Microsoft Purview og Copilot – datasikkerhed i AI-tiden

Copilots sikkerhedsmodel hviler på tre ting, I selv skal levere: korrekte adgangsrettigheder, korrekte labels og korrekt logning. Microsoft leverer motoren, men ikke ryddeligheden i jeres data.

Purview lukker hullerne i den rækkefølge:

1. Find de brede delinger. Content explorer og oversharing-rapporter viser, hvilke sites der er delt med "Everyone except external users" – den enkelte største kilde til pinlige Copilot-svar.
2. Mærk det følsomme. Automatisk mærkning af HR-dokumenter, lønfiler, kontrakter og personsager gør, at beskyttelsen følger filen, uanset hvor den kopieres hen.
3. Håndhæv i Copilot. DLP-politikker med Copilot som lokation forhindrer, at bestemte labels overhovedet indgår i AI-svar.
4. Dokumentér. Audit-loggen giver den sporbarhed, revisionen og DPO'en beder om, når AI-brugen bliver en del af risikobilledet.

Model 1 – Afgrænset pilot. Copilot-licenser til én afdeling, hvis data i forvejen er velafgrænsede. Purview bruges til labels på afdelingens indhold og til audit. Hurtigst i luften, lavest risiko, men siger ikke meget om, hvordan resten af organisationen vil klare sig.

Model 2 – Ryd op først, rul så bredt ud. Fuld oversharing-analyse og automatisk mærkning på tværs af hele lejemålet, før licenserne uddeles. Tager 8–12 uger længere, men giver det reneste udgangspunkt og undgår, at I skal rulle tilbage.

Model 3 – Restriktiv udrulning med DLP-hegn. Copilot åbnes bredt, men DLP-politikker udelukker alt, der er mærket Fortroligt og Strengt fortroligt, fra AI-behandling. Giver hurtig værdi for de fleste medarbejdere og beskytter det væsentlige, men kræver at mærkningen er pålidelig.

Vi anbefaler oftest model 3 med en efterfølgende oprydning i baggrunden – det balancerer forretningsværdi og risiko bedst for organisationer over 200 brugere.

• Label: "Strengt fortrolig – HR" med kryptering, hvor kun HR-gruppen har EXTRACT. Copilot kan dermed ikke citere indholdet, selv for en bruger med læseadgang.
• Auto-mærkning: Dokumenter med mere end fem CPR-numre mærkes automatisk Fortroligt i SharePoint og OneDrive.
• DLP-politik: Lokation "Microsoft 365 Copilot", betingelse "indhold har label Strengt fortrolig", handling "udeluk fra behandling".
• DLP-politik: Bloker kopiering af Copilot-svar til ikke-godkendte browsere og cloud-tjenester via endpoint DLP.
• Adgangsmodel: SharePoint-sites med følsomt indhold får site-niveau-følsomhedsmærke, der forhindrer gæsteadgang og fjerner dem fra bred søgning.
• Audit: Opbevaringspolitik på Copilot-interaktioner i mindst 12 måneder, så forløb kan rekonstrueres.