רשימת בדיקה לאבטחת Copilot עבור צוותי IT

By Mirko Peters · 2026-04-19

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Security Checklist for IT Teams

פריסת Microsoft Copilot בכל הארגון אינה משימה פשוטה, וסיכוני האבטחה עלולים להיות ממשיים אם מדלגים על שלבים מרכזיים. רשימת בדיקה זו מפרטת את כל מה שצוותי IT צריכים כדי לשלב את השימוש ב-Copilot בתוך מסגרות האבטחה והציות שבניתם על בסיס Microsoft 365 ו-Azure. תלמדו בדיוק כיצד לנעול זהות, הרשאות ונתונים רגישים לפני ש-Copilot נחשף למשתמשים. משלב הרישוי ועד לאסטרטגיות סיכון מתקדמות, תמצאו הנחיות מפורטות למניעת דליפות מידע ולשמירה על ציות, כולל פרקטיקות שרוב המדריכים האחרים פשוט אינם מתייחסים אליהן. בואו נהדק את השקת Copilot עד הפרט האחרון, בלי קיצורי דרך ובלי הפתעות.

בקרות אבטחה בסיסיות להכנה ל-Microsoft 365 Copilot

הכנת סביבת Microsoft 365 ל-Copilot מתחילה באבטחה בליבת העניין. לפני שבכלל שוקלים להפעיל את Copilot, הארגונים צריכים לטפל בתשתית היסוד: רישוי, בקרת גישה ותחזוקת הרשאות תקינה. אלה אינם אופציונליים, אלה הדברים ההכרחיים ששומרים על הנתונים של הצוות במקומם.

כדאי לוודא שהבסיס הטכני שלכם עומד בכל הדרישות של Microsoft, כי דילוג על שלב רישוי אחד עלול לפתוח פערים הן פונקציונליים והן אבטחתיים. יש גם חשיבות לאכיפת עיקרון ההרשאה המינימלית על פני משתמשים ותפקידים, באמצעות כלים כמו Entra ID, כדי לוודא שאף אחד אינו מחזיק בגישה רבה מזו שהוא באמת צריך. ואל תשכחו את הסיכונים הסמויים באתרי SharePoint ישנים ובקבצים עם שיתוף יתר. ביקורות הרשאות מסייעות למנוע מ-Copilot לשלוף נתונים שאסור לו לגעת בהם.

בהתמקדות בעקרונות היסוד קודם כל, צוות ה-IT בונה בסיס יציב. מדובר לא רק בסימון תיבות, אלא בהקמת בקרות מעשיות וברות ביצוע שמצמצמות חשיפה ומפחיתות סיכון. וכשתהיו מוכנים לשלב הבא, כל שכבת אבטחה שתבוא אחריה תעמוד על בסיס איתן יותר. למידע נוסף על ממשל תקין, עיינו במדריך מעמיק זה או למדו על בקרות מונעות מדיניות עם משאב הממשל הזה.

אימות רישוי טכני לפריסת Copilot

לפני שניתן להפעיל את Copilot, יש לוודא שהדייר שלכם ב-Microsoft 365 עומד בתנאי הזכאות הטכניים. התחילו באישור שהארגון פועל בשכבות הרישוי הנדרשות: Copilot דורש בדרך כלל את תוכניות Microsoft 365 המתקדמות ביותר. בדקו שוב את מיקום הדייר, שכן לא תמיד נתמכים אזורים גיאוגרפיים מסוימים. ודאו שכל דרישות התשתית הרלוונטיות, כמו מחברי Microsoft Graph, מוגדרות ומופעלות. אם חסר משהו, תכונות Copilot עלולות להיחסם, או גרוע מכך, כיסוי האבטחה עלול להיות לא שלם. ביצוע בדיקת רישוי ומוכנות טכנית מקיפה צריך להיות הצעד הראשון שלכם בכל פריסה של Copilot.

אכיפת הרשאה מינימלית ובקרות תפקידים חזקות

בדקו את תפקידי המשתמשים והמנהלים ב-Entra ID (שהיה בעבר Azure AD). הסירו הרשאות עודפות וצמצמו את תפקידי הניהול לאנשים החיוניים בלבד.
בצעו ביקורת על חברויות בקבוצות כדי לוודא שמשתמשים רואים רק את הנתונים שהם באמת צריכים. קבוצות רחבות מדי עלולות להעניק ל-Copilot גישה לא מכוונת למידע רגיש.
הקימו סקירות קבועות של הקצאות הרשאות וכללי גישה מותנית. כך המדיניות שלכם לא תתיישן או תתמלא ב"חוב זהות" - אותם חריגים שנשכחו עלולים לחזור ולהיות בעיה. למידע נוסף, האזינו לאסטרטגיות לחיזוק המדיניות בפודקאסט זה על Entra ID.
שכבו כלי אבטחה כמו Microsoft Defender for Office 365 ו-Microsoft Purview כדי לנטר ולאכוף הגדרות הרשאה מינימלית. כך מוודאים שאכיפת הכללים לא תפגע בחוויית המשתמש. מצאו עוד טיפים לאיזון בין אבטחה לשימושיות במשאב זה.

שיתוף יתר של הרשאות וביקורת הרשאות אבטחה

ביקורת קישורי שיתוף והרשאות חיצוניות: בדקו את כל קישורי השיתוף ואת הגישה של משתמשי אורח ב-SharePoint, ב-OneDrive וב-Teams. קישורים שנשכחו עלולים לחשוף יותר ממה שחשבתם. לגישה מעשית לזיהוי סיכוני שיתוף חיצוני, היכנסו למדריך המעמיק הזה.
בדיקת תוכן ישן ומיושן: אתרים, תיקיות או קבצים יתומים ישנים נוטים לכלול הרשאות שכבר אינן תואמות את מבנה הצוותים בפועל. נקו אותם לפני ש-Copilot ימצא משהו שלא היה צריך למצוא.
אכיפת בעלות ואחריות: הקצו בעלים ברורים לכל מערכי הנתונים הקריטיים, כדי שבדיקות ההרשאות לא יתפספסו. אין עוד קבצים נטושים עם בעלים "מסתורי". על חשיבות ממשל גישה חזק לנתונים תוכלו לקרוא בקישור הזה.
הגבלת גישה קבוצתית רחבה וצמצום מורכבות הרשאות מדור קודם: טפלו בכל גישה ישנה או רחבה מדי שעלולה Copilot לשקף. צמצום הדברים האלה הופך את כלל הנתונים הארגוניים שלכם לבטוחים יותר.

ביקורת תקופתית ושמירה על קצב קבוע יקטינו את משטח התקיפה וימנעו מ-Copilot לחשוף מידע בשוגג. ביקורת מורחבת בעזרת כלים ואוטומציה צריכה להיות הנורמה, ולא היוצא מן הכלל.

ממשל נתונים וניהול רגישות עבור Copilot

עכשיו, כשההרשאות שלכם בשליטה, הגיע הזמן לארגן את הנתונים עצמם שאותם Copilot יכול לראות. ממשל נתונים כאן אינו סתם מונח אופנתי, הוא המסנן שקובע בדיוק מה Copilot יכול לגשת אליו, לסכם או ליצור. אם התוכן שלכם לא מסודר, ישן או מתויג בצורה לקויה, אתם מסתכנים בשיתוף הדברים הלא נכונים בזמן הלא נכון.

סעיף זה עוסק באופן שבו Microsoft Purview, סיווג אוטומטי ותוויות רגישות פועלים יחד כדי לבנות היקף נתונים תקין. תראו מדוע חשוב לחלק את יחידות העסק, לסווג נתונים לפי רמת סודיות ולחסום תוכן מסוכן באמצעות כללי DLP (Data Loss Prevention), במיוחד מפני ש-Copilot תוכנן להציג קטעים וסיכומים מתוך הדברים.

ממשל נתונים נכון פירושו פחות דאגה ממה ש-Copilot "עלול" לחשוף. כשמגדירים תוויות וכללים מראש, Copilot הופך לכלי צפוי ופחות מסוכן. לאסטרטגיות נוספות לבקרות מתקדמות של Purview ולאכיפת DLP, קראו את מדריך הממשל הזה של Microsoft Purview, או גלו כיצד לבנות בסיס ECM תואם תקנות עם הפודקאסט הזה.

ארגון וסיווג נתונים לגישה של Copilot

מיפוי הנתונים שלכם עם Microsoft Purview: מפו אילו נתונים יש לכם, היכן הם נמצאים ומי הבעלים שלהם. המיפוי הזה מצמצם הפתעות.
ניקוי וארכוב של נתונים מיושנים או כפולים: הסירו קבצים ישנים, מיושנים אוששותפו יתר על המידה, כדי ש-Copilot לא ימשוך מסמכים אקראיים, כמו מתכוני הכריכים של מישהו משנת 2017.
אוטומציה של סיווג באמצעות Purview ו-SharePoint: השתמשו בכללים לתיוג אוטומטי של תוכן לפי סוג ורגישות, כך שכלל הנתונים שלכם יהיו מוכנים לסיכום בטוח על ידי Copilot. על האופן שבו ממשל SharePoint תקין מסייע בהכנה לעידן ה-AI תוכלו לקרוא במשאב הזה.

שימוש בתוויות רגישות כדי לשלוט בסיכומי Copilot ולבודד משתמשים רגישים

החלת תוויות רגישות של Microsoft Purview: תייגו הודעות דוא"ל, מסמכים וערוצי Teams, כך ש-Copilot יסכם רק את מה שאושר. תוויות כמו "Highly Confidential" יכולות לחסום לחלוטין את Copilot מקבצים רגישים.
חלוקת משתמשים וקבוצות באמצעות תיוג מתקדם: הגדירו כללי נגישות נפרדים ל-Copilot עבור הנהלה בכירה, משפטי, משאבי אנוש או כל קבוצה שנדרשת לרמת אבטחה גבוהה יותר. כך מונעים זליגה בשוגג של מידע מוגבל בין קבוצות.
אוטומציה של אכיפת תוויות באמצעות DLP ומדיניות מבוססת תפקידים: השתמשו ב-Purview כדי להפיץ תוויות ולאכוף כללים בכל שירותי העבודה, כך שכל הפלטים של Copilot יירשו את המגבלות הנכונות. אין עוד שאריות לא מתויגות.
שילוב תיוג בהדרכת משתמשים ובספרי מדיניות ממשל: חשוב לוודא שהתיוג אינו עניין של צוות IT בלבד. כולם, ובמיוחד יחידות עסקיות בסיכון גבוה, זקוקים להנחיה. למדו כיצד ממשל אפקטיבי ומרכז למידה מחזקים את האבטחה במדריך זה.

להעמקה בטיפול בתוכן רגיש ובמניעת אובדן נתונים (DLP) ב-Power Platform, עיינו במקור הממשל הזה.

הטמעת מדיניות DLP למניעת דליפת נתונים

פריסת תבניות DLP המותאמות ל-Copilot: הגדירו כללי DLP שמזהים ומונעים סיכום או שיתוף של תוכן רגיש דרך צ'אטים, הודעות דוא"ל או מסמכים של Copilot.
ניטור הפרות ביומני DLP: בדקו את היומנים באופן קבוע לזיהוי פעולות מסוכנות של Copilot, והתאימו את המדיניות כדי לטפל בבעיות חוזרות. למידע נוסף על הגדרה מעשית של DLP, עיינו במדריך זה.
שילוב DLP עם Power Platform וסביבות ברירת המחדל: מרבית דליפות הנתונים נובעות מפינות לא מנוהלות, וברירות המחדל לא מספיקות לעולם. לצעדים מתקדמים יותר ב-DLP, האזינו לפודקאסט זה.

תוכנית פריסה מאובטחת ותכנון פיילוט

גם עם כל הבקרות הטובות ביותר במקומן, הדרך הבטוחה ביותר להשיק את Copilot בארגון היא גישה מדורגת המבוססת על פיילוט. זינוק ישיר לפריסה רחבה עלול לחשוף אתכם לפערי הגדרות, להתנהגויות מפתיעות ולגבולות הרשאות שלא נבחנו.

חלק זה מפרט כיצד להגדיר פיילוט שנבדק מבחינת סיכונים, כך שתוכלו להעריך הן את מצב האבטחה של Copilot והן את הערך העסקי בפועל. תמצאו תוכנית שלב-אחר-שלב של 4 שבועות, הכוללת הכול, מהגדרת בעלי העניין ועד הפעלת ניטור והדרכה. והחשוב מכל: תלמדו כיצד להפעיל את הבקרות בפועל, ולוודא שרישום אירועים, התראות וממשל פועלים כשורה לפני שמרחיבים מעבר לקבוצה הראשונית.

גישה זו עוזרת לצוות שלכם לזהות בעיות מוקדם, לחדד מדיניות ולהתאים את התקשורת, והכול לפני שמאות (או אלפי) משתמשים מעורבים. רוצים אימוץ טוב יותר, פחות כאוס ופחות תקריות אבטחה דחופות? הכול מתחיל בפיילוט מנוהל היטב. למידע נוסף על הדרכה יעילה ל-Copilot ומרכזי למידה, עיינו במשאב זה.

תכנון פיילוט של Copilot ובדיקות מבוססות סיכון

בחירת קבוצת פיילוט מייצגת: בחרו 20 עד 50 משתמשים ממחלקות ותפקידים שונים, וודאו שהקבוצה כוללת גם משתמשים שמשתמשים בנתונים בצורה אינטנסיבית וגם כאלה שיש להם הרשאות מוגברות.
תכנון תרחישי בדיקה מבוססי סיכון: בנו תרחישים שבודקים במכוון את תגובתו של Copilot לגבולות הרשאות, לשאילתות eDiscovery ולבקשות לתוכן רגיש. אל תרככו את הפיילוט, בצעו עליו בדיקת עומסים מלאה.
ניטור תוצאות בלתי צפויות: השתמשו בשלב זה כדי לאתר בעיות שעלולות להיגרם על ידי Copilot בנוגע לגישה, לשיתוף או להתראות ציות.
שינוי חוזר של הגדרות ובקרות: אספו משוב ממשתמשי הפיילוט והתאימו את מדיניות Copilot לפני ההרחבה. כך מצמצמים ניחושים, ומעניקים לכל הצדדים, מאבטחה ועד העסק, אחריות להצלחת הפריסה.

תוכנית מוכנות ופריסה של 4 שבועות, שלב אחר שלב

שבוע 1: יישור קו בהיקף – הגדירו את יעדי הפרויקט, בחרו את משתמשי הפיילוט ואשרו מוכנות רישוי וטכנית.
שבוע 2: גישה מינימלית הכרחית – הגבילו את הגישה של Copilot, הגדירו מדיניות DLP, צמצמו שיתוף יתר והפעילו ניטור מרכזי.
שבוע 3: הטמעת מדידה בפיילוט – הפעילו רישום ביקורת (audit logging), הגדירו ניטור של בקשות ותגובות, ובדקו את האינטראקציות של Copilot לאיתור סיכונים.
שבוע 4: הרחבה מבוקרת – הגדילו בזהירות את הגישה של Copilot, פתרו בעיות והרחיבו את התמיכה במשתמשים. כל שלב נבנה על הלקחים מהשבוע שקדם לו.

הפעלת בקרות אבטחה של Copilot לפני ההרחבה

הפעלת ניטור רציף: וודאו שרישומי הביקורת, התראות DLP ואכיפת התוויות פועלים וניתנים לבדיקה בזמן אמת.
קבעו קצב קבוע להדרכת משתמשים: הפעילו הדרכת אבטחה רשמית לפני הרחבת השימוש, כדי שכולם יבינו את הכללים הבסיסיים.
בדקו תהליכי ממשל ותוכניות תגובה: תרגלו את הצוות שלכם בסקירת התראות, בתגובה לאירועים ובעדכוני מדיניות Copilot לפני מתן גישה לקהל רחב יותר.

ואם אתם מעוניינים בפירוט נוסף על אוטומציה של ממשל או על הפעלה מעשית של בקרות, תוכלו לעיין בנושאים קשורים שמפנים אל מרכז אוטומציית PowerShell זה (גם אם העמוד הראשי אינו זמין, הוא יפנה אתכם למשאבים מעודכנים).

ניטור, ביקורת וציות לשימוש ב-Copilot

לאחר שה-Copilot פועל, תצטרכו תמונה ברורה של האופן שבו הוא משמש מדי יום. הקמת ניטור יעיל, רישום ביקורת מקיף ומעקב ציות מוקפד היא רשת הביטחון שלכם, וכך כל אינטראקציה עם Copilot ניתנת למעקב ולסקירה.

סעיף זה מפרט כיצד להפעיל ולאמת יומני ביקורת שמתעדים כל הנחיה, תגובה ופעולה על נתונים ב-Copilot. הוא גם עוסק באופן שבו לעקוב אחר פעילות שיתוף, במיוחד כשהיא חורגת אל משתמשים חיצוניים, אורחים או מכשירים לא מנוהלים. באמצעות מעקב פעיל אחר אותות סיכון ואכיפה של מסגרת הציות שלכם, תהיו מוכנים לביקורות ולהפתעות שמגיעות עם תהליכי עבודה חדשים מבוססי בינה מלאכותית.

פיקוח מרכזי ומתועד אינו עניין של מראית עין: הוא בונה אמון מול ההנהלה, המשתמשים הקצה והמבקרים כאחד. התחילו באסטרטגיות ביקורת ברמת הדייר כולו במשאב הביקורת של Purview, או למדו על ציות מתמשך וניטור בזמן אמת באמצעות Microsoft Defender for Cloud.

אישור ניטור רישום הביקורת של Copilot

הפעילו רישום ביקורת בכל שירותי Microsoft 365 המשולבים עם Copilot. ודאו שהיומנים מתעדים את ההנחיות של Copilot, הפלטים שלו וכל אירוע גישה לנתונים. זה קריטי למעקב ציות ולחקירות פורנזיות. רכזו את כל יומני הביקורת בפלטפורמה שנגישה לצוותי האבטחה והציות שלכם. תעדו את תצורות Copilot במדיניות הביקורת הראשית שלכם, כדי שניתן יהיה לעקוב אחר כל השינויים והפעילויות ולסקור אותם במקרה של אירועים.

ניטור והגבלת סיכוני שיתוף וגישה חיצונית

הגדירו התראות על כל קובץ או הודעה עם Copilot ששותפו החוצה, כולל גישת אורחים ומכשירים לא מנוהלים.
נטרו את התנהגות המשתמשים לאיתור שינויים פתאומיים בהרשאות, זינוקים רחבים בשיתוף, או גישה של משתמשים שבדרך כלל אינם עובדים עם מערכי נתונים מסוימים.
בצעו סקירות קבועות של קובצי יומן והפעילו אוטומציית PowerShell לניתוח מעמיק יותר בעת הצורך. למסגרות שמזהות סיכונים לפני שהם הופכים לאסון, ראו מדריך אבטחת השיתוף הזה.

ציות, פרטיות ודרישות משפטיות ל-Copilot

הגדירו בבירור את השימושים המותרים ב-Copilot: קודדו שפה של שימוש מותר ב-Copilot במדיניות הציות שלכם, והפכו אותה לחלק מתהליך ההטמעה ומהתקשורת הארגונית.
מפו את שיטות העבודה של Copilot לתקני פרטיות ורגולציה: ודאו שכל עיבוד הקשור ל-Copilot מתיישב עם כללים ספציפיים לתעשייה (HIPAA, GDPR וכדומה) ועם ציפיות הפרטיות הארגוניות.
הכינו ראיות ביקורת ומסגרות: היו מוכנים להדגים בקרות של Copilot במהלך ביקורות חיצוניות, כולל שמירת יומנים, תיעוד בקרות וראיות לתהליכי עבודה. הבינו פערי ממשל עמוקים יותר באמצעות הסבר על סחף הציות הזה.
הגיבו במהירות לאירועי ציות: אם פעולה של Copilot מובילה לאירוע סיכון, היכנסו לתהליך סקירה וטיפול באירועים שכבר הוגדר. גישה פרואקטיבית זו מונעת מבעיות קטנות להפוך לכאבי ראש בביקורות.

מנהיגות, ממשל ואסטרטגיות להפחתת סיכונים

שום פרויקט Copilot אינו מאובטח באמת אם ההנהלה אינה מעורבת בו פעילה מלכתחילה. זו לא רק בעיה של IT. CIO, היועצים המשפטיים, אנשי הציות וראשי יחידות העסקיות – לכולם יש תפקיד בהגדרת הגבולות ובהבטחה שימוש בטוח ונכון ב-Copilot.

סעיף זה מציג רשימות בדיקה תמציתיות שמבטיחות אחריות מצד כולם, לצד שאלות קשות שכל מנהל צריך לשאול לפני הפריסה ואחריה. תקבלו גם הסבר ישיר על הסיכונים בעולם האמיתי: הזרקת פרומפטים, דליפות נתונים בלתי נשלטות ו"מלכודות" שנלמדו בשטח. שילוב ועדת הממשל הנכונה מייצר קו הגנה מובנה מפני תקלות אפשריות של AI. למידע נוסף על הצורך בוועדות ממשל ועל מעקות בטיחות של AI אחראי, ראו הפירוט הזה, או עיינו בתפקידה של ארכיטקטורת מישור הבקרה בעמוד הזה.

עם מבנה ממשל חזק וכלים מעשיים וישימים בידיים, תכינו את הארגון שלכם לחדשנות בטוחה ולציות לאורך זמן.

רשימות בדיקה למנהלים ולבעלי תפקידים לקראת מוכנות ל-Copilot

אימות טכני ורישוי: ודאו שהסביבה עומדת בכל דרישות Microsoft Copilot ושרישיונות מתאימים הוקצו לפני ההשקה.
אישור מוועדת הממשל: קבלו אישור מוועדת הבינה המלאכותית, הציות או הסיכונים, שמאשר התאמה למדיניות השימוש בנתונים ולפרטיות. לחשיבות של ועדות כאלה, ראו הפרק הזה.
תקשורת עם בעלי עניין ומשתמשים: נסחו והפיצו עדכונים ברורים למשתמשים על מה Copilot, מהם הסיכונים שבו, ואיך מצפים מהם להשתמש בו.
אחריות בעלות: זהו בעלי אחריות לנתונים קריטיים, להגדרות Copilot ולתגובה לאירועים. בלי ניחושים כשבעיות צצות.

שאלות מנהיגות מרכזיות והגדרת שימוש מקובל

אילו נתונים Copilot יכול ולא יכול לגשת אליהם? ודאו שזה לא קופסה שחורה. דרשו שקיפות הן מ-IT והן מ-Microsoft בעת קביעת הגבולות.
מי אחראי על פעולות Copilot? הבעלות לא יכולה להיות מעורפלת. לכל אירוע של Copilot חייב להיות משיב או בעלים עסקי בשם.
איפה המלכודות המשפטיות או הרגולטוריות? שאלו מה קורה אם Copilot מעבד או מפיק תוכן מוסדר, ואיך התוכן הזה מסומן בהגדרות הציות שלכם.
מהו שימוש לרעה ב-Copilot? נסחו הצהרות "שימוש מקובל" בשפה פשוטה שקל לכל אחד לעקוב אחריה, תוך הימנעות ככל האפשר משפה משפטית מסורבלת. למידע נוסף על אסטרטגיות ממשל, ראו רשימת הבדיקה הזו להטמעה.
איך אירועי תאימות או אירועים אחרים ייעקבו ויטופלו? ודאו שניטור, דיווח ונתיבי הסלמה אינם רק כתובים על הנייר, אלא חלק מתהליכי העבודה האמיתיים שלכם.

סיכוני אבטחה, הזרקת פרומפטים ואסטרטגיות הפחתה

סיכוני הזרקת פרומפטים: תוקפים או משתמשים עלולים לנסח פרומפטים מתוחכמים שחושפים מידע רגיש או עוקפים בקרות תוכן. בדקו תמיד את ההיגיון של Copilot עם תרחישים הן רגילים והן עוינים, כדי לזהות חורים.
דליפת נתונים מסיכומי AI: ללא תיוג זהיר ושכבות DLP, Copilot עלול לסכם או לשלב מידע ממקורות מוגבלים לתוך פלט שעוקף בקרות קלאסיות. לסיכונים נסתרים בנתונים נגזרים, קראו מקרה הבוחן הזה בממשל.
הרשאות גישה רחבות מדי: אם למשתמשים או לסוכנים יש הרשאות Graph API רחבות, Copilot יכול "לראות" יותר ממה שהתכוונתם, במיוחד בגלל פיזור קבוצות מדור קודם.
אסטרטגיות הפחתה: הגדירו תווית ברירת מחדל לכל פלטי ה-AI, הגבילו סיכום להרשאה המינימלית ההכרחית, בצעו ביקורת קבועה על תוכן נגזר, והטמיעו שערי בדיקה לשיתוף של מחברות ופלטים גדולים.
לקחים מרכזיים: ראינו פריסות שהתדרדרו בגלל תוצרים ללא תיוג, יומני ביקורת שנשארו ללא מעקב, וחוסר מעורבות מצד מנהלי העסק. יש להתייחס ל-Copilot כאל רכיב מרכזי במבנה הממשל שלכם, ולא כאל ניסוי שמנוהל רק על ידי מחלקת IT.

אבטחת פרומפטים ושיטות עבודה בטוחות בקלט עבור צוותי IT

יש לכם הרשאות, ניטור וממשל במקום, אבל אל תשכחו שמה שאנשים מקלידים ל-Copilot יכול להכריע את רמת האבטחה שלכם. Prompt injection, פרומפטים עוינים וניסיונות "jailbreaking" יכולים לגרום ל-Copilot לחשוף מידע רגיש או להסיק אותו. רוב רשימות הבדיקה של המתחרים מתעלמות מזה, אבל זהו תחום שמטריד יותר ויותר ארגונים ככל שהם מאמצים מודלי שפה גדולים בכל הכוח.

הסעיף הזה פורץ דרך בכך שהוא מספק לצוותי IT בקרות יזומות לזיהוי ולחסימה של פרומפטים זדוניים או מתארים יתר על המידה. תראו גם מה כולל הדרכת משתמשים אפקטיבית, כדי שאף אחד לא יחשוף בטעות מידע רגיש. הכללים משתנים, וגם playbook ניהול הפרומפטים שלכם צריך להשתנות בהתאם. לקריאה נוספת על ממשל התנהגות בטוחה של סוכני AI, קראו את שיטות העבודה המומלצות לממשל הזה.

הפחתת סיכונים של הזרקת פרומפטים ו-Jailbreaking ב-Copilot

ניטור פרומפטים חשודים או עוינים: הגדירו כלים שמסמנים בקשות שמנסות לעקוף את המגבלות של Copilot או לחלץ מידע רגיש באמצעות ניסוח עקיף.
זיהוי context hijacking ותקיפות עקיפות: למדו את Copilot לזהות מצבים שבהם הקלט מכיל הוראות מוטמעות ("פשוט תעמיד פנים שאתה לא עוזר...") או ניסיונות של תקיפות פרומפט מסוג "שימוש כפול".
פריסת בקרות מרובות שכבות: הגבילו את ההקשר של הפרומפט ב-Copilot לנתוני הסשן הפעיל, ואכפו גבולות AI קשיחים במידת האפשר, כך שימנעו מיזוג סיכומים בין מאגרי נתונים. למידע על זהות סוכנים ומישורי בקרה בבינה מלאכותית ארגונית, קראו המאמר הזה.

שיטות עבודה בטוחות עם פרומפטים והנחיות להדרכת משתמשים

קביעת הנחיות לכתיבת פרומפטים: הדריכו משתמשים להימנע מהזנת מידע אישי, סודות עסקיים או מידע חסוי כחלק מהפרומפטים שלהם.
מתן מודעות אבטחה ממוקדת: ערכו סדנאות אבטחה ייעודיות ל-Copilot, שמציגות טעויות נפוצות ודוגמאות מהעולם האמיתי לניצול פרצות.
מתן תבניות פרומפט לתרחישים בסיכון גבוה: ספקו למשתמשים תבניות בטוחות ומאושרות, והגדירו בבירור מה מותר ומה אסור לבקש מ-Copilot.
גישת למידה מתמשכת: משוב שוטף, חידונים ומיקרו-הדרכות עוזרים להתאים את ההתנהגות ככל שמשתמשים בתכונות חדשות של Copilot.

סיכוני זרימת נתונים בין שירותים והקשר של Copilot

Copilot לא מסתכל רק על אפליקציה אחת; הוא שואב הקשר מ-Teams, SharePoint, Outlook ועוד. למרות שזה מצוין מבחינת פרודוקטיביות, זה מעלה סיכונים חדשים, במיוחד כשמידע חוצה גבולות שאמורים להיות פנימיים. הפצה לא מבוקרת של נתונים עלולה להוביל לדליפות מידע רגיש בשוגג, בין אם דרך היסק ובין אם דרך חשיפה מוגזמת.

הסעיף הזה עוסק במיפוי, בביקורת ובהצבת מעקות בטיחות סביב האופן שבו Copilot משלב הקשר בין שירותים. תתעמקו באסטרטגיות שמבטיחות ש-Copilot לא ישלב בשוגג מידע שצריך להישאר מופרד. עם מיפוי נתונים חזק ושכבות DLP, ארגונים יכולים לשמור על גמישות למשתמשים מבלי לפגוע בציות לרגולציה. כדי ללמוד על המלכודות של בסיסי נתונים חלשים וקריסות ממשל, עיינו בסיפור האזהרה הזה על ממשל.

מיפוי ובקרה של זרימת הקשר נתונים של Copilot ב-Microsoft 365

איתור המקורות שמהם Copilot שואב נתונים: מפו אילו אפליקציות (Teams, OneNote, Outlook, SharePoint וכו') Copilot יכול לגשת אליהן, ואילו קבוצות או חשבונות שולטים בהרשאות אלה.
הגדרת גבולות סיכום לפי יחידה עסקית: הגבילו את שילוב הנתונים של Copilot לשילובים שאושרו מראש. לדוגמה, אין לערבב נתונים משפטיים עם נתוני מכירות.
הפעלת בקרות מבוססות מדיניות עם Purview ו-Conditional Access: השתמשו בסיווג, ב-DLP ובניטור בזמן אמת כדי למנוע ערבוב בלתי מורשה של הקשרים. לקריאה נוספת על האיזון בין אבטחה לנוחות שימוש ב-M365, עיינו במדריך מעשי זה.

מניעת חשיפת נתונים מרומזת בסיכומים שנוצרו על ידי AI

זיהוי סיכוני חשיפה מורכבים: הבינו כיצד קלטים שאינם רגישים יכולים לחשוף מסקנות רגישות. סיכומים של Copilot שמשלבים תוכן מהיומן עם אבני דרך של פרויקט עלולים לחשוף בשוגג סדרי עדיפויות מסווגים של הפרויקט.
שכבות DLP ופילוח תוכן: אל תסתמכו על DLP קלאסי בלבד. השתמשו בפילוח מבוסס תפקידים והגבילו את היקף הסיכום בתוך תצורת ה-AI של Copilot.
שכבות מדיניות וביקורות סדירות: בדקו את הפלטים של Copilot לאיתור דליפות עקיפות, ועדכנו מדיניות DLP ומדיניות תוויות כדי לסגור פערי כיסוי ככל שהם מופיעים.
חינוך המשתמשים לסיכוני הסקה מבוססי AI: כללו בהדרכות דוגמאות שבהן שאילתות שנראות תמימות מובילות לחשיפת נתונים בלתי צפויה, תוך חיזוק הצורך בקלט זהיר ובבדיקה.

ניהול אבטחת אפליקציות ותוספים של צד שלישי עם Copilot

שטח התקיפה מתרחב כשמחברים כלים או אפליקציות של צד שלישי ל-Microsoft 365, וCopilot אינו יוצא דופן. אינטגרציות עם Salesforce, Zoom, Slack או אפילו מחברים של Power Platform עלולות להכניס סיכוני אבטחה אם אינן מנוטרות.

סעיף זה מדגיש כיצד לבקר ולבחון תוספים שמופעלים על ידי Copilot, תוך בדיקת גישה מסוכנת לנתונים או הרשאות מיושנות שעלולות להירשת. תראו גם שיטות לעצירת זרימות נתונים לא מכוונות בין Copilot לאפליקציות SaaS מחוברות, כך שגבול הציות שלכם לא יטשטש בגלל מחבר בודד. להעמקה בממשל של Power Platform ובשליטה בסיכוני מפתחים אזרחיים, עיינו במשאב זה.

הערכת סיכוני אבטחה של תוספים של צד שלישי המופעלים על ידי Copilot

ביקורת של כל האפליקציות של צד שלישי המשולבות ב-Copilot: רשמו כל אפליקציה או תוסף המתחברים ל-Copilot, ובצעו סקירה של ההרשאות וזרימות הנתונים.
ביצוע ניתוח סיכונים של גישה לנתונים ושל ירושת הרשאות: בדקו אם תוסף כלשהו מעניק גישה רחבה יותר ל-Graph API או הרשאות מנהל, מה שעלול להעלות את רמת הגישה של Copilot.
עדכון תהליכי אישור וסקירה של אפליקציות: השתמשו בפורטל Microsoft 365 AppSource לכל האישורים. חסמו או הגבילו אפליקציות שזוהו כמיושנות, לא מאובטחות, או כאלה שאינן עומדות בדרישות הציות שלכם.

שליטה בגישה לנתונים בין Copilot לאפליקציות SaaS מחוברות

הטמעת תהליכי אישור: אפשרו אינטגרציות רק לאחר בדיקה רשמית של IT, כדי לוודא שלכל חיבור SaaS יש צורך עסקי לגיטימי והיקף מתועד בבירור.
אכיפת DLP וגישה מותנית: החילו כללי DLP ומדיניות גישה מודעת-הקשר כדי לנטר ולעצור העברה בלתי מורשית של נתונים אל מחוץ לסביבת Microsoft 365.
ניטור פעילות בזמן ריצה וברמת המחבר: בדקו את היומנים של כל מחבר והגדירו התראות אוטומטיות על פעילות חריגה בין שירותים או על שאיבות נתונים בהיקף גדול. להרחבה על סיכוני Shadow IT וניטור בזמן ריצה, עיינו במשאב זה.