Video: Tips Jaga Keamanan Windows 7 yang Dipensiunkan Microsoft (Desember 2024)
Microsoft mengumumkan berbagai produk keamanan pada konferensi Ignite-nya minggu ini, tetapi salah satu hal yang menonjol adalah keyakinan mereka bahwa cara Anda menjalankan operasi keamanan Anda sama pentingnya dengan produk yang Anda jalankan.
Kepala Pejabat Keamanan Informasi Microsoft Bret Arsenault (di atas) sangat tegas ketika ia menggambarkan lingkungan keamanan Microsoft sendiri dan pendekatannya dalam mengelola keamanan untuk dirinya sendiri dan pelanggannya. Dia mengatakan perusahaan menyelesaikan 20 miliar peristiwa keamanan besar per hari.
"Pengguna adalah lini pertama dan lini pertahanan saya yang terakhir, " kata Arsenault, dan mencatat bahwa Microsoft memiliki 125.000 karyawan ditambah 70.000 mitra "badged". Dia menekankan tantangan luar biasa dalam mengelola lingkungan yang begitu besar dan beragam, yang mencakup 32 versi sistem operasinya yang digunakan, 500.000 lingkungan Linux, basis instalasi Macintosh terbesar kedua di mana saja (Apple adalah yang pertama), dan "N +1" selanjutnya versi Windows. Dia mengatakan tujuan utamanya adalah untuk melindungi perusahaan, bukan untuk menggunakan produk Microsoft.
Arsenault menghabiskan banyak waktu untuk "peluang dan risiko, " dan menjelaskan bagaimana selalu akses, kumpulan data besar-besaran, penyimpanan berbasis cloud, dan rekayasa modern menciptakan banyak peluang dan tantangan keamanan yang signifikan. Misalnya, kedaulatan data adalah masalah utama, karena perusahaan memiliki 596 lokasi, dan Arsenault harus mempertimbangkan data yang dapat melampaui batas. Dia mengatakan bahwa uang yang berasal dari kejahatan dunia maya telah melampaui yang dibuat dalam perdagangan narkoba ilegal. Dia juga khawatir dengan rantai pasokan dan kemampuan perusahaan mana pun untuk melindunginya.
Arsenault mencatat pergeseran ke komputasi awan berarti bahwa sementara keamanan jaringan tetap penting, itu tidak cukup, dan mengatakan bahwa "identitas adalah perimeter baru."
Arsenault berbagi prinsip kepemimpinannya sendiri, mengatakan penting untuk memiliki tujuan yang disederhanakan. Tiga poin utamanya: seorang pemimpin perlu menciptakan kejelasan, menghasilkan energi, dan memberikan kesuksesan. Jelasnya, ia mengatakan penting untuk "meletakkan pensil teknik dan mengambil krayon" -dengan kata lain, untuk mempermudah segala hal bagi pengguna akhir. Arsenault menekankan bahwa penting untuk tidak membingungkan pesan yang berfungsi untuk populasi teknik dengan apa yang berfungsi untuk basis pengguna umum.
Untuk itu, ia menggambarkan strateginya sebagai bangku berkaki tiga: manajemen identitas, data dan telemetri, dan kesehatan perangkat.
Dengan kata lain, kata Arsenault, untuk terhubung ke salah satu layanan, Anda memerlukan identitas yang kuat, yang diverifikasi oleh otentikasi multi-faktor. Jika Anda memiliki identitas yang hebat, ia masih perlu memastikan bahwa perangkat yang Anda hubungkan aman. Dengan 20 miliar acara sehari, ia membutuhkan telemetri data yang hebat untuk melacak sistem, meningkatkannya, dan melindunginya.
Pindah dari jenderal ke yang lebih terperinci, Arsenault mengatakan bahwa ia telah mengidentifikasi lima pilar atau prinsip utama sebagai area untuk investasi tahun ini - manajemen risiko, manajemen identitas, kesehatan perangkat, data dan telemetri, dan perlindungan informasi - dan dalam pilar-pilar ini ia fokus pada 27 layanan inti. Dia juga mendaftarkan 11 "epos" - proyek jangka pendek yang biasanya berlangsung 18-24 bulan - yang akan selesai, akan gagal, atau akan menjadi layanan inti di masa depan. Dia memiliki tim yang relatif kecil yang terdiri dari sembilan atau sepuluh orang yang melihat teknologi yang muncul untuk melihat apa yang dapat membantu perusahaan dengan kebutuhan keamanannya. Microsoft memiliki 80 vendor keamanan ketika ia mengambil alih peran CISO 8 tahun lalu, tambah Arsenault.
Salah satu inisiatif utama selama beberapa tahun terakhir telah memindahkan beban kerja ke Azure. Arsenault mengatakan perusahaan telah memindahkan 95 persen dari beban kerjanya. Dalam hal proses, hal pertama yang harus dilakukan adalah mempertimbangkan aplikasi dan memutuskan apakah mereka masih membutuhkannya; dari sekitar 2.000 aplikasi lini bisnis, Arsenault mengatakan Microsoft merasa hanya bisa menghilangkan 30 persen. Hal selanjutnya yang harus dilakukan adalah menemukan aplikasi yang dapat dikonversi ke solusi Perangkat Lunak sebagai Layanan; ini bekerja untuk sekitar 15 persen aplikasi Microsoft. Bagi mereka yang tetap, langkah selanjutnya adalah memvirtualisasi semua aplikasi dan mengambil aplikasi baru atau sederhana dan memindahkannya ke Platform-as-a-Service, melakukan "angkat dan geser" ke penawaran Infrastruktur sebagai Layanan untuk sebagian besar yang lain.
Dalam proses ini, lebih banyak aplikasi yang pindah ke cloud daripada yang ia bayangkan (termasuk sistem SAP Microsoft), dan ia menyarankan agar perusahaan-perusahaan harus pindah ke PaaS lebih awal dari yang mungkin mereka rencanakan.
Sangat penting untuk terus bergerak selama upaya seperti itu, kata Arsenault, dan untuk terus menciptakan energi di sekitar proyek, karena proyek sering berhenti berjalan sekitar setengah jalan. Orang-orang akan sering menggunakan 5 persen dari beban kerja yang tidak akan pindah ke cloud sebagai alasan untuk tidak melakukan 95 persen lainnya, dan dia berkata Anda perlu menciptakan rasa urgensi untuk membuat perpindahan terjadi (seperti menetapkan tanggal) untuk menutup pusat data).
Satu hal yang dibuat oleh timnya adalah DevOps Toolkit untuk Azure yang dirancang untuk memantau 250 kontrol pada berbagai aplikasi untuk memastikan semuanya berfungsi. Arsenault mengatakan kelompoknya telah membuat ini tersedia melalui open source, dan percaya prinsip-prinsip ini untuk manajemen perusahaan akan dibangun ke Azure dalam waktu sekitar 18 bulan.
Arsenault memusatkan sebagian pembicaraannya untuk mengamankan administrator, yang biasanya memiliki akses paling besar ke sistem. Dia berbicara tentang mengurangi jumlah admin tetap; menggunakan sistem identitas terpisah untuk memberi mereka lebih sedikit hak istimewa; dan meminta mereka melakukan tugas keamanan hanya pada "workstation admin aman, " yang ia gambarkan sebagai "perangkat super aman" dengan gambar khusus yang sering meratakan dan membangun kembali mesin, dan yang dibuat menggunakan rantai pasokan yang aman. Mesin-mesin ini hanya menjalankan kode situs dan sangat dikunci, dengan daftar putih untuk menentukan apa dan di mana mereka dapat terhubung. Untuk koneksi ke layanan lain, administrator dapat terhubung ke mesin virtual.
Arsenault juga berbicara tentang pentingnya menghilangkan kata sandi. Dia telah menggunakan aplikasi Authenticator perusahaan untuk beberapa waktu, dan mengatakan penting untuk tidak "membiarkan yang sempurna menjadi musuh orang baik." Ini benar-benar tentang menghilangkan bisikan, katanya, dan sementara pengguna aplikasi ini tidak melihat kata sandi, mereka masih ada di bawah permukaan (meskipun dalam beberapa tahun, mereka mungkin diganti dengan sertifikat sebagai gantinya). Dia menyarankan agar para profesional keamanan di dalam perusahaan berhenti berbicara tentang MFA dan bukannya mulai berbicara tentang menghilangkan kata sandi, tujuannya adalah untuk melihat ini bukan sebagai lapisan tambahan, tetapi lebih sebagai sesuatu yang memudahkan akses bagi pengguna.
- Microsoft Memutuskan untuk Tidak Mengganggu Instalasi Firefox / Chrome Microsoft Memutuskan untuk Tidak Mengganggu Instalasi Firefox / Chrome
- CEO Microsoft Mendorong Inisiatif Data Terbuka, Keamanan Baru di Ignite CEO Microsoft Mendorong Inisiatif Data Terbuka, Keamanan Baru di Ignite
- Microsoft Tips AI Baru, Keamanan untuk Kantor, Microsoft 365 Microsoft Tips AI Baru, Keamanan untuk Kantor, Microsoft 365
Apa yang benar-benar menonjol bagi saya dalam pembicaraan Arsenault adalah bahwa sebagian besar idenya - menyederhanakan alat Anda, memindahkan apa yang masuk akal ke awan, berfokus pada identitas, mengendalikan akuntansi administratif, bergerak melampaui kata sandi tradisional - bukanlah hal baru, atau bahkan kontroversial. Tantangan terbesar, sebaliknya, tampaknya benar-benar menerapkan hal-hal ini dengan cara yang tidak mengganggu sisa jejak kaki TI Anda, dan mana yang dapat diterima - atau bahkan lebih disukai - bagi pengguna akhir Anda. Di dunia dengan ancaman keamanan lebih dari sebelumnya, sangat penting untuk terus bergerak maju.
