Udostępnij przez

Zabezpieczenia dla Microsoft 365 Copilot

  • Dotyczy: ✅ Microsoft 365 Copilot

Bezpieczeństwo jest podstawą naszego podejścia w firmie Microsoft; chroni dane klientów, obsługuje integralność systemu i obejmuje funkcje bezpieczeństwa użytkowników. To zobowiązanie jest zgodne z naszymi szerszymi zasadami dotyczącymi prywatności, zgodności i zaufania. W tym artykule opisano nasze podejście do zabezpieczania Microsoft 365 Copilot i przedstawiono wskazówki, których można użyć w celu wzmocnienia poziomu bezpieczeństwa sztucznej inteligencji.

Uwaga

Dowiedz się więcej o nowych funkcjach i możliwościach w produktach microsoft security dla sztucznej inteligencji.

Co firma Microsoft robi, aby zabezpieczyć Microsoft 365 Copilot

Firma Microsoft stosuje wielowarstwową, szczegółową strategię ochrony w celu zabezpieczenia Microsoft 365 Copilot na każdym poziomie, opartym na standardach zabezpieczeń, prywatności i zgodności przedsiębiorstwa. Oznacza to, że w przypadku naruszenia jednej warstwy inne nadal zapewniają ochronę. Podejście firmy Microsoft opiera się na zasadach odpowiedzialnej sztucznej inteligencji i jest wzmacniane przez niedawno rozszerzoną inicjatywę Bezpieczna przyszłość.

Nasza kompleksowa postawa bezpieczeństwa dla sztucznej inteligencji obejmuje:

  • Bezpieczne praktyki inżynieryjne i programistyczne
  • Analiza zagrożeń i ograniczanie ryzyka
  • Prywatność i zgodność zgodnie z projektem

Każdy aspekt tej podstawy stanowi bezpieczniejszy cyfrowy ekosystem umożliwiający bezpieczne wdrażanie funkcji i narzędzi sztucznej inteligencji.

Ponadto firma Microsoft osadza ład oparty na zasadach odpowiedzialnej sztucznej inteligencji w całym cyklu życia sztucznej inteligencji, aby zapewnić, że systemy są opracowywane i wdrażane etycznie i bezpiecznie. Ta strategia pomaga zapewnić zachowanie sztucznej inteligencji w sposób godny zaufania, odpowiedzialny i inkluzywny. Podstawowa część programu Odpowiedzialna sztuczna inteligencja ma na celu identyfikowanie potencjalnych zagrożeń, mierzenie ich skłonności do wystąpienia i tworzenie środków zaradczych w celu zarządzania nimi, opisanych w notatce przezroczystości dla Microsoft 365 Copilot: mapowanie, mierzenie i zarządzanie ryzykiem.

Bezpieczne praktyki inżynieryjne i programistyczne

Zabezpieczenia są zintegrowane od podstaw za pośrednictwem naszego cyklu życia opracowywania zabezpieczeń (SDL). Ta integracja pomaga zagwarantować, że luki w zabezpieczeniach są identyfikowane i eliminowane na wczesnym etapie procesu opracowywania. Firma Microsoft udostępnia również dostosowane wskazówki dotyczące zabezpieczeń i najlepsze rozwiązania dla deweloperów, inżynierów i specjalistów ds. zabezpieczeń pracujących z technologiami sztucznej inteligencji firmy Microsoft. Zobacz Tworzenie silnej postawy zabezpieczeń dla sztucznej inteligencji.

Oceny i testowanie

Firma Microsoft przeprowadza wewnętrzne czerwone zespoły i zleca oceny innych firm, które obejmują testy penetracyjne. Te oceny ułatwiają ocenę Microsoft 365 Copilot implementacji w stosunku do tradycyjnych luk w zabezpieczeniach oraz 10 pierwszych 10 projektów Open Web Application Security Project (OWASP) dla maszyn LLM. Aby wyświetlić oceny, odwiedź portal zaufania usługi.

Kontrolki wykonywania

Microsoft 365 Copilot wymusza bezpieczne kodowanie i zabezpieczenia architektoniczne, aby zapobiec niewłaściwemu użyciu, w tym generowaniu oprogramowania wymuszającego okup i zdalnemu wykonywaniu kodu. Złośliwe wzorce są blokowane przez inspekcję monitów i filtrowanie zawartości, a piaskownica pomaga zapewnić, że Microsoft 365 Copilot działa w ograniczonych granicach wykonywania. Aby uzyskać więcej informacji, zobacz architekturę Microsoft 365 Copilot i sposób jej działania.

Analiza zagrożeń i ograniczanie ryzyka

Microsoft 365 Copilot jest chroniona przez wielowarstwową strategię obrony, która łączy analizę zagrożeń, wykrywanie specyficzne dla sztucznej inteligencji i ograniczanie architektury. Firma Microsoft używa globalnej analizy zagrożeń do monitorowania ataków, manipulowania modelami i wycieków danych. Aby zapoznać się z najnowszymi ustaleniami, odwiedź blog Microsoft Security: Threat intelligence.

Kluczowe rozwiązania obejmują:

  • Wewnętrzne czerwone zespoły i testy penetracyjne innych firm
  • Proaktywna identyfikacja blokująca złośliwe dane wejściowe
  • Klasyfikatory uczenia maszynowego
  • Metaprompting
  • Filtrowanie zawartości w celu wykrywania prób wstrzyknięcia monitu, w tym jailbreaks, eXternalized Prompt Injection Attacks (XPIAs) i agentycznych luk w zabezpieczeniach

Aby wyświetlić raporty, oficjalne dokumenty i inne zasoby, odwiedź portal zaufania usługi.

Microsoft 365 Copilot eliminuje luki w zabezpieczeniach XPIA i agentyczne dzięki warstwowym mechanizmom obronnym, w tym dezynfekcji języka markdown, złośliwym klasyfikatorom monitów, wzmacnianiu zabezpieczeń sesji i zasadom zabezpieczeń zawartości. Te zabezpieczenia pomagają zapobiegać nieautoryzowanym akcjom i eksfiltracji danych na powierzchniach Microsoft 365 Copilot i są wdrażane automatycznie za pośrednictwem infrastruktury chmury firmy Microsoft bez konieczności akcji klienta. Ta metodologia obejmuje również strategie ciągłego testowania i hermetyzowania.

Hermetyzowanie według projektu

W przypadku pomyślnej próby wstrzyknięcia architektura Microsoft 365 Copilot pomaga zapewnić ich hermetyzację zgodnie z projektem. Microsoft 365 Copilot działa w kontekście tożsamości i dostępu użytkownika, ograniczając promień wybuchu wszelkich potencjalnych naruszeń.

  • Microsoft 365 Copilot działa w kontekście tożsamości i dzierżawy użytkownika
  • Microsoft 365 Copilot uzyskuje dostęp tylko do danych, do wyświetlania przez użytkownika
  • Wszystkie interakcje są ograniczone do istniejących uprawnień, co uniemożliwia przenoszenie boczne lub nieautoryzowany dostęp do danych

Monitowanie o ochronę przed wstrzyknięciem

Firma Microsoft stosuje wielowarstwową strategię obrony w Microsoft 365 Copilot przepływu monitu w celu ograniczenia ryzyka związanego z monitowaniem o wstrzyknięcie. Oto kilka przykładów funkcji ochrony, które są domyślnie aktywne i nie wymagają konfiguracji:

  • Projekt użytkownika w pętli umożliwia użytkownikom przeglądanie, modyfikowanie lub odrzucanie zawartości wygenerowanej przez sztuczną inteligencję.
  • Filtrowanie spamu, oszustw i podejrzanych treści ułatwia blokowanie złośliwych instrukcji, prób wyłudzania informacji i fałszywych materiałów w monitach.
  • Microsoft 365 Copilot ignoruje wiadomości-śmieci i niezaufane czaty w usłudze Microsoft Teams, w tym czaty z kontaktów zewnętrznych.
  • Microsoft 365 Copilot honoruje blokowanie sieci Web Bing w celu odfiltrowania witryn dla dorosłych, o niskich uprawnieniach i złośliwych witryn podczas wyszukiwania w Internecie.
  • Microsoft 365 Copilot działa przy użyciu bezstanowej architektury LLM. Żądania są przetwarzane w czasie rzeczywistym przy użyciu indeksowania semantycznego o zakresie dzierżawy, aby zapewnić, że dostęp do danych i ich istotność są ściśle ograniczone do kontekstu organizacyjnego użytkownika.

Aby uzyskać więcej informacji na temat sposobu, w jaki firma Microsoft chroni dane, wymusza mechanizmy kontroli prywatności i zabezpiecza operacje sztucznej inteligencji, zobacz Dane, prywatność i zabezpieczenia dla Microsoft 365 Copilot.

Zapobieganie eksfiltracji danych

Model zabezpieczeń warstwowych Microsoft 365 Copilot dotyczy tradycyjnych i pojawiających się zagrożeń, w tym scenariuszy z możliwością eksfiltracji danych, takich jak te:

  • Nieuwierzytelnione adresy URL obrazów, w których użytkownik generuje obraz zawierający dane poufne, wyodrębnia adres URL przy użyciu narzędzi przeglądarki, a następnie udostępnia obraz zewnętrznie. Jeśli obraz jest dostępny bez uwierzytelniania, może pominąć kontrolki przedsiębiorstwa, takie jak dostęp warunkowy lub etykiety poufności.
  • Złośliwe obrazy, takie jak kody QR, w których użytkownik w jednej dzierżawie generuje złośliwy obraz i udostępnia anonimowy adres URL użytkownikom w innej dzierżawie. Jeśli adres URL nie jest chroniony przez uwierzytelnianie, mechanizmy kontroli dostępu mogą nie zostać wymuszone.

Aby pomóc w łagodzeniu takich scenariuszy, firma Microsoft stosuje swoją strategię ochrony w głębi systemu. Ta strategia obejmuje ciągłe monitorowanie wektorów wycieków danych, niepożądane niewłaściwe użycie i wzorce nieautoryzowanego dostępu.

Zawartość generowana przez Microsoft 365 Copilot podlega tym samym zasadom kontroli dostępu i zgodności co inna zawartość platformy Microsoft 365. Oznacza to, że uprawnienia użytkownika, etykiety poufności i zasady dostępu warunkowego są wymuszane w momencie generowania i uzyskiwania dostępu do zawartości.

Prywatność i zgodność zgodnie z projektem

Microsoft 365 Copilot przestrzega standardów prywatności i zgodności opisanych w temacie Dane, prywatność i bezpieczeństwo dla Microsoft 365 Copilot. Zabezpieczenia wymuszane za pomocą mechanizmów kontroli zabezpieczeń obejmują:

  • Wymuszanie dostępu do danych
  • Szyfrowanie i izolacja
  • Narzędzia zgodności
  • Ochrona danych w całym cyklu życia sztucznej inteligencji
  • Granica danych UE
  • Ład między chmurami dla obciążeń sztucznej inteligencji
  • Integracja i wymuszanie zasad

Aby uzyskać więcej informacji, zobacz Ochrona danych przedsiębiorstwa w Microsoft 365 Copilot i Microsoft 365 Copilot Chat.

Wymuszanie dostępu do danych

Microsoft 365 Copilot przestrzega uprawnień Tożsamość Microsoft Entra i zasad usługi Microsoft Purview. Usługa Microsoft 365 Copilot wyświetla tylko te dane organizacyjne, do których poszczególni użytkownicy mają co najmniej uprawnienia do wyświetlania. Zasady są wymuszane przez Tożsamość Microsoft Entra, microsoft purview i dostęp warunkowy.

łączniki Microsoft 365 Copilot zwiększają wartość Microsoft 365 Copilot przy zachowaniu ochrony przedsiębiorstwa.

Szyfrowanie i izolacja

Dane są szyfrowane podczas przesyłania i magazynowania przy użyciu technologii zgodnych ze standardem FIPS 140-2 z izolacją na poziomie dzierżawy. Szyfrowanie podwójnym kluczem (DKE) pomaga zapewnić, że firma Microsoft nie może uzyskać dostępu do chronionej zawartości bez klucza klienta, a zawartość nie jest dostępna dla Microsoft 365 Copilot.

Jeśli masz dane zaszyfrowane przez usługę Microsoft Purview Information Protection, rozwiązanie Microsoft 365 Copilot przestrzega praw użycia przyznanych użytkownikowi. Szyfrowanie może być stosowane za pomocą etykiet poufności lub ograniczonych uprawnień w aplikacjach na platformie Microsoft 365 przy użyciu usługi Information Rights Management (IRM).

Aby uzyskać więcej informacji na temat korzystania z usługi Purview z Microsoft 365 Copilot, zobacz Zabezpieczenia danych i zgodność usługi Microsoft Purview dla generowanych aplikacji sztucznej inteligencji.

Ład między chmurami dla obciążeń sztucznej inteligencji

Usługa Microsoft Purview ułatwia zarządzanie sztuczną inteligencją w środowiskach hybrydowych i wielochmurowych, takich jak Azure, AWS i Google Cloud. Jeśli masz Microsoft Security Copilot, uzyskasz więcej szczegółowych informacji o sztucznej inteligencji i możliwości wykrywania zagrożeń.

  • Usługa Purview umożliwia spójną klasyfikację danych, etykietowanie i wymuszanie zasad w chmurach z wglądem w przepływ danych do modeli i wtyczek sztucznej inteligencji.
  • Security Copilot wykrywa zagrożenia związane ze sztuczną inteligencją na różnych platformach, koreluje zagrożenia i prezentuje szczegółowe informacje o kondycji z zarządzania stanem zabezpieczeń w chmurze.

Integracja i wymuszanie zasad

Microsoft 365 Copilot jest częścią programu zgodności przedsiębiorstwa firmy Microsoft i korzysta z szeregu certyfikatów i ocen. Te standardy obejmują (ale nie są ograniczone do):

  • FedRAMP
  • HiTrust
  • SOC 2, typ 1
  • ISO/IEC 27001, 27701, 22301, 27018 i 42001

Tożsamość Microsoft Entra, Microsoft Purview i Microsoft 365 dla firm wymuszają dostęp warunkowy, etykiety poufności i bariery informacyjne.

Aby uzyskać więcej informacji, zapoznaj się z następującymi zasobami:

Zabezpieczanie danych dla Microsoft 365 Copilot

Zabezpieczanie danych dla narzędzi sztucznej inteligencji, takich jak Microsoft 365 Copilot, jest wspólną odpowiedzialnością. Oprócz tego, co firma Microsoft robi w celu zabezpieczenia Microsoft 365 Copilot, istnieją pewne zadania, które organizacja musi wykonać, aby zarządzać danymi i zapewnić bezpieczne korzystanie ze sztucznej inteligencji. Zobacz model wspólnej odpowiedzialności za sztuczną inteligencję.

Dowiedz się więcej o narzędziach i możliwościach usługi Microsoft Purview

Usługa Microsoft Purview udostępnia narzędzia ułatwiające zabezpieczanie i zarządzanie danymi do użycia w narzędziach Microsoft 365 Copilot i sztucznej inteligencji. Zobacz następujące artykuły:

Uwaga

Security Copilot to rozwiązanie zabezpieczeń oparte na sztucznej inteligencji, które zapewnia pomoc w czasie rzeczywistym w wykrywaniu zagrożeń, reagowaniu na zdarzenia i ocenie ryzyka. W najbliższych miesiącach Security Copilot zostaną uwzględnione w Microsoft 365 E5. W miarę jak agentyczna sztuczna inteligencja jest częścią codziennych przepływów pracy, możesz użyć Security Copilot do zarządzania agentami i zabezpieczeniami w całej organizacji. Dowiedz się więcej o dołączaniu Security Copilot do subskrypcji Microsoft 365 E5.

Pobieranie modeli i przewodników wdrażania opartych na scenariuszach

Pobierz i przejrzyj nasze oparte na scenariuszach modele wdrażania, prezentacje i przewodniki. Te zasoby opisują, jak szybko zaimplementować konfigurację zabezpieczoną domyślnie, rozwiązać problemy związane z nadmiernym udostępnianiem i zapobiec wyciekowi danych w tle sztucznej inteligencji. Zobacz Uwagi z inżynierii: Modele wdrażania usługi Microsoft Purview.

Pulpit nawigacyjny zabezpieczeń

Microsoft 365 Copilot obejmuje wbudowane mechanizmy kontroli zabezpieczeń z usługi Microsoft Purview. Pulpit nawigacyjny zabezpieczeń rozwiązania Copilot zapewnia więcej szczegółowych informacji i kontrolek, które ułatwiają:

Aby wyświetlić pulpit nawigacyjny w Centrum administracyjne platformy Microsoft 365, wybierz pozycję Copilot Overview Security (Zabezpieczenia omówienia>rozwiązania Copilot>). Aby wyświetlić sekcję Zabezpieczenia , potrzebna jest rola Czytelnik globalny . Aby wprowadzić zmiany, wymagana jest rola administratora sztucznej inteligencji.

Zobacz też

  • Last updated on