Checklist di sicurezza per Copilot per i team IT

By Mirko Peters · 2026-04-19

Distribuire Microsoft Copilot in tutta l'organizzazione non è un compito da poco, e i rischi per la sicurezza possono essere concreti se salti passaggi fondamentali. Questa checklist riassume tutto ciò che il team IT deve fare per ancorare l'uso di Copilot saldamente ai framework di sicurezza e conformità che hai costruito su Microsoft 365 e Azure. Scoprirai esattamente come blindare identità, aut

Automatically translated with AI from the original post. Read the English original

Distribuire Microsoft Copilot in tutta l'organizzazione non è un compito da poco, e i rischi per la sicurezza possono essere concreti se salti passaggi fondamentali. Questa checklist riassume tutto ciò che il team IT deve fare per ancorare l'uso di Copilot saldamente ai framework di sicurezza e conformità che hai costruito su Microsoft 365 e Azure. Scoprirai esattamente come blindare identità, autorizzazioni e dati sensibili prima che Copilot entri in funzione. Dagli ostacoli legati alle licenze alle strategie di rischio avanzate, troverai indicazioni passo passo per prevenire le fughe di dati e mantenere la conformità, comprese pratiche che la maggior parte delle altre guide semplicemente non affronta. Mettiamo in sicurezza il lancio di Copilot, senza scorciatoie e senza sorprese.

Controlli di sicurezza di base per la prontezza di Microsoft 365 Copilot

Preparare l'ambiente Microsoft 365 per Copilot significa partire dalla sicurezza come elemento centrale. Prima ancora di pensare ad abilitare Copilot, le organizzazioni devono occuparsi delle basi: licenze, controllo degli accessi e igiene delle autorizzazioni. Non sono facoltativi: sono i requisiti imprescindibili che tengono i dati del team dove devono stare.

Vuoi assicurarti che le fondamenta tecniche soddisfino tutti i requisiti di Microsoft, perché saltare un passaggio sulle licenze può aprire lacune sia funzionali sia di sicurezza. C'è poi il compito importante di applicare il principio del privilegio minimo a utenti e ruoli, usando strumenti come Entra ID per garantire che nessuno abbia più accesso di quanto gli serva davvero. E non dimenticare i rischi nascosti nei vecchi siti SharePoint o nei file condivisi in eccesso: gli audit delle autorizzazioni aiutano a impedire che Copilot recuperi dati che non dovrebbe vedere.

Concentrandoti su questi fondamenti per primo, il team IT costruisce una base solida. Non si tratta solo di spuntare caselle: si tratta di impostare controlli pratici e concreti che riducono l'esposizione e abbassano il rischio. Quando sarai pronto per la fase successiva, ogni altro livello di sicurezza che seguirà poggerà su basi più solide. Per approfondire la governance efficace, leggi questa guida approfondita oppure scopri i controlli basati sui criteri con questa risorsa sulla governance.

Convalida tecnica delle licenze per la distribuzione di Copilot

Prima che Copilot possa entrare in funzione, devi verificare che il tuo tenant Microsoft 365 sia tecnicamente idoneo. Inizia confermando che la tua organizzazione disponga dei livelli di licenza richiesti: Copilot di norma richiede i piani Microsoft 365 di fascia più alta. Controlla con attenzione la località del tenant, perché alcune aree geografiche non sono sempre supportate. Assicurati che tutti i requisiti back-end pertinenti, come i connettori di Microsoft Graph, siano configurati e attivi. Se manca qualcosa, le funzionalità di Copilot potrebbero essere bloccate o, peggio, la copertura di sicurezza potrebbe risultare incompleta. Una verifica completa della prontezza tecnica e delle licenze dovrebbe essere il primissimo passo di qualsiasi distribuzione di Copilot.

Applicare il privilegio minimo e controlli di ruolo rigorosi

• Verifica i ruoli di utenti e amministratori in Entra ID (in precedenza Azure AD). Rimuovi i privilegi in eccesso e limita i ruoli di amministrazione al solo personale essenziale.
• Verifica l'appartenenza ai gruppi per assicurarti che gli utenti vedano solo i dati di cui hanno effettivamente bisogno. I gruppi troppo ampi possono concedere a Copilot accessi non intenzionali a informazioni sensibili.
• Stabilisci revisioni periodiche delle assegnazioni dei privilegi e delle regole di accesso condizionale. Così i criteri non diventano obsoleti né si riempiono di «debito di identità»: le eccezioni dimenticate possono tornare a crearti problemi. Per approfondire, ascolta le strategie per rafforzare i criteri in questo podcast su Entra ID.
• Affianca strumenti di sicurezza come Microsoft Defender for Office 365 e Microsoft Purview per monitorare e far rispettare le impostazioni di privilegio minimo. Questo garantisce che l'applicazione di queste regole non comprometta l'esperienza degli utenti. Trovi altri suggerimenti per bilanciare sicurezza e usabilità in questa risorsa.

Sovraesposizione delle autorizzazioni e audit delle autorizzazioni di sicurezza

• Verifica i link di condivisione e le autorizzazioni esterne: Controlla tutti i link di condivisione e l'accesso degli utenti ospiti in SharePoint, OneDrive e Teams. I link dimenticati possono esporre più di quanto immagini. Per un approccio pratico per individuare i rischi della condivisione esterna, consulta questo approfondimento.
• Rivedi i contenuti vecchi e inutilizzati: Siti, cartelle o file orfani hanno spesso autorizzazioni che non corrispondono più alla reale struttura dei team. Ripuliscili prima che Copilot trovi qualcosa che non dovrebbe vedere.
• Stabilisci proprietà e responsabilità: Assegna proprietari chiari ai set di dati critici, così le revisioni delle autorizzazioni non vengono trascurate: niente più file smarriti con proprietari "misteriosi". Scopri il valore di una solida governance dell'accesso ai dati in questo link.
• Limita l'accesso ampio ai gruppi e riduci la complessità delle autorizzazioni legacy: Intervieni su accessi obsoleti o troppo estesi che Copilot potrebbe riflettere. Ridurli rende più sicuro l'intero patrimonio di dati.

Mantenendo una cadenza di audit costante, il tuo team può ridurre la superficie di attacco ed evitare che Copilot esponga involontariamente informazioni. Gli audit avanzati, con strumenti e automazione, dovrebbero essere la norma, non l'eccezione.

Governance dei dati e gestione della riservatezza per Copilot

Ora che le autorizzazioni sono sotto controllo, è il momento di organizzare i dati che Copilot può effettivamente vedere. La governance dei dati non è un semplice slogan: è il filtro che determina esattamente cosa Copilot può accedere, riassumere o generare. Se i contenuti sono disordinati, obsoleti o etichettati male, rischi di condividere le cose sbagliate nel momento sbagliato.

Questa sezione approfondisce come Microsoft Purview, la classificazione automatica e le etichette di riservatezza lavorano insieme per costruire un perimetro dei dati adeguato. Vedrai perché è fondamentale segmentare le unità di business, classificare i dati in base alla riservatezza e bloccare i contenuti rischiosi con le regole DLP (Data Loss Prevention), soprattutto perché Copilot è progettato per mostrare frammenti e riepiloghi per impostazione predefinita.

Impostare correttamente la governance significa meno preoccupazioni su ciò che Copilot "potrebbe" esporre. Quando definisci etichette e regole fin dall'inizio, Copilot diventa uno strumento più prevedibile e meno rischioso. Per altre strategie sui controlli avanzati di Purview e sull'applicazione di DLP, leggi questa guida alla governance con Microsoft Purview oppure scopri come costruire una base ECM conforme con questo podcast.

Organizzare e classificare i dati per l'accesso di Copilot

• Inventaria i dati con Microsoft Purview: Mappa quali dati possiedi, dove si trovano e chi ne è il proprietario. Questo inventario riduce le sorprese.
• Ripulisci e archivia i dati obsoleti o ridondanti: Elimina i file vecchi, superati o condivisi in modo eccessivo, così Copilot non riporterà a galla le ricette di qualcuno del 2017.
• Automatizza la classificazione tramite Purview e SharePoint: Usa regole per assegnare automaticamente tag ai contenuti in base al tipo e alla riservatezza, preparando l'intero patrimonio di dati a un riepilogo sicuro da parte di Copilot. Scopri come una corretta governance di SharePoint contribuisce alla predisposizione per l'AI in questa risorsa.

Usare le etichette di riservatezza per controllare i riepiloghi di Copilot e segmentare gli utenti sensibili

• Applica le etichette di riservatezza di Microsoft Purview: Etichetta e-mail, documenti e canali di Teams in modo che Copilot riassuma solo ciò che è autorizzato. Etichette come "Altamente riservato" possono impedire a Copilot di accedere del tutto ai file sensibili.
• Segmenta utenti e gruppi con un'etichettatura avanzata: Configura regole di accessibilità separate per Copilot per i team dirigenziali, legali, HR o per qualsiasi gruppo che richieda una sicurezza maggiore. Questo previene la contaminazione accidentale di informazioni riservate.
• Automatizza l'applicazione delle etichette con DLP e criteri basati sui ruoli: Usa Purview per distribuire le etichette e applicare le regole su tutti i carichi di lavoro, assicurando che tutti gli output di Copilot ereditino le restrizioni corrette: niente più contenuti senza etichetta.
• Integra l'etichettatura nei programmi di formazione e nei playbook di governance: Assicurati che l'etichettatura non sia solo una questione IT: tutti, in particolare le unità di business ad alto rischio, hanno bisogno di indicazioni. Scopri come una governance efficace e un centro di apprendimento rafforzano la sicurezza in questa guida.

Per approfondire la gestione dei contenuti sensibili e i DLP di Power Platform, consulta questa risorsa sulla governance.

Implementa i criteri DLP per prevenire la fuga di dati

• Distribuisci i modelli DLP compatibili con Copilot: Configura regole DLP che rilevano e bloccano la sintesi o la condivisione di contenuti sensibili tramite chat di Copilot, email o documenti.
• Monitora le violazioni nei log DLP: Controlla regolarmente i log per individuare azioni rischiose di Copilot e modifica i criteri per risolvere i problemi ricorrenti. Scopri di più sulla configurazione pratica di DLP in questa guida.
• Integra DLP con Power Platform e con gli ambienti predefiniti: La maggior parte delle fughe di dati nasce da aree prive di governance: le impostazioni predefinite non bastano mai. Per approfondire le mosse avanzate sul DLP, ascolta questo podcast.

Strategia di rollout sicuro e pianificazione del pilota

Anche con tutti i controlli migliori al loro posto, il modo più sicuro per avviare Copilot in tutta l'organizzazione è un approccio per fasi, basato su un pilota. Lanciarsi subito in un rollout esteso può esporti a lacune di configurazione, comportamenti imprevisti e limiti di autorizzazione non testati.

Questa sezione spiega come impostare un pilota validato sul rischio, così da valutare sia la postura di sicurezza di Copilot sia il valore reale per il business. Troverai un piano dettagliato di 4 settimane che copre tutto, dal coinvolgimento degli stakeholder all'attivazione del monitoraggio e della formazione. Soprattutto, imparerai a rendere operativi questi controlli, assicurandoti che logging, avvisi e governance siano pienamente funzionanti prima di estendere l'uso oltre il gruppo iniziale.

Questo metodo aiuta il team a intercettare tempestivamente i problemi, perfezionare i criteri e adeguare la comunicazione, il tutto prima che centinaia (o migliaia) di utenti vengano coinvolti. Vuoi un'adozione migliore, meno caos e meno emergenze di sicurezza? Tutto parte da un pilota ben gestito. Per saperne di più su formazione efficace e centri di apprendimento per Copilot, consulta questa risorsa.

Progettazione del pilota Copilot e test validati sul rischio

• Seleziona un gruppo pilota rappresentativo: Scegli da 20 a 50 utenti di reparti e ruoli diversi, includendo sia gli utenti che lavorano intensamente con i dati sia quelli con privilegi elevati.
• Progetta scenari di test basati sul rischio: Costruisci scenari che mettano deliberatamente alla prova la risposta di Copilot a limiti di autorizzazione, query di eDiscovery e richieste di contenuti sensibili. Non addolcire il pilota: sottoponilo a stress test.
• Monitora gli esiti imprevisti: Usa questa fase per individuare problemi che Copilot potrebbe introdurre in relazione ad accessi, condivisione o avvisi di conformità.
• Itera configurazione e controlli: Raccogli il feedback degli utenti pilota e adegua i criteri di Copilot prima di scalare. Così si eliminano le congetture e tutti, dalla sicurezza al business, hanno un ruolo nel successo del deployment.

Piano dettagliato di preparazione e rollout in 4 settimane

1. Settimana 1: allineamento dell'ambito – Definisci gli obiettivi del progetto, seleziona gli utenti pilota e verifica la licenza e la prontezza tecnica.
2. Settimana 2: accesso minimo indispensabile – Limita l'accesso di Copilot, configura i criteri DLP e blocca la sovraesposizione dei dati, attivando al contempo il monitoraggio chiave.
3. Settimana 3: strumentazione del pilota – Abilita il logging di controllo, configura il monitoraggio di prompt e risposte e verifica le interazioni con Copilot per individuare rischi.
4. Settimana 4: espansione controllata – Aumenta con cautela l'accesso a Copilot, risolvi i problemi e potenzia il supporto agli utenti. Ogni fase si basa sulle lezioni della settimana precedente.

Rendere operativi i controlli di sicurezza di Copilot prima dell'espansione

• Abilita il monitoraggio continuo: Assicurati che i log di controllo, gli avvisi DLP e l'applicazione delle etichette siano attivi e consultabili in tempo reale.
• Definisci una cadenza di formazione per gli utenti: avvia una formazione formale sulla sicurezza prima di estendere l'uso, così che tutti capiscano le regole del gioco.
• Testa i flussi di governance e i piani di risposta: esercita il tuo team sulla revisione degli avvisi, sulla risposta agli incidenti e sull'aggiornamento dei criteri di Copilot prima di concedere l'accesso a un pubblico più ampio.

Se desideri approfondire l'automazione della governance o l'operatività dei controlli, puoi consultare alcuni argomenti correlati a cui si accede da questo hub sull'automazione con PowerShell (anche se la pagina principale non è disponibile, ti indirizzerà verso risorse aggiornate).

Monitoraggio, audit e conformità per l'uso di Copilot

Una volta che Copilot è operativo, devi avere una visione chiara di come viene usato ogni giorno. Impostare un monitoraggio solido, un audit log completo e un tracciamento della conformità accurato è la tua rete di sicurezza: fa sì che ogni interazione con Copilot sia tracciabile e verificabile.

Questa sezione spiega come attivare e convalidare i log di audit che registrano ogni prompt, ogni risposta e ogni transazione sui dati di Copilot. Affronta anche come tenere sotto controllo l'attività di condivisione, soprattutto quando esce verso utenti esterni, ospiti o dispositivi non gestiti. Monitorando attivamente i segnali di rischio e applicando il tuo framework di conformità, sarai pronto per gli audit e per le sorprese che accompagnano i nuovi flussi di lavoro basati sull'AI.

Una supervisione centralizzata e documentata non è solo di facciata: crea fiducia nei confronti della leadership, degli utenti finali e dei revisori. Inizia con le strategie di audit a livello di tenant in questa risorsa sugli audit di Purview, oppure scopri la conformità continua e il monitoraggio in tempo reale con Microsoft Defender for Cloud.

Verifica e monitora l'audit logging di Copilot

Abilita l'audit logging in tutti i carichi di lavoro di Microsoft 365 che si integrano con Copilot. Assicurati che i log registrino i prompt di Copilot, gli output e tutti gli eventi di accesso ai dati: è un elemento fondamentale per il tracciamento della conformità e per le indagini forensi. Centralizza tutti i log di audit in una piattaforma accessibile ai tuoi team di sicurezza e conformità. Documenta le configurazioni di Copilot nel tuo criterio di audit principale, così che ogni modifica e ogni attività possa essere tracciata e verificata in caso di incidenti.

Monitora e limita i rischi legati alla condivisione e all'accesso esterno

• Imposta avvisi per qualsiasi file o messaggio abilitato per Copilot condiviso all'esterno, inclusi l'accesso degli ospiti e i dispositivi non gestiti.
• Monitora il comportamento degli utenti per individuare modifiche improvvise alle autorizzazioni, picchi anomali di condivisione o accessi da parte di utenti che normalmente non interagiscono con determinati set di dati.
• Effettua revisioni regolari dei file di log e applica l'automazione con PowerShell per analisi più approfondite quando necessario. Per framework che permettono di intercettare i rischi prima che diventino un disastro, consulta questa guida sulla sicurezza della condivisione.

Requisiti di conformità, privacy e legali per Copilot

• Definisci chiaramente gli usi accettabili di Copilot: codifica le regole sull'uso accettabile di Copilot nei tuoi criteri di conformità e inseriscile nell'onboarding e nelle comunicazioni.
• Allinea le pratiche di Copilot a standard di privacy e normativi: assicurati che ogni elaborazione legata a Copilot rispetti le regole specifiche del settore (HIPAA, GDPR, ecc.) e le aspettative di privacy dell'organizzazione.
• Prepara le evidenze di audit e i framework: sii pronto a dimostrare i controlli di Copilot durante gli audit esterni, includendo conservazione dei log, documentazione dei controlli ed evidenze dei flussi di lavoro. Per capire meglio le lacune di governance più profonde, consulta questo approfondimento sulla deriva della conformità.
• Rispondi rapidamente agli eventi di conformità: se un'azione di Copilot porta a un evento di rischio, attiva subito un flusso di revisione e gestione degli incidenti già definito. Questo approccio proattivo impedisce che i problemi minori diventino grattacapi per gli audit.

Leadership, governance e strategie di mitigazione del rischio

Nessun progetto Copilot è davvero sicuro se la leadership non è coinvolta attivamente fin dall'inizio. Non è solo un problema dell'IT: CIO, team legale, compliance e responsabili delle unità di business hanno tutti un ruolo nel definire i limiti e nel garantire che Copilot venga usato in modo sicuro e appropriato.

Questa sezione raccoglie checklist di riferimento rapido che mantengono tutti responsabili, insieme alle domande difficili che ogni leader dovrebbe porsi prima e dopo il deployment. Troverai anche un quadro concreto dei rischi reali: prompt injection, fughe di dati fuori controllo e « trappole » emerse sul campo. Coinvolgere il giusto comitato di governance crea una linea di difesa integrata contro i potenziali incidenti legati all'AI. Per approfondire la necessità dei comitati di governance e delle protezioni responsabili per l'AI, consulta questa analisi oppure scopri il ruolo dell'architettura control plane in questa pagina.

Con una solida struttura di governance e strumenti pratici e concreti a disposizione, prepari la tua organizzazione sia per un'innovazione sicura sia per una conformità duratura.

Checklist per la leadership e i responsabili per la prontezza di Copilot

• Validazione tecnica e delle licenze: verifica che l'ambiente soddisfi tutti i requisiti di Microsoft Copilot e che le licenze corrette siano assegnate prima del rollout.
• Approvazione del comitato di governance: ottieni il via libera dal comitato per l'AI, la compliance o il rischio, confermando l'allineamento con le politiche di utilizzo dei dati e di privacy. Per capire l'importanza di questi comitati, consulta questo episodio.
• Comunicazione agli stakeholder e agli utenti: prepara e diffondi aggiornamenti chiari per gli utenti su cos'è Copilot, sui suoi rischi e su come ci si aspetta che lo utilizzino.
• Responsabilità dei proprietari: individua i responsabili per i dati critici, la configurazione di Copilot e la risposta agli incidenti: niente più giochi di supposizioni quando si presentano problemi.

Domande chiave per la leadership e definizione dell'uso accettabile

• A quali dati può e non può accedere Copilot? Assicurati che non sia una scatola nera: pretendi trasparenza sia dall'IT sia da Microsoft nel definire i limiti.
• Chi è responsabile delle azioni di Copilot? La responsabilità non può essere ambigua: ogni incidente legato a Copilot deve avere un responsabile o un owner di business nominato.
• Dove si nascondono i rischi legali o normativi? Chiediti cosa succede se Copilot elabora o produce contenuti regolamentati e come questi vengono segnalati nella tua configurazione di compliance.
• Cosa costituisce un uso improprio di Copilot? Scrivi dichiarazioni di « uso accettabile » in linguaggio semplice, facili da seguire per chiunque, evitando il gergo legale quando possibile. Per altre strategie di governance, consulta questa checklist per il roll-out.
• Come verranno tracciati e risolti gli eventi di incidente o di compliance? Assicurati che monitoraggio, reportistica e percorsi di escalation non siano solo documentati, ma parte dei flussi di lavoro reali.

Rischi di sicurezza, prompt injection e strategie di mitigazione

• Rischi di prompt injection: malintenzionati o utenti potrebbero costruire prompt ingannevoli per estrarre informazioni sensibili o aggirare i controlli sui contenuti. Testa sempre la logica di Copilot con scenari sia legittimi sia avversi, per individuare le falle.
• Fuga di dati dai riepiloghi generati dall'AI: senza un'etichettatura accurata e una stratificazione di DLP, Copilot potrebbe riassumere o combinare informazioni provenienti da fonti riservate in un output che aggira i controlli tradizionali. Per i rischi nascosti nei dati derivati, leggi questo caso di studio sulla governance.
• Accesso eccessivamente permissivo: se utenti o agenti dispongono di autorizzazioni Graph API ampie, Copilot può « vedere » più di quanto previsto, soprattutto in presenza di una proliferazione incontrollata di gruppi legacy.
• Strategie di mitigazione: applica di default un'etichetta a tutti gli output dell'AI, limita il riepilogo al privilegio minimo necessario, verifica periodicamente i contenuti derivati e introduci punti di controllo per la condivisione di notebook e output di grandi dimensioni.
• Lezioni principali apprese: Abbiamo visto distribuzioni compromesse da output non etichettati, log di audit ignorati e una mancanza di adesione da parte dei leader aziendali. Tratta Copilot come un elemento di primo piano nella tua struttura di governance, non come un esperimento riservato al solo reparto IT.

Sicurezza dei prompt di Copilot e pratiche sicure di input per i team IT

Hai autorizzazioni, monitoraggio e governance in essere, ma non dimenticare che ciò che le persone scrivono in Copilot può fare la differenza per la tua sicurezza. Prompt injection, prompt avversari e tentativi di «jailbreaking» possono indurre Copilot a rivelare o dedurre dati sensibili. La maggior parte delle checklist dei concorrenti non lo considera, ma si tratta di un'area di preoccupazione in rapida crescita man mano che le aziende adottano in pieno i large language model.

Questa sezione apre nuove strade offrendo ai team IT controlli proattivi per rilevare e bloccare i prompt dannosi o eccessivamente descrittivi. Vedrai anche cosa serve per una formazione efficace degli utenti, in modo che nessuno esponga involontariamente informazioni sensibili. Le regole evolvono, e così deve evolversi il tuo playbook per la gestione dei prompt. Per approfondire la governance del comportamento sicuro degli agenti AI, leggi queste best practice di governance.

Mitigare prompt injection e jailbreaking in Copilot

• Monitora i prompt sospetti o avversari: Configura strumenti che segnalino le richieste che tentano di aggirare le restrizioni di Copilot o di estrarre informazioni sensibili con formulazioni indirette.
• Rileva il context hijacking e gli exploit indiretti: Insegna a Copilot a riconoscere quando gli input contengono istruzioni incorporate («Fingi di non essere un assistente...») o tentativi di attacchi con prompt a «duplice uso».
• Implementa controlli a più livelli: Limita il contesto del prompt di Copilot ai soli dati della sessione attiva e applica confini rigidi per l'AI dove possibile, impedendo la fusione di riepiloghi tra set di dati diversi. Per saperne di più su identità degli agenti e piani di controllo nell'AI aziendale, leggi questo articolo.

Pratiche sicure per i prompt e linee guida per la formazione degli utenti

• Definisci linee guida per la scrittura dei prompt: Forma gli utenti a non inserire dati personali, segreti aziendali o informazioni riservate nei loro prompt.
• Offri una sensibilizzazione alla sicurezza mirata: Organizza workshop sulla sicurezza specifici per Copilot, mostrando errori comuni ed esempi reali di exploit.
• Fornisci modelli di prompt per gli scenari ad alto rischio: Metti a disposizione degli utenti modelli sicuri e approvati, e specifica con precisione cosa è e cosa non è appropriato chiedere a Copilot.
• Approccio di apprendimento continuo: Feedback, quiz e microformazione aiutano ad adeguare i comportamenti man mano che vengono rilasciate nuove funzionalità di Copilot.

Flusso dei dati tra servizi e rischi del contesto di Copilot

Copilot non analizza una sola app: attinge al contesto da Teams, SharePoint, Outlook e non solo. Se questo è ottimo per la produttività, introduce nuovi rischi, soprattutto quando le informazioni attraversano confini che dovrebbero restare interni. La propagazione dei dati non controllata può portare a fughe involontarie di informazioni sensibili, per inferenza o per semplice sovraesposizione.

Questa sezione riguarda la mappatura, il controllo e l'impostazione di barriere di protezione su come Copilot combina il contesto tra i servizi. Approfondirai le strategie per fare in modo che Copilot non combini involontariamente informazioni che dovrebbero restare separate. Con una solida mappatura dei dati e una stratificazione di DLP, le organizzazioni possono mantenere Copilot flessibile per gli utenti senza compromettere la conformità. Per conoscere le insidie di basi dati fragili e dei collassi della governance, leggi questo caso di studio sugli errori di governance.

Mappa e controlla il flusso del contesto dei dati di Copilot in Microsoft 365

• Inventaria i dati a cui attinge Copilot: Mappa le app (Teams, OneNote, Outlook, SharePoint e altre) a cui Copilot può accedere e i gruppi o gli account che controllano le autorizzazioni su tali app.
• Imposta limiti di riepilogo per unità di business: Limita la fusione dei dati di Copilot a combinazioni preapprovate, senza mescolare, ad esempio, dati legali e commerciali.
• Abilita controlli basati su criteri con Purview e Conditional Access: Usa classificazione, DLP e monitoraggio in tempo reale per impedire la combinazione non autorizzata di contesti. Per saperne di più su come bilanciare sicurezza e usabilità in Microsoft 365, consulta questa guida pratica.

Prevenire l'esposizione implicita dei dati nei riepiloghi generati dall'AI

• Riconosci i rischi di esposizione composita: Capisci come input non sensibili possano rivelare conclusioni sensibili. I riepiloghi di Copilot che combinano i contenuti del calendario con le milestone di progetto potrebbero divulgare, senza volerlo, priorità di progetto riservate.
• Stratifica la DLP e segmenta i contenuti: Non affidarti solo alla DLP classica. Usa la segmentazione basata sui ruoli e limita l'ambito dei riepiloghi nella configurazione AI di Copilot.
• Stratifica i criteri ed esegui audit regolari: Verifica gli output di Copilot alla ricerca di fughe di dati indirette e aggiorna i criteri DLP e quelli per le etichette di riservatezza per colmare le lacune di copertura non appena emergono.
• Formare gli utenti sui rischi di inferenza dell'AI: Includi nella formazione esempi in cui richieste dall'aspetto innocuo portano a fughe di dati inattese, per rafforzare la necessità di prestare attenzione agli input e di revisionare gli output.

Gestire la sicurezza di app e componenti aggiuntivi di terze parti con Copilot

La superficie di attacco si amplia quando colleghi a Microsoft 365 strumenti o app di terze parti, e Copilot non fa eccezione. Le integrazioni con Salesforce, Zoom, Slack o anche i connector di Power Platform possono introdurre rischi di sicurezza se non vengono monitorate.

Questa sezione mostra come verificare e valutare i componenti aggiuntivi abilitati per Copilot, controllando eventuali accessi rischiosi ai dati o autorizzazioni obsolete che potrebbero essere ereditate. Vedrai anche come bloccare i flussi di dati non voluti tra Copilot e le app SaaS collegate, in modo che il confine di conformità non venga compromesso da un singolo connector. Per un approfondimento sulla governance di Power Platform e sul controllo dei rischi legati agli sviluppatori cittadini, consulta questa risorsa.

Valutare i rischi di sicurezza dei componenti aggiuntivi di terze parti abilitati per Copilot

• Esegui l'audit di tutte le app di terze parti integrate con Copilot: Elenca ogni app o componente aggiuntivo collegato a Copilot ed esegui una revisione delle autorizzazioni e dei flussi di dati.
• Analizza i rischi relativi all'accesso ai dati e all'ereditarietà delle autorizzazioni: Verifica se un componente aggiuntivo concede diritti più ampi sulle API di Graph o diritti di amministrazione, che potrebbero aumentare l'accesso di Copilot.
• Aggiorna i flussi di approvazione e revisione delle app: Usa il portale AppSource di Microsoft 365 per tutte le approvazioni. Blocca o limita le app risultate obsolete, non sicure o non conformi ai requisiti di conformità.

Controllare l'accesso ai dati tra Copilot e le app SaaS collegate

• Implementa flussi di approvazione: Consenti le integrazioni solo previa revisione formale da parte dell'IT, assicurandoti che tutte le connessioni SaaS abbiano una reale esigenza di business e un ambito chiaramente documentato.
• Applica DLP e accesso condizionale: Applica regole DLP e criteri di accesso contestuali per monitorare e bloccare lo spostamento non autorizzato di dati al di fuori dell'ambiente Microsoft 365.
• Monitora l'attività in fase di esecuzione e a livello di connector: Controlla i log di ciascun connector e configura avvisi automatici per attività anomale tra servizi diversi o per prelievi di dati su larga scala. Per approfondire i rischi legati allo shadow IT e il monitoraggio in fase di esecuzione, consulta questa risorsa.