Resumo

  • O Cyber Safety Review Board pediu ao CEO e ao conselho da Microsoft um plano com prazos específicos. A empresa publicou relatórios datados, objetivos em faixas, executivos nomeados e um vínculo com a remuneração; nenhum desses documentos permite a um terceiro recalcular os percentuais anunciados.
  • A cobertura dos pipelines de release caiu de 94% em novembro de 2025 para 90% em julho de 2026, movimento que a Microsoft atribui à ampliação do escopo de medição. Um número que se desloca junto com o próprio denominador não é garantia — e é exatamente assim que ele circula nos processos de compra.

O relatório do Cyber Safety Review Board sobre a invasão do Exchange Online no verão de 2023 — a cópia consultada traz data de capa de 20 de março de 2024 — cabe na primeira recomendação: “The CEO and Board should develop, and share publicly, a plan with specific timelines to make fundamental, security-focused reforms” (relatório do CSRB, página 19 impressa).

O instrumento pedido tem três propriedades e elas precisam valer juntas. Ele se dirige ao topo da empresa, não a uma equipe de engenharia. Exige prazos específicos, não um programa em andamento. E exige publicidade, ou seja, um leitor capaz de julgar. Duas de três não bastam.

Em 3 de maio de 2024, a Microsoft respondeu com metas de engenharia de 100%, entre elas esta: “100% of access to source code and engineering systems infrastructure is secured through Zero Trust and least-privilege access policies.” (anúncio de 3 de maio de 2024). A adesão seria medida por objetivos e resultados-chave. Na página tal como publicada, nenhuma dessas metas tem prazo de calendário próprio nem responsável único nomeado.

O método está escrito sem rodeios no relatório de abril de 2025: “We calculated progress by recording the completed percentage of standards and key results, those defined initially and any additions.” (relatório de abril de 2025, página 4 impressa). Em linguagem de operação: o denominador cresce quando a empresa acrescenta trabalho. Não é trapaça, é uma definição — e é justamente ela que impede um leitor externo de usar o número como prova de avanço.

Os resultados saem em faixas, não em pontos. Em abril de 2025, os objetivos 1 a 3 ficavam na faixa de 95–99% e os objetivos 4 e 5 na de 66–94%. Em novembro de 2025, os objetivos 2 e 3 seguiam em 95–99%, enquanto os objetivos 1, 4 e 5 caíam para 66–94%, com a empresa citando inventário ampliado (relatório de novembro de 2025). Em julho de 2026, o objetivo 1 aparece como “closed”, os objetivos 2 e 3 em 95–99% e os objetivos 4 e 5 em 66–94% (relatório de julho de 2026). Faixa não é contagem, e encerramento não é razão de ativos: nenhum dos dois se recalcula.

Os números de cobertura, sim, têm data e são comparáveis — desde que se respeite o que cada relatório mede. Setembro de 2024: 85% dos pipelines de build de produção da nuvem comercial usavam modelos de pipeline governados centralmente (relatório de setembro de 2024). Abril de 2025: 92% dos pipelines de build, 54% dos pipelines de release e 56% do acesso de assinatura de código restrito a identidades de produção. Novembro de 2025: 94% dos pipelines de release com modelos governados e 89% de isolamento de rede. Julho de 2026: 93% dos pipelines de build críticos e de alto valor e 90% dos pipelines de release (resumo do Trust Center de julho de 2026).

A série dos pipelines de release merece leitura lenta: 54%, depois 94%, depois 90%. A Microsoft comenta o último movimento assim: “Recent metric variation reflects expanded measurement scope, with final attribution under review.” (PDF de julho de 2026). Quem quer saber se os controles pioraram, melhoraram ou apenas mudaram de definição não encontra resposta no documento. A própria empresa escreve que a atribuição segue em análise.

O número mais repetido é de outra natureza: “achieving 99.5% detection and remediation of live secrets in code.” (anúncio de 10 de novembro de 2025). O texto não traz numerador, nem denominador, nem método de amostragem, e não esclarece se mede cobertura, desempenho de detecção ou conclusão da remediação. É uma declaração da empresa sobre si mesma, não uma taxa de acerto validada.

Os volumes publicados em julho de 2026 pedem a mesma cautela: mais de 550 mil instâncias de vulnerabilidades de código aberto críticas ou de alto risco corrigidas, e correção automatizada de contêineres tratando cerca de três milhões de instâncias de vulnerabilidade por mês (resumo de julho de 2026). Instância não é vulnerabilidade única nem CVE; o número de 550 mil não indica janela de medição; e vazão mensal não é eliminação de fila. Dois outros dados delimitam a leitura: cerca de 80 mil pipelines são monitorados, e cinco das sete grandes categorias de logs de segurança cumpriam o padrão de retenção em abril de 2025 (relatório de abril de 2025). Além disso, os períodos variam entre publicações: novembro de 2025 conta CVEs desde janeiro de 2025, enquanto os pagamentos de bug bounty cobrem julho de 2024 a junho de 2025. Data de publicação não é data de fechamento de balanço.

A própria empresa reconhece o limite: “We do not disclose the full body of work we are undertaking to advance an objective (such as standards and key results)” (relatório de novembro de 2025). É franqueza. E é a razão técnica pela qual nenhuma auditoria externa conseguiria refazer a conta apenas com esses documentos.

Sobra o elemento que mais se parece com consequência. Satya Nadella anunciou em maio de 2024 que a Microsoft estava “basing part of the compensation of the senior leadership team on our progress towards meeting our security plans and milestones” (blog oficial de 3 de maio de 2024), formulação repetida em setembro de 2024: “Microsoft’s senior leadership team now has security performance directly linked to compensation.” (atualização de setembro de 2024). Nenhum documento consultado publica pesos, gatilhos ou reduções automáticas ligadas a um marco específico. Vínculo remuneratório sem escala continua sendo sinal de prioridade, não cláusula executável.

A governança também tem nomes. O CISO Igor Tsyganskiy lidera o Cybersecurity Governance Council dos Deputy CISOs; os Deputy CISOs e as equipes de engenharia respondem coletivamente por supervisão, gestão de riscos e reporte; as revisões da liderança são semanais, as atualizações ao conselho trimestrais, e o desempenho em segurança entra nas avaliações dos funcionários. Joy Chik aparece como executive sponsor do programa (anúncio de setembro de 2024). Supervisão com nomes não é um registro que atribua a cada indicador um dono e uma data.

Também é preciso creditar o que existe de fato. O programa tem pelo menos um prazo de calendário: a meta de migrar produtos e serviços críticos para criptografia pós-quântica (PQC) até 2029 (anúncio de 10 de julho de 2026). Dizer que tudo é sem data seria falso. E o apêndice do relatório de abril de 2025 marca as recomendações 1 a 4 do CSRB como “complete”: é a avaliação da Microsoft sobre a própria conformidade, não uma validação independente.

O relatório mais recente aparece no hub do programa com data de julho de 2026, com anúncio de 10 de julho de 2026 (hub do Trust Center). A cadência é promessa, não calendário: “We plan to keep ourselves accountable and provide the latest SFI news to customers, partners, and the security community through regular updates.” Não há periodicidade fixa nessa página, que por natureza muda.

Sobre a pergunta que decide tudo — quem, fora da Microsoft, atesta esses percentuais — a resposta honesta é estreita: nenhuma atestação independente dos percentuais publicados apareceu nos onze documentos que li nas datas de consulta indicadas, isto é, o relatório do CSRB, quatro relatórios de progresso detalhados, quatro anúncios datados da Microsoft, a página-resumo do Trust Center de julho de 2026 e o hub do programa. Testes internos, mapeamentos de normas e a análise de incidente do conselho não constituem garantia independente sobre os números posteriores. Ausência nesse conjunto não prova ausência em outro lugar.

O que isso acrescenta ao que já publicamos sobre esta empresa vale dizer sem rodeio. Nossos sete artigos anteriores a tratavam como ator de produto e de mercado: a consolidação do Copilot (19 de março de 2026), as movimentações noticiadas entre Microsoft, Amazon e OpenAI (19 de março de 2026), o alerta da CISA após a invasão da Stryker envolvendo controles de administrador do Intune (19 de março de 2026), a queda do Microsoft 365 (23 de janeiro de 2026), a expansão de 200 MW nos Emirados com a G42 (7 de novembro de 2025) e as recomendações da autoridade britânica de concorrência sobre o mercado de nuvem (1º de agosto de 2025). Nenhum examinava o que substitui um remédio exigível depois de uma revisão externa. Nosso próprio briefing sobre o caráter não vinculante do conselho parava onde este começa: no instrumento que a empresa ergueu no lugar. A ficha da Microsoft Corporation no diretório da BTW serve aqui como referência de identidade, não como fonte de fatos operacionais.

A pergunta útil, então, não é se a Microsoft trabalha a sério — os documentos mostram trabalho, pessoas nomeadas e dezenas de milhares de pipelines instrumentados. É o que um percentual autopublicado obriga. Num contrato de compra, um percentual de conclusão parece garantia; num relatório anual, parece controle; numa apólice, parece risco medido. Nos três casos, o leitor compra uma conclusão que só o vendedor consegue produzir. Uma medida que o medido define, calcula e comenta não é verificação. É autoavaliação com casas decimais.