Partager via

En savoir plus sur Gestion de la posture de sécurité des données pour l’IA ( classique)

Guide de gestion des licences Microsoft 365 pour la sécurité & la conformité

Remarque

Cet article concerne la version classique de Gestion de la posture de sécurité des données qui est remplacée par une nouvelle version qui introduit des flux de travail guidés pour la gestion proactive des risques et rationalise les opérations de sécurité des données afin que vous puissiez adopter l’IA en toute confiance dans votre patrimoine numérique.

Ces améliorations ne seront pas ajoutées à cette version classique. Nous vous invitons donc à essayer la nouvelle Gestion de la posture de sécurité des données, actuellement en préversion.

Gestion de la posture de sécurité des données Microsoft Purview (DSPM) pour l’IA à partir du portail Microsoft Purview fournit un emplacement de gestion central pour vous aider à sécuriser rapidement les données des applications IA et à surveiller de manière proactive l’utilisation de l’IA. Ces applications incluent des Copilotes, des agents et d’autres applications IA qui utilisent des modules LLM tiers.

Gestion de la posture de sécurité des données pour l’IA offre un ensemble de fonctionnalités qui vous permettent d’adopter l’IA en toute sécurité sans avoir à choisir entre productivité et protection :

  • Insights et analyses sur l’activité IA dans votre organization

  • Stratégies prêtes à l’emploi pour protéger les données et empêcher la perte de données dans les invites IA

  • Évaluations des risques liés aux données pour identifier, corriger et surveiller le surpartage potentiel des données.

  • Contrôles de conformité pour appliquer des stratégies optimales de gestion et de stockage des données

Pour obtenir la liste des sites IA tiers pris en charge, tels que ceux utilisés pour Gemini et ChatGPT, consultez Sites IA pris en charge par Microsoft Purview pour les protections de conformité et de sécurité des données.

Comment utiliser Gestion de la posture de sécurité des données pour l’IA

Pour vous aider à obtenir plus rapidement des insights sur l’utilisation de l’IA et protéger vos données, Gestion de la posture de sécurité des données pour l’IA fournit des stratégies préconfigurées recommandées que vous pouvez activer en un seul clic. Si vous utilisez des unités administratives, vous devez être administrateur illimité pour créer ces stratégies qui s’appliquent à tous les utilisateurs de votre organization.

Prévoyez au moins 24 heures pour que ces nouvelles stratégies collectent des données afin d’afficher les résultats dans Gestion de la posture de sécurité des données pour l’IA, ou reflètent les modifications que vous apportez aux paramètres par défaut.

Exemple de capture d’écran de Gestion de la posture de sécurité des données Microsoft Purview pour l’IA.

Aucune activation n’est nécessaire, Gestion de la posture de sécurité des données pour l’IA exécute automatiquement une évaluation hebdomadaire des risques liés aux données pour les 100 principaux sites SharePoint en fonction de l’utilisation dans votre organization. Vous pouvez compléter cela avec vos propres évaluations personnalisées des risques liés aux données, actuellement en préversion. Ces évaluations sont conçues spécifiquement pour vous aider à identifier, corriger et surveiller le surpartage potentiel des données, afin que vous puissiez être plus sûr de vos organization à l’aide de Microsoft 365 Copilot et d’agents, et Microsoft 365 Copilot Chat.

Pour commencer à utiliser Gestion de la posture de sécurité des données pour l’IA, utilisez le portail Microsoft Purview. Vous avez besoin d’un compte disposant des autorisations appropriées pour la gestion de la conformité, par exemple un compte membre du rôle de groupe Administrateur de conformité Microsoft Entra.

Conseil

Les étapes suivantes fournissent une procédure pas à pas recommandée pour utiliser toutes les fonctionnalités disponibles à partir de DSPM pour l’IA. Si vous souhaitez utiliser DSPM pour l’IA uniquement pour une application IA spécifique, utilisez les liens de la section Étapes suivantes.

  1. Se connecter au portail> Microsoft PurviewSolutions>DSPM pour l’IA (classique).

    Sélection de la solution Gestion de la posture de sécurité des données Microsoft Purview pour l’IA dans le portail Microsoft Purview.

  2. Dans Vue d’ensemble, conservez la vue Toutes les applications IA sélectionnée. Consultez la section Prise en main pour en savoir plus sur Gestion de la posture de sécurité des données pour l’IA et les actions immédiates que vous pouvez effectuer. Sélectionnez chacune d’elles pour afficher le volet volant pour en savoir plus, effectuer des actions et vérifier votre status actuelle.

    Action Plus d’informations
    Activer Microsoft Purview Audit L’audit étant activé par défaut pour les nouveaux locataires, vous pouvez déjà remplir ce prérequis. Si c’est le cas et que les utilisateurs se voient déjà attribuer des licences pour Microsoft 365 Copilot, vous commencez à voir des insights sur les activités de Copilot et des agents dans la section Rapports plus bas dans la page.
    Installer l’extension de navigateur Microsoft Purview Un prérequis pour les sites IA tiers.
    Intégrer des appareils à Microsoft Purview Il s’agit également d’une condition préalable pour les sites IA tiers.
    Étendre vos insights pour la découverte des données Stratégies en un clic pour collecter des informations sur les utilisateurs qui visitent des sites d’IA générative tiers et leur envoient des informations sensibles. L’option est identique au bouton Étendre vos insights dans la section Analyse des données IA plus bas dans la page.

    Pour plus d’informations sur les prérequis, consultez Prérequis pour Gestion de la posture de sécurité des données pour l’IA.

    Pour plus d’informations sur les stratégies préconfigurées que vous pouvez activer, consultez Stratégies en un clic à partir de Gestion de la posture de sécurité des données pour l’IA.

  3. Ensuite, passez en revue la section Recommandations et décidez s’il faut implémenter des options pertinentes pour votre locataire. Consultez chaque recommandation pour comprendre en quoi elles sont pertinentes pour vos données et en savoir plus.

    Ces options incluent l’exécution d’une évaluation des risques liés aux données sur les sites SharePoint, la création d’étiquettes et de stratégies de confidentialité pour protéger vos données et la création de stratégies par défaut pour vous aider à détecter et protéger immédiatement les données sensibles envoyées aux sites d’IA générative. Exemples de recommandations :

    • Protégez vos données contre les risques potentiels de surpartage en affichant les résultats de votre évaluation des risques de données par défaut pour identifier et résoudre les problèmes afin de vous aider à déployer Microsoft 365 Copilot en toute confiance.
    • Protégez vos données avec des étiquettes de confidentialité en créant un ensemble d’étiquettes de confidentialité par défaut si vous n’avez pas encore d’étiquettes de confidentialité et des stratégies pour les publier et étiqueter automatiquement les documents et les e-mails.
    • Protégez les éléments avec des étiquettes de confidentialité contre Microsoft 365 Copilot et le traitement de l’agent en vous invitant à sélectionner une ou plusieurs étiquettes de confidentialité qui empêchent les Microsoft 365 Copilot et les agents de résumer les données étiquetées. Pour plus d’informations sur cette fonctionnalité, consultez En savoir plus sur l’utilisation de Protection contre la perte de données Microsoft Purview pour protéger les interactions avec les Microsoft 365 Copilot et les Copilot Chat.
    • Détectez les interactions à risque dans les applications IA pour calculer le risque utilisateur en détectant les invites et les réponses à risque dans les Microsoft 365 Copilot, les agents et d’autres applications d’IA générative. Pour plus d’informations, consultez Utilisation risquée de l’IA.
    • Découvrez et régissez les interactions avec ChatGPT Enterprise AI en inscrivant des espaces de travail ChatGPT Enterprise. Vous pouvez identifier les risques potentiels d’exposition aux données en détectant les informations sensibles partagées avec ChatGPT Enterprise.
    • Obtenez une assistance guidée pour les réglementations d’IA, qui utilisent des modèles réglementaires de mappage de contrôle du Gestionnaire de conformité.
    • Sécuriser les interactions pour les expériences Microsoft Copilot, qui capture les invites et les réponses pour Copilot dans Fabric, et Security Copilot. Sans stratégie similaire à celle créée avec cette recommandation, les événements d’audit sont capturés pour Copilot dans Fabric et Security Copilot, mais pas pour les invites et les réponses.
    • Détectez les informations sensibles partagées avec l’IA via le réseau, qui utilise la sécurité des données réseau pour détecter les types d’informations sensibles partagés avec les applications IA dans les navigateurs, les applications, les API, les compléments, etc., à l’aide d’un service Edge d’accès sécurisé ou d’une intégration Security Service Edge.
    • Sécurisez les interactions à partir des applications d’entreprise, qui capture les invites et les réponses pour la conformité réglementaire à partir d’applications IA inscrites à Entra, de ChatGPT Enterprise Connector et d’applications basées sur Microsoft Foundry.
    • Sécurisez les données dans Azure les applications et les agents IA, qui a configuré des instructions pour capturer des invites et des réponses pour les applications IA qui utilisent un ou plusieurs abonnements Azure IA.

    Vous pouvez utiliser le lien Afficher toutes les recommandations ou Recommandations dans le volet de navigation pour voir toutes les recommandations disponibles pour votre locataire et leurs status. Lorsqu’une recommandation est terminée ou ignorée, vous ne la voyez plus dans la page Vue d’ensemble .

  4. Utilisez la section Rapports ou la page Rapports du volet de navigation pour afficher les résultats des stratégies par défaut créées. Vous devez attendre au moins un jour que les rapports soient remplis. Sélectionnez les catégories d’expériences et d’agents Copilot, Applications IA d’entreprise et Autres applications IA pour vous aider à identifier l’application d’IA générative spécifique.

  5. Utilisez la page Stratégies pour surveiller les status des stratégies en un clic par défaut créées et des stratégies liées à l’IA à partir d’autres solutions Microsoft Purview. Pour modifier les stratégies, utilisez la solution de gestion correspondante dans le portail. Par exemple, pour DSPM pour l’IA - Comportement non éthique dans Copilot, vous pouvez examiner et corriger les correspondances à partir de la solution de conformité des communications.

    Remarque

    Si vous avez les anciennes stratégies de rétention pour les conversations Teams et les interactions Copilot, elles ne sont pas incluses sur cette page. Découvrez comment créer des stratégies de rétention distinctes pour Microsoft Copilot expériences qui seront incluses dans cette page Stratégie.

  6. Sélectionnez Applications et agents pour afficher un tableau de bord des applications IA et de leurs agents utilisés dans votre organization afin de pouvoir identifier et gérer les risques potentiels pour la sécurité des données. Pour chaque agent, affichez des détails sur les données sensibles auxquelles ils ont accédé et la façon dont ils sont protégés par des stratégies de Microsoft Purview.

  7. Sélectionnez Explorateur d’activités pour afficher les détails des données collectées à partir de vos stratégies.

    Ces informations plus détaillées incluent le type d’activité et l’utilisateur, la date et l’heure, la catégorie et l’application d’application IA, l’application accessible dans, tous les types d’informations sensibles, les fichiers référencés et les fichiers sensibles référencés.

    Parmi les exemples d’activités, citons l’interaction ia, les types d’informations sensibles et la visite du site web IA. Requêtes et les réponses sont incluses dans les événements d’interaction ia lorsque vous disposez des permisisons appropriées. Vous pouvez utiliser le filtre Requêtes web dans l’Explorateur d’activités pour identifier plus facilement les interactions IA qui ont une requête web, avec le volet volant d’interaction IA qui diplaye le texte de la requête de recherche dans la section Application IA références web utilisée . Pour plus d’informations sur les événements, consultez Événements de l’Explorateur d’activités.

    À l’instar des catégories de rapport, les charges de travail incluent les expériences et les agents Copilot, les applications IA d’entreprise et les autres applications IA. Parmi les exemples d’ID d’application et d’hôte d’application pour les expériences et les agents Copilot, citons Microsoft 365 Copilots et Copilot Studio. Les applications IA d’entreprise incluent ChatGPT Enterprise. D’autres applications IA incluent les applications des sites IA tiers pris en charge, tels que ceux utilisés pour Gemini et ChatGPT.

  1. Sélectionnez Évaluations des risques liés aux données pour identifier et corriger les risques potentiels de surpartage des données dans votre organization. En raison de la puissance et de la vitesse de l’IA peut exposer de manière proactive du contenu qui peut être obsolète, sur-autorisé ou dépourvu de contrôles de gouvernance, l’IA générative amplifie le problème du surpartage des données. Utilisez des évaluations des risques de données pour identifier et corriger les problèmes.

    Pour les insights de surpartage dans SharePoint et OneDrive, utilisez l’onglet Microsoft 365 et l’onglet Infrastructure pour les éléments dans les espaces de travail Fabric.

    Une évaluation des risques liés aux données par défaut s’exécute automatiquement chaque semaine pour les 100 principaux sites SharePoint en fonction de l’utilisation dans votre organization, et vous avez peut-être déjà exécuté une évaluation personnalisée comme l’une des recommandations. Toutefois, revenez régulièrement à cette option pour case activée les derniers résultats hebdomadaires de l’évaluation par défaut et exécutez des évaluations personnalisées lorsque vous souhaitez case activée pour différents utilisateurs ou sites spécifiques. Après l’exécution d’une évaluation personnalisée, attendez au moins 48 heures pour voir les résultats qui ne sont plus mis à jour. Vous aurez besoin d’une nouvelle évaluation pour voir les modifications apportées aux résultats.

    L’évaluation par défaut s’affiche en haut de la page avec un résumé rapide, tel que le nombre total d’éléments trouvés, le nombre de données sensibles détectées et le nombre de liens partageant des données avec n’importe qui. La première fois que l’évaluation par défaut est créée, il y a un délai de 4 jours avant l’affichage des résultats.

    Après avoir sélectionné Afficher les détails pour obtenir des informations plus détaillées, dans la liste, sélectionnez chaque site pour accéder au volet volant qui comporte des onglets Vue d’ensemble, Identifier, Protéger et Surveiller. Utilisez les informations de chaque onglet pour en savoir plus et prendre les mesures recommandées. Par exemple :

    Utilisez l’onglet Identifier pour identifier la quantité de données analysées ou non analysées pour les types d’informations sensibles, avec une option permettant de lancer une analyse de classification à la demande en fonction des besoins.

    Utilisez l’onglet Protéger pour sélectionner les options permettant de corriger le surpartage, notamment :

    Utilisez l’onglet Surveiller pour afficher le nombre d’éléments du site partagés avec tout le monde, partagés avec tous les membres du organization, partagés avec des personnes spécifiques et partagés en externe. Sélectionnez Démarrer une révision d’accès aux sites SharePoint pour plus d’informations sur l’utilisation des rapports de gouvernance d’accès aux données SharePoint.

  1. Pour créer votre propre évaluation personnalisée des risques liés aux données, sélectionnez Créer une évaluation personnalisée afin d’identifier les problèmes de surpartage potentiels pour tous les utilisateurs ou certains utilisateurs, les sources de données à analyser et exécuter l’évaluation.

    Remarque

    Les évaluations personnalisées Microsoft 365 prennent éventuellement en charge l’analyse au niveau de l’élément avec des actions de correction lorsque vous effectuez un processus d’authentification unique. Pour spécifier les paramètres requis, vous devez disposer d’une application Entra inscrite. Pour plus d’informations sur l’application Entra, consultez Prérequis pour l’analyse au niveau de l’élément Microsoft 365 pour les évaluations des risques liés aux données.

    Sélectionnez Niveau de l’élément dans la page Niveau de l’analyse, puis Authentifier pour spécifier les informations de l’application Entra.

    Cette évaluation des risques des données est créée dans la catégorie Évaluations personnalisées . Attendez que le status de votre évaluation affiche Terminé, puis sélectionnez-le pour afficher les détails. Pour réexécuter une évaluation personnalisée des risques liés aux données et afficher les résultats après l’expiration de 30 jours, utilisez l’option dupliquée pour créer une évaluation avec les mêmes sélections.

    L’analyse au niveau de l’élément et la correction des éléments potentiellement partagés sont applicables à Microsoft 365 uniquement et sont actuellement limitées aux sites SharePoint. Cette analyse identifie les éléments comme potentiellement surpartagés s’ils ont un lien de partage pour les utilisateurs externes ou anonymes, et affiche également toute étiquette de confidentialité appliquée et le propriétaire de chaque élément.

    Une fois l’analyse terminée, ouvrez l’évaluation personnalisée et affichez les insights au niveau des éléments à partir de l’onglet Éléments potentiellement partagés ou du bouton Afficher les éléments de la bannière Éléments potentiellement surpartagés . Les actions de correction suivantes peuvent être effectuées sur les éléments potentiellement surpartagés identifiés :
    • Résolvez, par exemple si vous décidez que l’élément n’est pas à risque de surpartage.
    • Appliquez une étiquette de confidentialité pour les éléments identifiés comme étant actuellement sans étiquette ou qui doivent avoir une étiquette de confidentialité différente.
    • Informez le propriétaire du site avec une notification par e-mail (non personnalisable).
    • Supprimer le lien de partage pour supprimer le lien de partage existant afin qu’il ne puisse plus être utilisé pour accéder à l’élément. Il s’agit d’une action à utiliser avec parcimonie, car elle pourrait empêcher les utilisateurs d’accéder légitimement à l’élément. Dans ce scénario, le propriétaire du site ou le propriétaire de l’élément doit ensuite définir un type de lien de partage moins permissif pour les utilisateurs autorisés. Si vous ne l’avez pas déjà fait, envisagez de configurer des étiquettes de confidentialité pour un lien de partage par défaut.
    La notification par e-mail contient des informations et des instructions sur les éléments potentiellement partagés dans le site. Il contient également des options leur permettant d’accéder au site SharePoint pour gérer l’accès aux éléments à partir de là, ou au portail Microsoft Purview pour une vue en lecture seule des résultats d’analyse au niveau de l’élément qui affichent uniquement les éléments et les sites dont ils sont propriétaires.

    Conseil

    Les évaluations des risques liés aux données par défaut et personnalisées fournissent une option d’exportation qui vous permet d’enregistrer et de personnaliser les données dans un choix de formats de fichier (Excel, CSV, JSON, TSV).

    Limites pour Microsoft 365 :
    • Un maximum de 200 000 éléments par emplacement, ce qui s’applique à la fois à une évaluation personnalisée des risques liés aux données et à une évaluation des risques liés aux données par défaut. Le nombre de fichiers signalés peut ne pas être précis lorsqu’il y a plus de 100 000 fichiers par emplacement.
    • OneDrive n’est actuellement pas pris en charge pour l’analyse au niveau de l’élément.
    • Un maximum actuel de 10 sites SharePoint pour l’analyse au niveau de l’élément.

Étapes suivantes

Utilisez les stratégies, les outils et les insights de DSPM pour l’IA conjointement avec des protections et des fonctionnalités de conformité supplémentaires de Microsoft Purview. Si vous êtes intéressé par une application IA spécifique, utilisez les liens suivants :

  • Last updated on