當您實作 Microsoft 365 Copilot 和代理程式時，您可能會面臨與安全性、合規性、隱私權和治理相關的新且放大的風險。 此安全性和治理架構可協助您在下列元件中減輕這些問題：
- Microsoft 365 Copilot
- Microsoft 365 Copilot Chat
- Microsoft 365 預先建置代理程式
- 在 Microsoft Copilot Studio 中建立並發佈至 Microsoft 365 頻道的專員
本文參考 基礎 和 優化 的控制項。 一般來說，這些術語是指以下產品和服務：
基礎：具有 A3/E3/G3 授權的 Microsoft 365 系統管理中心、SharePoint 進階管理和 Microsoft Purview 中的安全性和治理控制。
最佳化：具有 A5/E5/G5 授權的 Microsoft Purview 和 Microsoft Defender for Cloud Apps 中的控制項。
Copilot 控制系統的安全性和治理支柱著重於下列關鍵功能：
- 資料安全性
- AI 安全
- 合規性和隱私
資料安全性
首先，保護您組織的資訊。 視您目前的授權而定，請使用 Microsoft Purview 和 SharePoint 進階管理來評估過度共用風險。 您也可以使用 Microsoft Purview 來取得原則建議，並採取更正動作。 這些動作可協助您確信敏感性資料仍受到保護，且存取權僅限於需要它的使用者，包括 Copilot 和代理程式。
基礎資料安全性和治理控制
在具有 A3/E3/G3 授權的 SharePoint 進階管理和 Microsoft Purview 中，您可以取得下列基礎資料安全性和治理控制：
識別所有 Microsoft 365 中可能過度共用的資料。 定期執行下列報告：
- SharePoint 網站的資料存取控管報告 可讓您識別網站的過度共用資料。 您也可以將網站存取檢閱傳送給過度共用網站的擁有者。
視需要移除組織範圍的網站存取權。
使用 SharePoint 手動設定此存取權，或使用 Windows PowerShell 自動化設定。 如需詳細資訊，請參閱 使用 Microsoft 365 群組 和 Microsoft Entra 安全性群組限制 SharePoint 網站存取。
若要在補救風險時限制使用者、Copilot 和代理程式對過度共用網站的存取，請使用 SharePoint 受限內容探索 或 SharePoint 受限存取控制。
使用 Microsoft Purview 資訊保護 網站敏感度標籤。 如需詳細資訊，請參閱 搭配 Microsoft Teams、Microsoft 365 群組和 SharePoint 網站使用敏感度標籤。
透過封存或刪除不需要的內容來改善 Copilot 和客服專員的回應。
若要識別和管理非作用中或無擁有者的 SharePoint 網站，然後封存或刪除它們，請使用 SharePoint 網站生命週期管理。
使用 Microsoft Purview 資料生命週期管理來識別和刪除您不需要的檔案。
在具有 A3/E3/G3 授權的 Microsoft Purview 中，您可以取得下列基本數據安全性控制：
當發生新的過度共用時，取得補救選項的通知。 如需詳細資訊，請參閱 Microsoft Purview 資料外洩防護。
透過檔案層級存取控制保護敏感資料。 如需詳細資訊，請參閱 使用 Microsoft Purview 資訊保護敏感度標籤套用加密。
檢視 Copilot 和客服專員互動中參考的敏感資料和未受保護檔案的報告。 如需詳細資訊，請參閱 Microsoft Purview 資料安全性態勢管理 (DSPM) for AI 中的報告。
針對下列控制項使用 Microsoft Purview 資訊保護敏感度標籤：
偵測內容何時包含敏感性資料，並要求使用者 手動 套用保護措施。
即使使用者移動或下載檔案，也能保護檔案。
優化的數據安全控制
在具有 A5/E5/G5 授權的 Microsoft Purview 中，您會取得下列最佳化的數據安全性控制項：
使用適用於 AI 的 Microsoft Purview 資料安全性狀態管理 (DSPM) 來進行下列控制項：
建立以特定 Microsoft 365 位置為目標的數據風險評估，例如 SharePoint 網站和 OneDrive。
接收政策建議並採取行動，以降低您特定的過度共享風險。
若要偵測內容何時包含敏感性資料並自動套用保護，請使用 Microsoft Purview 資訊保護敏感度標籤。
使用 Microsoft Purview 內部風險管理 進行下列控制項：
收到偏離其通常行為模式的危險使用者動作的警示。 如需詳細資訊，請參閱 測試人員風險管理原則範本。
關聯和排序風險警示，以識別使用者的高嚴重性風險模式。 如需詳細資訊，請參閱 序列偵測的測試人員風險管理原則。
根據使用者的風險模式，自動將使用者新增至更嚴格的安全原則。 如需詳細資訊，請參閱 測試人員風險管理的調適型保護。
AI 安全
您還需要保護人工智慧驅動的工具及其相關資料免受不斷變化的威脅。 Copilot 控制系統提供監控、偵測和回應 AI 相關風險的控制。 例如，過度共用敏感資訊、異常使用者行為以及濫用生成式 AI 功能。 使用這些控制來確保 AI 整合保持安全、合規且能夠抵禦內部和外部威脅。
基礎 AI 安全控制
Copilot 已經包含針對基於人工智慧的攻擊的內建保護。 這些保護措施包括但不限於下列保護措施：
在具有 A3/E3/G3 授權的 Microsoft Purview 中，您可以取得下列基礎 AI 安全性控制：
若要檢視提示和回應文字以及參考檔案，請使用 Microsoft Purview 電子文件探索 搜尋和匯出。
針對 Copilot 和代理程式所建立的 Copilot 和代理程式回應和檔，以繼承敏感度標籤和保護，請使用 Microsoft Purview 資訊保護敏感度標籤。
優化的 AI 安全控制
在具有 A5/E5/G5 授權的 Microsoft Purview 中，您可以取得下列最佳化的 AI 安全性控制：
若要防止 Copilot 和代理程式處理某些敏感性檔案，並在回應中使用它們，請針對 Microsoft 365 Copilot 和代理程式使用 Microsoft Purview 資料外洩防護。
若要收到有風險的 AI 使用警示，例如嘗試提示插入式攻擊或使用敏感性數據，請使用 Microsoft Purview 內部風險管理。
若要封鎖高風險使用者使用 Copilot 和代理程式存取敏感性內容，請使用 調適型保護進行內部風險管理。
若要檢視提示和回應文字，在基礎期間使用的任何 Web 查詢，以及參考的檔案都會使用 Microsoft Purview 適用於 AI 的資料安全性態勢管理中的活動總管。
合規性和隱私
Copilot 控制系統中安全性和治理的第三個方面是確保您可以監控、審核和管理 Copilot 和客服專員互動如何遵守法規和內部標準。 使用 Microsoft Purview 來全面監督 Copilot 活動。 透過這些控制項，您可以在部署和使用 Microsoft 365 Copilot 和代理程式時保護敏感性資訊、維護隱私權，並示範法規合規性。
基礎合規性和隱私控制
在具有 A3/E3/G3 授權的 Microsoft Purview 中，您會取得下列基本合規性和隱私權控制：
若要稽核 Copilot 和代理程式互動，請使用 Microsoft Purview 稽核 Copilot 和 AI 應用程式存取詳細的記錄資訊。
若要強制執行下列功能的保留和刪除原則，請使用 Microsoft Purview 資料生命週期管理：
Microsoft 365 Copilot 和客服專員互動
Microsoft Teams 會議錄製檔和文字記錄
將Microsoft Purview 電子文件探索用於下列控制項：
在法律保留中包含使用者的 Copilot 和客服專員提示和回應。 如需詳細資訊，請參閱 保留和保留原則。
搜尋訴訟或調查，並包含 Copilot 和代理程式產生的內容。
優化的合規性和隱私控制
在具有 A5/E5/G5 授權的 Microsoft Purview 中，您可以取得下列最佳化的合規性和隱私權控制：
若要在可能發生合規性或道德違規時接收警示，然後開始調查，請使用 Microsoft Purview 通訊合規性。
若要評估和追蹤法規架構的遵守情況，請使用 Microsoft Purview 合規性管理員。
零信任
Microsoft 提供在組織中實作零信任原則的詳細檔，以及 Microsoft 365 Copilot 和 Copilot Chat 的特定考慮。 零信任不是產品或服務，而是設計和實作下列一組安全性原則的方法：
- 明確驗證
- 使用最低權限存取權
- 假設有安全性缺口
如需詳細資訊，請參閱 使用零信任安全性來準備 Copilot。