SFI állapotjelentés 2025. november | Microsoft Adatvédelmi központ

Harmadik állapotjelentésünkben minden terület és mérnöki pillér legfrissebb fejleményeiről számolunk be, bemutatjuk a NIST kiberbiztonsági keretrendszerre való leképezést, hogy ügyfeleink egy elismert iparági keretrendszer segítségével megérthessék az elért eredményeket, és kiemeljük az ügyfeleknek nyújtott új biztonsági funkciókat. A Teljes Felügyelet elveihez igazodva megosztjuk az ajánlott eljárásokat és az implemetációs útmutatót is, hogy segítsünk ügyfeleinknek a kockázatok csökkentésében.

Továbbra is támogatjuk azt a kultúrát, amely a biztonságot helyezi előtérbe a szervezetben.

A munkavállalók 95%-a már elvégezte a 2025 júliusában meghirdetett legújabb biztonsági képzést az AI-alapú támadások elleni védekezésről, amely továbbra is az egyik legjobb értékeléssel rendelkező tanfolyamunk.
A biztonsággal kapcsolatos mérnöki hangulat 2024 februárja óta 9 ponttal javult.
A munkahelyi és otthoni biztonság tudatosításának erősítése érdekében fejlesztettünk ki erőforrásokat a munkavállalók számára, és ezeket először tettük elérhetővé az ügyfelek számára is a biztonsági tudatosság javítása érdekében.

Kapjon gyakorlati útmutatást, és olvasson többet a teljes jelentésben arról, hogyan épül be a biztonság a munkamódszereinkbe, a vezetési stílusunkba és a hatások mérésébe.

"A biztonságot minden egyes Microsoft alkalmazott számára alapvető prioritássá tettük, nem csak a biztonsági csapat esetében.”

Vasu Jakkal
CVP, Microsoft Biztonság

Folyamatosan bővítjük irányítási modellünket, hogy megfeleljünk a változó fenyegetési környezetnek és a növekvő szabályozási komplexitásnak.

A Kiberbiztonsági irányító tanács hatáskörét kibővítették 3 további helyettes CISO funkcióval:
- Ellátási lánc és harmadik felek
- Üzleti szolgáltatások, marketing és pénzügy
- Az EU kiberbiztonsági jogszabályainak való megfelelés
Létrejött a Microsoft Európai Biztonsági Program, amelynek célja a partnerségek elmélyítése és az európai kormányok hatékonyabb tájékoztatása a fenyegetésekkel kapcsolatos helyzetről. Továbbra is aktívan együttműködünk az Európai Unió Kiberrugalmassági jogszabályokkal foglalkozó szakértői csoportjával.
Aktívan együttműködünk az iparági partnerekkel a meglévő és jövőbeli kiberbiztonsági szabályozások jobb összehangolása és a kiberbiztonsági kapacitások kiépítése érdekében a globális déli régióban megvalósuló regionális kiberbiztonsági kezdeményezés keretében.

A teljes jelentésben hasznos útmutatást talál, és többet olvashat arról, hogyan bővítjük folyamatosan irányítási modellünket, hogy megfeleljünk a változó fenyegetési környezetnek és a növekvő szabályozási komplexitásnak.

"Meggyőződésünk, hogy nem lehet fenntartható programot létrehozni, ha a kultúra nem összehangolt, és biztosan nem lehet mérhető programot kialakítani, ha a irányítás nem megfelelő.”

Ann Johnson
CVP & helyettes CISO, ügyfélbiztonsági menedzsment iroda

Biztonsági alapelvek

A kialakításánál fogva biztonságos, Alapértelmezés szerint biztonságos és Biztonságos műveletek

Három biztonsági alapelv – Secure by Design, Secure by Default és Secure Operations – alapján a Microsoft csapatai folyamatosan innovációkat hoznak létre, amelyek segítik az ügyfelek és a Microsoft védelmét.

Bevezettük a kötelező biztonsági alapbeállításokat, kibővítettük a hardveralapú megbízhatóságot és frissítettük a biztonsági referenciaértékeket a felhőbiztonság javítása érdekében.

További információ az Azure-ról a teljes jelentésben
Az MFA mostantól kötelező minden Azure-felhasználó számára, ami csökkenti a jelszóval kapcsolatos támadások kockázatát. Ezenkívül az Azure Bastion Developer mostantól alapértelmezett biztonságos kapcsolatot kínál a virtuális gépekhez 35 régióban.
A Microsoft Cloud Security Benchmark (MCSB) 2. verziója frissített alapvető biztonsági útmutatást nyújt az ügyfeleknek, amely a Felhőhöz készült Microsoft Defender segítségével implementálható.
Az Azure Local 25%-kal (400 beállítással) növelte az alapértelmezett biztonsági beállítások számát. Ez jelentősen egyszerűsíti az ügyfelek számára az iparági szabványok betartását, és jobban védi az Azure Local csomópontokat az olyan további fenyegetésektől, mint a fájl nélküli kártevők.
További információ az Azure-ról a teljes jelentésben
A Teljes Felügyelet elveihez igazodva biztosítjuk az ajánlott eljárásokat és az implemetációs útmutatót is, hogy segítsünk ügyfeleinknek a kockázatok csökkentésében.

Cselekvési útmutatóra mutató hivatkozások lekérése

Mérnöki pillérek

A BJK hat pillére olyan célokat és intézkedéseket tartalmaz, amelyek meghatározzák a biztonsággal kapcsolatos megközelítésünket

A 28 célkitűzés közül 5 már majdnem teljesült, 12 jelentős fejlődést mutat, a többi pedig folyamatosan valósul meg. A BJK eredményeként javítottuk platformunk és szolgáltatásaink biztonságát, valamint a fenyegetések észlelésének és kezelésének képességét.

Javítottuk a Microsoft-szolgáltatások és ügyfelek identitásbiztonságát.
A Microsoft Entra ID aláíró virtuális gépek 95%-át migráltuk az Azure Confidential Compute-ba.
A Microsoft Entra ID biztonsági token-érvényesítés 94.3%-át áthelyeztük a standard identitású szoftverfejlesztői készletünkbe (SDK).
A Microsoft alkalmazottainak és eszközeinek 99.6%-ára kiterjedően alkalmaztuk az adathalászat ellen védett többtényezős hitelesítést.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.
Továbbra is növeljük az elkülönítést, és csökkentjük az oldalirányú mozgás kockázatát.
Megszüntettük az Active Directory összevonási szolgáltatások (AD FS) használatát az éles környezetünkben.
Az Azure Service Manager (ASM) által felügyelt felhőbeli objektumok 98%-át migráltuk a Azure Resource Manager (ARM) szolgáltatásba.
560 000 további használaton kívüli és elavult bérlőt és 83 000 fel nem használt Entra ID-alkalmazást távolítottunk el a Microsoft éles és gyártási környezeteiből.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.
Az elért eredmények javították a hálózati biztonságot, és új képességeket biztosítottak az ügyfelek számára.
Megvalósult a hálózati eszközök teljes készletének felmérése és az eszközök életciklusának kiforrott kezelése.
Megerősítettük a biztonságot javított elkülönítéssel és védelmi vezérlőkkel.
A Network Security Perimeter (NSP) gyorsabb adoptációja több mint 1.1 millió erőforrással tanulási módban és körülbelül 500 000 alkalmazott módban.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.
Javítottuk a rendszerek biztonságát, amelyeket kód építésére, tesztelésére és üzembe helyezésére használunk.

A kódaláírás ma már szinte teljes egészében az éles környezeti identitásokhoz van kötve, és a kódban észlelt titkos információkat folyamatosan szervizelik.
A szinte teljes szoftvereszköz-készlet lehetővé teszi a gyors incidenselhárítást és az általános házirendek érvényesítését.
Bővített, alapértelmezés szerint biztonságos folyamatok és hálózati elkülönítés, ahol szinte az összes termelési verzió és a kiadási folyamatok 94%-a szabályozott sablonokat használ.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.
Fejlesztjük a kiberveszélyforrás-keresést, a gyors incidenselhárítást és az egységes biztonsági ellenőrzéseket.
A termelési infrastruktúra 98%-át központilag követjük nyomon, a naplókat 2 évig megőrizzük.
Több mint 50 új észlelési módszer került üzembe helyezésre a Microsoft infrastruktúrájában, amelyek a kiemelt fontosságú taktikákat, technikákat és eljárásokat (TTP) célozzák meg – az alkalmazandó észlelési módszerek beépítésre kerülnek a Microsoft Defenderbe.
Az AI integráció felgyorsítja az észlelési életciklus fejlesztéseit – az azonosítástól a hatékonyság ellenőrzéséig.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.
Gyorsítjuk a sebezhetőségek azonosítását, osztályozását és megszüntetését.
Az AI-alapú sebezhetőségi besorolás hozzájárult ahhoz, hogy a sebezhetőségek kezelésének sikeraránya 72% legyen, miközben a kezelési idő csökkent, annak ellenére, hogy a sebezhetőségek száma és hatóköre folyamatosan nőtt.
A gyorsított üzembe helyezési folyamatok felgyorsították a biztonsági rések megszüntetését.
A Microsoft 1096 CVE-t tett közzé, köztük 53 nem intézkedést igénylő felhőalapú CVE-t, és 17 millió USD jutalmat fizetett ki, ezzel is bizonyítva a fokozott átláthatóságot és a külső együttműködést.

További információ, beleértve a gyakorlati útmutatókra mutató hivatkozásokat, a teljes jelentésben.

CSELEKVÉSI ÚTMUTATÓ

Alkalmazza a tanultakat a gyakorlatban

Ebben a jelentésben 10 mintát és eljárást emelünk ki, amelyeket az ügyfelek követhetnek a prioritást élvező területeken a kockázat csökkentése érdekében, és minden területre és pillérre vonatkozóan további ajánlott eljárásokat és útmutatókat osztunk meg.

További útmutatásért töltse le a jelentést