順調な滑り出しとはいかなかったが、Microsoftは1億ドル以上のコストを費やし、大胆な改革を推し進めた。具体的には、ソフトウェアエンジニアにセキュリティトレーニングを実施したり、既存製品のコードから脆弱なコードを徹底的に排除したり、全てのソフトウェア新製品の開発でセキュリティを最優先課題としたりなどだ。2003年には、企業が計画的にセキュリティアップデートを実施できるよう、毎月第2火曜日に最新パッチをまとめて公開する「Patch Tuesday」を開始した。

　以降、Microsoft製品のセキュリティは向上。同社の「セキュリティ開発ライフサイクル」（SDL： Security Development Lifecycle）は、安全なソフトウェアを開発するための指針として広く支持され、業界各社が手本とするところとなった。当時開発中だった「Windows Vista」や「Office 2007」などのセキュリティも劇的に向上した。

　だが最近の動きは、もはやMicrosoftにとってセキュリティが最優先事項ではないことを示唆している。

　2014年6月、Microsoftはセキュリティアドバイザリのメール配信サービスを休止すると発表した。伝えられるところでは、カナダで新たに施行されるスパム対策法への抵触を懸念しての措置だったという。同社はその後このサービスを再開したが、登録ページは非常に見つけにくくなっている。

　その後しばらくして同年7月、今度は意外な内容の論文を発表した。Microsoftの研究者はこの論文で、「重要な個人情報を保持していないWebアカウントには、弱いパスワードを使っても問題ない。その方が、本当に重要なWebサイト用に長くて強力なパスワードを数を絞って覚えられる」と指摘している。

　さらに同8月、アプリストア「Windows Store」で詐欺的なアプリが多数販売されていたとして、Microsoftは該当アプリを削除。同じ時期、セキュリティ更新プログラム「MS14-045」をインストールすると「死のブルースクリーン（BSOD： Blue Screen of Death）」と呼ばれる青いエラー画面が表示される問題が多発した。Microsoftはこのパッチをいったん取り下げ、修正版を作成して公開した。このトラブルを受け、セキュリティ組織「マイクロソフトセキュリティレスポンスセンター（MSRC）」のテスト工程や情報伝達体制を疑問視する声が数多く上がった。

　同9月には、今度はオンラインオフィススイート「Office 365」で利用できる新しいエンタープライズソーシャルメディアサービス「Office Delve」をめぐり、プライバシー面での懸念が持ち上がった。雇用主を内部告発しようと画策している人の情報が、うっかり漏れかねないといった懸念だ。数年前には、Microsoft製品がこうした基本的なセキュリティの問題に遭遇することはほとんどなかった。

　さらに同じく9月、MicrosoftのTrustworthy Computing部門の解体というショッキングなニュースも飛び込んできた。この解体は2100人のレイオフに伴うもので、Trustworthy Computing部門の従業員はエンタープライズ部門や法務部門に割り振られた。米TechTargetの元編集主幹デニス・フィッシャーがこの動きを「Microsoftの一時代の終わり」と評したのは、実に的を射た指摘だった。

　この組織再編を「社内の他の部門にもセキュリティを浸透させるための動き」と捉える向きもある。Microsoftの公式ブログでは、Trustworthy Computingの最高責任者であるスコット・チャーニー氏が自らこの決定の背景や状況を説明した。だがTrustworthy Computing部門がどれだけ成功していたかを踏まえると、この組織再編の意図はチャーニー氏の役割を縮小することにあるとしか考えられない。Microsoftのサトヤ・ナデラ現CEOが、かつてゲイツ氏の下でセキュリティ対策を推進していた前CEOのスティーブ・バルマー氏ほどセキュリティを重視していないことは、この件からも明らかだ。

　もはやMicrosoftにとってセキュリティが最重要課題ではないことは、それ以降の細かな決定にも現れている。MicrosoftはWebブラウザ「Internet Explorer」の今後のバージョンではオンライン行動履歴の追跡拒否機能「Do Not Track」をデフォルトでは有効にしないと発表した。その他、「Patch Tuesday」という呼び名を「Update Tuesday」に変更。さらに2015年1月には、月例パッチの概要を事前に通知する「Advanced Notification Service」（ANS）サービスの廃止を発表し、多くの顧客から批判を浴びた。

　セキュリティの重要性がかつてないほど高まっている今の時代、米Appleや米Google、米Amazon Web Servicesといった競合各社はいずれも競争の差異化要因としてセキュリティに多額の投資をしている。Microsoftだけが逆の方向を目指しているとは、実に不思議なことだ。

セキュリティは内容より形に重点？

　公平を期すために言えば、Microsoftの最近の取り組みにはセキュリティ向上につながるものがないわけではない。同社はバグ報奨金プログラムを立ち上げた他、Internet Explorerの古い脆弱なバージョンをサポートの対象外としたり、セキュリティリスクを抱えるActiveXコントロール（Internet Explorerのアドオン）をブロックしたり、脆弱性緩和ツール「Enhanced Mitigation Experience Toolkit（EMET）」の新版をリリースしたりもしている。もちろん、月例パッチの提供も続けている。

　それでも最近のMicrosoftには、セキュリティの内容よりも形に重点を置くきらいがある。時折ボットネットを遮断しては直ちにプレスリリースを発表するというのは、業界リーダーにふさわしい姿勢とはいえない。デジタルの世界で自社の力を誇示しているだけだ。

　Microsoftは、自社のセキュリティ対策は依然として強固だと強く反論するかもしれない。だが口で言うだけなら簡単だ。本当にセキュリティを適正に重視しているというのなら、確かな証拠が欲しいところである。例えば、セキュリティ分野でリーダーシップとイノベーションを継続するための製品戦略、社内に新風を吹き込んでくれる高名な人材の引き抜き、パッチ開発プロセスの改善といったことだ。あるいは、セキュリティ業界最大級のイベント「RSA Conference 2015」のような場で、ナデラ氏がチャーニー氏と共に壇上に立ち、セキュリティ戦略について語るのでもいい。

　だが少なくとも今のところ、こうしたことは1つも起きていない。これまで「セキュリティの手本」としての立場を一から築き上げてきた企業が、業界が最もセキュリティを必要としている今になって、そのリーダーシップを手放そうとしているとは、何と皮肉なことだろう。

　こうなったら、ゲイツ氏に再び筆を取ってもらう（キーボードの前に座ってもらう）しかない。ゲイツ氏からのメールが、今また必要とされている。