مخاطر أمان بيانات Copilot: حماية بيئة Microsoft 365 الخاصة بك

By Mirko Peters · 2026-02-25 · Updated 2026-03-24

مخاطر أمان بيانات Copilot: حماية بيئة Microsoft 365 الخاصة بك. تعرّف على المخاطر الأمنية لوصول Microsoft Copilot إلى بيانات المؤسسة الحساسة. اضمن حماية البيانات في Microsof

Automatically translated with AI from the original post. Read the English original

تُغيّر Microsoft Copilot طريقة عمل المؤسسات، لكن مع القدرات الكبيرة للذكاء الاصطناعي تبرز حاجة ملحّة إلى أمان قوي. فبينما يتعمّق Copilot في مستندات الشركة ورسائلها البريدية ومحادثاتها لإنشاء الملخصات والمسودات المفيدة، تظهر مخاوف جديدة تتعلق بكشف البيانات إلى السطح. فقد تتعرض بيانات الأعمال الحساسة، مثل السجلات المالية ومعلومات العملاء وبراءات الاختراع، للخطر إذا لم تُحكم إعدادات أمان Copilot بإحكام.

المسألة لا تقتصر على المتسللين. أحياناً يكون الخطر من أشخاص نثق بهم أصلاً، مثل المتعاقدين والمستخدمين الذين يملكون أذونات أوسع من اللازم، أو حتى خطأ بسيط في الإعدادات قد يترك باب الخزنة مفتوحاً على مصراعيه، فيجلب Copilot الملفات الخاطئة ويقدّمها لمن لا يجب. أمان Copilot لا يعني التحكم في الوصول فحسب، بل يشمل أيضاً "المجهولات غير المعروفة" في الذكاء الاصطناعي التوليدي، والتكاملات عالية المخاطر، والتشريعات التي تتغير بسرعة. وإن كنت تعمل في قطاع الرعاية الصحية أو المالية أو الحكومة، فالجهات التنظيمية تراقب طريقة تعامل مؤسستك مع تدفقات البيانات المدفوعة بالذكاء الاصطناعي. لذلك فإن فهم مخاطر أمان بيانات Copilot ليس مجرد ممارسة جيدة، بل ضرورة للامتثال واستمرارية العمليات والحفاظ على سمعتك دون تشويه.

يغطي هذا الدليل المخاطر الأمنية الأساسية المرتبطة بـ Copilot، ويزوّدك بطرق عملية مستمدة من الواقع لإدارتها: بدءاً من إعداد الأذونات الصحيحة، مروراً بالجاهزية التنظيمية ومنع فقدان البيانات، وحدود الإضافات، وتكنولوجيا المعلومات الظلية (Shadow IT)، والألغام التشريعية، وصولاً إلى استراتيجيات الحوكمة المجرّبة. كما ستتعرف على كيفية تحوّل الخطأ البشري وعيوب التصميم وثغرات المراقبة من أداة "ذكية" إلى مصدر صداع حقيقي لتسريب البيانات، وما الذي ينبغي فعله حيال ذلك بسرعة. هيّا نبدأ، ولنجعل Copilot يعمل لصالحك لا ضدك.

1. احتفاظ النموذج بالمطالبات: يمكن لأنظمة شبيهة بـ Copilot الاحتفاظ بمطالبات المستخدمين واستخدامها لتحديث النماذج أو ضبطها بدقة، ما يعني أن البيانات الحساسة التي تُرسل مرة واحدة قد تؤثر في المخرجات المستقبلية.
2. تسرب البيانات الخفي عبر الاقتراحات: قد تكشف اقتراحات الإكمال التلقائي عن غير قصد مقتطفات شيفرة مملوكة، أو مفاتيح واجهات برمجة التطبيقات (API)، أو منطق الأعمال، عندما تكون قد دُرّبت على مثل هذه البيانات أو تعرّضت لها.
3. تعرّض نافذة السياق: تزيد المحادثات الطويلة أو سياقات الشيفرة الطويلة من احتمال بقاء محتوى حساس سابق ضمن نافذة السياق النشطة، وقد يظهر لاحقاً.
4. مخاطر الإضافات الخارجية: قد تُدخل التكاملات والإضافات المستخدمة مع Copilot أسطح هجوم إضافية ومخاطر في سلسلة التوريد، تتجاوز الضوابط الأصلية للمنصة.
5. إعادة تحديد الهوية من الداخل: قد تُحلَّل البيانات الإجمالية للقياس عن بُعد أو سجلات الاستخدام، التي أُعدّت لأغراض التحسين، لإعادة تحديد هوية مستخدمين أو مشاريع بعينها، إذا لم تُجهَّل بالشكل الصحيح.
6. التلوث بين المستأجرين: في البيئات متعددة المستأجرين، قد تؤدي أخطاء الضبط في تدريب النماذج أو التخزين المؤقت إلى تأثير بيانات عميل ما في المخرجات الخاصة بعميل آخر.
7. التسريب عبر المحتوى المُنشأ: يمكن لجهات خبيثة صياغة مطالبات تدفع النماذج إلى إعادة كتابة أو استخراج أنماط حساسة من مدخلات سابقة، فتُسرَّب البيانات فعلياً عبر مخرجات تبدو سليمة.
8. نقاط عمياء في الامتثال والتدقيق: غالباً ما لا تراقب أدوات DLP وSIEM والتدقيق التقليدية الأنظمة الداخلية للنماذج أو خطوط توليد المحتوى، ما يخلق نقاطاً عمياء فيما يتعلق بالامتثال التنظيمي لمكان تخزين البيانات واستبقائها وحدود الغرض منها.

نظرة عامة على أمان Microsoft Copilot

يقع Microsoft Copilot عند تقاطع الإنتاجية والأمان في بيئة Microsoft 365 الخاصة بك. وهو ليس مجرد إضافة أخرى، فـ Copilot يتفاعل بعمق مع بيانات الأعمال الحساسة، ما يجعل وضعه الأمني جزءاً لا يتجزأ من ثقة المؤسسة. لا يمكنك تحمّل ما يعادل ترك المفاتيح عند الباب الأمامي في عالم الذكاء الاصطناعي، فأي نقاط ضعف تتضخم على نطاق واسع. ولحسن الحظ، دمجت Microsoft Copilot ضمن منظومة الأمان المؤسسية القائمة لديها، فيحصل المستخدمون على أساس مألوف مع بعض التغييرات الجديدة.

ليست أمان Copilot مسألة تتعلق بما تضيفه Microsoft إليه فحسب. فبنيته تعتمد على الضوابط المجربة والموثوقة المتوفرة أصلاً في Microsoft 365، مثل التحكم في الوصول استناداً إلى الأدوار، وإدارة الهويات، وأدوات حوكمة البيانات الشاملة. وهذا يعني أن Copilot لا يعيد اختراع منظومة الأمان لديك، لكنه يضعها على المسار السريع، لذا من المفيد أن تعرف كيف تتفاعل هذه العناصر مع الطريق. فهم كيفية عمل هذه المكونات معاً يساعدك على توقع المخاطر، ورصد الثغرات، والسماح لـ Copilot بثقة دون فتح صندوق باندورا. في ما يلي، سنتناول كيفية ارتباط Copilot مباشرةً بمنظومة أمان Microsoft 365، ونسلّط الضوء على بعض الحمايات الخاصة بالذكاء الاصطناعي التي وضعتها Microsoft.

كيف يتكامل Microsoft Copilot مع أمان Microsoft 365

صُمم Microsoft Copilot ليتوافق مع إطار أمان Microsoft 365 القائم، فيستخدم أدوات مثل Microsoft Entra لإدارة الهوية والتحكم في الوصول، وMicrosoft Purview لحوكمة البيانات والتدقيق. ويحترم Copilot نموذج الحد الأدنى من الامتيازات ومجموعات الأدوار المعتمد في مؤسستك، ما يعني أنه لا يطّلع إلا على البيانات التي يُسمح للمستخدم أو الخدمة بالوصول إليها أصلاً.

تخضع تدفقات البيانات عبر Copilot لضوابط أمان على مستوى المؤسسة، منها نهج Purview والمراقبة عبر سجلات التدقيق. وللإشراف المستمر والمعالجة السريعة، يمكن للمؤسسات توسيع نطاق DLP وتسميات الحساسية لتشمل المحتوى الذي يُنشئه Copilot، والاستفادة من المراقبة الفورية عبر أدوات مثل Purview Audit وSentinel. ويمكنك الاطلاع على مزيد من التفاصيل حول استراتيجيات الحوكمة المتقدمة في مصادر مثل هذا الدليل المعمّق وأفضل ممارسات الحوكمة المتقدمة.

أبرز ميزات أمان Copilot وضمانات الذكاء الاصطناعي

• إنفاذ الوصول السياقي: لا يمنح Copilot نفسه أي صلاحيات خاصة، فما يسترجعه يطابق الأذونات وحدود البيانات التي تحددها في Microsoft 365.
• عزل المستأجر: مثيل Copilot الخاص بك معزول ضمن مستأجرك، فلا تعبر البيانات حدود المؤسسات ولا تختلط ببيانات جهات أخرى.
• هندسة المطالبات الآمنة: تطبّق Microsoft فحص المطالبات والمرشحات لحجب الهجمات المعروفة، مثل حقن المطالبات، ومنعها من التأثير في نتائج Copilot.
• تسميات الحساسية وDLP: دعم مدمج لتسميات الحساسية في Purview وسياسات منع فقدان البيانات (DLP)، وتمتد هذه السياسات لتشمل المحتوى الذي يُنشئه Copilot.
• مراقبة النموذج المستمرة: تحليلات وعمليات تدقيق فورية تنبّه المسؤولين إلى النشاط المشبوه المدفوع بالذكاء الاصطناعي، وتتيح التحقيق السريع والمعالجة الفورية.

مخاطر أمان البيانات وثغرات Copilot

مثل أي نظام ذكاء اصطناعي مدمج في صميم أعمالك، يُدخل Microsoft Copilot مخاطر أمنية جديدة مرتبطة مباشرةً بطريقة تفاعله مع بياناتك الأكثر حساسية. الأمر لا يقتصر على احتمال تمكّن أطراف خارجية من الاختراق، بل يتعداه إلى الآثار المتتالية الناتجة عن الأذونات المطبّقة بشكل خاطئ، والمشاركة غير المرصودة، وهجمات جديدة تستغل الطريقة التي يتعامل بها Copilot مع الملفات ويُنشئها.

تنفرد أدوات Copilot وغيرها من أدوات الذكاء الاصطناعي التوليدي بمخاطر تتعلق بكشف البيانات عبر العمليات الآلية، وبثغرات محتملة في طريقة تواصل Copilot مع التطبيقات الأخرى. فقد تكون قد أحكمت تأمين محيط شبكتك، لكن نظام ذكاء اصطناعي بأذونات داخلية خاطئة أو نقاط تكامل غير محمية يمكن أن يتحول دون قصد إلى الحلقة الأضعف. ويزداد الأثر في بيئات Microsoft 365 المعقدة، حيث تضاعف الملفات المشتركة وTeams وواجهات برمجة التطبيقات المتصلة كلاً من سطح الهجوم واحتمال الأخطاء.

في الأقسام التالية، سنفصّل فئات المخاطر الأساسية، ومنها كيف يمكن لـ Copilot أن يكشف معلومات حساسة دون قصد، ومخاطر الاتصالات بالإضافات التابعة لجهات خارجية، والواقع التقني لتهديدات حقن المطالبات. كما سنستعرض استراتيجيات التخفيف العملية والسيناريوهات الشائعة لتعرف ما ينبغي البحث عنه، وكيف تتصرف قبل تفاقم المشكلات.

فهم مخاطر أمان Copilot وكشف البيانات

1. الأذونات غير السليمة والمشاركة المفرطة: عندما يعمل Copilot فوق Microsoft 365، فإنه يعكس الأذونات التي يملكها المستخدمون. فإذا كانت ضوابط الوصول واسعة أكثر من اللازم، يمكن لـ Copilot أن يسترجع الملفات الحساسة ويلخصها لمستخدمين لا يُفترض أن يطّلعوا عليها، وقد يكشف البيانات أحياناً من خلال مقتطفات أو ملخصات يُنشئها الذكاء الاصطناعي.
2. أخطاء في الإعدادات: خطأ بسيط في إعداد المستأجر أو في تصنيف معلومات منع فقدان البيانات (DLP) قد يكشف كميات كبيرة من المعلومات السرية. على سبيل المثال، إذا لم تُراجَع سجلات التدقيق ولم تُفرَض النهج، فقد يربط Copilot بين المستندات ويسرّب معلومات لم تكن مؤسستك تنوي مشاركتها أبدًا.
3. تكنولوجيا الظل وعمليات التكامل غير المعتمدة: يمكن للتطبيقات غير المعتمدة أو وكلاء الذكاء الاصطناعي المتصلين بـ Microsoft 365 أن يشكّلوا مخاطر جدية على البيانات. فرموز الوصول غير المصرّح بها أو الإضافات الخارجية قد تتجاوز الحوكمة بالكامل، ما يؤدي إلى تدفقات بيانات غير مرئية ومشكلات امتثال معقدة. للاطلاع على تحليل معمّق، راجع دليل حوكمة تكنولوجيا الظل هذا.
4. سلوك المستخدم والتسريبات غير المقصودة: قد يكشف الموظف بيانات حساسة دون قصد عندما يطلب من Copilot تلخيص مجموعات واسعة من المستندات أو سجلات المحادثات التي يملك حق الوصول إليها لكنه لا ينبغي أن يطّلع عليها. وتُعرف هذه المطالبات العرضية أحيانًا بـ«تسريبات صدى الذكاء الاصطناعي»، وهي يصعب رصدها إلا بعد وقوع الضرر.
5. غياب الحوكمة في الوقت الفعلي: تركّز كثير من عمليات نشر وكلاء الذكاء الاصطناعي على التسجيل فقط، لا على فرض الحوكمة لحظة تنفيذ الإجراء. وهذا يخلق إخفاقات صامتة ويحوّل ثغرات صغيرة في النهج إلى تسريبات بيانات واسعة النطاق، كما يوضح هذا البودكاست حول أفضل الممارسات.

تُظهر هذه المخاطر أن مراجعات الوصول الدورية، وإدارة الموافقات على التطبيقات، واستراتيجيات DLP المنظّمة ليست «أمورًا مستحسنة» فحسب، بل هي دفاعات أساسية حرجة.

ثغرات تكامل Copilot وهجمات حقن المطالبات

1. هجمات حقن المطالبات: يمكن للجهات الخبيثة التلاعب بالمطالبات المرسلة إلى Copilot، فتخدعه لكشف معلومات حساسة أو تنفيذ إجراءات غير مقصودة. وقد تأتي هذه الحقن من المستخدمين، أو من مصادر مخترقة، أو حتى من سيناريوهات «الحقن المتقاطع» حيث تتسرب بيانات من سياق إلى آخر.
2. هجمات عكس النموذج: قد يستغل المهاجمون نماذج الذكاء الاصطناعي في Copilot لإعادة بناء بيانات التدريب السرية أو استنتاجها، خاصةً إذا لم تكن الضوابط مُعدّة لتقييد مخرجات النموذج على الملفات الخاصة أو المحادثات الداخلية.
3. نقاط ضعف التكامل: قد تفتح اتصالات Copilot بالتطبيقات وواجهات البرمجة الأخرى الباب أمام هجمات تصعيد الامتيازات، خصوصًا إذا كانت موافقة OAuth متساهلة أكثر من اللازم. يمكن للمهاجمين استغلال أذونات Graph الواسعة، كما هو موضح بالتفصيل في أدلة مثل تحليل هجوم موافقة OAuth هذا، ما ينتج عنه وصول مستمر وغير مصرّح به حتى بعد تغيير بيانات الاعتماد.
4. مخاطر الإضافات من الجهات الخارجية: قد تُدخل أطر الإضافات الجديدة لـ Copilot مشاركةً غير معتمدة للبيانات مع خدمات خارجية إذا لم تُضبط حدود بياناتها بصرامة، ما يجعل فحص الإضافات والتدقيق المستمر أمرًا لا غنى عنه.
5. تلوّث البيانات الصامت: من دون تصنيف متين وعزل قوي على مستوى الموصّل أو البيئة، قد يُلوّث Copilot بيانات الأعمال بالبيانات غير المتعلقة بها، خاصةً عند العمل عبر Power Platform وTeams وSharePoint.

تعني أسطح الهجوم هذه أن المدافعين يجب أن يركزوا على الموافقة على الهوية، واعتماد الإضافات، ومراقبة التدقيق، وإبقاء وصول نماذج الذكاء الاصطناعي تحت رقابة مشددة في كل الأوقات.

التحكم في الوصول وإدارة الأذونات لـ Copilot

يُعد التحكم القوي في الوصول خط دفاعك الأخير، وأحيانًا الوحيد، ضد تسرب البيانات بشكل عرضي أو خبيث عبر Copilot. فبما أن الذكاء الاصطناعي يعمل كمساعد يستفيد من أذونات Microsoft 365 الخاصة بك، فإن أي ثغرات أو أدوار مفرطة في الصلاحيات قد تحوّل ميزة مفيدة إلى مصدر لكوابيس تنظيمية. يصبح الاطلاع على «من يستطيع رؤية ماذا» وإدارته أمرًا بالغ الأهمية.

تجعل المستأجرات الكبيرة على نطاق المؤسسات الأذونات هدفًا متحركًا، خاصةً مع الفرق المتغيرة باستمرار، والحسابات الضيفة، وتنقل الملفات بين الإدارات. ولضبط نهج وصول Copilot بشكل صحيح، لا بد من إحكام السيطرة على عضويات المجموعات، والوصول المبني على الأدوار، والسياسات المشروطة، والمراجعات المستمرة. وهذا يعني أنه لا يكفي الضبط مرة واحدة ثم النسيان، بل يجب إعادة النظر في هذه القواعد وتدقيقها بانتظام.

سنستعرض أدناه الخطوات العملية لضبط حدود وصول Copilot، ونتناول التحديات المرتبطة بـ Teams ومشاركة الملفات والتفاعلات بين المجموعات المختلفة. لمزيد من المعلومات حول تقليل الثغرات الأمنية غير المرئية من خلال سياسات أفضل، يمكنكم الاطلاع على مصادر مثل أفضل ممارسات الوصول المشروط ونصائح إدارة دورة حياة حسابات الضيوف.

تهيئة نهج متقدمة للتحكم في وصول Copilot

• الوصول القائم على المجموعات: امنحوا حقوق استخدام Copilot فقط للمستخدمين أو الأقسام الذين يحتاجون فعليًا إلى الميزات المدعومة بالذكاء الاصطناعي، وذلك باستخدام مجموعات الأدوار في Entra وضوابط Microsoft 365 الأصلية.
• نهج الوصول المشروط: استخدموا الوصول المشروط لربط استخدام Copilot بالأجهزة الآمنة والمواقع الموثوقة ومستويات المخاطر المعتمدة، لتحقيق أمان تكيّفي.
• فصل الامتيازات: طبّقوا ضوابط الوصول المستندة إلى الأدوار (RBAC) لمنح أقل قدر ضروري من الأذونات، بحيث لا يحصل Copilot أبدًا على وصول أوسع من وصول المستخدم الذي يعمل من خلاله.
• مراجعات الوصول الدورية: جدولوا مراجعات الأذونات الدورية وأتمتوها لمنع "تراكم الأذونات" الناتج عن الملفات القديمة أو المستخدمين الذين غادروا المؤسسة.
• مبادئ Zero Trust: أضيفوا طبقات من التحقق المستمر ورفع الصلاحيات عند الحاجة (Just-in-Time) للإجراءات الحساسة في Copilot. يمكنكم استكشاف مقاربات Zero Trust الموحدة في Zero Trust by Design.

أذونات Copilot عبر Teams والملفات المشتركة

1. حوكمة قنوات Teams: يحترم Copilot الأذونات المحددة على مستوى الفريق أو القناة. غير أن هياكل Teams سيئة الصيانة أو مستويات الوصول المسطحة قد تسمح للمستخدمين (وبالتالي لـ Copilot) بالوصول إلى محادثات أو مستندات سرية لم يكن من المفترض أن يطّلعوا عليها أبدًا.
2. SharePoint والوصول إلى الملفات: يلتزم Copilot بأذونات الوصول في SharePoint وOneDrive. ومع ذلك، عندما تُشارك الملفات بشكل مفرط أو تُخزَّن في مكتبات مستندات غير خاضعة للرقابة، يزداد خطر أن يلخّص Copilot ملفات حيوية للأعمال أو يعرضها على جمهور أوسع. للاطلاع على إرشادات عملية، راجعوا هذا الدليل حول Purview وSharePoint.
3. الضيوف والوصول الخارجي: قد يؤدي نسيان حسابات الضيوف وتعاون المستخدمين الخارجيين دون إدارة إلى توسيع نطاق وصول Copilot بعيدًا عن الحدود المقصودة، ما يرفع خطر تسرب البيانات الحساسة إلى بيئات شركاء أو أطراف خارجية.
4. إدارة دورة الحياة: يعتمد الاستخدام الآمن لـ Teams على إدارة دورة حياة آلية تشمل طلب الفرق واعتمادها وتجديدها وأرشفتها، لمنع الفرق المهجورة من أن تتحول إلى مصادر خطر أمني. للاطلاع على التفاصيل، راجعوا قائمة التحقق الخاصة بحوكمة Teams.

راجعوا فرق Teams ومواقع SharePoint بانتظام. صنّفوا البيانات الحساسة وطبّقوا حمايةً على الملفات المصدر، لمنع Copilot من أن يصبح قناةً لتسرب البيانات بين الفرق والأقسام أو الأطراف الخارجية.

الامتثال والمتطلبات التنظيمية في عمليات نشر Copilot

ليس سرًا أن المعايير التنظيمية تزداد صرامةً باستمرار، وأن قدرة Copilot على عرض البيانات الحساسة وتحليلها وإنشائها تجعل الامتثال في صدارة الأولويات لكل قطاع، وخاصةً الرعاية الصحية والمالية والمؤسسات العامة. فتلبية المتطلبات الصناعية لا تقتصر على وضع علامات في الخانات المطلوبة، بل تضمن تجنّب الغرامات الباهظة والأضرار الفادحة بثقة الجمهور.

في عمليات نشر Copilot، يعني الامتثال ربط نشاط الذكاء الاصطناعي بمتطلبات HIPAA وFINRA وGDPR وغيرها من القواعد المتعلقة بمكان تخزين البيانات ومدة الاحتفاظ بها. وتختلف المتطلبات بين المناطق، من الاتحاد الأوروبي إلى الولايات الأمريكية، فيما يخص مستوى فصل البيانات والإبلاغ عنها. وإذا خرجت بياناتكم عن الحدود المعتمدة، أو إذا كانت سجلات Copilot غير قابلة للتدقيق، فستكونون عرضةً للمخاطر.

ستتناول الأقسام القادمة تفاصيل تكتيكات الامتثال والفروقات التنظيمية، مثل كيفية حفاظ Copilot على الضوابط في القطاعات الخاضعة للتنظيم، وكيفية استيفائه لقوانين مكان تخزين البيانات الإقليمية. وستساعد هذه الاستراتيجيات مسؤولي الامتثال على تبرير اعتماد Copilot، واجتياز عمليات التدقيق، وترسيخ حوكمة استباقية. لمزيد من المعلومات، اطّلعوا على دليل أتمتة الامتثال في Defender for Cloud لمواكبة التغييرات المستمرة في الأنظمة.

ضمان امتثال Copilot في قطاعي الرعاية الصحية والمالية

• حماية HIPAA والمعلومات الصحية الشخصية (PHI): يجب أن يعمل Copilot ضمن حدود تحمي المعلومات الصحية الشخصية، مع سجلات تدقيق ومراجعات للوصول لكل تفاعل.
• ضوابط FINRA وGLBA وSOX: يوفّر الامتثال المدمج للوائح القطاع المالي أن يتم تسجيل المحتوى والسجلات التي يُنشئها Copilot والاحتفاظ بها، ويمكن تدقيقها عند الطلب. لمزيد من التفاصيل حول تحفظات الامتثال، راجع هذه الحلقة البودكاست حول انحراف الامتثال.
• قانون الذكاء الاصطناعي الأوروبي والاستخدام المسؤول: تشرف مجالس الحوكمة على الاستخدام المسؤول للذكاء الاصطناعي، وتربط المتطلبات بقانون الذكاء الاصطناعي الأوروبي، وتحافظ على ضوابط حماية للعدالة والشفافية، كما نوقش في أفضل ممارسات مجالس الحوكمة.
• القابلية للتدقيق وإعداد التقارير: يستفيد Copilot من Microsoft Purview لتسجيل دقيق للأحداث، مما يوفّر أدلة واضحة للجهات التنظيمية ويخفف ضغط مراجعات الامتثال.

فروق إقامة البيانات والأمان الإقليمي في Copilot

1. حدود معالجة البيانات: يخزّن Copilot بيانات المستأجر ويعالجها ضمن الحدود الإقليمية المحددة (الاتحاد الأوروبي وأمريكا الشمالية وغيرها)، بما يحترم الضوابط التنظيمية الخاصة بالموقع الجغرافي. وقد يؤدي عدم التوافق إلى مخالفة GDPR أو قوانين سيادة البيانات الأخرى.
2. سياسات الأمان الإقليمية: تختلف ميزات الأمان ومتطلبات التدقيق من منطقة إلى أخرى، ما يستدعي إعدادات مخصصة تتوافق مع التوقعات المحلية، مثل تشفير أشد صرامة أو نهج استبقاء أكثر تشددًا لأحمال عمل الاتحاد الأوروبي. لمزيد من المعلومات حول حوكمة البيانات الموحدة عبر المنصات، راجع Microsoft Fabric كمركز لحوكمة البيانات.
3. نقل البيانات عبر الحدود: انتبه للميزات أو الموصلات القديمة في Copilot التي قد تنقل مقتطفات من البيانات الحساسة أو تخزنها مؤقتًا خارج الأقاليم المعتمدة، مما قد يؤدي إلى مخالفات تنظيمية.
4. قوانين الولايات المتحدة الفيدرالية وقوانين الولايات: يجب أن تراعي عمليات نشر Copilot في الولايات المتحدة مجموعة متنوعة من قوانين الخصوصية على مستوى الولايات (مثل CCPA وNY SHIELD وغيرها)، وقد تتطلب أحيانًا إعدادات متقدمة على مستوى المستأجر والخدمة.

مراقبة Copilot بحثًا عن الحوادث الأمنية والاختراقات

المراقبة المستمرة مع Copilot ليست مجرد مصطلح رائج، بل ضرورة، نظرًا لحجم وسرعة قدرة الذكاء الاصطناعي على عرض المعلومات الحساسة أو نشرها. لا يكفي أن تعرف من وصل إلى ماذا فحسب، بل يجب أن تعرف أيضًا من اطّلع Copilot أمامه على لمحة من بياناتك الأكثر حساسية، ومتى حدث ذلك.

توفر بيئات Microsoft 365 الحديثة رؤية أعمق من أي وقت مضى، لكن Copilot يضيف تعقيدات جديدة مع سجلات يُنشئها الذكاء الاصطناعي، وتفاعلات غير متوقعة، واحتمال وقوع حوادث سريعة متتالية. لذلك تبرز أهمية أدوات الكشف القوية، والمعالجة الآلية، والتنبيه الاستباقي. فمن دونها قد تفوتك أمور تتراوح بين ملخصات بيانات مفرطة الحجم ومحاولات تسريب خفية مدفونة في سجلات المحادثات.

في الحلقات القادمة سنتناول تفاصيل الكشف عن حوادث Copilot الأمنية الخاصة به، والتنبيه إليها، والاستجابة لها، إضافةً إلى كيفية إبقاء دفاعاتك قوية من خلال اختبارات الأمان المنتظمة وتقييمات الموردين. ولمزيد من القراءة، تتناول الأدلة في أفضل ممارسات تدقيق Purview وشرح سلاسل الهجوم في M365 بالتفصيل كشف التهديدات واستراتيجيات الاستجابة للحوادث متعددة الطبقات.

الكشف عن الحوادث الأمنية في Copilot والاستجابة السريعة لها

• تسجيل التدقيق في الوقت الفعلي: استخدم سجلات التدقيق في Microsoft Purview لتتبع مطالبات المستخدمين في Copilot وردوده وعمليات جلب البيانات التي يقوم بها، بشكل شبه فوري، لتحقيق رؤية سريعة.
• تنبيهات الأمان الآلية: استفد من Microsoft Sentinel أو Defender للإشارة إلى أنشطة Copilot الخارجة عن المعتاد (مثل الارتفاع المفاجئ في تلخيص الملفات الحساسة)، وإعداد تنبيهات فورية.
• سير عمل المعالجة الفورية: ادمج أتمتة الاستجابة للحوادث التي تقفل الوصول، وتُلغي الجلسات، وتُبلغ أصحاب المصلحة عند وقوع أحداث مشبوهة في Copilot.
• المراجعة المستمرة للنهج: راجِع أنماط الحوادث وحسّن نهج منع فقدان البيانات (DLP) ونهج الوصول ونهج منح الموافقة للتطبيقات، حتى لا يكرر الذكاء الاصطناعي الأخطاء نفسها مرتين. لمزيد من التفاصيل حول أتمتة الامتثال، راجع المراقبة المستمرة باستخدام Defender for Cloud.

اختبار أمان Copilot وتقييمات الثغرات الأمنية

لا ينتهي الأمان عند تفعيل Copilot، بل هو عملية حية تحتاج إلى فحوصات منتظمة وتحقق مستقل. تُجري Microsoft وأطراف خارجية اختبارات اختراق وتمارين الفريق الأحمر (Red Teaming) وعمليات فحص مستمرة للثغرات الأمنية، لتحديد نقاط الضعف في معالجة Copilot للبيانات، وتكاملات الإضافات، ونماذج الذكاء الاصطناعي.

تُحفّز برامج مكافأة الثغرات القوية الباحثين الأمنيين على اكتشاف العيوب والإبلاغ عنها مباشرة إلى Microsoft، مما يقلل من خطر استغلال الثغرات غير المعروفة مسبقًا في بيئة الإنتاج. كما تساعدك المراجعات الداخلية المستمرة، مقرونةً بالأطر العملية الموضحة في حلقة حوكمة الذكاء الاصطناعي الظلي هذه، على رصد أخطاء الإعداد وأنشطة تقنية المعلومات الظلية، ولا سيما فيما يخص الوكلاء المستقلين والإضافات المتقدمة.

أفضل الممارسات والتوصيات لأمان Copilot

مع أخذ المخاطر وتعقيد Copilot في الاعتبار، فإن أفضل استراتيجية أمنية هي البدء بمجموعة واضحة من الممارسات والالتزام بها، حتى مع تطور عملية النشر. يُنظّم هذا القسم خطوات أمنية عملية، أساسية ومتقدمة، يمكن لكل مؤسسة تطبيقها فورًا. الأمر لا يتعلق بالتخمين، بل بتكتيكات مثبتة، وسياسات معتمدة من Microsoft، وخبرات عملية مستخلصة من مؤسسات تعمل في الميدان.

سنرتب الإجراءات الأساسية حسب مرحلة دورة الحياة، بدءًا من تهيئة المستأجر، مرورًا بتطبيق نهج DLP والحساسية، وصولًا إلى تدريب الموظفين والمسؤولين. والأهم أن الاستراتيجيات الواردة هنا تهدف إلى تقليل احتمالية وقوع الحوادث قبل حدوثها، مما يخفض مخاطر الاختراق والامتثال بشكل عام.

إذا كنت تتساءل كيف تنضج تبني Copilot دون التضحية بالسرعة، أو كيف تبني حوكمة مستدامة لا تعيق الإنتاجية، فالأقسام التالية تغطي ذلك. وإن أردت المزيد، فراجع دليل نهج حوكمة Copilot هذا ونصائح حول مراكز تدريب Copilot الفعّالة للحصول على إرشادات إضافية.

أفضل ممارسات وتوصيات أمان Copilot

1. فرض DLP وتسميات الحساسية: طبّق نهج DLP وتسميات الحساسية وحدّثها بانتظام عبر بيئة Microsoft 365 لديك لحماية المحتوى الذي يولده Copilot ويلخّصه. لمزيد من المعلومات، راجع رؤى حول نهج DLP للمطورين.
2. إعداد تدريب مستمر: درّب الموظفين على التعرف على المطالبات (Prompts) الخطرة والسلوكيات المشبوهة وأساسيات التفاعل الآمن مع Copilot. غالبًا ما يفشل التدريب التقليدي، لذا ينبغي تجميع المحتوى وإبقاؤه محدّثًا كما هو موضح في أفضل ممارسات مركز تدريب Copilot.
3. تجزئة وصول الذكاء الاصطناعي: ابنِ نماذج وصول قائمة على المجموعات والأدوار، بحيث لا يتجاوز Copilot أبدًا ما يحتاجه كل مستخدم. استخدم Entra أو Purview لتحديد النطاق بدقة، مع قصر التعرض للبيانات عالية الحساسية على من لديهم مبرر عمل.
4. أتمتة المراقبة والامتثال: استخدم Microsoft Sentinel وDefender وPurview Audit لنشر مراقبة آلية مع تنبيهات فورية ومعالجة تستند إلى النهج.
5. الحفاظ على حوكمة قوية: افصل طبقة التجربة عن مستوى التحكم، وطبّق نهجًا حتميًا لتقييم المطالبات، وتسجيل النية، وضمان الامتثال للنهج لحظة التنفيذ. راجع استراتيجيات حوكمة الذكاء الاصطناعي الآمنة لمزيد من التفاصيل حول هذا المبدأ.

استراتيجيات تقييم المخاطر وحوكمة بيانات Copilot

• تصنيف الحساسية: صنّف المحتوى الحيوي للأعمال مبكرًا، خاصةً في SharePoint وTeams، وطبّق حدود الوصول وتسميات الحساسية باستخدام Purview.
• DLP والمراجعة المنتظمة للوصول: جدوِل مراجعات دورية لنهج DLP وتقييمات الوصول لاكتشاف الأذونات القديمة أو غير المُدارة ضمن نطاق Copilot. هل تحتاج إلى انطلاقة سريعة؟ جرّب قوائم التحقق من البودكاست العملي حول الحوكمة.
• ضوابط دورة حياة المحتوى: راقب دورة حياة المستندات من الإنشاء حتى الأرشفة وفرضها، بما يقلل تهديدات المطلعين ويمنع "فوضى المستندات"، وراجع دليل التحكم في المحتوى باستخدام Purview للاطلاع على التفاصيل.

السياسات والمخاوف التشريعية المرتبطة بـ Copilot

مع انتشار Copilot على نطاق واسع، يتسارع اهتمام المشرعين في الولايات المتحدة وحول العالم بهذه التقنية، بما ينعكس مباشرةً على استراتيجية التبني والمخاطر الأمنية. وتكشف التحركات التنظيمية، ولا سيما في القطاع العام، عن المواضع التي يرى فيها المنظِّمون أكبر المخاطر، والمواضع التي قد تحتاج فيها المؤسسات الخاصة إلى تعديل مسارها.

يستعرض هذا القسم أثر الحظر الأخير، مثل حظر الكونغرس الأمريكي لـ Copilot، ويحلل تداعياته على سيادة البيانات ومتطلبات الامتثال وتخطيط المخاطر الاستراتيجية. وللاطلاع على رؤى أعمق في الحوكمة، راجع أطرًا مثل ضوابط حوكمة وكلاء الذكاء الاصطناعي، التي تساعد المؤسسات على مواجهة المتطلبات القانونية الناشئة والحفاظ على استمرارية العمليات.

حظر الكونغرس الأمريكي لـ Copilot وانعكاساته على الأمن

حظر الكونغرس الأمريكي مؤخرًا Microsoft Copilot على أجهزة مجلس النواب، مستندًا إلى مخاوف لم تُحسم بشأن أمن البيانات وخصوصية الذكاء الاصطناعي ومخاطر تدفق المعلومات دون حوكمة. ويعكس هذا الحظر توجهًا أوسع في القطاع العام، حيث بلغ التشكك في استخدام الذكاء الاصطناعي التوليدي لمعالجة البيانات الحكومية الحساسة أعلى مستوياته. وتُظهر دراسة أجراها Center for Data Innovation أن 61% من الجهات الحكومية ترى أن مخاوف خصوصية البيانات هي العائق الأول أمام تبني الذكاء الاصطناعي.

ترى الدراسات المتخصصة أن أنظمة الذكاء الاصطناعي مثل Copilot قد تجمّع المعلومات وتكشفها دون قصد، ما يجعل إدارة الوصول الدقيقة ومراجعة الطلبات (Prompts) أمرًا لا غنى عنه للجهات عالية الأمان. ويحذر مراقبو الصناعة، ومنهم من ظهروا في حلقة الحوكمة الخاصة بالوكلاء، من أن "عدم الاتساق البشري على نطاق واسع"، وليس الوكلاء المارقون المعزولون، هو الخطر الحقيقي في المؤسسات الكبيرة. فالأذونات المُعدّة بشكل خاطئ، وضعف حوكمة دورة الحياة، والتكاملات الجاهزة للتشغيل تتضخم جميعها بفعل أدوات الذكاء الاصطناعي، ما يرفع سقف المخاطر ويجعل الإشراف الفعّال ضرورة ملحّة.

ما الذي تعنيه هذه التطورات للمؤسسات؟ إن الحظر الحكومي يُنذر على الأرجح بتنظيمات مماثلة في القطاع الخاص تتعلق بالوصول إلى البيانات والشفافية والموافقة على تقنيات الذكاء الاصطناعي. وينبغي للمؤسسات أن تتوقع متطلبات تدقيق أشد، وضوابط استجابة سريعة، وأطرًا أوضح للمساءلة عن الوكلاء. ومواكبة هذه الاتجاهات تعني بناء هياكل حوكمة صارمة منذ الآن، قبل أن تتحول القواعد إلى إلزامات ويطرق المدققون الأبواب.

تكامل منع فقدان البيانات (DLP) مع Copilot

يُعد منع فقدان البيانات (DLP) الركيزة الأساسية لأمن المعلومات في أي بيئة عمل سحابية حديثة، وقد أصبح أكثر أهمية من أي وقت مضى مع أدوات الذكاء الاصطناعي التوليدي مثل Microsoft Copilot. فمع إنشاء Copilot للمستندات والرسائل الإلكترونية وردود المحادثات تلقائيًا، تحتاج إلى نهج تحمي المعلومات الشخصية القابلة للتعريف وبيانات الأعمال السرية من التسرب، سواء أكان ذلك مقصودًا أم غير مقصود.

غير أن دمج DLP مع Copilot أكثر من مجرد تفعيل إعداد واحد. فيجب على المؤسسات تصميم ضوابط فورية تفحص المحتوى الذي ينشئه Copilot، وتحجب المخرجات الخطرة، وتُطلق التنبيهات بمجرد رصد احتمال تسرب. ويكتسب ذلك أهمية بالغة، لأن معظم تسريبات البيانات لا تنتج فقط عن غياب قواعد DLP، بل عن بيئات تفتقر إلى الحوكمة، حيث قد يلخّص Copilot المعلومات الحساسة أو يعيد تغليفها أو يشاركها عن غير قصد. وللحصول على نصائح عملية، راجع استراتيجية DLP لمنصة Power Platform وإعداد DLP في M365.

تشرح الأقسام التالية طريقة عمل DLP مع المحتوى الذي ينشئه Copilot، وكيفية تطبيق مراقبة مستمرة وفورية لـ DLP، لضمان ألا تأتي إنتاجية الذكاء الاصطناعي على حساب أمان البيانات.

كيف تُطبَّق نهج منع فقدان البيانات (DLP) على المحتوى الذي يُنشئه Copilot

تفحص نهج DLP في Microsoft 365 بشكل فعّال المحتوى الذي يُنشئه Copilot، وتضع عليه علامة، ويمكنها حظره، سواء كان مستندًا أو بريدًا إلكترونيًا أو ملخصًا لمحادثة أو مقتطفًا مشتركًا. تتحقق هذه القواعد من وجود معلومات حساسة، مثل أرقام الضمان الاجتماعي والبيانات المالية وسجلات العملاء السرية، في أي محتوى ينشئه Copilot أو يلخّصه قبل تسليمه إلى المستخدمين أو مشاركته خارج الشركة.

يمكن للمسؤولين إعداد سيناريوهات استخدام يُفحص فيها ناتج Copilot تلقائيًا للتحقق من الامتثال. على سبيل المثال، إذا حاول مستخدم مشاركة ملخص مُنشأ بالذكاء الاصطناعي لجدول بيانات مالي عبر Teams، يمكن لـ DLP اعتراض المشاركة وحظرها وإرسال تنبيه إذا اكتشف أرقام بطاقات ائتمان أو مصطلحات سرية. ينبغي للمطوّرين التعامل مع DLP كقيد تصميمي لا كفكرة لاحقة، ويمكنكم الاطلاع على مزيد من أفضل الممارسات في دليل سياسات DLP لمطوّري Power Platform هذا.

المراقبة الفورية لـ DLP في تفاعلات Copilot

1. تدقيق المطالبات والردود: تفحص المراقبة الفورية لـ DLP كلًا من مطالبات المستخدمين وردود Copilot المُنشأة بالذكاء الاصطناعي، فتضع علامة على أي بيانات حساسة تظهر في سير العمل وتحظرها.
2. تنبيهات الحوادث والمعالجة الآلية: يتلقى مسؤولو الأمان تنبيهات فورية عن احتمالات تسرب البيانات، ويمكن للمسارات الآلية حظر المشاركة، أو عزل الملف، أو اشتراط موافقة المدير على المحتوى المُبلَّغ عنه.
3. التكامل مع أدوات إعداد التقارير: اربط سجلات DLP بـ Power BI أو بأنظمة SIEM لتحليل الأنماط، والتوصية بتعديلات على النهج، والإبلاغ عن الحوادث للإدارة العليا بكفاءة.
4. حوكمة بيئية موحّدة: اعتمد استراتيجية DLP شاملة عبر البيئات والموصّلات بدلًا من الاعتماد على قواعد معزولة، وإلا فقد تتسرب المعلومات عبر قنوات غير محمية. للاطلاع على إرشادات عملية، تعمّق في هذا البودكاست حول DLP في Power Platform.

تأمين تطبيقات الجهات الخارجية وإضافات Copilot

من أكبر محركات القيمة في Copilot، وفي الوقت نفسه من أكبر مضاعفات المخاطر، قدرتُه على التوسع والاتصال بإضافات الجهات الخارجية وواجهات برمجة التطبيقات وتطبيقات Copilot Connect. يتيح ذلك أتمتة سير العمل والحصول على رؤى جديدة، لكنه يفتح كذلك سطح هجوم واسعًا جديدًا إذا لم يُدَر بعناية.

التهديد ليس دائمًا إضافة خبيثة، بل التوسّع غير المقصود في نطاق وصول Copilot: إضافات تصل إلى بيانات أكثر مما تحتاجه، أو موردون يُمنحون أذونات على ملفات حساسة للأعمال دون تدقيق صارم. ومع لمس الأكواد والواجهات البرمجية الخارجية لملفاتكم ومحادثاتكم، تزداد مخاطر تسريب البيانات وهجمات سلسلة التوريد وفقدان السيطرة.

يتطلب تأمين تكامل الإضافات تدقيقًا صارمًا عند الإعداد، وضبطًا دقيقًا للأذونات، ومراقبة مستمرة، مع الموازنة بين الابتكار والإنتاجية ومبدأ Zero Trust. تشرح الأقسام القادمة أطر تقييم الإضافات والإشراف عليها، إضافة إلى الإجراءات التقنية لفرض حدود صارمة للبيانات. لمزيد من المعلومات، اطّلع على أفضل ممارسات Zero Trust مقابل حرية المستخدم للاطلاع على طرق تقليل الاحتكاك دون التفريط في الأمان.

تقييم أمان إضافات Copilot وإدارة المخاطر

• العناية الواجبة للإضافات: قيّم الإضافات من حيث السجل الأمني، وسمعة المورد، وشهادات الامتثال قبل ربطها بـ Copilot.
• مراجعات المخاطر الداخلية: أنشئ إطارًا منهجيًا لفرق تكنولوجيا المعلومات والأمان لتقييم كل إضافة والموافقة عليها، ويشمل ذلك نمذجة التهديدات وتحليل الأثر.
• الصلاحيات الدنيا وتقليل البيانات: قصر الإضافات على البيانات والإجراءات الضرورية للوظائف التجارية فقط، مع اعتماد مبدأ أقل الصلاحيات كسياسة معتمدة.
• عمليات التدقيق المستمرة: جدوِل عمليات تدقيق دورية لوصول الجهات الخارجية وأنماط الاستخدام وسلوك الإضافات، لرصد الحالات الشاذة أو المخالفات قبل تفاقمها.

التحكم في حدود الوصول إلى البيانات عند استخدام إضافات Copilot

يمكن للمؤسسات فرض إجراءات تقنية تحدّ بصرامة من البيانات المكشوفة لإضافات Copilot الخارجية، وذلك باستخدام أذونات واجهات برمجة التطبيقات ونطاقات الوصول الدقيقة. ويجب أن تُعتمد كل إضافة عبر دورة حياة محددة تشمل مراجعة فريق تكنولوجيا المعلومات والأمان، وتوثيق المبررات، وإعادة التحقق بشكل دوري.

يُعد مراقبة نشاط الإضافات في الوقت الفعلي أمرًا بالغ الأهمية، وذلك بتتبّع مصادر البيانات التي يتم الوصول إليها والإجراءات المتخذة. تعني مبادئ الحد الأدنى من الصلاحيات أن الإضافات لا يمكنها الوصول إلا إلى ما هو ضروري، لا أكثر ولا أقل. ويجب أن تقترن المراقبة المستمرة بسير عمل آلي للكشف، لرصد الطلبات أو المخرجات غير المعتادة، وتفعيل المراجعات فورًا أو حظر الوصول عند تجاوز الحدود.

تدريب الأمان في Copilot وبرامج توعية المستخدمين

على الرغم من القدرات التقنية الكبيرة لأمان Copilot، فإن العامل البشري هو غالبًا النقطة التي تحدث فيها الثغرات. فقد يتسرب البيانات المستخدمون دون قصد عبر المطالبات غير المُحكمة، أو قد يقعون ضحية لعمليات تصيد ذكية تتخفى في ردود مولّدة بالذكاء الاصطناعي. لذلك لم يعد التدريب الهادف وتوعية المستخدمين خيارًا، بل جزءًا أساسيًا من بناء عملية نشر آمنة لـ Copilot.

يجب أن تعلّم هذه البرامج ليس فقط كيفية استخدام Copilot، بل كيفية استخدامه بأمان، أي التعرف على الأنشطة المشبوهة، وفهم مخاطر الأسئلة واسعة النطاق أكثر من اللازم، والتمييز عندما يكون التفاعل المدعوم بالذكاء الاصطناعي متلاعبًا. تتناول الأقسام التالية تكتيكات الهندسة الاجتماعية الموجهة إلى Copilot، إلى جانب أفضل الممارسات في هندسة المطالبات للحفاظ على البيانات بعيدًا عن الأيدي غير المصرح لها. ولتحسين التبني وتقليل المخاطر، راجع دليل مركز تعلم Copilot المركزي هذا.

تدريب المستخدمين على التعرف على الهندسة الاجتماعية المدعومة بالذكاء الاصطناعي

1. المطالبات المشبوهة: علّم المستخدمين التوقف قبل إدخال مطالبات تبدو غير مألوفة، أو تطلب معلومات مفرطة، أو تأتي من شخص لا يعرفونه، فالذكاء الاصطناعي قد يُستغل لخداع حتى المستخدمين الموثوقين.
2. طلبات البيانات غير المتوقعة: لا ينبغي أن يطلب Copilot أبدًا بيانات اعتماد حساسة أو تفاصيل سرية لإنجاز المهام المعتادة؛ وإن فعل ذلك، فهذه إشارة تحذير من احتمال التلاعب بالمطالبات.
3. ردود مفرطة في المساعدة: إذا قدّم Copilot معلومات أو اقتراحات تتجاوز دور المستخدم أو أذوناته الفعلية، فينبغي تدريب المستخدمين على الإبلاغ عنها، وعدم تنزيل المخرجات أو مشاركتها دون تدقيق.
4. التصيد عبر الملخصات المولّدة بالذكاء الاصطناعي: احذر من الرسائل أو الملخصات المولّدة بالذكاء الاصطناعي التي تصل عبر Teams أو البريد الإلكتروني أو المحادثات، والتي تحث على اتخاذ إجراء سريع أو على الإفصاح عن بيانات بشكل غير معتاد، فقد تكون مصممة خصيصًا للهندسة الاجتماعية. لمزيد من المعلومات حول الحوكمة متعددة الطبقات، راجع توضيح ضوابط الحوكمة.

تمكين هندسة المطالبات الآمنة مع Copilot

• تشجيع المطالبات المحددة: درّب المستخدمين على تحديد طلباتهم بدقة، وتجنب الطلبات الشاملة مثل "كل مشاريع الشركة"، فذلك يحد من نطاق البيانات المعرّضة.
• تعزيز إخفاء الهوية: عند الإمكان، وجّه المستخدمين إلى تنقية المطالبات من الأسماء أو الأرقام أو السياق الحساس قبل إرسالها إلى Copilot.
• تعزيز حدود الوصول: استخدم مطالبات لا تسترجع محتوى خارج فريق المستخدم أو وحدته التجارية، ولا تكشف عنه.
• مراجعة المخرجات دائمًا: انصح المستخدمين بالتحقق مرة أخرى من ردود Copilot بحثًا عن أي بيانات غير مقصودة قبل مشاركة النتائج أو إعادة توجيهها.
• الاستفادة من موارد التعلم المركزية: استخدم مركز تعلم Copilot حوكميًا ومتجددًا باستمرار، كما هو موضح هنا، للحفاظ على وعي دائم بأمان المطالبات ومواءمته مع سياسات المؤسسة.

أمان Microsoft Copilot: الأمان والخصوصية لبيانات المؤسسات

استخدامات Microsoft 365 Copilot، وبيانات المؤسسة، وحدود بيانات الاتحاد الأوروبي

ما هي أبرز مخاوف أمان Microsoft Copilot المتعلقة ببيانات المؤسسات؟

تتركز المخاوف الرئيسية على الوصول غير المصرح به إلى البيانات، والكشف غير المقصود عن البيانات الحساسة، ونقاط التكامل مثل Microsoft Graph API وخدمات Microsoft 365 الأخرى. تقلق المؤسسات من أن Copilot قد يعرض بيانات المؤسسة عبر تطبيقات Microsoft 365 (مثل Word وOutlook) بطرق تنتهك سياسات حماية البيانات أو السياسات الداخلية. ينبغي على فرق الأمان تقييم تدفقات البيانات داخل منظومة Microsoft 365، ومراجعة شروط منتجات Microsoft وتفاصيل معالجة البيانات، واستخدام ضوابط الخصوصية مثل Microsoft Purview Information Protection للحد من المخاطر.

كيف يستخدم Microsoft 365 Copilot بيانات المؤسسة، وأي البيانات تتم معالجتها؟

تعالج Microsoft 365 Copilot بيانات مؤسسية مستمدة من خدمات Microsoft 365، بما في ذلك المحتوى المفهرس عبر Microsoft Graph والبيانات المخزنة ضمن حدود خدمة Microsoft 365. وقد تشمل البيانات المعالجة بيانات المستخدمين والمستندات والرسائل الإلكترونية والبيانات الوصفية المستخدمة في إنشاء الردود. توفر Microsoft توثيقًا يوضح البيانات التي تُعالَج وكيفية استخدامها، ويمكن للمسؤولين ضبط الإعدادات للحد من وصول Copilot إلى مصادر معينة، وتطبيق تصنيف البيانات من Microsoft Purview لحماية البيانات الحساسة.

هل يمكن لـ Copilot كشف البيانات الحساسة، وكيف نمنع تسرب البيانات؟

نعم، يمكن لـ Copilot إظهار البيانات الحساسة إذا كان لديه وصول إلى تلك المصادر. لمنع تسرب البيانات، فعِّل ضوابط الخصوصية، وطبّق تسميات حماية المعلومات من Microsoft Purview، وقيّد نطاق Copilot من خلال إعدادات المستأجر، وطبّق خيارات حدود خدمة Microsoft 365 وحدود بيانات الاتحاد الأوروبي حيثما تكون متاحة. راقب سجلات نشاط Copilot بانتظام، وطبّق مبدأ الحد الأدنى من الامتيازات على الأنظمة التي تغذي Copilot بالبيانات.

ما مخاطر الأمان المرتبطة بـ Microsoft Copilot، كما تُشرح لفرق الخصوصية والامتثال؟

تشمل المخاطر الإفصاح العرضي عن المعلومات الخاضعة للتنظيم، والاستدلال عبر المستأجرات على بيانات غير مصرّح بها، ونواقل الهجوم الجديدة المحتملة عبر الميزات المدعومة بالذكاء الاصطناعي. وينبغي لفرق الامتثال ربط تدفقات بيانات Copilot بالمتطلبات التنظيمية، مثل اللائحة العامة لحماية البيانات، وضمان إعدادات إقامة البيانات مثل حدود بيانات الاتحاد الأوروبي عند الحاجة، وتوثيق المعالجة وفق شروط منتجات Microsoft وبياناتها، واستخدام أدوات الأمان والامتثال عبر Microsoft 365 لفرض نهج الاستبقاء ونهج الوصول والتدقيق.

كيف تؤمّن فرق الأمان Microsoft Copilot مع تمكين المستخدمين من استخدامه؟

ينبغي لفرق الأمان الجمع بين الضوابط التقنية والحوكمة: ضبط نهج الوصول إلى Copilot، ودمج Microsoft Purview لحماية المعلومات وتسميات الحساسية، وفرض الوصول المشروط وضوابط الهوية، وتدقيق البيانات التي يتم الوصول إليها عبر Microsoft Graph. وقدّم تدريبًا للمستخدمين النهائيين حول مخاوف أمان Copilot، وطبّق نهج منع فقدان البيانات ضمن Microsoft 365، وجرّب الميزات في بيئات خاضعة للرقابة قبل التفعيل الواسع، لتحقيق التوازن بين الإنتاجية والحماية.

هل يؤدي استخدام Microsoft 365 Copilot إلى زيادة الثغرات الأمنية في Microsoft 365 Copilot، أم يُدخل أسطح هجوم جديدة؟

إدخال أي أداة ذكاء اصطناعي يُنشئ سطح هجوم جديدًا وتحديًا أمنيًا؛ فقد تكشف المطالبات الآلية السياق، وقد توسّع تكاملات الإضافات نطاق الوصول، وقد يحاول المهاجمون حقن المطالبات أو تسريب البيانات عبر المخرجات المُولَّدة. وتشمل إجراءات التخفيف تقوية التكاملات، ومراقبة القياسات عن بُعد لـ Copilot، وتطبيق ممارسات التطوير والإعداد الآمن، واستخدام إجراءات أمنية مثل DLP وضوابط الوصول وكشف التهديدات عبر Microsoft 365 للحد من التعرض.

ما دور Microsoft Graph في أمان Copilot، وكيف ينبغي للمؤسسات إدارته؟

يُعد Microsoft Graph القناة الرئيسية التي يصل من خلالها Copilot إلى البيانات المؤسسية، مثل البريد والملفات والتقويم وغيرها. والتحكم في أذونات Microsoft Graph أمر بالغ الأهمية: فرض أذونات واجهات برمجة التطبيقات بمبدأ الحد الأدنى من الامتيازات، ومراجعة الموافقات الممنوحة للتطبيقات، واستخدام حوكمة التطبيقات، وتدقيق الرموز المميزة والاستعلامات. قيّد نطاق Copilot بمصادر البيانات الضرورية فقط، واستفد من إعدادات Microsoft Purview وحدود خدمة Microsoft 365 للحفاظ على حماية البيانات وتقليل الوصول غير المصرّح به إليها.

كيف يمكن لضوابط الخصوصية وميزات الأمان والخصوصية أن تقلل مخاوف أمان Copilot المتعلقة بالبيانات الخاضعة للتنظيم؟

تساعد ضوابط الخصوصية، مثل تسميات الحساسية والتشفير ونهج الاستبقاء وحوكمة الوصول، في ضمان ألا يعالج Copilot المعلومات الخاضعة للتنظيم أو يكشفها. استخدم Microsoft Purview لحماية المعلومات، ومنع فقدان البيانات عبر Microsoft 365، وضبط قيود Copilot على مستوى المستأجر. وادمج ذلك مع مراجعات قانونية وتعاقدية لشروط منتجات Microsoft ومعالجة البيانات، واختر حدودًا مثل حدود بيانات الاتحاد الأوروبي عند الحاجة، لتلبية التزامات حماية البيانات الإقليمية.