Latest / M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano / Microsoft 365 Copilot sta esponendo i tuoi dati? Come proteggerlo con permessi Graph, DLP e Purview (Doppiaggio IA)

Transcript

Microsoft 365 Copilot sta esponendo i tuoi dati? Come proteggerlo con permessi Graph, DLP e Purview (Doppiaggio IA) · M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano

0:00
Pronto per dieci giorni di Microsoft 365, Copilot, IA, Azzur e le persone che stanno plasmando il futuro del lavoro?
0:07
Questo gennaio M365 contorna e sarà ancora più grande. Unisciti a noi per sessioni dal vivo, demo reali e conoscenze pratiche da MVP ed esperti del settore da tutto il mondo.
0:18
Niente slide generiche, niente gergo infinito. Affronteremo le sfide reali.
0:23
Copilot Studio, agenti IA, Fabric, Sicurezza, Governance e Automazione e Automazione.
0:29
Che tu sia un professionista IT, uno sviluppatore o un leader aziendale, ci sono sessioni pensate per te.
0:35
Con dieci giorni interi potrai esplorare molteplici tecnologie e connetterti con una community globale.
0:41
Segui in diretta e porta intuizioni pratiche nella tua organizzazione.
0:45
Gennaio 2027, dieci giorni, un'unica community Microsoft. Le iscrizioni sono aperte.
0:51
Vai su m365con.net e assicurati il tuo posto oggi stesso.
0:55
Il sito è m365con.net
0:58
Scriviti ora su m365con.net e ci vediamo in diretta.
1:03
A gennaio...
1:05
Se pensi che Copilot mostri solo ciò che hai già il permesso di vedere, ripensaci.
1:09
Una autorizzazione graffa errata e improvvisamente la tua IA può far emergere dati che il tuo team di compliance non ha mai approvato.
1:14
La parte spaventosa è che potresti non renderti mai conto di ciò che sta accadendo.
1:16
In questo video analizzerò i rischi reali in accesso non gestito a Copilot, come file sensibili, fogli di calcolo finanziari e dati riservati dei clienti possano trapelare.
1:25
Poi ti mostrerò come blindarlo usando le autorizzazioni graff, le policy di LP e Purview senza bloccare la produttività di chi ha realmente bisogno di accedere.
1:32
Quando Copilot sa troppo, un dipendente junior chiede a Copilot appunti sulla revisione del progetto dello scorso trimestre
1:40
e ciò che riceve non è un riassunto ordinato della propria riunione, ma i verbali dettagliati di una sessione riservata del consiglio.
1:46
Incluse decisioni strategiche, tagli al budget e nomi che non avrebbero mai dovuto raggiungere la sua casella di posta.
1:52
Nessun avviso di violazione scattato, nessun avvertimento di LP, solo un IA che consegna silenziosamente un documento che non avrebbe mai dovuto toccare.
1:58
Questo accade perché Copilot non si ferma magicamente alla casella postale o alla cartella OneDrive di un utente.
2:02
La sua portata è dettata dalle autorizzazioni che gli sono state concesse tramite Microsoft Graph.
2:08
E Graph non è solo un database, è il punto centrale di accesso a quasi ogni contenuto in Microsoft 365, SharePoint, messaggi di Teams, eventi del calendario, OneNote, dati CRM collegati al tenant.
2:20
Tutto passa attraverso Graph se la porta giusta è sbloccata.
2:23
Questa è la parte che molti amministratori trascurano.
2:25
C'è l'ipotesi comune che se sono connesso come me stesso Copilot vedrà solo ciò che posso vedere io.
2:30
Sembra ragionevole?
2:30
Il problema è che Copilot spesso viene eseguito con un set separato di autorizzazioni applicative.
2:36
Se tali autorizzazioni sono più ampie dei diritti dell'utente connesso, si ottiene un assistente IA in grado di accedere a molto più dell'utente alla tastiera.
2:45
In alcune distribuzioni questi privilegi elevati vengono concessi senza che nessuno si chieda il perché.
2:49
Immaginiamo una lista finanziaria che lavora a una previsione trimestrale.
2:54
Chiede a Copilot i dati attuali della pipeline per i primi 20 account.
2:58
Nel suo ruolo abituale dovrebbe vedere solo le cifre relative a un sottoinsieme di clienti.
3:02
Ma grazie a come graph è stato limitato nella registrazione dell'app di Copilot,
3:06
l'IA estrae l'intero report della pipeline di vendita da un sito di team condiviso a cui l'analista non ha mai avuto accesso diretto.
3:13
Dal punto di vista dell'utente finale non c'è nulla di sospetto.
3:16
Ma dal punto di vista della sicurezza e della conformità si tratta di un'esposizione ai dati sensibili.
3:19
Le autorizzazioni dell'APGraph sono di fatto la porta d'accesso ai dati della vostra organizzazione.
3:24
Microsoft le divide in autorizzazioni delegate, che agiscono per conto di un utente connesso,
3:28
e autorizzazioni dell'applicazione, che consentono un'app di operare in modo indipendente.
3:33
Gli scenari di Copilot richiedono spesso autorizzazioni delegate per il recupero dei contenuti,
3:37
ma alcune funzionalità, come riassumere una riunione Teams a cui l'utente non ha partecipato,
3:40
possono spingere ad approvare autorizzazioni agli amministratori e ad approvare autorizzazioni a livello di applicazione.
3:45
Ed è qui che si insinua il pericolo.
3:47
Le autorizzazioni dell'applicazione ignorano le restrizioni dei singoli utenti,
3:50
a meno che non vengano delimitate deliberatamente.
3:52
Queste approvazioni avvengono spesso all'inizio di un rollout,
3:55
e un amministratore IT che testa Copilot in un tenente di sviluppo potrebbe cliccare su Accetta,
3:59
ma richiesta di autorizzazione solo per completare la configurazione,
4:02
per poi replicare tale impostazione in produzione senza valutarne le implicazioni.
4:06
Una volta attive queste ampie autorizzazioni rimangono tali finché qualcuno non le controlla attivamente.
4:12
Nel tempo, man mano che nuove fonti di dati si collegano a M365,
4:15
la portata di Copilot si espande senza alcuna decisione consapevole.
4:19
È un permission clip silenzioso, niente drammi, niente lamentere degli utenti,
4:22
solo un graduale ampliamento dell'ambito dell'IA.
4:25
La sfida è che la maggior parte dei team di sicurezza non conosce bene quali funzionalità di Copilot
4:29
richiedono quale livello di accesso a Graph.
4:32
Potrebbero vedere leggi tutti i file in SharePoint e presumere che sia limitato dal contesto dell'utente,
4:36
non rendendosi conto che l'autorizzazione è a livello di intero tenant per l'applicazione.
4:40
Senza mappare specifici scenari di IA con le autorizzazioni minime necessarie,
4:45
si finisce per accettare per impostazione predefinita ciò che è stato approvato nella configurazione iniziale.
4:50
I più ampi sono tali diritti maggiore il potenziale di vario tra il comportamento atteso e quello effettivo.
4:57
Vale anche la pena ricordare che l'output di Copilot non include una traccia delle autorizzazioni visibili all'utente.
5:02
Se l'IA recupera contenuti da una posizione in cui all'utente sarebbe normalmente impedito l'accesso,
5:08
non appare alcun banner di avviso che indichi che si tratta di un contenuto fuori dalla sua portata.
5:13
Questa mancanza di trasparenza rende più facile che esposizioni rischiose si mescoli nei flussi di lavoro quotidiani.
5:18
Il punto fondamentale è che le autorizzazioni Graph per le distribuzioni IA
5:21
non sono solo un'altra casella da spuntare nel processo di onboard.
5:23
Sono una scelta progettuale che modella ogni interazione che Copilot avrà sulla vostra rete.
5:27
Trattali come faresti con le regole del firewall o gli ambiti di accesso VPN in modo deliberato,
5:33
revisionato e periodicamente riconvalidato.
5:35
Le impostazioni predefinite possono farti partire velocemente ma danno anche per scontato
5:39
che ti vada bene che l'IA lanci una rete molto più ampia rispetto all'utente umano.
5:43
Ora che abbiamo visto quanto facilmente l'ambito possa deviare,
5:45
la domanda successiva è come trovare queste lacune prima che diventino un incidente a tutti gli effetti.
5:50
Trovare le perdite prima che si verifichi.
5:52
Se Copilot stesse già facendo emergere dati che non dovrebbe, te ne accorgeresti?
5:55
Per la maggior parte delle organizzazioni la risposta onesta è no.
5:58
Non è che le informazioni verrebbero pubblicate su un sito pubblico o inviate a una mailing list.
6:02
Oh!
6:03
La perdita potrebbe apparire silenziosamente all'interno di una bozza di documento,
6:07
un riepilogo o una risposta generata dall'IA.
6:10
E a meno che qualcuno non noti qualcosa di insolito,
6:12
passa inosservata senza far scattare allarmi.
6:15
Il problema della visibilità inizia dal modo in cui sono costruiti i sistemi di monitoraggio.
6:19
Sono ottimizzati per attività tradizionali, download di file,
6:21
posizioni di accesso insolite, invii massivi di email,
6:24
non per il modo in cui un'IA recupera e compila le informazioni.
6:29
Copilot non apre i file nel senso tradizionale.
6:31
Interroga le fonti di dati tramite Microsoft Graph, compila i risultati
6:35
e li presenta come testo in linguaggio naturale.
6:38
Ciò significa che i report standard di accesso ai file possono sembrare puliti
6:41
mentre l'IA attinge comunque da posizioni sensibili in background.
6:46
Ho visto situazioni in cui un'azienda si è resa conto
6:48
che qualcosa non andava solo perché un dipendente
6:49
ha menzionato casualmente il nome di un cliente e non di competenza del suo dipartimento.
6:54
Quando il manager ha chiesto come facesse a saperlo,
6:56
la risposta è stata Copilot ha incluso nella mia bozza.
6:58
Non c'era alcun ticket incidente e nessun avviso automatizzato,
7:01
solo un commento casuale che ha spinto l'IT a indagare.
7:04
Quando hanno ricostruito l'accaduto,
7:06
quelle stesse risposte dell'IA erano già state condivise tra diversi team.
7:10
Microsoft 365 fornisce gli strumenti per indagare su questi tipi di scenari,
7:14
ma deve sapere dove cercare.
7:15
La funzione di Audit di Perview può registrare in dettaglio l'accesso ai dati di Copilot,
7:20
solo che non è contrassegnata da un grande badge IA lampeggiante.
7:24
Una volta nella ricerca del log di Audit,
7:25
puoi filtrare per le operazioni specifiche che usa Copilot,
7:28
come query di ricerca eseguita o file consultato,
7:31
e restringere il campo tramite l'ID applicazione legata alla tua distribuzione di Copilot.
7:36
Richiede un po' di preparazione.
7:37
Dovrai confermare i dettagli di registrazione dell'app in EntraID
7:40
per poter identificare il traffico.
7:41
Da lì si tratta di individuare degli schemi.
7:44
Se vedi un volume elevato di query di account
7:45
che solitamente hanno poche esigenze di dati,
7:47
come l'account di uno stagista che esegue 10 ricerche complesse in un'ora,
7:50
vale la pena controllare.
7:51
Vale la pena controllare.
7:53
Lo stesso vale per picchi improvvisi di contenuti etichettati
7:55
come riservati che appaiono in dipartimenti che non le gestiscono.
7:58
Perview può segnalare l'attività di etichettatura,
8:00
quindi se una query di Copilot richiama un documento etichettato,
8:03
lo vedrà in il log,
8:04
anche se l'IA non ha riportato il testo completo.
8:08
Le revisioni degli accessi basate sui ruoli sono un altro modo per unire punti.
8:12
Mappando chi usa effettivamente Copilot
8:14
e incrociando i dati con cui interagiscono,
8:16
può individuare precocemente potenziali incongruenze.
8:19
Forse il reparto finanziario usa intensamente Copilot per i report,
8:22
il che ha senso, ma perché diversi account marketing
8:24
accedono ai fogli paga tramite query AIA?
8:27
Quelle revisioni offrono un quadro più ampio
8:29
rispetto ai singoli eventi nella traccia di controllo.
8:32
Il problema è che i dashboard di monitoraggio generici
8:34
non sono molto utili in questo caso.
8:36
Aggregano ogni attività di M365 in ampie categorie,
8:39
il che può far confondere i comportamenti specifici dell'IA
8:42
con le operazioni normali.
8:45
Senza creare filtri o report personalizzati
8:47
incentrati sull'ID dell'app Copilot e sui modelli di utilizzo,
8:50
è come cercare granelli di sabbia in una spiaggia intera di dati.
8:55
Ti serve una visibilità mirata, non solo più visibilità.
8:58
Non si tratta di creare una cultura della sorveglianza,
9:00
ma di sapere con certezza cosa sta realmente richiamando la tua IA.
9:03
Un approccio di registrazione corretto risponde a tre domande critique.
9:06
Cosa ha recuperato Copilot? Chi l'ha attivato?
9:08
E quell'azione era in linea con le tue attuali politiche di sicurezza e conformità.
9:12
Queste risposte ti consentono di risolvere i problemi con precisione,
9:15
che si tratti di regolare un'autorizzazione,
9:17
affinare una regola di LP o restringere le assegnazioni dei ruoli.
9:21
Senza questa chiarezza sei costretto a dire a indovinare,
9:23
e ti da indovinare non è una strategia di sicurezza.
9:26
Quindi invece di aspettare che un commento casuale ti metta in guardia,
9:29
vale la pena investire tempo per strutturare il monitoraggio
9:32
in modo che l'impronta di Copilot sia visibile e tracciabile.
9:36
In questo modo ogni segnale di sovraesposizione dei dati diventa un evento gestito,
9:40
non una sorpresa.
9:42
Sapere dove sono le perdite è solo il primo passo.
9:45
L'obiettivo reale è assicurarsi che non possono più accadere,
9:47
ed è qui che entrano in gioco le giuste misure di protezione.
9:50
Misure di protezione che funzionano davvero.
9:52
La DLP non serve solo a intercettare i miei contenenti numeri di carte di credito.
9:55
Nel contesto di Copilot può fungere d'allarme per impedire che i dati sensibili
10:00
finiscano in una risposta generata dall'IEE che viene poi incollata in una chat di Teams
10:04
o esportata in un documento che lascia il tuo tenant.
10:08
Si tratta sempre dello stesso strumento di base in Microsoft 365,
10:12
ma il modo in cui lo configuri per gli scenari di IA richiede una mentalità diversa.
10:16
Il divario sta nel fatto che le politiche DLP della maggior parte delle organizzazioni
10:20
sono ancora scritte pensando a trigger tradizionali,
10:23
allegati mail, download di file su unità USB,
10:25
copia di dati in app non approvate, copia di dati in app non approvate.
10:29
Copilot non attiva quelle regole per impostazione predefinita
10:31
perché non sta inviando file, sta generando contenuti al volo.
10:35
Se chiedi a Copilot l'elenco completo dei clienti contrassegnati come riservati
10:39
e lui lo recupera da un documento etichettato,
10:41
l'output può circolare senza mai attivare una condizione DLP tradizionale.
10:47
Ecco perché i prompt e le risposte degli IA
10:49
devono essere inclusi esplicitamente nell'ambito della tua DLP.
10:53
Un esempio pratico, supponiamo che la tua policy
10:55
vieti l'esportazione di determinati contratti fuori dal tuo ambiente sicuro.
11:00
Un utente potrebbe chiedere a Copilot di estrarre le clausole chiave
11:03
e inserirle in una presentazione PowerPoint.
11:05
Se le tue regole DLP non monitorano i contenuti generati dall'IA,
11:07
quel materiale sensibile si troverà ora in un file non protetto.
11:12
Estendendo l'ispezione DLP all'output di Copilot
11:14
può impedire che quel PowerPoint venga salvato in una posizione non gestita.
11:19
o condiviso con un ospite esterno in Teams.
11:23
Configurare tutto ciò in Microsoft ci sono un ceno complicato,
11:25
ma richiede un processo accurato.
11:27
Per prima cosa, nel portale di conformità Microsoft Preview
11:30
vai alla sezione per la prevenzione della perdita di dati
11:32
e crea una nuova policy.
11:34
Quando scegli le posizioni a cui applicarla,
11:36
includi Exchange, SharePoint, OneDrive e, cosa importante, Teams,
11:39
poiché Copilot può fare emergere dati in ognuno di essi.
11:43
Successivamente definisci le condizioni.
11:44
Puoi puntare a tipi di informazioni sensibili predefiniti
11:47
come i codici di conti finanziari
11:49
o crearne dei personalizzati per rilevare i tuoi codici di progetto interni.
11:53
E se utilizzi le etichette di riservatezza in modo coerente,
11:55
puoi anche impostare l'attivazione della condizione
11:57
quando il contenuto etichettato appare nell'output finale di un file salvato o condiviso.
12:03
Infine, configura le azioni.
12:05
Blocca la condivisione,
12:06
mostra un suggerimento di policy all'utente
12:07
o richiede una giustificazione per procedere.
12:10
Le etichette di riservatezza stesse sono una parte fondamentale
12:12
per far funzionare il tutto.
12:14
Nel contesto dell'IA,
12:15
l'etichetta è un metadato che Copilot può leggere esattamente
12:17
come qualsiasi altro servizio a metri 65.
12:21
Se un documento altamente riservato
12:23
ha un'etichetta che ne limita l'accesso e l'uso,
12:24
Copilot rispetterà tali restrizioni
12:26
nel generare risposte
12:28
a condizione che le impostazioni di protezione delle etichette
12:30
siano applicate uniformemente tra le app coinvolte.
12:34
Se l'IA tenta di utilizzare contenuti
12:36
con un'etichetta al di fuori dell'ambito consentito,
12:38
la policy DLP collegata a tale etichetta
12:40
può impedire l'azione o segnalarla per una revisione.
12:43
Senza questo collegamento,
12:44
l'etichetta è solo una decorazione
12:45
dal punto di vista della conformità.
12:48
Una delle configurazioni errate più comuni
12:49
in cui mi imbatto è lasciare le policy DLP
12:51
totalmente inconsapevoli degli scenari basati sull'IA.
12:54
Le regole esistono,
12:55
ma non c'è alcun collegamento all'output di Copilot
12:57
perché gli amministratori
12:57
non lo hanno considerato un canale separato.
13:00
Ciò crea un punto cieco
13:01
in cui i termini sensibili
13:02
in una risposta generata
13:03
non vengono ispezionati,
13:04
anche se lo stesso testo in un'email
13:06
sarebbe stato bloccato.
13:08
Ma per risolvere il problema
13:09
devi considerare i flussi di lavoro
13:10
assistiti dall'IA
13:11
come una delle tue posizioni DLP
13:13
e monitorarli insieme a tutto il resto.
13:16
Quando la DLP e le etichette di sensibilità
13:18
sono configurate correttamente integrate tra loro,
13:21
Copilot può essere utile
13:22
senza diventare un problema di conformità.
13:25
Puoi lasciare che rediga report,
13:26
riassuma documenti e analizzi set di dati
13:28
applicando silenziosamente
13:29
gli stessi limiti
13:30
che applichieresti a un email
13:32
o a un messaggio Teams.
13:34
Gli utenti ottengono i vantaggi
13:35
dell'assistenza AI
13:36
e le protezioni impediscono
13:37
la fuoriuscita di informazioni
13:38
ad alto rischio.
13:39
Vantaggio qui non riguarda solo
13:41
la prevenzione di una condivisione
13:42
occidentale eccessiva.
13:43
Si tratta di consentire alla tecnologia
13:44
di operare all'interno di regole chiare.
13:47
In questo modo non dovrai ricorrere
13:48
a restrizioni generalizzate
13:49
che frustrano i team
13:50
e bloccano l'adozione.
13:52
Puoi calibrare i controlli,
13:53
il marketing può fare brainstorming
13:55
con Copilot,
13:56
la finanza eseguire analisi
13:57
e le risorse umane
13:58
generare guide per l'onboarding
13:59
ognuno,
14:00
nelle proprie zone consentite.
14:03
Tuttavia controllare l'output
14:04
è solo una parte del puzzle.
14:06
Per ridurre pienamente il rischio
14:08
devi anche decidere
14:08
chi ha accesso
14:09
a quali funzionalità di AI
14:10
fin dall'inizio.
14:13
Un unico modello di accesso
14:14
non va bene per tutti.
14:15
Uno stagista del marketing
14:16
e un CFO
14:17
dovrebbero davvero avere
14:18
gli stessi privilegi
14:19
su Copilot?
14:20
L'idea sembra assurda dirsi
14:22
ma in molti tenant
14:23
è esattamente così
14:24
che è configurato.
14:26
Copilot viene attivato
14:26
per tutti con le stesse autorizzazioni
14:28
perché è più rapido
14:29
e semplice
14:29
che gestire configurazioni
14:30
specifiche per ruolo.
14:32
Il lato negativo
14:33
è che l'accesso dell'AI
14:34
rispecchia lo scenario
14:35
più aperto possibile
14:36
non le esigenze
14:37
di ciascun ruolo.
14:38
È qui che entrano in gioco
14:39
i gruppi di accesso
14:40
a Copilot basati su ruolo.
14:41
Invece di trattare
14:42
un utente come intercambiabile
14:43
allinea le funzionalità
14:44
dell'AI
14:45
alle informazioni
14:45
e ai flussi di lavoro
14:46
effettivamente richiesti
14:47
dai ruoli specifici.
14:49
Il marketing potrebbe
14:50
aver bisogno
14:50
di accedere ad asset
14:51
di campagna
14:52
e linee guida
14:52
del brand
14:53
ma non a modelli
14:54
finanziari grezzi.
14:58
Ma non di roadmap
14:59
di prodotto
14:59
nelle fasi iniziali.
15:01
L'obiettivo non è
15:02
rendere Copilot
15:02
meno utile
15:03
è mantenere il suo ambito
15:04
pertinente
15:05
al lavoro di ogni persona.
15:07
I rischi di un'abilitazione
15:08
universale sono più grandi
15:08
di quanto la maggior parte
15:09
di team si aspetta.
15:10
Copilot funziona
15:11
attingendo i dati
15:12
già presenti
15:13
nel tuo ambiente
15:13
Microsoft 365
15:14
ma se tutto il personale
15:17
ha lo stesso accesso
15:17
all'AI
15:18
la tecnologia
15:18
può superare i silos
15:19
che è deliberatamente
15:20
mantenuto.
15:23
È così che ti ritrovi
15:23
con assistenti HR
15:24
che inciampano
15:25
in analisi dei ricavi
15:26
o un responsabile
15:27
operativo
15:28
che chiede a Copilot
15:29
il piano di rilascio
15:29
del prodotto
15:30
per l'anno prossimo
15:31
ottenendo dettagli
15:32
di design
15:32
non ancora definitivi.
15:34
Nulla di tutto ciò
15:35
sembra una violazione
15:35
sul momento
15:36
ma l'esposizione è reale.
15:38
Ottimizzare il modello
15:39
di accesso
15:40
inizia con la mappatura
15:40
delle funzioni lavorative
15:41
rispetto alle esigenze
15:42
di dati
15:43
e non solo
15:43
le applicazioni usate
15:44
ma la profondità
15:44
e la sensibilità
15:45
dei dati trattati
15:46
quotidianamente.
15:49
Potresti scoprire
15:49
che il 70%
15:50
delle richieste
15:51
del tuo team di vendita
15:51
Copilot
15:52
riguarda lo storico
15:52
dei clienti
15:53
mentre meno del 5%
15:54
a file contrattuali
15:55
ad alta sensibilità.
15:57
Ciò suggerisce
15:58
che puoi mantenere
15:59
in sicurezza
15:59
gran parte
15:59
dell'uso dell'IA
16:00
all'interno
16:00
di determinate
16:01
librerie SharePoint
16:02
bloccando il resto.
16:04
Esegui questi esercizi
16:04
in ogni reparto
16:05
e inizieranno
16:05
degli schemi.
16:07
Una volta capito
16:07
cosa deve avere
16:08
ogni gruppo
16:08
Microsoft Entra ID
16:09
che molti chiamano
16:10
ancora Azure ID
16:11
diventa il tuo strumento
16:12
di imposizione.
16:14
Crei gruppi di sicurezza
16:15
che corrispondono
16:15
alle definizioni
16:16
dei ruoli
16:17
e poi assegni
16:17
l'autorizzazione
16:18
di Copilot
16:18
a livello di gruppo.
16:20
Ciò potrebbe significare
16:21
abilitare
16:21
determinati ambiti
16:22
dell'APGraph
16:23
solo per i membri
16:24
del gruppo Copilot
16:24
Finanza
16:25
mentre il gruppo
16:25
Copilot Marketing
16:26
ne harrà un set diverso.
16:29
L'accesso a siti sensibili
16:30
canali Teams
16:31
o specifiche cartelle
16:32
OneDrive
16:32
può seguire lo stesso modello.
16:34
Il punto di forza
16:35
di questo approccio
16:36
sta nella sua combinazione
16:37
con i controlli
16:37
che abbiamo già esaminato.
16:39
Le autorizzazioni Graph
16:40
definiscono i confini esterni
16:41
di ciò che Copilot
16:42
può tecnicamente raggiungere.
16:44
Le policy DLP
16:45
monitorano l'output
16:46
dell'IA
16:46
alla ricerca
16:47
di contenuti sensibili.
16:48
I gruppi basati
16:49
sui ruoli
16:50
si posizionano nel mezzo
16:51
assicurando
16:51
che le autorizzazioni Graph
16:52
non siano troppo ampie
16:53
per i ruoli meno sensibili
16:55
e che il DLP
16:56
non finisca
16:56
per rilevare elementi
16:57
che avresti potuto prevenire
16:59
limitando le fonti di input.
17:02
Ma come ogni sistema
17:03
può essere portato all'eccesso?
17:05
È tentante creare
17:05
un microgruppo
17:06
per ogni scenario?
17:08
Analista finanziario
17:09
Copilot
17:09
con permessi di reportistica
17:10
o stagista marketing
17:11
senza accesso a Teams
17:12
finendo
17:12
per avere decine di varianti.
17:15
Quel livello di granularità
17:16
potrebbe sembrare preciso
17:17
sulla carta
17:18
ma nell'ambiente reale
17:19
è un incubo di manutenzione.
17:20
Gli utenti cambiano ruolo
17:21
i progetti mutano
17:22
i collaboratori
17:23
vanno e vengono.
17:24
Se il modello a gruppi
17:25
è troppo rigido
17:26
il tuo personality
17:27
passerà più tempo
17:28
a risolvere problemi di accesso
17:29
che a migliorare la sicurezza.
17:31
Vero obiettivo è l'equilibrio.
17:33
Una manciata di gruppi
17:33
di ruolo chiari
17:34
ben definiti
17:34
coprirà la maggior parte
17:35
dei casi d'uso
17:36
senza creare blocchi amministrativi.
17:38
Il gruppo del CFO
17:39
necessita di ampi poteri analitici
17:41
ma controlli rigorosi
17:42
sulla condivisione degli output.
17:44
Il gruppo degli stagisti
17:45
ottiene un ambito
17:46
di dati limitato
17:47
ma sufficiente
17:47
per contribuire
17:48
al lavoro effettivo.
17:50
I responsabili di dipartimento
17:52
tengono una via di mezzo
17:53
e l'IT mantiene
17:53
la capacità di intervenire
17:54
quando progetti speciali
17:55
richiedono eccezioni.
17:57
Non stai cercando
17:58
di bloccare tutto
17:58
fino al punto
17:59
di creare frustrazione.
18:01
Stai mantenendo
18:01
ogni esperienza di IA
18:02
pertinente, sicura
18:03
e allineata alle policy.
18:05
Quando fai la scelta giusta
18:06
i benefici si vedono rapidamente.
18:08
Gli utenti
18:09
non si stupiscono più
18:09
dei dati che Copilot
18:10
fornisce loro
18:11
perché sono sempre elementi
18:12
all'interno
18:12
dell'aerosfera di responsabilità.
18:14
I team di conformità
18:15
hanno meno incidenti da indagare
18:16
perché le sovraesposizioni
18:17
non avvengono per errore.
18:18
L'errore.
18:19
E l'IT può finalmente
18:20
procedere con le nuove
18:21
funzionalità di Copilot
18:22
senza temere
18:23
che un rollout globale
18:24
possa silenziosamente
18:25
erodere tutti i confini
18:26
dei dati
18:27
che hanno lavorato
18:27
per costruire.
18:29
Con l'accesso
18:29
e le protezioni
18:30
che lavorano insieme
18:31
hai ridotto significativamente
18:32
il tuo profilo di rischio.
18:34
Tuttavia
18:35
anche un modello
18:35
ben progettato
18:36
è utile solo se sei in grado
18:37
di dimostrare
18:37
che funziona
18:38
sia a te stesso
18:38
che a chiunque
18:39
si presenti
18:39
con una richiesta di audit.
18:40
dimostrare la conformità
18:42
senza ralentare l'IT
18:43
La conformità
18:44
non è solo
18:44
una finzione di sicurezza
18:45
è l'evidenza
18:46
che mantiene soddisfatti
18:47
gli auditor.
18:48
Le polisi
18:49
e i sistemi di protezione
18:50
sono ottimi
18:50
ma se non puoi dimostrare
18:51
esattamente cosa è successo
18:52
con i dati assistiti
18:53
dagli A
18:53
ti ritrovi a fare affermazioni
18:54
invece di provarle.
18:56
Un ambiente Copilot
18:57
pronto per l'audit
18:58
significa che ogni interazione
19:00
dalla query dell'utente
19:01
al recupero dei dati
19:02
da parte degli A
19:02
può essere spiegata
19:03
e supportata
19:04
da un percorso verificabile.
19:06
La parte complicata
19:07
è che molte aziende
19:07
pensano di essere a posto
19:08
perché superano
19:10
Queste revisioni spesso
19:12
verificano solo
19:12
l'esistenza di controlli
19:14
e pochi scenari campione
19:15
ma non sempre
19:16
richiedono
19:16
il livello di granularità
19:17
che gli auditori esterni
19:18
si aspettano
19:19
quando un valutatore esterno
19:22
richiede un registro
19:23
di tutti i contenuti sensibili
19:24
a cui Copilot
19:25
ha avuto accesso
19:26
nell'ultimo trimestre
19:27
insieme a chi li ha richiesti
19:28
e perché
19:28
è sorprendente
19:30
quanto spesso
19:30
emergano lacune
19:31
o i log sono incompleti
19:34
o omettono del tutto
19:35
gli eventi legati all'IA
19:36
perché non sono mai stati
19:37
contrassegnati in tal modo
19:38
è qui che Microsoft Purview
19:40
può fare una grande differenza
19:41
le sue funzionalità
19:43
di conformità
19:44
non riguardano solo
19:44
l'applicazione di etichette
19:45
e policy DLP
19:46
raccolgono anche
19:48
le prove forensi
19:48
di cui hai bisogno
19:49
nel contesto di Copilot
19:51
Purview può registrare
19:52
ogni richiesta di accesso
19:53
ai dati pertinenti
19:54
l'identità che la richiede
19:55
e la posizione di origine
19:56
può anche correlare
19:57
tali eventi
19:58
a modelli di spostamento
19:59
dei dati
19:59
come file sensibili
20:00
citati in bozze
20:01
repiloghi
20:02
o esportazioni
20:02
senza affidarsi
20:03
all'autosegnalazione
20:05
dell'IA
20:05
punteggio di conformità
20:08
di Purview
20:08
è più di una metrica
20:09
di vanità
20:09
è un'istantanea
20:11
di come il tuo ambiente
20:11
si confronta
20:12
con i controlli
20:13
raccomandati da Microsoft
20:14
inclusi quelli
20:14
che limitano direttamente
20:15
i rischi legati all'IA
20:16
una migliore igiene
20:18
delle autorizzazioni grafiche
20:19
configurazioni di LP
20:21
più rigorose
20:21
e gruppi basati
20:22
su ruoli ben gestiti
20:23
contribuiscono tutti
20:23
a quel punteggio
20:25
e poiché il punteggio
20:26
si aggiorna man mano
20:26
che apporti modifiche
20:27
puoi vedere quasi
20:28
in tempo reale
20:29
come i miglioramenti
20:30
nella governance dell'IA
20:31
aumentino
20:31
il tuo livello
20:32
di conformità
20:32
pensa a un esame normativo
20:35
in cui devi giustificare
20:36
perché determinati dati
20:37
dei clienti
20:37
sono apparsi in un report
20:38
generato da copilot
20:40
generato da copilot
20:41
senza una registrazione
20:42
strutturata
20:43
quella conversazione
20:43
si trasforma in congettura
20:45
con Purview
20:45
configurato correttamente
20:46
puoi mostrare
20:47
la richiesta di accesso
20:47
in un log di audit
20:48
indicare il ruolo
20:49
e le autorizzazioni
20:50
che l'hanno autorizzata
20:50
e dimostrare
20:51
che l'output è rimasto
20:52
all'interno dei canali
20:53
approvati
20:53
è una discussione
20:54
molto più semplice
20:55
rispetto al dover cercare
20:56
affannosamente
20:56
di spiegare un evento
20:57
non documentato
20:57
la chiave
20:58
è rendere il reporting
20:59
di conformità
21:00
a parte del normale
21:01
ciclo di governance IT
21:02
non solo un progetto speciale
21:03
prima di un audit
21:04
il reporting automatizzato
21:06
aiuta molto in questo senso
21:07
Purview può generare
21:08
report ricorrenti
21:09
sulle corrispondenze
21:09
delle polisi
21:10
di protezione delle informazioni
21:11
sugli incidenti di LP
21:12
e sull'utilizzo
21:13
delle etichette di sensibilità
21:14
quando quei report
21:15
vengono programmati
21:16
per arrivare mensilmente
21:17
nell'area di lavoro
21:18
del tuo team di governance
21:19
costruisci una base
21:20
dell'attività AI
21:21
facile da esaminare
21:22
qualsiasi anomalia
21:24
risalta rispetto
21:25
al modello storico
21:25
le funzioni tech
21:26
fanno risparmiare tempo
21:27
si sommano
21:28
ad esempio
21:28
Purview viene fornito
21:29
con report predefiniti
21:30
che evidenzano
21:31
tutti gli incidenti
21:31
che coinvolgono
21:32
contenuti etichettati
21:33
raggruppati per posizione
21:34
o tipo di attività
21:35
se una sessione di copilot
21:37
ha inserito un documento
21:38
riservato in un output
21:39
e la tua DLP è intervenuta
21:40
con l'incidente
21:40
appare già in un report
21:42
senza dover creare
21:42
una query personalizzata
21:43
da zero
21:44
puoi quindi approfondire
21:46
quel record
21:47
per maggiori dettagli
21:48
ma il lavoro gravoso
21:49
di raccolta e categorizzazione
21:50
è già stato fatto
21:51
un'altra efficienza
21:53
è l'integrazione
21:54
tra l'audio di Purview
21:55
e i dati di accesso
21:56
basati sui ruoli
21:56
di Microsoft 365
21:58
che
21:58
poiché Purview
22:00
comprende i gruppi
22:01
di entry ID
22:01
può suddividere
22:02
i log di accesso
22:03
per tipo di ruolo
22:04
ciò significa
22:05
che puoi rispondere
22:06
rapidamente
22:06
a domande mirate
22:07
come
22:07
mostrami tutti i casi
22:08
in cui i ruoli di marketing
22:09
hanno acceduto
22:09
a dati etichettati
22:10
come finanziari
22:11
tramite copilot
22:11
negli ultimi 90 giorni
22:12
quella capacità
22:15
di filtrare
22:15
sia per ruolo
22:16
che per classificazione
22:17
dei dati
22:17
è esattamente
22:18
ciò che cercano
22:19
i revisori esterni
22:20
pensandoci bene
22:22
la conformità
22:22
a questo livello
22:23
non è un peso
22:23
è una protezione
22:25
che conferma
22:25
che il tuo piano
22:26
di governance
22:26
funziona nella pratica
22:27
elimina anche
22:29
lo stress dagli audit
22:30
perché non devi affannarti
22:31
a questo livello
22:33
che si tratta
22:33
di un'esplosione
22:33
di un'esplosione
22:34
di un'esplosione
22:35
di un'esplosione
22:35
di un'esplosione
22:35
di un'esplosione