Microsoft bảo mật như thế nào trong năm 2019

Microsoft đã công bố một loạt các sản phẩm bảo mật tại hội nghị Ignite tuần này, nhưng một trong những điều nổi bật là niềm tin vững chắc của họ rằng cách bạn điều hành các hoạt động bảo mật của mình cũng quan trọng như các sản phẩm bạn chạy.

Giám đốc an ninh thông tin của Microsoft Bret Arsenault (ở trên cùng) đã nhấn mạnh khi ông mô tả môi trường bảo mật của chính Microsoft và cách tiếp cận của họ để quản lý bảo mật cho chính họ và khách hàng của mình. Ông cho biết công ty giải quyết 20 tỷ sự kiện an ninh khổng lồ mỗi ngày.

"Người dùng là cả tuyến đầu tiên và tuyến phòng thủ cuối cùng của tôi", Arsenault nói và lưu ý rằng Microsoft có 125.000 nhân viên cộng với 70.000 đối tác "có huy hiệu". Ông nhấn mạnh thách thức to lớn trong việc quản lý một môi trường rộng lớn và đa dạng như vậy, bao gồm 32 phiên bản hệ điều hành đang sử dụng, 500.000 môi trường Linux, cơ sở cài đặt Macintosh lớn thứ hai ở bất cứ đâu (trước tiên là Apple) và "N + 1" tiếp theo phiên bản Windows. Ông cho biết mục tiêu chính của ông là bảo vệ công ty, không sử dụng các sản phẩm của Microsoft.

Arsenault đã dành rất nhiều thời gian cho "cơ hội và rủi ro" và giải thích cách truy cập luôn luôn, bộ dữ liệu khổng lồ, lưu trữ dựa trên đám mây và kỹ thuật hiện đại tạo ra nhiều cơ hội và thách thức bảo mật quan trọng. Ví dụ, chủ quyền dữ liệu là một vấn đề lớn, bởi vì công ty có 596 địa điểm và Arsenault phải xem xét dữ liệu có thể vượt ra khỏi biên giới. Ông nói rằng tiền có được từ tội phạm mạng đã vượt qua số tiền kiếm được từ buôn bán ma túy bất hợp pháp. Ông cũng lo lắng về chuỗi cung ứng và bất kỳ khả năng nào của công ty để bảo vệ nó.

Arsenault lưu ý việc chuyển sang điện toán đám mây có nghĩa là trong khi an ninh mạng vẫn quan trọng, thì vẫn chưa đủ và nói rằng "danh tính là vành đai mới".

Arsenault đã chia sẻ các nguyên tắc lãnh đạo của riêng mình, nói rằng điều quan trọng là phải có các mục tiêu đơn giản hóa. Ba điểm chính của anh ấy: một nhà lãnh đạo cần tạo ra sự rõ ràng, tạo ra năng lượng và mang lại thành công. Về sự rõ ràng, ông nói rằng điều quan trọng là "đặt bút chì kỹ thuật xuống và lấy bút màu" Nói cách khác, để làm cho mọi thứ đơn giản cho người dùng cuối. Arsenault nhấn mạnh rằng điều quan trọng là không nhầm lẫn một thông điệp phù hợp với dân số kỹ thuật với những gì hoạt động cho cơ sở người dùng chung.

Cuối cùng, ông mô tả chiến lược của mình như một chiếc ghế ba chân: quản lý danh tính, dữ liệu và đo từ xa, và sức khỏe của thiết bị.

Nói cách khác, Arsenault cho biết, để kết nối với bất kỳ dịch vụ nào, bạn cần một danh tính mạnh, được xác minh bằng xác thực đa yếu tố. Nếu bạn có danh tính tuyệt vời, anh ấy vẫn cần đảm bảo rằng thiết bị bạn đang kết nối an toàn. Với 20 tỷ sự kiện mỗi ngày, anh ta cần từ xa dữ liệu tuyệt vời để theo dõi các hệ thống, cải thiện chúng và bảo vệ chúng.

Chuyển từ tổng quát sang chi tiết hơn, Arsenault nói rằng ông đã xác định năm trụ cột hoặc nguyên tắc chính là lĩnh vực đầu tư trong năm nay Quản lý rủi ro, quản lý nhận dạng, sức khỏe thiết bị, dữ liệu và từ xa, và bảo vệ thông tin, và trong các trụ cột này, ông tập trung vào trên 27 dịch vụ cốt lõi. Ông cũng liệt kê 11 dự án ngắn gọn "sử thi" kéo dài 18-24 tháng, sẽ hoàn thành, sẽ thất bại hoặc sẽ trở thành dịch vụ cốt lõi trong tương lai. Ông có một nhóm tương đối nhỏ gồm chín hoặc mười người nhìn vào công nghệ mới nổi để xem điều gì có thể giúp công ty có nhu cầu bảo mật. Microsoft đã có 80 nhà cung cấp bảo mật khi ông đảm nhận vai trò CISO 8 năm trước, Arsenault nói thêm.

Một sáng kiến ​​quan trọng trong vài năm qua đã chuyển khối lượng công việc sang Azure. Arsenault cho biết công ty đã chuyển 95% khối lượng công việc của mình. Về mặt quy trình, điều đầu tiên cần làm là xem xét các ứng dụng và quyết định xem chúng có còn cần chúng không; trong số khoảng 2.000 ứng dụng kinh doanh, Arsenault cho biết Microsoft nhận thấy nó có thể đơn giản loại bỏ 30%. Điều tiếp theo cần làm là tìm các ứng dụng có thể được chuyển đổi thành giải pháp Phần mềm dưới dạng dịch vụ; điều này đã làm việc cho khoảng 15 phần trăm các ứng dụng của Microsoft. Đối với những ứng dụng còn lại, bước tiếp theo là ảo hóa tất cả các ứng dụng và nhận các ứng dụng mới hoặc đơn giản và chuyển chúng sang Platform-as-a-Service, thực hiện "nâng và chuyển" sang các dịch vụ Cơ sở hạ tầng cho hầu hết những người khác.

Trong quá trình này, nhiều ứng dụng chuyển sang đám mây hơn anh ta nghĩ (bao gồm cả hệ thống SAP của Microsoft) và anh ta đề xuất rằng các công ty nên chuyển sang PaaS sớm hơn dự định.

Điều quan trọng là tiếp tục di chuyển trong một nỗ lực như vậy, Arsenault nói, và tiếp tục tạo ra năng lượng xung quanh dự án, vì các dự án thường ngừng tiến triển khoảng nửa chừng. Mọi người thường sẽ sử dụng 5 phần trăm khối lượng công việc sẽ không chuyển sang đám mây như một lý do để không thực hiện 95 phần trăm khác, và ông nói rằng bạn cần tạo ra cảm giác cấp bách để thực hiện việc di chuyển (chẳng hạn như đặt ngày để đóng một trung tâm dữ liệu).

Một thứ mà nhóm của anh tạo ra là Bộ công cụ DevOps cho Azure được thiết kế để giám sát 250 điều khiển trên các ứng dụng khác nhau để đảm bảo mọi thứ đều hoạt động. Arsenault cho biết nhóm của ông đã cung cấp tính năng này thông qua nguồn mở và tin rằng các nguyên tắc này để quản lý doanh nghiệp sẽ được tích hợp vào Azure trong khoảng 18 tháng.

Arsenault tập trung vào phần nói chuyện của mình về việc bảo vệ các quản trị viên, những người thường có quyền truy cập nhiều nhất vào một hệ thống. Ông nói về việc giảm số lượng quản trị viên thường trực; sử dụng một hệ thống nhận dạng riêng biệt để cung cấp cho họ ít đặc quyền hơn; và để chúng thực hiện các nhiệm vụ bảo mật chỉ trên một "máy trạm quản trị an toàn" mà anh mô tả là "thiết bị siêu an toàn" với hình ảnh đặc biệt làm phẳng và xây dựng lại máy thường xuyên và được tạo bằng chuỗi cung ứng an toàn. Các máy này chỉ chạy mã trang web và bị khóa rất cao, với danh sách trắng để xác định xem chúng có thể kết nối với cái gì và ở đâu. Đối với các kết nối với các dịch vụ khác, quản trị viên có thể kết nối với các máy ảo.

Arsenault cũng nói về tầm quan trọng của việc loại bỏ mật khẩu. Ông đã sử dụng ứng dụng Authenticator của công ty trong một thời gian và nói rằng điều quan trọng là không "để cho người hoàn hảo là kẻ thù của điều tốt". Đây thực sự là về việc loại bỏ lời nhắc, và trong khi người dùng ứng dụng này không nhìn thấy mật khẩu, họ vẫn ở đó dưới bề mặt (mặc dù trong một vài năm, họ có thể được thay thế bằng chứng chỉ thay thế). Ông đề nghị các chuyên gia bảo mật trong các công ty ngừng nói về MFA và thay vào đó bắt đầu nói về việc loại bỏ mật khẩu, mục tiêu là xem đây không phải là một lớp bổ sung, mà là một thứ giúp giảm bớt quyền truy cập cho người dùng.

• Microsoft quyết định không làm gián đoạn cài đặt Firefox / Chrome Microsoft quyết định không làm gián đoạn cài đặt Firefox / Chrome
• Giám đốc điều hành Microsoft đẩy Sáng kiến ​​dữ liệu mở, Bảo mật mới tại Ignite CEO Microsoft đẩy Sáng kiến ​​dữ liệu mở, Bảo mật mới tại Ignite
• Microsoft Mẹo AI mới, Bảo mật cho Office, Microsoft 365 Microsoft Mẹo AI mới, Bảo mật cho Office, Microsoft 365

Điều thực sự nổi bật đối với tôi trong cuộc nói chuyện của Arsenault là hầu hết các ý tưởng của anh ấy đều đơn giản hóa các công cụ của bạn, chuyển những gì có ý nghĩa lên đám mây, tập trung vào nhận dạng, kiểm soát kế toán hành chính, vượt ra khỏi mật khẩu truyền thống mà không phải là mới, hay thậm chí còn gây tranh cãi. Thay vào đó, thách thức lớn nhất dường như là thực sự khiến những điều này được triển khai theo những cách không can thiệp vào phần còn lại của dấu chân CNTT của bạn và có thể chấp nhận được, hay thậm chí là thích hợp hơn đối với người dùng cuối của bạn. Trong một thế giới có nhiều mối đe dọa an ninh hơn bao giờ hết, việc tiếp tục tiến về phía trước là rất quan trọng.