联邦网络安全专家称微软云是「一坨屎」——但还是批准了

联邦网络安全专家称微软云是「一坨屎」——但还是批准了

ProPublica 的一项调查揭露，联邦网络安全评估者因安全文档不足将微软旗舰云计算产品之一描述为「一坨屎」——但仍然批准了其在政府中使用。这一发现凸显了美国政府采购和评估技术方面的深度功能障碍。

评估结果

2024 年底，联邦网络安全审查者评估了微软的云产品，发现：

• 文档不足：微软「缺乏适当的详细安全文档」
• 缺乏信心：审查者对「评估系统整体安全态势缺乏信心」
• 多年失败：微软「试图但未能充分解释其如何保护敏感信息」

尽管有这些严厉的发现，该产品还是被批准用于政府。

背景：微软的安全记录

该批准发生在微软产品三年内成为针对美国的两次重大网络攻击中心之后：

1. SolarWinds（2020）：俄罗斯黑客利用微软漏洞从多个联邦机构窃取数据
2. 中国黑客攻击（2023）：中国国家级黑客通过微软云访问了美国政府电子邮件

为什么还是被批准了？

ProPublica 的调查提出了几个因素：

• 供应商锁定：政府对微软过于依赖，无法拒绝其产品
• 官僚惯性：采购流程使取消主要供应商的资格极其困难
• 政治压力：微软是最大的联邦承包商之一
• 没有替代品：政府缺乏许多微软产品的可行替代方案

微软的回应

微软承认了过去的安全缺陷，并宣布了「安全未来倡议」来改善其安全实践。然而，公司的市场主导地位意味着政府客户要求改进的筹码有限。

来源: Ars Technica | ProPublica 调查