Checklist de segurança do Copilot para equipes de TI

By Mirko Peters · 2026-04-19

Implantar o Microsoft Copilot em toda a sua organização não é uma tarefa simples, e os riscos de segurança podem ser reais se você pular etapas essenciais. Este checklist apresenta ever…

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Security Checklist for IT Teams

Implantar o Microsoft Copilot em toda a organização não é tarefa simples, e os riscos de segurança podem ser reais se você pular etapas importantes. Este checklist reúne tudo o que as equipes de TI precisam para manter o uso do Copilot firmemente alinhado aos frameworks de segurança e conformidade que você já construiu no Microsoft 365 e no Azure. Você vai aprender exatamente como proteger identidade, permissões e dados sensíveis antes de o Copilot entrar em operação. Desde os obstáculos de licenciamento até estratégias avançadas de risco, você encontrará orientações passo a passo para prevenir vazamentos de dados e manter a conformidade, incluindo práticas que a maioria dos outros guias simplesmente não aborda. Vamos deixar o lançamento do seu Copilot bem blindado: sem atalhos e sem surpresas.

Controles de segurança fundamentais para a prontidão do Microsoft 365 Copilot

Preparar o seu ambiente do Microsoft 365 para o Copilot começa com a segurança no centro da estratégia. Antes mesmo de pensar em habilitar o Copilot, as organizações precisam cuidar da base em termos de licenciamento, controle de acesso e higiene de permissões. Não são opcionais: são os itens indispensáveis que mantêm os dados da sua equipe onde devem estar.

Você precisa garantir que a base técnica atenda a todos os requisitos da Microsoft, porque pular uma etapa de licenciamento pode abrir lacunas funcionais e de segurança. Também é importante aplicar o princípio do privilégio mínimo entre usuários e funções, usando ferramentas como o Entra ID para garantir que ninguém tenha mais acesso do que realmente precisa. E não esqueça os riscos ocultos em sites antigos do SharePoint ou em arquivos compartilhados em excesso: auditorias de permissões ajudam a impedir que o Copilot acesse dados que não deveria acessar.

Ao focar primeiro nesses fundamentos, a sua equipe de TI constrói uma base sólida. Isso não é apenas marcar itens em uma lista: trata-se de implementar controles práticos e acionáveis que reduzem a exposição e diminuem o risco. E, quando você estiver pronto para a próxima fase, todas as outras camadas de segurança que vierem depois estarão muito mais firmes. Para saber mais sobre governança eficaz, confira este guia aprofundado ou conheça os controles baseados em políticas com este recurso sobre governança.

Validação técnica de licenciamento para a implantação do Copilot

Antes de o Copilot entrar em operação, você precisa verificar se o seu locatário do Microsoft 365 é tecnicamente elegível. Comece confirmando se a sua organização possui os níveis de licenciamento exigidos: o Copilot normalmente requer os planos mais completos do Microsoft 365. Verifique novamente a localização do seu locatário, pois certas regiões nem sempre são suportadas. Garanta que todos os requisitos de back-end relevantes, como os conectores do Microsoft Graph, estejam configurados e ativados. Se algo estiver faltando, os recursos do Copilot podem ser bloqueados ou, pior, a cobertura de segurança pode ficar incompleta. Realizar uma revisão abrangente de prontidão de licenciamento e técnica deve ser a sua primeira etapa em qualquer implantação do Copilot.

Aplicar o privilégio mínimo e controles de função robustos

Revise as funções de usuário e de administrador no Entra ID (antigo Azure AD). Remova privilégios excessivos e limite as funções de administrador apenas ao pessoal essencial.
Audite as associações de grupos para garantir que os usuários vejam apenas os dados de que realmente precisam. Grupos muito amplos podem conceder ao Copilot acesso não intencional a informações sensíveis.
Institua revisões regulares das atribuições de privilégios e das regras de acesso condicional. Isso evita que suas políticas fiquem defasadas ou cheias de "dívida de identidade", aquelas exceções esquecidas que podem voltar para assombrar você. Para mais informações, ouça as estratégias para endurecer políticas neste podcast sobre o Entra ID.
Combine ferramentas de segurança como o Microsoft Defender for Office 365 e o Microsoft Purview para monitorar e aplicar as configurações de privilégio mínimo. Isso garante que aplicar essas regras não prejudique a experiência do usuário. Veja mais dicas sobre como equilibrar segurança e usabilidade neste recurso.

Compartilhamento excessivo de permissões e auditoria de permissões de segurança

Audite links de compartilhamento e permissões externas: Verifique todos os links de compartilhamento e o acesso de usuários convidados no SharePoint, OneDrive e Teams. Links esquecidos podem expor mais do que você imagina. Para uma abordagem prática de como identificar riscos de compartilhamento externo, acesse esta análise detalhada.
Revise conteúdo antigo e obsoleto: Sites antigos, pastas ou arquivos órfãos costumam ter permissões que não correspondem mais à estrutura real das suas equipes. Limpe tudo isso antes que o Copilot encontre algo que ele não deveria.
Defina responsabilidades e donos claros: Atribua proprietários claros aos conjuntos de dados críticos para que as revisões de permissões não passem despercebidas. Chega de arquivos perdidos com donos "misteriosos". Saiba mais sobre a importância de uma governança forte de acesso a dados em este link.
Limite o acesso de grupos amplos e reduza a complexidade de permissões legadas: Trate qualquer acesso antigo ou excessivamente amplo que o Copilot possa refletir. Reduzir isso torna todo o seu patrimônio de dados mais seguro.

Ao manter uma cadência constante de auditorias, sua equipe consegue reduzir a superfície de ataque e evitar que o Copilot exponha informações sem querer. Auditorias reforçadas com ferramentas e automação devem ser a regra, e não a exceção.

Governança de dados e gerenciamento de confidencialidade para o Copilot

Agora que suas permissões estão sob controle, é hora de organizar os dados que o Copilot pode enxergar. Governança de dados não é apenas um termo da moda aqui: ela é o filtro que determina exatamente o que o Copilot pode acessar, resumir ou gerar. Se seu conteúdo estiver desorganizado, desatualizado ou mal rotulado, você corre o risco de compartilhar as coisas erradas no momento errado.

Esta seção mostra como o Microsoft Purview, a classificação automatizada e os rótulos de confidencialidade trabalham juntos para construir um perímetro de dados adequado. Você verá por que é essencial segmentar as unidades de negócio, classificar os dados de acordo com a confidencialidade e bloquear conteúdo arriscado com regras de DLP (Prevenção contra Perda de Dados), especialmente porque o Copilot foi projetado para exibir trechos e resumos por padrão.

Fazer a governança certa significa menos preocupação com o que o Copilot "poderia" expor. Quando você define rótulos e regras desde o início, o Copilot se torna uma ferramenta mais previsível e menos arriscada. Para mais estratégias sobre controles avançados do Purview e aplicação de DLP, leia este guia de governança do Microsoft Purview ou explore como construir uma base de ECM em conformidade com este podcast.

Organize e classifique os dados para o acesso do Copilot

Faça um inventário dos seus dados com o Microsoft Purview: Mapeie quais dados você tem, onde eles estão e quem é o responsável por cada um. Esse inventário reduz surpresas.
Limpe e arquive dados obsoletos ou redundantes: Elimine arquivos antigos, desatualizados ou compartilhados em excesso, para que o Copilot não encontre receitas de sanduíche de 2017 de alguém.
Automatize a classificação com o Purview e o SharePoint: Use regras para classificar automaticamente o conteúdo por tipo e confidencialidade, preparando todo o seu patrimônio de dados para um resumo seguro pelo Copilot. Saiba como uma governança adequada do SharePoint ajuda na prontidão para IA em este recurso.

Use rótulos de confidencialidade para controlar o resumo pelo Copilot e segmentar usuários sensíveis

Aplique rótulos de confidencialidade do Microsoft Purview: Marque e-mails, documentos e canais do Teams para que o Copilot resuma apenas o que está liberado. Rótulos como "Altamente confidencial" podem impedir totalmente que o Copilot acesse arquivos sensíveis.
Segmente usuários e grupos com rotulagem avançada: Configure regras separadas de acesso do Copilot para equipes executivas, jurídico, RH ou qualquer grupo que precise de maior segurança. Isso evita o compartilhamento acidental de informações restritas entre áreas.
Automatize a aplicação de rótulos com DLP e políticas baseadas em funções: Use o Purview para propagar rótulos e aplicar regras em todas as cargas de trabalho, garantindo que todas as saídas do Copilot herdem as restrições corretas. Chega de conteúdo sem rótulo.
Integre a rotulagem ao treinamento de usuários e aos playbooks de governança: Garanta que a rotulagem não seja apenas coisa de TI. Todos, especialmente as unidades de negócio de alto risco, precisam de orientação. Veja como a governança eficaz e um centro de aprendizado reforçam a segurança em este guia.

Para orientações mais aprofundadas sobre o tratamento de conteúdo sensível e a DLP do Power Platform, consulte este recurso de governança.

Implemente políticas de DLP para evitar vazamento de dados

Implante modelos de DLP com reconhecimento do Copilot: Configure regras de DLP que detectem e impeçam que conteúdo sensível seja resumido ou compartilhado por meio de conversas no Copilot, e-mails ou documentos.
Monitore as violações nos logs de DLP: Verifique os logs regularmente em busca de sinais de ações arriscadas do Copilot e ajuste as políticas para resolver problemas recorrentes. Saiba mais sobre a configuração prática de DLP em este guia.
Integre a DLP ao Power Platform e aos ambientes padrão: Como a maioria dos vazamentos de dados começa em áreas sem governança, as configurações padrão nunca são suficientes. Para ações mais avançadas de DLP, ouça este podcast.

Estratégia de implantação segura e planejamento de piloto

Mesmo com todos os melhores controles no lugar, a forma mais segura de lançar o Copilot em toda a organização é adotar uma abordagem em fases, orientada por um piloto. Partir direto para uma implantação ampla pode deixar você exposto a lacunas de configuração, comportamentos inesperados e limites de permissão não testados.

Esta seção explica como configurar um piloto validado quanto a riscos, para que você avalie tanto a postura de segurança do Copilot quanto o valor real para o negócio. Você verá um plano passo a passo de 4 semanas, que cobre desde o alinhamento com as partes interessadas até a ativação do monitoramento e do treinamento. Mais importante ainda, você aprenderá a operacionalizar esses controles, garantindo que registro de logs, alertas e governança estejam funcionando bem antes de expandir para além do grupo inicial.

Essa abordagem ajuda sua equipe a identificar problemas cedo, refinar políticas e ajustar a comunicação, tudo isso antes que centenas (ou milhares) de usuários sejam envolvidos. Quer melhor adoção, menos caos e menos emergências de segurança? Tudo começa com um piloto bem conduzido. Para saber mais sobre treinamento eficaz do Copilot e centros de aprendizado, confira este recurso.

Design do piloto do Copilot e testes validados quanto a riscos

Selecione um grupo de piloto representativo: Escolha de 20 a 50 usuários de diferentes departamentos e funções, incluindo tanto usuários que lidam com grandes volumes de dados quanto aqueles com privilégios elevados.
Projete cenários de teste baseados em risco: Crie cenários que testem deliberadamente a resposta do Copilot a limites de permissão, consultas de eDiscovery e solicitações de conteúdo sensível. Não suavize o piloto: submeta-o a testes de estresse.
Monitore resultados inesperados: Use esta fase para identificar problemas que o Copilot possa causar em relação a acesso, compartilhamento ou alertas de conformidade.
Itere a configuração e os controles: Colete feedback dos usuários do piloto e ajuste as políticas do Copilot antes de escalar. Isso elimina o achismo e dá a todos, da segurança ao negócio, uma participação no sucesso da implantação.

Plano passo a passo de prontidão e implantação em 4 semanas

Semana 1: Alinhamento de escopo – Defina os objetivos do projeto, selecione os usuários do piloto e confirme a prontidão em licenciamento e técnica.
Semana 2: Acesso mínimo viável – Restrinja o acesso do Copilot, configure políticas de DLP e controle o compartilhamento excessivo enquanto ativa o monitoramento essencial.
Semana 3: Instrumentação do piloto – Ative o registro de auditoria, configure o monitoramento de prompts e respostas e revise as interações do Copilot quanto a riscos.
Semana 4: Expansão controlada – Aumente cuidadosamente o acesso ao Copilot, resolva os problemas e amplie o suporte aos usuários. Cada fase se apoia nas lições da semana anterior.

Operacionalize os controles de segurança do Copilot antes da expansão

Ative o monitoramento contínuo: Garanta que os logs de auditoria, os alertas de DLP e a aplicação de rótulos estejam em execução e possam ser revisados em tempo real.
Estabeleça uma cadência de treinamento para os usuários: Realize um treinamento formal de segurança antes de expandir o uso, para que todos entendam as regras do jogo.
Teste os fluxos de governança e os planos de resposta: Faça simulações com sua equipe sobre revisão de alertas, resposta a incidentes e atualizações da política do Copilot antes de liberar o acesso para um público maior.

E se você quiser detalhes mais aprofundados sobre a automação da governança ou a operacionalização de controles, pode conferir temas relacionados redirecionados a partir deste hub sobre automação com PowerShell (embora a página principal esteja indisponível, ela vai direcioná-lo para recursos atualizados).

Monitoramento, Auditoria e Conformidade para o Uso do Copilot

Quando o Copilot estiver em funcionamento, você precisará ter uma visão clara de como ele é usado no dia a dia. Configurar um monitoramento consistente, um registro de auditoria abrangente e um acompanhamento robusto de conformidade é a sua rede de segurança, garantindo que cada interação com o Copilot seja rastreável e passível de revisão.

Esta seção detalha como ativar e validar os logs de auditoria que registram cada prompt, resposta e transação de dados do Copilot. Ela também aborda como acompanhar a atividade de compartilhamento, especialmente quando ela se estende a usuários externos, convidados ou dispositivos não gerenciados. Ao monitorar ativamente os sinais de risco e aplicar a sua estrutura de conformidade, você estará preparado para auditorias e para quaisquer surpresas que venham com os novos fluxos de trabalho baseados em IA.

A supervisão centralizada e documentada não é apenas para inglês ver: ela gera confiança na liderança, nos usuários finais e nos auditores. Comece com estratégias de auditoria em todo o locatário no recurso de auditoria do Purview ou conheça a conformidade contínua e o monitoramento em tempo real por meio do Microsoft Defender for Cloud.

Confirme e Monitore o Registro de Auditoria do Copilot

Ative o registro de auditoria em todas as cargas de trabalho do Microsoft 365 que se integram ao Copilot. Garanta que os logs registrem os prompts, as saídas e quaisquer eventos de acesso a dados do Copilot; isso é essencial para o acompanhamento de conformidade e para investigações forenses. Centralize todos os logs de auditoria em uma plataforma acessível às suas equipes de segurança e conformidade. Documente as configurações do Copilot na sua política mestra de auditoria, para que todas as alterações e atividades possam ser rastreadas e revisadas em caso de incidentes.

Monitore e Restrinja os Riscos de Compartilhamento e Acesso Externo

Configure alertas para qualquer arquivo ou mensagem habilitado para o Copilot que seja compartilhado externamente, incluindo acesso de convidados e dispositivos não gerenciados.
Monitore o comportamento dos usuários em busca de alterações repentinas de permissões, picos de compartilhamento em larga escala ou acesso por usuários que normalmente não interagem com determinados conjuntos de dados.
Faça revisões regulares dos arquivos de log e aplique automação com PowerShell para análises mais profundas quando necessário. Para estruturas que permitem identificar riscos antes que se tornem um desastre, veja este guia sobre segurança de compartilhamento.

Conformidade, Privacidade e Requisitos Legais para o Copilot

Defina claramente os usos aceitáveis do Copilot: Formalize a linguagem de uso aceitável do Copilot nas suas políticas de conformidade e inclua-a no onboarding e nas comunicações.
Alinhe as práticas do Copilot aos padrões de privacidade e regulatórios: Garanta que todo o processamento relacionado ao Copilot esteja alinhado às regras específicas do setor (HIPAA, GDPR etc.) e às expectativas de privacidade da organização.
Prepare evidências de auditoria e estruturas de controle: Esteja pronto para demonstrar os controles do Copilot durante auditorias externas, incluindo retenção de logs, documentação de controles e evidências dos fluxos de trabalho. Entenda lacunas de governança mais profundas com este explicativo sobre desvio de conformidade.
Responda rapidamente a eventos de conformidade: Se uma ação do Copilot levar a um evento de risco, acione imediatamente um fluxo de revisão e tratamento de incidentes já estabelecido. Essa abordagem proativa evita que pequenos problemas se transformem em dores de cabeça para auditorias.

Estratégias de Liderança, Governança e Mitigação de Riscos

Nenhum projeto de Copilot é realmente seguro se a liderança não estiver ativamente envolvida desde o início. Não é apenas um problema de TI: CIOs, jurídico, compliance e líderes de unidades de negócio têm papel na definição de limites e na garantia de que o Copilot seja usado de forma segura e adequada.

Esta seção reúne checklists de referência rápida que mantêm todos responsáveis, além de perguntas difíceis que todo líder deveria fazer antes e depois da implantação. Você também verá uma visão direta sobre os riscos do mundo real: prompt injection, vazamentos de dados fora de controle e "armadilhas" aprendidas na prática. Incluir o comitê de governança certo cria uma linha de defesa embutida contra possíveis incidentes com IA. Para saber mais sobre a necessidade de comitês de governança e de salvaguardas de IA responsável, veja esta análise ou explore o papel da arquitetura de plano de controle em esta página.

Com uma estrutura de governança sólida e ferramentas práticas e acionáveis em mãos, você prepara sua organização tanto para a inovação segura quanto para a conformidade duradoura.

Checklists de liderança e proprietários para a prontidão do Copilot

Validação técnica e de licenciamento: Confirme se o ambiente atende a todos os requisitos do Microsoft Copilot e se as licenças adequadas estão atribuídas antes da implantação.
Aprovação do comitê de governança: Obtenha a aprovação do comitê de governança de IA, compliance ou riscos, confirmando o alinhamento com as políticas de uso de dados e privacidade. Para entender a importância desses comitês, explore este episódio.
Comunicação com stakeholders e usuários: Elabore e distribua comunicados claros aos usuários sobre o que é o Copilot, seus riscos e como se espera que o utilizem.
Responsabilidade pelo ownership: Identifique os responsáveis pelos dados críticos, pela configuração do Copilot e pela resposta a incidentes. Nada de adivinhação quando surgirem problemas.

Perguntas-chave para a liderança e definição de uso aceitável

Quais dados o Copilot pode e não pode acessar? Garanta que isso não seja uma caixa-preta: exija transparência tanto da TI quanto da Microsoft ao definir os limites.
Quem é responsável pelas ações do Copilot? A responsabilidade não pode ser ambígua; todo incidente envolvendo o Copilot deve ter um responsável nomeado ou um dono de negócio.
Onde estão as armadilhas legais ou regulatórias? Pergunte o que acontece se o Copilot processar ou gerar conteúdo regulamentado e como esse conteúdo é sinalizado na sua configuração de compliance.
O que caracteriza o uso indevido do Copilot? Redija declarações de "uso aceitável" em linguagem simples, que qualquer pessoa consiga seguir, evitando juridiquês sempre que possível. Para mais estratégias de governança, veja este checklist de implantação.
Como os eventos de incidentes ou de compliance serão rastreados e resolvidos? Garanta que o monitoramento, os relatórios e os caminhos de escalonamento não estejam apenas documentados, mas incorporados aos seus fluxos de trabalho reais.

Riscos de segurança, prompt injection e estratégias de mitigação

Riscos de prompt injection: Atacantes ou usuários podem elaborar prompts engenhosos que extraem informações sensíveis ou contornam controles de conteúdo. Teste sempre a lógica do Copilot com cenários legítimos e adversariais para identificar brechas.
Vazamento de dados a partir de resumos de IA: Sem rotulagem cuidadosa e camadas de DLP, o Copilot pode resumir ou combinar informações de fontes restritas em um resultado que contorna os controles clássicos. Para riscos ocultos em dados derivados, leia este estudo de caso de governança.
Acesso com permissões excessivas: Se usuários ou agentes têm permissões amplas na Graph API, o Copilot pode "enxergar" mais do que o pretendido, especialmente com a proliferação legada de grupos.
Estratégias de mitigação: Aplique rótulo padrão a todas as saídas de IA, restrinja a sumarização ao menor privilégio necessário, audite regularmente o conteúdo derivado e introduza etapas de revisão para o compartilhamento de notebooks e de saídas grandes.
Principais lições aprendidas: Vimos implantações descarriladas por saídas sem rótulo, logs de auditoria ignorados e falta de adesão da liderança de negócio. Trate o Copilot como cidadão de primeira classe na sua estrutura de governança, e não como um experimento exclusivo de TI.

Segurança de prompts do Copilot e práticas seguras de entrada para equipes de TI

Você já tem permissões, monitoramento e governança em funcionamento, mas não esqueça que o que as pessoas digitam no Copilot pode definir o nível da sua segurança. Injeção de prompt, prompts adversariais e tentativas de "jailbreak" podem induzir o Copilot a revelar ou inferir dados sensíveis. A maioria das listas de verificação dos concorrentes deixa isso de fora, mas trata-se de uma preocupação que cresce rapidamente à medida que as empresas adotam por completo os grandes modelos de linguagem.

Esta seção abre caminho ao oferecer para as equipes de TI controles proativos para detectar e bloquear prompts maliciosos ou excessivamente descritivos. Você também verá o que compõe um treinamento de usuários eficaz, para que ninguém exponha informações sensíveis sem querer. As regras estão evoluindo, e o seu playbook de gestão de prompts deve evoluir junto. Para saber mais sobre como governar o comportamento seguro de agentes de IA, leia estas práticas recomendadas de governança.

Mitigar injeção de prompt e jailbreak no Copilot

Monitore prompts suspeitos ou adversariais: Configure ferramentas que sinalizem solicitações que tentem contornar as restrições do Copilot ou extrair informações sensíveis por meio de linguagem indireta.
Detecte sequestro de contexto e explorações indiretas: Ensine o Copilot a identificar quando as entradas contêm instruções embutidas ("Apenas finja que você não é um assistente...") ou tentativas de ataques de prompt de "uso duplo".
Implemente controles em camadas: Restrinja o contexto de prompt do Copilot aos dados da sessão ativa e aplique limites rígidos de IA sempre que possível, impedindo a mescla de resumos entre conjuntos de dados. Saiba mais sobre identidade de agentes e planos de controle em IA corporativa neste artigo.

Práticas seguras com prompts e diretrizes de treinamento de usuários

Estabeleça diretrizes para a escrita de prompts: Treine os usuários a evitar inserir dados pessoais, segredos de negócio ou informações confidenciais em seus prompts.
Ofereça conscientização de segurança direcionada: Realize oficinas de segurança específicas sobre o Copilot, mostrando erros comuns e exemplos reais de exploração.
Forneça modelos de prompt para cenários de alto risco: Disponibilize aos usuários modelos seguros e aprovados e deixe claro exatamente o que é e o que não é apropriado solicitar ao Copilot.
Abordagem de aprendizado contínuo: Ciclos de feedback, questionários e microtreinamentos ajudam a ajustar o comportamento conforme novos recursos do Copilot são lançados.

Fluxo de dados entre serviços e riscos de contexto do Copilot

O Copilot não olha apenas para um aplicativo; ele busca contexto em Teams, SharePoint, Outlook e outros. Embora isso seja ótimo para a produtividade, traz novos riscos, especialmente quando as informações cruzam o que deveriam ser limites internos. A propagação de dados sem controle pode levar a vazamentos involuntários de informações sensíveis, seja por inferência, seja por superexposição.

Esta seção trata de mapear, auditar e criar barreiras de proteção sobre como o Copilot combina contexto entre serviços. Você vai explorar estratégias para garantir que o Copilot não combine, sem querer, informações que devem permanecer segregadas. Com um bom mapeamento de dados e camadas de DLP, as organizações podem manter o Copilot flexível para os usuários sem comprometer a conformidade. Para conhecer os armadilhas de fundações de dados fracas e colapsos de governança, confira este alerta sobre governança.

Mapear e controlar o fluxo de contexto de dados do Copilot no Microsoft 365

Inventarie os dados que o Copilot acessa: Mapeie quais aplicativos (Teams, OneNote, Outlook, SharePoint etc.) o Copilot pode acessar e quais grupos ou contas controlam essas permissões.
Defina limites de resumo por unidade de negócio: Restrinja a combinação de dados do Copilot a combinações pré-aprovadas, sem misturar, por exemplo, dados jurídicos e de vendas.
Ative controles baseados em políticas com Purview e Acesso Condicional: Use classificação, DLP e monitoramento em tempo real para impedir a mistura não autorizada de contextos. Para saber mais sobre como equilibrar segurança e usabilidade no M365, confira este guia prático.

Evite a exposição implícita de dados em resumos gerados por IA

Reconheça riscos de exposição composta: Entenda como entradas não sensíveis podem revelar conclusões sensíveis. Resumos do Copilot que combinam conteúdo de calendário com marcos de projetos podem, sem querer, divulgar prioridades de projetos classificados.
Combine DLP em camadas e segmente o conteúdo: Não dependa somente do DLP clássico. Use segmentação baseada em funções e restrinja o escopo da sumarização na configuração de IA do Copilot.
Camadas de políticas e auditorias regulares: Teste as saídas do Copilot em busca de vazamentos indiretos e atualize as políticas de DLP e de rótulos para fechar lacunas de cobertura à medida que surgirem.
Eduque os usuários sobre riscos de inferência gerados por IA: Inclua exemplos no treinamento em que consultas aparentemente inofensivas levam a vazamentos inesperados de dados, reforçando a necessidade de cuidado nas entradas e na revisão.

Gerenciando a segurança de aplicativos e complementos de terceiros com o Copilot

A superfície de ataque aumenta quando você conecta ferramentas ou aplicativos de terceiros ao Microsoft 365, e com o Copilot não é diferente. Integrações com Salesforce, Zoom, Slack ou até conectores do Power Platform podem trazer riscos de segurança se não forem monitoradas.

Esta seção mostra como auditar e avaliar complementos habilitados para o Copilot, verificando acessos arriscados a dados ou permissões desatualizadas que possam ser herdadas. Você também verá métodos para impedir fluxos de dados não intencionais entre o Copilot e aplicativos SaaS conectados, para que seu limite de conformidade não seja comprometido por um único conector. Para um aprofundamento em governança do Power Platform e no controle de riscos de desenvolvedores cidadãos, acesse este recurso.

Avalie os riscos de segurança de complementos de terceiros habilitados para o Copilot

Audite todos os aplicativos de terceiros integrados ao Copilot: Liste cada aplicativo ou complemento conectado ao Copilot e faça uma revisão de permissões e de fluxos de dados.
Faça análise de risco sobre o acesso a dados e a herança de permissões: Verifique se algum complemento concede direitos mais amplos na API do Graph ou de administrador, o que poderia ampliar indevidamente o acesso do Copilot.
Atualize os fluxos de aprovação e de revisão de aplicativos: Use o portal AppSource do Microsoft 365 para todas as aprovações. Bloqueie ou restrinja aplicativos desatualizados, não seguros ou que não atendam aos seus requisitos de conformidade.

Controle o acesso a dados entre o Copilot e aplicativos SaaS conectados

Implemente fluxos de aprovação: Permita integrações somente após revisão formal de TI, garantindo que todas as conexões SaaS tenham uma necessidade de negócio legítima e um escopo claramente documentado.
Aplique DLP e acesso condicional: Use regras de DLP e políticas de acesso sensíveis ao contexto para monitorar e impedir a movimentação não autorizada de dados para fora do ambiente do Microsoft 365.
Monitore a atividade em tempo de execução e no nível dos conectores: Verifique os logs de cada conector e configure alertas automáticos para atividades incomuns entre serviços ou extrações de dados em grande volume. Para saber mais sobre riscos de shadow IT e monitoramento em tempo de execução, veja este recurso.