Conheça o homem que manteve a segurança da Microsoft por 16 anos

• Mike Howard foi diretor de segurança (CSO) da Microsoft por 16 anos.
• Ele era responsável pela segurança de uma equipe global de quase 200.000 pessoas, incluindo a equipe executiva da empresa, seus 90.000 funcionários e aproximadamente 90.000 terceirizados nas 700 instalações da empresa espalhadas por 100 países.
• Ele definiu os padrões da indústria, como incorporar segurança em todos os programas de treinamento de funcionários e tornar a segurança parte integrante da cultura da empresa.
• Este artigo é para empresários e profissionais de segurança que desejam aprender com um importante CSO que gerenciou os protocolos de segurança da Microsoft por mais de uma década.

Mike Howard é um ex-oficial de operações da CIA com 22 anos de experiência que liderou as operações de segurança global da Microsoft como diretor de segurança (CSO) de 2002 até sua aposentadoria em 31 de agosto de 2018. Durante seu tempo na Microsoft, Mike garantiu que a empresa instalasse protocolos personalizados para funcionar com qualquer tipo de ameaça física ou de segurança cibernética . Esses protocolos destinam-se a apoiar a empresa não apenas antes e durante um ataque, mas também depois de impactar os funcionários.

Protocolos enraizados na tradição

Embora a Microsoft seja considerada uma das pioneiras na indústria de tecnologia, Howard disse uma vez que muitos, senão todos os protocolos de segurança impostos pela Microsoft, ainda estão enraizados nas formas tradicionais de garantir a segurança em muitas corporações.

“A segurança cibernética é um grande problema na mente de todos, pois nos tornamos mais globalizados como sociedade, e as empresas expandiram suas pegadas e tudo é digital”, Howard nos disse em uma entrevista anterior. “Mas, questões de segurança tradicionais como roubo, violência contra funcionários, terrorismo e desastres naturais ainda são primordiais em termos de serem os grandes desafios de segurança para as empresas.”

Howard acredita que, embora a tecnologia avance mais rápido a cada dia, grandes empresas como a Microsoft ainda devem basear seus protocolos de segurança em projetos criados décadas atrás. Os fundamentos da segurança são a chave para gerenciar uma empresa tão grande quanto a Microsoft, mas também se aplicam a organizações menores.

Quer você tenha mais de 700 escritórios espalhados em cem países em todo o mundo, como a Microsoft, ou seja uma pequena empresa que busca melhorar sua segurança cibernética, você precisa se concentrar nos problemas de segurança comuns encontrados em todos os níveis de gerenciamento.

Como a Microsoft lida com a segurança

Vale a pena notar que a Microsoft investe um total de US$ 1 bilhão anualmente para garantir que seus próprios dados, bem como os de seus clientes, estejam bem protegidos. No entanto, este não é o único aspecto da segurança em que a empresa investe. Ela também garante que a segurança máxima seja mantida em todos os cantos do espaço de trabalho. O gerenciamento de incidentes de segurança da Microsoft depende dos processos fundamentais de mitigação de riscos de segurança: preparação, detecção e análise, contenção, erradicação e recuperação e atividade pós-incidente.

Mesmo que a Microsoft gaste grandes quantias de dinheiro em segurança, a economia obtida com a prevenção e mitigação dos efeitos de ataques como resultado de ter protocolos de segurança excepcionais implementados é maior do que eles gastaram.

Por exemplo, sem protocolos de segurança adequados, “a propriedade intelectual pode ser comprometida e pode afetar a reputação da marca da empresa ou levar a ações judiciais”, disse Howard. Ambos podem resultar em grandes perdas para a empresa. A segurança não é tanto uma despesa adicional para a empresa, mas sim um investimento.

Isso é especialmente importante com o aumento das leis de privacidade de dados, uma tendência que começou pouco antes de Howard deixar a Microsoft, quando a União Europeia (UE) adotou o Regulamento Geral de Proteção de Dados (GDPR). O GDPR abre as empresas à responsabilidade financeira caso uma violação de dados comprometa as informações pessoais identificáveis ​​de qualquer usuário na UE. Leis semelhantes, como a Lei de Privacidade do Consumidor da Califórnia (CCPA), também surgiram na esteira do GDPR e exigem que as empresas planejem meticulosamente seus protocolos de segurança.

Exemplos de práticas de segurança da Microsoft

Como parte do protocolo de segurança da empresa, a Microsoft lança o Relatório de Inteligência de Segurança da Microsoft a cada seis meses desde 2006. Esse relatório resume todas as ameaças que entraram no sistema da Microsoft e cada uma dessas ameaças é avaliada para ajudar a mitigar o risco de violação de dados e outros possíveis problemas.

Outro recurso de segurança empregado pela Microsoft é a plataforma Microsoft Defender Threat Intelligence, que um analista de segurança pode usar para analisar e priorizar sinais ou ameaças que precisam do mais alto nível de atenção.

Ele funciona como uma IA projetada para segurança cibernética, permitindo que a Microsoft envie e-mails personalizados aos usuários sempre que surgir uma ameaça. Essas comunicações alertam os usuários sobre determinados links que não devem ser clicados, e-mails que parecem suspeitos e outras ações do ciberespaço que podem ser sinalizadas como ameaçadoras.

O papel de Mike Howard como evangelista de segurança

Além dos desenvolvimentos que ele implementou na Microsoft para proteger os dados de seus usuários e clientes, grande parte da distinção de Howard como o homem por trás das medidas de segurança estelares da empresa é atribuída ao seu papel como um evangelista para os outros. Howard garantiu que todos na empresa, desde aqueles que residem no nível mais baixo da administração até os executivos e acionistas, entendessem a importância da segurança tanto no mundo físico quanto no ciberespaço.

“Muito [do compromisso da Microsoft com a segurança] tem a ver com a divulgação da segurança em várias frentes na última década”, disse Howard. “Meu colega de segurança de TI e eu trabalhamos diligentemente para realmente fazer com que os responsáveis ​​pela mudança, os tomadores de decisão entendam a segurança e apoiem esses esforços de segurança e a divulgação dessa mensagem em toda a empresa.”

Imbuir a importância desses protocolos nas mentes de cada funcionário da Microsoft é um processo contínuo. Esses trabalhadores são os que realizam as atividades cotidianas da empresa. Como tal, eles devem ter em mente a segurança dos negócios enquanto realizam suas funções de trabalho.

Mesmo ao fazer planos com relação aos esforços de marketing da Microsoft, Howard fazia questão de fornecer informações que ajudariam os funcionários a cumprir suas responsabilidades sem comprometer sua integridade ou a das informações valiosas da empresa. Essa cultura de evangelismo de segurança é o legado de Howard agora que ele deixou a empresa.

Assistência ao empregado como forma de garantir a segurança

Howard acredita que, além do papel da tecnologia em maximizar a segurança na Microsoft, os funcionários são essenciais para garantir que o trabalho seja feito com a máxima vigilância e observância das diretrizes de segurança adequadas.

“Ter um programa de treinamento é essencial para qualquer programa de segurança”, disse Howard. “Sem isso, você não tem um programa de segurança completo. Temos uma certa quantidade de funcionários e fornecedores em tempo integral para cobrir a Microsoft globalmente; nunca poderíamos cobrir o mundo adequadamente sem educar e criar programas de conscientização que ensinassem às pessoas o que procurar.”

Há certos benefícios de segurança em educar os funcionários sobre os riscos de segurança:

• Os funcionários se tornam seu próprio pessoal de segurança; eles se sentem responsáveis ​​pelo bem-estar de suas equipes e estão atentos a possíveis ameaças.
• Eles trarão suas próprias experiências para considerar fatores que geralmente não estão na equação ao otimizar a segurança, tornando os protocolos de segurança mais inclusivos e eficazes.
• Os funcionários são treinados para serem vigilantes tanto na frente de seus computadores quanto em seus arredores imediatos, garantindo uma segurança holística.

Por que o departamento de RH é fundamental para a segurança

Apesar de ser parte integrante de um negócio, o RH é frequentemente negligenciado quando se discute como otimizar a segurança. Na maioria das vezes, as brechas no sistema de segurança de uma empresa são encontradas em áreas que antes eram tratadas como irrelevantes, o que as torna um terreno fértil para diferentes tipos de ameaças.

“Economia ruim, problemas em casa, até mesmo lidar com um parente doente podem ser coisas que podem desencadear [motivos para aumentar] a segurança no trabalho, e ter uma equipe para ajudar a resolver esses problemas pode evitar que eles tenham um incidente de violência ou roubo”, disse Mike.

Isso mostra que a tecnologia não é suficiente para lidar sozinha com questões de segurança. As pessoas que executam até mesmo as tarefas mais simples na Microsoft devem ser consideradas ao se preparar para soluções de mitigação caso surja uma ameaça. Uma equipe de profissionais capaz de avaliar esses tipos de riscos do departamento de RH é o que diferencia a Microsoft das demais. É uma lição que outras empresas devem observar.

Como as PMEs podem aprender com a prática da Microsoft

O maior equívoco que as PMEs têm sobre as práticas de segurança cibernética da Microsoft é que é uma questão de quanto dinheiro você está disposto a gastar para proteger as informações de sua empresa . No entanto, a verdade por trás do sucesso da Microsoft não é apenas a delegação de recursos financeiros.

A realidade por trás das práticas de segurança bem-sucedidas da Microsoft é a orientação adequada das pessoas que constroem a empresa desde o início. Trata-se de garantir que eles entendam a importância dos protocolos de segurança, independentemente do departamento em que trabalham, e treiná-los para mitigar possíveis riscos que possam encontrar no decorrer de seu trabalho. Prestar atenção aos funcionários e atualizar proativamente as informações necessárias para mitigar os riscos de segurança é uma forma eficaz de presidir a segurança cibernética de uma empresa.

Não deixe a segurança ao acaso

A história de Mike Howard como ex-oficial de segurança da CIA foi um trampolim para seu papel como diretor de segurança da Microsoft, e sua filosofia quando se trata de segurança está enraizada no fato de que todas as ameaças podem ser mitigadas desde que os protocolos adequados estejam em vigor.

O tempo de Howard na Microsoft enfatiza a importância das proteções tecnológicas e de protocolo para a segurança, seja implementando um sistema de segurança cibernética e um plano de resposta, treinando membros individuais da equipe ou oferecendo a eles os recursos necessários para permanecerem vigilantes. A segurança da empresa é o trabalho de todos e é preciso dedicação 24 horas por dia, 7 dias por semana, 365 dias por ano, para realizar esse trabalho.