Rejestrowanie zdarzeń bezpieczeństwa Microsoft Copilot

By Mirko Peters · 2026-04-16 · Updated 2026-07-28

Dowiedz się, jak skonfigurować rejestrowanie zdarzeń bezpieczeństwa Microsoft Copilot, dzienniki audytu, Purview Audit, DLP, przechowywanie i monitorowanie, aby wdrażać AI zgodnie z wymogami zgodności.

Automatically translated with AI from the original post. Read the English original

Krótka odpowiedź: Rejestrowanie zdarzeń bezpieczeństwa Microsoft Copilot opiera się na usłudze Microsoft Purview Audit oraz powiązanych sygnałach Microsoft 365, które pokazują, kto korzystał z Copilot, kiedy wystąpiła aktywność i które kontrole zgodności miały zastosowanie. Zacznij od jasno określonych ról audytu, oczekiwań dotyczących przechowywania oraz powtarzalnego procesu przeglądu, a następnie połącz istotne ustalenia o wysokim ryzyku z procesem reagowania na incydenty i zarządzania.

Kiedy mowa o Microsoft Copilot, rejestrowanie zdarzeń bezpieczeństwa i dzienniki audytu są fundamentem zgodności i spokoju ducha. Ten przewodnik pokazuje, jak włączyć, udostępnić i analizować dzienniki audytu dla wdrożeń Copilot w Microsoft 365. Omawiamy konfigurację funkcji zgodności, wykrywanie ryzykownych zachowań, monitorowanie wykorzystania oraz integrowanie danych audytu z Twoim stosem bezpieczeństwa. Niezależnie od tego, czy masz na karku audyt regulacyjny, czy po prostu chcesz wykryć zagrożenia, zanim one wykryją Ciebie, te najlepsze praktyki i szczegółowe wskazówki pomogą Ci w pełni wykorzystać możliwości audytu bezpieczeństwa Copilot.

Omówimy włączanie audytu, śledzenie wykorzystania, rozwiązywanie problemów z wyciekami danych, integrowanie logów z narzędziami monitorującymi oraz ustalanie, co jest normalnym, a co podejrzanym zachowaniem asystentów AI w Twoim środowisku. Dzięki temu będziesz gotowy na spełnienie wymogów regulacyjnych i wyprzedzanie ryzyk związanych z Copilot, a wszystko to bez utraty zdrowego rozsądku.

Włączanie rejestrowania zdarzeń audytu bezpieczeństwa Copilot w Microsoft 365

Zanim zaczniesz analizować lub raportować cokolwiek, co robi Copilot, musisz upewnić się, że rejestrowanie zdarzeń audytu bezpieczeństwa jest rzeczywiście włączone i poprawnie skonfigurowane w Microsoft 365. Potraktuj to jak układanie rur przed sprawdzaniem, czy nie ma wycieków. Dzięki temu uzyskasz wiarygodne, możliwe do prześledzenia dane dotyczące całej aktywności Copilot w Twoim środowisku.

Włączenie rejestrowania zdarzeń Copilot to nie tylko kliknięcie przełącznika. Musisz zrozumieć, które role administracyjne mają odpowiednie uprawnienia, jak Microsoft Purview Audit obsługuje żądania Copilot oraz jakie warunki wstępne są potrzebne do pełnego pokrycia. Niektóre organizacje mogą też potrzebować dostosować zasady zgodności lub ustawienia DLP, zanim dzienniki audytu Copilot zaczną prawidłowo napływać.

Ta sekcja daje podstawy, dzięki którym środowisko od początku będzie poprawnie skonfigurowane. Dowiesz się, co musi być na miejscu, aby rejestrować każdą interakcję z Copilot, oraz dlaczego ścisła kontrola dostępu do audytu i przechowywania ma znaczenie zarówno dla codziennej pracy, jak i długofalowej zgodności. Jeśli chcesz dokładniej poznać audyt aktywności użytkowników w chmurze Microsoft, zajrzyj do tego przewodnika po Microsoft Purview Audit, który zawiera sprawdzone praktyki krok po kroku oraz porównanie pokrycia Standard i Premium.

Gdy skonfigurujesz to wszystko, będziesz gotowy na konkrety: włączanie funkcji, przeglądanie dzienników i wykorzystywanie danych audytu do realizacji celów bezpieczeństwa.

Jak aktywować funkcje audytu bezpieczeństwa Copilot

1. Sprawdź licencjonowanie i dostępność funkcji.Upewnij się, że Twoja dzierżawa Microsoft 365 ma dostęp do Copilot oraz – najlepiej – do Purview Audit (poziom Premium jest zdecydowanie zalecany ze względu na zaawansowane możliwości). Rejestrowanie Copilot opiera się na funkcjach audytu, które mogą się różnić w zależności od subskrypcji i regionu.
2. Zweryfikuj wymagane role administracyjne.Do włączania i zarządzania funkcjami audytu potrzebujesz uprawnień Global Administrator, Compliance Administrator lub Audit Log Reader. Ograniczanie tych uprawnień zgodnie z zasadą najmniejszych uprawnień pomaga zmniejszyć ryzyko ze strony wewnętrznych użytkowników, o czym szerzej piszemy w artykule o zaawansowanym zarządzaniu agentami Copilot z Purview.
3. Włącz rejestrowanie audytu w Microsoft 365.Otwórz centrum zgodności Microsoft 365 i sprawdź, czy rejestrowanie audytu jest aktywne. Jeśli nie, włącz je w ustawieniach audytu. Aby uzyskać zdarzenia specyficzne dla Copilot oraz bogatsze sygnały, upewnij się, że działasz na odpowiednim poziomie Purview Audit.
4. Integracja z Microsoft Purview.Ten krok zapewnia kompleksowe rejestrowanie żądań Copilot, w tym promptów i wynikowych działań. Może być też konieczne włączenie funkcji Data Loss Prevention (DLP), jeśli chcesz, aby interakcje z treściami Copilot były objęte mechanizmami kontroli zgodności. Wskazówki dotyczące DLP dla łączników znajdziesz w tym praktycznym przewodniku po zarządzaniu, który koncentruje się na Copilot, rolach w Entra ID i strategiach audytu.
5. Konfiguracja zasad zgodności i mechanizmów DLP.Skonfiguruj zasady etykietowania danych i ograniczania dostępu Copilot zgodnie z tolerancją ryzyka w Twojej organizacji. Wykorzystaj grupy ról Entra i zablokuj niezarządzane łączniki, aby dane nie wyciekały przez żądania Copilot.
6. Weryfikacja zakresu i kompletności rejestrowania.Przetestuj działanie na przykładowych interakcjach z Copilot i sprawdź, czy zdarzenia pojawiają się w ujednoliconym dzienniku audytu. Regularnie przeglądaj konfigurację, ponieważ aktualizacje Purview i platformy mogą wpływać na zakres rejestrowania lub działanie zasad.

Postępowanie zgodnie z tymi krokami daje Ci kontrolę nad aktywnością Copilot i ścieżkami audytu, ogranicza luki i wspiera zgodność z przepisami od samego początku.

Dostęp do ujednoliconych dzienników audytu dotyczących użycia Copilot

1. Przejdź do Centrum zgodności Microsoft 365.Otwórz portal zgodności (https://compliance.microsoft.com) i wybierz pozycję "Audyt" w panelu bocznym. Stąd możesz uruchomić wyszukiwanie w ujednoliconym dzienniku audytu (UAL), które obejmuje Copilot wraz z innymi zasobami Microsoft 365.
2. Ustaw parametry wyszukiwania w audycie.Filtruj zdarzenia Copilot, wyszukując odpowiednie operacje (np. "CopilotPrompt", "CopilotResponse") lub określając użytkowników, daty albo zasoby. Precyzyjne filtry są kluczowe, aby znaleźć tylko istotne działania – w przeciwnym razie utoniesz w szumie.
3. Przeglądaj, filtruj i eksportuj wyniki.Przewijaj lub przeglądaj stronami wyniki audytu, aby sprawdzić szczegóły. Eksportuj dzienniki do pliku CSV, aby wygodniej analizować je w Excelu lub narzędziach bezpieczeństwa. Pełny przewodnik po różnicach w dziennikach Purview i zastosowaniach kryminalistycznych znajdziesz w tym przewodniku po audycie Microsoft Purview, który szczegółowo omawia zaawansowane praktyki eksportu, przechowywania i analizy.
4. Pobieraj dzienniki przez API (opcja zaawansowana).Jeśli chcesz automatyzować działania lub integrować je z SIEM bądź narzędziami własnymi, skonfiguruj interfejs Office 365 Management Activity API. Pozwala on programowo pobierać zdarzenia związane z Copilot i przesyłać je tam, gdzie są potrzebne, do monitorowania w czasie rzeczywistym lub szczegółowej analizy.
5. Koreluj zdarzenia Copilot z innymi aktywnościami.Dzięki zasięgowi UAL obejmującemu wiele usług połącz dzienniki Copilot z edycjami dokumentów, udostępnianiem plików lub alertami DLP, aby uzyskać pełny profil aktywności użytkowników i prowadzić analizę ryzyka.

Dzięki temu procesowi nigdy nie będziesz w ciemno co do tego, jak Copilot jest używany – i nadużywany – w Twojej organizacji.

Analiza dzienników audytu Copilot pod kątem bezpieczeństwa i zgodności

Gdy rejestrowanie audytu Copilot działa, kolejnym krokiem jest nauka odczytywania sygnałów ukrytych w tych dziennikach. Samo gromadzenie danych nie wystarczy – trzeba wiedzieć, jak wychwycić anomalne lub ryzykowne zachowania, zrozumieć, co oznaczają zdarzenia Copilot, i dokumentować wzorce, które mogą sygnalizować zagrożenia lub problemy ze zgodnością.

Ta sekcja zagłębia się w sztukę i naukę interpretowania rekordów audytu Copilot, zwłaszcza w złożonych środowiskach, gdzie działają jednocześnie GitHub Copilot i Microsoft Copilot. Koncentrując się na intencji użytkownika, treści promptów i kontekście każdego działania, nauczysz się rozpoznawać uzasadnione użycie od możliwego nadużycia. Brzmi technicznie, ale dzięki odpowiednim technikom i uważnemu spojrzeniu szybko odróżnisz normalne interakcje z AI od sygnałów problemu.

Niezależnie od tego, czy celem jest wykrycie zagrożeń wewnętrznych, zbadanie wycieku danych, czy po prostu wykazanie zgodności przed audytorem zewnętrznym, te techniki analizy dzienników będą Twoim najlepszym sprzymierzeńcem. Przedstawimy strategie, które pomogą odpowiedzieć nie tylko na pytanie „co się stało”, ale także „dlaczego to się stało i co trzeba zmienić dalej?”

Przegląd i interpretacja dzienników audytu GitHub Copilot

1. Sprawdź dostępność i dostęp do dzienników audytu.Najpierw upewnij się, że w Twojej organizacji GitHub włączono dziennik audytu. Dostęp powinni mieć wyłącznie użytkownicy z odpowiednimi uprawnieniami, najlepiej przypisanymi na podstawie ról – dzięki temu ograniczysz ryzyko nadużycia uprawnień.
2. Filtrowanie dzienników pod kątem zdarzeń Copilot.Użyj wyszukiwania w dzienniku inspekcji, aby znaleźć zdarzenia oznaczone jako „copilot” lub powiązane z sugestiami kodu i uzupełnieniami generowanymi przez AI. Dzięki temu łatwiej skupić się wyłącznie na działaniach użytkowników związanych z AI wśród ogólnej aktywności deweloperów.
3. Przegląd treści promptów i działań.Szukaj nietypowych lub nadmiernych żądań wygenerowania kodu, podejrzanej treści promptów albo powtarzających się prób dostępu do wrażliwych repozytoriów. Mogą to być oznaki ataku typu prompt injection, eksfiltracji danych lub prób obejścia kontroli zasad. Aby zrozumieć łańcuchy ataków, które mogą być skierowane na środowiska wspomagane przez AI, zapoznaj się z tym przewodnikiem po łańcuchu ataku
4. Ocena zachowania użytkowników i systemów.Wypatruj trendów, takich jak nagły wzrost użycia Copilot przez jednego użytkownika albo próby generowania ograniczonych treści przez różne zespoły. Nagłe zmiany w zachowaniu mogą wskazywać na kradzież poświadczeń lub naruszenie zasad.
5. Ustaw regularne przeglądy i automatyczne alerty.Zaplanuj harmonogramy i logikę wykrywania dla bieżących przeglądów, priorytetyzując zdarzenia wysokiego ryzyka i łącząc ręczne kontrole z automatycznymi regułami SIEM, aby szybciej reagować na incydenty.

Systematyczny przegląd dzienników jest kluczowy – nie tylko po to, by wychwycić problemy, ale także by budować punkty odniesienia określające dopuszczalne wykorzystanie AI w Twoim zespole.

Wyodrębnianie kontekstu interakcji i danych o dostępie do zasobów

1. Określ kontekst promptu Copilot.Dzienniki inspekcji często rejestrują, z jakim dokumentem, plikiem lub zasobem używany był Copilot – a nawet treść promptu. Przeanalizuj te dane, aby zrozumieć poufność treści, z którymi wchodzą w interakcję użytkownicy.
2. Śledź dostęp do danych sterowany przez Copilot.Szukaj wpisów w dzienniku pokazujących, że Copilot odczytuje, podsumowuje lub eksportuje dane. Czy użytkownik wykorzystał Copilot do tworzenia podsumowań plików oznaczonych jako poufne? Czy wyniki AI są zapisywane w lokalizacjach bez dziedziczonych etykiet poufności? Aby zgłębić temat, przeczytaj o zagrożeniach związanych z zarządzaniem „cieniowymi danymi” w tej analizie notatników Copilot.
3. Powiąż prompty z wynikowymi działaniami lub danymi wyjściowymi.Koreluj treść promptów ze zdarzeniami modyfikacji, udostępniania lub pobierania zasobów. Pozwoli to ustalić, czy wynik wygenerowany przez Copilot wykracza poza zatwierdzone zastosowania lub trafia do nieśledzonych repozytoriów.
4. Oceń egzekwowanie zasad DLP i polityk.Sprawdź, czy alerty DLP lub bariery informacyjne zadziałały, gdy Copilot uzyskiwał dostęp do chronionych danych. Jeśli nie, Twoje mechanizmy kontroli mogą wymagać zaostrzenia lub rozszerzenia, aby wychwytywać ryzyka wynikające z użycia AI.
5. Raportuj i usuwaj działania wysokiego ryzyka.Dokumentuj wszystkie ustalenia, oznaczaj podejrzane żądania i w razie potrzeby uruchamiaj procedurę reagowania na incydenty lub dalsze dochodzenie. Regularnie aktualizuj procedury przeglądu dzienników, aby nadążały za nowymi funkcjami Copilot i technikami ataków.

Skuteczna analiza kontekstu pozwala dostrzec nie tylko to, co robią użytkownicy, ale także miejsca, w których mogą czaić się ukryte ryzyka w przyjmowaniu AI w Twojej organizacji.

Monitorowanie trendów i wzorców użycia Copilot

Gdy skonfigurujesz dzienniki inspekcji Copilot i zrozumiesz, co Ci mówią, kolejnym krokiem jest wykorzystanie tych danych. Tutaj zaczynają się pojawiać prawdziwe spostrzeżenia – a być może także kilka niespodzianek. Śledzenie wzorców użycia pomaga ustalić, kto korzysta z Copilot najczęściej, na których funkcjach zespoły faktycznie polegają i czy coś odstaje od normy z perspektywy adopcji lub zgodności.

Nie chodzi też wyłącznie o liczenie wpisów w dzienniku. Prawdziwa wartość pojawia się, gdy raporty użycia rozbijesz na użytkowników, działy, zespoły i funkcjonalności – dzięki temu zidentyfikujesz najaktywniejszych użytkowników, luki w szkoleniach lub zarządzaniu, a nawet uzasadnisz budżet na licencje Copilot. Istotna jest też analiza geograficzna, która pokazuje, czy niektóre regiony lub biura intensywnie korzystają z narzędzia, i pozwala wykryć nieautoryzowany dostęp z nieoczekiwanych miejsc.

Ta sekcja stanowi podstawę do tworzenia praktycznych raportów i wykrywania anomalii na podstawie dzienników inspekcji. Nie będziemy tu wchodzić zbyt głęboko w szczegóły techniczne, ale omawiane dalej zagadnienia pomogą zbudować pulpity i alerty, które faktycznie wspierają cele biznesowe, a nie tylko odhaczają wymogi zgodności.

Podział funkcjonalnego wykorzystania przez użytkowników i zespoły

• Zidentyfikuj najaktywniejszych użytkowników. Pobierz dane z dziennika inspekcji, aby ustalić, którzy użytkownicy korzystają z Copilot najczęściej – zarówno pod względem liczby zdarzeń, jak i wolumenu danych.
• Wskaż liderów zespołów. Zidentyfikuj działy lub grupy robocze, które prowadzą we wdrażaniu Copilota, na przykład sprzedaż, dział prawny lub inżynierię.
• Analizuj wykorzystanie funkcji. Rozbij użycie na poszczególne funkcje (np. generowanie tekstu, streszczanie, tworzenie szkiców), aby ukierunkować szkolenia lub aktualizacje zasad.
• Śledź wzorce współpracy. Sprawdź, czy konkretne zespoły częściej używają Copilota do wspólnej edycji dokumentów lub automatyzacji procesów.
• Powiąż wnioski ze strategiami zarządzania. Połącz ustalenia z najlepszymi praktykami zarządzania Copilotem, aby dopasować sposób użycia do zasad zgodności i zarządzania ryzykiem.

Wolumen i geograficzne wzorce użycia Copilota

• Monitoruj łączną liczbę interakcji z Copilotem. Śledź całkowitą liczbę interakcji lub promptów, aby porównać krzywą adopcji z punktem odniesienia i wychwytywać nagłe skoki użycia.
• Analizuj użycie według biura lub regionu. Filtruj dzienniki, aby zwizualizować zespoły według fizycznej lokalizacji lub regionu zarejestrowanego w Azure AD, co pozwala wykryć geograficzne ośrodki intensywnego użycia.
• Wykrywaj anomalie i naruszenia zasad. Szukaj nieoczekiwanego użycia z nieznanych lokalizacji, które może świadczyć o kradzieży poświadczeń lub nieuprawnionym dostępie.
• Wspieraj przeglądy zgodności. Dokumentuj dane o wolumenie i lokalizacji, aby wykazać przestrzeganie zasad i przejrzystość użycia.

Przechowywanie historii audytu i weryfikacja zgodności z Purview Audit

Utrzymywanie kompletnego i bezpiecznego zapisu dzienników audytu Copilota to nie tylko dobra praktyka, lecz wymóg zarówno wewnętrznego zarządzania, jak i przepisów regulacyjnych. Microsoft Purview Audit oferuje poziomy Standard i Premium, różniące się możliwościami przechowywania i raportowania. Purview Audit Premium jest lepszym wyborem ze względu na dłuższe przechowywanie, bogatsze sygnały zdarzeń i szczegółowe analizy śledcze, które są niezbędne, jeśli przetwarzasz dane regulowane lub prowadzisz dogłębne dochodzenia.

Aby zapewnić odpowiednie przechowywanie dzienników audytu, skonfiguruj w ustawieniach Purview okres przechowywania dzienników Copilota, od 90 dni do kilku lat, zależnie od zasad lub wymogów prawnych. Regularnie weryfikuj te ustawienia, ponieważ aktualizacje platformy lub zmiany licencji mogą wpłynąć na zakres pokrycia danych.

Ustal regularne przeglądy z wykorzystaniem pulpitów audytu w Microsoft Purview i zawsze dokumentuj obowiązujące zasady przechowywania. Ułatwia to wykazanie zgodności podczas audytu i zmniejsza ryzyko, gdy trzeba udowodnić historyczną aktywność Copilota, zwłaszcza gdy treści generowane przez AI stanowią coraz większą część zasobów danych organizacji.

Praktyczne kroki i gotowość w zakresie zgodności z Purview opisano w tym kompleksowym przewodniku po audycie Purview, a wskazówki dotyczące zarządzania dokumentami i gotowości audytowej znajdziesz w tym odcinku o budowaniu tarczy Purview. Razem te materiały wspierają solidne zarządzanie treściami w przedsiębiorstwie, własność danych i egzekwowanie DLP, a wszystko to jest kluczowe dla wiarygodnej ścieżki audytu Copilota.

Integracja danych audytu Copilota z narzędziami do monitorowania bezpieczeństwa

Zbieranie dzienników audytu Copilota to dopiero połowa sukcesu. Aby faktycznie wykrywać zagrożenia i automatyzować reakcję, musisz połączyć te dzienniki z szerszymi narzędziami do monitorowania, takimi jak platformy SIEM, własne rozwiązania alertowe czy Microsoft Defender. Dzięki dobrym integracjom możesz korelować aktywność Copilota ze zdarzeniami w całym systemie, otrzymywać w czasie rzeczywistym powiadomienia o promptach wysokiego ryzyka i uruchamiać procesy reagowania w całym zespole bezpieczeństwa.

Eksport danych audytu Copilota przyspiesza wykrywanie incydentów i umożliwia bogatsze raportowanie. Od Office 365 Management APIs po własne skrypty PowerShell istnieje wiele sposobów przesyłania dzienników do wybranych platform. Automatyzacja zmniejsza też ręczną pracę związaną z kontrolami bezpieczeństwa i zgodności, dając analitykom więcej czasu na poważniejsze problemy.

Microsoft Defender spina całość w jedną funkcję: pozwala tworzyć dostosowaną logikę wykrywania ryzyk związanych z Copilotem i automatyzować działania naprawcze, gdy pojawi się coś podejrzanego. Organizacje zarządzające zgodnością w wielu chmurach mogą dodatkowo zyskać widoczność i kontekst, integrując dzienniki Copilota z uniwersalnymi pulpitami. Zajrzyj do tego przewodnika po monitorowaniu w Defender for Cloud, znajdziesz tam praktyczne przykłady i wskazówki dotyczące automatyzacji.

Korzystanie z interfejsów API i niestandardowych integracji w monitorowaniu audytu

• Office 365 Management API. Użyj tego interfejsu API, aby przesyłać dzienniki Copilota do systemów SIEM lub platform analitycznych i usprawnić wykrywanie zagrożeń.
• Skrypty PowerShell. Automatyzuj wyodrębnianie dzienników zgodnie z harmonogramem i zapisuj dane w lokalnym lub chmurowym magazynie w celu dalszej analizy.
• Wdrażanie agentów niestandardowych. Twórz lub wdrażaj agentów, które monitorują strumienie zdarzeń Copilota i w czasie zbliżonym do rzeczywistego wyzwalają alerty dla ryzykownych wzorców.
• Integracja z zewnętrznym systemem SIEM. Kieruj dzienniki do Splunka, Sentinela lub podobnych platform, umożliwiając zaawansowaną logikę wykrywania i orkiestrację incydentów.
• Adaptacyjna automatyzacja. Dostosowuj konfigurację potoku danych i pulpitów w miarę rozwoju funkcji Copilota i schematu audytu.

Zwiększanie bezpieczeństwa monitorowania za pomocą Microsoft Defender

• Konfigurowanie łączników danych Defendera. Pobieraj dzienniki audytu Copilota do oceny w czasie rzeczywistym wraz z innymi działaniami w chmurze.
• Dostosowywanie logiki wykrywania. Twórz niestandardowe reguły alertów dla nietypowego użycia Copilota, na przykład powtarzających się żądań dotyczących danych wrażliwych lub nieoczekiwanego dostępu z nietypowych lokalizacji geograficznych.
• Zautomatyzowana reakcja na incydenty. Używaj playbooków Defendera, aby przerywać podejrzane sesje, egzekwować DLP lub eskalować sprawy, gdy dzienniki Copilota oznaczą ryzykowne działania.
• Pulpity zgodności. Wykorzystaj wbudowane pulpity Defendera do raportowania użycia Copilota w odniesieniu do wymagań zgodności i ram zasad.
• Monitorowanie zunifikowane. Włącz aktywność Copilota do programów zgodności obejmujących wiele chmur, zgodnie z opisem w tym przewodniku po Defender for Cloud, aby wykrywać ryzyka i reagować na nie niezależnie od miejsca ich wystąpienia.

Kluczowe statystyki: rejestrowanie zdarzeń bezpieczeństwa Copilota i zgodność audytowa

Liczby te pokazują istotną prawdę: bez odpowiedniego rejestrowania zdarzeń bezpieczeństwa Copilota Twoja organizacja działa po omacku, jeśli chodzi o dostęp do danych sterowany przez AI i ich potencjalne nadużycia.

Skrócona lista kontrolna rejestrowania audytu Copilota

Purview Audit Standard a Premium: porównanie funkcji

Često zadawane pytania

Czym jest rejestrowanie zdarzeń zabezpieczeń Copilot w Microsoft 365?

Rejestrowanie zdarzeń zabezpieczeń Copilot polega na przechwytywaniu i przechowywaniu zapisów wszystkich interakcji z Microsoft Copilot, w tym monitów, odpowiedzi i danych, do których uzyskano dostęp, w ujednoliconym dzienniku audytu Microsoft 365 za pośrednictwem Microsoft Purview. Te dzienniki są niezbędne do zapewnienia zgodności, wykrywania zagrożeń ze strony wewnętrznych użytkowników oraz audytów regulacyjnych.

Czy do rejestrowania działań Copilot potrzebna jest licencja Purview Audit Premium?

Podczas gdy Purview Audit Standard rejestruje podstawowe zdarzenia, w organizacjach korzystających z Copilot na dużą skalę zdecydowanie zaleca się Purview Audit Premium. Wersja Premium zapewnia pełne pokrycie zdarzeń (w tym treści monitów i odpowiedzi), dłuższy okres przechowywania (do 10 lat) oraz możliwości badania incydentów na poziomie kryminalistycznym.

Jak wyszukać zdarzenia Copilot w ujednoliconym dzienniku audytu?

Przejdź do portalu Microsoft 365 Compliance → Inspekcja → Nowe wyszukiwanie. Filtruj według słów kluczowych aktywności, takich jak CopilotPrompt lub CopilotResponse, określ zakres dat i wybierz odpowiednich użytkowników. Wyniki wyeksportuj do pliku CSV, aby przeprowadzić szczegółową analizę w aplikacji Excel lub na platformie SIEM.

Czy dzienniki audytu Copilot można wysyłać do Microsoft Sentinel?

Tak. Aby przesyłać zdarzenia audytu Copilot do Sentinel, użyj interfejsu API Office 365 Management Activity lub natywnych łączników danych Microsoft Sentinel. Następnie możesz tworzyć własne reguły analityczne, automatyczne alerty i playbooki reagowania na incydenty oparte na zachowaniu Copilot.

Na jakie zdarzenia Copilot należy zwracać uwagę jako na wysokie ryzyko?

Do kluczowych sygnałów wysokiego ryzyka należą: nietypowa liczba monitów od jednego użytkownika, dostęp Copilot do plików oznaczonych jako poufne lub ograniczone, monity zawierające słowa kluczowe dotyczące danych osobowych (PII) lub danych finansowych, dostęp z nieoczekiwanych lokalizacji geograficznych oraz naruszenia zasad DLP wywołane przez odpowiedzi Copilot.

Jak długo należy przechowywać dzienniki audytu Copilot?

Okres przechowywania zależy od obowiązków regulacyjnych. RODO generalnie wymaga, aby dzienniki były przechowywane tylko tak długo, jak jest to konieczne; HIPAA zaleca 6 lat, a SOX i przepisy dotyczące sektora finansowego często nakładają obowiązek przechowywania przez 7 lat. Ustalając odpowiednie zasady przechowywania audytu w Purview, skonsultuj się z zespołem prawnym i ds. zgodności.

Jaka jest różnica między dziennikami audytu GitHub Copilot a dziennikami audytu Microsoft 365 Copilot?

Dzienniki audytu GitHub Copilot są zarządzane za pośrednictwem interfejsu dziennika audytu organizacji GitHub's i rejestrują aktywność związaną z sugestiami kodu, dostęp do repozytoriów oraz zachowania użytkowników na platformie GitHub. Dzienniki audytu Microsoft 365 Copilot są zarządzane za pośrednictwem Microsoft Purview i obejmują interakcje z dokumentami, wiadomościami e-mail, usługą Microsoft Teams oraz serwisem SharePoint w ekosystemie M365. Aby uzyskać kompletny obraz bezpieczeństwa sztucznej inteligencji w przedsiębiorstwie, należy monitorować oba rodzaje dzienników.

Czy mogę zautomatyzować reakcje na podejrzaną aktywność Copilot?

Tak. Korzystając z playbooków Microsoft Defender, reguł automatyzacji Sentinel lub przepływów Power Automate, możesz uruchamiać zautomatyzowane reakcje, takie jak: blokowanie sesji użytkownika, wysyłanie alertu bezpieczeństwa do zespołu SOC, egzekwowanie zasad DLP lub odbieranie dostępu do Copilot. Wszystko to na podstawie zdefiniowanych wyzwalaczy zdarzeń audytu Copilot.

Spis treści artykułu

• Włączanie rejestrowania audytu zabezpieczeń Copilot w Microsoft 365
  • Jak aktywować funkcje audytu zabezpieczeń Copilot
  • Dostęp do ujednoliconych dzienników audytu dla użycia Copilot
• Analiza dzienników audytu Copilot pod kątem zabezpieczeń i zgodności
  • Przegląd dzienników audytu GitHub Copilot
  • Wyodrębnianie kontekstu interakcji i danych o dostępie do zasobów
• Monitorowanie trendów i wzorców użycia Copilot
  • Podział funkcjonalnego użycia przez użytkowników i zespoły
  • Wzorce wolumenu i użycia według lokalizacji geograficznej
• Przechowywanie historii audytu i weryfikacja zgodności w Purview
• Integracja danych audytu Copilot z narzędziami do monitorowania bezpieczeństwa
  • Korzystanie z interfejsów API i integracji niestandardowych
  • Zwiększanie skuteczności monitorowania bezpieczeństwa za pomocą Microsoft Defender
• Kluczowe statystyki: rejestrowanie zdarzeń i zgodność
• Szybka lista kontrolna rejestrowania zdarzeń audytu
• Porównanie standardowego i Premium w Purview Audit
• Często zadawane pytania (FAQ)

Podsumowanie i kolejne kroki

Rejestrowanie zdarzeń związanych z zabezpieczeniami Copilot oraz ścieżki audytu to nie opcjonalne dodatki, lecz fundament odpowiedzialnego wdrażania AI w każdym przedsiębiorstwie. Niezależnie od tego, czy chronisz się przed zagrożeniami wewnętrznymi, przygotowujesz się do audytu regulacyjnego, czy po prostu chcesz widzieć, jak AI wykorzystuje Twoje najbardziej wrażliwe dane, kroki opisane w tym przewodniku wskazują jasną, praktyczną drogę naprzód.

Połączenie Microsoft Purview, Unified Audit Logs, Defender i integracji z SIEM tworzy model obrony wielowarstwowej, który zapewnia Copilotowi siłę działania, a Twojej organizacji ochronę.

Pogłęb wiedzę dzięki tym materiałom m365.fm:

• Jak audytować aktywność użytkowników w Microsoft Purview
• Governed AI: Keeping Copilot Secure and Compliant
• Advanced Copilot Agent Governance with Microsoft Purview
• Jak monitorować zgodność w Microsoft Defender for Cloud
• Stop Document Chaos: Build Your Purview Shield

Subskrybuj m365.fm, aby co tydzień otrzymywać eksperckie analizy dotyczące bezpieczeństwa Microsoft 365, zarządzania Copilotem i zgodności AI w przedsiębiorstwie. Bądź gotowy na audyt każdego dnia.

Warto również posłuchać

Jeśli interesuje Cię rejestrowanie zdarzeń bezpieczeństwa Microsoft Copilot, te odcinki dodadzą praktycznego kontekstu dotyczącego zarządzania Microsoft 365, bezpiecznego wdrażania AI i podejmowania decyzji operacyjnych.

• Microsoft AI Agent Harness – Simply Explained — Poznaj mechanizmy kontroli i praktyki inżynierskie, które sprawiają, że automatyzacja AI jest niezawodna i łatwa do obserwowania.
• Microsoft Purview – Simply Explained — Połącz ochronę informacji, zgodność, przechowywanie i zarządzanie danymi.
• Microsoft Teams Governance – Simply Explained — Zobacz, dlaczego zarządzanie wymaga zasad operacyjnych i odpowiedzialności, a nie tylko ustawień.
• Conditional Access – Simply Explained — Dowiedz się, jak tożsamość i kontekst ryzyka chronią dostęp do zasobów Microsoft 365.

Te odcinki są cennymi kolejnymi krokami, gdy chcesz przełożyć idee z artykułu na bezpieczne, powtarzalne wdrożenie.

Wdróż rejestrowanie zdarzeń bezpieczeństwa Microsoft Copilot w praktyce

Rejestrowanie zdarzeń ma wartość tylko wtedy, gdy ktoś odpowiada za proces przeglądu. Określ, które zespoły mogą przeszukiwać dane audytu, które zdarzenia wymagają eskalacji, jak długo trzeba przechowywać dowody i w jaki sposób ustalenia łączą się z dochodzeniami dotyczącymi bezpieczeństwa lub sprawami zgodności.

Minimalny zestaw pytań do przeglądu

• Które działania Copilot mają znaczenie dla profilu ryzyka organizacji?
• Kto może przeszukiwać i eksportować wyniki audytu?
• Jaki obowiązuje okres przechowywania i jaki proces dochodzeniowy?
• Jak specjaliści ds. bezpieczeństwa, zgodności i właściciele biznesowi wspólnie przeanalizują istotne ustalenia?

Aktualne możliwości i wymagania wstępne znajdziesz w dokumentacji Purview Audit w Microsoft Learn.

Często zadawane pytania

Czy rejestrowanie zdarzeń zastępuje zarządzanie danymi?

Nie. Dane audytu pomagają badać i dokumentować aktywność, ale nie zastępują uprawnień, etykiet poufności, DLP ani odpowiedzialności właścicieli treści.

Kto powinien mieć dostęp do danych audytu Copilot?

Stosuj zasadę najmniejszych uprawnień. Zazwyczaj dostęp powinien być ograniczony do wyznaczonych ról ds. bezpieczeństwa, zgodności lub dochodzeń, z udokumentowanym celem.

🎧 Warto również posłuchać

• Microsoft Purview – Simply Explained stanowi podstawę decyzji dotyczących ochrony informacji, audytu, zgodności i zarządzania, na których opiera się rejestrowanie zdarzeń związanych z bezpieczeństwem Copilota.
• Microsoft Purview Insider Risk Management – Simply Explained łączy sygnały z audytu z ludzkim wymiarem scenariuszy ryzyka wewnętrznego oraz z procesem prowadzenia dochodzeń.
• Operating Model for Microsoft 365 Governance pomaga przekształcić wyniki audytu w uporządkowane procesy z przypisaną odpowiedzialnością, zamiast w jednorazowe raporty bezpieczeństwa.

Ostatni przegląd: lipiec 2026. Możliwości Microsoft Purview Audit i Copilota rozwijają się często.