微软的基本原则是，先从降低不可接受的严重风险入手，为此微软实施了三位一体的缓解办法：评估、改进已感染恶意代码的软件的隔离性和弹性，以及在环境中开发和实施控制来管理风险。
作为这种方式的补充，微软还基于支持自动化和关键业务方案的新型安全技术进行投资并开发新功能，以提升企业价值，这在以前是绝对不可能的。这种方法允许以一种全新的方式连接客户、与合作伙伴相集成和提高员工能力。
3.响应——为下一事件做好准备
虽然微软能够解决企业IT环境中的已知风险，但俗话说“没有绝对的安全”，而风险管理的原则也是永远会有新的安全问题不断涌现。出现这些问题的可能原因是IT环境的复杂性、应用程序和系统软件中的bug，或单纯的人为错误或疏忽。我们无法预测和预见到所有这些问题。但是，从其他事故和突发事件（包括自然灾害）中得到的经验教会我们充足的准备工作会为此类事件带来不同的结果。通过持之以恒的准备、操作、演练和测试，我们将能够有效地响应下一安全事件。
了解这些要求之后， 微软 建立了一些可供企业用来改进其内部安全备战状态的资源。其中包括：微软安全响应中心（MSRC：MICroSOFt Security Response Center）、MSRC日志、MSRC安全建议和MSRC安全公告。除利用MSRC信息服务外，企业安全经理还应涉猎其他的可用安全信息来源，如来自地方计算机紧急事件响应中心（CERT）组织的信息，以获得企业运作方面的最新安全状况观察。
