Microsoft sier WannaCrypt-angrep bør være en vekker for regjeringer om å slutte å lagre sårbarheter

Microsoft har kommet under ild fra folk som New York Times for ikke å gi ut oppdateringer for versjoner av programvare som ikke er støttet, inkludert Windows XP, som er nesten gammel nok til å stemme.

Nå i et blogginnlegg har Brad Smith, Microsofts president og juridiske leder, forsøkt å legge skylden der den delvis hører hjemme – ikke bare hos de kriminelle, men også selskaper som er trege med å oppdatere programvaren sin, og myndigheter lager sårbarheter, og forhindrer dermed Microsoft fra å fikse dem, for så å miste dem i massevis, noe Microsoft tilsvarer at militæret mister en stash av Tomahawk-missiler.

Microsoft kritiserte de første selskapene for ikke å oppdatere programvaren deres med de nyeste oppdateringene, og bemerket at sikkerhet var et delt ansvar mellom leverandører som slipper oppdateringer og kunder som bruker dem.

"Etter hvert som nettkriminelle blir mer sofistikerte, er det rett og slett ingen måte for kunder å beskytte seg mot trusler med mindre de oppdaterer systemene sine. Ellers kjemper de bokstavelig talt nåtidens problemer med verktøy fra fortiden. Dette angrepet er en kraftig påminnelse om at grunnleggende informasjonsteknologi som å holde datamaskiner oppdatert og lappet er et stort ansvar for alle, og det er noe enhver toppleder bør støtte," bemerket Smith.

Mange selskaper er selvfølgelig motvillige til å distribuere patcher uten omfattende testing, noe som Microsoft forsto, men Smith bemerket at Microsoft brukte "robust testing og analyse for å muliggjøre raske oppdateringer i IT-infrastruktur."

Når det gjelder lagring av sårbarheter fra statlige aktører, bemerket Smith at "rgjentatte ganger har utnyttelser i hendene på regjeringer lekket inn i det offentlige rom og forårsaket omfattende skade,” fører til den bisarre situasjonen med regjeringshandlinger som gjentatte ganger fører til kriminelle angrep.

Da Smith kalte WannaCrypt en vekker, fornyet Smith nok en gang en oppfordring til en "Digital Genève-konvensjon" som krever at regjeringer tar hensyn til risikoen for sivile ved å hamstre sårbarheter, og som vil inkludere et nytt krav til myndigheter om å rapportere sårbarheter til leverandører, i stedet for å lagre, selge eller utnytte dem.

Microsoft sa at de var forpliktet til å gjøre sin del, og ba regjeringer om å ta grep selv for å beskytte innbyggerne.

Lese Brad Smiths fullstendige innlegg her.