الخلاصة

  • طالب مجلس مراجعة السلامة السيبرانية الرئيس التنفيذي ومجلس إدارة Microsoft بخطة ذات مواعيد محددة. فأصدرت الشركة تقارير مؤرخة وأهدافاً بأشرطة ومسؤولين معيّنين وربطاً للتعويضات؛ لكن لا شيء من ذلك يتيح لطرف ثالث إعادة حساب النسب التي أعلنتها.
  • هبطت تغطية خطوط الإصدار من 94% في نوفمبر 2025 إلى 90% في يوليو 2026، وتشرح Microsoft ذلك بتوسيع نطاق القياس. ورقم يتحرك مع مقامه ليس ضماناً، ومع ذلك هذا هو الشكل الذي يدخل به إلى ملفات الشراء.

تقرير مجلس مراجعة السلامة السيبرانية عن اقتحام Exchange Online في صيف 2023 — والنسخة التي فُحصت تحمل تاريخ غلاف 20 مارس 2024 — يمكن اختصاره في توصيته الأولى: «The CEO and Board should develop, and share publicly, a plan with specific timelines to make fundamental, security-focused reforms» (تقرير المجلس، الصفحة 19 المطبوعة).

لهذه الأداة ثلاثة شروط يجب أن تتحقق معاً. الأول أنها موجّهة إلى قمة الشركة لا إلى فريق هندسي. الثاني أنها تطلب مواعيد محددة لا برنامجاً جارياً. الثالث أنها تطلب العلنية، أي قارئاً قادراً على الحكم. اثنان من ثلاثة لا يكفيان.

في 3 مايو 2024 ردّت Microsoft بمجموعة أهداف هندسية عند 100%، منها هذا: «100% of access to source code and engineering systems infrastructure is secured through Zero Trust and least-privilege access policies.» (إعلان 3 مايو 2024). وكان الالتزام سيُقاس بأهداف ونتائج رئيسية. لكن في الصفحة كما نُشرت، لا يحمل أي من هذه الأهداف موعداً تقويمياً خاصاً به، ولا يسمّي مسؤولاً واحداً.

أما المنهجية فمكتوبة بلا مواربة في تقرير أبريل 2025: «We calculated progress by recording the completed percentage of standards and key results, those defined initially and any additions.» (تقرير أبريل 2025، الصفحة 4 المطبوعة). بلغة العمل: يكبر المقام كلما أضافت الشركة عملاً. هذا ليس تلاعباً، بل تعريف، وهو تحديداً ما يجعله غير صالح كدليل تقدّم لقارئ خارجي.

ثم تُنشر النتائج بأشرطة لا بنقاط. في أبريل 2025 وقعت الأهداف 1 إلى 3 في شريط 95–99%، والهدفان 4 و5 في شريط 66–94%. وفي نوفمبر 2025 بقي الهدفان 2 و3 عند 95–99%، بينما هبطت الأهداف 1 و4 و5 إلى 66–94%، مع إحالة الشركة إلى توسيع الجرد (تقرير نوفمبر 2025). وفي يوليو 2026 سُجّل الهدف 1 بوصفه «closed»، والهدفان 2 و3 عند 95–99%، والهدفان 4 و5 عند 66–94% (تقرير يوليو 2026). الشريط ليس عدّاً، والإغلاق ليس نسبة أصول: لا هذا ولا ذاك قابل لإعادة الحساب.

أرقام التغطية، في المقابل، مؤرخة وقابلة للمقارنة، بشرط احترام ما يقيسه كل تقرير. سبتمبر 2024: 85% من خطوط البناء الإنتاجية في السحابة التجارية تستخدم قوالب خطوط مُدارة مركزياً (تقرير سبتمبر 2024). أبريل 2025: 92% لخطوط البناء، و54% لخطوط الإصدار، و56% لإمكانية توقيع الشيفرة المقصورة على هويات المستأجرين الإنتاجيين. نوفمبر 2025: 94% لخطوط الإصدار التي تستخدم قوالب مُدارة و89% للعزل الشبكي. يوليو 2026: 93% لخطوط البناء الحرجة وعالية القيمة و90% لخطوط الإصدار (ملخص Trust Center ليوليو 2026).

سلسلة خطوط الإصدار تستحق قراءة بطيئة: 54%، ثم 94%، ثم 90%. وتصف Microsoft الحركة الأخيرة هكذا: «Recent metric variation reflects expanded measurement scope, with final attribution under review.» (ملف PDF ليوليو 2026). من يريد معرفة ما إذا كانت الضوابط قد تراجعت أو تحسنت أو أُعيد تعريفها فقط لن يجد جواباً في الوثيقة. الشركة نفسها تكتب أن الإسناد لا يزال قيد المراجعة.

أكثر رقم يُستشهد به من نوع آخر: «achieving 99.5% detection and remediation of live secrets in code.» (إعلان 10 نوفمبر 2025). لا يذكر النص بسطاً ولا مقاماً ولا طريقة أخذ عينات، ولا يوضح إن كان يقيس التغطية أم أداء الكشف أم إتمام المعالجة. هذا تصريح الشركة عن نفسها، وليس معدل دقة مُثبتاً.

أحجام يوليو 2026 تستلزم الحذر نفسه: أكثر من 550,000 حالة من ثغرات المصادر المفتوحة الحرجة وعالية المخاطر تمت معالجتها، وترقيع آلي للحاويات يعالج نحو ثلاثة ملايين حالة ثغرة شهرياً (ملخص يوليو 2026). الحالة ليست ثغرة فريدة ولا CVE؛ ورقم 550,000 لا يذكر نافذة قياس؛ والإنتاجية الشهرية ليست تصفية لتراكم. ويضبط القراءة رقمان آخران: نحو 80,000 خط تحت المراقبة، وخمس من سبع فئات رئيسية لسجلات الأمن كانت تحقق معيار الاحتفاظ في أبريل 2025 (تقرير أبريل 2025). كما تختلف فترات المرجع بين إصدار وآخر: نوفمبر 2025 يعدّ ثغرات CVE منذ يناير 2025 بينما تغطي مدفوعات مكافآت الثغرات يوليو 2024 إلى يونيو 2025. تاريخ النشر ليس تاريخ إقفال الحسابات.

والشركة تعترف بالحد بنفسها: «We do not disclose the full body of work we are undertaking to advance an objective (such as standards and key results)» (تقرير نوفمبر 2025). هذه صراحة، وهي أيضاً السبب التقني الذي يمنع أي تدقيق خارجي من إعادة الحساب بالاعتماد على هذه الوثائق وحدها.

يبقى العنصر الأقرب إلى أن يكون نتيجة. أعلن Satya Nadella في مايو 2024 أن Microsoft تبني «part of the compensation of the senior leadership team on our progress towards meeting our security plans and milestones» (المدونة الرسمية، 3 مايو 2024)، وتكرر ذلك في سبتمبر 2024: «Microsoft’s senior leadership team now has security performance directly linked to compensation.» (تحديث سبتمبر 2024). لا تنشر أي وثيقة اطُّلع عليها أوزاناً أو عتبات تفعيل أو خصماً آلياً مرتبطاً بمعلَم محدد. ربط التعويض بلا مقياس يبقى إشارة أولوية، لا بنداً قابلاً للتنفيذ.

والحوكمة أيضاً لها أسماء. يقود CISO Igor Tsyganskiy مجلس حوكمة الأمن السيبراني المؤلف من نواب CISO؛ ونواب CISO وفرق الهندسة مسؤولون جماعياً عن الإشراف وإدارة المخاطر وإعداد التقارير؛ والمراجعات القيادية أسبوعية، والتحديثات لمجلس الإدارة فصلية، وأداء الأمن يدخل في تقييم الموظفين. ويُذكر Joy Chik راعياً تنفيذياً للبرنامج (إعلان سبتمبر 2024). الإشراف المسمّى ليس سجلاً يربط كل مؤشر بمالك وموعد.

ومن الإنصاف تسجيل ما هو موجود فعلاً. يتضمن البرنامج موعداً تقويمياً واحداً على الأقل: هدف الانتقال إلى التشفير ما بعد الكمي (PQC) في المنتجات والخدمات الحرجة بحلول 2029 (إعلان 10 يوليو 2026). القول إن كل شيء بلا مواعيد خطأ. كذلك يصنّف ملحق تقرير أبريل 2025 التوصيات 1 إلى 4 للمجلس بوصفها «complete»، وهذا تقييم Microsoft لامتثالها هي، لا تحقق مستقل.

أحدث تقرير مُدرج على صفحة البرنامج يحمل يوليو 2026، مع إعلان بتاريخ 10 يوليو 2026 (مركز الثقة). الإيقاع وعد لا تقويم: «We plan to keep ourselves accountable and provide the latest SFI news to customers, partners, and the security community through regular updates.» ولا تظهر على الصفحة دورية نشر ثابتة، وهي صفحة قابلة للتغيير بطبيعتها.

أما السؤال الذي يحسم كل شيء — من غير Microsoft يشهد على هذه النسب — فالجواب الأمين ضيق: لم يظهر أي تصديق مستقل للنسب المنشورة في الوثائق الإحدى عشرة التي قرأتها في تواريخ الاسترجاع المذكورة، وهي تقرير المجلس، وأربعة تقارير مرحلية مفصلة، وأربعة إعلانات مؤرخة لـ Microsoft، وملخص Trust Center ليوليو 2026، وصفحة البرنامج. والاختبارات الداخلية ومطابقات المعايير ومراجعة الحادث التي أجراها المجلس سابقاً ليست ضماناً مستقلاً لأرقام التقدم اللاحقة. الغياب في هذه المجموعة ليس دليلاً على الغياب في مكان آخر.

وما يضيفه هذا إلى ما نشرناه سابقاً عن الشركة جدير بالقول صراحة. تعاملت مقالاتنا السبع السابقة معها كفاعل منتج وسوق: دمج Copilot (19 مارس 2026)، والمناورات المعلنة بين Microsoft وAmazon وOpenAI (19 مارس 2026)، وتحذير CISA بعد اقتحام Stryker الذي مسّ ضوابط مسؤول Intune (19 مارس 2026)، وانقطاع Microsoft 365 (23 يناير 2026)، وتوسعة 200 ميغاواط مع G42 في الإمارات (7 نوفمبر 2025)، وتوصيات سلطة المنافسة البريطانية بشأن سوق السحابة (1 أغسطس 2025). ولم يختبر أي منها ما يحل محل علاج قابل للإنفاذ بعد مراجعة خارجية. وتوقف إحاطتنا السابقة عن الطابع غير الملزم للمجلس حيث يبدأ هذا المقال: عند الأداة التي بنتها الشركة بديلاً. ومدخل Microsoft Corporation في دليل BTW هنا مرجع هوية، لا مصدر وقائع تشغيلية.

السؤال المفيد إذن ليس هل تعمل Microsoft بجد — الوثائق تُظهر عملاً وأسماء وأكثر من عشرات الآلاف من الخطوط المرصودة. السؤال هو ما الذي تُلزم به نسبة مئوية تنشرها الشركة عن نفسها. في عقد شراء تبدو نسبة الإنجاز ضماناً؛ وفي تقرير سنوي تبدو ضابطاً؛ وفي بوليصة تأمين تبدو خطراً مقيساً. في الحالات الثلاث يشتري القارئ استنتاجاً لا يستطيع إنتاجه إلا البائع. المقياس الذي يعرّفه المقيس ويحسبه ويشرحه ليس تحققاً، بل تقييم ذاتي بعلامات عشرية.