Audyt Microsoft 365 przed uruchomieniem Copilota w urzędzie centralnym
Urząd centralny udostępnił pracownikom Microsoft Copilot. Kolejność prac miała tu większe znaczenie niż samo uruchomienie: najpierw audyt środowiska Microsoft 365, potem uruchomienie asystenta, następnie szkolenie pracowników, a na końcu zabezpieczenie DLP pod kątem narzędzi AI. ZeroLayer odpowiadał za wszystkie cztery etapy.
Wyzwanie: Copilot widzi tyle, ile widzi użytkownik
Copilot nie ma własnych uprawnień. Odpowiada na podstawie treści, do których zalogowany użytkownik ma co najmniej prawo odczytu — Microsoft opisuje to wprost w dokumentacji produktu. Asystent nie tworzy więc nowego ryzyka dostępowego, tylko je uwidacznia. Udostępnienia nadane kiedyś na chwilę, linki dla wszystkich w organizacji, biblioteki SharePoint i zasoby OneDrive z rozerwanym dziedziczeniem uprawnień — dopóki nikt o te treści nie zapytał, nikt ich nie widział. Po uruchomieniu asystenta wystarczy jedno pytanie zadane w naturalnym języku. Dlatego audyt środowiska Microsoft 365 poprzedził w tym projekcie uruchomienie Copilota, a nie odwrotnie.
- Copilot odpowiada w kontekście uprawnień pytającego — nadmiarowe udostępnienia ujawniają się dopiero wtedy, gdy ktoś zada właściwe pytanie.
- Uprawnienia w SharePoint i OneDrive narastają latami i rzadko bywają rewidowane po nadaniu; samo przejście na chmurę tego nie porządkuje.
- Pracownicy wprowadzają do asystentów AI treści, których nie powinni — niezależnie od tego, czy instytucja formalnie na to pozwoliła.
- Urząd musiał umieć wykazać nadzór nad tym, co trafia do modelu i co model wykorzystuje w odpowiedzi — z tytułu obowiązków wynikających z RODO oraz własnej polityki bezpieczeństwa informacji.
Rozwiązanie: audyt przed uruchomieniem, potem szkolenie i DLP
Projekt prowadziliśmy w czterech etapach, w ustalonej kolejności. Audyt środowiska Microsoft 365 wykonaliśmy przed uruchomieniem Copilota, żeby obraz uprawnień był znany, zanim asystent zacznie z nich korzystać. Po uruchomieniu zajęliśmy się stroną ludzką — szkoleniem pracowników — i dopiero na końcu domknęliśmy warstwę techniczną, czyli kontrolę nad tym, jakie dane trafiają do narzędzi AI.
- Audyt środowiska Microsoft 365: przegląd uprawnień, udostępnień i konfiguracji tenanta przed włączeniem asystenta. Zakres objął środowisko liczące do 500 kont użytkowników, wraz z bibliotekami SharePoint i zasobami OneDrive, po które Copilot sięga, budując odpowiedź.
- Uruchomienie Microsoft Copilot najpierw na grupie pilotażowej, a po jej zakończeniu dla całej organizacji. Pilotaż pozwolił zweryfikować ustawienia uprawnień na realnym użyciu, zanim asystent trafił do wszystkich.
- Szkolenie dla 50 pracowników, przeprowadzone zdalnie na Microsoft Teams: jak korzystać z asystenta i czego nie wolno do niego wprowadzać.
- Zabezpieczenie DLP dla narzędzi AI w oparciu o mechanizmy wbudowane w Microsoft 365: reguły ograniczające to, co może trafić do asystenta, i wykluczające z odpowiedzi treści oznaczone jako wrażliwe. Regułami objęliśmy dane osobowe obywateli, dane kadrowe i płacowe, numery rachunków i pozostałe dane finansowe oraz dokumenty z nadanymi etykietami poufności.
Zakres prac ZeroLayer
Wszystkie cztery etapy prowadziliśmy jako jeden projekt, z jednym punktem odpowiedzialności — od audytu, przez uruchomienie i szkolenie, po polityki DLP. Całość zajęła trzy miesiące, licząc od rozpoczęcia audytu do uruchomienia polityk DLP. Warto przy tym wiedzieć, czym ostatni etap różni się od klasycznego DLP na endpoincie. Zamiast pilnować pliku wychodzącego przez USB czy pocztę — co robi klasyczne DLP na endpoincie, które wdrażamy osobno — DLP dla narzędzi AI kontroluje treść wpisywaną w prompt i materiał, na którym model opiera odpowiedź: potrafi zatrzymać przetworzenie promptu zawierającego określone typy danych wrażliwych, wykluczyć z odpowiedzi dokumenty z konkretną etykietą poufności albo odciąć wyszukiwanie w sieci, gdy w zapytaniu pojawią się dane, które nie powinny opuścić organizacji. Ta warstwa domyka projekt, ale go nie zastępuje — bez wcześniejszego uporządkowania uprawnień ogranicza tylko to, co asystent powie, a nie to, do czego sięga.
Powiązane usługi
Porozmawiajmy
o bezpieczeństwie
Cyberzagrożenia nie śpią. Niezależnie czy potrzebujesz natychmiastowej reakcji na incydent, czy długoterminowej strategii, ZeroLayer jest w gotowości.
Umów 30-minutową rozmowę
Wybierz dogodny termin i porozmawiaj bezpośrednio z naszym zespołem bezpieczeństwa. Rozmowa o Twojej sytuacji, nie prezentacja sprzedażowa.