Lista de verificación de seguridad de Copilot para equipos de TI

By Mirko Peters · 2026-04-19

Desplegar Microsoft Copilot en toda tu organización no es una tarea sencilla, y los riesgos de seguridad pueden ser reales si omites pasos clave. Esta lista de verificación recorre ever…

Automatically translated with AI from the original post. Read the English original

Desplegar Microsoft Copilot en toda la organización no es una tarea sencilla, y los riesgos de seguridad pueden ser reales si omites pasos clave. Esta lista de verificación recoge todo lo que los equipos de TI necesitan para integrar el uso de Copilot de forma firme dentro de los marcos de seguridad y cumplimiento que ya has construido sobre Microsoft 365 y Azure. Aprenderás exactamente cómo blindar la identidad, los permisos y los datos sensibles antes de que Copilot llegue siquiera a utilizarse. Desde los obstáculos de licencias hasta las estrategias avanzadas de riesgo, encontrarás consejos paso a paso para prevenir fugas de datos y mantener el cumplimiento, incluidas prácticas que la mayoría de las otras guías simplemente no abordan. Vamos a dejar el lanzamiento de Copilot bien asegurado: sin atajos y sin sorpresas.

Controles de seguridad fundamentales para la preparación de Microsoft 365 Copilot

Preparar tu entorno de Microsoft 365 para Copilot empieza por la seguridad en su núcleo. Antes incluso de pensar en habilitar Copilot, las organizaciones deben resolver los cimientos relacionados con las licencias, el control de acceso y la higiene de los permisos. No son opcionales: son los requisitos imprescindibles que mantienen los datos de tu equipo donde deben estar.

Quieres asegurarte de que tu base técnica cumple con todos los requisitos de Microsoft, porque omitir un paso de licencias puede abrir brechas tanto funcionales como de seguridad. También es importante aplicar el principio de mínimo privilegio a los usuarios y roles, usando herramientas como Entra ID para asegurarte de que nadie tenga más acceso del que realmente necesita. Y no olvides los riesgos ocultos en sitios antiguos de SharePoint o en archivos compartidos en exceso: las auditorías de permisos ayudan a evitar que Copilot obtenga datos que no debería.

Al centrarte primero en estos fundamentos, tu equipo de TI construye una base sólida. No se trata solo de marcar casillas, sino de establecer controles prácticos y accionables que minimicen la exposición y reduzcan el riesgo. Y cuando llegue el momento de la siguiente fase, todas las capas de seguridad que vengan después se sostendrán con mucha más solidez. Para más información sobre una gobernanza eficaz, consulta esta guía en profundidad o conoce los controles basados en directivas con este recurso sobre gobernanza.

Validación técnica de licencias para el despliegue de Copilot

Antes de que Copilot pueda activarse, debes verificar que tu inquilino de Microsoft 365 es técnicamente apto. Empieza confirmando que tu organización tiene los niveles de licencia necesarios: Copilot normalmente requiere los planes superiores de Microsoft 365. Revisa bien la ubicación de tu inquilino, ya que no todas las zonas geográficas siempre están soportadas. Asegúrate de que todos los requisitos técnicos del back-end, como los conectores de Microsoft Graph, están configurados y activados. Si falta algo, las funciones de Copilot pueden quedar bloqueadas o, peor aún, la cobertura de seguridad podría estar incompleta. Realizar una revisión exhaustiva de la preparación en licencias y técnica debe ser tu primer paso en cualquier despliegue de Copilot.

Aplicar el mínimo privilegio y controles de roles sólidos

• Revisa los roles de usuario y administrador en Entra ID (antes Azure AD). Elimina los privilegios excesivos y limita los roles de administrador únicamente al personal esencial.
• Audita la pertenencia a grupos para asegurarte de que los usuarios solo vean los datos que realmente necesitan. Los grupos demasiado amplios pueden dar a Copilot acceso no previsto a información sensible.
• Establece revisiones periódicas de las asignaciones de privilegios y de las reglas de acceso condicional. Así evitarás que tus directivas queden obsoletas o llenas de «deuda de identidad»: esas excepciones que olvidaste pueden volver para perjudicarte. Para más información, escucha estrategias para endurecer las directivas en este podcast sobre Entra ID.
• Añade capas de herramientas de seguridad como Microsoft Defender for Office 365 y Microsoft Purview para supervisar y aplicar la configuración de mínimo privilegio. Así te aseguras de que aplicar estas reglas no perjudique la experiencia del usuario. Consulta más consejos sobre cómo equilibrar seguridad y usabilidad en este recurso.

Sobreexposición de permisos y auditoría de permisos de seguridad

• Audita los enlaces para compartir y los permisos externos: Revisa todos los vínculos para compartir y el acceso de usuarios invitados en SharePoint, OneDrive y Teams. Los enlaces que pasan desapercibidos pueden exponer más de lo que imaginas. Para un enfoque práctico para detectar riesgos de uso compartido externo, consulta este análisis en profundidad.
• Revisa el contenido antiguo y obsoleto: Los sitios, carpetas o archivos huérfanos antiguos suelen tener permisos que ya no encajan con la estructura real de tu equipo. Límpialos antes de que Copilot encuentre algo que no debería.
• Asigna propietarios y responsabilidades: Asigna propietarios claros a los conjuntos de datos críticos para que las revisiones de permisos no se pasen por alto. Nada de archivos perdidos con propietarios "misteriosos". Aprende el valor de una buena gobernanza del acceso a los datos en este enlace.
• Limita el acceso de grupos amplios y reduce la complejidad de los permisos heredados: Aborda cualquier acceso antiguo o demasiado amplio que Copilot podría reflejar. Reducirlo hace que todo tu patrimonio de datos sea más seguro.

Manteniendo una cadencia de auditoría constante, tu equipo puede reducir la superficie de ataque y evitar que Copilot exponga información sin querer. Las auditorías reforzadas con herramientas y automatización deberían ser la norma, no la excepción.

Gobernanza de datos y gestión de la confidencialidad para Copilot

Ahora que tus permisos están bajo control, es momento de organizar los datos que Copilot puede ver. La gobernanza de datos no es solo una palabra de moda aquí: es el filtro que determina exactamente a qué puede acceder Copilot, qué puede resumir o qué puede generar. Si tu contenido está desordenado, es antiguo o está mal etiquetado, corres el riesgo de compartir las cosas equivocadas en el momento equivocado.

En esta sección vemos cómo Microsoft Purview, la clasificación automatizada y las etiquetas de confidencialidad trabajan juntos para construir un perímetro de datos adecuado. Verás por qué es fundamental segmentar las unidades de negocio, clasificar los datos según su confidencialidad y bloquear el contenido arriesgado con reglas de DLP (prevención de pérdida de datos), sobre todo porque Copilot está diseñado para mostrar fragmentos y resúmenes por defecto.

Una buena gobernanza significa menos preocupación por lo que Copilot "podría" exponer. Cuando defines las etiquetas y las reglas desde el principio, Copilot se convierte en una herramienta más predecible y menos arriesgada. Si quieres más estrategias sobre los controles avanzados de Purview y la aplicación de DLP, lee esta guía de gobernanza de Microsoft Purview o explora cómo crear una base ECM conforme con la normativa en este podcast.

Organiza y clasifica los datos para el acceso de Copilot

• Inventaría tus datos con Microsoft Purview: Identifica qué datos tienes, dónde se encuentran y quién es su propietario. Este inventario reduce las sorpresas.
• Limpia y archiva los datos obsoletos o redundantes: Elimina los archivos antiguos, caducados o compartidos en exceso para que Copilot no saque a la luz las recetas de sándwiches de nadie de 2017.
• Automatiza la clasificación con Purview y SharePoint: Usa reglas para etiquetar automáticamente el contenido por tipo y confidencialidad, preparando todo tu patrimonio de datos para un resumen seguro con Copilot. Descubre cómo una buena gobernanza de SharePoint ayuda a preparar la preparación para la IA en este recurso.

Usa etiquetas de confidencialidad para controlar los resúmenes de Copilot y segmentar a los usuarios sensibles

• Aplica etiquetas de confidencialidad de Microsoft Purview: Etiqueta correos electrónicos, documentos y canales de Teams para que Copilot solo resuma lo que está autorizado. Etiquetas como "Altamente confidencial" pueden impedir que Copilot acceda por completo a los archivos sensibles.
• Segmenta usuarios y grupos con etiquetado avanzado: Configura reglas de accesibilidad de Copilot independientes para los equipos directivos, jurídicos, de RRHH o cualquier grupo que necesite una seguridad más alta. Así se evita la mezcla accidental de información restringida.
• Automatiza la aplicación de etiquetas con DLP y directivas basadas en roles: Usa Purview para distribuir etiquetas y aplicar reglas en todas las cargas de trabajo, de modo que todos los resultados de Copilot hereden las restricciones adecuadas. Nada de restos sin etiquetar.
• Integra el etiquetado en la formación de usuarios y en los manuales de gobernanza: Asegúrate de que el etiquetado no sea solo cosa de TI: todo el mundo, en especial las unidades de negocio de alto riesgo, necesita orientación. Descubre cómo una gobernanza eficaz y un centro de aprendizaje refuerzan la seguridad en esta guía.

Para un análisis más detallado del tratamiento de contenido sensible y de DLP en Power Platform, consulta este recurso sobre gobernanza.

Implementa directivas de DLP para evitar la fuga de datos

• Despliega plantillas de DLP compatibles con Copilot: Configura reglas de DLP que detecten y eviten que el contenido sensible se resuma o se comparta a través de chats de Copilot, correos electrónicos o documentos.
• Supervisa las infracciones en los registros de DLP: Revisa periódicamente los registros para detectar acciones arriesgadas de Copilot y ajusta las directivas para resolver los problemas recurrentes. Encontrarás más información sobre la configuración práctica de DLP en esta guía.
• Integra DLP con Power Platform y los entornos predeterminados: La mayoría de las fugas de datos se originan en rincones sin gobernanza, y la configuración predeterminada nunca es suficiente. Para movimientos de DLP más avanzados, escucha este podcast.

Estrategia de despliegue seguro y planificación del piloto

Incluso con todos los controles adecuados, la forma más segura de lanzar Copilot en tu organización es un enfoque por fases basado en pilotos. Lanzarse de lleno a un despliegue masivo puede dejarte expuesto a lagunas de configuración, comportamientos inesperados y límites de permisos no probados.

Esta sección explica cómo configurar un piloto validado por riesgo, para que puedas evaluar tanto la postura de seguridad de Copilot como el valor real para el negocio. Verás un plan paso a paso de 4 semanas que abarca desde la aprobación de las partes interesadas hasta la activación de la supervisión y la formación. Lo más importante es que aprenderás a poner en marcha esos controles, asegurándote de que el registro, las alertas y la gobernanza funcionen correctamente antes de ampliar el despliegue más allá de tu grupo inicial.

Este método ayuda a tu equipo a detectar problemas a tiempo, ajustar directivas y adaptar la comunicación, todo ello antes de que cientos (o miles) de usuarios se vean implicados. ¿Quieres una mejor adopción, menos caos y menos incidentes de seguridad de última hora? Todo empieza con un piloto bien ejecutado. Para más información sobre la formación eficaz en Copilot y los centros de aprendizaje, consulta este recurso.

Diseño del piloto de Copilot y pruebas validadas por riesgo

• Selecciona un grupo piloto representativo: Elige entre 20 y 50 usuarios de distintos departamentos y funciones, incluyendo tanto a los usuarios que trabajan intensivamente con datos como a quienes tienen privilegios elevados.
• Diseña escenarios de prueba basados en riesgos: Crea escenarios que pongan a prueba deliberadamente la respuesta de Copilot ante los límites de permisos, las consultas de eDiscovery y las solicitudes de contenido sensible. No suavices el piloto: somételo a pruebas de estrés.
• Supervisa los resultados inesperados: Usa esta fase para detectar problemas que Copilot pueda introducir en relación con el acceso, el uso compartido o las alertas de cumplimiento.
• Itera la configuración y los controles: Recoge los comentarios de los usuarios del piloto y ajusta las directivas de Copilot antes de escalar. Esto elimina las conjeturas y hace que todos, desde seguridad hasta negocio, se sientan parte del éxito del despliegue.

Plan paso a paso de preparación y despliegue en 4 semanas

1. Semana 1: Alineación del alcance – Define los objetivos del proyecto, selecciona los usuarios del piloto y confirma las licencias y la preparación técnica.
2. Semana 2: Acceso mínimo viable – Restringe el acceso de Copilot, configura las directivas de DLP y bloquea la compartición excesiva mientras activas la supervisión clave.
3. Semana 3: Instrumentación del piloto – Habilita el registro de auditoría, configura la supervisión de indicaciones y respuestas, y revisa las interacciones de Copilot en busca de riesgos.
4. Semana 4: Ampliación controlada – Aumenta el acceso a Copilot con cuidado, resuelve los problemas y amplía el soporte a los usuarios. Cada fase se construye sobre las lecciones de la semana anterior.

Operacionaliza los controles de seguridad de Copilot antes de la ampliación

• Habilita la supervisión continua: Asegúrate de que los registros de auditoría, las alertas de DLP y la aplicación de etiquetas estén activos y se puedan revisar en tiempo real.
• Establece una cadencia de formación para los usuarios: Lanza una formación formal en seguridad antes de ampliar el uso, para que todo el mundo entienda las reglas del juego.
• Prueba los flujos de gobernanza y los planes de respuesta: Entrena a tu equipo en la revisión de alertas, la respuesta a incidentes y la actualización de directivas de Copilot antes de dar acceso a una audiencia más amplia.

Y si quieres más detalle sobre la automatización de la gobernanza o la puesta en práctica de controles, puedes consultar temas relacionados redirigidos desde este centro de automatización con PowerShell (aunque la página principal no está disponible, te llevará a recursos actualizados).

Supervisión, auditoría y cumplimiento del uso de Copilot

Una vez que Copilot esté en funcionamiento, necesitarás tener una visión clara de cómo se usa día a día. Configurar una supervisión sólida, un registro de auditoría completo y un seguimiento de cumplimiento riguroso es tu red de seguridad, que garantiza que cada interacción con Copilot sea trazable y revisable.

Esta sección detalla cómo activar y validar los registros de auditoría que capturan cada prompt, respuesta y transacción de datos de Copilot. También aborda cómo vigilar la actividad de uso compartido, sobre todo cuando se extiende a usuarios externos, invitados o dispositivos no administrados. Al monitorizar activamente las señales de riesgo y aplicar tu marco de cumplimiento, estarás preparado para las auditorías y para cualquier sorpresa que traigan los nuevos flujos de trabajo impulsados por IA.

La supervisión centralizada y documentada no es solo una formalidad: genera confianza en la dirección, los usuarios finales y los auditores por igual. Empieza con estrategias de auditoría para todo el inquilino en este recurso de auditoría de Purview o conoce el cumplimiento continuo y la monitorización en tiempo real con Microsoft Defender for Cloud.

Confirmar y supervisar el registro de auditoría de Copilot

Habilita el registro de auditoría en todas las cargas de trabajo de Microsoft 365 que se integran con Copilot. Asegúrate de que los registros capturen los prompts y las salidas de Copilot, así como cualquier evento de acceso a datos; esto es fundamental para el seguimiento de cumplimiento y las investigaciones forenses. Centraliza todos los registros de auditoría en una plataforma accesible para tus equipos de seguridad y cumplimiento. Documenta las configuraciones de Copilot en tu directiva de auditoría principal para que todos los cambios y actividades puedan rastrearse y revisarse en caso de incidente.

Supervisar y restringir los riesgos de uso compartido y acceso externo

• Configura alertas para cualquier archivo o mensaje habilitado para Copilot que se comparta externamente, incluidos los accesos de invitados y los dispositivos no administrados.
• Supervisa el comportamiento de los usuarios para detectar cambios repentinos de permisos, picos de uso compartido generalizado o accesos de usuarios que normalmente no trabajan con determinados conjuntos de datos.
• Revisa periódicamente los archivos de registro y aplica automatización con PowerShell para un análisis más profundo cuando sea necesario. Para marcos que ayuden a detectar riesgos antes de que se conviertan en un desastre, consulta esta guía sobre seguridad del uso compartido.

Requisitos de cumplimiento, privacidad y legales para Copilot

• Define con claridad los usos aceptables de Copilot: Recoge por escrito el lenguaje de uso aceptable de Copilot en tus directivas de cumplimiento e incorpóralo a la incorporación de nuevos usuarios y a las comunicaciones.
• Alinea las prácticas de Copilot con las normativas de privacidad y regulatorias: Asegúrate de que todo el procesamiento relacionado con Copilot cumpla las normas específicas de cada sector (HIPAA, RGPD, etc.) y las expectativas de privacidad de la organización.
• Prepara las pruebas de auditoría y los marcos de referencia: Prepárate para demostrar los controles de Copilot durante auditorías externas, incluyendo la retención de registros, la documentación de controles y las evidencias de los flujos de trabajo. Para profundizar en las brechas de gobernanza, consulta este artículo sobre la deriva del cumplimiento.
• Responde con rapidez a los eventos de cumplimiento: Si una acción de Copilot provoca un evento de riesgo, activa un flujo de revisión y gestión de incidentes ya establecido. Este enfoque proactivo evita que los problemas pequeños se conviertan en quebraderos de cabeza para las auditorías.

Liderazgo, gobernanza y estrategias de mitigación de riesgos

Ningún proyecto de Copilot está realmente seguro si la dirección no participa activamente desde el principio. No es solo un problema de TI: los CIO, el área jurídica, cumplimiento y los responsables de las unidades de negocio tienen mucho que decir en la definición de los límites y en garantizar que Copilot se use de forma segura y adecuada.

Esta sección incluye listas de verificación de referencia rápida que mantienen a todos responsables, así como preguntas difíciles que todo líder debería plantear antes y después del despliegue. También encontrarás una visión sin rodeos de los riesgos reales: inyección de prompts, fugas de datos descontroladas y las "trampas" aprendidas sobre el terreno. Incorporar al comité de gobernanza adecuado crea una línea de defensa integrada frente a posibles incidentes de IA. Para más información sobre la necesidad de los comités de gobernanza y las barreras de protección de una IA responsable, consulta este análisis o explora el papel de la arquitectura del plano de control en esta página.

Con una estructura de gobernanza sólida y herramientas prácticas y accionables, preparas a tu organización tanto para innovar con seguridad como para mantener el cumplimiento a largo plazo.

Listas de verificación para líderes y responsables de la preparación de Copilot

• Validación técnica y de licencias: Confirma que el entorno cumple todos los requisitos de Microsoft Copilot y que las licencias adecuadas están asignadas antes del despliegue.
• Aprobación del comité de gobernanza: Obtén la aprobación del comité de gobernanza de IA, cumplimiento o riesgos, confirmando que está alineado con las políticas de uso de datos y privacidad. Para entender la importancia de estos comités, consulta este episodio.
• Comunicación con las partes interesadas y los usuarios: Redacta y distribuye actualizaciones claras para los usuarios sobre qué es Copilot, sus riesgos y cómo se espera que lo utilicen.
• Responsabilidad sobre la propiedad: Identifica a los responsables de los datos críticos, de la configuración de Copilot y de la respuesta a incidentes. Nada de adivinar quién debe actuar cuando surjan problemas.

Preguntas clave para la dirección y definición del uso aceptable

• ¿Qué datos puede y no puede acceder Copilot? Asegúrate de que no sea una caja negra: exige transparencia tanto a TI como a Microsoft a la hora de definir los límites.
• ¿Quién responde por las acciones de Copilot? La responsabilidad no puede ser ambigua: cada incidente de Copilot debe tener un responsable designado o un propietario de negocio.
• ¿Dónde están las trampas legales o regulatorias? Pregunta qué ocurre si Copilot procesa o genera contenido regulado y cómo se marca en tu configuración de cumplimiento.
• ¿Qué constituye un uso indebido de Copilot? Redacta declaraciones de "uso aceptable" en lenguaje sencillo, fáciles de seguir para cualquiera y evitando en lo posible el lenguaje jurídico. Para más estrategias de gobernanza, consulta esta lista de verificación para el despliegue.
• ¿Cómo se registrarán y resolverán los incidentes o eventos de cumplimiento? Asegúrate de que la supervisión, los informes y las rutas de escalado no solo estén documentados, sino que formen parte de tus flujos de trabajo reales.

Riesgos de seguridad, inyección de prompts y estrategias de mitigación

• Riesgos de inyección de prompts: Atacantes o usuarios podrían diseñar prompts astutos que extraigan información sensible o eludan los controles de contenido. Prueba siempre la lógica de Copilot con escenarios tanto útiles como adversarios para detectar posibles brechas.
• Fuga de datos a través de los resúmenes de IA: Sin un etiquetado cuidadoso y sin capas de DLP, Copilot podría resumir o combinar información de fuentes restringidas en un resultado que eluda los controles clásicos. Para conocer los riesgos ocultos en los datos derivados, lee este caso práctico de gobernanza.
• Accesos excesivamente permisivos: Si los usuarios o los agentes tienen permisos amplios en la API de Graph, Copilot puede "ver" más de lo previsto, sobre todo con la proliferación heredada de grupos.
• Estrategias de mitigación: Aplica por defecto una etiqueta a todos los resultados de IA, restringe el resumen al mínimo privilegio necesario, audita periódicamente el contenido derivado e introduce puertas de revisión para los cuadernos y para la compartición de resultados extensos.
• Lecciones principales aprendidas: Hemos visto despliegues descarrilados por resultados sin etiquetar, registros de auditoría ignorados y falta de compromiso de los líderes de negocio. Trata a Copilot como un ciudadano de primera clase en tu estructura de gobernanza: no lo consideres un experimento exclusivo de TI.

Seguridad de las instrucciones de Copilot y prácticas seguras de entrada para equipos de TI

Ya tienes permisos, monitorización y gobernanza implantados, pero no olvides que lo que la gente escribe en Copilot puede marcar la diferencia en tu seguridad. La inyección de instrucciones (prompt injection), las instrucciones adversarias y los intentos de "jailbreaking" pueden engañar a Copilot para que revele o deduzca datos sensibles. La mayoría de las listas de verificación de la competencia pasan esto por alto, pero es un área de preocupación que crece rápidamente a medida que las empresas apuestan fuerte por los modelos de lenguaje de gran tamaño.

Esta sección abre nuevo terreno al ofrecer a los equipos de TI controles proactivos para detectar y bloquear instrucciones maliciosas o excesivamente descriptivas. También verás qué incluye una formación eficaz para que nadie exponga información sensible sin querer. Las normas están evolucionando, y tu manual de gestión de instrucciones debe evolucionar con ellas. Para saber más sobre cómo gobernar el comportamiento seguro de los agentes de IA, lee estas buenas prácticas de gobernanza.

Mitigar la inyección de instrucciones y el jailbreaking en Copilot

• Monitoriza las instrucciones sospechosas o adversarias: Configura herramientas que marquen las solicitudes que intentan eludir las restricciones de Copilot o sonsacar información sensible con rodeos.
• Detecta la manipulación de contexto y los ataques indirectos: Enseña a Copilot a reconocer cuándo las entradas contienen instrucciones incrustadas («Finge que no eres un asistente...») o intentos de ataques de instrucciones de «doble uso».
• Implanta controles por capas: Restringe el contexto de las instrucciones de Copilot a los datos de la sesión activa y aplica límites estrictos a la IA siempre que sea posible, impidiendo que los resúmenes mezclen conjuntos de datos. Conoce la identidad de los agentes y los planos de control en la IA empresarial en este artículo.

Buenas prácticas con las instrucciones y pautas de formación para usuarios

• Establece pautas para redactar instrucciones: Forma a los usuarios para que no incluyan datos personales, secretos empresariales ni información confidencial en sus instrucciones.
• Ofrece concienciación de seguridad específica: Organiza talleres de seguridad centrados en Copilot, mostrando errores habituales y ejemplos reales de explotación.
• Proporciona plantillas de instrucciones para escenarios de alto riesgo: Ofrece a los usuarios plantillas seguras y aprobadas, y especifica con claridad qué es y qué no es apropiado pedir a Copilot.
• Enfoque de aprendizaje continuo: Los ciclos de retroalimentación, los cuestionarios y la microformación ayudan a ajustar el comportamiento a medida que se publican nuevas funciones de Copilot.

Flujo de datos entre servicios y riesgos del contexto de Copilot

Copilot no se limita a una sola aplicación: extrae contexto de Teams, SharePoint, Outlook y mucho más. Aunque eso es fantástico para la productividad, plantea nuevos riesgos, especialmente cuando la información cruza lo que deberían ser límites internos. La propagación de datos sin control puede provocar filtraciones involuntarias de información sensible, ya sea por inferencia o por sobreexposición.

Esta sección trata de mapear, auditar y establecer barreras de protección sobre cómo Copilot combina el contexto entre servicios. Verás estrategias para asegurarte de que Copilot no combine por error información que debería permanecer separada. Con una buena asignación de datos y capas de DLP, las organizaciones pueden mantener a Copilot flexible para los usuarios sin comprometer el cumplimiento normativo. Para conocer los riesgos de los cimientos de datos débiles y los colapsos de gobernanza, consulta este caso de advertencia sobre gobernanza.

Asignar y controlar el flujo de contexto de datos de Copilot en Microsoft 365

• Inventaría los datos a los que accede Copilot: Documenta qué aplicaciones (Teams, OneNote, Outlook, SharePoint, etc.) puede consultar Copilot y qué grupos o cuentas controlan esos permisos.
• Define límites de resumen por unidad de negocio: Restringe la combinación de datos de Copilot a combinaciones previamente aprobadas; por ejemplo, no mezclar datos de Legal y de Ventas.
• Activa controles basados en directivas con Purview y Conditional Access: Usa la clasificación, DLP y la supervisión en tiempo real para evitar la mezcla no autorizada de contextos. Para saber más sobre cómo equilibrar la seguridad y la usabilidad en M365, consulta esta guía práctica.

Evita la exposición implícita de datos en los resúmenes generados por IA

• Reconoce los riesgos de exposición compuesta: Entiende cómo entradas no sensibles pueden revelar conclusiones sensibles. Los resúmenes de Copilot que combinan el contenido del calendario con los hitos del proyecto pueden revelar sin querer prioridades de proyecto clasificadas.
• Aplica DLP por capas y segmenta el contenido: No confíes solo en el DLP clásico; usa una segmentación basada en roles y restringe el alcance de los resúmenes dentro de la configuración de IA de Copilot.
• Combina directivas y realiza auditorías periódicas: Prueba las salidas de Copilot en busca de filtraciones indirectas y actualiza las directivas de DLP y de etiquetas para cerrar las brechas de cobertura a medida que aparezcan.
• Enseña a los usuarios sobre los riesgos de inferencia de la IA: Incluye en la formación ejemplos en los que consultas aparentemente inofensivas provocan fugas de datos inesperadas, lo que refuerza la necesidad de cuidar las entradas y revisar los resultados.

Gestión de la seguridad de aplicaciones y complementos de terceros con Copilot

La superficie de ataque crece cuando conectas herramientas o aplicaciones de terceros a Microsoft 365, y Copilot no es una excepción. Las integraciones con Salesforce, Zoom, Slack o incluso los conectores de Power Platform pueden introducir riesgos de seguridad si no se supervisan.

Esta sección muestra cómo auditar y evaluar los complementos habilitados para Copilot, comprobando si hay acceso arriesgado a los datos o permisos obsoletos que podrían heredarse. También verás métodos para impedir flujos de datos no deseados entre Copilot y las aplicaciones SaaS conectadas, de modo que tu límite de cumplimiento no se vea comprometido por un solo conector. Para profundizar en la gobernanza de Power Platform y en el control del riesgo de los desarrolladores ciudadanos, visita este recurso.

Evalúa los riesgos de seguridad de los complementos de terceros habilitados para Copilot

• Audita todas las aplicaciones de terceros integradas con Copilot: Enumera cada aplicación o complemento conectado a Copilot y revisa sus permisos y flujos de datos.
• Analiza los riesgos del acceso a datos y la herencia de permisos: Comprueba si algún complemento concede permisos más amplios de Graph API o de administrador, lo que podría elevar el acceso de Copilot.
• Actualiza los flujos de aprobación y revisión de aplicaciones: Usa el portal de Microsoft 365 AppSource para todas las aprobaciones. Bloquea o restringe las aplicaciones que estén desactualizadas, no sean seguras o no cumplan tus requisitos de cumplimiento.

Controla el acceso a datos entre Copilot y las aplicaciones SaaS conectadas

• Implementa flujos de aprobación: Permite las integraciones solo tras una revisión formal de TI, asegurándote de que todas las conexiones SaaS tengan una necesidad empresarial legítima y un alcance claramente documentado.
• Aplica DLP y acceso condicional: Aplica reglas de DLP y directivas de acceso sensibles al contexto para supervisar y detener los movimientos de datos no autorizados fuera del entorno de Microsoft 365.
• Supervisa la actividad en tiempo de ejecución y a nivel de conector: Revisa los registros de cada conector y configura alertas automáticas ante actividad inusual entre servicios o extracciones de datos a gran escala. Para más información sobre el riesgo del TI en la sombra y la supervisión en tiempo de ejecución, consulta este recurso.