Wählen Sie die Kontrolle, die Sie tatsächlich benötigen.
Servicezugang, Kontozugang und Schutz sensibler Daten beantworten unterschiedliche Fragen. Testen Sie die, von der Ihre Richtlinie abhängt.
- 01Blockieren Sie den Dienst
- Kann dieses Gerät den KI-Dienst erreichen?
Eine Domain-, Kategorie- oder Anwendungsregel kann den Zugriff auf den von ihr kontrollierten Netzwerk- oder Clientpfaden verweigern.
Sie unterscheidet nicht zwischen persönlichen und Arbeitskonten desselben Dienstes und überprüft nicht den Inhalt einer erlaubten Eingabeaufforderung.
- 02Beschränken Sie das Konto
- Können Mitarbeiter nur den genehmigten Arbeitsbereich nutzen?
Eine Konto- oder Mandantenbeschränkung benötigt eine unterstützte Identität, Browser- oder Sicherheitsproduktfunktion für diesen spezifischen Dienst.
Überprüfen Sie erlaubte und gesperrte Konten, Anmeldeänderungen und Umgehungspfade. Eine Domain-Blockade allein ist keine Konto-Beschränkung.
- 03Überprüfen Sie den Inhalt
- Kann diese Eingabeaufforderung oder Datei gesendet werden?
Ein unterstützter DLP-Pfad bewertet die Informationen anhand der konfigurierten Richtlinie und wendet die verfügbare Reaktion an.
Testen Sie getippten Text, eingefügten Text und Uploads separat. Inhaltsprüfung schränkt das angemeldete Konto nicht automatisch ein.
Das Copilot-Risiko beginnt meist mit dem bestehenden Zugriff, nicht mit dem Modell selbst
Copilot respektiert Microsoft 365-Berechtigungen, aber das bedeutet nicht, dass die Umgebung bereit ist. Wenn Dateien, Kanäle oder Postfächer übermäßig geteilt werden, kann Copilot diese Exposition leichter auffindbar und handhabbar machen.
Übergeteilte Microsoft 365 Daten
Copilot kann nur sehen, auf was ein Nutzer zugreifen kann, aber viele Unternehmen haben bereits umfassende SharePoint-, Teams-, OneDrive- und Postfachberechtigungen. KI macht das Überteilen leichter zu entdecken und wiederzuverwenden.
Sensitive prompt exposure
Mitarbeiter können weiterhin Kundendaten, juristische Unterlagen, Personalunterlagen, Quellcode oder Finanzinformationen in Copilot-Prompts einfügen, ohne die Governance-Implikationen zu erkennen.
Risiko von Plugins und Steckverbindern
Connectors und Plugins erweitern die Daten- und Aktionsfläche. Sie benötigen Genehmigung, Eigentum, Überwachung und klare Grenzen, bevor sie regulierte Arbeitsabläufe berühren.
Prüfungsunterschiede in den Nachweisen
Sicherheits- und Compliance-Teams benötigen vertretbare Beweise darüber, wer Copilot genutzt hat, welche Richtlinienkontrollen ausgelöst wurden, welche Ausnahmen genehmigt wurden und wie sich riskantes Verhalten im Laufe der Zeit verändert hat.
Die Copilot-Governance beginnt, bevor die Lizenz vergeben wird
Copilot folgt dem umgebenden Zugriffsmodell. Der schnellste Weg, Risiken zu reduzieren, ist, Berechtigungen, Daten, Konnektoren und Workflows zu bereinigen, die Copilot verstärken kann.
Erlaubnis zur Hygiene
Überprüfen Sie SharePoint-Seiten, Teams-Kanäle, OneDrive-Ordner und Postfächer, bei denen der Zugriff breiter geworden ist als das Geschäft.
Datenklassifikation
Label-Repositories, die Kundendaten, Personaldaten, Boardmaterial, Verträge, Quellcode, Rechtsgeheimnisse oder regulierte Datensätze enthalten.
Prompt Coaching
Geben Sie den Mitarbeitern Echtzeit-Anleitungen, bevor sensible Inhalte in Prompts eingefügt oder in wirkungsvollen Copilot-Workflows verwendet werden.
Connector-Governance
Genehmigung von Plugins, Agenten und Connectors basierend auf Eigentümer, Datenumfang, Aktionsfähigkeit, Anbieterposition und Auditfähigkeit.
Ein einfaches Steuermodell für Microsoft 365 Copilot
Sicherheitsteams brauchen keine 60-seitige Richtlinie vor dem Rollout. Sie brauchen klare operative Kontrollen über den gesamten Rollout-Lebenszyklus.
Vor der Einführung
- Audit von übergeteilten Arbeitsbereichen
- Klassifiziere sensible Repositorien
- Definiert genehmigte Teams und Anwendungsfälle
Während der Einführung
- Coach-sensible Prompts
- Überwachen Sie riskante Plugin-Nutzung
- Strecken-Ausnahmen und wiederholte Reibung
Nach der Einführung
- Melden Sie die Einführung und das Risiko
- Erlaubnisschuld beheben
- Überprüfung von Connectors und risikoreichen Arbeitsabläufen
Eine praktische Copilot-Sicherheitscheckliste
Beginnen Sie mit Kontrollen, die die Schadensausbreitung am schnellsten reduzieren, und erweitern Sie den Rollout mit Monitoring und Coaching.
- 1
Überprüfen Sie Microsoft 365 Berechtigungen, bevor Sie den Copilot-Zugriff erweitern.
- 2
Klassifizieren Sie risikoreiche Repositories und Geschäftsabläufe.
- 3
Veröffentlichen Sie Nutzungsregeln, die für Mitarbeiter und nicht für Prüfer geschrieben sind.
- 4
Überwachen Sie sensible Prompts, riskante Plugins und wiederholte Policy-Reibungen.
- 5
Melden Sie Adoption, Ausnahmen und Abhilfemaßnahmen der Sicherheitsleitung.
Die Nutzung von Copiloten in vertretbare Governance-Beweise verwandeln
Der Vorstand und die Prüfer fragen nicht nur, ob Copilot aktiviert ist. Sie wollen wissen, was sich geändert hat, wo Risiken auftraten und wie das Unternehmen darauf reagiert hat.
Verbinden Sie die Copilot-Governance mit dem umfassenderen KI-Programm
Copilot ist nur ein Teil der unternehmensweiten KI-Nutzung. Teams benötigen auch Kontrollen für ChatGPT, Claude, Gemini, individuelle Agenten, Browsererweiterungen und eingebettete SaaS-KI.