それは米国サイバー安全審査委員会（CSRB）による厳しい報告があったからだ。この報告は、国家に関連する脅威グループによって2023年夏に「Microsoft Exchange Online」が攻撃された事件を受けて、CSRBがMicrosoftのセキュリティ文化を分析したものだ。この報告書に対応してスミス氏は議員たちの前で証言した（注2、注3）。

　公聴会においてスミス氏は、「従業員がセキュリティに懸念を感じたときに、声を上げることを奨励するようにMicrosoftの企業文化を変えようとしているかどうか」について繰り返し質問された。

　質問に対して、スミス氏は「私たちは全ての従業員が問題を探し、問題を見つけ、報告し、解決する手助けをして、問題から学ぶことを奨励する文化を目指している」と答えた。

　スミス氏によると、デジタルテクノロジー史上最大となるセキュリティに焦点を当てたエンジニアリングプロジェクトに取り組んでいるという。プロジェクトには3万4000人以上のフルタイムのエンジニアが関与しているとした。

　Microsoftは上級幹部の年間賞与の一部をサイバーセキュリティの実績に連動させる計画も承認した（注4）。新しい会計年度が始まる2024年7月1日以降、上級幹部の賞与に占める個人業績部分の評価の3分の1は、サイバーセキュリティに関連する個人業績に基づいて決定される。

　全従業員を対象とした年2回の業績レビューにもセキュリティ関連が含まれるように変わる。

GoogleやAppleに劣るMicrosoft

　サイバーセキュリティ事業を営むProofpointのライアン・カレンバー氏（最高戦略責任者）は、今回の公聴会で「AppleやAmazon、Googleなどの同業他社と比較して、Microsoftが製品のセキュリティを後回しにしてきたことに対する長年の懸念が明らかになった」と述べた。

　「Microsoftは設計上安全な製品を作ることよりも製品間の相互接続性を重視した。そのためセキュリティリスクを分離することができず、自ら作り出したセキュリティリスクを膨らませ続けている」（カレンバー氏）

　調査報道を特徴とする「Pro Publica」が報じた告発者による報告を受けて（注5）、スミス氏は2024年6月13日にさらなる批判を浴びた。本告発者によると、SUNBURST攻撃につながる脆弱（ぜいじゃく）性について、Microsoftは自社のエンジニアのアンドリュー・ハリス氏から何年にもわたる警告を受けていたにもかかわらず、それを無視していたという。なお、ハリス氏は2020年にMicrosoftを退職し（注6）、同業他社のCrowdStrikeに入社した。

　公聴会でスミス氏は「ホワイトハウス（米連邦政府）を訪問しており、Pro Publicaの報告書を確認する機会がなかった」と述べた。

　「製品のセキュリティに影響を与える類似の脆弱性があるかどうか認識しているか」を尋ねられると、スミス氏はそのような事実はないとしながらも、「私たちは発見可能な全ての脆弱性を見付けるために全力で取り組んでいる。Microsoftは、従業員がこれらの懸念を積極的に提起できる環境作りに取り組んでいる」と述べた。