Resumen

  • El Cyber Safety Review Board pidió al consejero delegado y al consejo de Microsoft un plan con plazos específicos. Microsoft entregó informes fechados, objetivos por bandas, directivos con nombre y un vínculo con la retribución; ninguno de esos documentos permite a un tercero recalcular los porcentajes anunciados.
  • La cobertura de las canalizaciones de publicación cayó del 94 % en noviembre de 2025 al 90 % en julio de 2026, y Microsoft atribuye el movimiento a un perímetro de medición ampliado. Un número que se mueve junto con su propio denominador no es una garantía, aunque así circula en los expedientes de compra.

El informe del Cyber Safety Review Board sobre la intrusión del verano de 2023 en Exchange Online —la copia consultada lleva fecha de portada del 20 de marzo de 2024— cabe en su primera recomendación: «The CEO and Board should develop, and share publicly, a plan with specific timelines to make fundamental, security-focused reforms» (informe del CSRB, página 19 impresa).

Ese instrumento tiene tres propiedades y hay que sostenerlas juntas. Se dirige a la cúpula de la empresa, no a un equipo de ingeniería. Exige plazos concretos, no un programa en marcha. Y exige publicidad, es decir, un lector capaz de juzgarlo. Dos de tres no bastan.

El 3 de mayo de 2024 Microsoft respondió con objetivos de ingeniería al 100 %, entre ellos este: «100% of access to source code and engineering systems infrastructure is secured through Zero Trust and least-privilege access policies.» (anuncio del 3 de mayo de 2024). El cumplimiento se mediría mediante objetivos y resultados clave. En la página tal como se publicó, ninguno de esos objetivos lleva fecha límite propia ni nombra a un responsable único.

El método está escrito sin rodeos en el informe de abril de 2025: «We calculated progress by recording the completed percentage of standards and key results, those defined initially and any additions.» (informe de abril de 2025, página 4 impresa). Traducido a la práctica: el denominador crece cuando la empresa añade trabajo. No es una trampa, es una definición, y es justo lo que convierte la cifra en algo que un lector externo no puede usar como prueba de avance.

Los resultados se publican por bandas y no por puntos. En abril de 2025 los objetivos 1 a 3 estaban en la banda del 95–99 % y los objetivos 4 y 5 en la del 66–94 %. En noviembre de 2025 los objetivos 2 y 3 seguían en el 95–99 %, mientras los objetivos 1, 4 y 5 bajaban al 66–94 %, con un inventario ampliado como explicación de la empresa (informe de noviembre de 2025). En julio de 2026 el objetivo 1 aparece «closed», los objetivos 2 y 3 en el 95–99 % y los objetivos 4 y 5 en el 66–94 % (informe de julio de 2026). Una banda no es un recuento, y un cierre no es una ratio de activos: ni lo uno ni lo otro se recalcula.

Las cifras de cobertura sí están fechadas y son comparables, siempre que se respete qué mide cada informe. Septiembre de 2024: el 85 % de las canalizaciones de producción del cloud comercial usaban plantillas de canalización gobernadas de forma central (informe de septiembre de 2024). Abril de 2025: 92 % de las canalizaciones de compilación, 54 % de las de publicación y 56 % del acceso a la firma de código restringido a identidades de producción. Noviembre de 2025: 94 % de las canalizaciones de publicación con plantillas gobernadas y 89 % de aislamiento de red. Julio de 2026: 93 % de las canalizaciones de compilación críticas y de alto valor y 90 % de las de publicación (resumen del Trust Center de julio de 2026).

La serie de canalizaciones de publicación merece leerse despacio: 54 %, luego 94 %, luego 90 %. Microsoft comenta el último movimiento así: «Recent metric variation reflects expanded measurement scope, with final attribution under review.» (PDF de julio de 2026). Quien quiera saber si los controles empeoraron, mejoraron o simplemente cambiaron de definición no encontrará respuesta en el documento: la propia empresa escribe que la atribución sigue en estudio.

El número más repetido es de otra naturaleza: «achieving 99.5% detection and remediation of live secrets in code.» (anuncio del 10 de noviembre de 2025). El texto no da numerador, ni denominador, ni método de muestreo, ni aclara si mide cobertura, rendimiento de detección o remediación completada. Es una afirmación de la empresa sobre sí misma, no una tasa de precisión validada.

Los volúmenes publicados en julio de 2026 piden la misma prudencia: más de 550 000 instancias de vulnerabilidades de código abierto críticas o de alto riesgo corregidas, y un parcheo automatizado de contenedores que aborda unas tres millones de instancias de vulnerabilidad al mes (resumen de julio de 2026). Una instancia no es una vulnerabilidad única ni un CVE; la cifra de 550 000 no indica ventana de medición; y un caudal mensual no es la liquidación de una cola. Otros dos datos acotan la lectura: se monitorizan unas 80 000 canalizaciones, y cinco de las siete grandes categorías de registros de seguridad cumplían el estándar de retención en abril de 2025 (informe de abril de 2025). Además, los periodos no coinciden entre publicaciones: noviembre de 2025 cuenta CVE desde enero de 2025 mientras las primas de bug bounty cubren de julio de 2024 a junio de 2025. Una fecha de publicación no es una fecha de cierre contable.

La propia empresa reconoce el límite: «We do not disclose the full body of work we are undertaking to advance an objective (such as standards and key results)» (informe de noviembre de 2025). Es franqueza. Y es la razón técnica por la que ninguna auditoría externa podría rehacer el cálculo solo con estos documentos.

Queda el elemento que más se parece a una consecuencia. Satya Nadella anunció en mayo de 2024 que Microsoft basaba «part of the compensation of the senior leadership team on our progress towards meeting our security plans and milestones» (blog oficial del 3 de mayo de 2024), formulación repetida en septiembre de 2024: «Microsoft’s senior leadership team now has security performance directly linked to compensation.» (actualización de septiembre de 2024). Ningún documento consultado publica ponderaciones, umbrales de activación ni reducciones automáticas ligadas a un hito concreto. Un vínculo retributivo sin baremo sigue siendo una señal de prioridad, no una cláusula ejecutable.

La gobernanza también tiene nombres. El CISO Igor Tsyganskiy dirige el Cybersecurity Governance Council de los Deputy CISOs; los Deputy CISOs y los equipos de ingeniería son responsables colectivos de supervisión, gestión de riesgos y reporte; las revisiones de la dirección son semanales, las actualizaciones al consejo trimestrales, y el rendimiento en seguridad entra en las evaluaciones de los empleados. Joy Chik figura como executive sponsor del programa (anuncio de septiembre de 2024). Una supervisión con nombres no es un registro que asigne a cada indicador un dueño y una fecha.

También hay que acreditar lo que sí existe. El programa tiene al menos un plazo de calendario: el objetivo de pasar a criptografía postcuántica en productos y servicios críticos en 2029 (anuncio del 10 de julio de 2026). Decir que todo está sin fecha sería falso. Y el apéndice del informe de abril de 2025 marca las recomendaciones 1 a 4 del CSRB como «complete»: es la valoración de Microsoft sobre su propio cumplimiento, no una validación independiente.

El informe más reciente figura en el hub del programa con fecha de julio de 2026, con un anuncio del 10 de julio de 2026 (hub del Trust Center). La cadencia es una promesa, no un calendario: «We plan to keep ourselves accountable and provide the latest SFI news to customers, partners, and the security community through regular updates.» No aparece una periodicidad fija en esa página, que por naturaleza es modificable.

Sobre la pregunta que lo decide todo —quién, fuera de Microsoft, atestigua estos porcentajes— la respuesta honesta es estrecha: ninguna atestación independiente de los porcentajes publicados apareció en los once documentos que leí en sus fechas de consulta indicadas, esto es, el informe del CSRB, cuatro informes de avance detallados, cuatro anuncios fechados de Microsoft, el resumen del Trust Center de julio de 2026 y el hub del programa. Las pruebas internas, los mapeos de estándares y el análisis de incidente del consejo no constituyen garantía independiente sobre las cifras posteriores.

La ausencia en ese conjunto no prueba que no exista en otro lugar.

Lo que esto añade a lo que ya habíamos publicado sobre esta empresa conviene decirlo sin rodeos. Nuestros siete artículos anteriores la trataban como actor de producto y de mercado: la consolidación de Copilot (19 de marzo de 2026), las maniobras reportadas entre Microsoft, Amazon y OpenAI (19 de marzo de 2026), el aviso de la CISA tras la intrusión en Stryker que tocaba los controles de administrador de Intune (19 de marzo de 2026), la caída de Microsoft 365 (23 de enero de 2026), la ampliación de 200 MW en Emiratos con G42 (7 de noviembre de 2025) y las recomendaciones de la autoridad británica de competencia sobre el mercado cloud (1 de agosto de 2025). Ninguno examinaba qué sustituye a un recurso exigible tras una revisión externa. Nuestro propio briefing sobre el carácter no vinculante del consejo se detenía donde empieza este artículo: en el instrumento que la empresa construyó en su lugar. La ficha de Microsoft Corporation en el directorio de BTW sirve aquí como referencia de identidad, no como fuente de hechos operativos.

La pregunta útil, entonces, no es si Microsoft trabaja en serio: los documentos muestran trabajo, personas con nombre y decenas de miles de canalizaciones instrumentadas. La pregunta es qué obliga un porcentaje autopublicado. En un contrato de compra, un porcentaje de cumplimiento parece una garantía; en una memoria anual, parece un control; en una póliza, parece un riesgo medido. En los tres casos el lector compra una conclusión que solo el vendedor puede producir. Una medida que el medido define, calcula y comenta no es verificación. Es una autoevaluación con decimales.