Latest / M365.FM – Podcast de Microsoft 365, Copilot e IA em português / Ativar o Copilot não é mágica: contratos, licenças, permissões e governança com Purview no Microsoft 365 (Dublagem IA)

Transcript

Ativar o Copilot não é mágica: contratos, licenças, permissões e governança com Purview no Microsoft 365 (Dublagem IA) · M365.FM – Podcast de Microsoft 365, Copilot e IA em português

0:00
Todo mundo pensa que é só ligar o Microsoft Copilot, e a mágica acontece...
0:04
Errado.
0:05
É o que você tá fazendo, na verdade, é conectar um modelo de linguagem grande
0:08
diretamente na corrente sanguínea dos dados da sua empresa.
0:11
Apresento o Copilot.
0:12
Ele combina modelos de linguagem grande com o seu conteúdo Microsoft Graph
0:15
e os aplicativos Microsoft 365 que você usa todos os dias.
0:18
E-mails, chats, documentos, tudo fluindo como dados de entrada.
0:21
A questão não é se funciona, mas o que mais você acabou de liberar em todo o seu tenant.
0:25
Os riscos reais abrangem contratos, licenças, proteção de dados,
0:28
os controles técnicos e governança.
0:31
Se perder uma peça, você terá construído um laminito sem mão.
0:34
Então seja honesto que exatamente muda quando você ativa o Copilot
0:36
e quem é responsável pelas consequências dessa mudança.
0:39
Contratos. A mão invisível no interruptor.
0:42
Contratos. A mão invisível guiando cada suposto interruptor que você pensa que tá ligando.
0:46
Embora o console de administração pareça um painel de controle poderoso,
0:49
a fiação real está em textos jurídicos áridos.
0:52
O Copilot não opera sozinho, ele é regido pelos termos do produto Microsoft
0:55
e pelo adendo de proteção de dados da Microsoft.
0:56
Esses documentos não são letras miúdas, são a base para a residência de dados,
1:00
compromisso de processamento e obrigações de privacidade.
1:03
Em outras palavras, antes de apertar qualquer botão,
1:05
o contrato já ditou as regras do jogo.
1:07
Vamos eliminar as ilusões.
1:09
Os termos do produto Microsoft determinam o que você pode fazer,
1:12
onde seus dados podem ficar fisicamente e crucialmente
1:14
quem é dono dos resultados que o Copilot produz.
1:16
O adendo de proteção de dados define controle de privacidade,
1:19
principalmente em relação ao GDPR e estruturas similares,
1:21
definindo o papel da Microsoft como processadora de dados.
1:24
Essas estruturas não são cartazes inspiradores para conformidade,
1:27
elas são vinculativas.
1:29
Ignore-as e você não evita as regras.
1:31
Você simplesmente aumenta o risco de não conformidade,
1:34
pois suas configurações técnicas devem operar em sintonia com essas obrigações,
1:37
e não em desafio a elas.
1:39
Isso não é um detalhe técnico, é estrutural.
1:41
Contratos são obrigações, controles técnicos são os mecanismos de aplicação.
1:44
Você pode configurar meticulosamente rótulos de retenção,
1:47
políticas de criptografia e permissões até desmaiar de exaustão,
1:50
mas se essas medidas não estiverem alinhadas com os compromissos codificados no DPA
1:53
e nos termos do produto, você ainda estará exposto.
1:56
Contrato não é algo que você possa contornar.
1:59
É o tiro de partida.
2:00
Sem isso, você não está implementado corretamente.
2:02
Você está improvisando com responsabilidades legais.
2:05
Aqui está um medo que ouço constantemente.
2:07
A Microsoft está treinando secretamente seus LDMs com nossas dúvidas comerciais.
2:10
E a resposta ao contrato é não.
2:12
Prompts, respostas e dados do Microsoft Graph usados pelo Copilot
2:15
não são alimentados de volta nos modelos de base da Microsoft.
2:17
Isso está formalizado tanto nos termos do produto quanto no DPA.
2:20
Seus e-mails não estão sendo usados como notas de treino para o cérebro da IA.
2:24
A Microsoft criou proteções para impedir exatamente isso.
2:26
Se você não sabia disso, parabéns.
2:27
Eu estava se preocupando com um problema que o contrato já resolveu.
2:30
Agora, para reforçar o ponto, imagine a analogia da academia.
2:33
Você achou que estava apenas se inscrevendo para usar uma esteira,
2:35
mas o contrato define silenciosamente o horário de funcionamento
2:38
e as restrições aos equipamentos.
2:39
E sim, a parte sobre usar roupas na sauna.
2:42
Você não pode dizer que deixou de ler a academia e impõe as regras de qualquer maneira.
2:46
A Microsoft opera da mesma forma.
2:47
Infraestrutura e base jurídica, não improviso de parquinho.
2:51
Esses acordos ditam onde os dados residem.
2:53
A residência de dados não é uma abstração filosófica.
2:55
Os reguladores a impõem com clareza brutal.
2:58
Por exemplo, as consultas do Copilot de clientes da UI
3:00
são restritas aos limites de dados da UI.
3:02
Fora da UE, as consultas podem ser roteadas por data centers em outras regiões globais.
3:07
Isso está detalhado nos termos do produto.
3:08
Surpresa ao saber que seus arquivos podem cruzar fronteiras?
3:11
Esse choque só acontece se você não lê o que assinou.
3:14
A propriedade das saídas também é tratada antecipadamente.
3:16
Aqueles slides que o Copilot gera,
3:18
eles são de sua propriedade por padrão.
3:20
Não por um ato de generosidade digital,
3:21
mas porque os termos do produto instruíram o sistema de A
3:23
renunciar a qualquer reivindicação sobre a propriedade intelectual.
3:26
E ainda hauge a DPR e muito mais.
3:28
Notificações de violação de dados, auditoria de uso e subrocessadores,
3:31
tudo isso está no DPA.
3:32
O resultado não é teórico.
3:33
Se a sua implementação não respeitar essas dependências,
3:36
seus controles técnicos tornam-se uma fachada elaborada e impressionante,
3:39
mas vazia.
3:39
Mas vazia.
3:40
O contrato define a arquitetura,
3:42
e só então os interruptores e políticas que você configura
3:44
carregam peso real de conformidade.
3:46
A metáfora que funciona,
3:47
pense no Copilot não como uma tomada elétrica
3:49
em que você se conecta casualmente,
3:50
mas como parte de uma rede elétrica.
3:52
O projeto dessa rede, o diagrama de fiação,
3:54
existe muito antes de você ligar a torradeira.
3:58
Cerrar o diagrama,
3:58
cada movimento técnico posterior criará instabilidade.
4:01
Os contratos são esse diagrama de fiação.
4:02
O botão de administrador é apenas você conectando-se no ponto.
4:05
Sejamos precisos,
4:06
habilitar um usuário não é apenas uma escolha casual.
4:08
Ligar o Copilot coloca em prática
4:10
as obrigações já codificadas nesses documentos.
4:12
Identidade, permissões, criptografia, retenção,
4:15
tudo opera a jusante.
4:16
Os termos contratuais são a governança e seu nível ator.
4:18
Antes mesmo de você atribuir uma função,
4:20
antes define um rótulo de retenção,
4:21
o contrato já resolveu a jurisdição,
4:23
a propriedade e a postura de conformidade.
4:25
Então, aqui está a conclusão.
4:26
Antes de começar a distribuir licenças
4:28
para sua força de trabalho,
4:29
paga.
4:30
105 de pavimento de juízo.
4:31
Verifique se a cobertura do seu DPA
4:32
e dos termos do produto está documentada.
4:34
Mapeie quaisquer compromissos de residência específicos
4:36
de cada região,
4:37
como considerações sobre as fronteiras da UE,
4:38
e estabeleça uma base para suas brilhas.
4:40
Somente então faz sentido permitir
4:41
que a TI comece a atribuir licenças do Copilot.
4:44
E uma vez que a base é reconhecida,
4:46
o próximo passo natural é óbvio.
4:47
Para além da papelada,
4:48
o que essas licenças e atribuições de funções
4:50
realmente controlam quando você as ativa?
4:52
É aí que as verdadeiras travas começam a aparecer.
4:55
Licenças e funções,
4:56
as fechaduras de cada porta.
4:58
Você provavelmente pensa que uma licença
4:59
é apenas uma chave mágica.
5:01
Compram uma, distribuem,
5:02
os usuários digitam prompts
5:03
e de repente o Copilot está redigindo e-mails
5:05
como um estagiário super cafeinado.
5:07
Incorreto.
5:08
Uma licença do Copilot não é uma chave mestra.
5:11
É mais como uma licença de construção
5:12
com segurança na porta.
5:13
A licença define o que pode existir legalmente
5:15
e o segurança impõe quem tem permissão
5:17
para passar da corda.
5:17
Trate o licenciamento como nada mais
5:19
do que um código desbloqueio
5:20
e você já entendeu errado
5:21
como o sistema é conectado.
5:23
Aqui está o esclarecimento
5:24
que você precisa tatuar no seu cérebro.
5:26
As licenças habilitam os recursos do Copilot,
5:28
mas o Copilot só traz à tona dados
5:29
que o usuário já tem permissão
5:30
para viver a Microsoft Graph.
5:32
As permissões são impostas
5:34
pela identidade do seu tenente
5:35
e pelas configurações de RBAC.
5:36
A licença diz sim,
5:37
esta pessoa pode usar o Copilot.
5:39
Mas o RBAC diz não,
5:40
eles ainda não podem abrir espaços privados do CFO
5:42
a menos que já pudessem antes.
5:44
Sem essa distinção,
5:45
as pessoas entram em pânico
5:46
com riscos fantasmos ou pior,
5:47
ignoram os riscos muito reais.
5:50
O licenciamento em si é direto,
5:51
mas necessário.
5:52
O Copilot é um complemento
5:53
aos planos existentes do Microsoft 365.
5:55
Ele não vem pré-instalado
5:56
nos pacotes padrão
5:57
se escolhe participar.
5:58
Atribuir uma licença
5:59
não estende as permissões,
6:00
ela simplesmente concede
6:01
a funcionalidade dentro do Word,
6:02
Excel, Outlook
6:03
e o restante da suíte.
6:04
E aqui está a nuance operacional.
6:06
Algumas funções exigem
6:07
licenciamento adicional,
6:08
como o Purview
6:09
para controle de conformidade
6:10
ou complementos do Defender
6:11
para portões de segurança.
6:12
Tente executar o Copilot
6:14
sem conhecer essas dependências
6:15
e sua implementação
6:16
será tão estável
6:17
quanto montar um andame
6:17
em gelatina.
6:19
Agora, vamos dissipar
6:20
o equívoco mais perigoso.
6:21
Se você atribuir licenças
6:22
do Copilot descuidadamente
6:24
e, digamos,
6:24
espalhá-las pela organização
6:25
sem verificar o RBAC,
6:27
os usuários poderão consultar
6:28
tudo a que já tem acesso.
6:30
Isso significa que,
6:31
se a sua higiene de permissões
6:32
for desleixada,
6:33
o estagiário não se torna
6:34
magicamente um administrador global,
6:35
mas ainda pode encontrar
6:36
documentos confidenciais
6:38
deixados abertos
6:38
para todos por engano.
6:39
Quando você combina
6:40
licenciamento amplo
6:41
com funções flexíveis,
6:42
a exposição na hipotética
6:43
é garantida.
6:44
Os usuários não precisam
6:45
de intenção maliciosa
6:46
para causar vazamentos,
6:46
eles só precisam
6:47
de uma caixa de pesquisa
6:48
e acesso ao dado em acesso.
6:49
As funções são onde
6:49
o andame se sustenta.
6:51
O controle de acesso
6:51
baseado em função
6:52
decide qual nível de acesso
6:53
uma identidade possui.
6:55
Atribua licenças do Copilot
6:56
sem definir o escopo das funções
6:57
e você estará efetivamente
6:58
dando às pessoas lanternas
6:59
com IA em corredores escuros
7:01
por onde elas nem deveriam
7:01
estar andando.
7:02
Feito corretamente,
7:03
o RBAC mantém o Copilot cercado.
7:05
Funcionários do setor financeiro
7:06
só podem consultar
7:07
conjuntos de dados financeiros.
7:08
O marketing só pode gerar
7:09
rascunhos a partir
7:09
de materiais de campanha.
7:11
Adores podem gerenciar
7:11
configurações,
7:12
mas apenas dentro
7:13
dos limites rígidos
7:14
que você definir.
7:15
O Copilot espelha o diretório
7:16
fielmente,
7:16
ele não age sem controle
7:17
a menos que seu diretório
7:18
já seja assim.
7:19
Imagine duas organizações.
7:21
A primeira acredita
7:21
que justiça significa
7:22
licenças idênticas
7:23
com a CSD.
7:24
Todos recebem
7:25
o mesmo escopo do Copilot.
7:26
Pensamento nobre,
7:27
consequência desastrosa.
7:28
O Copilot agora mergulha
7:29
alegremente em bibliotecas
7:31
de contratos,
7:31
registros de RH
7:32
e meios executivos
7:33
porque foram deixados
7:34
compartilhados por acidente.
7:35
A segunda segue disciplina.
7:37
As licenças correspondem
7:38
às necessidades
7:39
e as funções definidas
7:39
nas estritas.
7:41
O financeiro permanece
7:42
restrito ao financeiro,
7:43
o marketing permanece
7:43
restrito ao marketing
7:44
e a T fica na borda.
7:46
Os usuários ainda acham
7:47
que o Copilot é inteligente,
7:48
mas na realidade
7:49
ele está apenas refletindo
7:50
uma arquitetura
7:50
de informação disciplinada.
7:51
Aqui está uma dica
7:52
prática de sobrevivência.
7:53
Pare de atribuir licenças
7:54
manualmente uma por uma.
7:56
Em vez disso,
7:56
use atribuições de licenças
7:57
baseadas em grupos.
7:58
É eficiente e força
7:59
você a revisar
8:00
os membros dos grupos.
8:02
Se você não auditar
8:02
esses membros,
8:03
as licenças podem vazar
8:04
para lugares onde não deveriam.
8:06
E lembre-se,
8:06
as licenças do Copilot
8:07
não podem ser estendidas
8:08
para contas de convidado
8:09
entre locatários cross-tent.
8:10
Não, o consultor
8:11
com o login do Gmail
8:11
não recebe o Copilot
8:13
dentro do seu ambiente.
8:14
Não tente contornar isso.
8:15
O sistema vai bloquear você
8:16
pela primeira vez
8:17
e ser um presente.
8:18
Pense nas licenças
8:19
com passaportes.
8:20
Elas marcam
8:20
quem pertence à fronteira,
8:22
mas passaportes
8:22
não garantem aos cidadãos
8:23
livre trânsito
8:24
pelo continente.
8:25
Vistos e permissões
8:26
de residência,
8:26
deções e restrições.
8:27
As funções e seus vistos.
8:29
Juntos,
8:29
eles estruturam as fronteiras.
8:30
Ignore as funções
8:31
e você será o turista
8:32
exigindo cidadania
8:33
aos gritos na imigração.
8:34
Divertido na melhor
8:35
das hipóteses, pior.
8:36
A elegância aqui
8:37
é que o R-back
8:38
quando o arquitetado
8:38
corretamente torna-se invisível,
8:41
os usuários acham
8:41
que o Copilot conhece.
8:43
O Copilot simplesmente
8:44
ecoa a rede de segurança
8:45
já integrada
8:46
à Microsoft 305.
8:47
Forneça permissões fortes
8:48
e o Copilot
8:49
espelhará a disciplina.
8:50
Forneça a causa
8:51
e o Copilot
8:51
espelhará o caos.
8:53
O espelho é neutro
8:54
e o seu design não é.
8:56
É por isso que licenças
8:56
e funções juntos
8:57
funcionam como
8:58
travas silenciosas
8:59
em toda a sua organização.
9:00
Feito corretamente,
9:01
ninguém percebe.
9:01
Feito de forma ruim,
9:02
você só percebe
9:03
quando o Copilot
9:03
começa a exibir documentos
9:04
que nenhum estagiário
9:05
deveria ler.
9:07
E isso levanta
9:07
o próximo problema.
9:08
Dentro dessas salas trancadas,
9:10
o que o Copilot
9:10
está realmente consumindo?
9:12
A resposta,
9:13
um buffet composto
9:14
pelos seus e-mails,
9:15
seus documentos
9:15
e cada arquivo esquecido
9:16
e super compartilhado
9:17
que você deixou por aí.
9:19
Posição de dados.
9:20
A dieta do Copilot
9:21
é a sua organização inteira.
9:22
Então, falar sobre o que acontece
9:23
é assim que o Copilot
9:24
começa a mexer.
9:25
A exposição de dados
9:26
não é teórica.
9:27
É a consequência cotidiana
9:29
de permitir que o Copilot
9:30
se alimente
9:30
do mesmo diretório
9:31
que você construiu.
9:33
Microsoft 365 Copilot
9:34
obtém conteúdo
9:35
por meio do Microsoft Graph
9:36
e apresenta apenas materiais
9:37
para os quais o usuário
9:38
já possui, no mínimo,
9:39
permissão de visuação.
9:40
O índice semântico
9:41
e o ground respeitam
9:42
os limites de acesso
9:43
baseados em identidade,
9:44
o que significa que a IA
9:45
não acessa cofres
9:45
onde não deveria.
9:47
Ele simplesmente aponta
9:48
o que seu modelo de segurança
9:49
já torna visível,
9:50
muitas vezes de maneiras
9:51
que você não esperava.
9:51
E, no entanto,
9:52
esse é o perigo.
9:53
O Copilot não contorna
9:54
permissões e desespero.
9:55
Se as bibliotecas
9:56
da sua equipe
9:57
estiverem repletas
9:57
de acesso para todos,
9:58
o Copilot irá incluí-las
9:59
alegremente em um resumo.
10:01
Se o SharePoint
10:02
estiver exposto
10:02
de forma descuidada,
10:03
o Copilot integrará
10:04
esses dados em rascunhos.
10:06
Os usuários raramente
10:06
procuram pelos cantos
10:07
bagunçados do seu tenant,
10:09
mas o Copilot não discrimina.
10:11
Ele busca em todo o índice
10:12
e o índice é responsabilidade sua,
10:13
não da Microsoft.
10:14
Pense no Copilot
10:15
como um bibliotecário
10:16
com memória perfeita.
10:18
Funcionários tradicionais
10:19
esquecem um arquivo
10:19
destrancado no porão.
10:21
O Copilot não esquece
10:22
ele escaneia o índice.
10:23
Aquele memorando
10:24
embaraçoso que você deixou
10:24
em uma pasta aberta
10:25
não está mais esquecido,
10:26
está pronto para ser solicitado.
10:27
Novamente, não é malícia,
10:28
apenas eficiência aplicada
10:30
ao caos digital
10:30
que você criou.
10:32
Agora, as permissões
10:32
por si só não são toda equação.
10:34
Entram em senos rótulos
10:35
de acessibilidade.
10:35
Eles não são decoração,
10:36
eles impulsionam a produção.
10:37
Quando um arquivo é rotulado
10:38
como confidencial
10:39
com criptografia aplicada,
10:40
o Copilot deve respeitá-lo.
10:43
E aqui está o detalhe preciso.
10:45
Quando os rótulos
10:45
impõem criptografia
10:46
ou exigem direitos
10:47
de uso de extração,
10:48
o Copilot só processa o conteúdo
10:49
se o usuário tiver permissões
10:50
de visualização e extração.
10:52
Caso contrário,
10:52
o Copilot bloqueia.
10:53
Os rótulos também sembram.
10:55
Portanto, quando o Copilot
10:56
gera uma nova apresentação
10:57
de slides baseada
10:58
em um arquivo sensível,
10:59
o rótulo e as proteções
11:00
são transferidos automaticamente.
11:01
Nenhuma intervenção humana
11:02
é necessária.
11:03
Isso é bom,
11:04
porque se você depender
11:04
de os usuários finais
11:05
lembrarem de rotular
11:06
cada documento derivado,
11:07
você está confiando
11:08
nos humanos contra a entropia.
11:10
Estatisticamente, eles perdem.
11:11
Estruturas regulatórias
11:12
amplificam isso.
11:13
O GDPR não se importa
11:14
que as permissões
11:14
tenham permitido isso.
11:16
O IPA não se importa
11:16
que alguém tenha deixado
11:17
acidentalmente registros
11:18
de pacientes com câncer
11:19
abertos para uma equipe
11:20
de marketing.
11:21
A ISO não ignora
11:21
quando os processos
11:22
são inconsistentes.
11:23
Os reguladores se preocupam
11:24
com a superfície de acesso.
11:25
Ponto final.
11:26
Se sua configuração
11:27
de permissão permite
11:28
que dados pessoais
11:29
apareçam via Copilot,
11:30
sua postura de conformidade
11:31
está comprometida.
11:33
Alegar que a IA
11:33
apenas refletiu as permissões
11:35
é como argumentar
11:35
que você não deveria receber
11:36
uma multa de trânsito
11:37
porque seu pé naturalmente
11:38
pressionou o pedal do acelerador.
11:40
As leis discordam
11:41
e também não simplificam
11:42
demais as regras
11:42
de residência de dados.
11:44
Para clientes da UE,
11:44
a Microsoft encaminha
11:45
o processamento do Copilot
11:46
através da fronteira
11:47
de dados da UE
11:47
quando é necessário.
11:48
Mas, e isso é crucial,
11:50
as consultas de pesquisa
11:50
na UE Bell Bing
11:51
não estão incluídas
11:52
nas garantias
11:52
da fronteira de dados da UE.
11:54
Elas seguem uma política
11:55
de tratamento separados
11:56
completamente separada.
11:57
Presuma que todos os dados
11:58
estão protegidos
11:58
da mesma forma se já estará.
12:00
Os reguladores notarão
12:01
a nuance mesmo
12:01
que você não tenha
12:02
esse dado ao trabalho de ler.
12:03
Quanto à persistência.
12:05
Prompts, respostas
12:06
e logs de atividade
12:06
do Copilot
12:07
não flutuam
12:07
para alguma instalação
12:08
de treinamento de LLM?
12:10
Eles são armazenados
12:11
dentro do limite de serviço
12:12
do Microsoft 365,
12:14
onde a retenção e exclusão
12:15
podem ser gerenciadas
12:15
com o Purview, é claro.
12:17
Os administradores
12:18
podem usar a pesquisa
12:19
de conteúdo e políticas
12:20
de retenção do Purview
12:20
para governar assistência.
12:22
E a Microsoft é explícita.
12:23
Prompts e respostas do Graph
12:24
não treinam os modelos
12:25
de base do Copilot.
12:26
Memorando o trimestral
12:27
do seu CEO
12:28
não está sendo ingerido
12:28
secretamente
12:29
para melhorar a IA
12:30
de outra pessoa.
12:31
Então, como você começa
12:32
a reduzir o raio de alcance?
12:33
Execute uma auditoria
12:35
de permissões,
12:36
remova os grupos todos
12:37
e execute avaliações
12:38
de gerenciamento
12:38
de postura
12:39
de segurança de dados
12:40
de SPM do Purview
12:41
para descobrir arquivos
12:42
e bibliotecas
12:42
deixados em um limbo
12:43
de compartilhamento excessivo.
12:45
Porque, quer você perceba ou não,
12:46
o Copilot tem permissão
12:47
para exibir qualquer acesso
12:48
que você tenha concedido
12:49
acidentalmente.
12:50
Fingir o contrário
12:51
não vai te salvar.
12:52
Claro, você não pode
12:53
terceirizar a responsabilidade
12:54
apenas para o Purview.
12:55
O Purview é um filtro, sim,
12:56
mas o filtro só funciona
12:57
se você classificar os dados
12:58
corretamente desde o início.
13:00
Rotule o conteúdo
13:01
corretamente
13:02
ou deixe o sem roda.
13:02
E o filtro simplesmente
13:03
Copilot não é ganancioso,
13:05
ele é compatível.
13:06
O que você vê refletido
13:07
nas respostas do Copilot
13:08
é um espelho
13:08
da sua higiene de permissões.
13:10
Se essa higiene estiver intacta,
13:12
os insights parecerão
13:12
organizados e relevantes.
13:14
Se for desleixado,
13:14
o Copilot exibirá
13:15
alegremente a supervisão.
13:17
E quando a aplicação
13:17
das regras finalmente
13:18
colide com toda essa exposição,
13:19
as coisas ficam interessantes.
13:21
O Copilot pode tentar
13:22
entregar uma resposta organizada,
13:23
mas ser interrompido
13:24
no meio do caminho
13:24
por uma regra de conformidade
13:25
que retira o conteúdo.
13:26
Não é um bug,
13:27
nem uma falha da IA.
13:28
É o controle de segurança
13:29
se exercendo sua autoridade.
13:31
O que nos traz
13:32
a verdadeira história?
13:33
Como as ferramentas subjacentes
13:34
Centro de Administração,
13:35
Purview e Defender
13:35
realmente coordenam
13:36
para limitar, monitorar
13:37
e interceptar
13:37
as respostas do Copilot.
13:39
Você acha que está
13:40
apenas mudando uma chave,
13:40
mas na realidade
13:41
acabou de conduzir um orquestra.
13:43
Controles técnicos,
13:44
a sinfonia por trás do interruptor.
13:45
É a máxima click inofensiva
13:47
em uma caixa de seleção
13:47
no Centro de Administração
13:48
do Microsoft 365
13:49
e na verdade é batuto mais.
13:51
Você não está ligando o interruptor,
13:52
você está dizendo
13:53
um sistema de conformidade integrado
13:54
exatamente como ele deve se comportar.
13:56
O Centro de Administração,
13:57
Purview e Defender
13:59
colocando músicas de fundo.
14:01
Eles são instrumentos
14:01
de uma performance
14:02
e orquestrada.
14:03
Aqui está a lista do elenco
14:04
com descrições de trabalho preciso.
14:06
Centro de Administração,
14:07
Sistema de Controle do Tenant,
14:08
a rede elétrica.
14:08
Ele lida com atribuições de licença,
14:10
configurações de nível de tenante
14:11
do Copilot e ativação de plugins.
14:13
Os administradores configuram
14:14
quem recebe o Copilot,
14:15
definem canais de atualização
14:16
e gerenciam as condições de base.
14:18
Purview ou controle
14:18
alfandegar na fronteira.
14:20
Ele classifica, rotula
14:21
e inspeciona tudo
14:21
o que flui pelo Microsoft Graph.
14:24
Ele impõe a retenção
14:25
por meio de políticas,
14:26
aplica a prevenção
14:26
contra a perda de dados,
14:28
DLP, descobre riscos
14:29
com a gestão de postura
14:30
de segurança de dados
14:30
para a IA, DSPM
14:31
e registra cada ação
14:32
em trilhas de auditoria.
14:35
Então temos o Defender,
14:36
o braço de execução.
14:37
Especificamente,
14:38
o Microsoft Defender
14:38
for Endpoint
14:39
fornece execução
14:40
em tempo de execução,
14:41
alertas e DLP de Endpoint.
14:42
Ele monitora o comportamento,
14:44
bloqueia ações de risco,
14:45
concular dados confidenciais
14:46
e ferramentas de IA de terceiros
14:47
e interrompe o conteúdo
14:48
do Copilot
14:48
quando as regras coincidem.
14:50
Isso não é uma falha
14:50
à política sendo executada
14:51
na prática.
14:52
O administrador comum
14:53
comete a suposição fatal
14:54
dos homens.
14:55
Eles tratam essas ferramentas
14:56
como se cada uma
14:56
vivesse em uma caixa celana.
14:58
Não.
14:58
Elas se sobrepõem constantemente.
15:00
O centro de administração
15:01
pode ativar o Copilot,
15:02
mas sem os rótulos
15:03
e políticas do Purview,
15:04
o conteúdo flui
15:05
sem classificação.
15:06
O Purview cria as regras,
15:08
mas sem a imposição
15:08
do Defender,
15:09
as violações passam direto.
15:11
Trate qualquer uma
15:12
como opcional
15:12
e você não estará
15:13
gerenciando a conformidade,
15:14
estará brigando o caos.
15:15
Imagine.
15:16
Você provisiona licenças
15:17
no centro de administração,
15:18
mas nunca se preocupe
15:19
em configurar os rótulos
15:20
de confidencialidade do Purview.
15:21
O Copilot indexa alegremente
15:22
os arquivos abertos
15:23
e, de repente,
15:24
seus estagiários
15:24
podem tropeçar em documentos
15:25
de rascunho de estratégia
15:26
do email.
15:27
Ou considere configurações
15:28
de DLP do Defender
15:28
essencialmente agressivo.
15:30
O usuário solicita ao Copilot
15:31
um resumo da receita trimestral,
15:33
mas o arquivo subjacente
15:34
inclui impulsos de conta
15:35
incorporados classificados
15:36
como restritos.
15:37
O Defender corta
15:37
a saída instantaneamente.
15:39
O funcionário reclama
15:39
que o Copilot está quebrado.
15:41
Não está.
15:42
O Defender impôs
15:42
o que se disse para impor.
15:44
A imposição em tempo de execução
15:45
não é uma sabotagem agatória.
15:45
É a consequência natural
15:47
de um design de política desalinhado.
15:49
Compense desta forma.
15:50
O Admin Center escreve a lei
15:51
e o Purview inspeciona a carga
15:52
e o Defender impõe
15:53
em tempo de execução.
15:55
Não são três ferramentas para afusar.
15:56
São três dimensões
15:57
de um único mecanismo de conformidade.
15:59
Se alguém for mal configurado
16:00
ou ignorado,
16:01
o resultado é ruído,
16:02
não governança.
16:03
Agora, para as táticas
16:04
e técnicas concretas
16:05
que você deve seguir.
16:07
Passo 1.
16:07
Ative o registro de auditoria
16:08
unificada no Purview
16:09
e ative a gestão de postura
16:10
de segurança de dados para IAA.
16:12
O DSPM verifica arquivos
16:14
compartilhados em excesso
16:15
ou dados ocultos
16:16
que o Copilot pode trazer à tona.
16:18
E com um clique,
16:18
você pode gerar políticas
16:19
automaticamente
16:20
para tapar lacunas óbvias.
16:22
Passo 2.
16:22
Aplique rótulos de confidencialidade
16:24
de forma consistente
16:25
e combine-os com políticas
16:26
de DLP do Purview
16:27
que restringem completamente
16:28
o Copilot
16:28
e processar dados
16:29
altamente confidenciais.
16:30
Combine-os com regras de retenção
16:32
para que prompts e respostas
16:33
tenham controle de ciclo de vida.
16:34
Passo 3.
16:35
Reforce o perímetro.
16:36
Use acesso condicional
16:37
e autenticação multifator
16:38
na camada de identidade
16:39
e implante o DLP
16:40
de endpoint do Defender
16:41
em cada dispositivo.
16:42
Dessa forma,
16:43
os funcionários não podem
16:44
contornar as proteções
16:45
copiando e colando
16:45
respostas confidenciais
16:46
em ferramentas de A
16:47
de terceiros não autorizadas.
16:48
Esses três movimentos
16:49
bloqueiam o ecossistema
16:50
na classificação de políticas
16:51
e no tempo de execução
16:52
simultaneamente.
16:53
Não se esqueça
16:54
dos cavalos de batalha
16:54
mais fiosos.
16:55
A retenção e a descoberta
16:56
eletrônica
16:56
e discover do Purview
16:57
garantem que você
16:58
não esteja apenas
16:58
aplicando regras
16:59
no citar provas.
17:00
Quando os órgãos reguladores
17:01
chegam com suas pranchetas
17:02
exigindo provas,
17:02
você precisa de registros
17:03
de auditoria pesquisáveis
17:04
e um histórico
17:05
recuperável do uso do cupac.
17:06
Isso não é conformidade decorativa,
17:07
é sobrevivência.
17:09
A conformidade de comunicação
17:10
adiciona mais um posto
17:11
de inspeção,
17:12
detectando prontos arriscados
17:13
ou possíveis má-condutas
17:14
na forma como os usuários
17:15
consultam o copilot.
17:16
Ignore isso
17:17
e você ficará cego
17:18
para o uso indevido
17:18
que se forma dentro do seu tempo.
17:20
A tentação é sempre ver
17:21
a conformidade como algo
17:21
que você aplica
17:22
sobre os sistemas.
17:24
Isso está errado.
17:25
Esses controles
17:25
são o sistema operacional
17:26
da governança do copilot.
17:28
Licenciamento, classificação,
17:29
retenção, bloqueio, registro,
17:30
eles não complementam
17:31
como o copilot funciona,
17:32
eles o definem.
17:33
O pilot não existe no vácuo.
17:34
Ele existe apenas
17:36
dentro das políticas,
17:37
rótulos e proteções
17:37
que você conectou ao ambiente
17:39
e isso nos leva
17:40
ao problema maior.
17:41
Controles técnicos
17:42
podem ser ajustados
17:43
com precisão,
17:44
mas sua eficácia colide
17:45
com um fator muito menos
17:45
previsível às pessoas.
17:47
Você pode configurar
17:48
políticas de retenção impecáveis,
17:49
regras de DRP herméticas,
17:51
uma aplicação sólida
17:52
por meio do Defender.
17:53
Mas o que acontece
17:54
no momento em que a governança
17:55
é reduzida a um memorando
17:56
do Outlook que ninguém lê?
17:58
Infelizmente,
17:58
é aí que emerge
17:59
a verdadeira fragilidade
18:00
do controle.
18:01
Governança na prática,
18:02
regras versus solidar.
18:03
A governança na prática
18:05
é onde a teoria
18:05
finge encontrar a realidade,
18:07
geralmente falha.
18:08
Políticas no papel
18:08
são frágeis.
18:09
Você as distribui,
18:10
realiza uma reunião geral,
18:12
declara vitória
18:12
e em poucos dias
18:13
elas são enterradas
18:14
por e-mails não lidos.
18:16
Governança
18:16
que não é conduzida
18:17
pelo sistema
18:17
não é governança.
18:18
É uma história para iná.
18:19
Se você quer regras
18:20
que realmente funcionem,
18:21
elas devem ser codificadas
18:22
diretamente nas ferramentas
18:23
que seus funcionários
18:24
já usam.
18:25
Caso contrário,
18:26
seus controles operam
18:27
com base na confiança
18:28
e os funcionários
18:29
os tratarão de acordo.
18:29
Governança
18:31
não é decoração
18:31
nem aspiração.
18:32
É a camada de tradução
18:33
que pega exigências
18:34
abstratas de conformidade,
18:36
protege dados pessoais,
18:37
restringe acessos sensíveis
18:38
e os ancora
18:39
em comportamentos reais
18:39
aplicados pela plataforma.
18:42
Sem isso,
18:42
políticas são retórica vazia.
18:43
Com isso,
18:44
as regras
18:44
tornam-se inevitáveis.
18:46
Um rótulo de retenção
18:47
aplicado pelo Purview
18:47
fala mais alto
18:48
do que qualquer memorando de RH
18:49
porque o sistema
18:50
não dá aos usuários
18:50
um botão de desativação.
18:52
A governança, então,
18:52
são as legendas
18:53
de um filme estrangeiro.
18:54
Os funcionários
18:55
não precisam concordar
18:56
para entender
18:56
o que está acontecendo.
18:57
O sistema força
18:58
a compreensão por design.
19:00
Veja a instrução
19:00
ridiculamente inútil.
19:02
Não compartilhe
19:02
arquivos sensíveis
19:03
com o Copilot.
19:04
Parece severa,
19:05
mas tem o poder
19:06
de suazão
19:06
de um post-it
19:07
dizendo
19:07
não coma os biscoitos
19:08
em frente a um prato
19:09
de biscoitos.
19:10
Em vez disso,
19:11
configure uma política
19:12
de prevenção
19:12
contra a perda de dados
19:13
no Purview,
19:13
direcionado ao local
19:14
da experiência
19:15
do Microsoft Copilot.
19:16
Isso significa que,
19:17
quando o Copilot
19:18
encontrar um arquivo
19:19
altamente confidencial,
19:20
ele não poderá resumi-lo
19:21
ou processá-lo,
19:22
não importa quão educado
19:23
ou desavisado
19:23
seja o prômpito
19:24
do funcionário.
19:27
desintegrado ao sistema.
19:29
Compare isso
19:29
com campanhas gerais
19:30
de conscientização.
19:31
E a diferença é óbvia.
19:32
Uma diz aos usuários
19:33
o que não fazer,
19:34
a outra torna a ação
19:34
proibida tecnicamente
19:35
impossível.
19:36
Analogia do carro,
19:38
vamos resumir.
19:39
Dizer aos usuários
19:40
para não compartilharem dados
19:41
é como colocar
19:41
placas de limite de velocidade.
19:42
Configurar rótulos
19:43
de sensibilidade padrão,
19:44
rotulagem automática
19:45
e políticas de DLP
19:45
para o Copilot
19:46
é como instalar
19:46
um limitador de velocidade real
19:48
que impede o carro
19:48
de passar de 100 km por hora.
19:50
Que impede o carro
19:50
de passar de 100 km por hora.
19:51
Mas qual delas
19:52
os órgãos reguladores preferem?
19:53
Aquela que remove
19:54
a escolha humana da equação
19:55
e francamente
19:56
eu deveria preferir.
19:57
Agora, utilize as ferramentas
19:58
de governança da Microsoft
19:59
porque desta vez
20:00
elas são úteis.
20:00
Porvio a rotulagem automática
20:02
e os rótulos
20:02
de sensibilidade padrão
20:03
forçam a classificação
20:04
mesmo quando os funcionários
20:05
esquecem.
20:06
Mas esquecem.
20:07
Os rótulos de retenção
20:08
aplicam cronogramas
20:08
automaticamente
20:09
para que arquivos esquecidos
20:10
não permaneçam braçados.
20:12
A conformidade de comunicação
20:13
funciona como seu sistema
20:14
de vigilância.
20:15
Ela pode verificar
20:15
prompts e respostas
20:16
do Copilot
20:17
para sinalizar dados
20:17
inadequados inseridos na IA.
20:19
Isso não é exagero,
20:20
é o mínimo necessário
20:21
e o Purview DSPM
20:23
para IA oferece visibilidade
20:24
sobre o consumo do Copilot
20:25
com políticas de remediação
20:26
de um clique
20:26
que encerram exposições de risco.
20:28
Juntos, eles fecham
20:29
um ciclo entre o que você planejou
20:31
e o que o sistema impõe.
20:33
Isso é importante
20:33
porque o elo mais fraco
20:34
é previsível às pessoas.
20:36
Oficiais de conformidade
20:37
escrevem regras,
20:38
administradores configuram
20:39
ferramentas
20:40
e funcionários ignoram
20:41
tudo isso no momento
20:41
em que ficam ocupados.
20:43
A conformidade de comunicação
20:44
não pode impedir
20:45
que humanos tentem algo imprudente,
20:46
mas pode detectar
20:46
a tentativa
20:47
de gerar telemetria.
20:48
DSPM não depende
20:49
de boa vontade.
20:50
Ele encontra dados
20:51
compartilhados excessivamente
20:52
e oferece políticas
20:53
para corrigir-os automaticamente.
20:54
Essas ferramentas
20:55
não solicitam disciplina,
20:56
elas é impõem.
20:57
Claro, governança
20:58
não é apenas ferramenta.
20:59
A estrutura...
21:00
Uma implementação sensata
21:01
inclui um conselho
21:02
de IA multifuncional
21:03
nos centros de excelência.
21:04
Uma mesa onde jurídicos,
21:05
segurança, RH e TI
21:07
se sentam para alinhar regras
21:08
com os controles técnicos.
21:10
A orientação da Microsoft
21:11
incentiva isso
21:12
em uma encenação opcional.
21:14
Sem alinhamento,
21:14
um lado imprime diretrizes vagas
21:16
enquanto o outro
21:16
configura realidades
21:17
completamente diferentes.
21:19
Governança não é apenas
21:20
um limite técnico,
21:21
uma coreografia organizacional.
21:23
A comparação
21:24
entre duas empresas
21:24
fictícias
21:25
deixa o ponto claro.
21:27
A empresa A
21:27
produz uma diretriz
21:28
elegante de uma página.
21:29
Use o Copilot
21:30
com responsabilidade.
21:32
A empresa B
21:32
configura modelos
21:33
do preview
21:34
para bloquear o acesso
21:34
do Copilot
21:35
a dados não classificados.
21:37
Seis meses depois,
21:38
a empresa A
21:39
corre para conter
21:39
um vazamento
21:40
após arquivos confidenciais
21:41
aparecerem em resumos
21:42
do Copilot.
21:42
A empresa B
21:43
não.
21:44
Ambas tinham governança.
21:45
Apenas uma tratou a governança
21:46
como um sistema.
21:47
Spoiler,
21:48
a encenação falha,
21:48
a automação vence.
21:49
A conclusão necessária
21:50
é direta.
21:51
A governança não vive em PDFs,
21:53
pôsteres ou slides
21:53
de treinamento obrigatório.
21:55
Ela vive em controles técnicos
21:56
que os usuários
21:57
não podem contornar.
21:58
Políticas coladas na parede
21:59
podem parecer oficial.
22:00
Regras de preview
22:01
configuradas,
22:01
bloqueios de DLP
22:02
e rótulos de sensibilidade
22:03
são de fato oficiais.
22:05
Panhas de conscientização
22:06
são tempero,
22:06
aplicação das regras
22:07
é o que sustenta.
22:08
E sim,
22:09
a educação do usuário
22:09
importa,
22:12
as regras você já perdeu.
22:14
Portanto,
22:14
governança na prática
22:15
se resume a isto.
22:16
Traduzir cada expectativa
22:17
em uma regra
22:18
imposta pelo sistema
22:19
que funciona,
22:19
quer os usuários
22:20
colaborem ou não.
22:21
Só assim a conformidade
22:22
sobrevive ao contato
22:23
com a realidade.
22:24
E quando esses limites
22:25
automatizados estão no lugar,
22:27
Copilot não funciona
22:27
apenas como um assistente de IA,
22:29
ele se torna
22:29
a demonstração
22:30
do seu modelo de governança
22:31
funcionando em tempo real.
22:33
Isso nos leva
22:34
à percepção maior
22:34
de que ativar o Copilot
22:35
não é habilitar
22:36
a inteligência artificial,
22:37
é acionar um sistema
22:37
de controle completo
22:38
entre contratos,
22:39
permissões,
22:40
restrições de dados
22:40
e governança.
22:42
E é precisamente
22:44
esse panorama geral
22:44
que precisamos examinar sim.
22:46
Ligar o Copilot
22:47
nunca é apenas ativar a IA
22:48
e acionar o mecanismo
22:49
de conformidade.
22:50
Aquele único clique
22:51
gera uma cascata
22:52
em contratos, licenças,
22:53
proteções de dados
22:54
e regras de aplicação.
22:55
Se tratar como uma automação mágica,
22:56
você lê o sistema
22:57
de forma errada.
22:57
Você acionou lei,
22:58
política e segurança
22:59
no mesmo movimento.
23:00
Se você quer que o Copilot
23:01
funcione sem detonar riscos,
23:03
verifique três itens
23:04
no seu tenente esta semana.
23:06
Execute uma avaliação
23:07
de DSPM do Purview
23:08
para a IA
23:09
e aplique as correções
23:10
de um clique,
23:11
atribua licenças
23:11
para o grupo com RBA
23:12
que escopo do ENTRA
23:13
e habilite a auditoria,
23:14
retenção e DLP do Purview
23:16
para bloquear dados
23:16
de alta sensibilidade.
23:19
Se isso lhe poupou
23:19
um tempo doloroso
23:20
de solução de problemas,
23:21
inscreva-se.
23:22
Seu futuro administrador
23:23
agradecerá.
23:24
E lembre-se,
23:24
com o Copilot
23:25
a Microsoft já criou
23:26
os controles e as diretrizes.
23:28
Configure-os
23:28
e a conformidade
23:29
transforma a IA
23:30
de uma ameaça percebida
23:30
em um facilitador
23:31
confiável e disciplinado.