Câu hỏi dành cho các nhà lãnh đạo CNTT và mạng từ báo cáo CSRB của Microsoft

Đối với các tổ chức sử dụng Microsoft, năm câu hỏi cập nhật mà chúng tôi hiện có thể hỏi là:

Các sản phẩm mới do Microsoft giới thiệu đã cải thiện hay làm suy yếu khả năng bảo mật của bạn chưa?

Microsoft đã bắt đầu triển khai toàn cầu/khả dụng rộng rãi công cụ dựa trên Copilot LLM/AI cho tất cả khách hàng – dưới hình thức thanh toán bổ sung hoặc đi kèm với giấy phép doanh nghiệp.

Tuy nhiên, việc sử dụng Copilot vẫn chưa được hoan nghênh rộng rãi, với việc Quốc hội Hoa Kỳ cấm Copilot sử dụng các thiết bị của mình với lý do lo ngại về việc kiểm soát dữ liệu mà nó thu thập và báo cáo.

Dựa trên báo cáo của CSRB và các khuyến nghị rằng Microsoft nên quay lại mô hình “bảo mật và quyền riêng tư đối với chức năng mới” năm 2002 của Bill Gates, làm sao chúng ta biết những dịch vụ này mang lại những lợi ích mà Microsoft đã đề xuất?

Microsoft xác nhận rằng các tin tặc Midnight Blizzard đã ở bên trong hệ thống của họ tới 42 ngày trước khi chúng được tìm thấy – mặc dù công nghệ Security Copilot hỗ trợ AI giám sát môi trường.

Các công cụ bảo mật AI thế hệ tiếp theo đã được phát triển mạnh mẽ và được hầu hết khách hàng của Microsoft áp dụng với tốc độ nhanh chóng trong sáu tháng qua, nhưng liệu CSRB có đúng khi cho rằng bảo mật cơ bản và giá trị bảo mật của nó có thể không đáng để mạo hiểm chấp nhận ?

Liệu chúng ta có thực sự cải thiện khả năng bảo mật của mình thông qua việc sử dụng chúng hay chỉ có được cảm giác thoải mái giả tạo và liệu thông tin trong đó có thể bị kẻ tấn công sử dụng làm vũ khí để xác định các lỗ hổng hoặc tạo ra các cuộc tấn công mới không?

Chúng ta có khả năng trở thành mục tiêu cho các cuộc tấn công trong tương lai thông qua các dịch vụ của Microsoft không?

Microsoft trước đây đã tuyên bố rằng các vụ hack vào cơ sở hạ tầng của họ có ảnh hưởng rất hạn chế đến khách hàng, đồng thời vào tháng 1 khuyến cáo “các chính phủ, tổ chức ngoại giao, tổ chức phi chính phủ (NGO) và các nhà cung cấp dịch vụ CNTT, chủ yếu ở Mỹ và Châu Âu” nên lưu ý. về các cuộc tấn công vào các dịch vụ của Microsoft và tư vấn cho họ cách xác định xem chúng có bị xâm phạm hay không (blog thông tin về mối đe dọa bảo mật).

Báo cáo của CSRB đã đi xa hơn và xác định rằng các cơ quan chính phủ và nhà khai thác cơ sở hạ tầng quốc gia quan trọng (CNI) đang chạy các dịch vụ trên nền tảng đám mây của Microsoft thực sự là mục tiêu chính của các tin tặc Trung Quốc và các nhà nước khác.

Về mặt này, điều quan trọng là chúng tôi hiểu rằng ở đây Vương quốc Anh có thể gặp rủi ro lớn hơn nhiều so với các đồng minh, do có các dịch vụ đám mây trong nước hạn chế và hầu như chỉ dựa vào nền tảng đám mây của Microsoft và AWS cho các chức năng chính của nhà nước. Chính phủ Hoa Kỳ sử dụng đám mây của Microsoft một cách rộng rãi, nhưng chủ yếu là ở dạng FedRAMP được đặt tại Hoa Kỳ và được liên bang đảm bảo – chứ không phải nền tảng đám mây công cộng mà Vương quốc Anh sử dụng.

Ngày nay, chính phủ Vương quốc Anh khó có thể hiểu đúng mức độ rủi ro của mình trên nền tảng đám mây của Microsoft (và điều này cũng có thể đúng đối với các tổ chức phi chính phủ).

Trong thập kỷ qua, việc áp dụng các dịch vụ đám mây công cộng của Microsoft trong khu vực công ở Vương quốc Anh tương đối không bị hạn chế, trong khi hồ sơ chi tiêu công cho Microsoft thường có trong các hợp đồng được trao cho các đối tác và nhà tích hợp dịch vụ hoặc được liệt kê dưới dạng ‘giấy phép’ và do đó có thể không chính xác. .

Việc hiểu chính xác những dịch vụ của Microsoft mà bạn tin cậy – chẳng hạn như danh tính dựa trên đám mây – quan trọng hơn bao giờ hết (cũng như các cơ chế dự phòng trong trường hợp có lỗi hoặc mất dịch vụ).

Điều quan trọng nữa là đảm bảo bạn biết mình có những ứng dụng và dịch vụ nào trên cơ sở hạ tầng đám mây của Microsoft và chính xác dữ liệu nào có trong mỗi ứng dụng và dịch vụ đó.

Ở cấp chính phủ, Vương quốc Anh cần tiến hành kiểm toán thích hợp việc sử dụng đám mây của từng cơ quan công quyền và tạo ra một cơ quan đăng ký tài sản thông tin quốc gia.

Chỉ khi có được cả hai, chúng ta mới có thể hy vọng hiểu được tình trạng rủi ro quốc gia của mình.

Nếu chúng tôi phải ngắt kết nối khỏi Microsoft, điều đó có ý nghĩa gì đối với hoạt động kinh doanh của chúng tôi?

Câu hỏi này hiện vẫn có giá trị như khi tôi đặt nó lần đầu tiên – với sự cân nhắc bổ sung rằng mặc dù trước đây có thể đã có một số dấu hiệu về sự thỏa hiệp và điểm yếu bảo mật trong Microsoft; báo cáo CSRB hiện đã xác nhận cả hai khả năng này đều được chứng minh là sự thật.

Ngoài ra, các tổ chức đã bắt đầu áp dụng (hoặc dựa vào) các dịch vụ Azure hoặc 365 mới được triển khai có thể muốn chuẩn bị cho trường hợp Microsoft có thể rút hoặc đình chỉ chúng – điều mà họ có thể buộc phải làm nếu các khuyến nghị gửi tới tổng thống Mỹ được thực hiện bởi CSRB đều được tuân thủ.

Do đó, việc đầu tư vào công nghệ mới nhất hiện có thể mang lại một số rủi ro bổ sung hoặc các kế hoạch dự án có thể cần được xem xét lại.

Đây không phải là rủi ro “hành động ngay” khẩn cấp – Tôi nghi ngờ rằng chúng ta sẽ thấy việc cắt giảm dịch vụ trên quy mô lớn, nhưng cần phải theo dõi cẩn thận. Có lẽ nhiều khả năng các tính năng sắp tới sẽ ở giai đoạn thử nghiệm hoặc xem trước giới hạn trong một khoảng thời gian dài hơn.

Những quyết định mà chúng ta đưa ra trước đây dựa trên sự chấp nhận rủi ro có còn hiệu lực không?

Tất cả các tổ chức ngày nay đều hoạt động dựa trên mức độ chấp nhận rủi ro ở một mức độ nào đó và để làm như vậy đòi hỏi chúng ta phải thường xuyên xem xét tình hình rủi ro của mình khi hoàn cảnh thay đổi.

Báo cáo CSRB xác định một số hành vi liên quan và mức độ ưu tiên bảo mật thấp trong Microsoft và nếu việc chấp nhận rủi ro của bạn một phần dựa trên biện pháp bảo mật tốt nội tại của Microsoft thì bạn nên đọc báo cáo CSRB và quyết định xem bạn có nên- kiểm tra chúng.

Gần đây, Google đã công bố một giải pháp thay thế cho ‘mô hình trách nhiệm chung’ cho đám mây và trong trường hợp của Microsoft, trách nhiệm duy trì tính bảo mật của đám mây dường như chưa được thực hiện đầy đủ, mô hình Số phận chia sẻ của Google có lẽ đáng được xem xét và có thể cân bằng hơn.

Chúng ta có nên xem xét một nền tảng đám mây khác – hay thậm chí là tự lưu trữ?

Mặc dù CSRB chỉ trích mạnh mẽ Microsoft, nhưng CSRB vẫn đánh giá tích cực về các dịch vụ đám mây nói chung và đã chỉ ra các phương pháp hay cụ thể ở Google, AWS và Oracle, điều này cho thấy niềm tin cơ bản của họ vào đám mây như một mô hình phân phối vẫn còn mạnh mẽ.

Cuối cùng, quyết định rời khỏi nhà cung cấp đám mây hiện tại của bạn là một lựa chọn khó khăn – không nên thực hiện mà không suy nghĩ cẩn thận, trừ khi bạn tin rằng về bản chất đó là một nền tảng không an toàn cho mục đích sử dụng cụ thể của bạn.

Đối với một số dịch vụ của chính phủ, sẽ không phải là không có lý khi đưa ra kết luận đó dựa trên báo cáo CSRB – nhưng ngay cả như vậy, việc di chuyển chính phủ khỏi Microsoft có thể sẽ dễ dàng hoặc chấp nhận được trong bối cảnh hiện tại.

Tuy nhiên, hiện tại có cơ sở hợp lý để xem xét việc tạm dừng tiếp tục áp dụng nền tảng Microsoft và thậm chí có thể áp dụng lệnh cấm sử dụng nền tảng này đối với một số loại dữ liệu cho đến khi báo cáo CSRB được thực hiện và biện pháp chính xác mà Microsoft thực hiện. đã bị xâm phạm được xác định.

Ngay cả bây giờ – chín tháng sau cuộc tấn công – CSRB đã xác định rằng Microsoft vẫn chưa hiểu rõ ràng về việc làm thế nào Storm-0558 có thể xâm chiếm sâu đến vậy các dịch vụ nhận dạng của Microsoft và điều đó khiến tất cả chúng ta lo lắng.

Sẽ là không khôn ngoan nếu chính phủ Anh không hành động theo báo cáo này theo một cách có ý nghĩa nào đó dựa trên những phát hiện chi tiết trong phân tích của Mỹ và việc trích dẫn thường xuyên các cuộc điều tra của NCSC trong báo cáo.

Mặc dù chính sách Cloud First của HMG thường được coi là lý do biện minh cho việc đẩy các dịch vụ lên đám mây công cộng, nhưng điều đó cần phải được cân bằng với các quyết định dựa trên bằng chứng mà các cơ quan công quyền lựa chọn thực hiện như vậy.

Nguyên tắc bảo mật đám mây NCSC xác định một số trường hợp sử dụng và lưu ý trong đó việc sử dụng đám mây công cộng có thể không phải là lựa chọn đúng đắn nhưng rất ít tổ chức sử dụng các nguyên tắc như dự kiến ​​– để đánh giá và giúp chọn nền tảng đám mây phù hợp, thay vì tuân thủ hộp đánh dấu bài tập.