Comment la sécurité de Microsoft en 2019

Microsoft a annoncé cette semaine une variété de produits de sécurité lors de sa conférence Ignite. Cependant, l'un des points saillants est leur conviction profonde que la façon dont vous dirigez vos opérations de sécurité est aussi importante que les produits que vous utilisez.

Le responsable de la sécurité de l'information chez Microsoft, Bret Arsenault (en haut), a décrit avec emphase le propre environnement de sécurité de Microsoft et son approche en matière de gestion de la sécurité pour lui-même et ses clients. Il a ajouté que la société résolvait 20 milliards d'événements de sécurité par jour.

"Les utilisateurs sont à la fois ma première ligne et ma dernière ligne de défense", a déclaré Arsenault. Il note que Microsoft compte 125 000 employés et 70 000 partenaires "badgés". Il a souligné le défi considérable que représente la gestion d'un environnement aussi vaste et diversifié, comprenant 32 versions de ses systèmes d'exploitation utilisés, 500 000 environnements Linux, la deuxième plus grande base installée Macintosh (Apple est le premier), et le "N + 1" suivant. version de Windows. Il a déclaré que son objectif principal est de protéger la société et non d'utiliser les produits Microsoft.

Arsenault a consacré beaucoup de temps aux "opportunités et risques" et a expliqué en quoi un accès permanent, des ensembles de données volumineux, un stockage basé sur le cloud et une ingénierie moderne créaient de nombreuses opportunités et posaient d'importants problèmes de sécurité. Par exemple, la souveraineté des données est un problème majeur, car la société compte 596 sites et Arsenault doit prendre en compte des données pouvant transcender les frontières. Il a déclaré que l'argent tiré de la cybercriminalité avait dépassé celui du trafic de drogue. Il s'inquiète également de la chaîne d'approvisionnement et de la capacité de toute société à la protéger.

M. Arsenault a souligné que le passage à l'informatique en nuage signifiait que, même si la sécurité du réseau restait importante, elle ne suffisait pas, et que "l'identité est le nouveau périmètre".

Arsenault a partagé ses propres principes de leadership, affirmant qu'il est important d'avoir des objectifs simplifiés. Ses trois points principaux: un chef de file doit créer de la clarté, générer de l’énergie et réussir. Au sujet de la clarté, il a déclaré qu'il était important de "poser le crayon et de prendre un crayon", autrement dit de simplifier les choses pour les utilisateurs finaux. Arsenault a souligné qu'il était important de ne pas confondre un message qui fonctionne pour une population d'ingénieurs avec ce qui fonctionne pour la base d'utilisateurs générale.

À cette fin, il a décrit sa stratégie comme un tabouret à trois pieds: gestion de l’identité, données et télémétrie, et santé des appareils.

En d'autres termes, a déclaré Arsenault, pour vous connecter à l'un des services, vous avez besoin d'une identité forte, vérifiée par authentification à plusieurs facteurs. Si vous avez une bonne identité, il doit toujours s'assurer que le périphérique à partir duquel vous vous connectez est sécurisé. Avec 20 milliards d'événements par jour, il a besoin d'une excellente télémétrie de données pour suivre les systèmes, les améliorer et les protéger.

Passant du général au plus granulaire, Arsenault a déclaré avoir identifié cinq grands piliers ou principes en tant que domaines d'investissement cette année - gestion des risques, gestion de l'identité, santé des dispositifs, données et télémétrie et protection des informations - dans lesquels il s'est concentré. sur 27 services de base. Il a également énuméré 11 "épopées" - essentiellement des projets à court terme d'une durée de 18 à 24 mois - qui seront achevées, échoueront ou deviendront des services de base futurs. Il dispose d'une équipe relativement petite de neuf ou dix personnes qui étudient les technologies émergentes pour voir ce qui peut aider l'entreprise à répondre à ses besoins en matière de sécurité. Arsenault a ajouté que Microsoft avait 80 éditeurs de solutions de sécurité au moment de son entrée en fonction dans CISO.

Au cours des dernières années, une initiative clé a été de transférer des charges de travail vers Azure. Arsenault a déclaré que l'entreprise avait déplacé 95% de sa charge de travail. En termes de processus, la première chose à faire est d'examiner les demandes et de décider si elles en ont encore besoin. Selon M. Arsenault, Microsoft a découvert qu’il était tout à fait possible d’en éliminer 30%, selon Arsenault. La prochaine chose à faire est de trouver des applications pouvant être converties en une solution de logiciel en tant que service. cela a fonctionné pour environ 15% des applications de Microsoft. Pour ceux qui restaient, la prochaine étape consistait à virtualiser toutes les applications et à utiliser des applications nouvelles ou simples et à les déplacer vers la plate-forme en tant que service, en effectuant un «transfert» vers les offres d'infrastructure en tant que service. la plupart des autres.

Au cours de ce processus, plus d'applications qu'il a imaginées (y compris le système SAP de Microsoft) sont passées dans le cloud, et il a suggéré aux entreprises de passer à PaaS plus tôt que prévu.

Selon Arsenault, il est important de continuer à avancer pendant cet effort et de continuer à créer de l'énergie autour du projet, car les projets cessent souvent de progresser à peu près à mi-parcours. Les gens vont souvent utiliser les 5% de charges de travail qui ne vont pas passer au cloud comme excuse pour ne pas faire les 95% restants. Il a ajouté qu'il fallait créer un sentiment d'urgence pour que le déménagement se produise (par exemple, fixer une date). pour fermer un centre de données).

Son équipe a notamment créé une boîte à outils DevOps pour Azure conçue pour surveiller 250 contrôles sur diverses applications afin de s’assurer que tout fonctionne correctement. M. Arsenault a déclaré que son groupe l'avait mis à disposition via une source ouverte, et était convaincu que ces principes de gestion d'entreprise seraient intégrés à Azure dans environ 18 mois.

Arsenault a axé une partie de son exposé sur la sécurisation des administrateurs, qui ont généralement le plus accès à un système. Il a parlé de réduire le nombre d'administrateurs permanents; utiliser un système d'identité distinct pour leur accorder moins de privilèges; et de les laisser effectuer des tâches de sécurité uniquement sur un "poste de travail admin sécurisé", qu'il a décrit comme un "périphérique super sécurisé" avec une image spéciale qui aplatit et reconstruit fréquemment la machine, et qui est créé à l'aide d'une chaîne logistique sécurisée. Ces machines exécutent uniquement du code de site et sont hautement verrouillées, avec des listes blanches pour déterminer à quoi et où elles peuvent se connecter. Pour les connexions à d'autres services, les administrateurs peuvent se connecter à des machines virtuelles.

Arsenault a également parlé de l'importance d'éliminer les mots de passe. Il utilise l'application Authenticator de la société depuis un certain temps et a déclaré qu'il était important de ne pas "laisser le parfait être l'ennemi du bien". Il s’agit vraiment d’éliminer les incitations, a-t-il déclaré, et même si les utilisateurs de cette application ne voient pas les mots de passe, ils sont toujours sous la surface (même si, dans quelques années, ils pourraient être remplacés par des certificats). Il a suggéré que les professionnels de la sécurité au sein des entreprises cessent de parler de MFA et commencent plutôt à parler d'élimination des mots de passe, l'objectif étant de voir cela non pas comme une couche supplémentaire, mais plutôt comme un moyen de faciliter l'accès des utilisateurs.

• Microsoft décide de ne pas interrompre les installations de Firefox / Chrome Microsoft décide de ne pas interrompre les installations de Firefox / Chrome
• PDG de Microsoft pousse l'initiative Open Data, nouvelle sécurité chez Ignite PDG de Microsoft pousse l'initiative Open Data, nouvelle sécurité chez Ignite
• Microsoft Tips Nouvelle AI, Sécurité pour Office, Microsoft 365 Microsoft Astuces Nouvelle AI, Sécurité pour Office, Microsoft 365

Ce qui m'a le plus marqué dans le discours d'Arsenault, c'est que la plupart de ses idées - simplifier vos outils, déplacer ce qui fait sens pour le cloud, se concentrer sur l'identité, contrôler la comptabilité administrative, dépasser les mots de passe traditionnels - ne sont ni nouvelles ni même controversées. Au lieu de cela, le plus gros défi semble être de mettre en œuvre ces éléments de manière à ne pas nuire au reste de votre empreinte informatique et qu’ils sont acceptables, voire préférables, pour vos utilisateurs finaux. Dans un monde où les menaces à la sécurité sont plus nombreuses que jamais, il est essentiel de continuer à progresser.