Un ecosistema Microsoft aún más seguro: te contamos los detalles
Un ecosistema Microsoft aún más seguro. Ese es el resultado del esfuerzo que ha llevado a cabo la multinacional estadounidense en los últimos seis meses a instancias de su CEO, Satya Nadella. En este post te explicaremos los motivos que han desencadenado esta reacción y te explicaremos también los detalles de esta transformación.
Todo, según señala un artículo publicado por The Verge, empezó a principios de este año 2024. Fue entonces cuando Microsoft determinó que la seguridad debía ser la gran prioridad para todos y cada uno de sus empleados. Todo, después de varios años en los que habían salido a la luz problemas en este sentido. Y, también, de informes exhaustivos del US Cyber Safety Review Board. Ahora, la compañía está dando información acerca de sus progresos. Prácticamente, medio año después de que Satya Nadella marcara que la seguridad debía estar por encima de todo,
«La cultura de seguridad de Microsoft es inadecuada y precisa un replanteamiento». Esa fue la demoledora conclusión del US Cyber Safety Review Board que provocó la reacción de la compañía. De acuerdo con los datos revelados por la propia Microsoft, el esfuerzo de ingeniería a nivel de seguridad está siendo titánico. El objetivo de afianzar su Iniciativa de Futuro Seguro, (SFI, de acuerdo con sus siglas en inglés) supone invertir un gran número de recursos. Hasta tal punto, que, en estos momentos, le está dedicando el equivalente al trabajo a tiempo completo de 34.000 ingenieros.
Qué pasos se han dado para obtener un ecosistema Microsoft aún más seguro
El esfuerzo por proporcionar un ecosistema Microsoft aún más seguro se ha plasmado en una serie de pasos. Uno de ellos ha sido la actualización de los sistemas Entra ID y Microsoft Account para que generen, guarden y roten automáticamente tokens como claves de acceso. Usando, en este caso, módulos de hardware de seguridad gestionados por Azure.
Además, se han eliminado 5,75 millones de tenants inactivos para reducir la superficie de ataque. Definimos un tenant de Microsoft 365 o de Azure como una instancia dedicada de los servicios de Microsoft que se asigna a una organización específica. A grandes rasgos, es como un contenedor virtual que agrupa todos los servicios y recursos de Microsoft 365 y Azure que utiliza una organización. Y, además de esta eliminación de tenants inactivos, también, se ha optado por utilizar un nuevo sistema de testeo con elementos de seguridad por defecto. Para evitar, así, que sistemas heredados puedan causar quebraderos de cabeza en el futuro.
Microsoft, por otro lado, está llevando a cabo el seguimiento de más del 99% de su red física por medio de un sistema de inventario centralizado que ayuda a asegurar el cumplimiento a nivel de firmware y el logueo. E, incluso, ha mejorado sus registros de auditoría para que sean retenidos por un mínimo de dos años. Y, por otro lado, también se han aplicado una serie de medidas con respecto a los equipos de ingeniería dentro de la propia Microsoft. Medidas que podemos resumir en la siguiente lista:
- Los tokens de acceso personal han visto reducida su durabilidad a únicamente siete días.
- El acceso SSH ha sido deshabilitado para todos los repositorios de ingeniería internos.
- Y, para terminar, se ha reducido la cantidad de personas que tienen acceso a sistemas clave de ingeniería.
Microsoft ha sido muy criticada por la tardanza en dar respuesta a problemas de seguridad en el pasado. Por eso, ahora publica listas sobre vulnerabilidades conocidas. Incluso, en el caso de que no se requiera ninguna acción por parte del cliente. El objetivo, en palabras de la compañía, es «mejorar la transparencia».
“Start Right, Stay Right, and Get Right” es el nuevo estándar que está implementando la compañía
El nuevo estándar que está implementando la compañía para lograr un ecosistema Microsoft aún más seguro se basa en un lema muy significativo: «Start Right, Stay Right, and Get Right». Algo que, en castellano, podemos traducir como «Empieza bien, continúa bien y hazlo bien». «Empieza bien» («Start Right») consiste en asegurar que los proyectos se adecúan a los estándares de seguridad usando plantillas, políticas y herramientas de autoservicio. «Continúa bien» («Stay Right»), por su parte, se trata de asegurar de que se lleva a cabo el correspondiente monitoreo de los proyectos y el adecuado refuerzo de las políticas. Finalmente, el paso «Hazlo bien» («Get Right») está diseñado para que Microsoft monitoree su propio estado de cumplimiento.
La empresa estadounidense, además, ha creado también un nuevo Consejo de Gobernanza de Ciberseguridad. Y, también, ha nombrado a 13 CISO (Chief Information Security Officer o Director de Seguridad de la Información) adjuntos. De ellos, cuatro son nuevas contrataciones:
- Damon Becknel, vicepresidente y CISO adjunto, responsable del área de industrias reguladas.
- Geoff Belknap, vicepresidente corporativo y CISO adjunto, responsable del área fusiones y adquisiciones.
- Shawn Bowen, vicepresidente y CISO adjunto, responsable del área de juegos.
- Y, finalmente, Timothy Langan, vicepresidente corporativo y CISO adjunto, responsable del área de gobierno.
Becknel, previamente, fue CISO en ID.me y Horizon Blue Cross Blue Shield. Geof, por su parte, fue previamente CISO en LinkedIn y Slack y CSO en Palantir. En el caso de Bowen, este fue CISO tanto en World Kinect como en el cuerpo de inteligencia de los Marines de Estados Unidos. Y Langan, finalmente, formó parte del FBI durante más de 26 años antes de incorporarse a Microsoft.
Finalmente, Microsoft lanzó el pasado mes de julio una academia de capacitación en seguridad para todos sus empleados. Su objetivo, según señalan desde la compañía, es «reforzar la importancia de la seguridad en las operaciones diarias». «Nuestro compromiso con la transparencia y la colaboración con la industria sigue siendo inquebrantable», asegura Charlie Bell, director de seguridad. «Al fomentar esta cultura de aprendizaje y mejora continuos, estamos construyendo un futuro en el que la seguridad no es solo una característica, sino una base», sentencia el propio Bell.
¿Tiene repercusión en los clientes actuales de Microsoft 365 / Azure?
En estos momentos, no hay información concreta a este respecto. No obstante, sí es probable que tenga repercusiones en nuevas materias de seguridad para los clientes de Microsoft 365 y Azure. Las mejoras en la seguridad interna de Microsoft, por norma general, suelen traducirse en beneficios para sus clientes. Las prácticas y tecnologías desarrolladas internamente a menudo se implementan en los productos y servicios ofrecidos a los clientes. Por tanto, todos estos detalles que te hemos desgranado a través de los últimos párrafos pueden llevar a la inclusión de nuevas características de seguridad, mejoras en la protección de datos y la implementación de mejores prácticas de seguridad en los servicios de Microsoft 365 y Azure.
¿Qué aspectos he de tener en cuenta para mejorar mi política de seguridad en Microsoft 365? En general, podemos resumirlos a través de la siguiente lista:
- Autenticación multifactor (MFA). Esta política requiere que los usuarios proporcionen dos o más formas de verificación antes de acceder a sus cuentas. De esta manera, se añade una capa adicional de seguridad.
- Protección contra amenazas. La solución Microsoft 365 incluye herramientas como Microsoft Defender para Office 365, que ayuda a proteger contra malware, phishing y otras amenazas.
- Cifrado de datos. Puedes habilitar el cifrado para proteger los datos en tránsito y en reposo. De esta manera, podemos asegurarnos de que los datos solo puedan ser leídos por personas que cuenten con la debida autorización.
- Políticas de acceso condicional. Estas políticas permiten controlar el acceso a los recursos de Microsoft 365 en función de una serie de condiciones específicas. Como, por ejemplo, la ubicación del usuario, el dispositivo utilizado o el nivel de riesgo.
- Etiquetas de confidencialidad. Puedes aplicar etiquetas de confidencialidad a documentos y correos electrónicos para proteger la información sensible. Estas etiquetas, a su vez, pueden cifrar el contenido y restringir el acceso al mismo.
- Supervisión y auditoría. Configura alertas y revisa regularmente los registros de auditoría para detectar actividades sospechosas. De esta manera, podrás responder rápidamente a posibles incidentes de seguridad.
- Gestión de Dispositivos Móviles (MDM). Implementa políticas de MDM (Mobile Device Management o Gestión de Dispositivos Móviles) para proteger los datos en dispositivos móviles. De esta manera, podrás disponer, por ejemplo, de la capacidad de borrar datos de forma remota en caso de pérdida o robo.
Cómo podemos ayudarte desde AWERTY
Desde AWERTY contamos con múltiples vías para que puedas aprovechar al máximo este ecosistema Microsoft aún más seguro. A través de nuestra solución AWERTY Microsoft 365, por ejemplo, tendrás la posibilidad de acceder a las aplicaciones ofimáticas más populares del mercado. Y, con ellas, podrás multiplicar la productividad de tu negocio. Con AWERTY Dynamics 365, mientras, tendrás al alcance de tu mano las soluciones más completas para la gestión del negocio. Soluciones que, además, podrás combinar de acuerdo con las necesidades específicas de tu empresa.
Y, si quieres blindar tu organización ante posibles ataques externos, puedes decidirte por implementar AWERTY Microsoft Defender for Business. En este caso, se trata de una solución diseñada para que los puntos de acceso a la red corporativa de tu negocio ofrezcan siempre las máximas garantías de protección. Con capacidad para impedir, detectar, investigar y dar la respuesta más adecuada, por supuesto, a las amenazas más avanzadas de virus y malware.
Si tienes alguna pregunta sobre cómo puedes aprovechar las tecnologías Microsoft para multiplicar la seguridad cibernética de tu empresa, ponte en contacto con nosotros. Estaremos encantados de darte todas las respuestas que necesites. Sin compromiso. Ante todo, queremos convertirnos en tu partner tecnológico de referencia. Nuestro objetivo fundamental es ayudarte y guiarte para que puedas aprovechar al máximo todo lo que la transformación digital puede hacer para modernizar tu negocio. Nuestros más de 25 años de experiencia en el sector de la Tecnologías de la Información y la satisfacción de nuestros más de 2.500 clientes son nuestras mejores cartas de presentación.
