Microsoft 365 Copilot とエージェントを実装すると、セキュリティ、コンプライアンス、プライバシー、ガバナンスに関連する新しいリスクや増大するリスクに直面する可能性があります。 このセキュリティとガバナンス フレームワークは、次のコンポーネントでこれらの問題を軽減するのに役立ちます。
- Microsoft 365 Copilot
- Microsoft 365 Copilot Chat
- Microsoft 365 の事前構築済みエージェント
- Microsoft Copilot Studioで作成され、Microsoft 365 チャネルに発行されたエージェント
この記事では、基本的なコントロールと最適化されたコントロールについて説明します。 一般に、これらの用語は次の製品とサービスを指します。
基本: A3/E3/G3 ライセンスを使用して、Microsoft 365 管理センター、SharePoint 高度な管理、Microsoft Purview のセキュリティとガバナンスを制御します。
最適化: A5/E5/G5 ライセンスを使用した Microsoft Purview とMicrosoft Defender for Cloud Appsのコントロール。
Copilot 制御システムのセキュリティとガバナンスの柱は、次の主要な機能に焦点を当てています。
- データ セキュリティ
- AI セキュリティ
- コンプライアンスとプライバシー
データ セキュリティ
まず第一に、organizationの情報を保護します。 現在のライセンスに応じて、Microsoft Purview とSharePoint 高度な管理を使用して、過剰共有リスクを評価します。 また、ポリシーの推奨事項や是正措置を行うために Microsoft Purview を使用することもできます。 これらのアクションは、機密データが保護されたままであることを確信するのに役立ち、アクセスは、Copilot やエージェントなど、必要なユーザーのみに制限されます。
基本的なデータセキュリティとガバナンス制御
A3/E3/G3 ライセンスを使用したSharePoint 高度な管理と Microsoft Purview では、次の基本的なデータ セキュリティとガバナンスコントロールを取得します。
Microsoft 365 全体で過剰に共有される可能性のあるデータを特定します。 次のレポートを定期的に実行します。
- SharePoint サイトのデータ アクセス ガバナンス レポート を使用すると、サイトの過共有データを識別できます。 また、過剰共有サイトの所有者にサイト アクセス レビューを送信することもできます。
必要に応じてorganization全体のサイト アクセスを削除します。
SharePoint を使用して、このアクセスを手動で構成するか、Windows PowerShellを使用して構成を自動化します。 詳細については、「Microsoft 365 グループとMicrosoft Entraセキュリティ グループを使用して SharePoint サイトへのアクセスを制限する」を参照してください。
リスクを修復しながら、ユーザー、Copilot、エージェントのアクセスを過剰共有サイトに制限するには、 SharePoint 制限付きコンテンツ検出 または SharePoint 制限付きアクセス制御を使用します。
サイト秘密度ラベルMicrosoft Purview Information Protection使用します。 詳細については、「Microsoft Teams、Microsoft 365 グループ、および SharePoint サイトで秘密度ラベルを使用する」を参照してください。
不要なコンテンツをアーカイブまたは削除することで、Copilot とエージェントの応答を改善します。
非アクティブまたは所有者のない SharePoint サイトを特定して管理し、アーカイブまたは削除するには、 SharePoint サイトライフサイクル管理を使用します。
Microsoft Purview データ ライフサイクル管理を使用して、不要なファイルを特定して削除します。
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的なデータ セキュリティ制御を取得します。
修復のオプションを使用して新しいオーバーシェアが発生したときに通知を取得します。 詳細については、「Microsoft Purview データ損失防止」を参照してください。
ファイル レベルのアクセス制御を使用して機密データをセキュリティで保護します。 詳細については、「Microsoft Purview Information Protection秘密度ラベルを使用して暗号化を適用する」を参照してください。
Copilot とエージェントの相互作用で参照されている機密データと保護されていないファイルのレポートを表示します。 詳細については、AI のMicrosoft Purview データ セキュリティ態勢管理 (DSPM) のレポートを参照してください。
次のコントロールMicrosoft Purview Information Protection秘密度ラベルを使用します。
コンテンツに機密データが含まれているタイミングを検出し、保護を 手動で 適用するようにユーザーに依頼します。
ユーザーがファイルを移動またはダウンロードした場合でも、ファイルを保護します。
最適化されたデータ セキュリティ制御
A5/E5/G5 ライセンスを持つ Microsoft Purview では、次の最適化されたデータ セキュリティ制御を取得します。
次のコントロールには、AI 用の Microsoft Purview データ セキュリティ体制管理 (DSPM) を使用します。
SharePoint サイトや OneDrive など、特定の Microsoft 365 の場所を対象とするデータ リスク評価を作成します。
ポリシーの提案を受け取り、対処して、特定の過剰共有リスクを軽減します。
コンテンツに機密データが含まれているタイミングを検出し、自動的に保護を適用するには、秘密度ラベルMicrosoft Purview Information Protection使用します。
通常の動作パターンから逸脱した危険なユーザー アクションに対してアラートを受け取ります。 詳細については、「 Insider Risk Management ポリシー テンプレート」を参照してください。
リスク アラートを関連付けてシーケンスして、ユーザーの重大度の高いリスク パターンを特定します。 詳細については、 シーケンス検出のインサイダー リスク管理ポリシーに関するページを参照してください。
リスク パターンに基づいて、より厳格なセキュリティ ポリシーにユーザーを自動的に追加します。 詳細については、「 インサイダー リスク管理のアダプティブ保護」を参照してください。
AI セキュリティ
また、AI を利用するツールとそれに関連するデータを、進化する脅威から保護する必要もあります。 このCopilot 制御システムは、AI 関連のリスクを監視、検出、対応するためのコントロールを提供します。 たとえば、機密情報の過剰共有、異常なユーザーの動作、生成型 AI 機能の誤用などです。 これらのコントロールを使用して、AI 統合が内部および外部の両方の脅威に対してセキュリティで保護され、準拠し、回復性を維持するようにします。
基本的な AI セキュリティ コントロール
Copilot には、AI ベースの攻撃に対する組み込みの保護が既に含まれています。 これらの保護には、次の保護が含まれますが、これらに限定されません。
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的な AI セキュリティ 制御を取得します。
プロンプトと応答のテキストと参照ファイルを表示するには、Microsoft Purview eDiscoveryを使用して検索とエクスポートを行います。
Copilot とエージェントによって作成された Copilot とエージェントの応答とドキュメントが秘密度ラベルと保護を継承するには、秘密度ラベルMicrosoft Purview Information Protection使用します。
最適化された AI セキュリティ コントロール
A5/E5/G5 ライセンスを持つ Microsoft Purview では、次の最適化された AI セキュリティ 制御を取得します。
Copilot とエージェントが特定の機密性の高いファイルを処理するのを防ぎ、応答で使用しないようにするには、Microsoft 365 Copilot とエージェントのMicrosoft Purview データ損失防止を使用します。
プロンプトインジェクション攻撃の試行や機密データの使用など、危険な AI の使用に関するアラートを受け取るには、Microsoft Purview インサイダー リスク管理を使用します。
リスクの高いユーザーが Copilot とエージェントを使用して機密性の高いコンテンツにアクセスできないようにするには、 インサイダー リスク管理にアダプティブ保護を使用します。
プロンプトと応答のテキストを表示するには、接地中に使用される Web クエリと参照ファイルは、AI 用 Microsoft Purview データ セキュリティ態勢管理のアクティビティ エクスプローラーを使用します。
コンプライアンスとプライバシー
Copilot 制御システムのセキュリティとガバナンスの 3 番目の側面は、Copilot とエージェントの相互作用が規制および内部標準に準拠する方法を監視、監査、管理できるようにすることです。 Microsoft Purview を使用して、Copilot アクティビティの包括的な監視を提供します。 これらのコントロールを使用すると、Microsoft 365 Copilot とエージェントを展開して使用するときに、機密情報の保護、プライバシーの維持、規制コンプライアンスの実証を行うことができます。
基本的なコンプライアンスとプライバシー制御
A3/E3/G3 ライセンスを持つ Microsoft Purview では、次の基本的なコンプライアンスとプライバシー制御を取得します。
Copilot とエージェントの対話を監査するには、Copilot および AI アプリケーションのMicrosoft Purview 監査を使用して詳細なログ情報にアクセスします。
次の機能に保持ポリシーと削除ポリシーを適用するには、Microsoft Purview データ ライフサイクル管理を使用します。
Microsoft 365 Copilot とエージェントの相互作用
会議の記録とトランスクリプトをMicrosoft Teamsする
次のコントロールにMicrosoft Purview eDiscoveryを使用します。
ユーザーの Copilot とエージェントのプロンプトと応答を訴訟ホールドに含めます。 詳細については、「 保留ポリシーと保留ポリシー」を参照してください。
訴訟または調査を検索し、Copilot とエージェントが生成するコンテンツを含めます。
コンプライアンスとプライバシー制御の最適化
A5/E5/G5 ライセンスを持つ Microsoft Purview では、次の最適化されたコンプライアンスとプライバシー制御を取得します。
コンプライアンス違反や倫理違反の可能性がある場合にアラートを受け取り、調査を開始するには、Microsoft Purview コミュニケーション コンプライアンスを使用します。
規制フレームワークへの準拠を評価して追跡するには、 Microsoft Purview コンプライアンス マネージャーを使用します。
ゼロ トラスト
Microsoft では、organizationにゼロ トラストの原則を実装するための詳細なドキュメントと、Microsoft 365 Copilot とCopilot Chatに関する具体的な考慮事項について説明します。 ゼロ トラストは製品やサービスではなく、次のセキュリティ原則のセットを設計および実装するアプローチです。
- 明確に確認する
- 最低特権アクセスを使用する
- 侵害を想定する
詳細については、「ゼロ トラスト セキュリティを使用した Copilot の準備」を参照してください。