עבור רבים, Secure Score נתפס ככלי המושלם — "תורת ההקשחות המוחלטת" של מיקרוסופט.
בפועל, ציון גבוה אינו מעיד על חוסן מול תקיפה אמיתית. Secure Score הוא מנגנון מדידה סטטי בעל אופי רגולטורי-כללי, אך הוא לא נבנה ככלי ניהול פרויקטלי, אופרטיבי או מותאם אישית. ארגונים שמנסים לעבוד איתו כמערכת בלעדית מגלים מהר מאוד תסכול, עומס תפעולי וחורי אבטחה שנותרים פתוחים.
הנה הפערים המרכזיים שמסבירים מדוע Secure Score לא מספיק להקשחה אפקטיבית:
1היעדר התראות על רגרסיה ושינויים
Secure Score מציג תמונת מצב שמתעדכנת במחזורים של 24–48 שעות (ולעיתים יותר). אם מנהל תשתיות פתח גישה חריגה, ביטל חוק Conditional Access לצורך בדיקה, או אישר אפליקציית צד-שלישי מסוכנת — לא תקבלו על כך שום התראה. תהליך ההקשחה הופך ל"צעד קדימה, שניים אחורה" מבלי שאיש בארגון מודע לכך שנוצרה חשיפה.
2מדריכי תיקון כלליים שאינם הרמטיים
ה-Improvement Actions בפורטל מציעים הנחיות גנריות מאוד. הן מראות היכן נמצא המתג בפורטל, אך אינן מתייחסות לארכיטקטורה הייחודית של הארגון:
- הן לא מפרטות את חריגות החובה (Exceptions) הנדרשות כדי לא להשבית מערכות קריטיות, כמו חשבונות Break‑glass או Service Principals.
- הן לרוב מציעות יישום בסיסי שמותיר פרצות עקיפות, במקום הקשחה הרמטית מבוססת Best Practice.
- אין ניתוח מעמיק של השפעת השינוי על חוויית המשתמש והתהליכים העסקיים.
3היעדר התייחסות לזמן עבודה ומשאבים
Secure Score מציג את ההמלצות לפי נקודות טכניות, ללא כל קשר למאמץ הנדרש ליישום. כתוצאה מכך, צוותים נתקעים לעיתים שבועות או חודשים על הקשחה מורכבת שמעניקה 4 נקודות בלבד, בעוד שורה ארוכה של הקשחות קריטיות מסוג Quick Wins — שניתן היה ליישם בתוך שעה ולסגור וקטורי תקיפה משמעותיים — נדחקות הצידה.
4תעדוף מנותק ממפת האיומים הרלוונטית
הניקוד ב-Secure Score הוא מתמטי גרידא. הוא אינו משקלל אילו איומים פעילים כעת בעולם הסייבר (כגון מתקפות AiTM, גניבת Session Tokens או Consent Phishing) ואינו מתאים את קדימות הפעולות לרמת האיום האמיתית על הארגון שלכם. ההמלצות מוצגות כרשימת מכולת אחידה במקום תוכנית עבודה מונחית איומים (Threat-Informed Posture).
5חוסר יכולת לחלק לשלבים ולפרויקטים
הקשחה של טננט היא פרויקט תשתיתי לכל דבר. כשמביטים ברשימה של 60 המלצות ב-Secure Score, קל מאוד להגיע לשיתוק עבודה (Remediation Paralysis). הפורטל אינו כולל מתודולוגיה לחלוקת המשימות לשלבים הגיוניים, לשלבי הכנה (Pre-requisites) או לספרינטים מוגדרים, שמאפשרים לצוות להתקדם בהדרגה מבלי לזעזע את הסביבה.
6אפס יכולות ניהול משימות וצוות
ב-Secure Score אי אפשר לשייך משימה למיישם ספציפי, לקבוע תאריכי יעד, לנהל דיון על ממצא או לעקוב אחר קצב ההתקדמות של חברי הצוות. התוצאה היא מעבר מסורבל לאקסלים ולמערכות ניהול משימות חיצוניות, שבהן הסטטוס מתעדכן ידנית ומנותק לחלוטין ממה שמוגדר בפועל בטננט.