微软建立可信平台提倡数码卫生

微软（Microsoft）在这几年间不断收购安全技术相关的公司，目的不是要做资讯安全方案供应 商，只是为提升产品及服务的安全水平及加强防卫能力，希望在数码年代建立可信的数码环境，期望 企业数码转型顺利。

微软在 2014 年以 2 亿美元买下混合云端安全创业 公司 Aorato、2015 年同时收购云端安全企业 Adallom 及安全方案供应商 Secure Islands，前者投 下 3 亿美元，后者未有透露收购价。早前，又以 1 亿美元买下 Hexadite，藉对方的人工智能及身份认证技术对付日趋严重的攻击。微软表明其角色是要建立可信的平台，让用户对数码环境更有信心。

四大原则建立信用框架

该公司企业对外及法律事务部副总顾问 Jeff Bullwinkel 指出，在数码年代，所有企业的业务及 应用已离不开云端，Office 365、Google Apps、OneDrive、Dropbox、Box、Azure、AWS 等等， 总有一项涉及云端。根据思科全球云端指数 2012 至 2017 的报告显示，期内在云端的数据流量增长高达 500%，反观传统基建支持的数据流量只有轻微增幅，足见企业对云端的依赖。

在这情况下，云端服务供应商一定要成为客户可信的伙伴。微软责无旁贷，提出了三大责任：扩大加密保护至所有服务、提升程式码（Code）的透明度、对客户的数码加强保护。然后以四大原则作为可信平台的框架，包括：安全（保护客户数据安全）、透明度（客户会知 道微软如何处理其数据）、隐私及控制权（所有数据属于客户，其拥有一切控制权）及法规（在符合法规下管理数据）。

Jeff Bullwinkel 鼓励企业采用符合法规要求及提供大量资讯安全措施的云端平台，因为以个人之力难以自建同一规模的平台。

提升数据透明度

Bullwinkel 举例说明，在保安层面，微软早于 2015 年 11 月已推出 Trust Center 网站，提供所有跟云端服务相关的安全资讯，以便客户能够找到资源，建立信心后作出对使用云端服务的决策。同时答应给客户最大的数据透明度。而在隐私及控制权上，过去微软曾与政府及法律机构角力，对交出非当地客户资料的要求力抗到底。最后在建立平台时，以各地客户都能符合及回应当地法规要求为首，正如有部分地区，大众有隐私权，在Azure平台出现的人面图片，都会打格处理。

最近，微软云端平台及服务亦已跟从最新的欧盟一般资料保护法（GDPR），企业可因应需要采用符合此法规的服务。Bullwinkel 强调：“企业如自建平台实难满足不断改变及增强的法规，但微软在过去几年已投入了数以十亿美元到保护数据及资讯安全上，这规模是一般公司难于做到。”

微软在建立可信的平台上可谓不惜工本。该公司亦不断扩大数据中心的规模，目前已于 40 多个国家及地区拥有逾 100 个数据中心，服务器数量超过百万部。数据中心仍持续增加，包括位于加拿大温哥华及魁北克市、德国马格德堡及法兰克福，以及英国的将陆续投入服务。

微软透过 Microsoft Trust Center 跟客户连系，向客户发放最新的安全资讯，让客户更了解市场发展。

应注重数码卫生

有服务供应商为客户提供可信平台，但面对无日无之的网络攻击，企业却不可掉以轻心，应注重数码卫生（Cyber Hygiene）。微软企业数码安全部门亚洲区首席数码安全顾问 Michael Montoya 提醒客户，要建立安全的企业。他表示，现在已是攻击的年代，黑客的技巧很成熟，对金融业的攻击又快又多，更严重至向国家发动网络攻击，变相有很大机会发展成数码恐怖袭击，例如令火车停顿等行为。

不过，以目前来看，钓鱼电邮仍然是最常用及简单的攻击方法，而黑客登入被盗的个人电邮之后，第一 件事就是搜寻密码，接着就会寻找银行资料等。但相对黑客的发展进度，如每月可产生 42.5 万新的恶意软件，不少用户的数码安全防卫显然有所不足，包括有 63% 用户采用较弱或被盗用的密码，有部分企业更花上 17 个月时间才能侦测到恶意软件。整体来说，每个受害个案平均损失 400 万至 500 万美元。

Michael Montoya 指出，面对不断出现的攻击，企业有必要做好数码卫生工程，才能有效防卫。

五大方法保持卫生

企业真的束手无策？Montoya 认为做好数码卫生将是基本。企业可从五大方向令自己的数码环境更干净：

1. 了解环境：掌握用户、终端、网络设备所产生的数 据及位置。
2. 维护更新：确保所有软件采用最新版本。
3. 复杂密码：采用复杂难于攻破的密码是必须，甚至建议采用多重身份证认及加密方案。
4. 分割网络：为工作站、网络及不同部分割所使用的网络，加上登入权限控制，将更为安全。
5. 做好备份：要保留网络日志（Logging）及拥有良好的备份策略。

同时，对付网络攻击离不开三大步骤：保护，可将安全引擎整合成单一平台；侦测，要扩大可视范围，甚至引入人工智能，帮助了解网络上出现的异常；回应， 借助伙伴的服务或应用，建立自动回应功能及机制。总的来说，企业应在这三大范畴上建立全球规模的安全保护方案。

当然会卖保安方案

虽然微软强调自己不是资讯安全方案公司，只是将安全放在第一位，但不难发现该公司原来有不少跟安全相关的方案，从身份及登入管理、攻击防卫、资讯保护及安全管理皆有，长远发展下去要成为另一间资讯安全公司服务商，谁敢说不可能？