Cara Mengevaluasi Kerangka Tata Kelola Microsoft untuk Beban Kerja AI, Data, dan Cloud

By Mirko Peters · 2026-10-16

Cara mengevaluasi kerangka tata kelola Microsoft untuk beban kerja AI, data, dan cloud: pilar, penegakan kebijakan, dan langkah praktis bagi para pemimpin TI.

Automatically translated with AI from the original post. Read the English original

Cover: Build a Bronze-Silver-Gold Data Pipeline in Microsoft Fabric

Mengevaluasi kerangka tata kelola Microsoft bukan sekadar mencentang daftar—ini adalah panduan utama Anda untuk menjaga beban kerja AI, data, dan cloud tetap aman, patuh, dan andal. Dengan Microsoft 365, Azure, dan Power Platform yang berkembang setiap menit, para pemimpin TI dan admin seperti Anda tidak bisa mengandalkan tebakan atau setengah-setengah.

Evaluasi yang terstruktur dan berbasis bukti adalah kuncinya. Artinya, Anda perlu melihat lebih dari sekadar daftar kebijakan atau tumpukan dokumentasi. Yang penting adalah memahami bagaimana kerangka kerja Microsoft benar-benar membantu mitigasi risiko, menegakkan kepatuhan regulasi, dan membangun keyakinan bahwa tata kelola operasional Anda sudah tertata—bahkan ketika layanan seperti Copilot mengubah cara pengguna (dan data mereka!) berinteraksi dengan sistem cloud.

Anda perlu melihat bagaimana tata kelola benar-benar berjalan, mulai dari perancangan kebijakan hingga penegakan saat runtime. Hal ini penting untuk melindungi konten sensitif, menjaga kepemilikan data, dan mempersiapkan audit—terutama ketika otomatisasi, agen AI, dan inovasi cloud hibrida meningkatkan kompleksitas dan permukaan risiko. Panduan ini memandu Anda langkah demi langkah—mulai dari memahami dasar-dasarnya, mengukur tingkat kematangan dan keberhasilan, hingga alat-alat praktis—sehingga Anda dapat melakukan benchmark dan terus meningkatkan postur keamanan dan tingkat kematangan tata kelola di lingkungan nyata, baik Anda menjalankan lingkungan Microsoft 365 klasik maupun penerapan agentic AI mutakhir.

Alih-alih teori yang muluk-muluk, Anda akan menemukan strategi yang dapat langsung diterapkan, berakar pada realitas TI perusahaan sehari-hari (dan banyak pelajaran berharga dari lapangan).

Memahami Tata Kelola di Microsoft 365 dan Dasar-Dasar Kerangka Tata Kelola Data

Tata kelola di Microsoft 365 berarti mengetahui dengan pasti siapa pemilik data Anda, siapa yang dapat mengaksesnya, dan bagaimana data tersebut ditangani saat berpindah di seluruh lingkungan cloud Anda. Secara sederhana, tata kelola adalah tentang menetapkan tanggung jawab yang jelas, menegakkan akses yang aman, dan menerapkan kebijakan yang berkembang seiring kebutuhan bisnis dan kepatuhan Anda.

Pendekatan Microsoft—baik Anda menggunakan Microsoft 365, Power Platform, maupun Azure—sangat mengandalkan kerangka seperti Microsoft Purview untuk pengawasan data yang terpadu dan Microsoft Foundry untuk orkestrasi agen AI yang terkelola. Anda mendapatkan alat bawaan untuk klasifikasi data, pelabelan sensitivitas, dan manajemen siklus hidup yang mengotomatiskan sebagian besar pekerjaan berat.

Sebagai fondasinya, Anda perlu memiliki pemilik yang terdokumentasi dengan baik untuk setiap kumpulan data dan tinjauan otomatis untuk menyingkirkan izin yang usang atau berisiko. Tata kelola yang kuat bukan hanya soal kontrol, melainkan juga penegakan yang dapat ditindaklanjuti dan real-time. Misalnya, lapisan "bronze-silver-gold" di Microsoft Fabric menjaga keandalan analitik dengan menyusun tata kelola data untuk alat berbasis AI seperti Power BI dan Copilot (pelajari bagaimana Microsoft Fabric menyatukan tata kelola data dan AI).

Sebagian besar kegagalan kepatuhan dan keamanan berakar pada konten lama, pemilik yatim piatu, atau kontrol yang tidak konsisten—bukan pada AI itu sendiri (pelajari selengkapnya tentang tantangan akses dan tata kelola data Microsoft 365). Artinya, tata kelola yang baik menjaga kolaborasi Anda tetap aman dan patuh tanpa menghambat produktivitas atau inovasi—sekaligus meletakkan fondasi yang kokoh bagi beban kerja berbasis AI.

Dari Kebijakan ke Runtime: Bagaimana Tata Kelola Ditegakkan di Platform Microsoft

Beralih dari kebijakan yang terdokumentasi dengan rapi menuju penegakan nyata setiap hari adalah titik di mana sebagian besar organisasi tersandung. Tata kelola modern Microsoft menuntut lebih dari sekadar buku aturan tertulis—tata kelola ini mengandalkan kontrol otomatis, alat pemantauan, dan penegakan langsung di setiap tahap dari pengembangan hingga produksi.

Di platform seperti Microsoft Foundry dan Power Platform, penegakan ini berarti kebijakan tidak hanya tersimpan di PDF atau wiki; kebijakan tersebut mengendalikan apa yang terjadi di dalam sistem, secara real time. Kontrol runtime dapat menandai perilaku berisiko dan memastikan agen AI serta otomatisasi tidak menimbulkan titik buta atau kebocoran data. Hal ini sangat krusial, terutama ketika Copilot dan fitur bertenaga AI lainnya mengambil lebih banyak tanggung jawab dan mengakses lebih banyak data sensitif Anda.

Tata kelola otomatis tidak menjamin kesempurnaan, tetapi secara signifikan mengurangi risiko operasional dan kejutan kepatuhan. Menyiapkan kontrol dinamis di seluruh lingkungan Microsoft memastikan Anda siap ketika sistem produksi berperilaku tidak semestinya atau ketika AI agentik mulai melampaui (atau merusak) batasan yang diharapkan. Misalnya, tanpa tata kelola runtime yang ketat, platform seperti Foundry dapat secara tidak sengaja membuka celah bagi Shadow IT, sehingga organisasi terpapar risiko tersembunyi (lihat bagaimana Foundry memunculkan risiko Shadow IT baru).

Selanjutnya, kita akan membahas bagaimana Microsoft memformalkan kontrol keamanan dan agen, serta bagaimana Anda dapat mengevaluasi agen-agen ini saat runtime—agar tata kelola Anda tetap efektif, seberapa pun ambisius atau tidak terduganya lanskap AI Anda.

Agent Control Standards, ACS, dan Keamanan dalam Tata Kelola Microsoft

ACS (Agent Control Specification)

Agent Control Specification (ACS) milik Microsoft adalah cetak biru formal untuk mendefinisikan, menegakkan, dan memverifikasi apa yang boleh (dan tidak boleh) dilakukan oleh agen AI dan otomatisasi. Spesifikasi ini mencakup keamanan, akses data, dan batasan eksekusi, sehingga kontrol tetap konsisten di platform seperti Microsoft 365, Azure, dan Power Platform.

Alat Keamanan Foundry untuk Pengembang

Pengembang dan administrator mendapatkan alat di dalam Foundry yang memungkinkan mereka menentukan cakupan kontrol pada tingkat pengembang atau beban kerja. Artinya, setiap agen beroperasi di dalam batasan yang ditegakkan dengan jelas, sehingga mengurangi risiko peningkatan hak akses (privilege creep) atau paparan data yang tidak disengaja.

Penegakan Kebijakan Runtime dan Mitigasi Risiko

ACS memungkinkan pemantauan runtime serta pemblokiran otomatis atau pemberitahuan ketika agen mencoba melanggar aturan. Alih-alih mengetahui pelanggaran kepatuhan setelah kejadian, kontrol ini berfungsi sebagai lini pertahanan pertama, yang sangat penting untuk mengembangkan beban kerja AI yang dapat dipercaya.

Kontrol Identitas, Akses, dan Eksekusi Alat

Tata kelola yang kuat bergantung pada kontrol yang presisi atas siapa yang dapat mengakses apa, kapan, dan bagaimana. ACS bekerja sama dengan penyedia identitas dan manajemen akses untuk mengunci eksekusi alat serta jangkauan data—sehingga meminimalkan permukaan serangan bahkan ketika agen AI bertindak secara otonom. Untuk informasi lebih lanjut tentang tantangan dan praktik terbaik dalam keamanan agen AI, lihat halaman ini tentang mengamankan agen AI.

Mengevaluasi Agen AI Menggunakan Rubrik Sadar Konteks dan Pendekatan Open Source

Rubrik Evaluasi Berbasis Skenario

Microsoft menggunakan rubrik sadar konteks untuk menguji agen AI secara menyeluruh, menilai bukan hanya apakah agen berfungsi, tetapi juga apakah agen berperilaku bertanggung jawab dalam skenario produksi yang nyata dan kompleks. Ini berarti mensimulasikan alur kerja umum, kasus tepi, bahkan situasi tekanan untuk menemukan masalah sebelum berdampak pada pengguna.

Penilaian Berbasis Spesifikasi (Kerangka Evaluasi)

Kerangka open source seperti Microsoft ASSERT menyediakan cara formal untuk mendefinisikan seperti apa "perilaku yang baik" bagi setiap agen atau otomatisasi. Kerangka ini menggunakan penilaian berbasis spesifikasi—sehingga Anda dapat menguji agen bukan hanya sekali, melainkan sepanjang siklus hidupnya, dengan mengukur peningkatan (atau kemunduran) dari waktu ke waktu.

Pengujian Kasus Tepi dan Keluaran Tidak Aman

Rubrik sadar konteks dirancang untuk mengungkap situasi di mana agen dapat bertindak tidak terduga atau tidak aman—misalnya membocorkan data sensitif atau menyimpang dari cakupan yang dimaksudkan. Siklus evaluasi rutin mengungkap masalah ini sebelum agen diluncurkan secara luas. Kerangka kontrol agen yang efektif seperti Entra Agent ID juga membantu menjaga akuntabilitas dan mencegah penyimpangan identitas (baca selengkapnya tentang tantangan identitas dan kontrol agen).

Perbaikan Berkelanjutan Melalui Evaluasi Terbuka

Dengan mengintegrasikan kerangka evaluasi open source, Microsoft memastikan bahwa tata kelola agen bersifat adaptif, transparan, dan telah diuji oleh komunitas, sehingga tetap selaras dengan lanskap risiko AI yang terus berubah. Hal ini membantu organisasi terus mengkalibrasi strategi tata kelola dan keandalan agen mereka.

Pilar Fondasi: Orang, Proses, Kebijakan, dan Teknologi dalam Tata Kelola Microsoft

Bahkan dengan kontrol AI terbaik dan kebijakan yang ketat, kerangka tata kelola Anda berdiri (atau runtuh) di atas empat pilar: orang, proses, kebijakan, dan teknologi. Pendekatan Microsoft—terutama di lingkungan cloud hibrida—menuntut keselarasan yang erat di antara area-area ini.

Ini berarti harus jelas siapa memiliki apa, bukan hanya di tingkat teknis tetapi juga dalam istilah bisnis, memastikan bagaimana proses diikuti, dan menetapkan kebijakan yang tegas namun fleksibel untuk mengelola risiko dan kepatuhan. Tanpa masing-masing hal tersebut, bahkan solusi teknologi yang kokoh pun dapat runtuh saat menghadapi operasional sehari-hari atau perubahan organisasi.

Tentu saja, teknologi adalah perekat yang membuat semua bagian ini bekerja bersama dalam skala besar. Interoperabilitas menjaga agar sistem yang berbeda tetap sinkron, observabilitas memberikan visibilitas ke dalam proses AI dan data Anda, dan pelacakan berkelanjutan membantu menghubungkan tindakan dengan hasilnya untuk jejak audit yang andal. Selain itu, kebijakan dan orang perlu bekerja sama agar kontrol tetap berjalan di seluruh unit bisnis dan fungsi TI.

Pada bagian berikutnya, Anda akan melihat strategi nyata untuk menentukan kepemilikan, menciptakan konsistensi proses, dan memanfaatkan teknologi untuk membangun tata kelola yang dapat diaudit dan dioptimalkan secara berkelanjutan. Untuk sudut pandang baru tentang mengapa akuntabilitas tidak bisa dicapai hanya dengan transparansi, simak episode ini tentang akuntabilitas biaya nyata di Microsoft 365.

Orang: Menentukan Kepemilikan, Konsistensi Proses, dan Penetapan Kebijakan dalam Tata Kelola

Kepemilikan Data dan AI yang Jelas: Tetapkan pemilik spesifik untuk setiap kumpulan data dan agen AI guna mencegah sumber daya yatim (tanpa pemilik) dan mendorong akuntabilitas. Pemilik harus bertanggung jawab meninjau izin dan perubahan siklus hidup dari waktu ke waktu (dapatkan saran praktis tentang tata kelola kepemilikan dan izin).
Dokumentasi Proses yang Konsisten: Dokumentasikan alur kerja untuk permintaan akses, peninjauan, dan operasi sensitif secara rutin. Menstandarkan langkah-langkah ini membuat tata kelola dapat dijalankan dan meminimalkan celah yang disebabkan oleh praktik ad hoc.
Penyusunan Aturan Kebijakan yang Efektif: Terjemahkan tujuan bisnis dan persyaratan regulasi menjadi kebijakan yang dapat ditegakkan dan mudah dipahami. Gunakan alat dan pelatihan agar semua orang mengikuti kontrol yang konsisten dan pengecualian tetap jarang terjadi.

Pendukung Teknologi: Interoperabilitas, Observabilitas, dan Pelacakan Berkelanjutan dalam AI Microsoft

Interoperabilitas: Kerangka kerja Microsoft memastikan kebijakan dan kontrol bekerja dengan mulus di berbagai layanan, mulai dari Microsoft 365 hingga lingkungan hibrida dan multi-cloud. Hal ini membatasi risiko data yang terisolasi atau tata kelola akses yang terfragmentasi.
Observabilitas: Pemantauan real-time dan telemetri yang kaya, didukung oleh platform seperti Microsoft Purview Audit, memungkinkan Anda melacak aktivitas pengguna dan agen di seluruh layanan cloud, bukan hanya di aplikasi yang terisolasi. Untuk lingkungan yang diatur ketat atau berisiko tinggi, meningkatkan ke Purview Audit Premium adalah hal yang wajib untuk memperkuat kepatuhan dan kemampuan forensik (selengkapnya tentang audit aktivitas pengguna dengan Purview).
Pelacakan Berkelanjutan: Pelacakan memungkinkan Anda mengikuti perjalanan data, keputusan, dan tindakan agen di berbagai lingkungan, sehingga jauh lebih mudah untuk mengidentifikasi masalah, mengoptimalkan alur kerja, dan menyediakan bukti siap audit, baik ketika agen berperilaku sesuai harapan maupun tidak.

Open Source, Interoperabilitas, dan Mengukur Keberhasilan Tata Kelola AI Perusahaan

Tata kelola Microsoft tidak hanya merangkul standar terbuka, tetapi juga aktif mendukung alat dan API open-source untuk membantu organisasi menghindari ketergantungan pada vendor tertentu dan menjaga tata kelola tetap siap menghadapi masa depan. Idenya sederhana: Anda seharusnya memiliki fleksibilitas untuk mengatur beban kerja AI dan data, baik yang berjalan di Microsoft 365, Azure, maupun yang menjangkau ekosistem cloud dan AI pihak ketiga.

Standar terbuka seperti ACS menjadi fondasi penegakan kebijakan yang konsisten, bahkan saat arsitektur Anda berkembang. Interoperabilitas ini berarti Anda tidak terikat pada alat proprietary, namun tetap mendapatkan kontrol kelas enterprise dan jejak audit. Demikian pula, kerangka kerja evaluasi agen open-source memungkinkan Anda menyesuaikan dan terus meningkatkan cara tata kelola AI agentik, dengan menyesuaikan rubrik seiring perubahan lingkungan Anda dan risiko baru yang dibawanya.

Namun di sinilah sebagian besar panduan berhenti: pengukuran yang sebenarnya. Microsoft mendorong organisasi untuk melampaui pola pikir "sudah di-deploy, berarti selesai". Sebaliknya, perlakukan tata kelola sebagai investasi jangka panjang, dan ukur hasilnya dengan KPI seperti penurunan pelanggaran kebijakan, kecepatan respons insiden, atau temuan audit dari waktu ke waktu. Untuk pembahasan lebih dalam tentang cara mencegah drift dan menegakkan kepatuhan kebijakan yang konsisten, lihat ulasan ini tentang mencegah policy drift dalam tata kelola Azure.

Ketika Anda menjaga kebijakan, agen, dan kontrol data tetap interoperable dan dapat diaudit, Anda akan lebih yakin bahwa kerangka tata kelola Anda dapat berkembang seiring perubahan bisnis dan lanskap teknologi Anda, lintas cloud, lintas platform, dan apa pun yang berikutnya di bidang AI.

Membangun Kepercayaan dan Mengelola Risiko Melalui Pengawasan Manusia pada Agen AI Microsoft

Secanggih apa pun kontrol tata kelola Anda, tidak ada yang bisa menggantikan penilaian manusia yang matang, terutama untuk agen AI yang dapat menghasilkan keluaran yang tidak terduga atau berisiko. Microsoft menekankan kepercayaan sejak awal desain, dengan memadukan verifikasi otomatis dan pengawasan manusia yang ketat untuk fungsi kritis dan akses ke data sensitif.

Menerapkan proses human-in-the-loop berarti menyiapkan alur tinjauan, jalur eskalasi, dan langkah persetujuan sebelum agen AI atau otomatisasi melakukan tindakan tertentu, atau ketika mereka mendekati batas maksud yang telah diprogramkan. Langkah ini mencegah keluaran yang tidak aman, menghentikan paparan data sejak awal, dan menjaga batas kepatuhan tetap berlaku meskipun agen menjadi semakin otonom.

Banyak celah keamanan tidak berasal dari insiden AI yang ramai diberitakan, melainkan dari cacat tersembunyi dalam model izin atau pengecualian conditional access. Agen sendiri sering kali menjadi "burung kenari di tambang batu bara" terbaik, karena mengungkap risiko laten ini dengan menampilkan masalah akses atau penetapan kebijakan yang tidak konsisten yang lolos dari audit rutin. Misalnya, izin Graph yang cakupannya tidak tepat atau pengecualian kebijakan yang terlalu luas dapat menimbulkan masalah kepercayaan pada conditional access Anda, sehingga lingkungan cloud menjadi rentan (baca selengkapnya tentang meningkatkan kepercayaan dengan kebijakan Conditional Access yang inklusif).

Untuk membangun kepercayaan dalam skala besar, organisasi perlu mengintegrasikan pemantauan runtime, tinjauan berkala, dan batasan berbasis peran, dengan tetap memegang kendali penuh oleh manusia sementara Microsoft AI menangani pekerjaan yang berulang. Jika Anda ingin melihat bagaimana agen AI yang tidak dikelola menciptakan shadow IT dan apa yang bisa dilakukan terhadapnya, simak uraian ini tentang agen AI dan ancaman shadow IT.

Memulai: Alat Evaluasi Tata Kelola Microsoft dan Langkah Selanjutnya

Jika Anda ingin memulai atau memperkuat perjalanan tata kelola Microsoft, mulailah dengan alat asesmen dan sumber daya yang tepat untuk membantu Anda menetapkan baseline, menerapkan, dan mematangkan program tata kelola dari waktu ke waktu. Microsoft menyediakan toolkit dan kerangka kerja bukan hanya untuk membuat kebijakan, tetapi juga untuk evaluasi dan perbaikan berkelanjutan.

Agent Governance Toolkit, misalnya, membantu Anda memeriksa secara sistematis kontrol penting untuk agen, otomatisasi, dan pengawasan manusia. Kerangka evaluasi modern terintegrasi langsung dengan alur kerja Anda untuk menilai kesiapan dan mengungkap celah yang mungkin terlewat oleh audit tradisional. Bagi organisasi yang menerapkan Copilot, sebuah learning center yang terkelola akan menyederhanakan adopsi dan ROI, menjaga edukasi pengguna tetap mutakhir, serta menekan jumlah tiket dukungan seminimal mungkin (lihat bagaimana Copilot Learning Center mendukung adopsi yang terkelola).

Tata kelola tingkat lanjut berarti menetapkan batas data yang jelas dengan mengklasifikasikan lingkungan, konektor, serta menerapkan peran dengan hak akses minimum (least-privilege) di Power Platform, Copilot, dan layanan lainnya. Kemampuan pemantauan dan DLP di Microsoft Purview memungkinkan Anda memperluas kontrol kebijakan hingga level konektor dan lingkungan, sehingga agen tidak mengambil atau membocorkan data ke tempat yang seharusnya tidak dituju (pelajari tentang tata kelola Copilot tingkat lanjut yang didukung Purview).

Siap memulai? Petakan kontrol yang sudah ada, manfaatkan kerangka evaluasi Microsoft, dan terhubung dengan sumber daya pilihan untuk membangun tata kelola yang berkelanjutan dan dapat ditindaklanjuti, sehingga Anda siap menghadapi gelombang inovasi berikutnya.

Pertanyaan Umum tentang Evaluasi Kerangka Kerja Tata Kelola Microsoft

Bagaimana cara mengukur tingkat kematangan kerangka kerja tata kelola Microsoft saya?Anda dapat menggunakan model kematangan terstruktur yang menilai kemajuan Anda, mulai dari dokumentasi kebijakan dasar hingga penegakan yang otomatis dan berkelanjutan serta perbaikan berkelanjutan. Pengukuran sebaiknya mencakup kontrol teknis, konsistensi proses, penetapan kepemilikan, dan hasil nyata, seperti berkurangnya insiden atau audit yang lebih cepat.
Apa saja jebakan paling umum dalam penerapan tata kelola Microsoft?Tata kelola biasanya gagal ketika kepemilikannya terpecah-pecah dan kebijakan hanya ada "di atas kertas". Pendekatan yang berpusat pada alat (bukan berpusat pada sistem) menyebabkan identity drift, izin yang usang, dan celah kepatuhan. Lihat bagaimana mengelola alat alih-alih sistem menyebabkan kegagalan.
Apakah kerangka kerja tata kelola Microsoft dapat diintegrasikan dengan lingkungan multi-cloud non-Microsoft?Dapat. Gunakan sistem identitas terfederasi, skrip kebijakan yang terharmonisasi, dan standar terbuka (seperti ACS) untuk memperluas tata kelola ke berbagai cloud. Penyelarasan memungkinkan, tetapi keberhasilannya bergantung pada kontrol yang terpadu dan kemampuan audit lintas cloud, bukan sekadar konfigurasi terisolasi atau kebijakan satu kali.
Bagaimana cara menjaga kepatuhan seiring meningkatnya skala agen AI dan otomatisasi?Terapkan zero-trust, akses berbasis peran, pemantauan berkelanjutan, dan evaluasi rutin terhadap perilaku agen, dengan peringatan real-time dan penegakan saat runtime. Kerangka kerja yang cepat dan dapat ditegakkan diperlukan untuk mengimbangi kecepatan otomatisasi (lihat kerangka pemulihan tata kelola 48 jam).
Bagaimana cara mengukur efektivitas tata kelola?Lacak KPI seperti penurunan pelanggaran kebijakan, temuan audit, waktu respons insiden, dan hasil tinjauan akses berkala. Organisasi yang paling matang mengaitkan metrik ini dengan tujuan bisnis dan menyesuaikan kontrol untuk perbaikan berkelanjutan serta pembuktian ROI.