Кратко

  • Совет по кибербезопасности потребовал от генерального директора и совета директоров Microsoft плана с конкретными сроками. Компания выпустила датированные отчёты, целевые диапазоны, названных руководителей и привязку вознаграждения; ни один из этих документов не позволяет третьей стороне пересчитать опубликованные проценты.
  • Покрытие релизных конвейеров упало с 94% в ноябре 2025 года до 90% в июле 2026 года, и Microsoft объясняет это расширением охвата измерений. Число, которое движется вместе со своим знаменателем, не является гарантией — и всё же именно в таком виде оно попадает в закупочные дела.

Отчёт совета по кибербезопасности о вторжении в Exchange Online летом 2023 года — в просмотренном экземпляре титульная дата 20 марта 2024 года — сводится к первой рекомендации: «The CEO and Board should develop, and share publicly, a plan with specific timelines to make fundamental, security-focused reforms» (отчёт CSRB, печатная страница 19).

У этого инструмента три свойства, и они должны выполняться вместе. Он адресован вершине компании, а не инженерной команде. Он требует конкретных сроков, а не текущей программы. И он требует публичности, то есть читателя, способного судить. Двух из трёх недостаточно.

3 мая 2024 года Microsoft ответила набором целей на 100%, среди них: «100% of access to source code and engineering systems infrastructure is secured through Zero Trust and least-privilege access policies.» (объявление от 3 мая 2024 года). Соблюдение предполагалось измерять через цели и ключевые результаты. Но на опубликованной странице ни у одной из этих целей нет собственного календарного срока и ни одна не называет единственного ответственного.

Метод изложен без околичностей в отчёте за апрель 2025 года: «We calculated progress by recording the completed percentage of standards and key results, those defined initially and any additions.» (отчёт за апрель 2025 года, печатная страница 4). На языке операций это значит: знаменатель растёт, когда компания добавляет работу. Это не подлог, это определение, и именно оно делает число непригодным как доказательство прогресса для внешнего читателя.

Результаты затем публикуются диапазонами, а не точками. В апреле 2025 года цели 1–3 находились в диапазоне 95–99%, цели 4 и 5 — в диапазоне 66–94%. В ноябре 2025 года цели 2 и 3 остались на 95–99%, тогда как цели 1, 4 и 5 опустились до 66–94%, и компания сослалась на расширенную инвентаризацию (отчёт за ноябрь 2025 года). В июле 2026 года цель 1 значится «closed», цели 2 и 3 — на 95–99%, цели 4 и 5 — на 66–94% (отчёт за июль 2026 года). Диапазон — не счёт, а закрытие — не доля активов: ни то, ни другое не пересчитывается.

Цифры покрытия, напротив, датированы и сопоставимы — при условии уважения к тому, что измеряет каждый отчёт. Сентябрь 2024 года: 85% производственных конвейеров сборки коммерческого облака используют централизованно управляемые шаблоны (отчёт за сентябрь 2024 года). Апрель 2025 года: 92% конвейеров сборки, 54% конвейеров выпуска и 56% доступа к подписи кода, ограниченного идентичностями производственных клиентов. Ноябрь 2025 года: 94% релизных конвейеров на управляемых шаблонах и 89% сетевой изоляции. Июль 2026 года: 93% критических и особо ценных конвейеров сборки и 90% релизных конвейеров (сводка Trust Center за июль 2026 года).

Ряд по релизным конвейерам стоит читать медленно: 54%, затем 94%, затем 90%. Последнее движение Microsoft комментирует так: «Recent metric variation reflects expanded measurement scope, with final attribution under review.» (PDF за июль 2026 года). Тот, кто хочет понять, ухудшились ли контроли, улучшились или просто были переопределены, ответа в документе не найдёт. Сама компания пишет, что отнесение ещё изучается.

Самое цитируемое число имеет иную природу: «achieving 99.5% detection and remediation of live secrets in code.» (объявление от 10 ноября 2025 года). В тексте нет ни числителя, ни знаменателя, ни метода выборки, и не сказано, измеряется ли охват, качество обнаружения или завершённость устранения. Это утверждение компании о самой себе, а не проверенная точность.

Объёмы, опубликованные в июле 2026 года, требуют той же осторожности: более 550 000 случаев критических и высокорисковых уязвимостей открытого кода устранено, а автоматическое исправление контейнеров обрабатывает около трёх миллионов случаев уязвимостей в месяц (сводка за июль 2026 года). Случай — это не уникальная уязвимость и не CVE; цифра 550 000 не указывает окно измерения; месячная пропускная способность не равна ликвидации накопленного долга. Ещё две величины задают рамку чтения: под наблюдением около 80 000 конвейеров, и пять из семи крупных категорий журналов безопасности соответствовали стандарту хранения по состоянию на апрель 2025 года (отчёт за апрель 2025 года). Кроме того, отчётные периоды различаются: ноябрь 2025 года считает CVE с января 2025 года, тогда как выплаты по bug bounty охватывают июль 2024 — июнь 2025. Дата публикации не является датой закрытия баланса.

Компания и сама признаёт предел: «We do not disclose the full body of work we are undertaking to advance an objective (such as standards and key results)» (отчёт за ноябрь 2025 года). Это откровенность. И это техническая причина, по которой внешний аудит не смог бы воспроизвести расчёт только по этим документам.

Остаётся элемент, наиболее похожий на последствие. В мае 2024 года Satya Nadella объявил, что Microsoft кладёт в основу «part of the compensation of the senior leadership team on our progress towards meeting our security plans and milestones» (официальный блог от 3 мая 2024 года), а в сентябре 2024 года это повторили: «Microsoft’s senior leadership team now has security performance directly linked to compensation.» (обновление за сентябрь 2024 года). Ни один из просмотренных документов не публикует весов, порогов срабатывания или автоматического снижения, привязанного к конкретной вехе. Привязка вознаграждения без шкалы остаётся сигналом приоритета, а не исполняемым условием.

У управления тоже есть имена. CISO Igor Tsyganskiy возглавляет Совет по управлению кибербезопасностью, состоящий из Deputy CISO; Deputy CISO и инженерные команды коллективно отвечают за надзор, управление рисками и отчётность; обзоры руководства еженедельные, обновления для совета директоров квартальные, а показатели безопасности входят в оценку сотрудников. Joy Chik указана исполнительным спонсором программы (объявление за сентябрь 2024 года). Надзор с именами не является реестром, где каждому показателю назначены владелец и дата.

Справедливости ради надо зачесть и то, что действительно есть. В программе как минимум один календарный срок: цель перевести критические продукты и услуги на постквантовую криптографию (PQC) к 2029 году (объявление от 10 июля 2026 года). Утверждать, что всё без дат, было бы неправдой. И приложение к отчёту за апрель 2025 года помечает рекомендации CSRB 1–4 как «complete»: это оценка Microsoft собственного соответствия, а не независимая проверка.

Последний отчёт на странице программы датирован июлем 2026 года, объявление к нему — 10 июля 2026 года (хаб Trust Center). Ритм — обещание, а не календарь: «We plan to keep ourselves accountable and provide the latest SFI news to customers, partners, and the security community through regular updates.» Фиксированной периодичности на странице нет, и сама страница изменяема.

По вопросу, который решает всё — кто, кроме Microsoft, подтверждает эти проценты, — честный ответ узок: ни одного независимого подтверждения опубликованных процентов не обнаружено в одиннадцати документах, прочитанных к указанным датам обращения: отчёт CSRB, четыре подробных отчёта о прогрессе, четыре датированных объявления Microsoft, сводная страница Trust Center за июль 2026 года и хаб программы. Внутренние тесты, сопоставления со стандартами и более ранний разбор инцидента советом не являются независимым заверением последующих цифр. Отсутствие в этом наборе не доказывает отсутствия где-либо ещё.

Что это добавляет к нашим прежним публикациям об этой компании, стоит сказать прямо. Семь наших статей трактовали её как продуктового и рыночного игрока: консолидация Copilot (19 марта 2026 года), сообщённые манёвры между Microsoft, Amazon и OpenAI (19 марта 2026 года), предупреждение CISA после вторжения в Stryker, затронувшего административные контроли Intune (19 марта 2026 года), сбой Microsoft 365 (23 января 2026 года), расширение на 200 МВт с G42 в ОАЭ (7 ноября 2025 года) и рекомендации британского регулятора конкуренции по облачному рынку (1 августа 2025 года). Ни одна не проверяла, что заменило принудительное средство правовой защиты после внешней проверки. Наш собственный брифинг о необязательном характере совета заканчивался там, где начинается этот текст: на инструменте, который компания построила вместо него. Запись Microsoft Corporation в справочнике BTW служит здесь ориентиром идентичности, а не источником операционных фактов.

Полезный вопрос поэтому не в том, работает ли Microsoft всерьёз — документы показывают работу, названных людей и десятки тысяч инструментированных конвейеров. Вопрос в том, к чему обязывает процент, опубликованный о самом себе. В закупочном договоре процент выполнения выглядит гарантией; в годовом отчёте — контролем; в полисе — измеренным риском. Во всех трёх случаях читатель покупает вывод, который способен произвести только продавец. Мера, которую измеряемый сам определяет, считает и комментирует, — не проверка. Это самооценка с десятичными знаками.