為 Microsoft Copilot 設定安全且受監管的基礎

適用於：Microsoft Copilot、Microsoft Purview 和 SharePoint 進階管理

Microsoft Copilot 使用 Work IQ，使用使用者已有權限存取的資料來增強對使用者提示的回應。 當貴組織的資料受到良好控管、最新且適當共用時，Copilot 可以提供準確、相關且安全的回應。

本文將逐步解說使用基礎部署藍圖中所述的程序來準備、保護及管理 Microsoft Copilot 的步驟。

遵循這些步驟，您可以協助 Copilot 提供正確且相關的結果，同時支援組織的安全性、合規性和法規需求。

本指導適用於正在為組織準備使用 Microsoft Copilot，或在啟用 Copilot 之後對安全性和控管控制進行必要調整的 IT 系統管理員和安全性系統管理員。

本文可協助您達成的目標

完成本文中的步驟後，您可以：

• 建立護欄以確保使用者具有 SharePoint、OneDrive 和 Exchange 的適當存取權，且 Copilot 僅根據貴組織的原則參考正確、最新的資訊

• 就 Copilot 可以或不能如何與貴組織的敏感性資料互動做出明智的選擇，確保資料使用和存取的控制和彈性

• 監視變更和 Copilot 活動，以識別和修復風險。

授權

本文所述的功能需要：

• Microsoft Copilot 的授權。 請參閱 Copilot 授權需求。
• SharePoint 進階管理 (隨附於 Copilot 授權)
• 符合核心 Microsoft 365 服務和功能的資格，例如 SharePoint、OneDrive 和 Microsoft Purview 功能。 請參閱 Microsoft 365 應用程式與服務。
• 至少具備 Microsoft Purview 中的基礎功能，這些功能包含在 Microsoft 365 E3 中。 (本文也會提及 Microsoft 365 E5 或 E7.) 中包含的最佳化功能

系統管理員角色

您必須獲指派適當的角色才能執行本文所述的工作。

如需詳細資訊，請參閱下列資源：

• Microsoft 365 系統管理中心概觀
• 關於 Microsoft 365 系統管理中心中的系統管理員角色
• 關於 Microsoft 365 中的 SharePoint 系統管理員角色
• Microsoft Purview 入口網站中的權限

步驟 1：補救過度共用

在此步驟中，您會識別高風險網站和敏感性內容並排定其優先順序、套用暫時保護以減少 Copilot 暴露，然後補救存取和權限。

識別高風險網站和內容

使用 Microsoft Purview 和 SharePoint 進階管理 (SAM) ，尋找過度共用、無擁有者、非作用中或包含可由 Copilot 呈現之敏感性資料的網站和檔案。

1. 檢閱Microsoft Purview 資料安全性態勢管理 (DSPM) 資料風險評估，以識別具有敏感性資料、有風險的共用連結，以及經常存取內容的過度共用網站

2. 執行 SAM 內容管理評估 ，以識別具有過大對象、EEEU 使用量、繼承中斷、共用不當以及非作用中或無擁有者的網站

套用暫時 Copilot 保護

在網站進行補救之前，請套用暫時控制以減少暴露，並驗證 Copilot 是否不再顯示受限制的內容。

1. 啟用 SAM 受限制的內容探索 (RCD) ，以從 Copilot 探索中排除敏感性網站。

2. 設定 Copilot Microsoft Purview 資料外洩防護 (DLP) ，以從 Copilot 基礎設置中排除敏感性內容。

透過 Microsoft Purview 稽核和報告驗證，Copilot 不再顯示受限制的內容。 (請參閱使用 Microsoft Purview 管理 Microsoft Copilot 與 Microsoft Copilot Chat 的資料安全性 & 合規性。)

修正存取和權限

針對您識別為高風險的網站，請使用 Microsoft Purview 和 SAM 建議來移除過多存取權、更正中斷的繼承，並確保負責任的擁有權。

1. 檢閱針對標幟為高風險網站的 Microsoft Purview DSPM 資料風險評定建議，並採取下列動作：

   • 套用 網站敏感度標籤 以反映資料敏感度並限制過度共用

   • 移除過多或匿名存取，並將共用連結重新限定為核准的使用者或群組。 (請參閱 管理 SharePoint 和 OneDrive 的共用設定。)

2. 啟動高風險網站的 SAM 網站存取檢閱 ，以便網站擁有者可以管理存取 (，下至檔案層級) ，以及：

   • 移除多餘的使用者、群組及全公司共用連結 (包括 EEEU) ，並將共用連結重新設定為核准的使用者或群組。 (請參閱 監視 SharePoint 中的共用活動。)

   • 修正文件庫和資料夾上中斷的許可權繼承。 (請參閱 SharePoint 中的權限繼承 和 自訂 SharePoint 清單或文件庫的權限。)

   • 使用 SAM 網站生命週期管理，指派或確認所有已補救網站的網站擁有權。 (請參閱建立 SharePoint 網站擁有權原則。)

補救存取和權限之後，移除暫時 Copilot 保護

步驟 2：設定護欄

在此步驟中，您可以使用 Microsoft Purview 和 SAM 建立安全的預設值和持久的護欄，以便在建立時保護新網站和內容，並隨著時間持續強制執行和最佳化這些控制。

建立安全預設值

使用租用戶和佈建預設值，以防止在新網站和共用連結中引入過度共用。

1. 在佈建時，對業務關鍵網站預設強制執行受限制存取控制 (RAC) 。

2. 在租用戶層級停用或限制使用全公司共用群組和 [任何人] 連結。 (請參閱可 共用連結在 SharePoint 和 OneDrive 中的運作方式。)

3. 使用 Microsoft Purview 資訊保護，在佈建時要求網站敏感度標籤，以預設強制執行正確的網站隱私權和共用控制。 (請參閱使用敏感度標籤來保護 Microsoft Teams、Microsoft 365 群組 和 SharePoint 網站中的內容。)

建立安全護欄

依預設保護敏感性資料，並決定如何使用 Microsoft Purview 搭配 Copilot 使用這些資料。

1. 設定自動標記和預設 Microsoft Purview 資訊保護敏感度標籤，以確保敏感性檔案和電子郵件受到保護。

2. 是否有 Copilot 不應用於基礎設置的檔案或電子郵件？ 若為是，請設定適用於 Copilot 原則的 Microsoft Purview DLP，以限制 Copilot 處理具有特定敏感度標籤的檔案和電子郵件

3. 是否有不應由 Copilot 處理的敏感性資料關鍵字或類型？ 如果是，請啟用適用於 Copilot 提示原則的 Purview DLP，以限制 Copilot 回應包含指定敏感性資訊的提示

   或者，允許將敏感性資料用於 Work IQ 基礎設置，但封鎖 Web 基礎設置

4. 啟用Microsoft Purview 內部風險管理 (IRM 原則來偵測不適當或不符合規範的 Copilot 使用模式，並自動將風險使用者新增至更嚴格的安全性原則

持續強制執行並最佳化護欄

使用 Microsoft Purview 報告、風險評定和警示，持續驗證保護並調查有風險的 AI 使用情況。

1. 使用 Microsoft Purview DSPM活動總管來檢閱 Copilot 互動 (提示和回應) 、Web 搜尋關鍵字和敏感性資料活動。

2. 使用 Microsoft Purview DSPM 資料風險評估來持續驗證敏感性資料是否仍受到保護，無法被 Copilot 存取。

3. 檢閱 Microsoft Purview 內部風險管理與 DLP 警示，以偵測及調查有風險的 AI 使用方式或潛在的資料遺失。 (參閱內部 風險管理中的資料風險圖表 ，並 瞭解如何調查 DLP 警示。)

步驟 3：符合法規

在此步驟中，您將評估和縮小 AI 合規性差距、定義 Copilot 互動的稽核和保留需求，以及使用 Microsoft Purview 改善持續的資料衛生，以大規模支援負責任的 AI 治理。

找出並解決與 AI 法規的差距

1. 使用 Microsoft Purview 合規性管理員 ，根據 AI 相關法規需求和 Microsoft 建議動作評估您的租用戶。

2. 檢閱與資料保護、可稽核性和 AI 使用控制相關的 Microsoft Purview 合規性管理員改善動作 。

3. 指派和追蹤補救工作，以縮小已識別的合規性差距。 (請參閱更新 改善動作並將合規性資料帶入合規性管理員。)

4. 使用 Microsoft Purview DSPM 報告驗證改進。 (請參閱如何使用 DSPM.)

定義法規要求

1. 根據法規和內部要求決定保留稽核記錄的時間。 (請參閱 管理稽核記錄保留原則。)

2. 根據法律風險或法規需求，決定如何保留或何時刪除 Copilot 互動。 (請參閱 Microsoft Purview 資料生命週期管理.)

3. 使用 Microsoft Purview 電子文件探索來搜尋、保留及產生與稽核或法律要求相關的 Copilot 相關內容。

改善資料衛生

持續清除非作用中內容並套用保留和刪除原則，以降低持續的風險並改善 Copilot 回答品質。

針對網站：

• 透過識別和解決不活躍或過時的網站來保持生命週期衛生。 (請參閱 SAM 非使用中網站原則。)

• 使用 Microsoft 365 封存，以較低的成本儲存非作用中但高價值的內容，同時防止 Copilot 對其進行處理或推理。

針對檔案：

• 套用 Microsoft Purview 保留和刪除原則 來移除非作用中或過時的檔案，以改善 Copilot 回應的品質。

• 使用 Microsoft Purview 保留標籤和 Microsoft 365 封存，將檔案從 Copilot 使用中排除，同時保留這些檔案以供記錄保留義務或探索之用

後續步驟

完成本文中的步驟之後，請使用 Microsoft Purview 入口網站和 SharePoint 管理員代理程式來檢視資訊並按排程執行報告。