قائمة التحقق من أمان Copilot لفرق تقنية المعلومات

By Mirko Peters · 2026-04-19

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Security Checklist for IT Teams

يُعد نشر Microsoft Copilot عبر مؤسستك مهمةً ليست بالبسيطة، وقد تكون المخاطر الأمنية حقيقية إذا تجاهلتَ خطوات أساسية. توضح هذه القائمة كل ما تحتاجه فرق تقنية المعلومات لترسيخ استخدام Copilot بإحكام ضمن أطر الأمان والامتثال التي بنيتموها على Microsoft 365 وAzure. ستتعرّف على كيفية تأمين الهوية والأذونات والبيانات الحساسة قبل أن يصبح Copilot متاحاً للمستخدمين. ومن عقبات الترخيص إلى استراتيجيات المخاطر المتقدمة، ستجد نصائح خطوة بخطوة للوقاية من تسرب البيانات والحفاظ على الامتثال، بما في ذلك ممارسات لا تتناولها معظم الأدلة الأخرى. هيّا نُحكم تأمين إطلاق Copilot بإحكام، دون اختصارات ودون مفاجآت.

ضوابط الأمان الأساسية لجاهزية Microsoft 365 Copilot

يبدأ تجهيز بيئة Microsoft 365 لاستخدام Copilot بالأمان في المقام الأول. قبل التفكير في تفعيل Copilot، يجب على المؤسسات معالجة الأسس المتعلقة بالترخيص وضبط الوصول ونظافة الأذونات. هذه ليست خطوات اختيارية، بل هي “ضروريات” تحافظ على بقاء بيانات فريقك في مكانها الصحيح.

تحتاج إلى التأكد من أن أساسك التقني يستوفي جميع متطلبات Microsoft، لأن تخطي خطوة ترخيص واحدة قد يفتح ثغرات وظيفية وأمنية في آنٍ واحد. وهناك أيضاً مهمة مهمة تتمثل في فرض مبدأ أقل الامتيازات على المستخدمين والأدوار، باستخدام أدوات مثل Entra ID لضمان ألا يملك أحدٌ وصولاً يفوق ما يحتاجه فعلاً. ولا تنسَ المخاطر الخفية في مواقع SharePoint القديمة أو الملفات المُشاركة بشكل مفرط، إذ تساعد عمليات تدقيق الأذونات على منع Copilot من استرجاع بيانات لا ينبغي أن يصل إليها.

بالتركيز على هذه الأسس أولاً، يبني فريق تقنية المعلومات خط أساس متين. فالأمر لا يقتصر على استيفاء المتطلبات الشكلية، بل يتعلق بإعداد ضوابط عملية وقابلة للتنفيذ تقلل التعرض للمخاطر وتحدّ منها. وعندما تكون مستعداً للمرحلة التالية، ستكون كل طبقة أمنية تليها أكثر متانة. لمزيد من المعلومات حول الحوكمة الفعّالة، اطّلع على هذا الدليل المتعمق، أو تعرّف على الضوابط القائمة على السياسات من خلال مصدر الحوكمة هذا.

التحقق من الترخيص التقني لنشر Copilot

قبل إطلاق Copilot، يجب التحقق من أن مستأجر Microsoft 365 مؤهَّل تقنياً. ابدأ بالتأكد من أن مؤسستك تعمل بمستويات الترخيص المطلوبة، إذ يتطلب Copilot عادةً خطط Microsoft 365 الأعلى مستوى. تحقّق مرة أخرى من موقع المستأجر، فبعض المناطق الجغرافية غير مدعومة دائماً. تأكد من ضبط جميع متطلبات الخلفية ذات الصلة، مثل موصلات Microsoft Graph، وتفعيلها. وإذا كان أي عنصر مفقوداً، فقد تُحظر ميزات Copilot، أو الأسوأ من ذلك، قد تبقى تغطية الأمان ناقصة. ويجب أن تكون مراجعة شاملة للترخيص والجاهزية التقنية أولى خطواتك في أي نشر لـ Copilot.

فرض أقل الامتيازات وضوابط أدوار قوية

راجع أدوار المستخدمين والمسؤولين في Entra ID (الذي كان يُعرف سابقاً باسم Azure AD). أزِل أي امتيازات زائدة، واقصر أدوار المسؤول على الأشخاص الأساسيين فقط.
دقّق عضويات المجموعات للتأكد من أن المستخدمين يرون فقط البيانات التي يحتاجونها فعلاً. فالمجموعات الواسعة أكثر من اللازم قد تمنح Copilot وصولاً غير مقصود إلى معلومات حساسة.
أجرِ مراجعات منتظمة لتعيينات الامتيازات وقواعد الوصول المشروط. فهذا يمنع السياسات من أن تصبح قديمة أو مثقلة بـ“دَيْن الهوية”، أي الاستثناءات التي نسيتها وقد تعود لتطاردك لاحقاً. لمزيد من المعلومات، استمع إلى استراتيجيات تشديد السياسات في هذا البودكاست حول Entra ID.
اعتمد طبقات من أدوات الأمان مثل Microsoft Defender for Office 365 وMicrosoft Purview لمراقبة إعدادات أقل الامتيازات وفرضها. وهذا يضمن ألا يؤدي فرض هذه القواعد إلى تعطيل تجربة المستخدم. اطّلع على المزيد من النصائح حول الموازنة بين الأمان وسهولة الاستخدام في هذا المصدر.

الإفراط في مشاركة الأذونات وتدقيق أذونات الأمان

تدقيق روابط المشاركة والأذونات الخارجية: تحقّق من جميع روابط المشاركة وأذونات وصول المستخدمين الضيوف في SharePoint وOneDrive وTeams. فالروابط المنسيّة قد تكشف أكثر مما تتوقع. للاطلاع على نهج عملي لاكتشاف مخاطر المشاركة الخارجية، تفضّل بزيارة هذا التحليل المعمّق.
مراجعة المحتوى القديم والمهجور: غالباً ما تحمل المواقع والمجلدات والملفات اليتيمة القديمة أذونات لم تعد تتوافق مع هيكل فريقك الفعلي. نظّفها قبل أن يعثر Copilot على ما لا ينبغي له الوصول إليه.
فرض الملكية والمساءلة: حدّد مالكين واضحين لمجموعات البيانات الحساسة حتى لا تضيع مراجعات الأذونات بين الثغرات، ولا تبقى ملفات بلا مسؤول معروف. تعرّف على أهمية حوكمة الوصول إلى البيانات القوية في هذا الرابط.
تقييد الوصول الواسع للمجموعات وتقليل تعقيد الأذونات القديمة: عالج أي وصول قديم أو واسع أكثر من اللازم قد يعكسه Copilot. فتقليص هذه الأذونات يجعل بيئة بياناتك بالكامل أكثر أماناً.

من خلال الحفاظ على وتيرة تدقيق منتظمة، يستطيع فريقك تقليص سطح الهجوم ومنع Copilot من كشف المعلومات دون قصد. ينبغي أن يصبح التدقيق المعزّز بالأدوات والأتمتة هو القاعدة لا الاستثناء.

حوكمة البيانات وإدارة الحساسية لـ Copilot

والآن بعد أن أصبحت أذوناتك تحت السيطرة، حان وقت تنظيم البيانات الفعلية التي يستطيع Copilot رؤيتها. فحوكمة البيانات ليست مجرد مصطلح رنّان هنا، بل هي المرشّح الذي يحدد بدقة ما يستطيع Copilot الوصول إليه أو تلخيصه أو توليده. وإذا كان محتواك فوضوياً أو قديماً أو سيئ التصنيف، فإنك تخاطر بمشاركة الأشياء الخاطئة في الوقت الخاطئ.

يتناول هذا القسم كيفية عمل Microsoft Purview والتصنيف الآلي وتسميات الحساسية معاً لبناء حدود بيانات سليمة. ستتعرف على أهمية تقسيم وحدات الأعمال، وتصنيف البيانات وفق درجة سريتها، وحظر المحتوى الخطر باستخدام قواعد DLP (منع فقدان البيانات)، خاصةً أن Copilot مصمّم لعرض مقتطفات وملخصات بطبيعته.

إن الحوكمة الصحيحة تعني قلقاً أقل بشأن ما قد يكشفه Copilot. فعندما تضع التسميات والقواعد مسبقاً، يصبح Copilot أداةً أكثر قابلية للتنبؤ وأقل خطورة. للمزيد من الاستراتيجيات حول عناصر التحكم المتقدمة في Purview وفرض DLP، اطّلع على دليل حوكمة Microsoft Purview هذا، أو استكشف بناء أساس ECM متوافق مع اللوائح عبر هذا البودكاست.

تنظيم البيانات وتصنيفها لوصول Copilot

جرد بياناتك باستخدام Microsoft Purview: ارسم خريطة لما لديك من بيانات، وأين تُخزَّن، ومن يملكها. فهذا الجرد يقلّل من المفاجآت.
تنظيف البيانات القديمة أو المكررة وأرشفتها: تخلّص من الملفات القديمة أو المهجورة أو المشاركة بشكل مفرط، حتى لا يستخرج Copilot وصفات طعام أحدهم من عام 2017.
أتمتة التصنيف عبر Purview وSharePoint: استخدم القواعد للوسم التلقائي للمحتوى حسب نوعه وحساسيته، فتهيّئ بيئتك بالكامل للتلخيص الآمن عبر Copilot. تعرّف على كيفية مساعدة حوكمة SharePoint السليمة في الجاهزية للذكاء الاصطناعي عبر هذا المرجع.

استخدام تسميات الحساسية للتحكم في تلخيص Copilot وعزل المستخدمين الحساسين

تطبيق تسميات الحساسية في Microsoft Purview: ضع وسوماً على رسائل البريد الإلكتروني والمستندات وقنوات Teams حتى يلخّص Copilot ما هو مصرّح به فقط. فالتسميات مثل "سري للغاية" يمكنها أن تمنع Copilot تماماً من الوصول إلى الملفات الحساسة.
تقسيم المستخدمين والمجموعات بالتصنيف المتقدم: حدّد قواعد وصول منفصلة لـ Copilot للفرق التنفيذية والقانونية والموارد البشرية أو أي مجموعة تحتاج إلى مستوى أعلى من الأمان. فهذا يمنع التداخل غير المقصود للمعلومات المقيّدة.
أتمتة فرض التسميات عبر DLP والسياسات القائمة على الأدوار: استخدم Purview لنشر التسميات وفرض القواعد عبر مختلف خدمات Microsoft 365، لضمان أن تكتسب جميع مخرجات Copilot القيود الصحيحة، فلا تبقى أي بيانات بلا تسمية.
دمج وسم الحساسية في برامج تدريب المستخدمين وأدلة الحوكمة: تأكد من أن وسم الحساسية ليس مسؤولية تقنية المعلومات وحدها، بل يحتاج الجميع، وخاصةً وحدات الأعمال عالية المخاطر، إلى إرشادات واضحة. تعرّف على كيفية تعزيز الأمان من خلال حوكمة فعّالة ومركز تعلّم في هذا الدليل.

للاطلاع على نصائح أعمق حول معالجة المحتوى الحساس وDLP في Power Platform، راجع مورد الحوكمة هذا.

تطبيق نهج DLP لمنع تسرب البيانات

نشر قوالب DLP المدركة لـ Copilot: قم بإعداد قواعد DLP تكتشف المحتوى الحساس وتمنع تلخيصه أو مشاركته عبر محادثات Copilot أو رسائل البريد الإلكتروني أو المستندات.
مراقبة الانتهاكات في سجلات DLP: راجع السجلات بانتظام بحثًا عن مؤشرات الإجراءات الخطرة التي يقوم بها Copilot، وعدّل النهج لمعالجة المشكلات المتكررة. تعرّف على المزيد حول إعداد DLP العملي في هذا الدليل.
دمج DLP مع Power Platform والبيئات الافتراضية: لأن معظم تسريبات البيانات تنشأ من الزوايا غير الخاضعة للحوكمة، فالإعدادات الافتراضية لا تكفي أبدًا. للاطلاع على خطوات أعمق في DLP، استمع إلى هذا البودكاست.

استراتيجية الإطلاق الآمن والتخطيط للمرحلة التجريبية

حتى مع توفر أفضل الضوابط، فإن أكثر الطرق أمانًا لإطلاق Copilot في مؤسستك هي اعتماد نهج مرحلي قائم على التجارب الأولية. فالاندفاع نحو نشر واسع النطاق قد يعرّضك لثغرات في الإعدادات، وسلوكيات غير متوقعة، وحدود أذونات لم تُختبر.

يشرح هذا القسم كيفية إعداد مرحلة تجريبية مُتحقَّق من مخاطرها، حتى تتمكن من تقييم كل من الوضع الأمني لـ Copilot والقيمة الفعلية للأعمال. ستجد خطة خطوة بخطوة مدتها أربعة أسابيع تغطي كل شيء، من الحصول على موافقة أصحاب المصلحة إلى تفعيل المراقبة والتدريب. والأهم من ذلك، ستتعلم كيفية تشغيل هذه الضوابط عمليًا، مع التأكد من أن التسجيل والتنبيهات والحوكمة تعمل بكفاءة قبل توسيع النطاق خارج مجموعتك الأولية.

يساعد هذا الأسلوب فريقك على اكتشاف المشكلات مبكرًا، وتحسين النهج، وتعديل طريقة التواصل، وذلك كله قبل أن ينضم إليه المئات (أو الآلاف) من المستخدمين. هل تريد تبنيًا أفضل، وفوضى أقل، وحالات طوارئ أمنية أقل؟ كل ذلك يبدأ بتجربة أولية محكمة التنفيذ. للمزيد حول التدريب الفعّال على Copilot ومراكز التعلّم، اطلع على هذا المورد.

تصميم التجربة الأولية لـ Copilot واختبارات التحقق من المخاطر

اختيار مجموعة تجريبية تمثيلية: اختر من 20 إلى 50 مستخدمًا من أقسام وأدوار مختلفة، مع الحرص على تضمين مستخدمي البيانات الكثيفة وأصحاب الامتيازات المرتفعة.
تصميم سيناريوهات اختبار قائمة على المخاطر: ابنِ سيناريوهات تختبر عمدًا استجابة Copilot لحدود الأذونات، واستعلامات eDiscovery، وطلبات المحتوى الحساس. لا تجمّل التجربة، بل اختبرها بقسوة.
مراقبة النتائج غير المتوقعة: استخدم هذه المرحلة لرصد المشكلات التي قد يُدخلها Copilot فيما يتعلق بالوصول والمشاركة وتنبيهات الامتثال.
تكرار تعديل الإعدادات والضوابط: اجمع ملاحظات مستخدمي التجربة وعدّل نهج Copilot قبل التوسع. يزيل هذا التخمين، ويمنح الجميع، من فريق الأمن إلى فريق الأعمال، حصةً في نجاح النشر.

خطة الجاهزية والإطلاق خطوة بخطوة على مدى 4 أسابيع

الأسبوع 1: مواءمة النطاق – حدد أهداف المشروع، واختر مستخدمي التجربة، وتأكد من جاهزية التراخيص والجوانب التقنية.
الأسبوع 2: الحد الأدنى من الوصول القابل للتطبيق – قيّد وصول Copilot، وأعدّ نهج DLP، وأحكم الحد من المشاركة المفرطة مع تفعيل المراقبة الأساسية.
الأسبوع 3: تجهيز أدوات التجربة – فعّل تسجيل التدقيق، وأعدّ مراقبة المطالبات والاستجابات، وراجع تفاعلات Copilot بحثًا عن المخاطر.
الأسبوع 4: توسيع مُتحكَّم به – زِد وصول Copilot بحذر، وعالج المشكلات، ووسّع دعم المستخدمين. كل مرحلة مبنية على الدروس المستفادة من الأسبوع السابق.

تشغيل ضوابط أمان Copilot قبل التوسع

تفعيل المراقبة المستمرة: تأكد من أن سجلات التدقيق، وتنبيهات DLP، وتطبيق الوسوم تعمل ويمكن مراجعتها في الوقت الفعلي.
ضع إيقاعاً منتظماً للتدريب على المستخدمين: ابدأ بتدريب أمني رسمي قبل توسيع الاستخدام، حتى يفهم الجميع القواعد الأساسية للعمل.
اختبر سير عمل الحوكمة وخطط الاستجابة: درّب فريقك على مراجعة التنبيهات والاستجابة للحوادث وتحديث نهج Copilot عبر تمارين عملية، وذلك قبل منح الوصول لجمهور أوسع.

وإذا كنت تبحث عن تفاصيل أوفى حول أتمتة الحوكمة أو تفعيل الضوابط عملياً، فيمكنك الاطلاع على مواضيع ذات صلة تم توجيهك إليها من مركز أتمتة PowerShell هذا (على الرغم من أن الصفحة الرئيسية غير متاحة حالياً، فستقودك إلى موارد محدَّثة).

المراقبة والتدقيق والامتثال لاستخدام Copilot

بمجرد تشغيل Copilot، ستحتاج إلى رؤية واضحة لكيفية استخدامه يومياً. فإعداد مراقبة قوية، وتسجيل تدقيق شامل، وتتبّع متين للامتثال يمثّل شبكة أمان لك، ويضمن أن يكون كل تفاعل مع Copilot قابلاً للتتبع والمراجعة.

يتناول هذا القسم كيفية تفعيل سجلات التدقيق والتحقق منها، بحيث تسجّل كل مطالبة (Prompt) وكل استجابة وكل عملية على البيانات تصدر عن Copilot. كما يشرح كيفية متابعة نشاط المشاركة، خاصةً عندما يتجاوز حدود المؤسسة إلى مستخدمين خارجيين أو ضيوف أو أجهزة غير مُدارة. وبتتبّع إشارات المخاطر بشكل فعّال وتطبيق إطار الامتثال لديك، ستكون مستعداً للتدقيقات ولأي مفاجآت تصاحب سير العمل الجديد المدعوم بالذكاء الاصطناعي.

الإشراف المركزي والموثّق ليس مجرد إجراء شكلي، بل هو ما يبني الثقة لدى القيادة والمستخدمين النهائيين والمدققين على حد سواء. ابدأ باستراتيجيات تدقيق على مستوى المستأجر من خلال مورد التدقيق في Purview هذا، أو تعرّف على الامتثال المستمر والمراقبة في الوقت الفعلي عبر Microsoft Defender for Cloud.

التحقق من تسجيل تدقيق Copilot ومراقبته

فعّل تسجيل التدقيق عبر جميع خدمات Microsoft 365 التي تتكامل مع Copilot. تأكد من أن السجلات تتتبع مطالبات Copilot ومخرجاته وأي أحداث للوصول إلى البيانات، فهذا أمر بالغ الأهمية للامتثال والتحقيقات الجنائية الرقمية. اجمع جميع سجلات التدقيق في منصة يمكن لفرق الأمان والامتثال الوصول إليها. وثّق إعدادات Copilot ضمن نهج التدقيق الرئيسي لديك، لضمان إمكانية تتبّع جميع التغييرات والأنشطة ومراجعتها في حال وقوع أي حوادث.

مراقبة مخاطر المشاركة والوصول الخارجي والحد منها

أعدّ تنبيهات لأي ملفات أو رسائل مفعّلة بخاصية Copilot تتم مشاركتها خارجياً، بما في ذلك الوصول للضيوف والأجهزة غير المُدارة.
راقب سلوك المستخدمين بحثاً عن تغييرات مفاجئة في الأذونات، أو ارتفاعات كبيرة في نشاط المشاركة، أو وصول مستخدمين لا يتعاملون عادةً مع مجموعات بيانات معينة.
أجرِ مراجعات منتظمة لملفات السجلات، واستخدم أتمتة PowerShell للتحليل المعمّق عند الحاجة. وللاطلاع على أطر تساعدك على اكتشاف المخاطر قبل وقوع الكارثة، راجع دليل أمان المشاركة هذا.

متطلبات الامتثال والخصوصية والمتطلبات القانونية لاستخدام Copilot

حدّد بوضوح الاستخدامات المقبولة لـ Copilot: ضمّن لغة الاستخدام المقبول لـ Copilot في سياسات الامتثال لديك، واجعلها جزءاً من التأهيل الأولي والمراسلات الداخلية.
اربط ممارسات Copilot بمعايير الخصوصية والتنظيم: تأكد من أن كل عمليات المعالجة المرتبطة بـ Copilot تتوافق مع القواعد الخاصة بالقطاع (مثل HIPAA وGDPR وغيرها) مع توقعات الخصوصية لدى المؤسسة.
أعدّ أدلة التدقيق والأطر الداعمة: كن مستعداً لإثبات ضوابط Copilot أثناء التدقيقات الخارجية، بما في ذلك الاحتفاظ بالسجلات وتوثيق الضوابط وأدلة سير العمل. ولفهم الفجوات الأعمق في الحوكمة، اطلع على هذا الشرح لانحراف الامتثال.
استجب بسرعة لأحداث الامتثال: إذا أدى إجراء من Copilot إلى حدث يمثّل خطراً، فانتقل فوراً إلى سير عمل مراجعة ومعالجة حوادث مُعتمد. هذا النهج الاستباقي يمنع تحوّل المشكلات الصغيرة إلى صداعٍ في التدقيقات.

القيادة والحوكمة واستراتيجيات تخفيف المخاطر

لا يكون أي مشروع Copilot آمنًا حقًا ما لم تشارك القيادة فيه بفاعلية منذ البداية. فالأمر ليس مشكلة تقنية فحسب، إذ إن مديري تقنية المعلومات، والفرق القانونية والامتثال، وقادة وحدات الأعمال، جميعهم معنيون بوضع الحدود وضمان استخدام Copilot بأمان وبصورة مناسبة.

يتناول هذا القسم قوائم مرجعية سريعة تحافظ على مساءلة الجميع، إلى جانب أسئلة صعبة ينبغي لكل قائد طرحها قبل النشر وبعده. كما ستجد عرضًا صريحًا للمخاطر الواقعية: حقن الأوامر (Prompt injection)، وتسرب البيانات غير المنضبط، والمزالق التي تعلمناها من الميدان. إن إشراك مجلس الحوكمة المناسب يوفر خط دفاع مدمجًا في مواجهة أخطاء الذكاء الاصطناعي المحتملة. لمزيد من المعلومات حول الحاجة إلى مجالس الحوكمة وضوابط الذكاء الاصطناعي المسؤول، اطّلع على هذا التحليل، أو تعرّف على دور بنية مستوى التحكم في هذه الصفحة.

مع بنية حوكمة قوية وأدوات عملية قابلة للتنفيذ، ستُهيئ مؤسستك للابتكار الآمن والامتثال المستدام.

قوائم مرجعية للقيادة والمالكين لجاهزية Copilot

التحقق التقني والترخيص: تأكد من أن البيئة تستوفي جميع متطلبات Microsoft Copilot، وأن التراخيص المناسبة مُعيّنة قبل الإطلاق.
موافقة مجلس الحوكمة: احصل على الموافقة من مجلس الذكاء الاصطناعي أو الامتثال أو المخاطر، مع التأكد من التوافق مع سياسات استخدام البيانات والخصوصية. لمعرفة أهمية هذه المجالس، اطّلع على هذه الحلقة.
التواصل مع أصحاب المصلحة والمستخدمين: أعدّ وشارك تحديثات واضحة مع المستخدمين توضح ماهية Copilot، ومخاطره، والطريقة المتوقعة لاستخدامه.
مساءلة المالكين: حدّد المالكين المسؤولين عن البيانات الحرجة، وإعدادات Copilot، والاستجابة للحوادث، فلا مجال للتخمين عند ظهور أي مشكلة.

أسئلة القيادة الرئيسية وتحديد الاستخدام المقبول

ما البيانات التي يستطيع Copilot الوصول إليها وما التي لا يستطيع؟ تأكد من أن الأمر ليس صندوقًا أسود، واطلب الشفافية من تقنية المعلومات ومن Microsoft عند تحديد الحدود.
من المسؤول عن إجراءات Copilot؟ لا يمكن أن تكون الملكية غامضة؛ فكل حادثة متعلقة بـ Copilot يجب أن يكون لها مستجيب محدد أو مالك أعمال معروف.
أين تكمن المزالق القانونية أو التنظيمية؟ اسأل عما يحدث إذا عالج Copilot محتوى خاضعًا للتنظيم أو أخرج مثل هذا المحتوى، وكيف يُوسم ذلك في إعدادات الامتثال لديك.
ما الذي يشكل إساءة استخدام لـ Copilot؟ صِغ بيانات "استخدام مقبول" بلغة واضحة يسهل على أي شخص اتباعها، وتجنب المصطلحات القانونية المعقدة قدر الإمكان. لمزيد من استراتيجيات الحوكمة، اطّلع على قائمة التحقق هذه لمرحلة الإطلاق.
كيف ستُتابع أحداث الحوادث أو الامتثال وتُعالج؟ تأكد من أن آليات المراقبة والإبلاغ ومسارات التصعيد ليست موثقة فحسب، بل جزء من سير عملك الفعلي.

المخاطر الأمنية وحقن الأوامر واستراتيجيات التخفيف

مخاطر حقن الأوامر: قد يصوغ المهاجمون أو المستخدمون أوامر مخادعة تستخرج معلومات حساسة أو تتجاوز ضوابط المحتوى. اختبر منطق Copilot دائمًا بسيناريوهات مفيدة وأخرى عدائية لاكتشاف الثغرات.
تسرب البيانات من ملخصات الذكاء الاصطناعي: بدون وسم دقيق وطبقات منع فقدان البيانات (DLP)، قد يلخص Copilot معلومات من مصادر مقيّدة أو يدمجها في مخرجات تتجاوز الضوابط التقليدية. للاطلاع على المخاطر الخفية في البيانات المشتقة، اقرأ دراسة الحالة هذه في الحوكمة.
وصول مفرط الصلاحيات: إذا كان لدى المستخدمين أو الوكلاء أذونات واسعة في Graph API، فقد يرى Copilot أكثر مما هو مقصود، خاصة مع انتشار المجموعات القديمة وفوضاها.
استراتيجيات التخفيف: ضع وسمًا افتراضيًا على جميع مخرجات الذكاء الاصطناعي، وقيّد التلخيص بأدنى مستوى صلاحيات ضروري، وراجع المحتوى المشتق بانتظام، وأضف بوابات مراجعة لمشاركة الدفاتر والمخرجات الكبيرة.
أبرز الدروس المستفادة: رأينا عمليات نشر تعثّرت بسبب المخرجات غير الموسومة، وسجلات التدقيق التي لم تُراجَع، وغياب دعم قادة الأعمال. تعامل مع Copilot كعنصر أساسي في هيكل الحوكمة لديك، ولا تعامله كتجربة تخص قسم تقنية المعلومات وحده.

أمان مطالبات Copilot وممارسات الإدخال الآمن لفرق تقنية المعلومات

لديك الأذونات والمراقبة والحوكمة قائمة، لكن لا تنسَ أن ما يكتبه المستخدمون في Copilot قد يحدد مستوى أمانك. فحقن المطالبات (Prompt injection) والمطالبات العدائية ومحاولات "كسر القيود" (Jailbreaking) قد تخدع Copilot فيكشف بيانات حساسة أو يستنتجها. معظم قوائم التحقق المنافسة تغفل هذا الجانب، مع أنه مصدر قلق متنامٍ بسرعة مع اتجاه المؤسسات الكامل نحو النماذج اللغوية الكبيرة.

يقدّم هذا القسم أسلوبًا جديدًا، إذ يمنح فرق تقنية المعلومات ضوابط استباقية لاكتشاف المطالبات الضارة أو المفرطة في الوصف وحجبها. كما ستتعرف على عناصر التدريب الفعّال للمستخدمين حتى لا يكشف أحد المعلومات الحساسة عن غير قصد. القواعد في تطور مستمر، ويجب أن يتطور معها دليل إدارة المطالبات لديك. لمزيد من المعلومات حول حوكمة السلوك الآمن لوكلاء الذكاء الاصطناعي، اطّلع على أفضل ممارسات الحوكمة هذه.

الحد من حقن المطالبات وكسر القيود في Copilot

مراقبة المطالبات المشبوهة أو العدائية: أعدّ أدوات تُبلغ عن الطلبات التي تحاول تجاوز قيود Copilot أو استخراج معلومات حساسة عبر صياغات غير مباشرة.
اكتشاف اختطاف السياق والاستغلال غير المباشر: علّم Copilot أن يرصد عندما تتضمن المدخلات تعليمات مضمّنة (مثل "تظاهر فقط بأنك لست مساعدًا...")، أو عندما تحاول هجمات المطالبات "ذات الاستخدام المزدوج".
تطبيق ضوابط متعددة الطبقات: قيّد سياق مطالبات Copilot ببيانات الجلسة النشطة فقط، وفرض حدودًا صارمة للذكاء الاصطناعي حيثما أمكن، ومنع دمج الملخصات عبر مجموعات البيانات. تعرّف على هوية الوكلاء وطبقات التحكم في الذكاء الاصطناعي المؤسسي من خلال هذه المقالة.

ممارسات المطالبات الآمنة وإرشادات تدريب المستخدمين

وضع إرشادات لكتابة المطالبات: درّب المستخدمين على تجنب إدخال البيانات الشخصية أو أسرار العمل أو المعلومات السرية ضمن مطالباتهم.
تقديم توعية أمنية مستهدفة: نظّم ورش عمل أمنية خاصة بـ Copilot، تعرض الأخطاء الشائعة ونماذج واقعية للاستغلال.
توفير قوالب مطالبات للسيناريوهات عالية المخاطر: زوّد المستخدمين بقوالب آمنة ومعتمدة، وحدّد بوضوح ما هو مناسب وما هو غير مناسب لطلبه من Copilot.
نهج التعلم المستمر: تساعد حلقات الملاحظات والاختبارات القصيرة والتدريب المصغّر على تعديل السلوك مع إطلاق ميزات Copilot الجديدة.

مخاطر تدفق البيانات عبر الخدمات وسياق Copilot

لا يقتصر Copilot على تطبيق واحد، بل يسحب السياق من Teams وSharePoint وOutlook وغيرها. ورغم أن ذلك مفيد جدًا للإنتاجية، إلا أنه يفتح مخاطر جديدة، خاصة عندما تنتقل المعلومات عبر ما يُفترض أن يكون حدودًا داخلية. فانتشار البيانات دون ضوابط قد يؤدي إلى تسرب غير مقصود للمعلومات الحساسة، إما بالاستنتاج أو بالإفراط في الكشف.

يتناول هذا القسم رسم خريطة سياق Copilot وتدقيقه ووضع ضوابط حماية حول طريقة دمجه للسياق عبر الخدمات. ستتعرف على استراتيجيات تضمن ألا يجمع Copilot عن غير قصد معلومات يجب أن تبقى منفصلة. ومع رسم خرائط بيانات قوية وطبقات متعددة لمنع فقدان البيانات (DLP)، يمكن للمؤسسات أن تُبقي Copilot مرنًا للمستخدمين دون المساس بالامتثال. للاطلاع على مخاطر البنى التحتية الضعيفة للبيانات وانهيارات الحوكمة، راجع هذه القصة التحذيرية عن الحوكمة.

رسم خريطة تدفق سياق بيانات Copilot والتحكم فيه عبر Microsoft 365

حصر البيانات التي يسحب منها Copilot: ارسم خريطة للتطبيقات (Teams وOneNote وOutlook وSharePoint وغيرها) التي يمكن لـ Copilot الوصول إليها، وللمجموعات أو الحسابات التي تتحكم في تلك الأذونات.
تحديد حدود التلخيص حسب وحدة الأعمال: قيّد دمج بيانات Copilot بالتركيبات المعتمدة مسبقًا، فلا خلط بين بيانات الشؤون القانونية وبيانات المبيعات، على سبيل المثال.
تفعيل ضوابط قائمة على النهج باستخدام Purview وConditional Access: استخدم التصنيف وDLP والمراقبة في الوقت الفعلي لمنع اختلاط السياقات دون تصريح. للمزيد حول تحقيق التوازن بين الأمان وسهولة الاستخدام في M365، اطّلع على هذا الدليل العملي.

منع كشف البيانات الضمني في الملخصات التي يُنشئها الذكاء الاصطناعي

التعرف على مخاطر الكشف المركّب: افهم كيف يمكن لمدخلات غير حساسة أن تكشف استنتاجات حساسة، فقد تكشف ملخصات Copilot التي تجمع بين محتوى التقويم والمعالم الزمنية للمشروع، عن غير قصد، أولويات مشروع مصنّفة على أنها سرية.
تطبيق طبقات DLP وتقسيم المحتوى: لا تعتمد على DLP التقليدي وحده؛ استخدم التقسيم القائم على الأدوار، وقيّد نطاق التلخيص ضمن إعدادات الذكاء الاصطناعي في Copilot.
تراكب النهج والتدقيق المنتظم: اختبر مخرجات Copilot بحثًا عن التسريبات غير المباشرة، وحدّث نهج DLP ونهج تسميات الحساسية لسد فجوات التغطية فور ظهورها.
تثقيف المستخدمين حول مخاطر الاستدلال المدفوع بالذكاء الاصطناعي: أدرج في التدريب أمثلة لاستعلامات تبدو بريئة وتؤدي إلى تسريبات بيانات غير متوقعة، لتعزيز الحاجة إلى إدخال المدخلات ومراجعتها بعناية.

إدارة أمان التطبيقات والإضافات من جهات خارجية مع Copilot

تتسع رقعة الهجوم عند ربط أدوات أو تطبيقات من جهات خارجية بـ Microsoft 365، و Copilot ليس استثناءً. فالتكاملات مع Salesforce وZoom وSlack، أو حتى موصلات Power Platform، قد تجلب مخاطر أمنية إن تُركت دون مراقبة.

يتناول هذا القسم كيفية تدقيق إضافات Copilot المفعّلة وفحصها، والتحقق من مخاطر الوصول إلى البيانات أو الأذونات القديمة التي قد تُورَث. كما ستتعرف على طرق لإيقاف تدفقات البيانات غير المقصودة بين Copilot وتطبيقات SaaS المتصلة، حتى لا يتلوث حد الامتثال لديك بسبب موصل واحد. للتعمق في حوكمة Power Platform والتحكم في مخاطر المطوّرين من غير المختصين، تفضّل بزيارة هذا المصدر.

تقييم مخاطر أمان إضافات الجهات الخارجية المفعّلة لـ Copilot

تدقيق جميع التطبيقات الخارجية المتكاملة مع Copilot: اجرد كل تطبيق أو إضافة متصلة بـ Copilot، ونفّذ مراجعة للأذونات وتدفقات البيانات.
إجراء تحليل مخاطر للوصول إلى البيانات ووراثة الأذونات: تحقّق مما إذا كانت أي إضافة توفّر صلاحيات أوسع لواجهة Graph API أو صلاحيات مسؤول، مما قد يرفع مستوى الوصول الممنوح لـ Copilot.
تحديث سير عمل اعتماد التطبيقات ومراجعتها: استخدم بوابة Microsoft 365 AppSource لجميع عمليات الاعتماد. وامنع أو قيّد التطبيقات القديمة أو غير المؤمّنة أو التي لا تفي بمتطلبات الامتثال لديك.

التحكم في الوصول إلى البيانات بين Copilot وتطبيقات SaaS المتصلة

تطبيق سير عمل الاعتماد: اسمح بالتكاملات فقط بعد مراجعة رسمية من قسم تقنية المعلومات، مع التأكد من أن لكل اتصال SaaS حاجة تجارية مشروعة ونطاقًا موثّقًا بوضوح.
فرض DLP ونهج الوصول المشروط: طبّق قواعد DLP ونهج الوصول المراعية للسياق لمراقبة ومنع نقل البيانات غير المصرح به خارج بيئة Microsoft 365.
مراقبة وقت التشغيل ونشاط الموصلات: راجع سجلات كل موصل، وأعدّ تنبيهات آلية للنشاط غير المعتاد بين الخدمات أو لعمليات سحب البيانات الكبيرة. لمزيد من المعلومات حول مخاطر Shadow IT ومراقبة وقت التشغيل، اطّلع على هذا المصدر.