„Microsoft“ paskiria Hayete Gallot saugumo vadovu: ką tai reiškia „Saugios ateities iniciatyvai“

„Microsoft“ vėl keičia savo saugumo organizacijos vadovybę, ir šį kartą šis žingsnis yra glaudžiai susijęs su platesne istorija, kurią bendrovė pasakoja pastaruosius dvejus metus: saugumas turi tapti pirmos klasės inžinerijos prioritetu, o ne atitikties varnele ar incidento padariniais.

Remiantis generalinio direktoriaus Satya Nadella vidiniu pranešimu,Hayete Gallotgrįžta į „Microsoft“ kaipvykdomasis saugumo viceprezidentas, tiesiogiai atskaitingas Nadellai. Anksčiau Gallot beveik 16 metų dirbo „Microsoft“, paliko ją 2024 m. pabaigoje, o pastaruoju metu ėjo vyresniąsias pareigas „Google Cloud“, daugiausia dėmesio skirdamas klientų patirčiai. Tuo tarpuČarlis Belas, kuris beveik penkerius metus vadovavo „Microsoft“ saugumo, atitikties ir tapatybės užtikrinimo pastangoms, pereina į naujas pareigas, skirtasinžinerijos kokybė, taip pat atsiskaitantis Nadellai.

Iš pirmo žvilgsnio tai yra vadovybės pertvarkymas. Iš tikrųjų tai signalas, kad „Microsoft“ nori įtvirtinti „Saugios ateities iniciatyvą“ (SFI) ilgalaikėje operacinėje sistemoje, kurioje bus kuriamos, valdomos ir parduodamos technologijos, ypač kai dirbtinio intelekto sistemos tampa vis svarbesnės jos produktuose.

Žemiau pateikiamas praktinis įvykių aprašymas, kodėl tai svarbu ir į ką klientai bei kūrėjai turėtų atkreipti dėmesį toliau.

Ką „Microsoft“ paskelbė (ir kas patvirtinta)

Patvirtinti faktai yra paprasti:

• Hayete Gallotgrįžta į „Microsoft“ ir tampaSaugumo vykdomasis viceprezidentas.
• Ji bustiesiogiai pavaldus generaliniam direktoriui Satyai Nadellai.
• Čarlis Belaspereina nuo „Microsoft“ saugumo vadovo pareigų prie vaidmens, orientuoto įinžinerijos kokybė, taip pat atsiskaitantis Nadellai.

Tiesioginio pavaldumo linija yra prasminga. „Saugumas“ „Microsoft“ kompanijoje yra ne tik produktų komanda; jis apima vidines debesijos operacijas, kūrėjų įrankius, tapatybės infrastruktūrą, įsipareigojimus klientams, reagavimą į incidentus ir politiką. Saugumo vadovo tiesioginis ryšys su generaliniu direktoriumi reiškia, kad tai nėra antraeilis darbas.

Kodėl šis vaidmuo „Microsoft“ yra neįprastai svarbus

Pastaruoju metu „Microsoft“ istorijoje gausu žinomų saugumo spragų ir gėdingų pomirtinių įvykių. Tai nėra unikalu – kiekvienas didelis debesijos ir programinės įrangos tiekėjas susiduria su atakomis, – tačiau „Microsoft“ mastas kiekvieną incidentą daro dar reikšmingesnį.

Svarbiausios dvi fono dalys:

1. Pasitikėjimas dabar yra produkto savybė.Įmonės perka „Microsoft“, nes ji yra visur: „Windows“, „Office“, „Azure“, tapatybės nustatymo (Entra) ir galiniuose įrenginiuose. Kai pažeidžiamas saugumas, tai nėra „vieno produkto klaida“; tai pasitikėjimo įvykis visoje platformoje.

2. Užpuolikai „Microsoft“ laiko privažiavimo greitkeliu.Jei užpuolikas gali pažeisti tapatybės ar debesijos administravimą, jis gali patekti į tūkstančius klientų aplinkų. Štai kodėl bet koks „saugumo, atitikties ir tapatybės“ vadovybės trūkumas tampa valdybos lygio problema.

„Microsoft“ apie savo saugumo transformaciją kalba kaip apie ilgalaikį projektą. Vadovybės pokyčiai paprastai yra vienas aiškiausių ženklų, rodančių, kad įmonė spartina veiklą, keičia veiklos apimtį arba bando išspręsti organizacines problemas.

Saugios ateities iniciatyva (SFI) paprastais žodžiais

SFI geriausiai suprantamas kaip įgaliojimas pakeisti numatytuosius nustatymus:

• Apsaugos funkcijos įjungtosįjungta pagal numatytuosius nustatymus, o ne paslėpta po aukščiausios kokybės paketais ar pasirenkamais nustatymais.
• Inžinerijos komandos, atsakingos užsaugus dizainas, ne tik už auditus atsakingos saugumo komandos.
• Perėjimas nuo „greito reagavimo po pažeidimo“ prie „įmanomo pažeidimo tikimybės mažinimo“.

Praktiškai tokios iniciatyvos paprastai apima:

• Sustiprinti tapatybės srautai ir privilegijuotos prieigos modeliai.
• Geresnis raktų valdymas ir trumpesnis kredencialų galiojimo laikas.
• Didesnė izoliacija tarp paslaugų debesyje.
• Geresni registravimo, aptikimo ir reagavimo į incidentus planai.
• „Saugaus projektavimo“ reikalavimai, kurie prireikus sulėtina siuntų gabenimą.

Būtent pastarasis punktas ir yra vieta, kur daugelis transformacijų žlunga. Saugumo patobulinimai dažnai sukelia trumpalaikę trintį: sunkiau greitai įdiegti funkcijas ir gali atrodyti, kad progresas sulėtėja. Jei vadovybė rimtai nusiteikusi, ji sutinka su šiomis išlaidomis.

Kodėl verta pasitelkti ką nors, kas ką tik atėjo iš „Google Cloud“?

Naujausios Gallot pareigos „Google Cloud“ buvo orientuotos į klientų patirtį. Tai gali atrodyti kaip neatitikimas saugumo vaidmeniui – nebent „Microsoft“ siekia, kad saugumas atrodytų ne kaip vidinė kryžiaus žygystė, o labiau kaip klientui matomas rezultatas.

Įmonės „Microsoft“ saugumo transformacijos nematuoja pagal užrašus. Jos ją vertina pagal:

• Mažiau incidentų.
• Skaidresnis incidentų valdymas.
• Aiškesnės gairės dėl grūdinimo ir tapatybės.
• Numatytosios konfigūracijos, kurios yra saugios įprastoms organizacijoms.
• Saugumo įrankiai, kuriuos galima naudoti neturint daktaro laipsnio.

Lyderis, turintis didelę „Microsoft“ patirtį ir susipažinęs su konkuruojančio debesijos paslaugų teikėjo klientų aptarnavimo principais, galėtų padėti „Microsoft“ paversti frazę „taisome saugumą“ produktu, kurį klientai galėtų matyti išmatuojama programa.

Ką greičiausiai reiškia Charlie Bello perėjimas prie „inžinerinės kokybės“

Nadella savo memorandume Bello pokytis įvardijamas kaip asmeninis noras pereiti nuo organizacinės lyderystės prie labiau individualiai prisidedančio inžinerijos dėmesio. Tačiau pavadinimas „inžinerinė kokybė“ taip pat daug ką pasako.

Saugumo transformacijos dažnai atskleidžia nemalonią tiesą: saugumo nesėkmės dažnai yra kokybės nesėkmės.

Pavyzdžiai:

• Neteisingos prielaidos kodo keliuose.
• Trūksta testo aprėpties kraštiniais atvejais.
• Funkcijų žymės ir diegimo sistemos, kuriomis galima piktnaudžiauti.
• Stebėjimo spragų.
• Vidinės priklausomybės plitimas.

Jei „Bell“ dabar valdo inžinerijos kokybę, „Microsoft“ gali bandyti susieti saugumo rezultatus su programinės įrangos kokybės vartais: išleidimo kriterijais, regresiniu testavimu, priklausomybių valdymu ir kodo peržiūros griežtumu.

Kitaip tariant: „Gallot“ gali užtikrinti „saugumo svarbą“, o „Bell“ gali užtikrinti, kad inžinierių komandos turėtų kokybės sistemą, kuri neleistų saugumui sumažėti.

Ką tai gali pakeisti „Microsoft“ klientams („Azure“, „Microsoft 365“ ir tapatybės)

Klientams pagrindinis klausimas yra ne organizacinė schema – ar pagerėja kasdieniai rezultatai.

Štai sritys, kuriose klientai gali pastebėti pokyčių, jei šis vadovybės pokytis bus susietas su atnaujinta SFI plėtra:

1) Saugesni numatytieji nustatymai debesies ir administravimo srityse

Daugelis incidentų prasideda nuo nesaugios konfigūracijos: silpnų administratoriaus valdiklių, vis dar įjungto senojo autentifikavimo arba nepakankamai apsaugotų privilegijuotų paskyrų.

Jei SFI yra realus, „Microsoft“ toliau judės link:

• MFA ir sukčiavimo apsimetant parinktis lengviau įjungti.
• Privilegijuota prieiga, reikalaujanti daugiau pastangų ir patikrinimo.
• „Stiklo daužymo“ sąskaitos tvarkomos saugiau.

2) Didesnis skaidrumas incidentų atveju

Net ir geriausia saugumo programa neužkirs kelio kiekvienam incidentui. Klientams rūpi:

• Kaip greitai „Microsoft“ atskleidžia, kas įvyko.
• Ar taikymo sritis aiški.
• Ar galima imtis švelninančių veiksmų.
• Ar klientai gali patikrinti pataisą.

Vadovai, turintys klientų patirties, linkę siekti aiškesnio bendravimo, nes pasitikėjimas yra atsinaujinimo svertas.

3) Stipresnė tapatybė ir prieigos ribos

Tapatybė yra atramos taškas. Jei „Microsoft“ gali sumažinti kredencialų vagysčių ar žetonų piktnaudžiavimo poveikį, tai pakeičia visą platformos rizikos profilį.

Tikėtinos tolesnės investicijos į:

• Žetonų apsauga ir griežtesnė sesijų kontrolė.
• Geresni įspėjimai apie įtartiną administratoriaus veiklą.
• Saugesni „pagal numatytuosius nustatymus“ administratoriaus nustatymai.

4) Dirbtinio intelekto eros saugumas kaip pagrindinis naratyvas

„Microsoft“ integruoja dirbtinį intelektą į produktyvumo programinę įrangą, kūrėjų įrankius ir debesijos paslaugas. Dirbtinis intelektas keičia grėsmių aplinką:

• Per sistemas teka daugiau duomenų.
• Daugiau automatizavimo reiškia greitesnį klaidų padarymą.
• Atsiranda naujų atakų paviršių (greitas įskiepijimas, duomenų nutekėjimas juos atkuriant, įrankių piktnaudžiavimas, modelinės tiekimo grandinės problemos).

Jei Gallot'o įgaliojimas yra „DI era, saugumas pirmiausia“, klientai turėtų stebėti, ar DI skirtos saugumo funkcijos taps standartinėmis „Copilot“ ir „Azure“ DI pasiūlymuose.

Į ką kūrėjai turėtų atkreipti dėmesį

Kūrėjo patirtis yra ta vieta, kur „saugumas pirmiausia“ tampa tvari arba žlunga dėl trinties.

Tvirta saugumo programa paprastai pagerina kūrėjų įrankius šiose srityse:

• Saugesni CI/CD numatytieji nustatymai
• Geresnis paslapčių nuskaitymas ir rotacija
• Stipresnė priklausomybių kilmė ir SBOM darbo eigos
• Aiškesnė vidinės paslaugų tarpusavio autentifikavimo politika

Jei „Microsoft“ nori pakeisti savo saugumo kultūrą, ji turi užtikrinti, kad saugus elgesys būtų lengviausia kūrėjams.

Dar nepatogesnis klausimas: ar tai atsakomybė, ar optika?

Vadovybės pokyčiai po saugumo problemų gali atrodyti kaip apgaulė – ir kartais taip ir yra.

Tačiau atskaitomybės struktūra (Nadellai), nuolatinis dėmesys SFI ir „inžinerinės kokybės“ vaidmens sukūrimas generalinio direktoriaus lygmeniu rodo, kad „Microsoft“ bando sukurti dviejų krypčių sistemą:

• Saugumo vadovas, galintis nustatyti prioritetus ir jų laikytis visoje įmonėje.
• Kokybiškas lyderis, galintis šiuos prioritetus paversti inžineriniais mechanizmais, kurie kuria programinę įrangą.

Jei įmonė rimtai nusiteikusi, turėtume tikėtis pamatyti daugiau nei pareiškimus. Konkrečiai:

• vieši etapai,
• išmatuojami patobulinimai,
• saugesnius numatytuosius nustatymus,
• ir nuolatinis „neišvengiamų klaidų“ (su kultūra ir procesais susijusių incidentų, kurių galima išvengti) mažėjimas.

Kas nutiks toliau (tikėtinas laiko tarpas)

Išorėje ateinantys keli mėnesiai gali atnešti:

• Gallot vadovaujant keičiasi vadovybė (apsaugos komandų reorganizavimas).
• Atnaujintos gairės ir pagrindinės konfigūracijos klientams.
• Daugiau „saugi pagal numatytuosius nustatymus“ diegimų, kurie keičia administratoriaus patirtį.
• Su „Copilot“ ir „Azure“ paslaugomis susiję su dirbtiniu intelektu susiję saugumo įsipareigojimai.

Klientams patariama tai laikyti priminimu peržiūrėti tapatybės padėtį: privilegijuotas paskyras, daugiafaktorinio autentifikavimo kokybę, sąlyginę prieigą ir registravimą. Net jei „Microsoft“ smarkiai patobulės, kliento tapatybės higiena išlieka lemiamu veiksniu.

Esmė

„Microsoft“ paskyrė Hayete Gallot saugumo vykdomuoju viceprezidentu, tiesiogiai atskaitingu Satyai Nadellai, ir tai aiškiai rodo, kad saugumas išlieka svarbiausiu įmonės prioritetu, o ne laikina kampanija. Tai, kad Charlie Bell perėjo į inžinerijos lygio pareigas, sufleruoja apie strategiją: saugumo rezultatus užtikrinti, kad jie priklausytų nuo griežtų programinės įrangos kokybės sistemų, o ne tik nuo politikos ir taisymų po incidentų. Jei „Microsoft“ tai parems saugesniais numatytaisiais nustatymais, didesniu skaidrumu ir stipresne tapatybės apsauga, tai bus žingsnis atkuriant pasitikėjimą debesijos ir dirbtinio intelekto eroje.

---

Šaltiniai

• Kraštas:https://www.theverge.com/news/873930/google-cloud-hayete-gallot-microsoft-security
• „Microsoft“ tinklaraščio / atmintinės nuoroda (per „The Verge“):https://blogs.microsoft.com/blog/2026/02/04/updates-in-two-of-our-core-priorities/