主要观点总结
文章介绍了微软推出的“安全未来倡议”（SFI）的进展和关键更新。该倡议旨在加强微软、客户及整个行业的网络安全防护。文章详细阐述了SFI的六大核心安全支柱的最新动态和成果，以及微软在安全领域的坚定承诺和持续努力。
关键观点总结
关键观点1: 推出“安全未来倡议”（SFI）并扩大其范围
为了加强网络安全防护，微软在2023年11月推出了SFI，之后在2024年5月扩大了其范围，并结合行业反馈进行了优化。该倡议已成为历史上规模最大的网络安全工程行动。
关键观点2: 建立全新的治理架构
微软宣布成立网络安全治理委员会，并任命关键安全职能与所有工程部门的副首席信息安全官，共同负责网络安全风险防控、防御策略与合规管理。
关键观点3: 培养安全第一的文化
微软将安全作为每位员工的核心考核指标，融入绩效评估体系，并推出安全技能学院，提供安全培训课程。同时，高层领导团队每周审视SFI进展，每季度向董事会汇报最新动态。
关键观点4: 六大支柱筑牢安全防线
在六大核心安全支柱的引领下，微软在身份与机密信息保护、租户与生产系统隔离、网络安全防护、工程系统保护、威胁监控与检测以及加速响应与修复方面取得了显著进展。
关键观点5: 持续学习与改进
微软强调在网络安全领域持续学习的重要性，并邀请人们参加微软安全 X AI 全景训练营。文章强调了未来的努力方向，包括不断改进SFI以适应新兴网络威胁和优化安全实践。
正文
我们完成了所有生产和生产力租户的应用程序生命周期管理的全面迭代，清理了730,000个未使用的应用程序，消除了575万个不活跃的租户，极大地减少了潜在的网络攻击面。我们实施了一个新系统，以简化测试和实验租户的创建，同时强制执行安全默认设置和严格的生命周期管理。在过去三个月中，我们已部署了15,000多台新的生产就绪的锁定设备。
我们已将生产网络上超过99%的物理资产纳入中央库存系统，通过跟踪资产所有权与固件合规性，丰富资产库存信息。同时，我们已将具有后端连接的虚拟网络与微软企业网络隔离，并接受全面安全审查，有效减少横向移动风险。为帮助客户提升其部署的安全性，我们扩展了平台功能，如管理规则，简化平台即服务（PaaS）资源（如Azure Storage、SQL、Cosmos DB和Key Vault）的网络隔离。
在商业云的生产构建管道中，我们已有85%开始采用集中管理的管道模板，实现部署的一致、高效与可靠。我们将个人访问令牌的寿命缩短至七天，禁用了所有微软内部工程存储库的安全外壳（SSH）协议访问，并大幅削减了能够访问工程系统的高权限角色数量。同时，我们在软件开发代码流程中的关键瓶颈点实施了存在证明检查，确保安全无虞。
我们在一项新标准上取得显著突破：确保微软所有生产基础设施与服务采用标准库进行安全审计日志、发出相关遥测数据，并至少保留两年的日志。例如，我们为身份基础设施安全审计日志建立了集中管理与两年的保留期，涵盖当前签名密钥生命周期内的所有安全审计事件。目前，超过99%的网络设备已启用集中的安全日志收集与保留功能。
我们优化了微软内部流程，大幅缩短了缓解关键云漏洞所需的时间。我们开始发布关键云漏洞作为常见漏洞和暴露（CVE），无需客户采取行动，也能够提高透明度。我们成立了客户安全管理办公室（CSMO），旨在改进安全事件的公共沟通与客户参与，共同应对挑战。
在安全领域，我们深知“持续进步”远比“追求完美”重要，这一理念在我们为实现“安全未来倡议（SFI）”目标所投入的资源规模中得到了鲜明体现。我们团结一致，不断提升防护水平、淘汰老旧或不合规资产，并全面排查仍需重点监控的系统，以此作为衡量我们成功的重要标尺。展望未来，我们矢志不渝地追求持续改进，SFI也将随之不断进化，灵活应对新兴的网络威胁，并不断优化我们的安全实践。
