Lernen Sie den Mann kennen, der Microsoft 16 Jahre lang geschützt hat

• Mike Howard war 16 Jahre lang Chief Security Officer (CSO) von Microsoft.
• Er war für die Sicherheit eines globalen Teams von fast 200.000 Mitarbeitern verantwortlich, darunter das Führungsteam des Unternehmens, seine 90.000 Mitarbeiter und ungefähr 90.000 Auftragnehmer in den 700 Einrichtungen des Unternehmens in 100 Ländern.
• Er setzte Branchenstandards wie die Einbeziehung von Sicherheit in alle Mitarbeiterschulungsprogramme und machte Sicherheit zu einem integralen Bestandteil der Unternehmenskultur.
• Dieser Artikel richtet sich an Geschäftsinhaber und Sicherheitsexperten, die von einem Top-CSO lernen möchten, der die Sicherheitsprotokolle von Microsoft mehr als ein Jahrzehnt lang verwaltet hat.

Mike Howard ist ein ehemaliger CIA-Operations Officer mit 22 Jahren Erfahrung, der von 2002 bis zu seiner Pensionierung am 31. August 2018 die globalen Sicherheitsoperationen von Microsoft als Chief Security Officer (CSO) leitete. Während seiner Zeit bei Microsoft stellte Mike sicher, dass das Unternehmen gegründet wurde Protokolle, die auf jede Art von physischer oder Cybersicherheitsbedrohung zugeschnitten sind . Diese Protokolle sollen das Unternehmen nicht nur vor und während eines Angriffs unterstützen, sondern auch nachdem Mitarbeiter betroffen sind.

Protokolle, die in der Tradition verwurzelt sind

Obwohl Microsoft als einer der Pioniere in der Technologiebranche gilt, sagte Howard einmal, dass viele, wenn nicht alle von Microsoft auferlegten Sicherheitsprotokolle immer noch in den traditionellen Methoden zur Gewährleistung der Sicherheit in vielen Unternehmen verwurzelt sind.

„Cybersicherheit ist ein großes Thema in aller Munde, da wir als Gesellschaft globalisierter geworden sind, Unternehmen ihre Präsenz erweitert haben und alles digital ist“, sagte Howard uns in einem früheren Interview. „Aber traditionelle Sicherheitsprobleme wie Diebstahl, Gewalt gegen Mitarbeiter, Terrorismus und Naturkatastrophen sind nach wie vor die größten Sicherheitsherausforderungen für Unternehmen.“

Howard glaubt, dass große Unternehmen wie Microsoft ihre Sicherheitsprotokolle immer noch auf Entwürfen basieren sollten, die vor Jahrzehnten erstellt wurden, obwohl sich die Technologie jeden Tag schneller weiterentwickelt. Die Grundlagen der Sicherheit sind der Schlüssel zum Management eines so großen Unternehmens wie Microsoft, aber sie gelten auch für kleinere Organisationen.

Unabhängig davon, ob Sie wie Microsoft über 700 Niederlassungen in hundert Ländern weltweit haben oder ein kleines Unternehmen sind, das Ihre Cybersicherheit verbessern möchte, müssen Sie sich auf die allgemeinen Sicherheitsprobleme konzentrieren, die auf allen Managementebenen auftreten.

Wie Microsoft mit Sicherheit umgeht

Es ist erwähnenswert, dass Microsoft jährlich insgesamt 1 Milliarde US-Dollar investiert, um sicherzustellen, dass ihre eigenen Daten sowie die ihrer Kunden gut geschützt sind. Dies ist jedoch nicht der einzige Sicherheitsaspekt, in den das Unternehmen investiert. Es sorgt auch dafür, dass in jeder Ecke des Arbeitsbereichs maximale Sicherheit gewährleistet ist. Das Management von Sicherheitsvorfällen von Microsoft stützt sich auf die grundlegenden Prozesse zur Minderung von Sicherheitsrisiken: Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Aktivitäten nach dem Vorfall.

Obwohl Microsoft enorme Summen für Sicherheit ausgibt, sind die Einsparungen, die es durch die Verhinderung und Minderung der Auswirkungen von Angriffen erzielt, weil es über außergewöhnliche Sicherheitsprotokolle verfügt, höher als das, was sie ausgegeben haben.

Ohne angemessene Sicherheitsprotokolle könnten beispielsweise „geistige Eigentumsrechte kompromittiert und der Ruf des Unternehmens beeinträchtigt oder zu Gerichtsverfahren geführt werden“, sagte Howard. Beides kann zu hohen Verlusten für das Unternehmen führen. Sicherheit ist weniger eine zusätzliche Ausgabe für das Unternehmen als vielmehr eine Investition.

Dies ist besonders wichtig angesichts des Aufkommens von Datenschutzgesetzen, ein Trend, der begann, kurz bevor Howard Microsoft verließ, als die Europäische Union (EU) die Datenschutz-Grundverordnung (DSGVO) verabschiedete. Die DSGVO macht Unternehmen finanziell haftbar, falls eine Datenschutzverletzung die personenbezogenen Daten von Benutzern in der EU gefährden sollte. Ähnliche Gesetze wie der California Consumer Privacy Act (CCPA) sind ebenfalls im Zuge der DSGVO entstanden und verlangen von Unternehmen, ihre Sicherheitsprotokolle sorgfältig zu planen.

Beispiele für die Sicherheitspraktiken von Microsoft

Als Teil des Sicherheitsprotokolls des Unternehmens hat Microsoft seit 2006 alle sechs Monate den Microsoft Security Intelligence Report veröffentlicht. Dieser Bericht fasst alle Bedrohungen zusammen, die in das System von Microsoft eingedrungen sind, und jede dieser Bedrohungen wird bewertet, um das Risiko einer Datenverletzung zu mindern und andere mögliche Probleme.

Eine weitere von Microsoft eingesetzte Sicherheitsfunktion ist die Microsoft Defender Threat Intelligence-Plattform, mit der ein Sicherheitsanalyst Signale oder Bedrohungen analysieren und priorisieren kann, die höchste Aufmerksamkeit erfordern.

Es funktioniert ähnlich wie eine für Cybersicherheit konzipierte KI, die es Microsoft ermöglicht, personalisierte E-Mails an Benutzer zu senden, wenn eine Bedrohung auftritt. Diese Mitteilungen weisen Benutzer auf bestimmte Links hin, die nicht angeklickt werden sollten, E-Mails, die verdächtig erscheinen, und andere Cyberspace-Aktionen, die als bedrohlich gekennzeichnet werden könnten.

Mike Howards Rolle als Sicherheitsevangelist

Abgesehen von den Entwicklungen, die er bei Microsoft zum Schutz der Daten seiner Benutzer und Kunden durchführte, wird ein Großteil von Howards Auszeichnung als der Mann hinter den herausragenden Sicherheitsmaßnahmen des Unternehmens seiner Rolle als Evangelist für andere zugeschrieben. Howard stellte sicher, dass jeder im Unternehmen, von den Mitarbeitern der untersten Führungsebene bis hin zu den Führungskräften und Aktionären, die Bedeutung der Sicherheit sowohl in der physischen als auch in der Cyberspace-Welt verstand.

„Ein Großteil von [Microsofts Engagement für Sicherheit] hat mit der Evangelisierung der Sicherheit an mehreren Fronten innerhalb des letzten Jahrzehnts zu tun“, sagte Howard. „Mein IT-Sicherheitspartner und ich haben fleißig daran gearbeitet, die Macher und Entscheider hier wirklich dazu zu bringen, Sicherheit zu verstehen und diese Sicherheitsbemühungen und die Verbreitung dieser Botschaft im gesamten Unternehmen zu unterstützen.“

Die Wichtigkeit dieser Protokolle jedem einzelnen Mitarbeiter bei Microsoft einzuprägen, ist ein kontinuierlicher Prozess. Diese Arbeitnehmer sind diejenigen, die die täglichen Aktivitäten im Unternehmen ausführen. Als solche müssen sie bei der Ausübung ihrer beruflichen Funktionen die Unternehmenssicherheit im Auge behalten.

Selbst bei der Planung der Marketingbemühungen von Microsoft hat Howard darauf geachtet, Informationen bereitzustellen, die den Mitarbeitern helfen, ihren Aufgaben nachzukommen, ohne ihre Integrität oder die der wertvollen Informationen des Unternehmens zu gefährden. Diese Kultur der Sicherheitsevangelisation ist Howards Vermächtnis, nachdem er das Unternehmen verlassen hat.

Mitarbeiterassistenz als Mittel zur Gewährleistung der Sicherheit

Howard glaubt, dass neben der Rolle der Technologie bei der Maximierung der Sicherheit bei Microsoft die Mitarbeiter der Schlüssel dazu sind, sicherzustellen, dass die Arbeit mit äußerster Wachsamkeit und Einhaltung angemessener Sicherheitsrichtlinien ausgeführt wird.

„Ein Schulungsprogramm ist für jedes Sicherheitsprogramm unerlässlich“, sagte Howard. „Ohne sie haben Sie kein abgerundetes Sicherheitsprogramm. Wir haben eine bestimmte Anzahl von Vollzeitmitarbeitern und Anbietern, um Microsoft weltweit abzudecken; Wir könnten die Welt niemals angemessen abdecken, ohne Aufklärungs- und Sensibilisierungsprogramme zu schaffen, die den Menschen beibringen, worauf sie achten müssen.“

Es gibt bestimmte Sicherheitsvorteile, wenn Mitarbeiter über Sicherheitsrisiken aufgeklärt werden:

• Mitarbeiter werden zu ihrem eigenen Sicherheitspersonal; Sie fühlen sich für das Wohlergehen ihrer Teams verantwortlich und achten auf mögliche Bedrohungen.
• Sie bringen ihre eigenen Erfahrungen ein, um Faktoren zu berücksichtigen, die normalerweise nicht in der Gleichung enthalten sind, wenn sie die Sicherheit optimieren und Sicherheitsprotokolle umfassender und effektiver machen.
• Die Mitarbeiter werden geschult, sowohl vor ihren Computern als auch in ihrer unmittelbaren Umgebung wachsam zu sein, um eine ganzheitliche Sicherheit zu gewährleisten.

Warum die Personalabteilung für die Sicherheit von größter Bedeutung ist

Obwohl die Personalabteilung ein integraler Bestandteil eines Unternehmens ist, wird sie oft übersehen, wenn es um die Optimierung der Sicherheit geht. Meistens befinden sich die Lücken im Sicherheitssystem eines Unternehmens in Bereichen, die ansonsten als irrelevant behandelt wurden, was sie zu einem Nährboden für verschiedene Arten von Bedrohungen macht.

„Eine schlechte Wirtschaftslage, Probleme zu Hause, sogar der Umgang mit einem kranken Verwandten können Dinge sein, die [Gründe für eine erhöhte] Sicherheit am Arbeitsplatz auslösen können, und ein Team zur Lösung dieser Probleme kann sie vor einem Vorfall von Gewalt schützen oder Diebstahl“, sagte Mike.

Dies zeigt, dass Technologie nicht ausreicht, um Sicherheitsprobleme allein zu bewältigen. Die Personen, die selbst die einfachsten Aufgaben bei Microsoft ausführen, sollten bei der Vorbereitung von Abwehrlösungen berücksichtigt werden, wenn eine Bedrohung auftritt. Ein Team von Fachleuten, das in der Lage ist, diese Art von Risiken von der Personalabteilung aus einzuschätzen, ist das, was Microsoft von anderen unterscheidet. Dies ist eine Lektion, die andere Unternehmen zur Kenntnis nehmen sollten.

Wie KMUs von Microsofts Praxis lernen können

Das größte Missverständnis, das KMUs in Bezug auf die Cybersicherheitspraktiken von Microsoft haben, ist, dass es darauf ankommt, wie viel Geld Sie bereit sind, auszugeben, um die Informationen Ihres Unternehmens zu schützen . Die Wahrheit hinter dem Erfolg von Microsoft liegt jedoch nicht nur in der Delegation finanzieller Ressourcen.

Die Realität hinter den erfolgreichen Sicherheitspraktiken von Microsoft ist die richtige Ausrichtung der Menschen, die das Unternehmen von Grund auf aufbauen. Es geht darum, sicherzustellen, dass sie die Bedeutung von Sicherheitsprotokollen verstehen, egal für welche Abteilung sie arbeiten, und sie zu schulen, um mögliche Risiken zu mindern, denen sie im Laufe ihrer Arbeit begegnen könnten. Den Mitarbeitern Aufmerksamkeit zu schenken und die Informationen, die zur Minderung von Sicherheitsrisiken erforderlich sind, proaktiv zu aktualisieren, ist eine effektive Möglichkeit, die Cybersicherheit eines Unternehmens zu leiten.

Überlassen Sie Sicherheit nicht dem Zufall

Mike Howards Geschichte als ehemaliger CIA-Sicherheitsoffizier war ein Sprungbrett für seine Rolle als Chief Security Officer von Microsoft, und seine Sicherheitsphilosophie basiert auf der Tatsache, dass alle Bedrohungen gemindert werden können, solange geeignete Protokolle vorhanden sind.

Howards Zeit bei Microsoft betont die Bedeutung sowohl des technologischen als auch des protokollarischen Schutzes für die Sicherheit, sei es die Implementierung eines Cybersicherheitssystems und eines Reaktionsplans, die Schulung einzelner Teammitglieder oder das Anbieten der Ressourcen, die sie benötigen, um wachsam zu bleiben. Unternehmenssicherheit ist die Aufgabe aller, und es braucht 24/7/365 Hingabe, um diese Aufgabe zu erledigen.