Video: Microsoft Office 2019 - Was ist neu? (November 2024)
Microsoft kündigte diese Woche auf der Ignite-Konferenz eine Reihe von Sicherheitsprodukten an. Eines der herausragenden Merkmale war jedoch die feste Überzeugung, dass die Art und Weise, wie Sie Ihre Sicherheitsvorgänge ausführen, genauso wichtig ist wie die von Ihnen verwendeten Produkte.
Der Chief Information Security Officer von Microsoft, Bret Arsenault (oben), beschrieb mit Nachdruck die eigene Sicherheitsumgebung von Microsoft und den Ansatz, die Sicherheit für sich selbst und seine Kunden zu verwalten. Er sagte, das Unternehmen löse enorme 20 Milliarden Sicherheitsereignisse pro Tag.
"Benutzer sind sowohl meine erste als auch meine letzte Verteidigungslinie", sagte Arsenault und stellte fest, dass Microsoft 125.000 Mitarbeiter und 70.000 "Badged" -Partner hat. Er hob die enorme Herausforderung hervor, eine so große und vielfältige Umgebung zu verwalten, die 32 Versionen der verwendeten Betriebssysteme, 500.000 Linux-Umgebungen, die zweitgrößte installierte Macintosh-Basis (Apple ist die erste) und das "N + 1" umfasst Version von Windows. Sein Hauptziel sei es, das Unternehmen zu schützen und keine Microsoft-Produkte zu verwenden.
Arsenault verbrachte viel Zeit mit "Chancen und Risiken" und erklärte, wie der permanente Zugriff, massive Datenmengen, Cloud-basierter Speicher und modernes Engineering viele Chancen und erhebliche Sicherheitsherausforderungen schaffen. Beispielsweise ist die Souveränität der Daten ein großes Problem, da das Unternehmen 596 Standorte hat und Arsenault Daten berücksichtigen muss, die möglicherweise über die Grenzen hinausgehen. Er sagte, dass das Geld aus der Internetkriminalität das des illegalen Drogenhandels übertroffen habe. Er ist auch besorgt über die Lieferkette und die Fähigkeit eines Unternehmens, diese zu schützen.
Arsenault merkte an, dass die Umstellung auf Cloud Computing bedeutet, dass die Netzwerksicherheit zwar wichtig bleibt, aber nicht ausreicht.
Arsenault teilte seine eigenen Führungsprinzipien und sagte, es sei wichtig, vereinfachte Ziele zu haben. Seine drei Hauptpunkte: Eine Führungskraft muss Klarheit schaffen, Energie erzeugen und Erfolg haben. Aus Gründen der Übersichtlichkeit sei es wichtig, "den technischen Bleistift wegzulegen und einen Buntstift aufzunehmen" - mit anderen Worten, um die Dinge für den Endbenutzer zu vereinfachen. Arsenault betonte, dass es wichtig ist, eine Nachricht, die für eine Ingenieurpopulation funktioniert, nicht mit der für die allgemeine Benutzerbasis zu verwechseln.
Zu diesem Zweck beschrieb er seine Strategie als dreibeinigen Stuhl: Identitätsmanagement, Daten- und Telemetrie sowie Gerätezustand.
Mit anderen Worten, sagte Arsenault, um sich mit einem der Dienste zu verbinden, brauche man eine starke Identität, die durch eine Multi-Faktor-Authentifizierung verifiziert wird. Wenn Sie eine gute Identität haben, muss er dennoch sicherstellen, dass das Gerät, von dem aus Sie eine Verbindung herstellen, sicher ist. Bei 20 Milliarden Ereignissen pro Tag benötigt er hervorragende Datentelemetrie, um Systeme zu verfolgen, zu verbessern und zu schützen.
Auf dem Weg von der allgemeinen zur differenzierteren Sichtweise gab Arsenault an, dass er in diesem Jahr fünf Hauptpfeiler oder -prinzipien als Investitionsbereiche identifiziert habe - Risikomanagement, Identitätsmanagement, Gerätezustand, Daten- und Telemetrie sowie Informationsschutz - und innerhalb dieser Pfeiler konzentriert er sich auf 27 Kerndienstleistungen. Er listete auch 11 "Epics" auf - im Wesentlichen kurzfristige Projekte mit einer Dauer von 18 bis 24 Monaten -, die abgeschlossen werden, scheitern oder künftige Kerndienste werden. Er hat ein relativ kleines Team von neun oder zehn Mitarbeitern, die sich mit aufkommenden Technologien befassen, um herauszufinden, was das Unternehmen bei seinen Sicherheitsanforderungen unterstützen kann. Microsoft hatte 80 Sicherheitsanbieter, als er vor 8 Jahren die Rolle des CISO übernahm, fügte Arsenault hinzu.
Eine wichtige Initiative in den letzten Jahren war die Verlagerung von Workloads nach Azure. Laut Arsenault hat das Unternehmen 95 Prozent seiner Arbeitslast verlagert. In Bezug auf den Prozess ist das erste, was zu tun ist, Bewerbungen zu prüfen und zu entscheiden, ob sie noch benötigt werden. Laut Arsenault konnte Microsoft von rund 2.000 Branchenanwendungen lediglich 30 Prozent eliminieren. Als Nächstes müssen Sie nach Anwendungen suchen, die in eine Software-as-a-Service-Lösung konvertiert werden können. Dies funktionierte für etwa 15 Prozent der Microsoft-Anwendungen. Für die verbleibenden Benutzer bestand der nächste Schritt darin, alle Anwendungen zu virtualisieren und neue oder einfache Anwendungen zu übernehmen und sie auf Platform-as-a-Service zu verschieben die meisten anderen.
Dabei wurden mehr Anwendungen in die Cloud verschoben, als er gedacht hätte (einschließlich des SAP-Systems von Microsoft), und er schlug vor, dass Unternehmen früher als geplant zu PaaS wechseln sollten.
Es ist wichtig, während dieser Bemühungen in Bewegung zu bleiben, sagte Arsenault, und weiterhin Energie um das Projekt herum zu erzeugen, da Projekte oft aufhören, etwa zur Hälfte des Projektfortschritts voranzukommen. Die Leute werden die 5 Prozent der Workloads, die nicht in die Cloud verschoben werden, oft als Entschuldigung dafür verwenden, die anderen 95 Prozent nicht auszuführen, und er sagte, dass Sie ein Gefühl der Dringlichkeit entwickeln müssen, um den Wechsel durchzuführen (wie das Festlegen eines Datums) zum Schließen eines Rechenzentrums).
Sein Team hat ein DevOps-Toolkit für Azure erstellt, mit dem 250 Steuerelemente in verschiedenen Anwendungen überwacht werden können, um sicherzustellen, dass alles funktioniert. Laut Arsenault hat seine Gruppe dies über Open Source zur Verfügung gestellt und geht davon aus, dass diese Grundsätze für die Unternehmensverwaltung in ungefähr 18 Monaten in Azure implementiert werden.
Arsenault konzentrierte sich in seinem Vortrag auf die Sicherung von Administratoren, die normalerweise den meisten Zugriff auf ein System haben. Er sprach davon, die Anzahl der stehenden Admins zu reduzieren. Verwendung eines separaten Identitätssystems, um ihnen weniger Berechtigungen zu gewähren; und sie Sicherheitsaufgaben nur auf einer "sicheren Administrator-Workstation" ausführen zu lassen, die er als "supersicheres Gerät" mit einem speziellen Image bezeichnet, das die Maschine häufig flacht und neu erstellt und das mithilfe einer sicheren Lieferkette erstellt wird. Diese Computer führen nur Site-Code aus und sind stark gesperrt. Mithilfe von Whitelists können Sie bestimmen, zu was und wo sie eine Verbindung herstellen können. Für Verbindungen zu anderen Diensten können Administratoren eine Verbindung zu virtuellen Maschinen herstellen.
Arsenault sprach auch über die Bedeutung der Beseitigung von Passwörtern. Er benutzt die Authenticator-App des Unternehmens schon seit einiger Zeit und sagte, es sei wichtig, nicht "das Perfekte zum Feind des Guten zu machen". Hier gehe es wirklich darum, das Auffordern zu unterbinden, und obwohl die Benutzer dieser App keine Passwörter sehen, sind sie immer noch unter der Oberfläche (obwohl sie in einigen Jahren möglicherweise durch Zertifikate ersetzt werden). Er schlug vor, dass Sicherheitsexperten in Unternehmen nicht mehr über MFA, sondern über das Eliminieren von Passwörtern sprechen sollten. Ziel sei es, dies nicht als zusätzliche Ebene, sondern als etwas zu sehen, das den Benutzern den Zugang erleichtert.
- Microsoft beschließt, Firefox / Chrome-Installationen nicht zu unterbrechen Microsoft beschließt, Firefox / Chrome-Installationen nicht zu unterbrechen
- Microsoft-Chef drängt auf Open Data-Initiative, neue Sicherheit bei Ignite Microsoft-Chef drängt auf Open Data-Initiative, neue Sicherheit bei Ignite
- Microsoft Tips Neue KI, Sicherheit für Office, Microsoft 365 Microsoft Tips Neue KI, Sicherheit für Office, Microsoft 365
Was mich in Arsenaults Vortrag wirklich beeindruckt hat, war, dass die meisten seiner Ideen - die Vereinfachung Ihrer Tools, die Verlagerung sinnvoller Inhalte in die Cloud, die Fokussierung auf die Identität, die Kontrolle des administrativen Rechnungswesens, die Überwindung traditioneller Passwörter - nicht neu oder sogar umstritten sind. Die größte Herausforderung scheint stattdessen darin zu bestehen, diese Dinge auf eine Weise umzusetzen, die den Rest Ihres IT-Fußabdrucks nicht beeinträchtigt und die für Ihre Endbenutzer akzeptabel oder sogar vorzuziehen ist. In einer Welt mit mehr Sicherheitsbedrohungen als je zuvor ist es von entscheidender Bedeutung, weiterhin Fortschritte zu erzielen.
