Poznaj człowieka, który zapewniał bezpieczeństwo firmie Microsoft przez 16 lat

2023/01/24

Mike Howard przez 16 lat był dyrektorem ds. bezpieczeństwa Microsoftu.
Odpowiadał za bezpieczeństwo globalnego zespołu liczącego prawie 200 000 osób, w tym kierownictwo firmy, jej 90 000 pracowników i około 90 000 kontrahentów w 700 obiektach firmy w 100 krajach.
Ustanowił standardy branżowe, takie jak włączenie bezpieczeństwa do wszystkich programów szkolenia pracowników i uczynienie z bezpieczeństwa integralnej części kultury firmy.
Ten artykuł jest przeznaczony dla właścicieli firm i specjalistów ds. zabezpieczeń, którzy chcą uczyć się od czołowej organizacji CSO, która zarządzała protokołami zabezpieczeń firmy Microsoft przez ponad dekadę.

Mike Howard jest byłym oficerem operacyjnym CIA z 22-letnim doświadczeniem, który kierował globalnymi operacjami bezpieczeństwa firmy Microsoft jako dyrektor ds. bezpieczeństwa od 2002 r. do przejścia na emeryturę 31 sierpnia 2018 r. protokoły dostosowane do pracy w przypadku każdego rodzaju zagrożenia fizycznego lub cyberbezpieczeństwa . Protokoły te mają na celu wsparcie firmy nie tylko przed iw trakcie ataku, ale także po jego wpływie na pracowników.

Protokoły zakorzenione w tradycji

Chociaż Microsoft jest uważany za jednego z pionierów w branży technologicznej, Howard powiedział kiedyś, że wiele, jeśli nie wszystkie protokoły bezpieczeństwa narzucone przez Microsoft, nadal są zakorzenione w tradycyjnych sposobach zapewniania bezpieczeństwa w wielu korporacjach.

„Cyberbezpieczeństwo jest poważnym problemem dla wszystkich, ponieważ jako społeczeństwo staliśmy się bardziej zglobalizowani, a firmy rozszerzyły swój zasięg i wszystko jest cyfrowe” – powiedział Howard w poprzednim wywiadzie. „Jednak tradycyjne kwestie bezpieczeństwa związane z kradzieżą, przemocą wobec pracowników, terroryzmem i klęskami żywiołowymi są nadal najważniejsze, jeśli chodzi o duże wyzwania w zakresie bezpieczeństwa dla firm”.

Howard uważa, że chociaż technologia rozwija się każdego dnia szybciej, duże firmy, takie jak Microsoft, nadal powinny opierać swoje protokoły bezpieczeństwa na planach opracowanych dziesiątki lat temu. Podstawy bezpieczeństwa są kluczem do zarządzania tak dużą firmą jak Microsoft, ale dotyczą również mniejszych organizacji.

Niezależnie od tego, czy masz ponad 700 biur rozproszonych w stu krajach na całym świecie, takich jak Microsoft, czy też jesteś małą firmą, która chce poprawić swoje bezpieczeństwo cybernetyczne, musisz skoncentrować się na typowych problemach z bezpieczeństwem napotykanych na wszystkich poziomach zarządzania.

Jak Microsoft radzi sobie z bezpieczeństwem

Warto zauważyć, że Microsoft inwestuje w sumie 1 miliard dolarów rocznie w zapewnienie odpowiedniej ochrony danych własnych oraz klientów. Jednak nie jest to jedyny aspekt bezpieczeństwa, w który firma inwestuje. Zapewnia również maksymalne bezpieczeństwo w każdym zakątku obszaru roboczego. Zarządzanie incydentami bezpieczeństwa firmy Microsoft opiera się na podstawowych procesach ograniczania zagrożeń bezpieczeństwa: przygotowaniu, wykrywaniu i analizie, powstrzymywaniu, usuwaniu i odzyskiwaniu oraz działaniach po incydencie.

Mimo że Microsoft wydaje ogromne pieniądze na bezpieczeństwo, oszczędności, jakie uzyskuje z zapobiegania atakom i łagodzenia skutków ataków w wyniku posiadania wyjątkowych protokołów bezpieczeństwa, są większe niż te, które wydał.

Na przykład bez odpowiednich protokołów bezpieczeństwa „własność intelektualna może zostać naruszona i może to wpłynąć na reputację marki firmy lub doprowadzić do procesów sądowych” — powiedział Howard. Oba mogą spowodować duże straty dla firmy. Bezpieczeństwo to nie tyle dodatkowy wydatek dla firmy, co inwestycja.

Jest to szczególnie ważne w związku z rozwojem przepisów dotyczących prywatności danych, trendem, który rozpoczął się tuż przed odejściem Howarda z firmy Microsoft, kiedy Unia Europejska (UE) przyjęła ogólne rozporządzenie o ochronie danych (RODO). RODO naraża firmy na odpowiedzialność finansową w przypadku naruszenia bezpieczeństwa danych osobowych użytkowników w UE. Podobne przepisy, takie jak California Consumer Privacy Act (CCPA), pojawiły się również w następstwie RODO i wymagają od firm skrupulatnego planowania protokołów bezpieczeństwa.

Przykłady praktyk bezpieczeństwa firmy Microsoft

W ramach firmowego protokołu bezpieczeństwa firma Microsoft publikuje raport Microsoft Security Intelligence Report co sześć miesięcy od 2006 roku. Ten raport podsumowuje wszystkie zagrożenia, które weszły do systemu firmy Microsoft, a każde z tych zagrożeń jest oceniane w celu zmniejszenia ryzyka naruszenia danych i inne możliwe problemy.

Inną funkcją bezpieczeństwa stosowaną przez Microsoft jest platforma Microsoft Defender Threat Intelligence, której analityk bezpieczeństwa może używać do analizowania i ustalania priorytetów sygnałów lub zagrożeń, które wymagają najwyższego poziomu uwagi.

Działa podobnie jak sztuczna inteligencja zaprojektowana z myślą o cyberbezpieczeństwie, umożliwiając firmie Microsoft wysyłanie spersonalizowanych wiadomości e-mail do użytkowników, gdy tylko pojawi się zagrożenie. Komunikaty te informują użytkowników o niektórych linkach, których nie należy klikać, wiadomościach e-mail, które wydają się podejrzane, oraz innych działaniach w cyberprzestrzeni, które mogą zostać oznaczone jako groźne.

Rola Mike’a Howarda jako ewangelisty bezpieczeństwa

Oprócz zmian, które wprowadził w firmie Microsoft w celu ochrony danych użytkowników i klientów, wiele z wyróżnień Howarda jako człowieka stojącego za znakomitymi środkami bezpieczeństwa firmy wynika z jego roli ewangelisty dla innych. Howard zadbał o to, aby wszyscy w firmie, od tych na najniższym szczeblu zarządzania po kadrę kierowniczą i akcjonariuszy, rozumieli znaczenie bezpieczeństwa zarówno w świecie fizycznym, jak i cyberprzestrzeni.

„Wiele [zaangażowania firmy Microsoft w bezpieczeństwo] ma związek z ewangelizacją bezpieczeństwa na kilku frontach w ciągu ostatniej dekady” — powiedział Howard. „Mój odpowiednik ds. bezpieczeństwa IT i ja pracowaliśmy pilnie, aby naprawdę sprawić, by osoby poruszające się i wstrząsające, decydenci tutaj zrozumieli bezpieczeństwo i wspierali te wysiłki w zakresie bezpieczeństwa oraz rozpowszechnianie tego przesłania w całym przedsiębiorstwie”.

Uświadomienie znaczenia tych protokołów każdemu pracownikowi firmy Microsoft jest procesem ciągłym. Ci pracownicy to ci, którzy wykonują codzienne czynności w firmie. W związku z tym muszą pamiętać o bezpieczeństwie biznesowym podczas wykonywania swoich funkcji zawodowych.

Nawet podczas planowania działań marketingowych firmy Microsoft Howard dbał o dostarczanie informacji, które pomagały pracownikom w wykonywaniu ich obowiązków bez narażania na szwank ich integralności lub wartościowych informacji firmy. Ta kultura ewangelizacji bezpieczeństwa jest dziedzictwem Howarda po odejściu z firmy.

Asysta pracownicza sposobem na zapewnienie bezpieczeństwa

Howard uważa, że poza rolą technologii w maksymalizacji bezpieczeństwa w Microsoft, pracownicy są kluczem do zapewnienia, że praca jest wykonywana z najwyższą czujnością i przestrzeganiem odpowiednich wytycznych dotyczących bezpieczeństwa.

„Posiadanie programu szkoleniowego jest niezbędne dla każdego programu bezpieczeństwa”, powiedział Howard. „Bez tego nie ma wszechstronnego programu bezpieczeństwa. Mamy pewną liczbę pełnoetatowych pracowników i dostawców, którzy obsługują firmę Microsoft na całym świecie; nigdy nie moglibyśmy odpowiednio objąć świata bez edukacji i tworzenia programów uświadamiających, które uczą ludzi, czego szukać”.

Edukowanie pracowników na temat zagrożeń bezpieczeństwa przynosi pewne korzyści w zakresie bezpieczeństwa:

Pracownicy stają się swoimi własnymi pracownikami ochrony; czują się odpowiedzialni za dobro swoich zespołów i zwracają uwagę na wszelkie możliwe zagrożenia.
Wniosą własne doświadczenia, aby wziąć pod uwagę czynniki, które zwykle nie są brane pod uwagę podczas optymalizacji bezpieczeństwa, czyniąc protokoły bezpieczeństwa bardziej wszechstronnymi i skutecznymi.
Pracownicy są szkoleni w zakresie zachowania czujności zarówno przed komputerami, jak iw najbliższym otoczeniu, zapewniając holistyczne bezpieczeństwo.

Dlaczego dział HR ma ogromne znaczenie dla bezpieczeństwa

Pomimo tego, że HR jest integralną częścią biznesu, często jest pomijany przy omawianiu sposobów optymalizacji bezpieczeństwa. Najczęściej luki w systemie bezpieczeństwa firmy znajdują się w obszarach, które wcześniej były traktowane jako nieistotne, co czyni je wylęgarnią różnego rodzaju zagrożeń.

„Zła sytuacja ekonomiczna, problemy w domu, a nawet zajmowanie się chorym krewnym mogą być czynnikami, które mogą wywołać [powody do zwiększenia] bezpieczeństwa w pracy, a posiadanie zespołu, który pomoże rozwiązać te problemy, może uchronić ich przed incydentem przemocy lub kradzież — powiedział Mike.

Pokazuje to, że sama technologia nie wystarczy do rozwiązania problemów związanych z bezpieczeństwem. Osoby, które wykonują w Microsofcie nawet najprostsze zadania, powinny być brane pod uwagę przy przygotowywaniu rozwiązań łagodzących w przypadku pojawienia się zagrożenia. Zespół profesjonalistów, który jest w stanie ocenić tego rodzaju ryzyko z działu HR, jest tym, co wyróżnia Microsoft spośród innych. To lekcja, którą inne firmy powinny wziąć pod uwagę.

Jak małe i średnie firmy mogą uczyć się z praktyki Microsoftu

Największym nieporozumieniem, jakie małe i średnie firmy mają na temat praktyk firmy Microsoft w zakresie cyberbezpieczeństwa, jest to, że chodzi o to, ile pieniędzy jesteś skłonny wydać na ochronę informacji swojej firmy . Jednak prawda stojąca za sukcesem Microsoftu nie polega tylko na delegowaniu środków finansowych.

Rzeczywistość stojąca za skutecznymi praktykami bezpieczeństwa Microsoftu polega na właściwej orientacji ludzi, którzy budują firmę od podstaw. Chodzi o upewnienie się, że rozumieją znaczenie protokołów bezpieczeństwa, bez względu na to, w którym dziale pracują, oraz przeszkolenie ich w zakresie ograniczania możliwych zagrożeń, jakie mogą napotkać w trakcie swojej pracy. Zwracanie uwagi na pracowników i proaktywne aktualizowanie informacji niezbędnych do ograniczania zagrożeń bezpieczeństwa to skuteczny sposób kierowania cyberbezpieczeństwem firmy.

Nie pozostawiaj bezpieczeństwa przypadkowi

Historia Mike’a Howarda jako byłego oficera bezpieczeństwa CIA była odskocznią do jego roli jako głównego oficera bezpieczeństwa Microsoftu, a jego filozofia, jeśli chodzi o bezpieczeństwo, jest zakorzeniona w fakcie, że wszystkie zagrożenia można złagodzić, o ile istnieją odpowiednie protokoły.

Czas spędzony przez Howarda w firmie Microsoft podkreśla znaczenie zarówno technologicznych, jak i protokołowych zabezpieczeń dla bezpieczeństwa, niezależnie od tego, czy oznacza to wdrożenie systemu cyberbezpieczeństwa i planu reagowania, szkolenie poszczególnych członków zespołu, czy też oferowanie im zasobów potrzebnych do zachowania czujności. Bezpieczeństwo firmy to zadanie każdego, a wykonanie tego zadania wymaga poświęcenia 24 godziny na dobę, 7 dni w tygodniu, 365 dni w tygodniu.