Ifølge Microsofts retningslinjer for IT-sikkerhet, skal programvare oppgraderes når det blir oppdaget sikkerhetshull og utarbeidet fikser. Disse retningslinjene ble innskjerpet for et år siden, da selskapet lanserte initiativet "Trustworthy Computing" for å sette IT-sikkerhet på dagsorden og endre en intern bedriftskultur som ikke tok sikkerhet på alvor.
Interne e-post som er lekket ut til amerikansk presse viser at Microsoft ble lammet innen en halvtime etter at utbruddet av Slammer (også kjent som Sapphire, SQL Slammer og SQLExc) første gang ble registrert internasjonalt. De første varslene mot Slammer kom 05:30 GMT lørdag morgen, eller 21:30 fredag kveld stillehavstid som er lokaltid i Microsofts hjemby Seattle. I en intern e-post fra Microsofts driftssjef Mike Carlson heter det:
- Rundt kl 10:00 PM var det en dramatisk trafikkøkning på bedriftsnettverket, og etter hvert ble alle tjenester henvist til krabbefeltet. Den utløsende årsaken ser nå ut til å være et virus som angriper SQL.
Les også
IT-sjef Rick Devenuti i Microsoft innrømmet i et intervju i går at den eksterne aktiveringstjenesten for Windows XP var nede lørdag på grunn av trafikkork i det interne nettverket. Konfrontert med problemet om alle fiksene som nettadministratorer må ta stilling til hele tiden, hadde han denne innrømmelsen:
- Det er vanskelig å ha en maskin 100 prosent fikset til enhver tid. Vi arbeider hardt for å gjøre det enklere å forholde seg til fikser. Men 100 prosent er en høy terskel, og i dette tilfellet er det ikke der vi er.
Over hele verden raser nå debatten mellom de to ytterstandpunktene, om hvorvidt Slammer-spredningen er Microsofts skyld på grunn av hullet i SQL Server, eller nettadministratorenes skyld fordi de etter et halvt år ennå ikke hadde installert en fiks som leverandøren anbefalte på det sterkeste og advarte spesielt om.
Sikkerhetsekspert Bruce Schneier i Counterpane Systemser blant dem som lenge har kritisert fiks-flommen som en ansvarsfraskrivning fra leverandørene. Han mener det som er skjedd i Microsoft understreker hvor urimelig selskapets standpunkt er. Han får følge av Marc Maiffret i eEye - Digital Security som mener at Microsoft må gjøre fiksprosessen langt enklere. I et intervju med BBC innrømmer Microsofts talsperson Rick Miller at både de eksterne fiks-rutinene og selskapets egne interne oppfølging må forbedres.
Microsoft er ofte blitt kritisert fordi fikser på avansert programvare ikke har fungert etter hensikten. I dette tilfellet er det klart at fiksen har virket slik den skulle.
