“微軟的任何一個產(chǎn)品，要過的第一關(guān)就是‘安全’，微軟全渠道事業(yè)部首席技術(shù)官徐明強博士說，微軟的安全部門是能夠阻止產(chǎn)品發(fā)布的唯一部門?！?nbsp;

2022年10月13日，微軟年度技術(shù)大會 Ignite 2022 及 Ignite China 中國技術(shù)峰會在北京召開。本次大會，微軟智能云矩陣發(fā)布超過100項新服務(wù)和新功能。

作為微軟智能云矩陣的Azure、Power Platform、Microsoft 365、Dynamics 365等產(chǎn)品，都進(jìn)行了不同的更新迭代，在我們把注意力都放在技術(shù)、功能、服務(wù)創(chuàng)新上的時候，忽略了這些“上層建筑”最大的底盤——安全。

據(jù)了解，微軟集成了60多項不同品類的安全能力，這些安全能力都融合在了微軟的產(chǎn)品里。會后，雷峰網(wǎng)(公眾號：雷峰網(wǎng))及相關(guān)媒體與全渠道事業(yè)部首席技術(shù)官徐明強博士、微軟大中華區(qū)企業(yè)安全業(yè)務(wù)高級產(chǎn)品市場經(jīng)理李亮進(jìn)行了深入的交流。

李亮表示，安全在微軟整個生態(tài)里面，被放在一個很特殊的位置，是所有產(chǎn)品的基石，相當(dāng)于微軟從第一行代碼開始，安全是一個必備項?？梢哉f，微軟給客戶提供云服務(wù)或產(chǎn)品可以確保業(yè)務(wù)的合規(guī)性、安全性、身份保護(hù)、隱私保護(hù)。

 

據(jù)介紹，上圖中60多項微軟不同品類的安全能力，都是融合在微軟的Azure、Microsoft 365、Dynamics 365、Power Platform上。

把安全能力集合在云上有兩點好處：第一，如果用戶在微軟云上構(gòu)建安全體系，對于安全的重復(fù)投資會減少；第二，微軟本身跨平臺、跨第三方，在提供云安全能力的同時，還能確保用戶在使用第三方SaaS或者CRM、ERP系統(tǒng)、核心業(yè)務(wù)應(yīng)用系統(tǒng)、自研系統(tǒng)，都能集成在一起，減少云上或者安全上的投資，降低成本。

簡單來說，微軟做的是幫助企業(yè)“降本增效”的事情。

當(dāng)問及，如何看待中國企業(yè)當(dāng)前的安全建設(shè)的時候。李亮用“急救思路”和“養(yǎng)生戰(zhàn)略”概括當(dāng)下安全建設(shè)現(xiàn)狀。

很多客戶在面對安全的時候，利用急救思路，出了事趕緊補救、亡羊補牢，但是損失已經(jīng)產(chǎn)生了。

李亮認(rèn)為，雖然應(yīng)急響應(yīng)能力很重要，但是也要用“養(yǎng)生”的思路建設(shè)安全，養(yǎng)生是主動的規(guī)劃、主動的建設(shè)、應(yīng)對未來可能發(fā)現(xiàn)的問題。要提前做好框架和全面的威脅防御體系。

而徐明強博士觀察發(fā)現(xiàn)，很多企業(yè)沒有意識到IT環(huán)境和物理環(huán)境上差別非常大。以微軟的數(shù)據(jù)庫管理軟件SQL Server為例，在微軟位于歐洲的數(shù)據(jù)中心，技術(shù)人員曾嘗試對外網(wǎng)打開一個沒有數(shù)據(jù)、空白的Microsoft SQL Server端口進(jìn)行測試，僅僅一分鐘之內(nèi)，便出現(xiàn)了非常多的密碼攻擊。

沒有好的安全防護(hù)的軟件，就仿佛一滴血掉進(jìn)了海洋里，僅是血腥味就能吸引無數(shù)的鯊魚。企業(yè)如果沒有很好的安全策略來防護(hù)的話，是很容易被攻破的，因此企業(yè)的安全認(rèn)知很重要。

在《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（簡稱“三法一條例”）等規(guī)定頒布之后，企業(yè)以及個人信息保護(hù)意識有了極大的增強。用戶對安全的需求已經(jīng)從業(yè)務(wù)驅(qū)動、技術(shù)驅(qū)動，變成了政策和外部攻擊驅(qū)動。

而從法規(guī)到實施中間的鴻溝誰來做、怎么做？

李亮表示：“法律法規(guī)推動企業(yè)建立健全完善安全平臺，關(guān)于如何將這件事實現(xiàn)可操作性，微軟在其中做了很多思考。微軟能夠幫助客戶用最低的成本、最可行的操作來實現(xiàn)?！?/p>

例如，在運營服務(wù)的合法合規(guī)上，微軟智能云在全球12個國家100多項安全和可信云平臺合規(guī)認(rèn)證,具備完善的合規(guī)認(rèn)證體系?？梢愿鶕?jù)用戶不同需求選擇GDPR、網(wǎng)安法、數(shù)安法等合規(guī)遵從分?jǐn)?shù)的模板。

徐明強博士也表示：“規(guī)避合規(guī)風(fēng)險這件事，需要的不是智商，而是“勤商”，因為制定部門經(jīng)常修改、更正規(guī)定，我們也不斷更新，不斷要做這樣的工作?！?/p>

微軟把安全能力集成到所有微軟產(chǎn)品里，那么企業(yè)的擔(dān)憂之一就是會不會增加成本？

李亮告訴雷峰網(wǎng)：“經(jīng)過大多數(shù)客戶投資和收益的實際成本的測算，恰恰相反?！?/p>

隨著混合云，多云的崛起，如果不斷的買安全產(chǎn)品防護(hù)不同的設(shè)備，那么成本勢必增長。但是如果一個產(chǎn)品內(nèi)生就是安全的，那么就會節(jié)省大量成本。

據(jù)介紹，微軟更加關(guān)注整個生態(tài)的發(fā)展，之后會和合作伙伴一起把微軟的工具推向企業(yè)。微軟關(guān)注優(yōu)先級比較高的場景主要有以下六個：等保安全合規(guī)的一站式服務(wù)、零信任架構(gòu)解決方案、企業(yè)威脅防御解決方案、云端尤其是混合云安全運維、敏感數(shù)據(jù)治理以及保護(hù)解決方案，企業(yè)風(fēng)險管理解決方案。

微軟花了大量的人力、物力、財力激勵合作伙伴給客戶做安全檢查。首先給企業(yè)做安全檢查，第一個月免費；其次讓客戶看到真實的危險的 IT環(huán)境；之后根據(jù)這些安全結(jié)果做安全培訓(xùn)、做釣魚郵件的測試、等保的咨詢等等服務(wù)。李亮表示，安全這件事不是微軟自己可以搞定的，要跟合作伙伴一起幫助客戶解決問題。

在上一個財務(wù)年度，安全上的收入是150億美金。而未來5年，微軟在安全上的投資還將超過200億美元。不論事從數(shù)據(jù)還是從對談中，可以看出微軟在安全上面的重視。

另外，在今年的Ignite大會上，微軟特別針對常常被忽視的開發(fā)環(huán)節(jié)，推出了一系列安全措施。

全新推出的Defender for DevOps用來在開發(fā)運維過程中，為各類新老代碼自動添加完善的保護(hù)措施，以防其中的漏洞被攻擊者所利用。企業(yè)在打造應(yīng)用程序的過程中，就能直接為程序加入安全保護(hù)，杜絕安全漏洞，讓程序員安心地調(diào)用來自外部的代碼，或者是在大規(guī)模的開發(fā)團(tuán)隊中相互協(xié)作。

Power Platform 可以將現(xiàn)有環(huán)境變成托管環(huán)境。托管環(huán)境提供了數(shù)據(jù)管控、權(quán)限管理和自動發(fā)送報告等功能，從而更輕松的管理低代碼資產(chǎn)，簡化 Power Platform 的 IT 管理工作。

新發(fā)布的Microsoft Entra身份和訪問管理方案能對多云平臺的安全訪問權(quán)限進(jìn)行管理。Microsoft Entra Identity Governance服務(wù)能確保正確的人擁有正確的權(quán)限，在正確的時間訪問正確的資源。Workload Identities服務(wù)則用來控制應(yīng)用、服務(wù)之類的數(shù)字工作負(fù)載和云資源的訪問權(quán)限，基于證書的認(rèn)證體系能夠更好防范釣魚式網(wǎng)絡(luò)攻擊。

微軟致力于幫助企業(yè)打造面向未來的身份管理體系，對人、組織、應(yīng)用、智能設(shè)備的訪問權(quán)限控制加以實時管理。

此外，微軟宣布多項Azure、Dynamics 365、Power Platform服務(wù)落地中國北部三數(shù)據(jù)中心區(qū)域，提升中國市場服務(wù)能力。由世紀(jì)互聯(lián)運營的Office 365上的Teams服務(wù)，以及由世紀(jì)互聯(lián)運營的Microsoft 365服務(wù)，將于2023年上半年正式推出，為中國市場帶來更加全面、更加優(yōu)質(zhì)的本土化服務(wù)體驗和技術(shù)保障。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。