Чек-лист по безопасности Copilot для ИT-команд

By Mirko Peters · 2026-04-19

Развертывание Microsoft Copilot в масштабах всей организации — задача непростая, и риски для безопасности могут быть реальными, если пропустить ключевые шаги. Этот чек-лист описывает ever…

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Security Checklist for IT Teams

Внедрение Microsoft Copilot в организации — задача непростая, и риски для безопасности могут быть реальными, если пропустить ключевые шаги. Этот чек-лист охватывает всё, что нужно ИТ-командам, чтобы надёжно встроить использование Copilot в системы безопасности и соответствия требованиям, которые вы уже построили на базе Microsoft 365 и Azure. Вы узнаете, как до запуска Copilot закрыть доступ к идентификации, разрешениям и чувствительным данным. От лицензионных ограничений до продвинутых стратегий управления рисками — вы найдёте пошаговые рекомендации по предотвращению утечек данных и поддержанию соответствия требованиям, включая практики, которые большинство других руководств просто не рассматривает. Давайте закроем запуск Copilot по всем направлениям — без обходных путей и неожиданностей.

Базовые меры безопасности для готовности Microsoft 365 Copilot

Подготовка среды Microsoft 365 к работе с Copilot начинается с безопасности в её основе. Прежде чем даже думать о включении Copilot, организациям нужно проработать фундамент: лицензирование, контроль доступа и порядок в разрешениях. Это не опция — это обязательные «must-have», которые позволяют данным вашей команды оставаться там, где им место.

Важно убедиться, что технический фундамент соответствует всем требованиям Microsoft, потому что пропущенный шаг с лицензированием может открыть как функциональные, так и связанные с безопасностью пробелы. Нужно также обеспечить принцип наименьших привилегий для пользователей и ролей, используя такие инструменты, как Entra ID, чтобы ни у кого не было больше доступа, чем ему действительно нужно. И не забывайте о скрытых рисках в старых сайтах SharePoint и чрезмерно открытых файлах: аудит разрешений помогает не допустить, чтобы Copilot извлекал данные, которые ему не следует видеть.

Сосредоточившись сначала на этих основах, ваша ИТ-команда создаёт надёжную базовую линию. Речь не о формальном отмечании пунктов, а о настройке практичных и действенных мер, которые минимизируют подверженность рискам и снижают угрозы. А когда вы будете готовы к следующему этапу, каждый последующий уровень безопасности встанет на более прочный фундамент. Подробнее об эффективном управлении читайте в этом подробном руководстве или изучите контроль на основе политик в этом ресурсе по управлению.

Проверка технической готовности лицензирования для развёртывания Copilot

Прежде чем Copilot можно будет запустить, нужно убедиться, что ваш клиент Microsoft 365 технически подходит для работы. Начните с проверки того, что в организации используются необходимые уровни лицензирования: Copilot обычно требует планов Microsoft 365 верхнего уровня. Дважды проверьте местоположение клиента, поскольку в некоторых регионах поддержка может быть недоступна. Убедитесь, что все необходимые серверные требования, например коннекторы Microsoft Graph, настроены и включены. Если чего-то не хватает, функции Copilot могут быть заблокированы или, что хуже, покрытие безопасности может оказаться неполным. Комплексная проверка лицензирования и технической готовности должна стать вашим самым первым шагом в любом развёртывании Copilot.

Соблюдение наименьших привилегий и жёсткий контроль ролей

Проверьте роли пользователей и администраторов в Entra ID (ранее Azure AD). Уберите все лишние привилегии и ограничьте административные роли только необходимым персоналом.
Проведите аудит членства в группах, чтобы пользователи видели только те данные, которые им действительно нужны. Слишком широкие группы могут дать Copilot непреднамеренный доступ к чувствительной информации.
Регулярно проверяйте назначения привилегий и правила условного доступа. Так политики не устареют и не обрастут «долгом идентификации» — забытыми исключениями, которые могут вернуться и создать проблемы. Подробнее о том, как ужесточить политики, можно узнать из этого подкаста о Entra ID.
Добавляйте уровни защиты, такие как Microsoft Defender для Office 365 и Microsoft Purview, чтобы отслеживать и соблюдать настройки наименьших привилегий. Это гарантирует, что соблюдение правил не нарушит работу пользователей. Больше советов о балансе между безопасностью и удобством смотрите в этом ресурсе.

Избыточный доступ к разрешениям и аудит прав безопасности

Проверьте ссылки общего доступа и внешние разрешения: Проверьте все ссылки общего доступа и доступ гостевых пользователей в SharePoint, OneDrive и Teams. Пропущенные ссылки могут открыть доступ к большему, чем вы думаете. Практический подход к выявлению рисков внешнего общего доступа описан в этом подробном разборе.
Просмотрите старый и неактуальный контент: Старые сайты, папки и «бесхозные» файлы часто имеют разрешения, которые больше не соответствуют реальной структуре команд. Очистите их до того, как Copilot найдёт то, что ему не следовало бы видеть.
Назначьте владельцев и закрепите ответственность: Назначьте понятных владельцев для критически важных наборов данных, чтобы проверки разрешений не терялись между задачами: никаких файлов с «загадочными» владельцами. Об ценности надёжного управления доступом к данным читайте по этой ссылке.
Ограничьте широкий доступ групп и уменьшите сложность унаследованных разрешений: Устраните устаревший или излишне широкий доступ, который Copilot может отразить в своих ответах. Чем меньше такого доступа, тем безопаснее весь ваш массив данных.

Регулярный цикл аудита позволяет команде сократить поверхность атаки и не допустить, чтобы Copilot непреднамеренно раскрыл информацию. Расширенный аудит с помощью инструментов и автоматизации должен быть нормой, а не исключением.

Управление данными и управление конфиденциальностью для Copilot

Теперь, когда разрешения под контролем, пора упорядочить данные, которые Copilot может видеть. Управление данными здесь — не просто модное словечко: это фильтр, который определяет, к чему Copilot может получить доступ, что может обобщить или создать. Если контент беспорядочный, устаревший или плохо помечен, вы рискуете передать не те вещи не в то время.

В этом разделе рассматривается, как Microsoft Purview, автоматическая классификация и метки конфиденциальности работают вместе, чтобы построить надлежащий периметр данных. Вы увидите, почему важно разделять данные по бизнес-подразделениям, классифицировать их по степени конфиденциальности и блокировать рискованный контент с помощью правил DLP (Data Loss Prevention), особенно учитывая, что Copilot по своей конструкции выводит фрагменты и сводки.

Правильно выстроенное управление снимает стресс из-за того, что Copilot «может» раскрыть. Когда вы задаёте метки и правила заранее, Copilot становится более предсказуемым и менее рискованным инструментом. Больше стратегий для расширенного контроля Purview и принудительного применения DLP читайте в этом руководстве по управлению в Microsoft Purview или изучите построение надёжной основы ECM с соблюдением требований в этом подкасте.

Организация и классификация данных для доступа Copilot

Составьте инвентаризацию данных с Microsoft Purview: Определите, какие данные у вас есть, где они хранятся и кто за них отвечает. Такая инвентаризация уменьшает количество неожиданностей.
Очистите и архивируйте устаревшие или дублирующиеся данные: Избавьтесь от старых, неактуальных или избыточно открытых файлов, чтобы Copilot не выуживал чьи-то рецепты бутербродов за 2017 год.
Автоматизируйте классификацию через Purview и SharePoint: Используйте правила для автоматической маркировки контента по типу и конфиденциальности, подготавливая весь массив данных к безопасному обобщению Copilot. Как правильное управление SharePoint помогает подготовиться к работе с ИИ, читайте в этом материале.

Используйте метки конфиденциальности, чтобы контролировать обобщение Copilot и выделять чувствительных пользователей

Примените метки конфиденциальности Microsoft Purview: Помечайте письма, документы и каналы Teams, чтобы Copilot обобщал только разрешённое. Такие метки, как «Highly Confidential», могут полностью заблокировать для Copilot доступ к конфиденциальным файлам.
Сегментируйте пользователей и группы с помощью расширенной маркировки: Настройте отдельные правила доступности Copilot для руководящих команд, юридического отдела, HR или любой группы, которой нужен повышенный уровень безопасности. Это предотвращает случайное перекрёстное попадание ограниченной информации.
Автоматизируйте принудительное применение меток с помощью DLP и политик на основе ролей: Используйте Purview, чтобы распространять метки и применять правила во всех рабочих нагрузках, чтобы все результаты Copilot наследовали нужные ограничения: никаких немаркированных остатков.
Включите работу с метками в обучение пользователей и регламенты управления: Работа с метками не должна быть делом только ИT-отдела — рекомендации нужны всем, особенно подразделениям с высоким уровнем риска. Узнайте, как эффективное управление и центр обучения повышают уровень безопасности, в этом руководстве.

Более подробные рекомендации по работе с конфиденциальным содержимым и DLP в Power Platform смотрите в этом материале об управлении.

Внедрение политик DLP для предотвращения утечек данных

Разверните шаблоны DLP с учетом Copilot: Настройте правила DLP, которые обнаруживают конфиденциальное содержимое и не дают обобщать его или передавать через чаты Copilot, письма или документы.
Отслеживайте нарушения в журналах DLP: Регулярно проверяйте журналы на признаки рискованных действий Copilot и корректируйте политики, чтобы устранять повторяющиеся проблемы. Подробнее о практической настройке DLP читайте в этом руководстве.
Интегрируйте DLP с Power Platform и средами по умолчанию: Большинство утечек данных возникает в неуправляемых зонах, а настроек по умолчанию никогда не бывает достаточно. Более глубокие шаги по DLP разбираются в этом подкасте.

Стратегия безопасного развертывания и планирование пилотного проекта

Даже при наличии всех необходимых мер контроля самый безопасный способ запустить Copilot в организации — поэтапный подход с пилотным проектом. Поспешное широкое развертывание может оставить вас без защиты от пробелов в конфигурации, непредсказуемого поведения и непроверенных границ разрешений.

В этом разделе описано, как настроить пилотный проект с проверкой рисков, чтобы оценить как уровень безопасности Copilot, так и реальную бизнес-ценность. Вы увидите пошаговый план на 4 недели, который охватывает всё: от согласования со стейкхолдерами до включения мониторинга и обучения. Самое важное — вы узнаете, как внедрить эти меры контроля на практике, чтобы журналирование, оповещения и управление работали как часы до расширения за пределы первоначальной группы.

Такой подход помогает команде выявлять проблемы на раннем этапе, уточнять политики и корректировать коммуникацию — всё это до того, как в работу включатся сотни (или тысячи) пользователей. Хотите более высокой вовлеченности, меньше хаоса и меньше аврałов, связанных с безопасностью? Всё начинается с хорошо организованного пилотного проекта. Подробнее об эффективном обучении Copilot и центрах обучения читайте в этом материале.

Дизайн пилотного проекта Copilot и проверяемые на риск тесты

Выберите репрезентативную пилотную группу: Выберите от 20 до 50 пользователей из разных подразделений и с разными ролями, обязательно включив как активных работников с большими объемами данных, так и пользователей с повышенными привилегиями.
Разработайте сценарии тестирования на основе рисков: Создайте сценарии, которые целенаправленно проверяют реакцию Copilot на границы разрешений, запросы eDiscovery и запросы конфиденциального содержимого. Не смягчайте пилот — проводите стресс-тестирование.
Отслеживайте непредвиденные результаты: Используйте этот этап, чтобы выявить проблемы, которые Copilot может создать в части доступа, общего использования или оповещений о соответствии требованиям.
Итеративно корректируйте конфигурацию и меры контроля: Собирайте обратную связь от пилотных пользователей и корректируйте политики Copilot перед масштабированием. Это исключает догадки и дает каждому — от службы безопасности до бизнеса — заинтересованность в успешном развертывании.

Пошаговый план готовности и развертывания на 4 недели

Неделя 1: согласование области работ – Определите цели проекта, выберите пилотных пользователей и подтвердите готовность лицензий и технической инфраструктуры.
Неделя 2: минимально необходимый доступ – Ограничьте доступ Copilot, настройте политики DLP и закройте избыточный обмен данными, одновременно включив ключевой мониторинг.
Неделя 3: подготовка инструментов пилота – Включите журналирование аудита, настройте мониторинг запросов и ответов и проверьте взаимодействия Copilot на предмет рисков.
Неделя 4: контролируемое расширение – Аккуратно увеличивайте доступ Copilot, устраняйте проблемы и масштабируйте поддержку пользователей. Каждый этап опирается на уроки предыдущей недели.

Эксплуатация мер безопасности Copilot до расширения

Включите непрерывный мониторинг: Убедитесь, что журналы аудита, оповещения DLP и принудительное применение меток работают и доступны для анализа в режиме реального времени.
Установите регулярный цикл обучения пользователей: Запустите формальное обучение по безопасности до расширения использования, чтобы все понимали правила игры.
Проверяйте процессы управления и планы реагирования: Отработайте с командой проверку оповещений, реагирование на инциденты и обновление политик Copilot до того, как откроете доступ более широкой аудитории.

Если вам нужны более подробные сведения об автоматизации управления или о внедрении контролей, можно посмотреть связанные темы, на которые перенаправляет этот центр материалов по автоматизации PowerShell (хотя основная страница сейчас недоступна, она укажет на обновлённые ресурсы).

Мониторинг, аудит и соответствие требованиям при использовании Copilot

Когда Copilot будет запущен, вам понадобится ясная картина того, как он используется в повседневной работе. Настройка надёжного мониторинга, полноценного журнала аудита и эффективного отслеживания соответствия требованиям станет вашей страховочной сеткой: каждое взаимодействие с Copilot будет прослеживаемым и доступным для проверки.

В этом разделе описано, как включить и проверить журналы аудита, которые фиксируют каждый запрос, ответ и операцию с данными в Copilot. Также рассмотрено, как отслеживать активность общего доступа, особенно когда она выходит за пределы организации и касается внешних пользователей, гостей или неуправляемых устройств. Отслеживая сигналы риска и соблюдая систему соответствия требованиям, вы будете готовы к проверкам и к любым неожиданностям, которые приносят новые рабочие процессы на основе ИИ.

Централизованный документированный контроль нужен не для галочки: он укрепляет доверие руководства, конечных пользователей и аудиторов. Начните с общесистемных стратегий аудита в этом материале о аудите в Purview или изучите непрерывное соответствие требованиям и мониторинг в реальном времени с помощью Microsoft Defender for Cloud.

Проверка и мониторинг аудита Copilot

Включите журналирование аудита во всех рабочих нагрузках Microsoft 365, которые интегрированы с Copilot. Убедитесь, что журналы фиксируют запросы Copilot, результаты и события доступа к данным: это критически важно для отслеживания соответствия требованиям и судебного расследования. Централизуйте все журналы аудита на платформе, доступной вашим командам безопасности и соответствия требованиям. Документируйте конфигурации Copilot в своей основной политике аудита, чтобы все изменения и действия можно было проследить и проверить в случае инцидентов.

Мониторинг и ограничение рисков общего доступа и внешнего доступа

Настройте оповещения о любых файлах или сообщениях с поддержкой Copilot, которыми поделились за пределами организации, включая гостевой доступ и неуправляемые устройства.
Отслеживайте поведение пользователей: внезапные изменения разрешений, резкий рост общего доступа или доступ к определённым наборам данных со стороны пользователей, которые обычно с ними не работают.
Регулярно проверяйте файлы журналов и при необходимости применяйте автоматизацию на PowerShell для более глубокого анализа. Структуры для выявления рисков до того, как они превратятся в катастрофу, описаны в этом руководстве по безопасности общего доступа.

Соответствие требованиям, конфиденциальность и юридические требования для Copilot

Чётко определите допустимое использование Copilot: Закрепите правила допустимого использования Copilot в политиках соответствия требованиям и сделайте их частью адаптации новых сотрудников и коммуникаций.
Сопоставьте практики использования Copilot с требованиями конфиденциальности и нормативными стандартами: Убедитесь, что вся обработка данных, связанная с Copilot, соответствует отраслевым правилам (HIPAA, GDPR и др.) и внутренним ожиданиям организации в области конфиденциальности.
Подготовьте доказательства аудита и системы контроля: Будьте готовы продемонстрировать контроли Copilot во время внешних аудитов, включая хранение журналов, документацию по контролям и свидетельства работы процессов. Глубже разобраться в пробелах управления поможет этот материал о дрейфе соответствия требованиям.
Быстро реагируйте на события соответствия требованиям: Если действие Copilot приводит к событию риска, сразу переходите к установленному процессу проверки и обработки инцидентов. Такой проактивный подход не даёт мелким проблемам превратиться в головную боль на этапе аудита.

Руководство, управление и стратегии снижения рисков

Ни один проект Copilot не будет по-настоящему защищённым, если руководство не участвует в нём активно с самого начала. Это не только ИT-задача: CIO, юристы, специалисты по соответствию требованиям и руководители бизнес-подразделений тоже играют роль в установлении границ и в том, чтобы Copilot использовался безопасно и уместно.

Этот раздел содержит краткие контрольные списки, которые помогают держать всех в зоне ответственности, а также непростые вопросы, которые каждый руководитель должен задать до и после внедрения. Вы также получите откровенный разбор реальных рисков: prompt injection, неконтролируемой утечки данных и «подводных камней», выявленных на практике. Подключение правильного совета по управлению создаёт встроенную линию защиты от возможных сбоев ИИ. Подробнее о необходимости советов по управлению и ответственных гарантиях для ИИ читайте в этом разборе, а о роли архитектуры control plane можно узнать на этой странице.

При сильной структуре управления и практичных, применимых на деле инструментах вы подготовите свою организацию как к безопасным инновациям, так и к устойчивому соответствию требованиям.

Контрольные списки для руководителей и владельцев: готовность к Copilot

Техническая и лицензионная проверка: Убедитесь, что среда соответствует всем требованиям Microsoft Copilot и что перед развёртыванием назначены нужные лицензии.
Согласование с советом по управлению: Получите одобрение от совета по ИИ, соответствию требованиям или управлению рисками, подтверждающее соответствие политикам использования данных и конфиденциальности. О важности таких советов см. этот выпуск.
Коммуникация с заинтересованными сторонами и пользователями: Подготовьте и разошлите пользователям понятные сообщения о том, что такое Copilot, какие у него риски и как от них ожидается использовать его.
Ответственность владельцев: Определите ответственных владельцев критически важных данных, настройки Copilot и реагирования на инциденты, чтобы при возникновении проблем не пришлось гадать, кто за что отвечает.

Ключевые вопросы руководства и определение допустимого использования

К каким данным Copilot может и не может получать доступ? Не допускайте «чёрного ящика»: при установлении границ требуйте прозрачности как от ИТ-подразделения, так и от Microsoft.
Кто отвечает за действия Copilot? Ответственность не может быть размытой: за каждый инцидент с Copilot должен отвечать назначенный исполнитель или владелец бизнес-процесса.
Где юридические или нормативные подводные камни? Выясните, что произойдёт, если Copilot обработает или выведет регулируемый контент, и как такой контент помечается в вашей системе соответствия требованиям.
Что считается неправильным использованием Copilot? Формулируйте простые и понятные правила «допустимого использования», которые легко соблюдать любому сотруднику, по возможности без юридического жаргона. Больше стратегий управления см. в этом чек-листе внедрения.
Как будут отслеживаться и устраняться инциденты и события, связанные с соответствием требованиям? Убедитесь, что мониторинг, отчётность и пути эскалации не только записаны на бумаге, но и встроены в ваши реальные рабочие процессы.

Риски безопасности, prompt injection и стратегии снижения рисков

Риски prompt injection: Злоумышленники или пользователи могут составить хитрые запросы, которые извлекут конфиденциальную информацию или обойдут средства контроля содержимого. Всегда проверяйте логику Copilot как на обычных, так и на враждебных сценариях, чтобы находить слабые места.
Утечка данных через ИИ-сводки: Без тщательной маркировки и многоуровневой защиты DLP Copilot может обобщить или объединить информацию из ограниченных источников в результате, который обходит классические средства контроля. О скрытых рисках производных данных читайте в этом разборе кейса по управлению.
Избыточные права доступа: Если пользователи или агенты имеют широкие разрешения Graph API, Copilot может «видеть» больше, чем предполагалось, особенно при разросшихся устаревших группах.
Стратегии снижения рисков: По умолчанию присваивайте метку всем результатам ИИ, ограничивайте суммирование минимально необходимым уровнем привилегий, регулярно проверяйте производный контент и вводите этапы проверки для блокнотов и отправки больших выводов.
Главные уроки: Мы видели, как развёртывания срывались из-за неразмеченных результатов, проигнорированных журналов аудита и отсутствия поддержки со стороны руководителей бизнеса. Относитесь к Copilot как к полноценной части вашей структуры управления, а не как к экспериментам только для ИT-отдела.

Безопасность промптов Copilot и практики безопасного ввода для ИТ-команд

У вас уже настроены разрешения, мониторинг и управление, но не забывайте, что от того, что пользователи вводят в Copilot, может зависеть вся ваша безопасность. Внедрение инструкций (prompt injection), состязательные промпты и попытки «джейлбрейка» могут заставить Copilot раскрыть или вывести чувствительные данные. Большинство чек-листов конкурентов упускают это, однако по мере того как компании всерьёз переходят на большие языковые модели, эта область становится всё более актуальной.

В этом разделе мы рассмотрим новые подходы: проактивные средства, которые помогут ИТ-командам как обнаруживать, так и блокировать вредоносные или избыточно подробные промпты. Вы также узнаете, что входит в эффективное обучение пользователей, чтобы никто случайно не раскрыл конфиденциальную информацию. Правила меняются, и ваш плейбук по управлению промптами должен меняться вместе с ними. Подробнее о управлении безопасным поведением ИИ-агентов читайте в этих рекомендациях по управлению.

Противодействие внедрению инструкций и джейлбрейку в Copilot

Отслеживайте подозрительные и состязательные промпты: Настройте инструменты, которые помечают запросы, пытающиеся обойти ограничения Copilot или извлечь чувствительную информацию окольными формулировками.
Выявляйте подмену контекста и косвенные атаки: Научите Copilot распознавать случаи, когда во входных данных есть встроенные инструкции («Просто притворись, что ты не ассистент...») или предпринимаются попытки «двойного назначения» атак через промпт.
Внедряйте многоуровневые средства контроля: Ограничивайте контекст промптов Copilot данными текущего сеанса и, где возможно, задавайте жёсткие границы для ИИ, не допуская смешивания сводок по разным наборам данных. Об идентификации агентов и плоскостях управления в корпоративном ИИ читайте в этой статье.

Безопасные практики работы с промптами и рекомендации по обучению пользователей

Установите правила составления промптов: Обучите пользователей не вводить персональные данные, коммерческую тайну или конфиденциальную информацию в свои промпты.
Проводите целевое обучение по безопасности: Организуйте специализированные семинары по безопасности Copilot, показывая типичные ошибки и реальные примеры эксплуатации уязвимостей.
Предоставляйте шаблоны промптов для сценариев повышенного риска: Дайте пользователям безопасные утверждённые шаблоны и чётко объясните, что можно и что нельзя запрашивать у Copilot.
Подход непрерывного обучения: Обратная связь, викторины и микрообучение помогают корректировать поведение по мере выхода новых функций Copilot.

Риски межсервисного потока данных и контекста Copilot

Copilot использует контекст не из одного приложения, а из Teams, SharePoint, Outlook и других сервисов. Это отлично повышает продуктивность, но создаёт новые риски, особенно когда информация выходит за пределы внутренних границ. Неконтролируемое распространение данных может привести к непреднамеренной утечке чувствительной информации либо путём логического вывода, либо из-за избыточного доступа.

Этот раздел посвящён картированию, аудиту и настройке защитных барьеров того, как Copilot объединяет контекст из разных сервисов. Вы разберёте стратегии, которые не дают Copilot непреднамеренно комбинировать информацию, которая должна оставаться разделённой. При грамотном картировании данных и многоуровневом DLP организации могут сохранить гибкость Copilot для пользователей без ущерба для соответствия требованиям. Чтобы узнать о ловушках слабой основы данных и провалах управления, посмотрите эту поучительную историю об управлении.

Картирование и контроль потока контекстных данных Copilot в Microsoft 365

Составьте перечень данных, которые использует Copilot: Опишите, к каким приложениям (Teams, OneNote, Outlook, SharePoint и др.) имеет доступ Copilot и какие группы или учётные записи управляют разрешениями на эти приложения.
Задайте границы суммирования по бизнес-подразделениям: Ограничьте смешивание данных Copilot заранее утверждёнными комбинациями, например без объединения юридических и коммерческих данных.
Включите контроль на основе политик с Purview и условным доступом: используйте классификацию, DLP и мониторинг в реальном времени, чтобы предотвратить неавторизованное смешивание контекста. Чтобы узнать больше о том, как сочетать безопасность и удобство в M365, ознакомьтесь с этим практическим руководством.

Предотвращение неявного раскрытия данных в сводках, созданных ИИ

Учитывайте риски составного раскрытия: поймите, как несекретные исходные данные могут раскрывать секретные выводы. Сводки Copilot, которые объединяют содержимое календаря с этапами проекта, могут непреднамеренно раскрыть засекреченные приоритеты проекта.
Наслаивайте DLP и сегментируйте содержимое: не полагайтесь только на классический DLP. Используйте сегментацию на основе ролей и ограничивайте область суммаризации в конфигурации ИИ Copilot.
Наслаивание политик и регулярные аудиты: проверяйте результаты Copilot на наличие косвенных утечек и обновляйте политики DLP и меток, чтобы закрывать пробелы в покрытии по мере их появления.
Обучайте пользователей рискам вывода, связанным с ИИ: включайте в обучение примеры, когда безобидно выглядящие запросы приводят к неожиданной утечке данных, что подчеркивает необходимость внимательного ввода и проверки.

Управление безопасностью сторонних приложений и надстроек в Copilot

Поверхность атаки расширяется, когда вы подключаете к Microsoft 365 сторонние инструменты или приложения, и Copilot здесь не исключение. Интеграции с Salesforce, Zoom, Slack или даже коннекторы Power Platform могут создать риски безопасности, если за ними не вести контроль.

В этом разделе рассказывается, как проверять надстройки Copilot и выявлять их риски. Вы проверите, нет ли рискованного доступа к данным или устаревших разрешений, которые могут быть унаследованы. Также вы увидите способы остановить непреднамеренные потоки данных между Copilot и подключенными SaaS-приложениями, чтобы граница соответствия не размывалась из-за одного коннектора. Подробнее об управлении Power Platform и контроле рисков, связанных с разработкой «гражданскими разработчиками», смотрите в этом материале.

Оценка рисков безопасности сторонних надстроек, подключенных к Copilot

Проведите аудит всех сторонних приложений, интегрированных с Copilot: составьте список каждого приложения или надстройки, подключенных к Copilot, и проверьте разрешения и потоки данных.
Проведите анализ рисков доступа к данным и наследования разрешений: проверьте, не предоставляет ли какая-либо надстройка расширенные права Graph API или администратора, которые могут повысить доступ для Copilot.
Обновите процессы утверждения и проверки приложений: используйте портал AppSource для Microsoft 365 для всех утверждений. Блокируйте или ограничивайте приложения, которые устарели, небезопасны или не соответствуют требованиям соответствия.

Контроль доступа к данным между Copilot и подключенными SaaS-приложениями

Внедрите процессы утверждения: разрешайте интеграции только после формальной проверки ИТ-отделом, чтобы все SaaS-подключения имели законное деловое обоснование и четко задокументированную область применения.
Применяйте DLP и условный доступ: используйте правила DLP и политики доступа с учетом контекста, чтобы отслеживать и останавливать неавторизованную передачу данных за пределы среды Microsoft 365.
Отслеживайте активность во время выполнения и на уровне коннекторов: проверяйте журналы каждого коннектора и настройте автоматические оповещения о необычной активности между сервисами или масштабных выгрузках данных. Подробнее о рисках теневых ИТ и мониторинге во время выполнения смотрите в этом материале.