دليل أساسي للأمان والامتثال لـ Microsoft 365 Copilot

By Mirko Peters · 2026-03-15 · Updated 2026-03-24

استكشف الأمان والامتثال لمساعد الذكاء الاصطناعي التوليدي (copilot) في Microsoft 365. تعرّف على كيفية إدارة Microsoft Copilot وحماية البيانات وتلبية متطلبات الامتثال.

Automatically translated with AI from the original post. Read the English original

لنكن واقعيين: الذكاء الاصطناعي في بيئات الأعمال يتقدّم بسرعة كبيرة، و Microsoft Copilot في قلب هذا التحوّل. يتزايد عدد المؤسسات في الولايات المتحدة التي تتبنى Copilot لرفع الإنتاجية، وهذا ما يجعل فرق تقنية المعلومات والامتثال تتابع التفاصيل بدقة. Copilot ليس مجرد ميزة إضافية، بل هو مساعد ذكاء اصطناعي يتعامل مع بيانات المؤسسة، ويعرض معلومات حساسة، ويعمل ضمن شبكة معقدة من اللوائح.

مع تطور اللوائح أسبوعاً بعد أسبوع، تحتاج كل مؤسسة إلى مواجهة متطلبات الامتثال الخاصة بـ Copilot بجدية. الأمر لا يتعلق فقط بإنجاز بند آخر في قائمة المهام، فـ Copilot يتطلب طريقة تفكير جديدة في أمن البيانات والتدقيق والذكاء الاصطناعي المسؤول. في هذا الدليل، ستتعمّقون في استراتيجيات عملية تركّز على المخاطر لتأمين Copilot وحوكمته وتدقيقه في ظل الأطر التنظيمية الأمريكية المتشعبة. الرهانات كبيرة، فلنجعلها تعمل لصالحكم لا ضدكم.

إذا كنتم تقيّمون Microsoft 365 Copilot، خاصة في البيئات الخاضعة للتنظيم، فإن هذه الحقائق المفاجئة تسلّط الضوء على قدرات مهمة واعتبارات امتثال microsoft copilot الجديرة بالانتباه.

1. يحترم Copilot حدود بيانات المستأجر: يولّد Copilot ردوده باستخدام بيانات Microsoft 365 الخاصة بمؤسستكم، دون تدريب نماذج Microsoft على محتوى المستأجر افتراضياً، وهو ما يساعد على الحفاظ على إقامة البيانات ويقلل المخاطر المرتبطة بالبيانات الخاضعة للتنظيم.
2. ضوابط امتثال تفصيلية مدمجة في مراكز الإدارة: يمكن للمسؤولين تطبيق منع فقدان البيانات (DLP) وeDiscovery وتسميات الاستبقاء وضوابط الوصول تحديداً على تفاعلات Copilot، ما يتيح فرض نهج المؤسسة وتوفير سجلات التدقيق.
3. تتم تصفية البيانات الحساسة على عدة طبقات: يستخدم Copilot تصنيف المحتوى والتشفير وفرض النهج بالاقتران مع إمكانات Microsoft Purview لحظر المعلومات الحساسة من المطالبات والردود أو إخفائها، وهو أمر مفاجئ لأداة تبدو محادثية بطبيعتها.
4. يمكن تدقيق نشاط Copilot وتسجيله لأغراض التحقيق: يمكن التقاط جميع استعلامات Copilot وردوده في السجلات للمراجعة الجنائية والتقارير المتعلقة بالامتثال، ما يتيح تلبية متطلبات الأدلة والرقابة التنظيمية.
5. يمكن تقييد سلوك النموذج بالمطالبات وحدود السلامة: إلى جانب الضوابط التقنية، يمكن للمسؤولين ضبط ضوابط الحماية ومرشحات المطالبات لمنع إنتاج مخرجات محظورة (مثل النصائح المالية المنظمة أو كشف البيانات الشخصية)، بما يوائم استخدام Copilot مع أطر الامتثال الداخلية.

شرح إطار الأمان والامتثال لـ Microsoft Copilot

Microsoft Copilot ليس أداة غريبة عن البيئة، بل صُمم ليندمج مباشرة في منظومة Microsoft 365 الخاصة بكم، ويحمل الإرث الأمني الذي تتوقعونه من منصة Microsoft للمؤسسات. ومع ذلك، يختلف Copilot عن التطبيقات التقليدية، لذلك لا يكفي الافتراض بأن ضوابطكم القديمة تغطي كل شيء.

إطار الأمان والامتثال لـ Copilot يقوم على مبدأ الدفاع المتعمّق. يبدأ بحماية بيانات بمستوى المؤسسات، مثل التشفير وعزل المستأجرين والتفكير في الخصوصية منذ التصميم. لكن Microsoft لا تتوقف عند هذا الحد، إذ يوفّر Copilot أيضاً ضوابط وصول قائمة على الأدوار وتكاملاً محكماً للمصادقة مع موفّري الهوية المؤسسية، بحيث لا يرى المعلومات إلا من هم مخوّلون بذلك.

ما يهم قرّاء المؤسسات هو فهم كيفية انتقال الحوكمة وفرض النهج إلى طبقة الذكاء الاصطناعي. يستفيد Copilot من نهج إدارة المعلومات والاستبقاء ومنع فقدان البيانات (DLP) التي تحددونها في Microsoft 365 ويوسّعها. يمكن للمسؤولين تحديد الحدود ومراقبة السجلات ومواءمة نشاط الذكاء الاصطناعي مع ضوابط الحماية الخاصة بالمؤسسة، فلا مكان للفوضى هنا.

سترون كيف تتكامل حماية البيانات وضوابط الوصول والحوكمة في الأقسام الفرعية التالية. أمان Copilot يتعلق بالطرق التي تبنونها بقدر ما يتعلق بحركة المرور التي تسيرون فيها. هل أنتم مستعدون للتعمّق؟

إجراءات حماية البيانات وأمن المعلومات في Copilot

1. التشفير في كل خطوة: البيانات التي يصل إليها Copilot أو يُنشئها تكون مشفّرة دائماً، سواء كانت في حالة نقل أو مخزّنة. تستخدم Microsoft بروتوكولات تشفير قوية، سواء أثناء التخزين أو أثناء النقل، بحيث لا تقلقون بشأن التنصت على بياناتكم أثناء انتقالها عبر السحابة.
2. عزل بيانات المستأجر: لا يخلط Copilot بياناتكم المؤسسية أبدًا ببيانات أي جهة أخرى. تُحفظ بيانات كل مؤسسة في مسار خاص بها، مفصولة عن بيانات المستأجرين الآخرين عبر حدود مُحصَّنة مدمجة في منصة Microsoft 365. يقلّل هذا من تسرّب البيانات بين المستأجرين، ويعزّز وضع الامتثال الداخلي.
3. تسميات الحساسية وتصنيف البيانات: يتعرّف Copilot على تسميات الحساسية في Microsoft Purview ويلتزم بها. فإذا صنّفتم محتوى على أنه سرّي، يحترم Copilot هذا التصنيف، أي أن الردود المُولَّدة بالذكاء الاصطناعي والوصول إلى الملفات يخضعان لتسميات الحماية وقواعد الحوكمة لديكم. وهذا يعني أمرًا أقل يمكن أن يفلت من الرقابة.
4. أمان البيانات المؤسسية والخصوصية منذ التصميم: صُمّم Copilot مع مراعاة الخصوصية منذ اليوم الأول. تطبّق Microsoft مبادئ الخصوصية منذ التصميم في البرمجة والاختبار والنشر، وتُجري عمليات تدقيق منتظمة لـ Copilot للتأكد من استيفائه معايير الأمان.
5. الحماية المتقدمة من التهديدات: تستفيد منصة Copilot من Microsoft Defender والتكاملات الأمنية المؤسسية، فتوفّر فحصًا استباقيًا للتهديدات وتوقف البرمجيات الخبيثة قبل أن تنتشر. ويُنصح بالجمع بين ذلك واستراتيجيات حوكمة متينة لمواجهة المخاطر الخاصة بوكلاء الذكاء الاصطناعي.
6. المراقبة المستمرة وتسجيل التدقيق: يمكن تسجيل كل تفاعل مع Copilot ومراقبته عبر أدوات الامتثال في Microsoft 365. وهذا أمر بالغ الأهمية لإثبات الامتثال أثناء عمليات التدقيق، وللكشف السريع عن السلوكيات غير المصرّح بها أو المحفوفة بالمخاطر.

بدعم من Microsoft Purview، تحصلون على خيارات واسعة لتصنيف البيانات ومراقبتها وفرض أمانها في كل مرحلة. الخلاصة؟ الأمان في Copilot ليس إضافة لاحقة، بل هو مدمج في صميمه، ويجلب قوة سحابة Microsoft إلى كل تفاعل مع الذكاء الاصطناعي.

أنظمة التحكم في الوصول والمصادقة لـ Copilot

1. التحكم في الوصول المستند إلى الأدوار (RBAC): يعتمد Copilot على أدوار المؤسسة وأذوناتها، فيمنح المستخدمين صلاحية الوصول إلى البيانات والإجراءات التي تتناسب مع مهام وظائفهم فقط. وهذا يُبقي المحتوى الحساس بعيدًا عن غير المخوّلين، حتى لو حاول المستخدمون دفع Copilot إلى تجاوز ذلك عبر الطلبات.
2. التكامل مع Entra ID (Azure Active Directory): تمرّ جميع عمليات المصادقة عبر Microsoft Entra ID (الاسم السابق Azure AD)، لذا فإن تسجيل الدخول الآمن نفسه، وسياسات الوصول المشروط، والمصادقة متعددة العوامل التي تستخدمونها بالفعل تنطبق على Copilot أيضًا. وهذا يعني أمانًا قويًا ومتسقًا في كل مكان.
3. نهج الوصول المشروط: يحترم Copilot نهج الوصول المشروط الخاصة بمؤسستكم، فيحظر الوصول عند رصد ظروف محفوفة بالمخاطر. وللحصول على ضوابط أكثر قابلية للتوسع، اطّلعوا على الرؤى المتعلقة بـمعالجة نهج Entra ID.
4. فرض مبدأ الحد الأدنى من الصلاحيات: يعتمد Copilot افتراضيًا نهج "الحد الأدنى من الصلاحيات"، فيضمن أن المستخدمين وأحمال العمل لا يحصلون إلا على الوصول الذي يحتاجونه فعلًا، ولا شيء أكثر من ذلك. ويمكن مراقبة محاولات تجاوز الصلاحيات وحظرها قبل أن تتحول إلى مشكلة.

الحوكمة وفرض النهج في عمليات نشر Copilot

1. الإدارة المركزية للنهج: يمكن للمسؤولين تحديد القواعد التي تحكم ما يستطيع Copilot فعله وما لا يستطيع، ومواءمة استخدام Copilot مع استراتيجية حوكمة المعلومات الأوسع في Microsoft 365 عبر مركز الإدارة وميزات Purview.
2. تسجيل التدقيق والمراقبة: يمكن تسجيل كل طلب واستجابة وأتمتة تتم عبر Copilot، ما يسهّل التحقيق في الحوادث، والإبلاغ عن مخاطر الامتثال، وتوفير الأدلة أثناء عمليات التدقيق. ويساعد التدقيق الصارم على الحفاظ على المساءلة.
3. توسيع تسمية الحساسية وDLP: استفيدوا من نهج منع فقدان البيانات (DLP) الحالية وتسميات الحساسية في Microsoft Purview لضمان تصنيف المحتوى الذي يُنشئه Copilot وحمايته بالطريقة نفسها المطبّقة على بيانات Microsoft 365 الأخرى.
4. الإنفاذ الآلي: تُفعّل خروقات النهج إجراءات آلية، مثل التسمية التلقائية، أو حظر المحتوى، أو إرسال تنبيهات إلى فريق الحوكمة لديك، بحيث تُعالَج المشكلات بشكل استباقي، لا بعد وقوعها فقط.

مع Playbooks ومجموعات الأدوار وسجلات التدقيق، تحافظ على امتثال عمليات Copilot وقابليتها للرصد، مهما اتسع نطاق النشر لديك.

إدارة مخاطر الذكاء الاصطناعي وممارسات الذكاء الاصطناعي المسؤول

الذكاء الاصطناعي ليس تقنية عادية. مع Copilot، تُدخل إلى مؤسستك مجموعة جديدة كليًا من المخاطر، بعضها واضح وبعضها الآخر جديد تمامًا. يتفوق الذكاء الاصطناعي التوليدي في اكتشاف الروابط وإنشاء المحتوى، لكن هذه القدرة نفسها تفتح الباب أمام إساءة الاستخدام، سواء كانت عرضية أو متعمدة، بدءًا من تسريب البيانات والكشف غير المقصود عنها، وصولًا إلى هجمات إعادة بناء النموذج.

تتعامل Microsoft مع هذه التحديات وفق فلسفة قائمة على تطوير الذكاء الاصطناعي المسؤول. فالأمر لا يقتصر على منع المتسللين فحسب، بل يتعلق بضمان استخدام Copilot بعدل وشفافية، وبطرق تتوافق مع المعايير الأخلاقية والتنظيمية. وتتطلب التهديدات الرئيسية، مثل هجمات انعكاس النموذج أو "الهلوسة" في الذكاء الاصطناعي (تلك الإجابات الخاطئة تمامًا)، ضوابط محددة ويقظة مستمرة.

أطر الذكاء الاصطناعي المسؤول ليست مجرد إجراءات ورقية. فهي تتطلب الشفافية وقابلية التدقيق والفحوص الفعلية في الواقع، لمنع التقنية من الخروج عن السيطرة أو اتخاذ قرارات يتعذر تبريرها. ويدمج نهج Microsoft الحوكمة والأخلاقيات في كل خطوة، بحيث يدعم Copilot متطلبات الامتثال لديك دون أن يتحول إلى مصدر جديد لمشكلات Shadow IT.

وبينما نتعمق في التفاصيل، ستدرك لماذا تحتاج المخاطر الخاصة بالذكاء الاصطناعي، مثل كشف البيانات غير المقصود والثغرات الأخلاقية، إلى مجموعة جديدة من السياسات والأدوات. تابع القراءة للاطلاع على تفاصيل قابلة للتطبيق، من دفاعات الأمان إلى سير عمل الذكاء الاصطناعي المسؤول.

تهديدات أمان الذكاء الاصطناعي: فهم هجمات انعكاس النموذج

1. تهديد انعكاس النموذج: قد يحاول المهاجمون إعادة بناء البيانات الحساسة التي اطّلع عليها الذكاء الاصطناعي في Copilot، عبر توجيهه بمطالبات ذكية. وتُسمى هذه العملية هجوم انعكاس النموذج، وهي خطيرة للغاية بالنسبة إلى المؤسسات التي تمتلك بيانات خاصة أو حساسة.
2. الأثر على المؤسسة: في حال نجاح الهجوم، قد يتمكن المتسللون من استخراج أجزاء من المستندات السرية، أو سجلات العملاء، أو البيانات المالية المقيّدة، فيتحول Copilot إلى أداة لتسريب البيانات دون قصد.
3. دفاعات Microsoft: تعتمد بنية Copilot على مزيج من التدريب الذي يحافظ على الخصوصية، والفصل الصارم للبيانات، وتصفية المطالبات، ومراقبة النشاط. وتشمل الدفاعات الكشف عن الحالات الشاذة وضوابط النهج التي تراقب المطالبات المصممة لـ"الصيد العشوائي" للمعلومات.
4. المراقبة والاستجابة: تتضمن أفضل الممارسات إجراء اختبارات أمان منتظمة للذكاء الاصطناعي، ومراجعة السجلات بحثًا عن أنشطة مشبوهة، والاحتفاظ بـ Playbooks جاهزة في حال تجاوز المحتوى الذي يولّده Copilot الحدود المسموح بها. وللاطلاع على الهجمات المتقدمة في عالم Microsoft 365، راجع تحليل الاختراق الواقعي هذا.
5. التقييم المستمر: تتغير مخاطر الذكاء الاصطناعي بسرعة. وتحتاج المؤسسات إلى مراجعة هذه الضوابط بشكل متكرر، مع تطور Copilot ونماذج الذكاء الاصطناعي التوليدي وازدياد ذكائها، وتطور المهاجمين أيضًا.

تطبيق الذكاء الاصطناعي المسؤول وأطر Azure الأخلاقية

معيار Microsoft للذكاء الاصطناعي المسؤول هو مجموعة من القواعد والعمليات لتصميم أنظمة الذكاء الاصطناعي وتطويرها ونشرها بشكل أخلاقي ومسؤول. ويلتزم Copilot بهذه المبادئ، ويضمن الشفافية والعدالة والموثوقية والخصوصية والأمان والشمولية والمساءلة طوال دورة حياته بأكملها.

تتضمن الضوابط الرئيسية المدمجة في Copilot توثيق استخدام البيانات، وسير عمل واضحًا للاشتراك والانسحاب، ومعايير قوية لتقليل البيانات، ومتابعة مستمرة من فرق الامتثال العالمية في Microsoft. ويُنصح المؤسسات في الولايات المتحدة بربط مبادئ الذكاء الاصطناعي المسؤول هذه بنهجها الداخلية لحوكمة الذكاء الاصطناعي، بما يضمن تقليل المخاطر القانونية والمتعلقة بالسمعة.

يعني هذا النهج أن كل نشر لـ Copilot يخضع للمعايير التنظيمية العالمية وأفضل الممارسات، ما يسد الفجوة بين الابتكار والامتثال.

الإقامة الرقمية للبيانات ومتطلبات الامتثال الإقليمي

الذكاء الاصطناعي لا يعرف الحدود، لكن بياناتكم تخضع لها بالتأكيد، خاصةً فيما يتعلق بالامتثال. يستطيع Copilot الوصول إلى المعلومات أو إنشائها أو معالجتها، وقد تتجاوز هذه المعلومات الحدود الإقليمية، وهو ما يثير تساؤلات جوهرية حول إقامة البيانات (أين تُخزَّن البيانات فعليًا) وسيادة البيانات (مَن يتحكم فيها). وتحتاج الشركات متعددة الجنسيات الأمريكية على وجه الخصوص إلى مواءمة استخدام Copilot مع الأنظمة الإقليمية والقطاعية الصارمة.

تعالج Microsoft هذه المخاوف بشكل مباشر من خلال ضوابط قوية لإقامة البيانات، تمنح المؤسسات قدرة دقيقة على تحديد مكان تخزين البيانات ومعالجتها وكيفيتهما. ولا يقتصر ذلك على المناطق المهتمة بالخصوصية مثل الاتحاد الأوروبي (ومنها اللائحة العامة لحماية البيانات GDPR)، بل يشمل أيضًا القطاعات المنظمة مثل الرعاية الصحية والخدمات المالية، حيث قد يؤدي أي خطأ إلى غرامات، أو حتى إيقاف النشاط.

الضوابط المتاحة ليست حلًا واحدًا يناسب الجميع. تحصل المؤسسات على أدوات تضمن بقاء نشاط Copilot ضمن المناطق الجغرافية المعتمدة، وتلبية المتطلبات المحلية، والتكامل بسلاسة مع أهداف الامتثال العالمية. تتناول الأقسام التالية التفاصيل الخاصة بالاتحاد الأوروبي، وأهم القطاعات الأمريكية المنظمة، والأدوات التي تجعل ذلك كله ممكنًا.

حدود البيانات في الاتحاد الأوروبي لـ Copilot: ما يحتاج مؤسسات الولايات المتحدة إلى معرفته

حدود البيانات في الاتحاد الأوروبي (EU Data Boundary) مبادرة من Microsoft تهدف إلى ضمان بقاء بيانات العملاء الأوروبيين داخل الاتحاد الأوروبي، دون أي نقل عبر الحدود إلا إذا سُمح بذلك صراحةً. وبالنسبة للشركات الأمريكية التي تعمل أو لديها مستخدمون نهائيون في الاتحاد الأوروبي، يعني ذلك أن تفاعلات Copilot (بما فيها المطالبات والمحتوى المُنشأ) تبقى ضمن مراكز البيانات الأوروبية المعتمدة.

تفرض Microsoft هذه الحدود باستخدام ضوابط المستأجر المقيّدة جغرافيًا والنُّهج الخاصة بأحمال العمل، بما يتوافق مع GDPR وغيره من القوانين المحلية. وإذا كانت أعمالكم تشمل الولايات المتحدة والاتحاد الأوروبي معًا، فعِّلوا ميزات حدود البيانات في الاتحاد الأوروبي، وراجعوا أي استثناءات مطلوبة، ودققوا تدفقات البيانات لتجنب أخطاء تنظيمية غير مقصودة.

الامتثال في الرعاية الصحية وأمان الخدمات المالية لـ Copilot

1. حماية HIPAA والمعلومات الصحية المحمية (PHI): يجب على المؤسسات الصحية التأكد من أن Copilot مشمول باتفاقية الشريك التجاري (BAA)، وأن المعلومات الصحية المحمية (PHI) لا يُصل إليها أو تُخزَّن أو تُعالَج إلا وفقًا لمتطلبات HIPAA.
2. الامتثال لـ GLBA وSOX وPCI-DSS: بالنسبة للخدمات المالية، يجب أن يلتزم Copilot بالقواعد الخاصة بالبيانات المالية الشخصية، وإعداد التقارير عن المعاملات، ومسارات التدقيق. ويعني ذلك مواءمة إعدادات Copilot مع متطلبات GLBA وSOX وPCI-DSS حسب الاقتضاء.
3. تقييم المخاطر وربطها: يحتاج القطاعان إلى تقييمات مخاطر منتظمة مرتبطة بنشاط Copilot، وذلك بمواءمة الوصول والتسجيل وضوابط DLP مع الأطر الخاصة بكل قطاع. وللاطلاع على ممارسات الحوكمة العملية في تطوير التطبيقات، راجعوا أساليب أمان Power Platform وأفضل ممارسات نهج DLP في Power Platform.
4. القابلية للتدقيق وربط النُّهج: أعدّوا سجلات التدقيق، وتأكدوا من ربط نُهج Copilot بأنظمة الامتثال الأشمل لأغراض إعداد التقارير والمراجعات التنظيمية، دون إغفال أي خطوة امتثال.

ضوابط إقامة البيانات والموقع التخزيني لـ Copilot

تتيح ضوابط إقامة البيانات لـ Copilot للمؤسسات التحكم في مكان تخزين معلوماتها، مع خيارات على مستوى المستأجر وخيارات خاصة بأحمال العمل. يستطيع المسؤولون ضبط تخزين البيانات ليبقى ضمن الولايات المتحدة أو الاتحاد الأوروبي أو مناطق معتمدة أخرى، وتطبيق قواعد النُّهج لإلزام تفاعلات Copilot بالمناطق الجغرافية المتوافقة.

تتراوح مخاطر تخزين البيانات بصورة غير سليمة بين الغرامات التنظيمية وانتهاكات العقود، خاصةً بالنسبة للشركات الأمريكية التي لديها عمليات في الاتحاد الأوروبي أو تتعامل مع بيانات منظمة. وتوفر Microsoft أدوات إدارة من خلال إعدادات المستأجر في Microsoft 365 وبوابات الامتثال في Purview. وللتعمق في حوكمة البيانات المستدامة، راجعوا هذا التحليل المعمّق للحوكمة، وتعرّفوا على كيفية تعزيز الأنظمة البيانية الموحدة للامتثال.

أفضل ممارسات إدارة دورة حياة بيانات Microsoft Copilot

على عكس المستندات التقليدية أو رسائل البريد الإلكتروني، لا تكون البيانات التي ينشئها Copilot متوقعةً دائمًا، إذ قد تبقى على هيئة مطالبات أو ملخصات مؤقتة، أو محتوى مضمَّن في سجلات المحادثات. ويطرح ذلك تحدياتٍ تتعلق بالاستبقاء والحذف والاكتشاف والتدقيق الامتثالي، وكلها تتطلب نهجًا منظمًا يراعي طبيعة الذكاء الاصطناعي، أي نهجًا «واعيًا بالذكاء الاصطناعي».

توفر Microsoft للمؤسسات أدوات لإدارة بيانات Copilot طوال دورة حياتها الكاملة. ويتطلب إعداد إدارة دورة الحياة لـ Copilot تحديد فترات الاستبقاء، وأتمتة بروتوكولات الحذف، والتحضير لاكتشاف البيانات الإلكترونية (eDiscovery)، وربط مخرجات الذكاء الاصطناعي بالالتزامات التنظيمية لشركتك. وتشكّل نقاط التكامل في Microsoft، مثل Purview وSharePoint، العمود الفقري لسير عمل الحوكمة المتقدمة هذا.

تتوقع فروقًا واضحة عن إدارة الاستبقاء التقليدية للمستندات، فبيانات الذكاء الاصطناعي تتحرك بسرعة أكبر، وقد تكون أكثر عابرية، وغالبًا ما تحتاج إلى معالجة خاصة للتدقيق واكتشاف البيانات الإلكترونية. وتتناول الأقسام التالية كيفية مواكبة هذا التطور، والحفاظ على الامتثال، والاستجابة بسرعة للطلبات القانونية والتغييرات في النهج مع تطور Copilot.

الاستبقاء والحذف لمحتوى Copilot المُنشأ

1. قواعد الاستبقاء الافتراضية: يتبع محتوى Copilot افتراضيًا نهج الاستبقاء في Microsoft 365 الخاصة بمؤسستك، سواء كانت مدة الاحتفاظ به 30 يومًا أو 7 سنوات. وتحدد الحدود على مستوى المستأجر أو على مستوى الخدمة.
2. استبقاء قابل للتخصيص: قم بضبط الاستبقاء حسب نوع البيانات، فقد تُحذف مسودات المحتوى قصيرة الأجل بانتظام، بينما يمكن الاحتفاظ بسجلات الامتثال أو البيانات الحساسة لفترة أطول. وتتكامل القواعد المخصصة مع أدوات مثل Microsoft Purview وSharePoint ECM (إدارة فوضى المستندات).
3. الحذف الآلي والحجز القانوني: جدول حذف الملفات غير الأساسية في Copilot، مع الحرص على احترام الحجوزات القانونية أو التنظيمية لأي محتوى قيد التحقيق أو النزاع. وتتضمن الآلية معالجةً خاصة للبيانات الحساسة أو عالية المخاطر.
4. إجراءات قابلة للتدقيق: يمكن تسجيل كل نشاط استبقاء أو حذف وتدقيقه، وهو أمر بالغ الأهمية لإثبات التزامك بما أعلنته عند ظهور عمليات تدقيق أو استفسارات قانونية. ويُعد التعاون بين الإدارة القانونية والموارد البشرية والأمن ضروريًا لتحقيق التناغم في الامتثال.

اكتشاف البيانات الإلكترونية والامتثال القانوني في سير عمل Copilot

• البحث والجمع: تعرض أدوات اكتشاف البيانات الإلكترونية في Microsoft Purview محتوى Copilot المُنشأ إلى جانب أصول Microsoft 365 التقليدية، دون إغفال أي شيء.
• دعم الحجز القانوني: ضع بيانات Copilot قيد الحجز أثناء النزاعات أو التحقيقات، حتى لو كان المحتوى سيُحذف تلقائيًا في الظروف العادية.
• سجلات تدقيق جاهزة للامتثال: يُسجَّل كل إجراء لتوفير دليل قابل للاستخدام. وينصح بالانتقال من تدقيق Standard إلى Premium (نصائح التدقيق هنا) في القطاعات الحساسة أو الخاضعة للتنظيم.
• استجابة قانونية فعّالة: يساعد الجمع السريع والتصفية والنقل على تسريع الاستجابة لطلبات المحاكم، مع تقليل تعطل سير العمل.

بنية تكامل Microsoft 365 Copilot والامتثال

تكمن القوة الحقيقية لـ Copilot في أنه ليس تطبيقًا خارجًا عن نطاق تقنية المعلومات لديك، بل هو متصل بعمق ببنية الأمان والامتثال والهوية في Microsoft 365. ويعني هذا التصميم أنك لست بحاجة إلى إعادة اختراع الحلول لفرض النهج وإدارة الأذونات ومراقبة النشاط، فكل شيء يرتبط بالضوابط التي تثق بها في M365.

يعتمد Copilot على مصادر الهوية القائمة، مثل Entra ID، ويطبّق نهج المستأجر الخاصة بك، ويسجل الإجراءات عبر مجموعة أدوات الامتثال التي اختارتها مؤسستك. ويضيف طبقة من الذكاء، فيعرض البيانات ذات الصلة مع احترام الحدود التي حددتها، حتى في بيئات المستأجرات المتعددة أو الهجينة. وبالنسبة إلى المسؤولين، يعني ذلك الحصول على الرؤية والإنفاذ والتحليلات دون الحاجة إلى إنشاء أنظمة حوكمة جديدة لكل وكيل ذكاء اصطناعي.

مع التكامل مع Purview وDefender وحلول الامتثال الأخرى، يرث Copilot وضع الأمان لديك ويعززه. كما سترى في الأقسام التالية، فإن السر الحقيقي يكمن في معرفة نقاط ارتباط Copilot ببيئتك، وكيفية سد الثغرات قبل أن تظهر أثناء التدقيق. تجمع أفضل الممارسات الحديثة بين الضوابط التقنية وأمان المستأجر وتحليلات الامتثال لـ Copilot، بحيث يكون آمنًا بقدر ما هو ذكي. للمزيد من التدريب، اطّلع على نصائح أمان Microsoft 365 هذه وسيناريوهات انحراف الامتثال الخفية.

نقاط تكامل Microsoft 365 واعتبارات أمان المستأجر

1. العزل بين المستأجرين: يُبقي Copilot بيانات مؤسستك وسير عملها منفصلين تمامًا عن المستأجرين الآخرين، حتى عند التعامل مع موارد Microsoft 365 المشتركة.
2. الحدود التنظيمية والأذونات: ترث أذونات Copilot من مجموعات Microsoft 365 وأدوارها، دون وجود هويات منفصلة معزولة، مما يسهّل الحفاظ على إحكام الضوابط وقابلية التدقيق.
3. التدقيق في الوقت الفعلي: يتم تسجيل كل إجراء مرتبط بـ Copilot في الوقت الفعلي، ما يوفر أدلة لعمليات التدقيق المتعلقة بالامتثال، ويساعد على رصد النشاط غير الاعتيادي بسرعة (تعلّم من إخفاقات الحوكمة الشائعة).
4. الإعداد وتقوية الأمان: اتبع أفضل الممارسات عند إعداد Copilot في البيئات الهجينة ومتعددة المستأجرين، وراجع مراجعات الوصول وتعيينات الملكية وتسميات الحساسية (شرح حوكمة بيانات Microsoft 365).
5. أخطاء الإعداد الواجب تجنبها: لا تدع المحتوى القديم أو مراجعات الوصول غير المتوافقة أو المالكين الذين لم يعودوا مرتبطين بالمؤسسة يخلقون نقاط ضعف في الامتثال قد يكشفها Copilot.

تكامل Microsoft Purview وأدوات الامتثال الأخرى مع Copilot

تأتي القدرة القوية لـ Copilot في الامتثال من تكامله الوثيق مع Microsoft Purview. فمن دون إعدادات إضافية، تحصل على تدقيق متقدم، وتقارير عن النشاط، وسياسات DLP، والتصنيف التلقائي، وإدارة مخاطر المستخدمين الداخليين، وكل ذلك يتتبع المحتوى الذي ينشئه Copilot عبر التطبيقات وأعباء العمل. تتيح خيارات الإعداد في Purview تحديد مراقبة خاصة بـ Copilot أو تصنيف مخرجات الذكاء الاصطناعي بسهولة، مما يمكّن من إعداد تقارير على مستوى المستأجر والاستجابة السريعة للحوادث.

هل تريد المزيد؟ استفد من موصلات DLP الجاهزة لحظر عمليات النقل الخارجية الخطرة، وفرض حدود البيانات على مستوى البيئة، وتحديد نطاق الوصول عبر أدوار Entra. وتتيح التقارير المتقدمة سحب نشاط Copilot إلى Power BI لإنشاء لوحة معلومات مركزية للامتثال تعمل في الوقت الفعلي. لمزيد من التفاصيل، تعمّق في أفضل ممارسات عزل المستأجر وحدود DLP وأتمتة الامتثال في Defender for Cloud.

الامتثال التنظيمي وتقييم مخاطر Copilot

يزداد التدقيق التنظيمي على الذكاء الاصطناعي، و Microsoft Copilot ليس استثناءً. فتقييم المخاطر لا يقتصر على إرضاء المدققين، بل هو خارطة طريقك لمواءمة استخدام Copilot مع الالتزامات القانونية والصناعية والخاصة بالمؤسسة، مع صد التهديدات قبل أن تتفاقم.

يقوم الامتثال لـ Copilot على أطر عمل مثل NIST وISO وGDPR، وعلى مختلف قوانين الخصوصية على مستوى الولايات، وبخاصة في الولايات المتحدة حيث تتزايد هذه القوانين يوميًا. وتعني إدارة المخاطر هنا التقييم المنتظم وتوثيق سياسات Copilot، وتدقيق الوصول، ومراجعة سير العمل، وتحديث الضوابط مع تطور التقنية (والقواعد).

المراقبة المستمرة وإدارة الثغرات والتدقيقات بين الإدارات عناصر أساسية. يُدخل Copilot أسطح هجوم فريدة، مثل احتمال كشف البيانات على نطاق واسع، وهذه تتطلب ضوابط مخاطر مخصصة. تجدون في الأقسام التالية استراتيجيات عملية لتحديد متطلبات الامتثال لديكم وتفعيل إدارة مخاطر Copilot تشغيليًا، دون التخلف عن المتطلبات التنظيمية الناشئة. وللاطلاع على تفصيل أعمق، راجعوا دراسات حالة حوكمة Copilot ومعالجة Shadow IT من هذا الدليل السريع.

متطلبات الامتثال وأطر إدارة المخاطر

1. المواءمة مع المعايير: اربطوا ضوابط Copilot بأطر معتمدة مثل NIST SP 800-53 وISO 27001 وGDPR فيما يخص معالجة البيانات والخصوصية ومتطلبات التدقيق.
2. تقييم المخاطر المستمر: جدولوا مراجعات دورية لسطح الهجوم الخاص بـ Copilot، توثّقون فيها ما هو جديد وما تغيّر وأين ربما تحوّلت المخاطر.
3. تحليل الفجوات: حددوا المواضع التي لا تغطي فيها الضوابط الحالية Copilot، سواء في الاستبقاء أو المراقبة أو تغطية DLP، ثم عالجوها بسرعة.
4. تحديث السياسات والتوثيق: أبقوا أدلة الامتثال واتفاقيات المستخدمين محدّثة مع طرح تحديثات Copilot. وراجعوا الثغرات الخفية، مثل ضغط الإصدارات والتحرير التعاوني، الموضحة في هذا التحليل لانحراف الامتثال.
5. التدريب وإدارة التغيير: ثقّفوا المستخدمين بالتغييرات، ورفعوا وعيهم بتفاصيل مخاطر الامتثال المرتبطة بالذكاء الاصطناعي.

المخاطر الأمنية وإدارة الثغرات لـ Copilot

1. تحديد ناقلات الهجوم: ابقوا على اطلاع دائم بالتهديدات الخاصة بـ Copilot، مثل حقن الأوامر (prompt injection) وسرقة الرموز المميزة (token theft) أو إساءة استخدام OAuth. واستفيدوا من تحليلات سلسلة الهجوم والحلول الخاصة بمخاطر الهويات غير البشرية.
2. المراقبة المستمرة: استخدموا ضوابط الكشف المتقدمة، من سجلات وتنبيهات واكتشاف الشذوذ، لرصد النشاط المشبوه أو الاختراقات قبل أن تتحول إلى كوارث.
3. التصحيح والمعالجة: طبّقوا تحديثات Microsoft فور صدورها وتابعوا البيانات الأمنية الصادرة، للحفاظ على أمان المنصات الأساسية التي يعمل عليها Copilot.
4. المقاييس والتقارير: حددوا مؤشرات أداء رئيسية تتعلق بزمن الاكتشاف والاستجابة للحوادث وحالة التصحيح. واستخدموا لوحات معلومات الامتثال والتدقيق لتتبع وضعية المخاطر وتحسينها.
5. ممارسات Zero Trust: استبدلوا حسابات الخدمة عالية المخاطر بـ Entra Workload Identities لسد الثغرات في الوصول غير البشري، وتحقيق إدارة كاملة لدورة الحياة، كما هو موضح في هذا الشرح لمبدأ Zero Trust.

اعتبارات الامتثال للسياسات والتشريعات لـ Copilot

تنظيم الذكاء الاصطناعي ليس شأنًا أوروبيًا فقط، فالمشرّعون في الولايات المتحدة يتحركون بحزم أيضًا. من الحظر الحكومي إلى المتطلبات الخاصة بكل ولاية، يجب أن تراقب عمليات نشر Copilot المشهد التشريعي، وأن تكيّف السياسات بسرعة مع دخول القوانين الجديدة حيز التنفيذ.

يتطلب تتبع الامتثال في هذا المجال مراقبة القوانين المقترحة والنافذة معًا. فبعضها يقيّد الذكاء الاصطناعي التوليدي بالكامل في العمل الحكومي (مثل حظر الكونغرس الأمريكي)، بينما تقترح أخرى قواعد إضافية لخصوصية البيانات أو لقطاعات محددة. المؤسسات الذكية لا تنتظر الإنفاذ، بل تبني مرونة تتيح تقييد ميزات Copilot أو إيقافها كلما تغيّرت القوانين.

أصبحت القدرة على التكيّف ميزة استراتيجية في الامتثال. فمن خلال مواءمة السياسات الداخلية والضوابط التقنية لتوقّع الحواجز التنظيمية الجديدة، تقللون المخاطر على الأعمال وتتجنبون مفاجآت مكلفة. يتناول القسم التالي ما ينبغي البحث عنه في اتجاهات التشريعات الناشئة، وكيفية إبقاء Copilot متوافقًا مع القوانين في ظل تحرك التشريعات بسرعة تقارب سرعة التقنية نفسها.

القيود التشريعية وحظر الكونغرس الأمريكي

قدّم الكونغرس الأمريكي مقترحاً لحظر أدوات الذكاء الاصطناعي التوليدي، بما فيها Microsoft Copilot، في الشبكات الحكومية، في ظل تزايد التدقيق التشريعي على مستوى البلاد. كما تُناقش تشريعات على مستوى الولايات، إذ تفرض بعض الجهات قيوداً على استخدام الذكاء الاصطناعي في القطاع العام والرعاية الصحية والخدمات المالية.

ينبغي لفرق الامتثال في المؤسسات متابعة هذه التطورات القانونية عن كثب، من خلال أدوات تتبع موثوقة وتحديثات نهج Microsoft. وعند ظهور حظر أو قيود، يجب أن تكون لديكم خطط تشغيلية جاهزة لتعطيل ميزات Copilot أو تقييدها لمجموعات المستخدمين المتأثرة. فالاستباق في متابعة التنبيهات القانونية والتنسيق بين الفرق أمران أساسيان لتجنب الإخفاقات في الامتثال مع تطور القوانين.

التكامل في الامتثال عبر المنصات لـ Copilot

نادراً ما تعمل المؤسسات الحديثة في بيئة Microsoft وحدها. فأنتم تدير مجموعة متنوعة من مزودي الخدمات السحابية، وأنظمة محلية قديمة، وبنى هجينة تجعل الامتثال تحدياً أكثر تعقيداً بكثير. وعندما يمتد Copilot عبر هذه البيئات، ينبغي أن تكون الحوكمة سلسة ومتكاملة، لا مجزأة.

أبرز العقبات؟ انحراف النهج، وتطبيق غير متسق، والتجزؤ. إذ يمكن أن تتسرب البيانات بسهولة بين التخزين المحلي والمنصات السحابية، أو أن تتنقل عبر عدة مزودين، ولكل منهم تصوره الخاص لمعنى "الامتثال". ويهدف نموذج الامتثال في Copilot إلى التوفيق بين هذه البيئات من خلال نهج موحدة، ومراقبة مركزية، وأفضل ممارسات التنسيق.

بالنسبة للمعماريين، يعني تحقيق الامتثال بناء ضوابط حماية تغطي كل الطرق التي قد تسلكها بياناتكم، بدءاً من السحابة الخاصة بـ Microsoft وصولاً إلى AWS أو Google أو خادم محلي. يتناول القسمان التاليان أفضل الممارسات للبيئات الهجينة والمتعددة السحابات. وإذا كنتم قلقين من تسرب الفوضى مع توسع الأنظمة، فراجعوا هذا التحليل المعمّق حول حوكمة Azure بالتصميم ومقاربات مستوى التحكم متعددة الوظائف.

الامتثال لـ Copilot في بيئات العمل الهجينة

1. المراقبة المركزية والتنسيق في النهج: استخدموا منصة امتثال موحدة (مثل Microsoft Purview) للإشراف على DLP والتدقيق عبر البيانات السحابية والمحلية معاً، ولا تتركوا الأنظمة القديمة المعزولة تتحول إلى نقاط عمياء.
2. ربط الضوابط القديمة بالحديثة: اربطوا DLP التقليدية ومراجعة الأدوار وتطبيق النهج في SharePoint أو في أنظمة الملفات المحلية بالضوابط السحابية أولاً. تجنبوا الثغرات الناتجة عن استراتيجيات غير مترابطة. لمعرفة كيف يحدث ذلك في بيئات low-code، راجعوا الدروس المستفادة حول حوكمة Dataverse مقابل SharePoint.
3. الوصول الموحد القائم على الأدوار: قوموا بتعيين حقوق الوصول مركزياً، بحيث يحصل المستخدمون الهجينون على أذونات متسقة، وبذلك تتلاشى مشكلة "أستطيع القيام بهذا في السحابة، لكن ليس على الخادم".
4. التصعيد والاستجابة الآلية: عندما تظهر مشكلات الامتثال، ينبغي أن تمر إشعارات الحوادث وإجراءات العزل والتصعيد عبر خطة تشغيلية واحدة، لا عبر تسع خطط مختلفة.

للاطلاع على شرح للمصطلحات وخريطة استراتيجية، راجعوا هذا الدليل حول Azure landing zones وتطبيق النهج.

معالجة البيانات عبر السحابات المتعددة والتوافق التنظيمي

1. توحيد النهج عبر السحابات: ابنوا قواعد عامة لـ DLP والاستبقاء والتحكم في الوصول تنتقل عبر المنصات، لتقليل "أخطاء الترجمة" عندما ينتقل الامتثال بين AWS وGCP وMicrosoft.
2. رسم خريطة البيانات وجردها تلقائياً: دققوا بانتظام في أماكن وجود البيانات، وكيفية انتقالها بين السحابات، والولايات القضائية المعنية. فإهمال ذلك يعرضكم لخروقات غير مقصودة لسيادة البيانات.
3. موافقات موحدة ومسارات تدقيق: تأكدوا من استمرار توثيق موافقة المستخدمين وتدقيقهم، بغض النظر عن المكان الذي تعالج فيه Copilot البيانات.
4. التكافؤ التنظيمي: طبّقوا أشد المتطلبات الإقليمية صرامة أولاً (مثل GDPR وCCPA)، واجعلوها الحد الأدنى المعتمد في كل مكان. ووائموا أطر الاستدامة والامتثال التشغيلي، وراجعوا Microsoft Carbon Control Plane لمعرفة كيف يتقاطع التتبع مع الحوكمة.

مراقبة سلوك المستخدمين وإنفاذ الامتثال في استخدام Copilot

أحيانًا لا يكمن الخطر في التقنية، بل في ما يفعله الأشخاص بها. يمثل سلوك المستخدمين الخط الأمامي التالي في امتثال Copilot، فنهج مُهيّأ بإحكام لا قيمة له إذا التف المستخدمون حوله أو وقعوا في أخطاء غير مقصودة. إن مراقبة تفاعلات المستخدمين، واكتشاف المطالبات (Prompts) الخطرة، وفرض الامتثال من الأساس، يُنشئ نموذج "ثق ثم تحقّق"، وهو نموذج ضروري لبرامج Copilot في المؤسسات.

توفر Microsoft أدوات متقدمة لتتبع النشاط الخطر وتسجيله ووضع علامات عليه، باستخدام محركات التحليل وضوابط DLP المتقدمة. والأمر أعمق من مجرد رصد "الجهات السيئة"، فأنتم تبحثون عن الأخطاء غير المقصودة، والتهديدات الداخلية، وإساءة الاستخدام الإبداعية للمطالبات، التي قد تسرّب بيانات حساسة أو تخلق مشكلات امتثال جديدة. يمكن لمسؤولي CISO ومسؤولي تقنية المعلومات استخدام التنبيهات، واكتشاف الشذوذ، وأدلة التشغيل (Playbooks) للتدخل الآلي أو اليدوي.

تتناول الأقسام التالية الاستراتيجيات العملية والتحليلات التي تجعل الامتثال المتمحور حول المستخدم واقعًا ملموسًا. للاطلاع على نهج عملي لتدقيق نشاط المستخدمين وبناء نظام DLP متكيّف، راجعوا إرشادات تدقيق Purview وخطوات DLP للتهديدات الداخلية للبدء.

رصد انتهاكات الامتثال في تفاعلات Copilot ومنعها

• تحليلات السلوك والتنبيهات: استفد من تدقيق Purview للإبلاغ عن المطالبات أو الطلبات غير المعتادة، وتقييمها حسب درجة المخاطر ومستوى التصعيد (تفاصيل التدقيق هنا).
• اكتشاف الشذوذ: راقب الارتفاعات المفاجئة في استعلامات Copilot، والوصول إلى الملفات عالية الحساسية، ومحاولات استخراج بيانات الشركة السرية.
• أدلة الاستجابة للحوادث: ابنِ سير عمل لإرسال التنبيهات تلقائيًا، وقفل الجلسات المشبوهة أو عزلها فورًا، وإجراء بروتوكولات تحقيق تفصيلية بعد وقوع الحادث.
• تسجيل التدقيق والتصعيد: تساعد السجلات الشاملة فريق الامتثال على إعادة بناء الحوادث بسرعة لمراجعتها أو لاستخدامها كأدلة في حال التدقيق القانوني.

التحكم في الوصول القائم على الأدوار وتدقيق الاستخدام لـ Copilot

يعني تدقيق الوصول القائم على الأدوار في Copilot تتبع المستخدمين (والحسابات الخدمية) الذين يملكون وصولًا إلى أي بيانات، والإجراءات التي ينفذونها. ينبغي أن تعرض لوحات التحليلات الاستخدام حسب الدور، وأن تبرز الطلبات غير المعتادة أو غير المصرح بها، وأن توثّق التغييرات في الوصول عبر الزمن.

يمنع ذلك كشف البيانات غير المصرح به، ويدعم متطلبات الامتثال لمبدأ أقل الامتيازات. تُعد مراجعات الوصول المنتظمة، والمراقبة المستمرة، وسجلات التدقيق الموثقة (باستخدام Microsoft Purview والأدوات المتكاملة معه) أمورًا حاسمة لتحقيق امتثال متين وقابل للتنفيذ. للتعمق في ضوابط الأدوار التفصيلية وأدلة حوكمة Shadow IT، راجعوا الخطوات التفصيلية.

مخاطر امتثال التطبيقات الخارجية وواجهات برمجة التطبيقات مع Microsoft Copilot

قد يكون توسيع Copilot بإضافات مخصصة أو موصلات أو تطبيقات خارجية مفيدًا جدًا للإنتاجية، لكنه يفتح في الوقت نفسه ثغرات جديدة في محيط الامتثال لديكم. فإدخال شيفرة برمجية خارجية دون تدقيق صارم قد يعرّض بياناتكم للتسريب، أو يؤدي إلى أذونات غير مُدارة، أو إلى إخفاقات أمنية صريحة داخل سير العمل الخاضع للتنظيم.

تتطلب تكاملات واجهات برمجة تطبيقات Copilot عقلية تضع المخاطر في المقام الأول. ويعني ذلك اعتمادًا صارمًا وتقييمًا مستمرًا للإضافات، ومراجعات دورية للشيفرة، وسجلات تدقيق فعّالة لكل ما يمس بيانات المؤسسة. ومع إضافة الموردين والمطورين الداخليين مزيدًا من التكاملات، تحتاج المؤسسات إلى ضمان أن قواعد الامتثال ترافق البيانات نفسها، لا المستخدم وحده.

تستعرض الأقسام التالية كيفية حوكمة مخاطر الإضافات وفرض الموافقة، حتى تتمكنوا من التحرك بسرعة مع البقاء متوافقين مع المتطلبات التنظيمية. للاطلاع على خلفية حول تعلّم Copilot وتهديدات Shadow IT، راجعوا أفضل الممارسات لمراكز Copilot المدركة للمستأجر وحوكمة الذكاء الاصطناعي للوكلاء من جهات خارجية.

إدارة مخاطر الامتثال الناتجة عن الإضافات والملحقات المخصصة

1. مراجعة الإضافات وملحقات البرمجة: قبل تفعيل أي ملحق جديد لـ Copilot، أجرِ مراجعات شاملة للشفرة، وتدقيقًا للأذونات، والتحقق من توافقه مع متطلبات الامتثال الداخلية لمؤسستك. لا تفترض أن وجود الملحق في "السوق" يعني أنه آمن.
2. تقييم المخاطر المستمر: حافظ على جدول مراجعة دوري متجدد، فمخاطر الإضافات وتوسّع الأذونات تتراكم مع مرور الوقت. استجب بسرعة للثغرات الناشئة (كن مستعدًا لأطر الحوكمة السريعة).
3. الحد من انتشار البيانات: حدّد بوضوح التطبيقات التي يمكنها الوصول إلى كل نوع من البيانات، واستخدم أدوار Entra وعزل البيئات لفرض هذه الحدود. ينبغي أن تتمكن الملحقات المصرّح بها فقط من توسيع نطاق عمل Copilot.
4. عملية اعتماد موحّدة: وثّق وانشر نهج اعتماد الإضافات، مع خطوات واضحة للمطوّرين والمستخدمين النهائيين وفريق تقنية المعلومات. وحدّد نموذجًا واضحًا لما يُعد "متوافقًا" باستخدام ضوابط متعددة الطبقات (إدارة الميزة الوكيلية عبر مستويات تحكم واضحة).

مشاركة البيانات والموافقة في التطبيقات المتكاملة مع Copilot

عندما تشارك Copilot البيانات مع تطبيقات الجهات الخارجية، يلزم الحصول على موافقة صريحة من المستخدم وسجلات تدقيق قوية. تفرض المتطلبات التنظيمية تسجيل مَن صرّح بتدفق البيانات، وما الذي تمت مشاركته، ومتى حدث ذلك، خاصةً إذا كان المحتوى حساسًا أو خاضعًا للتنظيم.

تعتمد أفضل الممارسات المؤسسية على Entra ID لفرض سير عمل الموافقة للمستخدمين والمسؤولين، وتقييد منح OAuth المفتوحة، وإلزام المراجعة الدورية لجميع أذونات الجهات الخارجية (تعرّف على هجمات استغلال الموافقة). كما أن تقليل البيانات، أي مشاركة ما هو ضروري فقط، والاحتفاظ بسجلات تدقيق واضحة، يضمنان جاهزية المؤسسات للتدقيقات أو للتحقيق في الحوادث.

وازن سير العمل مع مبادئ Zero Trust والمصادقة التكيفية عبر Microsoft 365 والمنصات المتكاملة (Zero Trust by Design في التطبيق العملي) للحفاظ على الامتثال وتقليل الاحتكاك بالمستخدمين، مع سد مخاطر الموافقة بسرعة.

الأسئلة المتداولة: أمان Microsoft 365 Copilot والامتثال له: الأمان الرئيسي، والذكاء الاصطناعي التوليدي، والوصول إلى البيانات، وخصوصية البيانات

ما أهم اعتبارات الامتثال عند استخدام Microsoft Copilot داخل المستأجر الخاص بي في Microsoft 365؟

عند استخدام Copilot في Microsoft 365، تشمل الاعتبارات الرئيسية ضوابط الوصول إلى البيانات، ونهج الاستبقاء، ومتطلبات الامتثال التنظيمي (مثل GDPR)، والتأكد من تطبيق ضوابط أمان البيانات والامتثال عبر تطبيقات Microsoft 365 وخدماته. ينبغي للمسؤولين مراجعة الأذونات الحالية في Microsoft 365، وتهيئة إعدادات Copilot في مركز إدارة Microsoft 365، ودمج Microsoft Purview لأمان البيانات وMicrosoft Purview لحماية المعلومات، لضمان عمل Copilot ضمن نموذج الحوكمة المعتمد في مؤسستك.

كيف يصل Microsoft 365 Copilot إلى البيانات من تطبيقات Microsoft 365 مثل Microsoft Teams وOutlook ويعالجها؟

يصل Copilot إلى البيانات عبر Microsoft Graph وموصلات أخرى داخل خدمات Microsoft 365، مستندًا إلى نموذج الأذونات القائم في Microsoft 365. تخضع تفاعلات Microsoft 365 Copilot لضوابط الوصول على مستوى المستأجر، ويمكن للمسؤولين تحديد البيانات التي يمكن لـ Copilot استخدامها، وتتم معالجة Copilot ومعالجة Microsoft ضمن إطار أمان البيانات الخاص بـ Microsoft. إن فهم كيفية وصول Copilot إلى البريد والملفات ومحتوى Teams ضروري لإدارة المخاطر المحتملة وضمان خصوصية البيانات.

هل يمكنني التحكم في البيانات التي يمكن لـ Copilot استخدامها، وفي مكان تخزين هذه البيانات (الاستبقاء)؟

نعم. يمكنك تهيئة استخدام Copilot والاستبقاء عبر Microsoft Purview مع Microsoft 365 والنهج في مركز إدارة Microsoft 365. استخدم Microsoft Purview لأمان البيانات وحماية المعلومات لتحديد تسميات الاستبقاء، ومدد الاستبقاء، ونهج الحذف. تساعد هذه الضوابط على ضمان توافق الاستبقاء مع متطلبات الامتثال التنظيمي والسياسات المؤسسية.

ما الحمايات المتاحة لمنع Copilot من كشف المعلومات الحساسة؟

يتضمّن أمان Microsoft 365 Copilot ضماناتٍ مدمجة، مثل نهج منع فقدان البيانات (DLP)، وتسميات حماية المعلومات في Microsoft Purview، وتسميات الحساسية، وضوابط الوصول التي تتكامل مع أذونات Microsoft 365 القائمة. ينبغي للمسؤولين تطبيق DLP عبر Microsoft Teams وExchange وSharePoint للحدّ من مخاطر ظهور البيانات الحساسة في ردود Copilot، وضمان عمليات أمنية ومراقبة قوية.

كيف تضمن Microsoft توافق Copilot مع اللوائح الإقليمية مثل اللائحة العامة لحماية البيانات (GDPR)؟

توفّر Microsoft التزامات امتثال ووثائق توضّح كيفية تلبية Microsoft 365 Copilot لمتطلبات الامتثال التنظيمي، بما في ذلك GDPR. يساعد مكان تخزين البيانات، وسجلات التدقيق، وضوابط الوصول إلى البيانات عبر Microsoft Purview لأمان البيانات، في تلبية الاحتياجات التنظيمية الإقليمية. ومع ذلك، يجب على المؤسسات أن تربط التزاماتها القانونية باستخدام Copilot، وأن تهيّئ إعدادات المستأجر لتلبية المتطلبات التنظيمية المحددة.

ما إمكانات التسجيل والتدقيق المتاحة للتفاعلات مع Microsoft 365 Copilot؟

تسجّل سجلات التدقيق استخدام Copilot وتفاعلات Microsoft 365 Copilot من خلال مركز إدارة Microsoft 365 وحلول التدقيق في Microsoft Purview. تتكامل هذه السجلات مع أنظمة إدارة المعلومات والأحداث الأمنية (SIEM) القائمة لمراقبة من استخدم Copilot، وما البيانات التي تم الوصول إليها، ومتى. يساعد تفعيل التسجيل في تلبية متطلبات إعداد التقارير الخاصة بالامتثال والتحقيقات الجنائية الرقمية، ويدعم التحديثات الأمنية وفرض النهج.

كيف أدرّب المستخدمين على الاستخدام الآمن لـ Copilot والحدّ من المخاطر المحتملة؟

ضع نهجاً واضحاً لطريقة استخدام Copilot، مع التركيز على خصوصية البيانات، وتجنّب لصق البيانات الشخصية الحساسة أو طلبها، والاستخدام ضمن حدود أذونات Microsoft 365. وفّر موارد تدريب من Microsoft Learn حول استخدام Microsoft 365 Copilot وأفضل الممارسات لتطبيقات Microsoft 365 وMicrosoft Teams. ثقّف المستخدمين حول تصنيف البيانات وتسميات الحساسية، ومتى يجب رفع مخاوف الامتثال إلى المسؤولين.

هل يمكنني دمج Microsoft Purview مع Microsoft 365 Copilot لفرض ضوابط الامتثال؟

نعم. يمكنك استخدام Microsoft Purview مع Microsoft 365 Copilot لتطبيق تصنيف البيانات وتسميات الحساسية ونهج الاستبقاء على تفاعلات Copilot. استخدم Microsoft Purview لأمان البيانات وMicrosoft Purview لحماية المعلومات لضمان التزام Copilot بقواعد معالجة البيانات، ولتطبيق حمايات آلية تمنع المشاركة غير المصرّح بها للمحتوى المحمي.

هل يخزّن Copilot المطالبات (Prompts) أو الردود، وكيف يؤثر ذلك في خصوصية البيانات؟

قد يسجّل Copilot بيانات القياس عن بُعد والبيانات الوصفية لأغراض تشغيلية وأمنية، ويخضع الاحتفاظ بالمطالبات والردود لسياسات Microsoft وإعدادات الاستبقاء في المستأجر. ينبغي للمسؤولين مراجعة وثائق Microsoft وتهيئة إعدادات الاستبقاء والخصوصية في مركز إدارة Microsoft 365 وMicrosoft Purview للتحكم في المدة التي تُحفظ فيها البيانات المرتبطة بـ Copilot، والتأكد من توافقها مع التزامات خصوصية البيانات.

ما الخطوات التي ينبغي للمسؤولين اتخاذها لتهيئة Copilot بشكل آمن وضمان الامتثال التنظيمي؟

ينبغي للمسؤولين: مراجعة أذونات Microsoft 365 القائمة، وتفعيل إعدادات أمان البيانات وحماية المعلومات في Microsoft Purview وتهيئتها، وتطبيق DLP عبر تطبيقات Microsoft 365 (بما في ذلك Teams وOutlook)، وتحديد نهج الاستبقاء للبيانات، وتفعيل التدقيق والتسجيل، وتطبيق تسميات الحساسية، واتباع الإرشادات الواردة في Microsoft Learn ووثائق الامتثال. ومراجعة تحديثات الأمان بانتظام، وتقييم المخاطر المحتملة للحفاظ على توافق Copilot مع متطلبات الامتثال التنظيمي.