Security Professionals - ipfw add deny all from eindgebruikers to any

FedRAMP en Microsoft

23-03-2026, 17:04 door thegodthatfailed, 4 reacties
De afgelopen tijd is er veel geschreven over de Nederlandse/ Europese afhankelijkheid van Amerikaanse BigTech bedrijven en de gebrekkige soevereiniteit die daaruit volgt. Ook de veiligheid van die cloud komt geregeld ter sprake. Ik liep tegen het volgende ProPublica artikel aan, dat een schokkend kijkje in de keuken van cloud accreditaties/ certificeringen geeft. Het is een lang artikel, maar is zeker de moeite van het lezen waard. Het ongemakkelijke gevoel bij het lezen nam bij om de paar paragrafen toe.

https://www.propublica.org/article/microsoft-cloud-fedramp-cybersecurity-government

Veel punten die we al eerder gezien hebben in security.nl-artikelen passeren de revue: gebrekkige tot totaal afwezige inzage in de beveiligingsmaatregelen en de risico's die komen kijken bij de Microsoft cloud, politieke druk in plaats van gedegen auditresultaten als doorslaggevende factor om een certificering af te geven, gebrekkige onafhankelijkheid, ellende door backward compatibility, marketing blah blah in persberichten, noem het maar op.

Voor auditors mooi leesvoer, en voor Microsoft-haters een bevestiging dat de nodige vraagtekens gezet kunnen worden bij de veiligheid van de Microsoft cloud, ook al is een formeel (in dit geval FedRAMP) stempeltje afgegeven.
Reacties (4)
24-03-2026, 10:32 door Anoniem
Wat opvalt aan Microsoft is dat het, ondanks allerlei bezwaren, van supplier lock-in tot het soort dingen die in het stuk waar je naar linkt worden besproken, toch opmerkelijk vaak als de enige denkbare optie wordt gezien.

Mijn directe ervaring met Microsoft is van zo'n 20 jaar geleden inmiddels, dat was midden in de periode dat Steve Ballmer er de topman was. Ik werkte toen voor een bedrijf, een mainframe-site, die een (uiteindelijk mislukte) poging deed om de eigen applicaties (en dat was veel) naar dotNet over te zetten. Er werden een paar nieuwe IT-managers op hoge posities binnengereden, die bij een bedrijf vandaan kwamen dat volgens hen puur op Microsoft draaide, wat toen iemand het daar eens na ging vragen gelogen bleek te zijn. Er werd vanuit dat andere bedrijf ook opgemerkt dat het wel leek of ze bij Microsoft op de loonlijst stonden. Bij ons kwam een kleine meute Microsoft-medewerkers over de vloer om het project te begeleiden. Daar zaten, hoorde ik van de infrastructuurmensen, ook heel goede mensen bij, maar van wat ik aan de kant van de applicatieontwikkelaars heb gezien gaf me het gevoel dat ik bij zoiets als Scientology was beland. IT buiten Microsoft was marginaal en stelde niets voor. Zo'n beetje alles was door Microsoft uitgevonden, inclusief zaken waarvan ik wist dat Microsoft ze ook maar van anderen had afgekeken. Alleen al de gedachte om iets op te lossen met iets dat niet van Microsoft of zijn partnerbedrijven vandaan kwam leidde meteen tot druk om het daarnaar terug te leiden, zelfs als het ging om dingen die ze niet eens konden leveren. Bij Microsoft werkten de allerbeste IT'ers. Dat soort dingen, het kwam erop neer dat je niet de wensen en behoeftes van je eigen organisatie moest volgen maar je over moest geven aan hun "ecosysteem", zelfs waar dat niet voldeed. Sektarisch. Toen ik tegenover die Microsofties een keer wat explicieter had laten merken dat ik het niet allemaal voor zoete koek slikte kwam binnen een paar dagen vanuit het eigen management de suggestie dat ik een training bij Microsoft ging volgen over een onderwerp dat amper gerelateerd was aan waar ik aan werkte. Dat sloeg nergens op, behalve mogelijk als poging om mij in te pakken met iets lekkers, en dat deed mijn vertrouwen in de situatie bepaald niet toenemen (ik ben niet op het aanbod ingegaan, en ik ben daar ook niet meer heel lang blijven werken). Zoals ik Microsoft toen heb meegemaakt vond ik het een doodenge en uiterst manipulatieve tent met, zoals gezegd, sektarische trekken.

Dat ik dat zo'n 20 jaar geleden zo heb meegemaakt betekent niet dat het nu nog zo is, maar als ik al die gevallen in het nieuws zie waar tegen bekende bezwaren in Microsoft toch hardnekkig als enig denkbare optie wordt gezien geeft dat mij de indruk dat daar geen steek aan veranderd zal zijn.
24-03-2026, 13:57 door Anoniem
Het artikel lezend is het nog eens extra problematisch dat dit gebeurt in de extra beveiligde cloudomgeving van Microsoft. Als daar al onduidelijk is wat de risico's zijn, dan durf ik er geen vergif op in te nemen dat de reguliere, minder beveiligde cloudomgeving (althans, de cloudomgeving waar mogelijk minder stringente maatregelen van kracht zijn) voldoet aan de eisen die de meeste bedrijven wensen of denken te krijgen bij "een partij die haar zaken op orde heeft".

Daarnaast, en dat merk ik vooral in mijn eigen werk, leunen een hoop organisaties op certificeringen, onder het mom "een onafhankelijke auditor heeft er al naar gekeken en we gaan geen dubbel werk doen om alle beoordeelde maatregelen nogmaals tegen het licht te houden". Het eigen onderzoek blijft in dat soort situaties beperkt tot de gap die wordt geconstateerd.

Als die certificering op deze manier wordt aangevlogen en afgegeven, dan is dat geen valide methode meer om te kunnen spreken van een beheerste IT-omgeving. De known and unknown unknowns zijn in dit geval zo talrijk, dat ieder bedrijf dat gevoelige gegevens in de cloud wil zetten heel goed moet overwegen om deze stap te zetten. Grondig risico-management groeit met dit soort fratsen flink in belang.
25-03-2026, 13:39 door Anoniem
Door Anoniem: Wat opvalt aan Microsoft is dat het, ondanks allerlei bezwaren, van supplier lock-in tot het soort dingen die in het stuk waar je naar linkt worden besproken, toch opmerkelijk vaak als de enige denkbare optie wordt gezien.

Mijn directe ervaring met Microsoft is van zo'n 20 jaar geleden inmiddels, dat was midden in de periode dat Steve Ballmer er de topman was. Ik werkte toen voor een bedrijf, een mainframe-site, die een (uiteindelijk mislukte) poging deed om de eigen applicaties (en dat was veel) naar dotNet over te zetten. Er werden een paar nieuwe IT-managers op hoge posities binnengereden, die bij een bedrijf vandaan kwamen dat volgens hen puur op Microsoft draaide, wat toen iemand het daar eens na ging vragen gelogen bleek te zijn. Er werd vanuit dat andere bedrijf ook opgemerkt dat het wel leek of ze bij Microsoft op de loonlijst stonden. Bij ons kwam een kleine meute Microsoft-medewerkers over de vloer om het project te begeleiden. Daar zaten, hoorde ik van de infrastructuurmensen, ook heel goede mensen bij, maar van wat ik aan de kant van de applicatieontwikkelaars heb gezien gaf me het gevoel dat ik bij zoiets als Scientology was beland. IT buiten Microsoft was marginaal en stelde niets voor. Zo'n beetje alles was door Microsoft uitgevonden, inclusief zaken waarvan ik wist dat Microsoft ze ook maar van anderen had afgekeken. Alleen al de gedachte om iets op te lossen met iets dat niet van Microsoft of zijn partnerbedrijven vandaan kwam leidde meteen tot druk om het daarnaar terug te leiden, zelfs als het ging om dingen die ze niet eens konden leveren. Bij Microsoft werkten de allerbeste IT'ers. Dat soort dingen, het kwam erop neer dat je niet de wensen en behoeftes van je eigen organisatie moest volgen maar je over moest geven aan hun "ecosysteem", zelfs waar dat niet voldeed. Sektarisch. Toen ik tegenover die Microsofties een keer wat explicieter had laten merken dat ik het niet allemaal voor zoete koek slikte kwam binnen een paar dagen vanuit het eigen management de suggestie dat ik een training bij Microsoft ging volgen over een onderwerp dat amper gerelateerd was aan waar ik aan werkte. Dat sloeg nergens op, behalve mogelijk als poging om mij in te pakken met iets lekkers, en dat deed mijn vertrouwen in de situatie bepaald niet toenemen (ik ben niet op het aanbod ingegaan, en ik ben daar ook niet meer heel lang blijven werken). Zoals ik Microsoft toen heb meegemaakt vond ik het een doodenge en uiterst manipulatieve tent met, zoals gezegd, sektarische trekken.

Dat ik dat zo'n 20 jaar geleden zo heb meegemaakt betekent niet dat het nu nog zo is, maar als ik al die gevallen in het nieuws zie waar tegen bekende bezwaren in Microsoft toch hardnekkig als enig denkbare optie wordt gezien geeft dat mij de indruk dat daar geen steek aan veranderd zal zijn.

Er is ook geen steek veranderd. Het oligopolie zit er vol mee. Toen ik laatst had aangegeven geen interesse in Azure te hebben want onze afdeling werkt met een systeem dat veel beter presteert (rhev/satellite en openshift) en dat ze zijn uitgenodigd om een kijkje te nemen waarom wij nooit incidenten hebben en dat andere systeem heel veel (in te zien via servicenow). Het management was niet geïnteresseerd; we moesten naar de Azure cloud. Je zult begrijpen dat wij dit als afdeling niet meer hebben meegemaakt.
Het grote punt is niet technologish maar politiek van aard. Men wil gewoon niet. Daarnaast is het probleem ook de kennis. Je moet niet als Europese cloud Amazone webservices of Azure specifieke oplossingen proberen na te maken etc. Dat is gesloten software (ook al is het met Linux opgezet). Het gaat om de infrastructuur en die ligt er al lang. Het alternatief is ook een ANDERE MANIER VAN WERKEN.
Dus inderdaad sektarische trekken.
25-03-2026, 14:09 door Anoniem
Door Anoniem: Wat opvalt aan Microsoft is dat het, ondanks allerlei bezwaren, van supplier lock-in tot het soort dingen die in het stuk waar je naar linkt worden besproken, toch opmerkelijk vaak als de enige denkbare optie wordt gezien.

Mijn directe ervaring met Microsoft is van zo'n 20 jaar geleden inmiddels, dat was midden in de periode dat Steve Ballmer er de topman was. Ik werkte toen voor een bedrijf, een mainframe-site, die een (uiteindelijk mislukte) poging deed om de eigen applicaties (en dat was veel) naar dotNet over te zetten. Er werden een paar nieuwe IT-managers op hoge posities binnengereden, die bij een bedrijf vandaan kwamen dat volgens hen puur op Microsoft draaide, wat toen iemand het daar eens na ging vragen gelogen bleek te zijn. Er werd vanuit dat andere bedrijf ook opgemerkt dat het wel leek of ze bij Microsoft op de loonlijst stonden. Bij ons kwam een kleine meute Microsoft-medewerkers over de vloer om het project te begeleiden. Daar zaten, hoorde ik van de infrastructuurmensen, ook heel goede mensen bij, maar van wat ik aan de kant van de applicatieontwikkelaars heb gezien gaf me het gevoel dat ik bij zoiets als Scientology was beland. IT buiten Microsoft was marginaal en stelde niets voor. Zo'n beetje alles was door Microsoft uitgevonden, inclusief zaken waarvan ik wist dat Microsoft ze ook maar van anderen had afgekeken. Alleen al de gedachte om iets op te lossen met iets dat niet van Microsoft of zijn partnerbedrijven vandaan kwam leidde meteen tot druk om het daarnaar terug te leiden, zelfs als het ging om dingen die ze niet eens konden leveren. Bij Microsoft werkten de allerbeste IT'ers. Dat soort dingen, het kwam erop neer dat je niet de wensen en behoeftes van je eigen organisatie moest volgen maar je over moest geven aan hun "ecosysteem", zelfs waar dat niet voldeed. Sektarisch. Toen ik tegenover die Microsofties een keer wat explicieter had laten merken dat ik het niet allemaal voor zoete koek slikte kwam binnen een paar dagen vanuit het eigen management de suggestie dat ik een training bij Microsoft ging volgen over een onderwerp dat amper gerelateerd was aan waar ik aan werkte. Dat sloeg nergens op, behalve mogelijk als poging om mij in te pakken met iets lekkers, en dat deed mijn vertrouwen in de situatie bepaald niet toenemen (ik ben niet op het aanbod ingegaan, en ik ben daar ook niet meer heel lang blijven werken). Zoals ik Microsoft toen heb meegemaakt vond ik het een doodenge en uiterst manipulatieve tent met, zoals gezegd, sektarische trekken.

Dat ik dat zo'n 20 jaar geleden zo heb meegemaakt betekent niet dat het nu nog zo is, maar als ik al die gevallen in het nieuws zie waar tegen bekende bezwaren in Microsoft toch hardnekkig als enig denkbare optie wordt gezien geeft dat mij de indruk dat daar geen steek aan veranderd zal zijn.
Dit verhaal doet mij heel erg denken aan: https://www.youtube.com/watch?v=8mEpGQ7ziFM&list=PL3B8E28E6C2CB6E1E&index=7
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.