Die
herbe Kritik der US-Cybersicherheitsbehörde CISA an der Security-Kultur bei Microsoft scheint zu wirken. Die CISA hatte untersucht, wie die chinesische Hackergruppe "Storm-0558" vor einem Jahr von Microsoft gehostete E-Mail-Konten von US-Offiziellen
knacken konnte. Dies hätte nie passieren sollen und wäre verhinderbar gewesen, fand die CISA. Microsofts Security-Kultur sei ungenügend und müsse grundlegend verändert werden. Zum Hack habe eine "Kaskade von unnötigen Fehlern" von Seiten Microsofts geführt.
Diese Kritik einer offiziellen Regierungsstelle konnte Microsoft nicht ignorieren. CEO Satya Nadella hatte daraufhin versprochen, sein Unternehmen werde in Zukunft das Thema Security "über alles andere" stellen.
In
einem Blogbeitrag hat Charlie Bell, Executive Vice President von Microsoft Security dies nun etwas konkretisiert. Der Softwarekonzern werde den Geltungsbereich seiner im November 2023 ins Leben gerufenen Secure Future Initiative (SFI) erweitern, erklärt er, und dabei die Empfehlungen der CISA berücksichtigen. Darüber hinaus werde Microsoft auch eigene Erkenntnisse aus den jüngsten Cyberangriffen in die SFI einfliessen lassen. In Zukunft wolle man sich von den drei Prinzipien Secure by Design, Secure by Default und Secure Operations leiten lassen.
Manager-Gehälter von Security abhängig
Eine konkrete Massnahme wird laut Bell sein, einen Teil der Löhne seines Senior Leadership Teams von den Fortschritten bei der Erfüllung der Sicherheitspläne abhängig zu machen.
Zu diesen Plänen gehört unter anderem der Schutz von Identitäten und Anmeldeinformationen durch die Implementierung von "Best in Class"-Standards für die gesamte Infrastruktur.
Weiter sollen die Sicherheit von Microsoft-Cloud-Kunden verbessert und deren Produktivsysteme stärker isoliert werden. Auch die eigenen Produktionsnetzwerke sollen laut Bell besser gesichert und Microsoft-Ressourcen von denen seiner Kunden abgetrennt werden.
Die Kontrolle der Softwarelieferkette und der Infrastruktur soll verstärkt und damit der Schutz der Entwicklungssysteme und die Codesicherheit verbessert werden. Auch die Reaktionszeiten auf neu entdeckte Schwachstellen, verspricht Bell, sollen verkürzt werden.