在近年来一系列备受瞩目的攻击事件之后，微软正在全面改革其安全流程。该公司今天概述说，安全现在是微软的"重中之重"，以回应对其安全实践的持续质疑，以及美国网络安全审查委员会对微软安全文化"不足"的评价。
微软首席执行官萨蒂亚-纳德拉（Satya Nadella）现在向每一位员工明确表示，安全应优先于一切。在一份发给微软 20 多万名员工的备忘录中，他讨论了新的安全改革，以及公司如何从攻击者那里学习改进安全流程。纳德拉还明确表示，员工不应在安全问题上做出取舍：
如果你需要在安全和其他优先事项之间做出权衡，答案很明确：确保安全。在某些情况下，这意味着安全优先于我们所做的其他事情，例如发布新功能或为传统系统提供持续支持。这是提高我们平台质量和能力的关键，这样我们才能保护客户的数字财产，为所有人建立一个更安全的世界。
纳德拉希望微软员工"以技术和操作的双重严谨性"来应对彻底改变安全性的挑战，甚至将每一行代码都视为提高微软安全性的机会。这是每个人的头等大事，也是我们客户的最大需求。"
有趣的是，纳德拉还提到要优先考虑安全性，而不是努力支持和兼容传统系统。微软在支持其软件产品方面有着悠久的历史，有时甚至长达数十年的支持或兼容。纳德拉在这里稍稍暗示，为了未来的安全，公司可能需要改变这种做法。
近年来，微软面临着一系列安全问题。2021 年初，中国黑客利用零日漏洞攻击微软 Exchange 服务器，使他们能够访问电子邮件账户，并在企业托管的服务器上安装恶意软件。去年，中国黑客利用微软云漏洞入侵了美国政府的电子邮件。最近，与SolarWinds 事件背后的俄罗斯国家支持的黑客一样，被称为 Nobelium 或 Midnight Blizzard 的黑客去年能够窥探微软高层领导团队一些成员的电子邮件账户，甚至在今年早些时候窃取源代码。
纳德拉的备忘录全文如下：
今天，我想谈谈对公司未来至关重要的事情：将安全放在首位。
微软依靠信任运行，我们的成功取决于赢得和维护信任。我们拥有独特的机会和责任，为世界的创新打造最安全、最值得信赖的平台。
美国国土安全部网络安全审查委员会（CSRB）最近对 2023 年夏天发生的 Storm-0558 网络攻击事件的调查结果，凸显了我们公司和客户所面临威胁的严重性，以及我们抵御这些日益复杂的威胁行为者的责任。
去年 11 月，我们启动了"安全未来计划"（Secure Future Initiative，简称 SFI），将公司各部门联合起来，在新产品和传统基础设施中推进网络安全保护。我为这一倡议感到自豪，并对为实施这一倡议所做的工作表示感谢。但是，我们必须而且将会做得更多。
展望未来，我们整个组织都将致力于自立扶持计划，我们将以三项核心原则为基础，加倍努力实施这项计划：
- 安全设计：在设计任何产品或服务时，安全都是第一位的。
- 默认安全：默认情况下启用并执行安全保护，无需额外努力，也不是可选项。
- 安全运行：不断改进安全控制和监测，以应对当前和未来的威胁。
这些原则将指导我们 SFI 支柱的方方面面，因为我们保护身份和机密、保护租户和隔离生产系统、保护网络、保护工程系统、监控和检测威胁以及加速响应和修复。我们已经分享了每个支柱所涉及的全公司范围内的具体行动，包括 CSRB 报告中建议的行动，您可以在此处了解这些行动。在整个微软，我们将动员起来，实施并落实这些标准、准则和要求，这将成为我们招聘和奖励决策的一个新增维度。此外，我们还将根据我们在实现安全计划和里程碑方面取得的进展来确定高级领导团队的部分薪酬，从而灌输责任意识。
我们必须以技术和运营的严谨性来应对这一挑战，并注重持续改进。我们承担的每一项任务，从一行代码到一个客户或合作伙伴流程，都是帮助我们加强自身安全和整个生态系统安全的机会。这包括向我们的对手学习，学习他们日益复杂的能力，就像我们与午夜暴雪的合作一样。从我们不断监控的数以万亿计的独特信号中学习，以加强我们的整体态势。它还包括公共和私营部门之间更强大、更有序的合作。
安全是一项团队运动，加速 SFI 不仅是我们安全团队的首要任务，也是每个人的首要任务和客户的最大需求。
如果您需要在安全和其他优先事项之间做出权衡，答案很明确：确保安全。在某些情况下，这意味着安全优先于我们所做的其他事情，例如发布新功能或为传统系统提供持续支持。这是提高我们平台质量和能力的关键，这样我们才能保护客户的数字财产，为所有人建立一个更安全的世界。
萨蒂亚