与领导层薪酬挂钩,微软将安全视为新的首要任务

IT之家 5 月 3 日消息,在经历了多年的安全问题和越来越多的批评之后,微软将安全作为每位员工的首要任务。

美国网络安全审查委员会最近发布了一份措辞严厉的报告,得出“微软的安全文化不足,需要彻底改革”的结论,为此,它概述了一套与微软高级领导团队薪酬方案相关的安全原则和目标。

去年 11 月,微软宣布了一项安全未来计划(SFI),以应对该公司面临越来越大的压力。微软安全执行副总裁 Charlie Bell 在今天的博客文章中解释道:“我们将安全性作为微软的首要任务,高于其他所有功能。我们将根据在实现安全计划和里程碑方面的进展情况,来确定公司高级领导团队的部分薪酬,从而灌输问责制。”

微软现在制定了三项安全原则,构成了这些目标的重要组成部分:设计安全;默认情况下安全;安全运营。这些原则旨在在产品和服务的设计阶段将安全性放在首位,更加注重默认启用的保护,并改进对当前和未来威胁的控制和监控。

IT之家从公告中注意到,微软还提出了六项承诺:

保护身份和秘密。微软承诺在其身份和机密基础设施中实施“一流标准”,以便 100% 的用户帐户受到多因素身份验证的保护,100% 的应用程序受到证书等托管凭据的保护。

保护租户并隔离生产系统。微软正在采取一种方法来确保只有健康、受管理且安全的设备才能访问公司的一组服务,同时为 100% 的应用程序提供最低特权访问模型(最低级别的访问或权限)。

保护网络。微软承诺通过对所有生产环境应用隔离和微分段,确保 100% 的生产网络和连接到网络的系统的安全,从而帮助针对攻击者建立额外的防御。

保护工程系统。微软表示,它将通过零信任和最低权限访问策略 100% 保证对其源代码的访问。部署到生产环境的任何源代码也将受到安全最佳实践的保护,测试环境也将具有标准化的安全性和基础设施隔离。

监视和检测威胁。微软承诺将所有安全日志保留两年,并向客户提供六个月的“适当日志”。它还将自动检测并“快速”响应 100% 的微软生产基础设施和服务中的可疑访问或配置更改。

加快响应和修复。目标通过更多的“及时修复”来防止未修补的漏洞被利用。微软承诺通过采用通用弱点枚举(CWE)和通用平台枚举(CPE)行业标准,减少修复“高严重性”云安全漏洞所需的时间,并提高这些问题的透明度。

此外,微软的工程主管现在每周和每月举行运营会议,其中包括各种管理人员和高级人员,目的是提高微软在整个公司的安全思维。微软还在每个产品团队中增加了副首席信息安全官(CISO)职位,并将其威胁情报团队直接向 CISO 报告。

广告声明:文内含有的对外跳转链接(包括不限于超链接、二维码、口令等形式),用于传递更多信息,节省甄选时间,结果仅供参考,IT之家所有文章均包含本声明。

相关推荐

  • 友情链接:
  • PHPCMSX
  • 智慧景区
  • 微信扫一扫

    微信扫一扫
    返回顶部

    显示

    忘记密码?

    显示

    显示

    获取验证码

    Close