SFI-voortgangsrapport november 2025 | Microsoft Vertrouwenscentrum

In ons derde voortgangsrapport delen we updates voor elk gebied en elke engineeringpijler, introduceren we de koppeling met het NIST Cybersecurity Framework om klanten te helpen de geboekte vooruitgang te begrijpen met behulp van een erkend industrieel kader, en belichten we nieuwe beveiligingsmogelijkheden die aan klanten zijn geleverd. We delen ook best practices en implementatierichtlijnen, afgestemd op Zero Trust-principes, om klanten te helpen hun risico te verminderen.

We blijven een cultuur stimuleren die beveiliging overal in de organisatie op de eerste plaats zet.

95% van de medewerkers heeft de nieuwste beveiligingstraining, toegewezen in juli 2025 over Bescherming tegen AI-gestuurde aanvallen, al afgerond, een van onze best beoordeelde cursussen.
De sentimenten onder engineers over beveiliging zijn sinds februari 2024 met 9 punten gestegen.
Om een security-first mindset op het werk en thuis te versterken, hebben we middelen ontwikkeld voor medewerkers en deze voor het eerst beschikbaar gesteld aan klanten om het beveiligingsbewustzijn te verbeteren.

Krijg praktische richtlijnen en lees meer over hoe beveiliging is ingebed in onze manier van werken, leidinggeven en het meten van impact in het volledige rapport.

"We hebben beveiliging tot een kernprioriteit gemaakt voor elke medewerker bij Microsoft, niet alleen voor het beveiligingsteam.”

Vasu Jakkal
CVP, Microsoft Beveiliging

We blijven ons governance-model opschalen om het veranderende dreigingslandschap en de toegenomen regelgevingscomplexiteit aan te pakken.

Uitgebreid de scope van de Cybersecurity Governance Council met 3 extra Deputy CISO-functies:
- Leveringsketen en derden
- Bedrijfsfuncties, marketing en financiën
- Naleving van EU-wetgeving op het gebied van cyberbeveiliging
Opgericht het Microsoft European Security Program om partnerschappen te verdiepen en Europese overheden beter te informeren over het dreigingslandschap. Voortgezet actieve deelname aan de European Union Cyber Resilience Act Expert Group.
Actief samengewerkt met branchepartners om bestaande en toekomstige cybersecurityregelgeving beter op elkaar af te stemmen en cybersecuritycapaciteit op te bouwen via de Advancing Regional Cybersecurity Initiative in het Global South.

Krijg praktische richtlijnen en lees meer over hoe we ons governance-model blijven opschalen om het veranderende dreigingslandschap en de toegenomen regelgevingscomplexiteit aan te pakken in het volledige rapport.

"We geloven echt dat je geen duurzaam programma kunt hebben als je cultuur niet op één lijn zit, en zeker geen meetbaar programma als je governance niet op één lijn zit.”

Ann Johnson
CVP & Deputy CISO, Customer Security Management Office

Beveiligingsprincipes

Secure by Design, Secure by Default en Secure Operations

Geleid door drie beveiligingsprincipes, Secure by Design, Secure by Default en Secure Operations, blijven teams binnen Microsoft innovaties leveren om klanten en Microsoft te beschermen.

Ingevoerde verplichte veilige standaardinstellingen, uitgebreid hardwaregebaseerd vertrouwen en bijgewerkte beveiligingsbenchmarks om cloudbeveiliging te verbeteren.

Lees meer over Azure in het volledige rapport
MFA is nu verplicht voor alle Azure-gebruikers, wat het risico op wachtwoordgerelateerde aanvallen vermindert. Daarnaast biedt Azure Bastion Developer nu standaard veilige connectiviteit naar virtuele machines in 35 regio’s.
Versie 2 van de Microsoft Cloud Security Benchmark (MCSB) biedt klanten bijgewerkte richtlijnen voor beveiligingsbaselines, die kunnen worden geïmplementeerd met Microsoft Defender voor Cloud.
Azure Lokaal heeft het aantal standaard beveiligingsinstellingen met 25% verhoogd (400 instellingen). Dit vereenvoudigt verder de mogelijkheid van klanten om te voldoen aan industrienormen en beschermt Azure Lokaal-knooppunten beter tegen extra bedreigingen zoals bestandsloze malware.
Lees meer over Azure in het volledige rapport
We bieden best practices en implementatierichtlijnen, afgestemd op Zero Trust-principes, om klanten te helpen hun risico te verminderen.

Ontvang links naar bruikbare richtlijnen

Technische pijlers

De zes pijlers van het SFI bevatten doelen en acties die onze benadering van beveiliging definiëren

Van de 28 doelstellingen zijn er 5 bijna voltooid, 12 hebben aanzienlijke vooruitgang geboekt en we blijven vooruitgang boeken bij de rest. Als resultaat van SFI hebben we de beveiliging van ons platform en onze diensten verbeterd, evenals ons vermogen om bedreigingen te detecteren en erop te reageren.

We hebben de identiteitsbeveiliging voor Microsoft-services en klanten verbeterd.
95% van de Microsoft Entra ID-aanmeld-VM's gemigreerd naar Azure Confidential Compute.
94,3% van de Microsoft Entra ID-beveiligingstokenvalidatie overgezet naar onze standaard identity Software Development Kit (SDK).
Phishingbestendige MFA afgedwongen voor 99,6% van Microsoft-medewerkers en -apparaten.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.
We blijven isolatie vergroten en het risico op laterale beweging verminderen.
Het gebruik van Active Directory Federation Services (ADFS) in onze productiviteitsomgeving stopgezet.
98% van de cloudassets beheerd door Azure Service Manager (ASM) gemigreerd naar Azure Resource Manager (ARM).
560.000 extra ongebruikte en verouderde tenants en 83.000 ongebruikte Entra ID-apps buiten gebruik gesteld in Microsoft-productie- en productiviteitsomgevingen.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.
De geboekte vooruitgang heeft de netwerkbeveiliging verbeterd en nieuwe mogelijkheden voor klanten opgeleverd.
Volledige inventaris van netwerkapparaten en volwassen beheer van de levenscyclus van assets bereikt.
Beveiliging versterkt door verbeterde isolatie en beschermende controles.
Versnelde adoptie van Network Security Perimeter (NSP) met meer dan 1,1 miljoen resources in leerstand en ongeveer 500.000 in afdwingstand.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.
We hebben de beveiliging van systemen die we gebruiken om code te bouwen, testen en uit te rollen verbeterd.

Codeondertekening is nu bijna volledig gebonden aan productie-identiteiten en geheimen die in code worden gedetecteerd, worden continu opgelost.
Bijna volledige inventaris van software-assets maakt snelle incidentrespons en universele beleidsafdwinging mogelijk.
Uitgebreide secure-by-default pipelines en netwerkisolatie, met bijna alle productie-builds en 94% van de release-pijplijnen die gebruikmaken van beheerde sjablonen.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.
We verbeteren threat hunting, snelle incidentrespons en uniforme beveiligingscontroles.
98% van de productie-infrastructuur wordt centraal gevolgd, met logs die 2 jaar worden bewaard.
Meer dan 50 nieuwe detecties uitgerold over Microsoft-infrastructuur, gericht op prioritaire tactieken, technieken en procedures (TTP's), toepasselijke detecties worden geïntegreerd in Microsoft Defender.
AI-integratie versnelt verbeteringen in de detectielevenscyclus, van identificatie tot effectiviteitsvalidatie.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.
We verhogen de snelheid van identificatie, triage en oplossing van kwetsbaarheden.
AI-gebaseerde triage van kwetsbaarheden droeg bij aan een succespercentage van 72% bij het aanpakken van kwetsbaarheden binnen onze verkorte mitigatietijd, ondanks een voortdurende toename in volume en scope.
Versnelde uitrolprocessen hebben de mitigatie van kwetsbaarheden versneld.
Microsoft publiceerde 1.096 CVE's, waaronder 53 cloud-CVE's zonder actie, en betaalde 17 miljoen USD aan beloningen uit, wat meer transparantie en externe betrokkenheid aantoont.

Lees meer, inclusief links naar bruikbare richtlijnen, in het volledige rapport.

UITVOERBARE RICHTLIJNEN

Breng wat we geleerd hebben in de praktijk

In dit rapport belichten we 10 patronen en praktijken die klanten kunnen volgen om hun risico in prioritaire gebieden te verminderen en delen we extra best practices en richtlijnen voor elk gebied en pijler.

Download het rapport voor meer richtlijnen