Microsoft anuncia avances de seguridad
Microsoft ha anunciado importantes avances de seguridad en su cartera de productos y prácticas. El trabajo es parte de su Iniciativa Secure Future (SFI), una transformación de seguridad cibernética de varios años que la compañía llama el proyecto de ingeniería más grande en la historia de la compañía.
El último informe de progreso de SFI describe las mejoras de seguridad realizadas en 28 objetivos clave, incluidas protecciones de identidad más fuertes, capacidades de detección de amenazas ampliadas y características de seguridad predeterminadas predeterminadas en la línea de productos de Microsoft.
Según Microsoft, el esfuerzo representa el equivalente a 34,000 ingenieros que trabajan a tiempo completo durante 11 meses. El vicepresidente ejecutivo de Microsoft, Charlie Bell, dijo que la iniciativa se centra en desarrollar la seguridad en cada capa de las operaciones de la compañía y responder rápidamente a las amenazas.
«Hemos avanzado en toda la cultura y la gobernanza al fomentar una mentalidad de seguridad en cada empleado e invirtiendo en estructuras de gobernanza holística para abordar el riesgo de ciberseguridad en nuestra empresa», dijo Bell en una publicación de blog que anuncia el lanzamiento del informe.
Identidad, detección y respuesta a amenazas
La compañía informó progreso en el endurecimiento de la infraestructura de identidad. Alrededor del 90% de los tokens de ID de Microsoft Entra ahora se validan utilizando un kit de desarrollo de software unificado y seguro. En un movimiento solicitado por la violación 2023 Storm-0558, Microsoft ha migrado las claves de firma de tokens para los módulos de seguridad de hardware y las máquinas virtuales confidenciales de Azure, un cambio destinado a minimizar el riesgo de falsificación o compromiso clave.
Microsoft también introdujo más de 200 nuevas detecciones de amenazas centradas en tácticas adversas, técnicas y procedimientos. Estas detecciones, muchas de las cuales se agregarán al defensor de Microsoft, están reforzadas por simulaciones de equipo rojo diseñadas para validar los mecanismos de defensa en escenarios del mundo real.
Avance de la cultura y la gobernanza
Como parte de un cambio cultural en toda la empresa, Microsoft ahora requiere que cada empleado defina una prioridad central de seguridad durante las revisiones de desempeño. La compañía dice que más de 50,000 empleados han participado en su programa de capacitación de la Academia de Seguridad, y el 99% ha completado su capacitación en el Código de Fideicomiso.
En el lado de la gobernanza, Microsoft ha mejorado su liderazgo de ciberseguridad al nombrar oficiales adjuntos de seguridad de la información en áreas de negocios clave y completar un inventario de riesgo completo. El progreso en los objetivos de SFI es revisado quincenalmente por el equipo senior de liderazgo de Microsoft y trimestralmente por su junta directiva.
Seguro por diseño y predeterminado
Microsoft también presentó un nuevo kit de herramientas de UX Secure By UX, desarrollado y probado por 20 equipos de productos internos y ahora en uso por 22,000 empleados. El kit de herramientas disponible públicamente ayuda a los equipos a crear interfaces de usuario más seguras al incorporar las mejores prácticas directamente en el ciclo de vida del diseño del producto. Los primeros resultados apuntan a menos configuraciones erróneas y configuraciones de seguridad más intuitivas para los usuarios finales.
Once nuevas características de seguridad se han lanzado a través de Microsoft 365, Azure, Windows y Microsoft Security. Estos incluyen autenticación multifactorial (MFA) para todos los firmantes de administrador de Azure Portal y Entra ID, nuevos modelos de segmentación de identidad y sistemas de detección de fraude informados por IA que ayudaron a prevenir $ 4 mil millones en un intento de fraude, según la compañía.
Microsoft también reveló mejoras en operaciones seguras, incluida la adopción más amplia de su política de registro de seguridad de dos años y el desarrollo continuo de sistemas criptográficos seguros de cuántica.
Seguridad a escala
El informe describe el progreso de Microsoft hacia los principios de «confianza cero», con muchas mejoras de seguridad automatizadas a escala. Por ejemplo, se eliminaron más de 6.3 millones de inquilinos heredados de Microsoft o no utilizados, y el 88% de los recursos en la nube se han migrado al gerente de recursos de Azure.
Para mitigar los ataques de movimiento lateral, Microsoft implementó protocolos de aislamiento de identidad y segmentación de red, e implementó 98,000 dispositivos endurecidos para acceder a entornos de producción sensibles. La compañía también introdujo su tecnología de perímetro de seguridad de red (NSP), que ayuda a aislar los servicios en la nube y hacer cumplir el acceso de menos privilegios en 21 millones de recursos.
Bell enfatizó que el progreso de la ciberseguridad es un proceso continuo, conformado por las amenazas en evolución y el cambio tecnológico. «SFI es cómo estamos aumentando a ese desafío», escribió. «También sabemos que la seguridad es un deporte de equipo».
Microsoft continúa participando en los esfuerzos de seguridad global, incluida la CISA Secure by Design Engedge y el proceso intergubernamental Pall Mall destinado a frenar el mal uso de las herramientas comerciales de intrusión.
Para obtener más información, lea el blog de Microsoft.