Diez años de Trustworthy Computing en Microsoft. ¿Éxito o fracaso?

El 15 de enero de 2002, Bill Gates envió un correo a todos sus empleados. Ya no podía más. La seguridad debía convertirse en una prioridad en todos sus productos. Bajo el nombre de Strategic Technology Protection Program (STPP) Microsoft presentó una iniciativa que pretendía mejorar la seguridad de sus sistemas operativos y su respuesta ante nuevos problemas de seguridad. Nació la "Trustworthy Computing". Diez años después... ¿ha sido un éxito o un fracaso?

El correo enviado por el mismísimo Gates en 2002 se hizo bastante famoso. Era el toque de atención, el golpe de timón que, costase lo que costase (y de hecho fue muy caro) debía cambiar el rumbo de Microsoft. Entre otras muchas propuestas, el programa STPP pretendía proporcionar herramientas gratuitas y soporte técnico a empresas de cualquier tamaño, instaurar un teléfono de asistencia gratuita para ayudar a los clientes a resolver incidencias por malware, asesoramiento acerca del modo de instalar actualizaciones de seguridad... También fue entonces cuando Microsoft se comprometió a publicar de forma sistemática y periódica los conjuntos de actualizaciones de seguridad. Se estableció la idea de un sistema central de gestión de actualizaciones (lo que mas tarde se convertiría en los exitosos Software Update Services, Windows Software Update Services, Microsoft Operations Manager...).

Pero una de los cimientos más importantes que sentó fue un SDL (Security Development Lifecycle) para el desarrollo de su software. De hecho, este nuevo método de programación centrado en la seguridad fue la causa del retraso de Windows Vista. Si bien el periodo de publicación de sistemas operativos Windows venía siendo cada tres años, Vista tardó casi el doble.

Microsoft se tomó por fin en serio su "Trustworthy Computing" que anunció tras llegar a lo que (por aquél entonces) se creía techo de la inseguridad y problemas acarreados por el sistema operativo Windows y sus productos.

Fuente: Hispasec I y II