Freigeben über

Sicherheit für Microsoft 365 Copilot

  • Gilt für:: ✅ Microsoft 365 Copilot

Sicherheit ist ein grundlegender Grund für unseren Ansatz bei Microsoft. Es schützt Kundendaten, unterstützt die Systemintegrität und umfasst Benutzersicherheitsfeatures. Diese Verpflichtung entspricht unseren weiter gefassten Grundsätzen für Datenschutz, Compliance und Vertrauen. Dieser Artikel beschreibt unseren Ansatz zum Sichern Microsoft 365 Copilot und bietet Anleitungen, die Sie verwenden können, um Ihren KI-Sicherheitsstatus zu stärken.

Hinweis

Erfahren Sie mehr über neue Features und Funktionen in Microsoft-Sicherheitsprodukten für KI.

Was Microsoft tut, um Microsoft 365 Copilot zu schützen

Microsoft wendet eine mehrschichtige Defense-in-Depth-Strategie an, um Microsoft 365 Copilot auf jeder Ebene zu schützen, die auf Den standards für Sicherheit, Datenschutz und Compliance des Unternehmens basiert. Dies bedeutet: Wenn eine Ebene verletzt wird, bieten andere weiterhin Schutz. Der Ansatz von Microsoft orientiert sich an den Prinzipien verantwortungsvoller KI und wird durch die kürzlich erweiterte Secure Future Initiative verstärkt.

Unser umfassender Sicherheitsstatus für KI umfasst:

  • Sichere Entwicklungs- und Entwicklungspraktiken
  • Threat Intelligence und Risikominderung
  • Datenschutz und Compliance durch Design

Jeder Aspekt dieser Grundlage bildet ein sichereres digitales Ökosystem für Sie, um KI-Features und -Tools sicher zu übernehmen.

Darüber hinaus bettet Microsoft die auf dem Prinzip der verantwortungsbewussten KI basierende Governance über den gesamten KI-Lebenszyklus ein, um sicherzustellen, dass Systeme ethisch und sicher entwickelt und bereitgestellt werden. Diese Strategie trägt dazu bei, dass sich KI auf vertrauenswürdige, verantwortungsvolle und integrative Weise verhält. Ein Kernbestandteil des Programms für verantwortungsvolle KI ist darauf ausgelegt, potenzielle Risiken zu identifizieren, deren Neigung zu auftreten, zu messen und Risikominderungen zu entwickeln, um sie zu verwalten, wie im Transparenzhinweis für Microsoft 365 Copilot beschrieben: Zuordnen, Messen und Verwalten von Risiken.

Sichere Entwicklungs- und Entwicklungspraktiken

Die Sicherheit wird von Grund auf durch unseren Security Development Lifecycle (SDL) integriert. Diese Integration trägt dazu bei, dass Sicherheitsrisiken frühzeitig im Entwicklungsprozess erkannt und behoben werden. Microsoft bietet auch maßgeschneiderte Sicherheitsleitfäden und bewährte Methoden für Entwickler, Ingenieure und Sicherheitsexperten, die mit Microsoft KI-Technologien arbeiten. Weitere Informationen finden Sie unter Erstellen eines starken Sicherheitsstatus für KI.

Bewertungen und Tests

Microsoft führt interne red teaming durch und gibt Bewertungen von Drittanbietern in Auftrag, die Penetrationstests enthalten. Diese Bewertungen helfen dabei, Microsoft 365 Copilot Implementierungen mit herkömmlichen Sicherheitsrisiken und dem Open Web Application Security Project (OWASP) Top 10 für LLMs zu bewerten. Die Bewertungen finden Sie im Service Trust Portal.

Ausführungssteuerungen

Microsoft 365 Copilot erzwingt sichere Codierungs- und Architektursicherheitsmaßnahmen, um Missbrauch zu verhindern, einschließlich Der Generierung von Ransomware und remote ausgeführtem Code. Böswillige Muster werden durch Eingabeaufforderungsüberprüfung und Inhaltsfilterung blockiert, während Sandboxing sicherstellt, dass Microsoft 365 Copilot innerhalb eingeschränkter Ausführungsgrenzen funktioniert. Weitere Informationen finden Sie unter Microsoft 365 Copilot Architektur und deren Funktionsweise.

Threat Intelligence und Risikominderung

Microsoft 365 Copilot wird durch eine mehrschichtige Verteidigungsstrategie geschützt, die Bedrohungsintelligenz, KI-spezifische Erkennung und Architektureindämmung kombiniert. Microsoft verwendet globale Threat Intelligence, um angreiferische Angriffe, Modellmanipulation und Datenlecks zu überwachen. Die neuesten Ergebnisse finden Sie im Microsoft Security: Threat Intelligence-Blog.

Zu den wichtigsten Methoden gehören:

  • Interne Red Teaming und Penetrationstests von Drittanbietern
  • Proaktive Identifizierung zum Blockieren schädlicher Eingaben
  • Machine Learning-Klassifizierer
  • Metaprompting
  • Inhaltsfilterung zur Erkennung von Einschleusungsversuchen, einschließlich Jailbreaks, eXternalized Prompt Injection Attacks (XPIAs) und Agentic-Sicherheitsrisiken

Um die Berichte, Whitepaper und andere Ressourcen anzuzeigen, besuchen Sie das Service Trust Portal.

Microsoft 365 Copilot entschärft XPIA- und Agent-Sicherheitsrisiken durch mehrstufige Schutzmaßnahmen, einschließlich Markdownbereinigung, böswillige Eingabeaufforderungsklassifizierer, Sitzungshärtung und Inhaltssicherheitsrichtlinien. Diese Schutzmaßnahmen tragen dazu bei, nicht autorisierte Aktionen und Datenexfiltration über Microsoft 365 Copilot Oberflächen zu verhindern und werden automatisch über die Cloudinfrastruktur von Microsoft bereitgestellt, ohne dass ein Eingreifen des Kunden erforderlich ist. Diese Methodik umfasst auch kontinuierliche Tests und Eindämmungsstrategien.

Design-Kapselung

Im Falle eines erfolgreichen Einschleusungsversuchs trägt die Architektur von Microsoft 365 Copilot dazu bei, die eingrenzungsbedingt sicherzustellen. Microsoft 365 Copilot innerhalb des Identitäts- und Zugriffskontexts des Benutzers arbeitet und den Explosionsradius einer potenziellen Gefährdung einschränkt.

  • Microsoft 365 Copilot innerhalb des Identitäts- und Mandantenkontexts des Benutzers ausgeführt
  • Microsoft 365 Copilot nur auf Daten zugreift, für die der Benutzer berechtigt ist
  • Alle Interaktionen sind auf vorhandene Berechtigungen ausgerichtet und verhindern laterale Verschiebungen oder nicht autorisierten Datenzugriff.

Einschleusung der Einschleusung

Microsoft verwendet eine mehrschichtige Verteidigungsstrategie für den Microsoft 365 Copilot Promptflow, um das Risiko einer Prompteinschleusung zu minimieren. Im Folgenden finden Sie einige Beispiele für Schutzfeatures, die standardmäßig aktiv sind und keine Einrichtung erfordern:

  • Mit dem User-in-the-Loop-Design können Benutzer KI-generierte Inhalte überprüfen, ändern oder ablehnen.
  • Die Filterung von Spam, Betrug und verdächtigen Inhalten hilft dabei, schädliche Anweisungen, Phishingversuche und betrügerisches Material in Eingabeaufforderungen zu blockieren.
  • Microsoft 365 Copilot ignoriert Junk-E-Mails und nicht vertrauenswürdige Microsoft Teams-Chats, einschließlich Chats von externen Kontakten.
  • Microsoft 365 Copilot berücksichtigt die Bing-Webblockierung, um während der Websuche nicht jugendfreie Websites, websites mit niedriger Autorität und böswilligen Websites herauszufiltern.
  • Microsoft 365 Copilot verwendet eine zustandslose LLM-Architektur. Anforderungen werden mithilfe der semantischen Indizierung im Mandantenbereich in Echtzeit verarbeitet, um sicherzustellen, dass der Datenzugriff und die Relevanz streng auf den Organisationskontext des Benutzers beschränkt sind.

Weitere Informationen dazu, wie Microsoft Daten schützt, Datenschutzkontrollen erzwingt und KI-Vorgänge schützt, finden Sie unter Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot.

Verhinderung von Datenexfiltration

das mehrschichtige Sicherheitsmodell von Microsoft 365 Copilot behandelt herkömmliche und neue Bedrohungen, einschließlich Szenarien mit dem Potenzial für Datenexfiltration, wie die folgenden:

  • Nicht authentifizierte Bild-URLs, bei denen ein Benutzer ein Bild mit vertraulichen Daten generiert, die URL mithilfe von Browsertools extrahiert und das Bild dann extern teilt. Wenn auf das Image ohne Authentifizierung zugegriffen werden kann, kann es Unternehmenssteuerelemente wie bedingten Zugriff oder Vertraulichkeitsbezeichnungen umgehen.
  • Schädliche Bilder, z. B. QR-Codes, bei denen ein Benutzer in einem Mandanten ein schädliches Bild generiert und eine anonyme URL für Benutzer in einem anderen Mandanten freigibt. Wenn eine URL nicht durch Authentifizierung geschützt ist, werden Zugriffssteuerungen möglicherweise nicht erzwungen.

Um solche Szenarien zu entschärfen, wendet Microsoft seine Strategie zur Tiefenverteidigung an. Diese Strategie umfasst eine kontinuierliche Überwachung auf Datenlecksvektoren, angreiferischen Missbrauch und nicht autorisierte Zugriffsmuster.

Von Microsoft 365 Copilot generierte Inhalte unterliegen den gleichen Zugriffssteuerungen und Konformitätsrichtlinien wie andere Microsoft 365-Inhalte. Dies bedeutet, dass Benutzerberechtigungen, Vertraulichkeitsbezeichnungen und Richtlinien für bedingten Zugriff am Zeitpunkt der Inhaltsgenerierung und des Zugriffs erzwungen werden.

Datenschutz und Compliance durch Design

Microsoft 365 Copilot hält die Datenschutz- und Compliancestandards ein, die unter Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot beschrieben sind. Zu den Schutzmaßnahmen, die durch Sicherheitskontrollen erzwungen werden, gehören:

  • Erzwingung des Datenzugriffs
  • Verschlüsselung und Isolation
  • Compliancetools
  • Schützen von Daten über den gesamten KI-Lebenszyklus hinweg
  • EU-Datengrenze
  • Cloudübergreifende Governance für KI-Workloads
  • Richtlinienintegration und -erzwingung

Weitere Informationen finden Sie unter Unternehmensdatenschutz in Microsoft 365 Copilot und Microsoft 365 Copilot Chat.

Erzwingung des Datenzugriffs

Microsoft 365 Copilot respektiert Microsoft Entra ID Berechtigungen und Microsoft Purview-Richtlinien. Microsoft 365 Copilot zeigt nur Organisationsdaten an, für die einzelne Benutzer mindestens die Berechtigung zur Ansicht haben. Richtlinien werden von Microsoft Entra ID, Microsoft Purview und bedingtem Zugriff erzwungen.

Microsoft 365 Copilot Connectors erhöhen den Wert von Microsoft 365 Copilot und behalten gleichzeitig den Unternehmensschutz bei.

Verschlüsselung und Isolation

Daten werden während der Übertragung und im Ruhezustand mit FIPS 140-2-konformen Technologien mit Isolation auf Mandantenebene verschlüsselt. Die Double Key Encryption (DKE) trägt dazu bei, dass Microsoft nicht ohne den Schlüssel des Kunden auf geschützte Inhalte zugreifen kann und Microsoft 365 Copilot nicht auf die Inhalte zugreifen können.

Wenn Sie über Daten verfügen, die von Microsoft Purview Information Protection verschlüsselt werden, berücksichtigt Microsoft 365 Copilot die dem Benutzer gewährten Nutzungsrechte. Die Verschlüsselung kann durch Vertraulichkeitsbezeichnungen oder durch eingeschränkte Berechtigungen in Apps in Microsoft 365 mithilfe von Information Rights Management (IRM) angewendet werden.

Weitere Informationen zur Verwendung von Purview mit Microsoft 365 Copilot finden Sie unter Microsoft Purview-Datenschutz und Complianceschutz für generative KI-Apps.

Cloudübergreifende Governance für KI-Workloads

Microsoft Purview unterstützt Sie bei der Steuerung von KI in Hybrid- und Multicloudumgebungen wie Azure, AWS und Google Cloud. Wenn Sie über Microsoft Security Copilot verfügen, erhalten Sie mehr KI-Erkenntnisse und Funktionen zur Bedrohungserkennung.

  • Purview ermöglicht eine konsistente Datenklassifizierung, Bezeichnung und Richtlinienerzwingung über Clouds hinweg mit Einblick in den Datenfluss in KI-Modelle und Plug-Ins.
  • Security Copilot erkennt KI-bezogene Risiken plattformübergreifend, korreliert Bedrohungen und gibt Einblicke in den Status der Cloudsicherheitsstatusverwaltung.

Richtlinienintegration und -erzwingung

Microsoft 365 Copilot ist Teil des Microsoft-Unternehmenscomplianceprogramms und profitiert von einer Reihe von Zertifizierungen und Bewertungen. Diese Standards umfassen (sind aber nicht beschränkt auf):

  • FedRAMP
  • HiTrust
  • SOC 2 Typ 1
  • ISO/IEC 27001, 27701, 22301, 27018 und 42001

Microsoft Entra ID, Microsoft Purview und Microsoft 365 business erzwingen bedingten Zugriff, Vertraulichkeitsbezeichnungen und Informationsbarrieren.

Weitere Informationen finden Sie in den folgenden Ressourcen:

Schützen Sie Ihre Daten für Microsoft 365 Copilot

Die Sicherung Ihrer Daten für KI-Tools wie Microsoft 365 Copilot ist eine gemeinsame Verantwortung. Zusätzlich zu den Aufgaben, die Microsoft zum Schützen von Microsoft 365 Copilot durchführt, müssen Ihre organization bestimmte Aufgaben ausführen, um Ihre Daten zu verwalten und sicherzustellen, dass Sie KI sicher und sicher verwenden. Weitere Informationen finden Sie im Ki-Modell für gemeinsame Verantwortung.

Informationen zu Microsoft Purview-Tools und -Funktionen

Microsoft Purview bietet Tools, mit denen Sie Ihre Daten für die Verwendung in Microsoft 365 Copilot- und KI-Tools schützen und steuern können. Lesen Sie die folgenden Artikel:

Hinweis

Security Copilot ist eine KI-gestützte Sicherheitslösung, die Echtzeitunterstützung bei der Bedrohungserkennung, der Reaktion auf Vorfälle und der Risikobewertung bietet. In den kommenden Monaten werden Security Copilot in Microsoft 365 E5 aufgenommen. Wenn Sie agentic KI zu einem Teil Ihrer täglichen Workflows machen, können Sie Security Copilot verwenden, um Agents und Sicherheit in Ihrem organization zu verwalten. Erfahren Sie mehr über Security Copilot Aufnahme in Microsoft 365 E5 Abonnement.

Herunterladen szenariobasierter Bereitstellungsmodelle und Leitfäden

Laden Sie unsere szenariobasierten Bereitstellungsmodelle, Präsentationen und Leitfäden herunter, und überprüfen Sie sie. In diesen Ressourcen wird beschrieben, wie Sie schnell eine standardmäßig sichere Konfiguration implementieren, Probleme mit Übermäßigem Teilen beheben und Datenlecks durch Schatten-KI verhindern. Weitere Informationen finden Sie unter Hinweise aus der Technik: Microsoft Purview-Bereitstellungsmodelle.

sicherheitsrelevante Dashboard

Microsoft 365 Copilot enthält integrierte Sicherheitskontrollen von Microsoft Purview. Die Copilot-Sicherheits-Dashboard bietet weitere Einblicke und Kontrollen, die Ihnen helfen:

Um die Dashboard im Microsoft 365 Admin Center anzuzeigen, wählen Sie Copilot>Overview>Security aus. Zum Anzeigen des Abschnitts Sicherheit benötigen Sie die Rolle Globaler Leser . Um Änderungen vorzunehmen, ist die KI-Administratorrolle erforderlich.

Siehe auch

  • Last updated on