Cómo Microsoft hace seguridad en 2019

Microsoft anunció una variedad de productos de seguridad en su conferencia Ignite esta semana, pero una de las cosas que se destacó fue su firme creencia de que la forma en que ejecuta sus operaciones de seguridad es tan importante como los productos que ejecuta.

El Director de Seguridad de la Información de Microsoft, Bret Arsenault (en la parte superior) fue enfático al describir el entorno de seguridad propio de Microsoft y su enfoque para administrar la seguridad para sí mismo y sus clientes. Dijo que la compañía resuelve unos enormes 20 mil millones de eventos de seguridad por día.

"Los usuarios son mi primera línea y mi última línea de defensa", dijo Arsenault, y señaló que Microsoft tiene 125, 000 empleados más 70, 000 socios "con insignia". Hizo hincapié en el tremendo desafío de administrar un entorno tan grande y diverso, que incluye 32 versiones de sus sistemas operativos en uso, 500, 000 entornos Linux, la segunda base instalada de Macintosh más grande en cualquier lugar (Apple es la primera) y el "N + 1" siguiente versión de Windows Dijo que su objetivo principal es proteger a la empresa, no utilizar productos de Microsoft.

Arsenault dedicó mucho tiempo a "oportunidades y riesgos", y explicó cómo el acceso permanente, los conjuntos de datos masivos, el almacenamiento basado en la nube y la ingeniería moderna crean muchas oportunidades y desafíos de seguridad significativos. Por ejemplo, la soberanía de los datos es un problema importante, porque la compañía tiene 596 ubicaciones, y Arsenault debe considerar los datos que pueden trascender las fronteras. Dijo que el dinero derivado del delito cibernético ha superado el obtenido en el tráfico ilegal de drogas. También le preocupa la cadena de suministro y la capacidad de cualquier empresa para protegerla.

Arsenault señaló que el cambio a la computación en la nube significa que si bien la seguridad de la red sigue siendo importante, no es suficiente y dijo que "la identidad es el nuevo perímetro".

Arsenault compartió sus propios principios de liderazgo y dijo que es importante tener objetivos simplificados. Sus tres puntos principales: un líder necesita crear claridad, generar energía y entregar el éxito. En cuanto a la claridad, dijo que es importante "dejar el lápiz de ingeniería y recoger un crayón", en otras palabras, para simplificar las cosas para los usuarios finales. Arsenault enfatizó que es importante no confundir un mensaje que funciona para una población de ingenieros con lo que funciona para la base general de usuarios.

Con ese fin, describió su estrategia como un taburete de tres patas: gestión de identidad, datos y telemetría, y salud del dispositivo.

En otras palabras, dijo Arsenault, para conectarse a cualquiera de los servicios, se necesita una identidad fuerte, verificada por autenticación multifactor. Si tiene una gran identidad, aún necesita asegurarse de que el dispositivo desde el que se está conectando sea seguro. Con 20 mil millones de eventos por día, necesita una gran telemetría de datos para rastrear sistemas, mejorarlos y protegerlos.

Pasando de lo general a lo más granular, Arsenault dijo que había identificado cinco pilares o principios principales como áreas de inversión este año: gestión de riesgos, gestión de identidad, salud del dispositivo, datos y telemetría y protección de la información, y dentro de estos pilares se centra en 27 servicios básicos. También enumeró 11 "epopeyas", esencialmente proyectos a corto plazo que duran entre 18 y 24 meses, que se completarán, fracasarán o se convertirán en futuros servicios básicos. Tiene un equipo relativamente pequeño de nueve o diez personas que observan la tecnología emergente para ver qué puede ayudar a la empresa con sus necesidades de seguridad. Microsoft tenía 80 proveedores de seguridad cuando asumió el cargo de CISO hace 8 años, agregó Arsenault.

Una iniciativa clave en los últimos años ha sido mover las cargas de trabajo a Azure. Arsenault dijo que la compañía ha movido el 95 por ciento de sus cargas de trabajo. En términos de proceso, lo primero que debe hacer es considerar las aplicaciones y decidir si aún las necesitan; de aproximadamente 2, 000 aplicaciones de línea de negocio, Arsenault dijo que Microsoft descubrió que simplemente podría eliminar el 30 por ciento. Lo siguiente que debe hacer es buscar aplicaciones que se puedan convertir en una solución de software como servicio; esto funcionó para aproximadamente el 15 por ciento de las aplicaciones de Microsoft. Para los que se quedaron, el siguiente paso fue virtualizar todas las aplicaciones y tomar aplicaciones nuevas o simples y moverlas a Plataforma como servicio, haciendo un "levantamiento y cambio" a las ofertas de Infraestructura como servicio para La mayoría de los demás.

En este proceso, se movieron más aplicaciones a la nube de lo que él hubiera pensado (incluido el sistema SAP de Microsoft), y sugirió que las compañías deberían mudarse a PaaS antes de lo que podrían haber planeado.

Es importante mantenerse en movimiento durante ese esfuerzo, dijo Arsenault, y seguir creando energía alrededor del proyecto, ya que los proyectos a menudo dejan de avanzar a la mitad. La gente a menudo usará el 5 por ciento de las cargas de trabajo que no se moverán a la nube como una excusa para no hacer el otro 95 por ciento, y dijo que debe crear un sentido de urgencia para que el cambio suceda (como establecer una fecha para cerrar un centro de datos).

Una cosa que su equipo creó fue un DevOps Toolkit for Azure diseñado para monitorear 250 controles en varias aplicaciones para garantizar que todo funcione. Arsenault dijo que su grupo lo hizo disponible a través de código abierto, y cree que estos principios para la gestión empresarial se incorporarán a Azure en aproximadamente 18 meses.

Arsenault centró parte de su charla en proteger a los administradores, que generalmente tienen el mayor acceso a un sistema. Él habló sobre reducir el número de administradores permanentes; usando un sistema de identidad separado para darles menos privilegios; y hacer que realicen tareas de seguridad solo en una "estación de trabajo de administración segura", que describió como un "dispositivo súper seguro" con una imagen especial que aplana y reconstruye la máquina con frecuencia, y que se crea utilizando una cadena de suministro segura. Estas máquinas solo ejecutan código de sitio y están altamente bloqueadas, con listas blancas para determinar a qué y dónde pueden conectarse. Para conexiones a otros servicios, los administradores pueden conectarse a máquinas virtuales.

Arsenault también habló sobre la importancia de eliminar las contraseñas. Ha estado usando la aplicación Authenticator de la compañía durante bastante tiempo y dijo que es importante no "dejar que lo perfecto sea enemigo de lo bueno". En realidad, se trata de eliminar las incitaciones, dijo, y aunque los usuarios de esta aplicación no ven las contraseñas, todavía están allí debajo de la superficie (aunque en algunos años, pueden ser reemplazados por certificados). Sugirió que los profesionales de seguridad dentro de las compañías dejen de hablar sobre MFA y en su lugar comiencen a hablar sobre la eliminación de contraseñas, el objetivo es ver esto no como una capa adicional, sino como algo que facilita el acceso para los usuarios.

• Microsoft decide no interrumpir las instalaciones de Firefox / Chrome Microsoft decide no interrumpir las instalaciones de Firefox / Chrome
• El CEO de Microsoft impulsa la iniciativa de datos abiertos, nueva seguridad en Ignite El CEO de Microsoft impulsa la iniciativa de datos abiertos, nueva seguridad en Ignite
• Microsoft Tips New AI, Seguridad para Office, Microsoft 365 Microsoft Tips New AI, Seguridad para Office, Microsoft 365

Lo que realmente se destacó para mí en la charla de Arsenault fue que la mayoría de sus ideas (simplificar sus herramientas, trasladar lo que tiene sentido a la nube, centrarse en la identidad, controlar la contabilidad administrativa, ir más allá de las contraseñas tradicionales) no son nuevas ni controvertidas. El mayor desafío, en cambio, parece ser implementar estas cosas de manera que no interfieran con el resto de su huella de TI y que sean aceptables, o incluso preferibles, para sus usuarios finales. En un mundo con más amenazas de seguridad que nunca, es crucial seguir avanzando.