تطبيق مبادئ Zero Trust على نشر Copilot لديك

By Mirko Peters · 2026-08-13

مرحبًا بعودتكم إلى المدونة المرافقة للبودكاست! مع سعي المؤسسات المتسارع لتبني الذكاء الاصطناعي التوليدي، غيّرت أدوات مثل Microsoft 365 Copilot جذريًا طريقة تفاعلنا مع بيانات مكان العمل…

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم إلى المدونة المرافقة للبودكاست! مع سعي المؤسسات المتسارع لتبني الذكاء الاصطناعي التوليدي، غيّرت أدوات مثل Microsoft 365 Copilot جذريًا طريقة تفاعلنا مع بيانات مكان العمل. غير أن الاستفادة من هذه الإنتاجية غير المسبوقة تتطلب إعادة تقييم جذرية لطريقة تأمين بيئاتنا الرقمية. في هذه المقالة نتوسع في حديثنا الأخير لنستكشف كيف يمكن لأطر الأمان الأساسية أن تحمي عملية نشر الذكاء الاصطناعي لديكم. وللتعمق في هذه المفاهيم مع خبير في القطاع، تابعوا الحلقة ذات الصلة Microsoft Purview for Copilot Security with Peter Rising [Microsoft].

مقدمة إلى Zero Trust ونشر Copilot

عندما تُدخل مساعدًا للذكاء الاصطناعي إلى المستأجر لديك، فأنت تمنح عمليًا وكيلًا آليًا وصولًا تفاعليًا إلى كل ما يستطيع مستخدموك رؤيته. ومن دون ضوابط حماية مناسبة، قد تتحول القدرة الكامنة في الذكاء الاصطناعي التوليدي بسرعة إلى مصدر خطر، فتكشف الملفات المشتركة أكثر من اللازم، وثغرات الأذونات القديمة، والبيانات الحساسة لأشخاص غير مصرح لهم بالاطلاع عليها. وهنا يصبح نموذج Zero Trust أمرًا لا غنى عنه. فبدلًا من الثقة بكل ما هو داخل شبكة الشركة افتراضيًا، يُلزمنا Zero Trust بالتحقق المستمر من كل عملية، وتقييد الوصول إلى الحد الأدنى الضروري فقط، والعمل انطلاقًا من افتراض ثابت بأن الاختراق قد يحدث في أي وقت. إن تطبيق هذا الإطار على نشر Microsoft 365 Copilot لديكم يضمن ألا يسبق الابتكارُ الأمنَ أبدًا.

فهم المبادئ الأساسية: التحقق الصريح، وأقل الامتيازات، وافتراض الاختراق

لتأمين بيئة عمل يقودها الذكاء الاصطناعي بنجاح، يجب أن ترتكز استراتيجيتكم على الركائز الثلاث الأساسية لـ Zero Trust:

• التحقق الصريح: التحقق من الهوية والتفويض استنادًا إلى كل نقاط البيانات المتاحة، بما يشمل هوية المستخدم، والموقع، وسلامة الجهاز، والخدمة أو عبء العمل، وتصنيف البيانات، والحالات الشاذة. وفي سياق Copilot، يعني ذلك التأكد من أن كلًا من المستخدم الذي يوجّه المطالبة إلى الذكاء الاصطناعي ومصادر البيانات الأساسية التي يُستعلم عنها مصادَق عليهما ومتحقَّق منهما بصرامة.
• الوصول بأقل الامتيازات: تقييد وصول المستخدمين باستخدام نماذج الوصول حسب الحاجة الفورية (JIT) والوصول بالقدر الكافي فقط (JEA)، والسياسات التكيفية القائمة على المخاطر، وحماية البيانات. وفي سياق Copilot، يكتسب هذا المبدأ أهمية حيوية لأن الذكاء الاصطناعي يرث أذونات المستخدم. فإذا كانت أذونات المستخدمين مفرطة، فسيقوم Copilot بتوليف البيانات وعرضها بكل سهولة، بما في ذلك بيانات لا يُفترض أن يكون لهم حق الوصول إليها في البحث التقليدي عن الملفات.
• افتراض الاختراق: تقليص نطاق الضرر من خلال تجزئة الوصول حسب الشبكة والمستخدم والأجهزة ووعي التطبيقات. شفّر البيانات من طرف إلى طرف، واستخدم التحليلات لاكتساب الرؤية، واكتشاف التهديدات، والتحسين المستمر لدفاعاتك. وعند نشر الذكاء الاصطناعي، يجب أن تفترض أن الاستعلامات الحساسة أو هجمات حقن الأوامر الخبيثة (prompt injection) ستحدث، ما يستلزم آليات مراقبة وتدقيق قوية لرصد الحالات الشاذة ومعالجتها فورًا.

مخاطر الذكاء الاصطناعي التوليدي

إن إدخال أدوات الذكاء الاصطناعي التوليدي إلى منظومة المؤسسة يفرض مجموعة فريدة من التحديات الأمنية التي لم تُصمَّم أطر الأمان التقليدية للتعامل معها. ويُعد فهم هذه المخاطر الخطوةَ الأولى نحو بناء استراتيجية فعّالة للتخفيف منها.

تتصدر تهديدات أمن البيانات قائمة مخاوف قادة المؤسسات. فالإفراط في منح الأذونات منتشر في معظم بيئات السحابة، ما يُعرّض الملفات الحيوية للأعمال للكشف. وعندما يتفاعل المستخدمون مع مساعدي الذكاء الاصطناعي، قد يؤدي مستودع مستندات ضعيف التأمين إلى تلخيص سجلات الموارد البشرية الحساسة، أو جداول البيانات المالية، أو الشيفرة المصدرية الخاصة، وتقديمها في واجهة محادثة عابرة. وإضافةً إلى ذلك، قد يحدث تسريب للبيانات عبر تكاملات واجهات برمجة التطبيقات غير السليمة، أو الاستخدام غير المراقب لأدوات الذكاء الاصطناعي غير المعتمدة، أو هجمات حقن الأوامر المتقدمة المصممة لخداع النموذج وتجاوز مرشحات الأمان الخاصة به.

تزيد التحديات المتعلقة بالامتثال من حدّة هذه المخاطر التقنية. فالمؤسسات ملزمة بالالتزام بلوائح إقليمية وقطاعية صارمة تتعلق بخصوصية البيانات وإقامتها واستخدام الذكاء الاصطناعي وفق معايير أخلاقية. ويعالج الذكاء الاصطناعي التوليدي كميات ضخمة من البيانات غير المهيكلة في الوقت الفعلي، ما يجعل الحفاظ على سجل تدقيق واضح أمراً بالغ الصعوبة من دون أدوات متخصصة. وإضافةً إلى ذلك، تتزايد مخاطر المستخدمين الداخليين بشكل متسارع؛ فقد يلصق موظف دون قصد ملكية فكرية سرية في طلب (Prompt) موجّه إلى أداة ذكاء اصطناعي خارجية، أو قد يعدّل وكيل مستقل ذو صلاحيات مفرطة سجلات تشغيلية حساسة دون رقابة بشرية كافية.

الميزات الأساسية لـ Microsoft Purview لأمان الذكاء الاصطناعي

ولحسن الحظ، لا يتعيّن عليكم مواجهة هذه التحديات المعقدة دون حماية. تُعد Microsoft Purview منصةً شاملةً وموحّدةً لحوكمة البيانات، صُممت لمساعدة المؤسسات على اكتشاف بياناتها وحمايتها وحوكمتها عبر بيئات السحابة المتعددة.

في صميم قدرات Purview الأمنية للذكاء الاصطناعي تقع تسميات الحساسية. تتيح لكم هذه التسميات تصنيف المستندات والرسائل الإلكترونية والدردشات بحسب أثرها على الأعمال ومستوى حساسيتها. وعند دمج Purview مع Microsoft 365 Copilot، يحترم الذكاء الاصطناعي هذه التسميات. فإذا وُسم مستند بأنه شديد السرية، يرث Copilot إعدادات الحماية هذه، فيمنع كشف المحتوى أو تلخيصه للمستخدمين غير المصرّح لهم.

يُعد منع فقدان البيانات (DLP) ركيزةً أساسيةً أخرى. تفحص نهج DLP في Purview المحتوى في الوقت الفعلي عبر خدمات Microsoft 365. فإذا حاول مستخدم إدخال بيانات مقيّدة في طلب Copilot، أو إذا أنتج Copilot مخرجات تتضمن معلومات حساسة تخالف سياسة المؤسسة، فيمكن للنظام حظر الإجراء فوراً. وبالاقتران مع إدارة دورة حياة البيانات القوية، وتسجيل التدقيق، وإمكانات eDiscovery، تضمن Purview أن تحافظ مؤسستكم على رؤية كاملة وتحكم شامل في تفاعلاتها مع الذكاء الاصطناعي.

إعداد Microsoft Purview لأمان Copilot

يتطلب تطبيق النظرية عملياً اتباع نهج منظم في إعداد بيئة Microsoft Purview. فتطبيق هذه الضوابط بشكل صحيح يضمن أن يكون إطلاق Copilot آمناً ومتوافقاً مع اللوائح منذ اليوم الأول.

ابدأوا بتفعيل تسميات الحساسية عبر مستودعات SharePoint وOneDrive لديكم. فمن دون هذه الخطوة الأساسية، قد يتمكن Copilot من الوصول إلى ملفات مشفّرة أو حساسة تفتقر إلى تصنيف بيانات وصفية مناسب. ثم استفيدوا من إدارة وضعية أمان البيانات (DSPM) للذكاء الاصطناعي لاكتشاف البيانات الحساسة غير المُدارة تلقائياً، وتطبيق توصيات الامتثال بنقرة واحدة. وقوموا بإعداد نهج DLP قوية لمراقبة بيئات الدردشة المؤسسية، ومنع الإرسال غير المصرّح به لأنواع البيانات الخاضعة للتنظيم.

المراقبة لا تقل أهمية. استخدموا لوحة معلومات Copilot وسجلات تدقيق Purview لتتبع مقاييس اعتماد المستخدمين، وسجل الطلبات، وأحداث الوصول إلى البيانات. توفر هذه الأدوات بيانات قياس حيوية تساعد فرق الأمان على رصد الحالات الشاذة، والتحقيق في المخاطر المحتملة الناتجة عن المستخدمين الداخليين، وتحسين نهج الحوكمة بمرور الوقت. وأخيراً، اقرنوا الإعداد التقني ببرنامج شامل للتدريب والتوعية للمستخدمين. فتثقيف موظفيكم حول هندسة الطلبات الآمنة، ومخاطر الذكاء الاصطناعي غير المُدار (Shadow AI)، وأهمية التعامل المسؤول مع البيانات الحساسة، يبني ثقافة مؤسسية تتمحور حول الأمان.

أمثلة واقعية: Microsoft Purview في الممارسة

تستفيد مؤسسات من مختلف القطاعات بالفعل من Microsoft Purview لتأمين عمليات نشر الذكاء الاصطناعي لديها وحماية أصولها الحيوية. ففي قطاع الخدمات المالية، تستخدم مؤسسات مثل British Columbia Investment Management Corporation (BCI) بنى Zero Trust إلى جانب أدوات حماية البيانات والتدقيق في Purview، لتحقيق التوازن بين الابتكار التقني السريع والامتثال الصارم للوائح التنظيمية.

في قطاع الرعاية الصحية، يجب على المؤسسات حماية المعلومات الصحية المحمية (PHI) بموجب أطر صارمة مثل HIPAA. ومن خلال دمج Microsoft Purview مع Copilot، يمكن لمقدمي الرعاية الصحية تصنيف بيانات المرضى تلقائياً، وتبسيط إعداد تقارير الامتثال، والتأكد من أن أدوات الذكاء الاصطناعي لا تعرض إلا السجلات الطبية المصرّح بها. وبالمثل، تستخدم المؤسسات الصناعية Purview لحماية الملكية الفكرية القيّمة، مثل تصاميم CAD والصيغ الهندسية، من خلال تطبيق تقسيم صارم للبيانات، ومصادقة متعددة العوامل، ونهج DLP آلية تمنع فهرسة الملفات الخاصة أو كشفها من قبل نماذج الذكاء الاصطناعي التوليدي.

أفضل الممارسات لحوكمة الذكاء الاصطناعي المستمرة

يُعد تأمين نشر Copilot مشروعًا مستمرًا وليس مهمة لمرة واحدة، بل هو التزام تشغيلي دائم. وللحفاظ على وضع أمني قوي مع تطور استخدامكم للذكاء الاصطناعي، اتّبعوا أفضل الممارسات الأساسية التالية:

• إجراء مراجعات دورية للنهج: تتغير تقنيات التهديدات بسرعة. جدولوا مراجعات ربع سنوية لتسميات الحساسية وقواعد DLP ونهج الوصول، بمشاركة فرق متعددة التخصصات تمثل تقنية المعلومات والأمن والشؤون القانونية ووحدات الأعمال.
• تعزيز التعاون بين الفرق: اكسروا الحواجز بين الأقسام. تأكدوا من أن مختصي الأمن ومسؤولي الامتثال ومسؤولي الذكاء الاصطناعي يعملون معًا لإرساء أطر حوكمة بيانات متسقة عبر جميع أحمال العمل في Microsoft وفي البيئات متعددة السحابات.
• أتمتة إدارة المخاطر: اعتمدوا على الأتمتة كلما أمكن ذلك. استخدموا المراقبة الفورية، وفرض النهج تلقائيًا، وإدارة وضع الأمان المدعومة بالذكاء الاصطناعي لاكتشاف الإفصاح المفرط عن البيانات والحد من المخاطر فورًا، دون الاعتماد على التدخل اليدوي وحده.

الأسئلة المتداولة

كيف تساعد Microsoft Purview في تأمين Copilot؟

توفر Microsoft Purview اكتشافًا موحدًا للبيانات وتصنيفها وضوابط حمايتها. ومن خلال تطبيق تسميات الحساسية ونهج DLP في الوقت الفعلي، تضمن Purview أن يحترم Copilot حدود الأمان المؤسسية، وألا يصل إلا إلى البيانات التي يُصرّح للمستخدمين بالاطلاع عليها.

هل يمكنني مراقبة نشاط Copilot باستخدام Microsoft Purview؟

نعم. تتضمن Purview إمكانات تدقيق قوية، وسجلات نشاط شاملة، ولوحات تحليلية مخصصة تتيح لفرق الأمن تتبع تفاعلات Copilot وسجل المطالبات وأحداث الوصول إلى البيانات ومقاييس الاعتماد.

ما أنواع البيانات التي يمكن حمايتها بتسميات الحساسية؟

يمكن تطبيق تسميات الحساسية على مجموعة واسعة من الأصول، ومنها مستندات Word وجداول Excel وعروض PowerPoint والرسائل الإلكترونية ودردشات Microsoft Teams والملفات المخزنة في SharePoint وOneDrive.

كيف تتفاعل نهج DLP مع Microsoft 365 Copilot؟

تفحص نهج DLP المحتوى في الوقت الفعلي. فإذا حاول مستخدم معالجة معلومات حساسة أو مشاركتها عبر Copilot بما يخالف قواعد الامتثال المؤسسية، يمكن للنظام إيقاف الإجراء أو حظره لمنع تسرب البيانات عن طريق الخطأ.

هل يلزم تدريب المستخدمين لتحقيق نشر آمن لـ Copilot؟

بالتأكيد. فالضوابط التقنية وحدها لا تمنع الخطأ البشري. ويضمن التدريب المنتظم والمخصص لكل دور أن يفهم الموظفون مخاطر حقن المطالبات والذكاء الاصطناعي الظلي (Shadow AI)، وممارسات معالجة البيانات السليمة.

يُعد تطبيق مبادئ Zero Trust من خلال Microsoft Purview الطريقة الأكثر فاعلية للاستفادة من القوة التحويلية للذكاء الاصطناعي التوليدي، مع الحفاظ على أمان بياناتكم المؤسسية وامتثالها. فمن خلال الجمع بين التحقق الصريح، ومبدأ أقل الامتيازات في الوصول، وعقلية افتراض حدوث الاختراق، يمكنكم بناء أساس مرن للإنتاجية الحديثة. ولاستكشاف هذا الموضوع بعمق والاستماع إلى رؤى الخبراء حول استراتيجيات النشر في الواقع العملي، استمعوا إلى الحلقة ذات الصلة: Microsoft Purview for Copilot Security with Peter Rising [Microsoft].