รายงานความคืบหน้าของ SFI เดือนพฤศจิกายน 2568

ในรายงานความคืบหน้าที่สามของเรา เราแชร์การอัปเดตสำหรับทุกพื้นที่และเสาหลักด้านวิศวกรรม แนะนำการแมปกับ NIST Cybersecurity Framework เพื่อช่วยให้ลูกค้าเข้าใจความคืบหน้าที่เกิดขึ้นโดยใช้เฟรมเวิร์กอุตสาหกรรมที่ได้รับการยอมรับ และเน้นความสามารถด้านความปลอดภัยใหม่ๆ ที่ส่งไปยังลูกค้า นอกจากนี้ เรายังแชร์แนวทางปฏิบัติและแนวทางการนำไปใช้ที่สอดคล้องกับหลักการ Zero Trust เพื่อช่วยให้ลูกค้าลดความเสี่ยง

เรายังคงส่งเสริมวัฒนธรรมที่ให้ความสำคัญกับความปลอดภัยเป็นอันดับแรกทั่วทั้งองค์กร

พนักงาน 95% ได้ผ่านการฝึกอบรมด้านความปลอดภัยล่าสุดที่ได้รับมอบหมายในเดือนกรกฎาคม 2568 เกี่ยวกับการป้องกันการโจมตีโดย AI ซึ่งยังคงเป็นหนึ่งในหลักสูตรที่ได้รับคะแนนสูงสุดของเรา
ความคิดเห็นทางวิศวกรรมเกี่ยวกับการรักษาความปลอดภัยเพิ่มขึ้น 9 คะแนน ตั้งแต่เดือนกุมภาพันธ์ 2567
เพื่อเสริมสร้างความคิดด้านความปลอดภัยเป็นอันดับแรกในที่ทำงานและที่บ้าน เราได้พัฒนาทรัพยากรสำหรับพนักงานและกำหนดให้พร้อมใช้งานสำหรับลูกค้าเป็นครั้งแรกเพื่อปรับปรุงการรับรู้ความปลอดภัย

รับคำแนะนำที่สามารถดำเนินการได้และอ่านเพิ่มเติมเกี่ยวกับวิธีการฝังความปลอดภัยในวิธีการทำงานของเรา วิธีการที่เรานำ และวิธีการที่เราวัดผลกระทบในรายงานฉบับเต็ม

"เรากำหนดให้ความปลอดภัยเป็นความสำคัญหลักสำหรับพนักงานทุกคนที่ Microsoft ไม่ใช่แค่ทีมความปลอดภัยเท่านั้น”

Vasu Jakkal
CVP, Microsoft Security

เรายังคงขยายโมเดลการกำกับดูแลของเราเพื่อจัดการกับภูมิทัศน์ภัยคุกคามที่พัฒนาและความซับซ้อนของกฎข้อบังคับที่เพิ่มขึ้น

ขยายขอบเขตของสภาการกำกับดูแลการรักษาความปลอดภัยทางไซเบอร์เพื่อรวมฟังก์ชัน Deputy CISO เพิ่มเติม 3 รายการ:
- ห่วงโซ่อุปทานและบริษัทภายนอก
- ฟังก์ชันทางธุรกิจ การตลาด และการเงิน
- การปฏิบัติตามข้อบังคับการรักษาความปลอดภัยทางไซเบอร์ของสหภาพยุโรป
สร้าง Microsoft European Security Program เพื่อเสริมสร้างความร่วมมือและแจ้งให้รัฐบาลในยุโรปทราบเกี่ยวกับภูมิทัศน์ภัยคุกคามได้ดีขึ้น การมีส่วนร่วมอย่างต่อเนื่องในกลุ่มผู้เชี่ยวชาญด้านกฎหมาย Cyber Resilience ของสหภาพยุโรป
ทำงานร่วมกับคู่ค้าในอุตสาหกรรมอย่างแข็งขันเพื่อให้สอดคล้องกับกฎระเบียบด้านการรักษาความปลอดภัยทางไซเบอร์ที่มีอยู่และในอนาคตได้ดียิ่งขึ้น และสร้างศักยภาพการรักษาความปลอดภัยทางไซเบอร์ผ่าน Advancing Regional Cybersecurity Initiative ใน Global South

รับคำแนะนำที่สามารถดำเนินการได้และอ่านเพิ่มเติมเกี่ยวกับวิธีที่เราดำเนินการปรับมาตราส่วนโมเดลการกำกับดูแลของเราเพื่อจัดการกับภูมิทัศน์ภัยคุกคามที่พัฒนาและความซับซ้อนของกฎข้อบังคับที่เพิ่มขึ้นในรายงานฉบับเต็มรายงานฉบับเต็ม

"เราเชื่อว่าคุณไม่สามารถมีโปรแกรมที่ยั่งยืนได้ ถ้าวัฒนธรรมของคุณไม่สอดคล้องกัน และแน่นอนว่าคุณไม่สามารถมีโปรแกรมที่วัดได้ ถ้าการกำกับดูแลของคุณไม่สอดคล้องกัน”

Ann Johnson
CVP & รองประธาน CISO, สำนักงานการจัดการความปลอดภัยของลูกค้า

หลักการรักษาความปลอดภัย

ปลอดภัยตามการออกแบบ ปลอดภัยตามค่าเริ่มต้น และการดำเนินการที่ปลอดภัย

ได้รับคำแนะนำจากหลักการรักษาความปลอดภัยสามประการ – ปลอดภัยตามการออกแบบ ปลอดภัยตามค่าเริ่มต้น และการดำเนินการที่ปลอดภัย – ทีมใน Microsoft ยังคงนำเสนอนวัตกรรมเพื่อช่วยปกป้องลูกค้าและ Microsoft

มีค่าเริ่มต้นความปลอดภัยที่บังคับ ความน่าเชื่อถือบนฮาร์ดแวร์แบบขยาย และเกณฑ์มาตรฐานความปลอดภัยที่อัปเดตเพื่อช่วยปรับปรุงความปลอดภัยของระบบคลาวด์

อ่านเพิ่มเติมเกี่ยวกับ Azure ในรายงานฉบับเต็ม
ขณะนี้ MFA เป็นข้อบังคับสำหรับผู้ใช้ Azure ทั้งหมด ซึ่งลดความเสี่ยงของการโจมตีที่เกี่ยวข้องกับรหัสผ่าน นอกจากนี้ Azure Bastion Developer ยังมีการเชื่อมต่อที่ปลอดภัยตามค่าเริ่มต้นกับเครื่องเสมือนใน 35 ภูมิภาค
Microsoft Cloud Security Benchmark (MCSB) เวอร์ชัน 2 ให้คำแนะนำพื้นฐานด้านความปลอดภัยที่อัปเดตแก่ลูกค้า ซึ่งสามารถนำไปใช้ได้โดยใช้ Microsoft Defender for Cloud
Azure Local เพิ่มจำนวนการตั้งค่าเริ่มต้นด้านความปลอดภัยขึ้น 25% (การตั้งค่า 400 รายการ) ซึ่งทำให้ลูกค้าสามารถปฏิบัติตามมาตรฐานอุตสาหกรรมได้ง่ายขึ้น และปกป้องโหนด Azure Local จากภัยคุกคามเพิ่มเติม เช่น มัลแวร์ที่ไม่มีไฟล์
อ่านเพิ่มเติมเกี่ยวกับ Azure ในรายงานฉบับเต็ม
เราให้แนวทางปฏิบัติและคำแนะนำในการใช้งาน ซึ่งสอดคล้องกับหลักการ Zero Trust เพื่อช่วยให้ลูกค้าลดความเสี่ยง

รับลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้

เสาหลักด้านวิศวกรรม

เสาหลัก SFI หกต้นประกอบด้วยเป้าหมายและการดำเนินการที่กำหนดวิธีการของเราในการรักษาความปลอดภัย

จากวัตถุประสงค์ 28 รายการ 5 รายการใกล้จะเสร็จสมบูรณ์แล้ว 12 รายการมีความคืบหน้าอย่างมีนัยสำคัญ และเรายังคงดำเนินการกับส่วนที่เหลือต่อไป ด้วยผลลัพธ์ของ SFI เราได้ปรับปรุงการรักษาความปลอดภัยในแพลตฟอร์มและบริการของเรา รวมถึงความสามารถในการตรวจหาและตอบสนองต่อภัยคุกคามของเรา

เราได้ปรับปรุงความปลอดภัยของข้อมูลประจำตัวสำหรับบริการของ Microsoft และลูกค้า
โยกย้ายเครื่องเสมือนที่ลงชื่อเข้าใช้ Microsoft Entra ID 95% ไปยัง Azure Confidential Compute
ย้ายการตรวจสอบความถูกต้องของโทเค็นความปลอดภัยของ Microsoft Entra ID 94.3% ไปยัง Software Development Kit (SDK) ข้อมูลประจำตัวมาตรฐานของเรา
บังคับใช้ MFA ที่ป้องกันฟิชชิ่งสำหรับพนักงานและอุปกรณ์ของ Microsoft 99.6%

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม
เรายังคงเพิ่มการแยกและลดความเสี่ยงของการเคลื่อนที่แบบข้างเคียง
ยกเลิกการใช้ Active Directory Federation Services (ADFS) ในสภาพแวดล้อมการทำงานของเรา
โยกย้ายแอสเซทระบบคลาวด์ที่จัดการโดย Azure Service Manager (ASM) 98% ไปยัง Azure Resource Manager (ARM)
ยกเลิกการใช้งานผู้เช่าที่ไม่ได้ใช้งานและผู้เช่าเก่า 560,000 รายเพิ่มเติม และแอป Entra ID ที่ไม่ได้ใช้ 83,000 รายการทั่วทั้งสภาพแวดล้อมการผลิตและประสิทธิภาพการทำงานของ Microsoft

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม
ความคืบหน้าที่เกิดขึ้นได้ปรับปรุงความปลอดภัยของเครือข่ายและมอบความสามารถใหม่ๆ สำหรับลูกค้า
บรรลุการตรวจนับอุปกรณ์เครือข่ายอย่างสมบูรณ์และการจัดการวงจรชีวิตแอสเซทที่มีประสิทธิภาพ
ความปลอดภัยที่เพิ่มขึ้นผ่านการควบคุมการแยกและการป้องกันที่ได้รับการปรับปรุง
การปรับใช้แนวรั้วการรักษาความปลอดภัยของเครือข่าย (NSP) ที่เพิ่มขึ้นด้วยทรัพยากรมากกว่า 1.1 ล้านรายการในโหมดการเรียนรู้และโหมดที่บังคับใช้ประมาณ 500,000 รายการ

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม
เราได้ปรับปรุงความปลอดภัยของระบบที่เราใช้เพื่อสร้าง ทดสอบ และปรับใช้โค้ด

ขณะนี้การเซ็นโค้ดถูกล็อกเกือบทั้งหมดกับข้อมูลประจำตัวการผลิต และความลับที่ตรวจพบในรหัสจะได้รับการแก้ไขอย่างต่อเนื่อง
คลังแอสเซทซอฟต์แวร์ที่ใกล้เสร็จสมบูรณ์ช่วยให้สามารถตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและการบังคับใช้นโยบายสากล
ไปป์ไลน์ที่ปลอดภัยตามค่าเริ่มต้นและการแยกเครือข่ายแบบขยายด้วยรุ่นการผลิตเกือบทั้งหมดและ 94% ของไปป์ไลน์การเผยแพร่โดยใช้เทมเพลตที่มีการควบคุม

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม
เรากำลังก้าวหน้าในการไล่ล่าภัยคุกคาม การตอบสนองเหตุการณ์อย่างรวดเร็ว และการควบคุมความปลอดภัยแบบรวมศูนย์
98% ของโครงสร้างพื้นฐานการผลิตถูกติดตามจากส่วนกลาง โดยมีบันทึกที่เก็บไว้เป็นเวลา 2 ปี
การตรวจหาใหม่มากกว่า 50 รายการที่ปรับใช้ทั่วทั้งโครงสร้างพื้นฐานของ Microsoft โดยกำหนดเป้าหมายกลยุทธ์ เทคนิค และกระบวนการที่มีความสำคัญสูง (TTP) – การตรวจหาที่เกี่ยวข้องจะถูกรวมเข้ากับ Microsoft Defender
การรวม AI กำลังเร่งการปรับปรุงวงจรชีวิตการตรวจหา ตั้งแต่การระบุไปจนถึงการตรวจสอบประสิทธิภาพ

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม
เรากำลังเพิ่มความเร็วในการระบุ การคัดกรอง และการแก้ปัญหาช่องโหว่
การคัดกรองช่องโหว่ตาม AI มีส่วนทำให้เกิดช่องโหว่ในการจัดการอัตราความสำเร็จ 72% ภายในเวลาที่ลดลงของเราเพื่อลดปัญหา แม้ว่าปริมาณและขอบเขตจะเพิ่มขึ้นอย่างต่อเนื่อง
กระบวนการปรับใช้แบบเร่งด่วนได้เร่งการลดช่องโหว่
Microsoft ได้เผยแพร่ CVE จำนวน 1,096 รายการ รวมถึง CVE บนคลาวด์ที่ไม่ต้องดำเนินการ 53 รายการ และจ่ายเงินรางวัลรวม 17 ล้านดอลลาร์สหรัฐ ซึ่งแสดงถึงความโปร่งใสและการมีส่วนร่วมจากภายนอกที่เพิ่มขึ้น

อ่านเพิ่มเติม รวมถึงลิงก์ไปยังคำแนะนำที่สามารถดำเนินการได้ในรายงานฉบับเต็ม

คำแนะนำที่สามารถดำเนินการได้

นำสิ่งที่เราเรียนรู้ไปปฏิบัติ

ในรายงานนี้ เราเน้น 10 รูปแบบและแนวทางปฏิบัติที่ลูกค้าสามารถทำตามเพื่อลดความเสี่ยงในพื้นที่ที่จัดอันดับและแชร์แนวทางปฏิบัติและคำแนะนำเพิ่มเติมสำหรับแต่ละพื้นที่และเสาหลัก

ดาวน์โหลดรายงานสำหรับคำแนะนำเพิ่มเติม