Relatório de Progresso da SFI de novembro de 2025

Em nosso terceiro relatório de progresso, compartilhamos atualizações para cada área e pilar de engenharia, apresentamos o mapeamento para o NIST Cybersecurity Framework para ajudar os clientes a entender o progresso feito usando uma estrutura reconhecida pelo setor e destacamos as novas funcionalidades de segurança entregues aos clientes. Também compartilhamos práticas recomendadas e diretrizes de implementação, alinhadas aos princípios de Confiança Zero, para ajudar os clientes a reduzir seus riscos.

Continuamos a promover uma cultura que prioriza a segurança em toda a organização.

95% dos funcionários já concluíram o treinamento de segurança mais recente, atribuído em julho de 2025, sobre Proteção Contra Ataques da Plataforma IA, que continua sendo um dos cursos mais bem avaliados.
O sentimento de engenharia em relação à segurança aumentou 9 pontos desde fevereiro de 2024.
Para reforçar a mentalidade de segurança em primeiro lugar no trabalho e em casa, desenvolvemos recursos para funcionários e os disponibilizamos aos clientes pela primeira vez para aumentar a conscientização sobre segurança.

Obtenha diretrizes práticas e saiba mais sobre como a segurança está incorporada à forma como trabalhamos, como lideramos e como medimos o impacto no relatório completo.

"Tornamos a segurança uma prioridade central para todos os funcionários da Microsoft, não apenas para a equipe de segurança.”

Vasu Jakkal
CVP, Segurança da Microsoft

Continuamos expandindo nosso modelo de governança para lidar com a evolução do cenário de ameaças e o aumento da complexidade regulatória.

Ampliamos o escopo do Conselho de Governança de Segurança Cibernética para incluir três novas funções de CISO adjunto:
- Cadeia de Fornecedores e Terceiros
- Funções de Negócios, Marketing e Finanças
- Conformidade com a legislação de segurança cibernética da UE
Criamos o Programa de Segurança Europeia da Microsoft para aprofundar parcerias e informar melhor os governos europeus sobre o cenário de ameaças. Continuamos a participação ativa no Grupo de Especialistas da Lei de Resiliência Cibernética da União Europeia.
Colaboramos ativamente com parceiros do setor para alinhar melhor as regulamentações de segurança cibernética existentes e futuras e aumentar a capacidade de segurança cibernética por meio da Iniciativa de Avanço da Segurança Cibernética Regional no Sul Global.

Obtenha diretrizes práticas e saiba mais sobre como continuamos a expandir nosso modelo de governança para lidar com a evolução do cenário de ameaças e o aumento da complexidade regulatória no relatório completo.

"Acreditamos que não será possível ter um programa sustentável se a sua cultura não estiver alinhada, e certamente não será possível ter um programa mensurável se a governança não estiver alinhada."

Ann Johnson
&, CVP e CISO Adjunto, Escritório de Gerenciamento de Segurança do Cliente

Princípios de segurança

Protegido por Conceito, Protegido por Padrão e Operações Seguras

Guiadas por três princípios de segurança – Protegido por Conceito, Protegido por Padrão e Operações Seguras –, as equipes da Microsoft continuam entregando inovações para ajudar a proteger clientes e a própria Microsoft.

Introduzimos padrões de segurança obrigatórios, ampliamos a confiança baseada em hardware e atualizamos os parâmetros de comparação de segurança para ajudar a melhorar a segurança da nuvem.

Leia mais sobre o Azure no relatório completo
A MFA agora é obrigatória para todos os usuários do Azure, reduzindo o risco de ataques relacionados a senhas. Além disso, o Azure Bastion Developer agora oferece conectividade segura por padrão para máquinas virtuais em 35 regiões.
A Versão 2 do Parâmetro de Comparação de Segurança da Nuvem da Microsoft (MCSB) fornece aos clientes diretrizes atualizadas de linha de base de segurança, que podem ser implementadas usando o Microsoft Defender para Nuvem.
O Azure Local aumentou o número de configurações de segurança padrão em 25% (400 configurações). Isso simplifica ainda mais a capacidade dos clientes de cumprir os padrões do setor e protege melhor os nós do Azure Local contra ameaças adicionais, como malware sem arquivo.
Leia mais sobre o Azure no relatório completo
Oferecemos práticas recomendadas e diretrizes de implementação, alinhadas aos princípios de Confiança Zero, para ajudar os clientes a reduzir seus riscos.

Obter links para diretrizes acionáveis

Pilares de Engenharia

Os seis pilares da SFI incluem metas e ações que definem nossa abordagem à segurança

Das 28 metas, 5 estão quase concluídas, 12 tiveram progresso significativo e continuamos avançando nas demais. Como resultado da SFI, melhoramos a segurança em nossa plataforma e serviços, além de nossa capacidade de detectar e responder a ameaças.

Melhoramos a segurança de identidade para serviços e clientes da Microsoft.
Migramos 95% de assinatura do Microsoft Entra ID para a Computação Confidencial do Azure.
Transferimos 94,3% da validação de token de segurança do Microsoft Entra ID para nosso Software Development Kit (SDK) padrão de identidade.
Impondo MFA resistente a phishing para 99,6% dos funcionários e dispositivos da Microsoft.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.
Continuamos aumentando o isolamento e a redução do risco de movimentação lateral.
Descontinuado o uso dos Serviços de Federação do Active Directory (ADFS) no nosso ambiente de produtividade.
Migramos 98% dos ativos na nuvem gerenciados pelo Gerenciador de Serviços do Azure (ASM) para o Azure Resource Manager (ARM).
Desativamos 560.000 locatários adicionais não utilizados e antigos e 83.000 aplicativos do Entra ID não utilizados nos ambientes de produção e produtividade da Microsoft.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.
O progresso feito melhorou a segurança da rede e proporcionou novas funcionalidades para os clientes.
Inventário completo de dispositivos de rede e gerenciamento do ciclo de vida de ativos.
Segurança reforçada por meio de isolamento avançado e controles de proteção.
Adoção acelerada do Perímetro de Segurança da Rede (NSP) com mais de 1,1 milhão de recursos em modo de aprendizado e aproximadamente 500.000 em modo de imposição.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.
Melhoramos a segurança dos sistemas que usamos para compilar, testar e implantar código.

A assinatura de código agora está quase totalmente restrita a identidades de produção, e os segredos detectados no código são continuamente corrigidos.
Inventário quase completo de ativos de software permite resposta rápida a incidentes e imposição universal de políticas.
Pipelines seguros por padrão e isolamento de rede expandidos, com quase todas as compilações de produção e 94% dos pipelines de liberação usando modelos controlados.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.
Estamos avançando na busca de ameaças, resposta rápida a incidentes e controles de segurança unificados.
98% da infraestrutura de produção é monitorada centralmente, com logs retidos por 2 anos.
Mais de 50 novas detecções implantadas na infraestrutura da Microsoft, visando táticas, técnicas e procedimentos (TTPs) de alta prioridade – as detecções aplicáveis serão integradas ao Microsoft Defender.
A integração com IA está acelerando as melhorias no ciclo de vida da detecção – da identificação à validação da eficácia.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.
Estamos aumentando a velocidade de identificação, triagem e resolução de vulnerabilidades.
A triagem de vulnerabilidades baseada em IA contribuiu para uma taxa de sucesso de 72% no tratamento de vulnerabilidades dentro do nosso tempo reduzido para mitigação, apesar do aumento contínuo no volume e no escopo.
Processos de implantação acelerados aceleraram a mitigação de vulnerabilidades.
A Microsoft publicou 1.096 CVEs, incluindo 53 CVEs na nuvem sem ação, e pagou USD$ 17 milhões em recompensas, demonstrando maior transparência e interação externa.

Saiba mais, incluindo links para diretrizes práticas, no relatório completo.

DIRETRIZES PRÁTICAS

Colocar em prática o que aprendemos

Neste relatório, destacamos 10 padrões e práticas que os clientes podem seguir para reduzir seu risco em áreas prioritárias e compartilhamos as melhores práticas e diretrizes adicionais para cada área e pilar.

Baixe o relatório para obter mais diretrizes