Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Copilot aanzetten is geen magie: contracten, licenties, rechten en Purview-governance in Microsoft 365 (AI-nasynchronisatie)

Transcript

Copilot aanzetten is geen magie: contracten, licenties, rechten en Purview-governance in Microsoft 365 (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

0:00
Iedereen denkt dat Microsoft Copilot een kwestie is van aanzetten en dat er dan wonderen gebeuren.
0:04
Fout.
0:05
Wat je eigenlijk doet, is een groot taalmodel rechtstreeks in de datastroom van je bedrijf integreren.
0:10
Maak kennis met Copilot.
0:12
Het combineert grote taalmodellen met je Microsoft Graph Content en de Microsoft 365 apps die je dagelijks gebruikt.
0:18
E-mails, chats, documenten, alles stroomt binnen als input.
0:21
De vraag is niet of het werkt, maar wat je hiermee nog meer loslaat in je tenant.
0:25
De werkelijke risico's liggen op het gebied van contracten, licenties, gegevensbescherming, technische beheersmaatregelen en governance.
0:31
Als je een onderdeel over het hoofd ziet, bouw je een dolhof zonder kaart.
0:34
Wees dus eerlijk, wat verandert er precies wanneer je Copilot inschakelt en wie is verantwoordelijk voor de gevolgen daarvan?
0:39
Contracten, de onzichtbare hand aan de schakelaar.
0:41
Contracten, de onzichtbare hand die elke zogenaamde schakelaar die je denkt om te zetten, aanstuurt.
0:46
Hoewel de beheerdersconsole eruit ziet als een dashboard vol macht, zit de werkelijke bedrading in droge juridische tekst.
0:51
Copilot staat niet op zichzelf, het valt onder de productvoorwaarden van Microsoft en het addendum voor gegevensbescherming van Microsoft.
0:57
Die documenten zijn geen kleine lettertjes, ze vormen de basis voor gegevensopslag, verwerkingsverplichtingen en privacyverplichtingen.
1:03
Met andere woorden, voordat je ook maar één knop indrukt, heeft het contract de spelregels al vastgelegd.
1:07
Laten we de illusies wegnemen.
1:08
De productvoorwaarden van Microsoft bepalen wat je mag doen, waar je gegevens fysiek mogen worden opgeslagen en, cruciaal, wie de eigenaar is van de output die Copilot produceert.
1:16
Het addendum in zaken gegevensbescherming stelt privacycontroles vast, met name rondom de AVG en vergelijkbare kaders, en definieert de rol van Microsoft als gegevensverwerker.
1:25
Deze kaders zijn geen inspirerende voorbeelden van naleving, ze zijn bindend.
1:29
Negeer je ze, dan ontwijk je de regels niet, maar vergroot je simpelweg het risico op niet-naleving, omdat je technische instellingen in overeenstemming moeten zijn met deze verplichtingen en er niet tegenin mogen gaan.
1:38
Dit is geen technisch detail, het is structureel.
1:41
Contracten zijn verplichtingen, technische controles zijn de handhavingsmechanismen.
1:45
Je kunt tot in de puntjes bewaar labels, versleutelingsbeleid en machtigingen configureren, maar als die maatregelen niet overeen komen met de verplichtingen die al zijn vastgelegd in de DPA en de productvoorwaarden, loop je nog steeds risico.
1:56
Een contract is niet iets waar je omheen kunt werken, het is het startschot.
2:00
Zonder dat ben je niet goed voorbereid.
2:02
Je improviseert met juridische risico's.
2:05
Dit is een angst die ik constant hoor, traint Microsoft stiekem hun LLMs met onze bedrijfsgegevens.
2:10
Het contractuele antwoord is nee.
2:12
Prompts, reacties en Microsoft Graph gegevens die door Copilot worden gebruikt, worden niet teruggekoppeld naar de basismodellen van Microsoft.
2:17
Dit is vastgelegd in zowel de productvoorwaarden als de DPA.
2:20
Je e-mails worden niet gebruikt als oefenmateriaal voor het AI-brein.
2:23
Microsoft heeft juist beveiligingen ingebouwd om dat te voorkomen.
2:26
Als je dit niet wist, gefeliciteerd.
2:28
Je maakte je zorgen over een probleem dat al in het contract was opgelost.
2:30
Om dit te verduidelijken, denk eens aan de analogie met een sportschoolabonnement.
2:33
Je dacht dat je je alleen maar aanmeldde voor een looband, maar het contract bepaalt stilletjes de openingstijden, de beperkingen voor de apparatuur en ja, zelfs het gedeelte over het dragen van kleding in de sauna.
2:42
Je kunt niet zeggen dat je de leesplicht hebt overgeslagen, de sportschool handhaaft het hoe dan ook.
2:45
Microsoft werkt op dezelfde manier.
2:47
Infrastructuur en juridische kaders, geen geïmproviseerde spelletjes.
2:51
Deze overeenkomsten bepalen waar data zich bevindt.
2:53
Dataopslag is geen abstractie voor filosofen.
2:56
Toezichthouders handhaven het met brute duidelijkheid.
2:57
Zo zijn Copilot queries voor EU-klanten beperkt tot de datagrenzen van de EU.
3:02
Buiten de EU kunnen queries via datacenters in andere wereldregio's lopen.
3:06
Dit staat duidelijk vermeld in de productvoorwaarden.
3:09
Verbaasd dat je bestanden de grens over kunnen?
3:11
Die verbazing komt alleen als je niet leest wat je hebt ondertekend.
3:14
Ook het eigendom van de output wordt vooraf geregeld.
3:16
De presentaties die Copilot genereert zijn standaard jouw eigendom, niet vanwege een of andere digitale daad van vrijgevigheid,
3:21
maar omdat de productvoorwaarden het AI-systeem hebben opgedragen af te zien van elke aanspraak op intellectueel eigendom.
3:26
En dan is er nog de AVG en verder.
3:28
Meldingen van datalekken, altijd van het gebruik van subverwerkers, het is allemaal vastgelegd in de DPA Data Protection Agreement.
3:32
Het resultaat is niet theoretisch.
3:34
Als uw implementatie deze afhankelijkheden niet respecteert, worden uw technische controles en uitgebreide façade indrukwekkend maar inhoudsloos.
3:40
Het contract bepaalt de architectuur en pas dan hebben de schakelaars en beleidsregels die u configureert daadwerkelijke compliance waarden.
3:46
De metafoor die blijft hangen, is dat uw Copilot niet ziet als een stopcontact waar u zomaar iets inplucht, maar als onderdeel van een elektriciteitsnet.
3:52
De blauwdruk van dat net, het bedradingsschema, bestaat al lang voordat u de broodrooster aansluit.
3:57
Als het schema niet klopt, creëert elke technische handeling daarna instabiliteit.
4:01
Contracten zijn dat bedradingsschema.
4:02
De beheerderschakelaar is gewoon het aansluiten op het eindpunt.
4:05
En laten we duidelijk zijn, het inschakelen van een gebruiker is geen willekeurige keuze.
4:08
Het inschakelen van Copilot activeert de verplichtingen die al in deze documenten zijn vastgelegd.
4:12
Identiteit, machtigingen, encryptie, retentie, het werkt allemaal stroomafwaarts.
4:16
Contractuele voorwaarden zijn governance op atomair niveau.
4:19
Voordat u zelfs maar een rol toewijst, voordat u een retentielabel instelt, heeft het contract de juridictie, het eigendom en de compliance status al vastgelegd.
4:25
De conclusie is dus, voordat je licenties gaat uitdelen aan je medewerkers, stop even.
4:29
Ga met de juridische afdeling om de tafel zitten.
4:31
Controleer of de AVG en de productvoorwaarden goed zijn vastgelegd.
4:34
Breng eventuele regio-specifieke verblijfsverplichtingen in kaart, zoals de EU-grenzen, en leg je verplichtingen vast.
4:40
Pas dan is het zinvol om IT-licenties voor Copilot te laten toewijzen.
4:44
En zodra de basis is gelegd, is de volgende logische stap duidelijk.
4:48
Wat regelen die licenties en roltoewijzingen nu precies, los van het papierwerk?
4:52
Dat is waar de echte problemen beginnen.
4:55
Licenties en rollen besloten op elke deur.
4:58
Je denkt waarschijnlijk dat een licentie een magische sleutel is.
5:01
Koop er een, deel hem uit, gebruikers type prompts in en ineens schrijft Copilot e-mails alsof het een overactieve stagiair is.
5:07
Fout.
5:08
Een Copilot-licentie is geen loper.
5:11
Het is meer een bouwvergunning met een portier.
5:13
De vergunning definieert wat er legaal mag zijn en de portier controleert wie er binnen mag komen.
5:18
Beschouw licenties als niets meer dan een ontgrendelingscode en je hebt al niet begrepen hoe het systeem in elkaar zit.
5:23
Hier is de verduidelijking die je in je geheugen moet prenten.
5:25
Licenties activeren Copilot-functies, maar Copilot toont alleen gegevens waartoe een gebruiker al toegang heeft via Microsoft Graph.
5:32
Machtigingen worden afgedwongen door de identiteit van je tenant en onze bekend-instellingen.
5:36
De licentie zegt, ja, deze persoon mag Copilot gebruiken.
5:39
Maar onze bekend zegt, nee, ze kunnen de privémappen van de CFO nog steeds niet openen, tenzij ze dat voorheen wel konden.
5:44
Zonder dat onderscheid raken mensen in paniek door denkbeeldige risico's of erger nog, negeren ze de zeer reële risico's.
5:49
Licenties zijn op zich bot, maar noodzakelijk.
5:51
Copilot is een add-on voor bestaande Microsoft 365 abonnementen.
5:55
Het is niet standaard inbegrepen in de bundels, je kiest ervoor.
5:58
Het toewijzen van een licentie breidt de machtigingen niet uit, het verleent alleen de functionaliteit binnen Word, Excel, Outlook en de rest van de suite.
6:04
En hier is de operationele nuance.
6:06
Sommige functies vereisen extra licenties, zoals Purview for Compliance Controllers of Defender Addons voor beveiligingsgateways.
6:13
Probeer Copilot te gebruiken zonder deze afhankelijkheden te kennen en je uitrol is ongeveer net zo stabiel als het bouwen van een stijger op pudding.
6:19
Laten we nu de gevaarlijkste misvatting uit de wereld helpen.
6:21
Als je Copilot licenties onzorgvuldig toereist, bijvoorbeeld door ze over de hele organisatie te verspreiden zonder te controleren, kunnen gebruikers alles opvragen waar ze al toegang toe hebben.
6:30
Dat betekent dat als je permissiebeheer slordig is, de stagiair niet zomaar globale beheerder wordt, maar wel per ongeluk gevoelige documenten kan vinden die voor iedereen toegankelijk zijn.
6:39
Wanneer je brede licenties combineert met losse rollen, is blootstelling niet hypothetisch, maar gegarandeerd.
6:44
Gebruikers hoeven geen kwade bedoelingen te hebben om lekken te veroorzaken, ze hebben alleen een zoekveld en teveel overgeërfde toegang nodig.
6:49
Rollen vormen de basis.
6:50
Op rollen gebaseerd toegangsbeheer bepaalt welk toegangsniveau een identiteit heeft.
6:55
Als je Copilot licenties toewijst zonder rollen te definiëren, geef je mensen in feite AI-gestuurde zaaklampen in donkere gangen waar ze niet eens zouden mogen lopen.
7:02
Goed opgezet zorgt onze backend ervoor dat Copilot binnen de perken blijft.
7:05
Medewerkers van de financiële afdeling kunnen alleen financiële datasets raadplegen.
7:08
Marketingmedewerkers kunnen alleen concepten genereren op basis van campagnemateriaal.
7:11
Beheerders kunnen instellingen beheren, maar alleen binnen de strikte grenzen die je hebt gesteld.
7:15
Copilot weerspiegelt de directory getrouw, het slaat niet op rol, tenzij je directory dat al doet.
7:19
Stel je twee organisaties voor.
7:21
De eerste gelooft dat eerlijkheid gelijk staat aan identieke licenties met identieke toegang.
7:24
Iedereen krijgt dezelfde Copilot scope.
7:26
Een nobele gedachte, maar een rampzalige consequentie.
7:29
Copilot duikt nu vrolijk in contractarchieven, oude gegevens en e-mailconversaties van directieleden, omdat deze per ongeluk te veel gedeeld waren.
7:35
De tweede organisatie volgt de discipline.
7:37
Licenties komen overeen met de behoeften en rollen definiëren strikte zones.
7:40
Financiën blijft binnen de financiële afdeling, marketing binnen de marketingafdeling en IT blijft aan de rand.
7:46
Gebruikers hebben nog steeds het gevoel dat Copilot intelligent is, maar in werkelijkheid weerspiegelt het gewoon een gedisciplineerde informatiearchitectuur.
7:51
Hier is een praktische overlevingstip.
7:53
Stop met het handmatig toewijzen van licenties, stoel voor stoel.
7:56
Gebruik in plaats daarvan licentietoewijzingen op basis van groepen.
7:59
Dat is efficiënt en het dwingt je om groepslidmaatschappen te controleren.
8:02
Als je die lidmaatschappen niet controleert, kunnen licenties terechtkomen waar ze niet thuis horen.
8:06
En onthoud, Copilot licenties kunnen niet worden uitgebreid naar gastaccounts in andere tenants.
8:10
Nee, de consultant met een Gmail account krijgt geen toegang tot Copilot in jouw omgeving.
8:14
Probeer dat niet te omzeilen.
8:15
Het systeem zal je blokkeren en dat is voor een keer een meevaller.
8:18
Zie licenties als paspoorten.
8:20
Ze geven aan wie er aan de grens mag komen, maar paspoorten garanderen burgers geen vrije toegang tot het hele continent.
8:25
Visa en verblijfsvergunningen voegen de beperkingen toe.
8:27
Rollen zijn jouw visa.
8:29
Samen bepalen ze de grenzen.
8:30
Negeer rollen en je bent de toerist die luidruchtig om burgerschap vraagt bij de immigratiedienst.
8:34
Op zijn best amusant, op zijn slechtst gevaarlijk.
8:36
De elegantie hiervan is dat RBAC, mits correct ontworpen, onzichtbaar wordt.
8:40
Gebruikers denken dat Copilot hen kent.
8:42
Dat is niet waar.
8:43
Copilot weerspiegelt simpelweg het beveiligingsraamwerk dat al in Microsoft 365 is ingebouwd.
8:48
Zorg voor sterke machtigingen en Copilot weerspiegelt discipline.
8:51
Zorg voor chaos en Copilot weerspiegelt chaos.
8:53
De spiegel is neutraal, uw ontwerp niet.
8:55
Daarom fungeren licenties en rollen samen als stille sloten in uw organisatie.
8:59
Goed uitgevoerd, merkt niemand het.
9:02
Slecht uitgevoerd, merkt u het pas wanneer Copilot documenten begint te tonen die geen stagiair ooit zou mogen lezen.
9:07
En dat brengt ons bij het volgende probleem.
9:09
Wat consumeert Copilot eigenlijk in die afgesloten ruimtes?
9:12
Het antwoord, een buffet bestaande uit uw e-mails, uw documenten en elk vergeten,
9:16
de veelgedeeld bestand dat u hebt laten rondslingeren.
9:19
Gegeven Slack.
9:20
Copilot voedt zich met uw hele organisatie.
9:22
Laten we het dus hebben over wat er gebeurt zodra Copilot begint te kauwen.
9:25
Gegeven Slack is geen theoretisch concept.
9:27
Het is de dagelijkse consequentie van het feit dat Copilot toegang krijgt tot dezelfde map die u hebt aangemaakt.
9:33
Microsoft 365 Copilot haalt content uit Microsoft Graph en toont alleen materiaal waarvoor een gebruiker al minimaal leesrechten heeft.
9:40
De semantische index en de onderliggende principes respecteren toegangsgrenzen op basis van identiteit,
9:44
wat betekent dat de AI geen toegang krijgt tot ontoegankelijke systemen.
9:47
Het wijst simpelweg op wat uw beveiligingsmodel al zichtbaar maakt, vaak op manieren die u niet had verwacht.
9:52
En dat is nu juist het gevaar.
9:53
Copilot buigt de toegangsrechten niet, maar spiegelt ze.
9:56
Als de bibliotheken van uw team volstaan met toegangsrechten voor iedereen,
9:59
zal Copilot die zonder problemen in een samenvatting opnemen.
10:01
Als uw SharePoint-omgeving slordig is ingericht, integreert Copilot die gegevens in concepten.
10:06
Gebruikers zoeken zelden naar de rommelige hoekjes van uw tenant, maar Copilot maakt geen onderscheid.
10:10
Het haalt gegevens uit de volledige index en die index is van u, niet van Microsoft.
10:15
Zie Copilot als een bibliothecaris met een perfect geheugen.
10:18
Traditionele medewerkers vergeten de onvergrendelde archiefkast in de kelder.
10:21
Copilot vergeet dat niet, het scant de index.
10:23
De genante memo die u in een open map hebt gegooid, is niet langer vergeten, maar direct beschikbaar.
10:27
Nogmaals, geen kwade opzet, maar gewoon efficiëntie toegepast op de digitale chaos die je hebt gecreëerd.
10:32
Toestemmingen alleen zijn echter niet het hele verhaal.
10:34
Denk aan gevoeligheidslabels.
10:35
Deze zijn geen decoratie, ze zorgen voor bescherming.
10:38
Wanneer een bestand is gelabeld als vertrouwelijk en versleuteling is afgedwongen, moet Copilot dit respecteren.
10:43
En hier is het precieze detail, wanneer labels versleuteling, afdwingen of extractierechten vereisen, verwerkt Copilot de inhoud alleen als de gebruiker zowel lees- als extractierechten heeft.
10:52
Zo niet, dan wordt Copilot geblokkeerd.
10:54
Labels worden ook overgenomen.
10:55
Dus wanneer Copilot een nieuwe presentatie genereert op basis van een gevoelig bestand, worden het label en de beveiligingen automatisch overgenomen.
11:01
Geen menselijke tussenkomst nodig.
11:03
Dat is maar goed ook, want als je ervan afhankelijk bent dat eindgebruikers eraan denken om elk afgeleid document te labelen, vertrouw je op de menselijke factor tegenover de entropie.
11:09
Statistisch gezien verliezen ze.
11:12
Regelgeving versterkt dit.
11:13
De AVG kijkt niet naar de toestemmingen.
11:15
HIPAA kijkt niet naar het feit dat iemand per ongeluk patiëntendossiers van kankerpatiënten openbaar heeft gemaakt voor een marketingteam.
11:21
ISO haalt zijn schouders niet op als processen inconsistent zijn.
11:24
Toezichthouders geven om toegangsoppervlakken, punt.
11:26
Als uw machtigingsinstellingen toestaan dat persoonlijke gegevens via Copilot worden weergegeven, komt uw nalevingspositie in gevaar.
11:33
Beweren dat de AI simpelweg de machtigingen weer spiegelde, is net zoiets als beweren dat u geen snelheidsboete zou moeten krijgen...
11:38
...omdat u per ongeluk het gaspedaal indrukte.
11:40
Wetten verschillen van mening en vereenvoudigen de verblijfsregels ook niet.
11:44
Voor EU-klanten leidt Microsoft de Copilot-verwerking waar nodig via de EU-datagrens.
11:48
Maar, en dit is cruciaal, webzoekopdrachten naar Bing vallen niet onder de EU-datagaranties.
11:54
Deze volgen een volledig apart gegevensverwerkingsbeleid.
11:57
Ga er niet van uit dat alle gegevens gelijk worden beschermd en u hebt het mis.
12:00
Toezichthouders zullen het verschil opmerken, zelfs als u de wetgeving niet hebt gelezen.
12:03
En hoe zit het met de persistentie?
12:05
Copilot-prompts, reacties en activiteitenlogboeken verdwijnen niet zomaar in een of ander obscuur instituut.
12:10
Ze worden opgeslagen binnen de Microsoft 365-servicegrens...
12:14
...waar het bewaren en verwijderen uiteraard kan worden beheerd met Purview.
12:17
Beheerders kunnen Purview beleid voor inhoudsoekopdrachten en bewaring gebruiken om deze geschiedenis te beheren.
12:21
En Microsoft is hier expliciet over.
12:23
Grafieken en antwoorden trainen de basismodellen van Copilot niet.
12:27
De kwartaalmemo van uw CEO wordt niet stiekem gebruikt om de AI van iemand anders te verbeteren.
12:31
Dus hoe kunt u de impact beperken?
12:33
Voor een machtiging zou dit uit verwijderde groepen, iedereen...
12:36
...en voor vervolgens een DSPM-assessment, Data Security Posture Management van Purview uit...
12:41
...om bestanden en bibliotheken te vinden die in een overmatig gedeelde omgeving zijn achtergebleven.
12:44
Want of u het nu beseft of niet, Copilot is in staat om alle machtigingen die u per ongeluk hebt verleend...
12:49
...aan het licht te brengen.
12:50
Doen alsof het anders is, zal u niet redden.
12:52
Natuurlijk kunt u de verantwoordelijkheid niet volledig aan Purview overlaten.
12:55
Purview is weliswaar een filter, maar filters werken alleen als u de gegevens in eerste instantie correct klassificeert.
13:00
Als u content verkeerd labelt of niet labelt, zal het filters simpel weg.
13:04
Copilot is niet hebzuchtig, maar compliant.
13:06
Wat u in de antwoorden van Copilot ziet, is een weerspiegeling van uw machtigingshygiëne.
13:10
Als die hygiëne intact is, zien de inzichten er helder en relevant uit.
13:14
Als het slordig is, laat Copilot dat met plezier zien.
13:17
En wanneer handhaving uiteindelijk botst met al deze blootstelling, wordt het interessant.
13:21
Copilot probeert misschien een keurig antwoord te geven...
13:23
...maar wordt halverwege afgesneden door een compliance-regel die het bordje wegtrekt.
13:26
Geen bak, geen falende AI. Dat is de autoriteit van de beveiligingscontrole.
13:31
Wat ons brengt bij het echte verhaal hoe de onderliggende tools Beheercentrum, Purview en Defender...
13:35
...daadwerkelijk samenwerken om de reacties van Copilot te beperken, te monitoren en te onderscheppen.
13:39
Je denkt dat je een schakelaar omzet, maar in werkelijkheid dirigeer je een orkest.
13:42
Technische controles, de symfonie achter de schakelaar.
13:45
Wat er uitziet als een onschuldige klik op een selectievakje in het Microsoft 365 Beheercentrum...
13:50
...is in feite de dirigeerstok.
13:51
Je zet geen schakelaar om, je vertelt een geïntegreerd compliance-systeem precies hoe het zich moet gedragen.
13:56
Beheercentrum, Purview en Defender zijn geen aparte apps die achtergrondmuziek spelen.
14:00
Het zijn instrumenten in een strak georchestreerde uitvoering.
14:03
Hier is de kastlijst met precieze functiebeschrijvingen.
14:06
Beheercentrum is het tenantbeheersysteem, het elektriciteitsnet.
14:09
Het beheert licentietoewijzingen, copilot-tenantinstellingen en het inschakelen van plug-ins.
14:13
Beheerders configureren wie copilot krijgt, stellen update-kanalen in en beheren de basisvoorwaarden.
14:17
Purview is de douane-controle aan de grens.
14:20
Het klassificeert, labelt en inspecteert alles wat door Microsoft Graph stroomt.
14:24
Het handhaaft retentie via beleid, past DLP, data loss prevention, toe, ontdekt risico's met data security posture management voor AID SPM, data security posture management en registreert elke actie in auditlogboeken.
14:35
En dan is er Defender, de handhavingsarm.
14:37
Microsoft Defender for a point biedt specifiek runtime handhaving, waarschuwingen en het point DLP.
14:42
Het monitort gedrag, blokkeert risicovolle acties zoals het plakken van gevoelige gegevens in AI-tools van derden en stopt copilot-content wanneer regels overeenkomen.
14:49
Dat is geen fout, dat is de normale gang van zaken bij het uitvoeren van beleid.
14:52
De gemiddelde beheerder gaat ten onrechte uit van isolatie.
14:55
Ze behandelen deze tools alsof ze elk in een afgesloten doos zitten.
14:58
Dat is niet zo, ze overlappen elkaar voortdurend.
15:00
Admin Center kan copilot inschakelen, maar zonder de labels en het beleid van Purview stroomt content ongeklassificeerd.
15:06
Purview stelt de regels op, maar zonder de handhaving van Defender glippen overtredingen er zo doorheen.
15:11
Beschouw iedereen als optioneel en je beheert geen compliance, maar creëert chaos.
15:15
Stel je voor, je verstrekt licenties in het beheerdercentrum, maar je neemt niet de moeite om de gevoeligheidslabels van Purview te configureren.
15:21
Copilot indexeert vrolijk geopende bestanden en plotseling kunnen je stagiairsconcepten van M&A-strategiedocumenten tegenkomen.
15:27
Of denk aan de agressieve DLP-instellingen van Defender.
15:30
De gebruiker vraagt een copilot-overzicht van de kwartaalomzet aan, maar het onderliggende bestand bevat ingebedde rekeningnummers die als beperkt zijn geclassificeerd.
15:36
Defender blokkeert de uitvoer onmiddellijk.
15:38
De medewerker klaagt dat copilot kapot is.
15:41
Dat is niet zo.
15:42
Defender heeft gehandhaafd wat je hebt ingesteld.
15:44
Handhaving tijdens runtime is geen willekeurige sabotage.
15:46
Het is het natuurlijke gevolg van een verkeerd ontworpen beleid.
15:49
Zie het dus zo, het beheerdercentrum schrijft de regels, Purview inspecteert de inhoud en Defender handhaaft deze tijdens runtime.
15:54
Het zijn geen drie tools die aan elkaar zijn gekoppeld.
15:56
Het zijn drie dimensies van één compliance engine.
15:59
Als er iets verkeerd geconfigureerd is of genegeerd wordt, leidt dat tot ruis in plaats van governance.
16:03
Nu de concrete technische tactieken die u daadwerkelijk moet volgen.
16:06
Stap 1. Schakel uniforme auditregistratie in Purview in en activeer gegevensbeveiligingsbeheer voor AI.
16:12
DSPM scant op overmatig gedeelde bestanden of schaduwdata die copilot mogelijk aan het licht brengt.
16:18
Met één klik kunt u automatisch beleid genereren om duidelijke lacunes te dichten.
16:22
Stap 2. Pas gevoeligheidslabels consistent toe en koppel deze aan Purview DLP beleid dat copilot volledig verhindert om zeer vertrouwelijke gegevens te verwerken.
16:30
Combineer dit met bewaarregels, zodat prompts en antwoorden levenscyclusbeheer hebben.
16:34
Stap 3. Versterk de perimeter. Gebruik voor waardelijke toegang en multifactor authenticatie op identiteitsniveau en implementeer Defender at Point DLP op elk apparaat.
16:42
Op die manier kunnen medewerkers de beveiliging niet omzeilen door gevoelige antwoorden te kopiëren en te plakken in ongeautoriseerde AI tools van derde.
16:48
Deze drie stappen beveiligen het ecosysteem tegelijkertijd op beleidsclassificatie en runtime niveau.
16:53
Vergeet de stillere werkpaarden niet.
16:55
De bewaar- en e-discoveryfuncties van Purview zorgen ervoor dat u niet alleen regels handhaaft, maar ze ook bewijst.
17:00
Wanneer toezichthouders met klembordjes aankomen en bewijsmateriaal eisen, hebt u doorzoekbare auditlogboeken en een opvraagbaar gebruiksgeschiedenis van copilot nodig.
17:06
Dat is geen decoratieve compliance, dat is overleven.
17:09
Communicatiecompliance voegt een extra controlepunt toe, waarmee risicovolle prompts of potentieel wangedrag in de manier waarop gebruikers copilot raadplegen, worden gedetecteerd.
17:16
Negeer dit en u bent blind voor misbruik dat zich binnen uw tenant ontwikkelt.
17:19
De verleiding is groot om compliance te zien als iets dat u bovenop systemen legt.
17:23
Dat is onjuist.
17:25
Deze controles vormen het besturingssysteem van copilot governance.
17:28
Licenties, klassificatie, bewaartermijnen, blokkering, logging.
17:31
Ze vullen de werking van copilot niet aan, ze definiëren deze.
17:33
Copilot bestaat niet in een vacuüm.
17:35
Het bestaat alleen binnen de beleidsregels, labels en vangreels die u in de omgeving hebt ingebouwd.
17:39
En dit brengt ons bij het grotere probleem.
17:41
Technische controles kunnen nauwkeurig worden afgestemd, maar hun effectiviteit botst met een veel minder voorspelbare factor, mensen.
17:47
Via Defender kunt u onberispelijke bewaarbeleidsregels, waterdichte DLP-regels en ijzersterke handhaving configureren.
17:53
Maar wat gebeurt er als governance wordt gereduceerd tot een Outlook-memo die niemand leest?
17:57
Dat is helaas waar de ware kwetsbaarheid van controle aan het licht komt.
18:01
Governance in de praktijk, regels versus realiteit.
18:03
Governance in de praktijk is waar theorie doet alsof ze de realiteit ontmoet en meestal faalt.
18:08
Beleidsregels op papier zijn kwetsbaar.
18:10
Je verspreidt ze, houdt een bijeenkomst met alle medewerkers, roept de overwinning uit en binnen enkele dagen liggen ze begraven onder ongelezen e-mails.
18:15
Governance die niet systeemgestuurd is, is helemaal geen governance.
18:18
Het is een sprookje.
18:19
Als u regels wilt die daadwerkelijk werken, moeten ze direct in de tools worden ingebouwd die uw medewerker zal gebruiken.
18:25
Anders werken uw controles op basis van vertrouwen en medewerkers handelen er dien overeenkomstig naar.
18:30
Governance is geen decoratie of een ambitie.
18:32
Het is de vertaallaag die abstracte compliance eisen, de bescherming van persoonsgegevens en de beperking van gevoelige toegang vertaald naar daadwerkelijk gedrag dat door het platform wordt afgedwongen.
18:41
Zonder deze laag zijn beleidsregels lege woorden. Met deze laag worden regels onvermijdelijk.
18:46
Een bewaarlabel dat door Purview wordt toegepast, spreekt boekdelen, meer dan welk ouder memo dan ook, omdat het systeem gebruikers geen opt-out knop biedt.
18:52
Governance is in feite ondertiteling bij een vreemde film.
18:55
Werknemers hoeven niet te begrijpen wat er gebeurt.
18:57
Het systeem dwingt begrip af door de manier waarop het is ontworpen.
19:00
Neem bijvoorbeeld de lachwekkend nutteloze instructie, deel geen gevoelige bestanden met Copilot.
19:04
Het klinkt streng, maar heeft dezelfde afschrikkende werking als een briefje met de tekst
19:08
Eet geen koekjes, voor een bord koekjes.
19:10
Configureer in plaats daarvan een beleid voor gegevensverliespreventie in Purview dat gericht is op de locatie van de Microsoft Copilot ervaring.
19:16
Dat betekent dat wanneer Copilot een zeer vertrouwelijk bestand tegenkomt, het dit niet kan samenvatten of verwerken, ongeacht hoe beleefd of onwetend de werknemer het ook probeert.
19:25
Dat is geen suggestie, maar een weigering die in het systeem is ingebouwd.
19:28
Vergelijk dat met algemene bewustwordingscampagnes en het verschil is duidelijk.
19:32
De ene vertelt gebruikers wat ze niet mogen doen, de andere maakt de verboden handeling technisch onmogelijk.
19:36
Laten we de auto-analogie even samenvatten.
19:39
Gebruikers verbieden om gegevens te delen is net zoiets als snelheidslimietboorden plaatsen.
19:43
Standaard gevoeligheidslabels, automatische labeling en DLP-beleid configureren voor Copilot is net zoiets als een snelheidsbegrenzer installeren die voorkomt dat de auto harder dan 105 km per uur rijdt.
19:51
Maar welke optie heeft de voorkeur van toezichthouders?
19:53
Die waarbij menselijke keuzevrijheid wordt weggenomen.
19:55
En eerlijk gezegd, dat zou u ook moeten doen.
19:57
Maak nu gebruik van de beheertools van Microsoft, want die zijn voor de verandering eens nuttig.
20:01
Purview, automatische labeling en standaard gevoeligheidslabels dwingen klassificatie af, zelfs als medewerkers het vergeten.
20:07
Bewaarlabels passen automatisch tijdlijnen toe, zodat vergeten bestanden niet eeuwig blijven bestaan.
20:12
Communicatiecompliance fungeert als uw bewakingssysteem.
20:14
Het kan Copilot prompts en reacties scannen om ongepaste gegevens te signaleren die aan de AI worden aangeboden.
20:19
Dat is geen overmoed, dat is het absolute minimum.
20:21
En Purview DSPM voor AI geeft u inzicht in wat Copilot gebruikt, met beleidsregels voor herstel die met één klik risicovolle blootstellingen kunnen uitschakelen.
20:29
Samen sluiten ze de cirkel tussen wat u bedoelde en wat het systeem afdwingt.
20:33
Dit is belangrijk, want de zwakste schakel is voorspelbaar.
20:36
Compliance functionarissen stellen regels op, beheerders configureren tools en medewerkers negeren dit alles zodra ze het druk hebben.
20:43
Communicatiecompliance kan mensen er niet van weerhouden iets onverstandigs te proberen, maar het kan de poging wel detecteren en telemetrie genereren.
20:49
DSPM vertrouwt niet op goede wil.
20:50
Het vindt te veelgedeelde data en biedt beleidsregels om dit automatisch te corrigeren.
20:54
Deze tools vragen niet om discipline, ze dwingen het af.
20:57
Governance is natuurlijk niet alleen tooling, er is ook structuur.
21:00
Een verstandige implementatie omvat een multidisciplinaire AI-raad of expertisecentrum.
21:04
Een tafel waar juridische zaken, beveiliging, ouwer en IT samenkomen om regels af te stemmen op de technische controles.
21:10
De richtlijnen van Microsoft stimuleren dit en het is geen optioneel toneelstukje.
21:14
Zonder afstemming print de ene partij vage richtlijnen, terwijl de andere partij compleet andere realiteiten creëert.
21:19
Governance is niet alleen een technische grens, het is organisatorische choreografie.
21:23
De vergelijking tussen twee fictieve bedrijven maakt dit duidelijk.
21:26
Bedrijf A produceert een gelikte richtlijn van één pagina, gebruikt Copilot verantwoord.
21:31
Bedrijf B configureert purview-schablonen om te voorkomen dat Copilot überhaupt toegang krijgt tot niet geclassificeerde data.
21:37
Zes maanden later worstelt bedrijf A met het indammen van een datalek nadat gevoelige bestanden in Copilot samenvattingen zijn opgedoken.
21:43
Bedrijf B niet.
21:44
Beide bedrijven hadden governance, maar slechts één behandelde governance als een systeem.
21:47
Spoiler, schijnvertoning faalt, automatisering wint.
21:50
De noodzakelijke conclusie is onomwonden.
21:52
Governance zit niet in pdf's, posters of verplichte trainingspresentaties.
21:55
Het zit in technische controles die gebruikers niet kunnen omzeilen.
21:58
Beleidsregels die aan de muur zijn geplakt lijken misschien officieel.
22:00
Geconfigureerde purview-regels, DLP-blokkeringen en gevoeligheidslabels zijn daadwerkelijk officieel.
22:06
Bewustwordingscampagnes zijn de garnering, handhaving is de inhoud.
22:08
En ja, gebruikerseducatie is belangrijk, maar als uw strategie ervan afhangt dat medewerkers de regels altijd onthouden, hebt u al verloren.
22:14
Governance in de praktijk komt dus hierop neer.
22:16
Vertaal elke verwachting naar een door het systeem afgedwongen regel die van kracht is, ongeacht of gebruikers meewerken of niet.
22:21
Alleen dan houdt compliance stand in de realiteit.
22:24
En wanneer die geautomatiseerde grenzen zijn ingesteld, functioneert Copilot niet alleen als een AI-assistent,
22:29
maar wordt het de demonstratie van uw governance-model dat in real-time werkt.
22:33
Dat brengt ons tot het bredere inzicht dat het activeren van Copilot niet neerkomt op het inschakelen van kunstmatige intelligentie,
22:38
maar op het activeren van een compleet controlesysteem voor contracten, machtigingen, gegevensbeperkingen en governance.
22:43
En dat bredere plaatje is precies wat we vervolgens moeten onderzoeken.
22:46
Een Copilot-schakelaar is nooit zomaar het inschakelen van AI, het activeert een compliance engine.
22:50
Die ene klik heeft een domino-effect op contracten, licenties, gegevensbescherming en handhavingsregels.
22:55
Beschouw het als magische automatisering en u begrijpt het systeem verkeerd.
22:57
U activeert wetgeving, beleid en beveiliging in één beweging.
23:01
Als u wilt dat Copilot werkt zonder risico's te creëren, controleer dan deze week drie punten in uw tenant.
23:06
Voer een Purview DSP en beoordeling uit voor AI en pas de oplossingen met één klik toe.
23:10
Wijs licenties toe per groep met RBAC en entrascoping.
23:14
En schakel Purview audit, retentie en DLP in om zeer gevoelige gegevens te blokkeren.
23:18
Als dit u veel tijd heeft bespaard bij het oplossen van problemen, abonneer u dan.
23:22
Uw toekomstige beheerder zal u dankbaar zijn.
23:24
En vergeet niet, Microsoft heeft met Copilot de controles en richtlijnen al ingebouwd.
23:27
Configureer ze en naleving verandert de AI van een vermeende bedreiging in een betrouwbare, gedisciplineerde facilitator.