Microsoft afirma que avanza en su Iniciativa de Futuro Seguro, aunque aún queda trabajo por hacer.

Microsoft ha lanzado la actualización de noviembre para su Iniciativa de Futuro Seguro, un programa diseñado para abordar los desafíos críticos de seguridad y vulnerabilidades que ha enfrentado la empresa, especialmente después de incidentes de actores de amenazas respaldados por estados que comprometieron datos del gobierno de EE. UU. Esta actualización es la segunda desde la introducción de la iniciativa, que ya había hecho avances en septiembre de 2024, cuando se implementaron diversos cambios enfocados en la seguridad, como la vinculación de la seguridad a las evaluaciones de desempeño y la creación de la Academia de Capacitación en Seguridad.

La compañía ha informado que se han logrado nuevos avances en sus seis pilares de ingeniería, con el objetivo de garantizar una “seguridad por encima de todo” para proteger a usuarios, empresas y contratistas. En el primer pilar, "proteger identidades y secretos", se mejoró la protección de las claves de firma de los tokens de acceso en Microsoft Entra ID, Microsoft Account y Microsoft Active Directory Federation Services, además de introducir credenciales resistentes a phishing en entornos productivos.

Entre las importantes actualizaciones, se habilitó la autenticación multifactor (MFA) por defecto en el Microsoft Azure Portal, el centro de administración de Microsoft Entra, el centro de administración de Intune y el centro de administración de Microsoft 365 para nuevos inquilinos. La MFA también se implementó en los entornos productivos de Microsoft para disminuir el riesgo de phishing y robo de credenciales.

En el segundo pilar, "proteger inquilinos e aislar sistemas de producción", se introdujo una gestión de por vida y configuraciones seguras por defecto para las cuentas de Microsoft Entra ID. En este proceso, se eliminaron aproximadamente 5.75 millones de inquilinos y 440,000 recursos.

Por otro lado, en el pilar tres, "proteger redes", se configuró más del 99% de los dispositivos de red de Microsoft a un estándar base y se implementaron políticas de red centralmente configuradas. La compañía también destacó el cifrado de red virtual en Azure y la disponibilidad en vista previa pública de las extensiones de seguridad del sistema de nombres de dominio.

La seguridad del cuarto pilar, "proteger sistemas de ingeniería", se vio reforzada al rastrear activos de software en entornos de producción y aplicar políticas para fortalecer los repositorios de código. Con la introducción de GitHub Advanced Security, los clientes pueden escanear los repositorios de Azure DevOps en busca de exposiciones de secretos.

El quinto pilar, "monitorear y detectar amenazas", fue mejorado con la introducción de registros de auditoría de seguridad a nivel de servicio en bibliotecas estándar y un período de retención de registros centralmente impuesto. La actualización de noviembre también incluyó la auditoría consistente de registros en todos los servicios, extendiendo el período de retención a dos años.

Finalmente, en el sexto pilar, "acelerar respuesta y remediación", Microsoft ha logrado abordar el 90% de las vulnerabilidades críticas en la nube dentro de un tiempo reducido y ha publicado 800 CVEs (vulnerabilidades y exposiciones comunes) en la nube. Además, la compañía anunció la Iniciativa de Resiliencia de Windows, que busca optimizar la seguridad de los dispositivos empresariales y aumentar el uso de Windows 11, reduciendo el número de privilegios de administrador requeridos por las aplicaciones y mejorando los controles de seguridad para el funcionamiento de aplicaciones y controladores.