات.
كما تخطط أيضًا لبذل المزيد من الجهد لغرس ثقافة الأمن أولاً، وستبدأ اجتماعات تشغيلية أسبوعية وشهرية واسعة النطاق لتشمل جميع مستويات الإدارة وكبار المساهمين الأفراد الذين يعملون على التنفيذ التفصيلي والتحسين المستمر للأمن.
“في نهاية المطاف، تعمل Microsoft على أساس الثقة ويجب اكتساب هذه الثقة والحفاظ عليها. باعتبارنا مزودًا عالميًا للبرمجيات والبنية التحتية والخدمات السحابية، فإننا نشعر بمسؤولية عميقة للقيام بدورنا للحفاظ على سلامة العالم وأمانه. وعدنا هو التحسين المستمر والتكيف مع الاحتياجات المتطورة للأمن السيبراني. قال بيل: “هذه هي الوظيفة رقم واحد بالنسبة لنا”.
“لدى Microsoft بعض الأهداف الطموحة حقًا في مبادرة المستقبل الآمن. وقال جيك ويليامز، عضو هيئة التدريس في شركة الأبحاث السيبرانية: “معظم المنظمات ليس لديها الإرادة ولا القدرة التقنية لتحقيق هذه الأهداف، ولكن أي منظمة تفعل ذلك ستكون في موقع رئيسي لصد معظم التدخلات”. أبحاث إيانس، وهاكر سابق لوكالة الأمن القومي. “من المؤكد أن Microsoft لديها القدرة التقنية على تنفيذ هذه الأمور، ولكن هذا هو الحال دائمًا. ويبدو أن لديهم الآن الإرادة السياسية للقيام بذلك أيضاً.
“هناك الكثير من التفاصيل حول التحسينات الأمنية الفنية المهمة التي تجريها Microsoft. أصعب جزء في معظم هذه الأمور هو الوصول إلى 100%. أي شيء أقل من 100% يترك مساحة هجوم متبقية ستستغلها الجهات الفاعلة في التهديد. تتبع هذه الجهود قاعدة 80/20 القديمة حيث يتم بذل معظم الجهود لضم آخر المعاقل إلى النظام الأمني الجديد. الشيء الذي يمنحني أكبر قدر من الثقة في أن Microsoft ستحقق ذلك هو التأكيد على أن نواب نائب الرئيس للمهندسين يعقدون اجتماعات تشغيلية منتظمة مع جميع مستويات الإدارة وكبار المديرين التنفيذيين. وقال: “هذه هي الطريقة التي تعزز بها التغيير الثقافي وتتأكد من استمراره”.
