Microsoft Copilot とエージェントを実装すると、セキュリティ、コンプライアンス、プライバシー、ガバナンスに関連する新たな増幅リスクに直面する可能性があります。 このセキュリティおよびガバナンス フレームワークは、次のコンポーネントでこれらの問題を軽減するのに役立ちます。
- Microsoft Copilot
- Microsoft Copilot Chat
- Microsoft 365 の事前構築済みエージェント
- Microsoft Copilot Studio で作成され、Microsoft 365 チャネルに発行されたエージェント
この記事では 、基本的な コントロールと 最適化 されたコントロールについて説明します。 一般に、これらの用語は、次の製品とサービスを指します。
基礎: A3/E3/G3 ライセンスを持つ Microsoft 365 管理センター、SharePoint 高度な管理、Microsoft Purview でのセキュリティとガバナンスのコントロール。
最適化: A5/E5/G5 ライセンスを持つ Microsoft Purview および Microsoft Defender for Cloud Apps のコントロール。
Copilot コントロール システムのセキュリティとガバナンスの柱は、次の主要な機能に焦点を当てています:
- データ セキュリティ
- AI セキュリティ
- コンプライアンスとプライバシー
データ セキュリティ
何よりもまず、organizationの情報を保護します。 現在のライセンスに応じて、Microsoft Purview と SharePoint 高度な管理を使用して、過剰共有のリスクを評価します。 また、Microsoft Purview を使用して、ポリシーの推奨事項を作成し、是正措置を実行することもできます。 これらのアクションにより、機密データは引き続き保護され、Copilot やエージェントなど、アクセスはそれを必要とするユーザーのみに制限されます。
基本的なデータ セキュリティとガバナンス制御
SharePoint の高度な管理と A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的なデータ セキュリティとガバナンスの制御を取得します。
Microsoft 365 全体で共有されている可能性のあるデータを特定します。 定期的に次のレポートを実行します。
- SharePoint サイトのデータ アクセス ガバナンス レポート では、サイトの共有しすぎるデータを特定できます。 また、過剰共有サイトの所有者にサイト アクセス レビューを送信することもできます。
必要に応じて、organization 全体のサイト アクセスを削除します。
SharePoint を使用してこのアクセスを手動で構成するか、Windows PowerShell で構成を自動化します。 詳細については、「Microsoft 365 グループと Microsoft Entra セキュリティ グループを使用して SharePoint サイトへのアクセスを制限する」を参照してください。
リスクを修正しながら、ユーザー、Copilot、エージェントのオーバー共有サイトへのアクセスを制限するには、 SharePoint の制限付きコンテンツ検出 または SharePoint の制限付きアクセス制御を使用します。
Microsoft Purview Information Protection サイトの秘密度ラベルを使用します。 詳細については、「Microsoft Teams、Microsoft 365 グループ、および SharePoint サイトで秘密度ラベルを使用する」を参照してください。
不要なコンテンツをアーカイブまたは削除することで、Copilot とエージェントの応答を改善します。
非アクティブまたは所有者のいない SharePoint サイトを特定して管理し、アーカイブまたは削除するには、 SharePoint サイト ライフサイクル管理を使用します。
Microsoft Purview データ ライフサイクル管理 を使用して、不要なファイルを特定して削除します。
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的なデータ セキュリティ制御を利用できます。
新しいオーバー共有が発生したときに、修復のオプションを使用して通知を受け取ります。 詳細については、「Microsoft Purview データ損失防止」を参照してください。
ファイル レベルのアクセス制御を使用して機密データを保護します。 詳細については、「Microsoft Purview Information Protection 秘密度ラベルを使用して暗号化を適用する」を参照してください。
Copilot とエージェントのやり取りで参照される機密データと保護されていないファイルのレポートを表示します。 詳細については、AI 向け Microsoft Purview データ セキュリティ態勢管理 (DSPM) のレポートを参照してください。
次のコントロールには、Microsoft Purview Information Protection 秘密度ラベルを使用します。
コンテンツに機密データが含まれている場合は検出し、保護を 手動で 適用するようユーザーに求めます。
ユーザーがファイルを移動またはダウンロードした場合でもファイルを保護します。
最適化されたデータ セキュリティ制御
A5/E5/G5 ライセンスを持つ Microsoft Purview では、次の最適化されたデータ セキュリティ コントロールを取得します。
次のコントロールには、AI 向け Microsoft Purview データ セキュリティ体制管理 (DSPM) を使用します。
SharePoint サイトや OneDrive などの特定の Microsoft 365 の場所を対象としたデータ リスク評価を作成します。
ポリシーの提案を受け取り、それに基づいて行動することで、特定の過剰共有のリスクを軽減します。
コンテンツに機密データが含まれているタイミングを検出し保護を自動的に適用するには、Microsoft Purview Information Protection 秘密度ラベルを使用します。
次のコントロールには Microsoft Purview インサイダー リスク管理を使用します。
通常の動作パターンから外れた危険なユーザー アクションに関するアラートを受け取ります。 詳細については、「 インサイダー リスク管理ポリシー テンプレート」を参照してください。
リスク アラートを関連付けてシーケンス処理して、重大度の高いユーザーのリスク パターンを特定します。 詳細については、「 シーケンス検出のインサイダー リスク管理ポリシー」を参照してください。
リスク パターンに基づいて、より厳格なセキュリティ ポリシーにユーザーを自動的に追加します。 詳細については、「 インサイダー リスク管理の適応型保護」を参照してください。
AI セキュリティ
また、AI 搭載ツールとそれに関連するデータを、進化する脅威から保護する必要もあります。 Copilot コントロール システムは、AI 関連のリスクを監視、検出、対応するためのコントロールを提供します。 たとえば、機密情報の過剰共有、異常なユーザー動作、生成 AI 機能の悪用などです。 これらの制御を使用して、AI 統合の安全性、コンプライアンス、および内部および外部の両方の脅威に対する回復性を維持します。
基本的な AI セキュリティ制御
Copilot には、AI ベースの攻撃に対する保護機能が既に組み込まれています。 これらの保護には、次の保護が含まれます (ただし、これらに限定されません)。
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的な AI セキュリティ制御を利用できます。
プロンプトと応答のテキストと参照ファイルを表示するには、Microsoft Purview eDiscovery で検索およびエクスポートします。
Copilot とエージェントによって作成された Copilot とエージェントの応答とドキュメントが秘密度ラベルと保護を継承するには、Microsoft Purview Information Protection 秘密度ラベルを使用します。
最適化された AI セキュリティ制御
A5/E5/G5 ライセンスを持つ Microsoft Purview では、次に最適化された AI セキュリティ制御を取得します。
Copilot とエージェントが特定の機密ファイルを処理したり、それらのファイルを応答で使用したりしないようにするには、Microsoft Copilot とエージェントの Microsoft Purview データ損失防止を使用します。
プロンプト インジェクション攻撃の試行や機密データの使用など、危険な AI の使用に関するアラートを受け取るには、Microsoft Purview インサイダー リスク管理 を使用します。
リスクの高いユーザーが Copilot とエージェントを使用して機密コンテンツにアクセスできないようにするには、 インサイダー リスク管理に適応型保護を使用します。
プロンプトと応答のテキスト、グラウンディング中に使用されるすべての Web クエリ、および参照されるファイルを表示するには、AI 用 Microsoft Purview データ セキュリティ態勢管理のアクティビティ エクスプローラーを使用します。
コンプライアンスとプライバシー
Copilot コントロール システムのセキュリティとガバナンスの 3 番目の側面は、Copilot とエージェントの相互作用が規制および内部標準に準拠する方法を監視、監査、管理できるようにすることです。 Microsoft Purview を使用して、Copilot アクティビティを包括的に監視します。 これらのコントロールを使用すると、Microsoft Copilot やエージェントをデプロイして使用する際に、機密情報を保護し、プライバシーを維持し、規制コンプライアンスを実証できます。
基本的なコンプライアンスとプライバシー制御
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的なコンプライアンスとプライバシーの制御を取得します。
Copilot とエージェントの相互作用を監査するには、Copilot および AI アプリケーション向けの Microsoft Purview 監査を使用して詳細なログ情報にアクセスします。
次の機能に保持ポリシーと削除ポリシーを適用するには、Microsoft Purview データ ライフサイクル管理を使用します。
Microsoft Copilot とエージェントの対話
Microsoft Teams 会議の記録とトランスクリプト
次のコントロールには Microsoft Purview eDiscovery を使用します。
ユーザーの Copilot とエージェントのプロンプトと応答を法的ホールドに含めます。 詳細については、「 保留および保留ポリシー」を参照してください。
訴訟または調査を検索し、Copilot とエージェントが生成するコンテンツを含めます。
最適化されたコンプライアンスとプライバシー制御
A5/E5/G5 ライセンスを持つ Microsoft Purview では、以下のように最適化されたコンプライアンスとプライバシーの制御を利用できます。
コンプライアンスまたは倫理違反の可能性が発生した場合にアラートを受信し、調査を開始するには、Microsoft Purview コミュニケーション コンプライアンスを使用します。
規制フレームワークへの準拠を評価および追跡するには、 Microsoft Purview コンプライアンス マネージャーを使用します。
ゼロ トラスト
Microsoft では、organizationに ゼロ トラスト の原則を実装するための詳細なドキュメントと、Microsoft CopilotとCopilot Chatに関する具体的な考慮事項を提供します。 ゼロ トラストは製品やサービスではなく、次の一連のセキュリティ原則を設計および実装するためのアプローチです。
- 明確に確認する
- 最低特権アクセスを使用する
- 侵害を想定する
詳細については、「ゼロ トラスト セキュリティを使用して Copilot に備える」を参照してください。