Latest / M365.FM – Podcast Microsoft 365, Copilot & AI Bahasa Indonesia / Apakah Microsoft 365 Copilot Membocorkan Data Anda? Cara Mengamankan Izin Graph, DLP, dan Purview (Sulih Suara AI)

Transcript

Apakah Microsoft 365 Copilot Membocorkan Data Anda? Cara Mengamankan Izin Graph, DLP, dan Purview (Sulih Suara AI) · M365.FM – Podcast Microsoft 365, Copilot & AI Bahasa Indonesia

• 0:00
  Siap untuk 10 hari pembahasan Microsoft 365, Copilot, AI, Azure, dan para tokoh yang membentuk masa depan dunia kerja.
• 0:07
  Januari ini, M365 Con kembali hadir dan kami tampil. Lebih besar.
• 0:12
  Bergabunglah bersama kami dalam sesi langsung demo dunia nyata dan pengetahuan praktis dari para MVP serta pakar industri di seluruh dunia.
• 0:18
  Tanpa jargon yang tak ada habisnya, yang tak ada habisnya.
• 0:22
  Kami akan membahas tantangan nyata.
• 0:23
  Copilot Studio, Agen AI, Fabrik, Keamanan, Tata Kelola, dan Otomatisasi.
• 0:28
  Baik Anda seorang profesional TI, pengembang, atau pemimpin bisnis, ada sesi yang dirancang khusus untuk Anda.
• 0:35
  Selama 10 hari penuh, Anda bisa menjelajahi berbagai teknologi dan terhubung dengan komunitas global.
• 0:40
  Saksikan secara langsung dan bawa wasan praktis kembali ke organisasi Anda.
• 0:45
  Januari 2027, 10 hari, satu komunitas Microsoft.
• 0:49
  Pendaftaran sudah dibuka sekarang.
• 0:51
  Kunjungi M365 Con.net dan amankan tempat Anda hari ini.
• 0:55
  Itu adalah M365 Con.net.
• 1:00
  Bergabunglah sekarang di M365 Con.net dan sampai jumpa secara langsung di bulan Januari.
• 1:05
  Jika Anda pikir Copilot hanya menampilkan apa yang sudah diizinkan untuk Anda lihat, pikirkan lagi.
• 1:09
  Satu izing graph yang salah dan tiba-tiba AI Anda bisa menampilkan data yang tidak pernah disetujui tim kepatuhan Anda.
• 1:14
  Bagian yang menakutkan Anda mungkin bahkan tidak sadar hal itu yang terjadi.
• 1:16
  Dalam video ini, saya akan mengurahkan risiko nyata dari akses Copilot yang tidak dikelola.
• 1:20
  Bagaimana file sensitif, spreadsheet keuangan, dan data klien rahasia bisa bocor.
• 1:23
  Dan data klien rahasia bisa bocor.
• 1:25
  Lalu saya akan tunjukkan cara menguncinya.
• 1:27
  Menggunakan izing graph, kebijakan DLP, dan preview tanpa menghambat produktivitas bagi mereka yang memang butuh akses.
• 1:32
  Bagi mereka yang memang butuh akses.
• 1:33
  Saat Copilot tahu terlalu banyak, seorang staff junior meminta Copilot catatan ulasan proyek kuarta lalu.
• 1:40
  Dan yang muncul bukan ringkasan rapi rapat mereka, melainkan risalah mendetail dari sesi dewan direksi pribadi,
• 1:44
  termasuk keputusan strategi, pemotongan anggaran, dan nama-nama yang seharusnya tidak pernah sampai ke kotak masuk orang tersebut.
• 1:51
  Tidak ada peringatan pelanggaran yang berbunyi, tidak ada peringatan DLP,
• 1:54
  hanya AI yang diam-diam memberikan dokumen yang seharusnya tidak pernah disentuhnya.
• 1:58
  Ini terjadi karena Copilot tidak secara ajaib berhenti di kotak surat atau folder OneDrive pengguna.
• 2:02
  Jangkauannya ditentukan oleh izin yang diberikan melalui Microsoft Graph.
• 2:06
  Graph
• 2:06
  Dan Graph bukan sekadar basis data, itu adalah titik akses pusat ke hampir setiap konten di Microsoft 365,
• 2:14
  SharePoint, pesan Teams, acara kalender, OneNote, dan data CRM yang terhubung ke tenan.
• 2:20
  Semuanya mengalir melalui Graph jika pintu yang tepat terbuka.
• 2:23
  Itulah bagian yang sering dilawatkan banyak.
• 2:24
  Ada asumsi umum bahwa jika saya masuk sebagai di saya, Copilot hanya akan melihat apa yang bisa saya lihat.
• 2:30
  Terdengar masuk akal.
• 2:30
  Masalahnya adalah Copilot sendiri sering berjalan dengan rangkaian izin aplikasi yang terpisah.
• 2:36
  Jika izin tersebut lebih luas daripada hak pengguna yang masuk,
• 2:39
  Anda akan mendapatkan asisten AI yang dapat mengakses jauh lebih banyak daripada manusia di depan keyboard.
• 2:45
  Dan dalam beberapa penyebaran, izin yang ditingkatkan tersebut diberikan tanpa ada yang mempertanyakan alasannya.
• 2:51
  Bayangkan seorang analis keuangan sedang mengerjakan peragiran kuartal.
• 2:53
  Mereka meminta Copilot data pipeline terkini untuk 20 akun teratas.
• 2:58
  Dalam peran regular mereka, mereka seharusnya hanya melihat angka untuk sebagian kecil klien.
• 3:03
  Namun berkat cakupan Graph dalam pendaftaran aplikasi Copilot, AI menarik seluruh laporan pipeline penjualan dari situs tim bersama yang tidak pernah diakses langsung oleh analis tersebut.
• 3:12
  Dari perspektif pengguna akhir, tidak ada yang terlihat mencurigakan.
• 3:16
  Namun dari sudut pandang keamanan kepatuhan itu adalah paparan data sensitif.
• 3:20
  Izin AP Graph secara efektif adalah pintu gerbang menuju data organisasi Anda.
• 3:24
  Microsoft membaginya menjadi izin yang didelegasikan,
• 3:27
  yang bertindak atas nama pengguna yang masuk dan izin aplikasi yang memungkinkan aplikasi beroperasi secara mandiri.
• 3:32
  Eh, skenario Copilot seringkali memerlukan izin yang didelegasikan untuk pengambilan konten,
• 3:37
  tetapi fitur tertentu seperti meringkas rapat teams yang tidak dihadiri pengguna dapat mendorong admin menyetujui izin tingkat aplikasi.
• 3:45
  Dan disitulah bahaya merek masuk.
• 3:47
  Izin aplikasi mengabaikan batasan pengguna individu kecuali Anda sengaja membatasinya.
• 3:53
  Persetujuan ini sering terjadi di awal peluncuran dan admin TI
• 3:55
  yang menguji Copilot di penyewa pengembangan mungkin ngeklik terima pada permintaan izin hanya untuk menyelesaikan pengaturan,
• 4:02
  lalu mereplikasi konfigurasi itu ke produksi tanpa meninjau implikasinya.
• 4:06
  Sudah diterapkan, izin luas tersebut akan tetap ada kecuali seseorang secara aktif mengauditnya.
• 4:12
  Seiring waktu, saat sumber data baru terhubung ke M365,
• 4:15
  jangkauan Copilot meluas tanpa keputusan yang disadari.
• 4:19
  Itu adalah periapan izin yang senyap, tanpa drama, tanpa keluhan pengguna,
• 4:22
  hanya perluasan cakupan AI secara bertahap.
• 4:25
  Tantangannya adalah sebagian besar tim keamanan tidak paham kemampuan Copilot,
• 4:29
  mana yang memerlukan tingkat akses graf yang mana.
• 4:31
  Mereka mungkin melihat izin untuk membaca semua file di SharePoint dan berasumsi itu dibatasi oleh konteks pengguna
• 4:37
  tanpa menyadari bahwa izin tersebut berlaku di seluruh penyewa pada tingkat aplikasi.
• 4:41
  Tanpa memetakan skenario AI tertentu ke izin minimum yang diperlukan,
• 4:45
  Anda akhirnya menggunakan apapun yang disetujui dalam pengaturan awal tersebut.
• 4:50
  Dan semakin luas hak-hak tersebut,
• 4:51
  semakin besar pula potensi kesenjangan antara perilaku yang diharapkan dan perilaku yang sebenarnya.
• 4:55
  Perlu diingat juga bahwa output Copilot tidak dilengkapi dengan sejak izin bawaan yang terlihat oleh pengguna.
• 5:04
  Jika AI mengambil konten dari lokasi yang biasanya diblokir bagi pengguna untuk dijelajahi,
• 5:08
  tidak ada sepandut peringatan yang menyatakan bahwa ini diluar izin Anda.
• 5:12
  Kurangnya transparansi tersebut membuat paparan berisiko lebih mudah membaur ke dalam alur kerja sehari-hari.
• 5:17
  Poin penting di sini adalah bahwa izin grab untuk penyebaran AI bukan sekadar kotak centang lain dalam proses orientasi.
• 5:23
  Itu adalah pilihan desain yang membentuk setiap interaksi yang akan dilakukan Copilot di jaringan Anda.
• 5:28
  Perlakukan hal tersebut layaknya aturan firewall atau cakupan akses VPN harus terencana,
• 5:32
  ditinjau dan divalidasi ulang secara berkala.
• 5:36
  Pengaturan bawaan mungkin mempercepat Anda,
• 5:38
  namun juga mengasumsikan Anda nyaman dengan AI yang menjangkau lebih luas daripada manusia di baliknya.
• 5:43
  Kini setelah kita melihat betapa mudahnya cakupan meluas,
• 5:45
  pertanyaan berikutnya adalah bagaimana menemukan celah tersebut sebelum menjadi insiden besar.
• 5:50
  Menemukan kebocoran sebelum data tersebar.
• 5:51
  Jika Copilot sudah menampilkan data yang seharusnya tidak muncul, apakah Anda akan menyadari?
• 5:55
  Bagi sebagian besar organisasi, jawaban jujurnya adalah tidak.
• 5:58
  Bukan berarti informasi tersebut akan diunggah ke situs publik atau dikirim ke daftar email-email.
• 6:04
  Kebocoran bisa muncul secara diam-diam di dalam draft dokumen, ringkasan,
• 6:08
  atau jawaban yang dibuat AI.
• 6:10
  Dan kecuali seseorang melihat sesuatu yang ganjil, hal itu akan lolos tanpa memicu peringatan.
• 6:15
  Masalah visibilitas ini berawal dari bagaimana sebagian besar sistem pemantauan dibangun.
• 6:18
  Sistem tersebut diatur untuk aktivitas tradisional, unduhan file, lokasi login tidak wajar,
• 6:23
  atau pengiriman email besar, bukan cara AI mengambil dan mengompilasi informasi.
• 6:29
  Copilot tidak membuka file dalam pengertian biasa.
• 6:31
  Ia mengweri sumber data melalui Microsoft Graph,
• 6:33
  mengompilasi hasilnya, dan mengajikannya sebagai teks bahasa alami.
• 6:37
  Itu berarti laporan akses file standar bisa terlihat bersih,
• 6:41
  sementara AI tetap mengambil data dari lokasi sensitif di latar belakang.
• 6:46
  Saya pernah melihat situasi di mana perusahaan hanya menyadari ada yang salah
• 6:49
  karena seorang karyawan menyebut nama klien yang bukan ranah departemennya.
• 6:54
  Saat manajer bertanya dari mana mereka tahu, jawabannya adalah copilot menyertakannya di dok saya.
• 6:58
  Tidak ada tiket insiden, tidak ada peringatan otomatis, hanya komentar.
• 7:01
  Acak yang membuat IT melakukan investigasi.
• 7:03
  Saat mereka berhasil mengumpulkannya, tanggapan AI yang sama sudah dibagikan ke beberapa tim.
• 7:10
  Microsoft 365 menyediakan alat untuk menyelidiki skenario semacam ini,
• 7:14
  namun Anda harus tahu tempat mencarinya.
• 7:16
  Fitur Audit Purview dapat merekam akses data copilot secara detail.
• 7:20
  Hanya saja tidak diberi label khusus dengan tanda AI yang mencolok.
• 7:24
  Setelah berada di pencarian log audit,
• 7:25
  Anda bisa memfilter operasi spesifik yang digunakan copilot seperti query pencarian atau file yang diakses.
• 7:31
  Lalu mempersebutnya dengan ID aplikasi terkait.
• 7:35
  Hal itu memperlukan sedikit persiapan.
• 7:37
  Anda perlu mengafirmasi detail registrasi aplikasi di Android agar bisa mengidentifikasi lalu lintasnya.
• 7:42
  Dari sana, langkah selanjutnya adalah mengenali pula.
• 7:44
  Jika Anda melihat query bervolume tinggi dari akun yang biasanya memiliki kebutuhan data rendah,
• 7:48
  seperti akun magang melakukan 10 pencarian kompleks dalam sejam,
• 7:51
  itu perlu diperiksa, itu perlu diperiksa.
• 7:52
  Begitu pula lonjakan, tiba-tiba konten berlabel rahasia yang muncul di departemen yang biasanya tidak mengaksesnya.
• 7:58
  Purview dapat menandai aktivitas label,
• 8:00
  jadi jika query copilot mengambil dokumen berlabel, Anda akan melihatnya di-log meskipun AI tidak menampilkan teks lengkapnya.
• 8:08
  Tinjauan akses berbasis peran adalah cara lain untuk menghubungkan berbagai hak.
• 8:12
  Dengan memetakkan siapa saja yang benar-benar menggunakan copilot
• 8:14
  dan mencocokkannya dengan jenis data yang mereka interasikan,
• 8:16
  Anda dapat melihat potensi ketidaksesuaian sejak dini.
• 8:19
  Mungkin bagian keuangan sering menggunakan copilot untuk laporan,
• 8:22
  itu masuk akal, tetapi mengapa ada beberapa akun pemasaran yang mengakses spreadsheet penggaji melalui query AI?
• 8:26
  Tinjauan tersebut memberi Anda gambaran yang lebih luas di luar satu peristiwa dalam jejak audit.
• 8:32
  Masalahnya adalah dashboard pemantauan umum tidak akan banyak membantu di sini.
• 8:36
  Mereka menggabungkan setiap aktivitas M365 ke dalam kategori luas
• 8:40
  yang dapat menyebabkan perilaku khusus AI menyatu dengan operasi normal.
• 8:43
  Tanpa membuat filter atau laporan khusus yang berfokus pada ID aplikasi dan pola penggunaan copilot Anda,
• 8:50
  Anda pada dasarnya sedang mencari butiran pasir tertentu di tengah tumpukan data yang sangat banyak.
• 8:55
  Anda merlukan visibilitas yang terarah, bukan sekadar lebih banyak visibilitas.
• 8:58
  Ini bukan tentang membangun budaya pengawasan,
• 8:59
  tetapi tentang mengetahui dengan pasti apa yang sebenarnya diambil oleh AI Anda.
• 9:03
  Pendekatan pencatatan log yang tepat menjawab tiga pertanyaan penting.
• 9:06
  Apa yang diambil oleh copilot?
• 9:07
  Apa yang micunya?
• 9:08
  Dan apakah tindakan tersebut selaras dengan kebijakan keamanan dan kepatuhan Anda yang ada?
• 9:12
  Jawab penjabat tersebut memungkinkan Anda mengatasi masalah dengan tepat,
• 9:15
  entah itu berarti menyesuaikan izin, menyempurnakan aturan DLP, atau memperketat penetapan peran.
• 9:21
  Tanpa kejelasan itu, Anda hanya bisa menebak-nebak.
• 9:24
  Dan menebak bukanlah sebuah strategi keamanan.
• 9:26
  Jadi, alih-alih menunggu komentar santai lainnya yang memberi Anda petunjuk.
• 9:30
  Ada baiknya, meluangkan waktu untuk menyusun pemantauan Anda agar jejak copilot terlihat dan dapat dilacak.
• 9:36
  Dengan cara ini, setiap tanda paparan data berlebih menjadi peristiwa yang terkelola, bukan kejutan.
• 9:42
  Mengetahui di mana kebocoran terjadi hanyalah langkah pertama.
• 9:45
  Tujuan sebenarnya adalah memastikan kebocoran tersebut tidak terjadi lagi, dan disinilah perlindungan yang tepat berperan.
• 9:50
  Perlindungan yang benar-benar berfungsi.
• 9:52
  DLP bukan hanya untuk menangkap email yang berisi nomor kartu kredit.
• 9:56
  Dalam konteks copilot, DLP dapat menjadi pemicu yang menghentikan data sensitif agar tidak menyusup
• 10:01
  ke dalam jawaban yang dibuat AI yang kemudian ditempelkan ke obrolan Teams
• 10:04
  atau dieksplor ke dokumen yang keluar dari tenan Anda.
• 10:07
  Ini masih alat dasar yang sama di Microsoft 365, tetapi cara Anda mengonfigurasinya untuk skenario AI
• 10:14
  memerlukan pelapikir yang berbeda.
• 10:16
  Kesenjangannya adalah sebagian besar kebijakan DLP organisasi masih ditulis dengan
• 10:20
  mempertimbangkan pemicu gaya lama, lampiran email, pengunduhan file ke drive USB,
• 10:24
  menyalin data ke aplikasi yang tidak disetujui, menyalin data ke aplikasi yang tidak disetujui.
• 10:29
  Copilot tidak memicu aturan tersebut secara default karena tidak mengirim file.
• 10:33
  Copilot membuat konten secara langsung 1.7.
• 10:35
  Jika Anda meminta daftar lengkap pelanggan yang ditandai terbatas kepada copilot
• 10:40
  dan ia mengambilnya dari dokumen berlabel, hasilnya dapat tersebar tanpa memicu kondisi DLP tradisional.
• 10:47
  Itulah sebabnya prom dan respons AI harus secara eksplisit dimasukkan ke dalam cakupan DLP Anda.
• 10:52
  Sebagai contoh praktis, katakanlah kebijakan Anda melarang ekspor dokumen kontrak tertentu ke luar lingkungan aman Anda.
• 10:59
  Seorang pengguna dapat meminta copilot untuk mengekstrak pasal-pasal penting dan memasukkannya ke dalam powerpoint.
• 11:04
  Jika aturan DLP Anda tidak memantau konten yang dibuat AI, materi sensitif tersebut kini berada dalam file yang tidak terlindungi.
• 11:12
  Dengan memperluas inspeksi DLP untuk mencakup output copilot, Anda dapat memblokir powerpoint tersebut
• 11:16
  agar tidak disimpan di lokasi yang tidak terkelola atau dibagikan kepada tamu eksternal di Teams.
• 11:21
  Menyiapkan ini di Microsoft 365 tidaklah rumit, namun memerlukan proses yang cermat.
• 11:27
  Pertama, di portal kepatuhan Microsoft Purview, buka bagian pencegahan kehilangan data dan buat kebijakan baru.
• 11:33
  Saat Anda memilih lokasi untuk menerapkannya, sertakan Exchange, SharePoint, OneDrive, dan yang terpenting Teams
• 11:39
  karena copilot dapat menampilkan data ke salah satu lokasi tersebut.
• 11:43
  Kemudian, tentukan kondisinya.
• 11:44
  Anda dapat menargetkan tipe informasi sensitif bawaan seperti nomor rekening keuangan atau tipe kustom yang mendeteksi kode proyek internal Anda.
• 11:53
  Dan jika Anda menggunakan label sensitifitas secara konsisten, Anda juga dapat mengatur kondisi untuk
• 11:57
  memicu saat konten berlabel muncul dalam output akhir file yang disimpan atau dibagikan.
• 12:03
  Terakhir, konfigurasikan tindakannya.
• 12:05
  Blokir pembagian.
• 12:06
  Tampilkan tip kebijakan kepada pengguna.
• 12:08
  Atau minta justifikasi untuk melanjutkan.
• 12:10
  Label sensitifitas itu sendiri adalah bagian penting agar hal ini berfungsi.
• 12:14
  Dalam konteks AI, label adalah metadata yang dapat dibaca copilot seperti layanan M365 lainnya.
• 12:21
  Jika dokumen yang sangat rahasia memiliki label yang membatasi akses dan penggunaan,
• 12:25
  copilot akan mematuhi batasan tersebut saat membuat jawaban
• 12:28
  asalkan pengaturan perlindungan label diterapkan secara konsisten di seluruh aplikasi terkait.
• 12:34
  Jika AI mencoba menggunakan konten dengan label di luar cakupan yang diizinkan,
• 12:38
  kebijakan DLP yang ditautkan ke label tersebut dapat mencegah tindakan atau menandainya untuk ditinjau.
• 12:42
  Tanpa keterkaitan tersebut, label hanyalah hiasan dari sudut pandang kepatuhan.
• 12:48
  Salah satu kesalahan konfigurasi paling umum yang saya temui adalah membiarkan kebijakan DLP sama sekali tidak menyadari skenario AI.
• 12:54
  Aturannya ada, tetapi tidak ada tautan ke output copilot karena admin belum menganggapnya sebagai saluran terpisah.
• 12:59
  Hal itu menciptakan titik buta di mana istilah sensitif dalam jawaban yang dihasilkan tidak diperiksa meskipun teks yang sama dalam email akan diblokir.
• 13:08
  Namun untuk memperbaikinya, Anda harus menganggap alur kerja yang dibantu AI sebagai salah satu lokasi DLP Anda dan memantaunya bersama dengan yang lainnya.
• 13:15
  Saat DLP dan label sensitivitas dikonfigurasi dengan benar dan saling terintegrasi, copilot tetap dapat berguna tanpa menimbulkan masalah kepatuhan.
• 13:25
  Anda bisa membiarkannya menyusun laporan, meringkas dokumen, dan menelusuri kumpulan data sembari tetap menerapkan batasan yang sama seperti pada email atau pesan teams.
• 13:33
  Pemunan mendapatkan manfaat dari bantuan AI dan sistem perlindungan mencegah informasi berisi ketinggi bocor keluar.
• 13:40
  Unggulannya di sini bukan hanya tentang mencegah pembagian data yang tidak disengaja.
• 13:43
  Namun, ini tentang memungkinkan teknologi beroperasi di dalam aturan yang jelas.
• 13:47
  Dengan begitu, Anda tidak perlu menggunakan pembatasan menyeluruh yang membuat tim frustrasi dan menghambat adopsi.
• 13:52
  Anda dapat menyesuaikan kontrol agar pemasaran bisa bertukar ide dengan copilot, keuangan bisa melakukan analisis, dan SDM bisa membuat panduan orientasi masing-masing dalam zona yang diizinkan.
• 14:02
  Namun, mengendalikan output hanya sebagian dari tantangannya.
• 14:06
  Untuk mengurangi risiko sepenuhnya, Anda juga harus memutuskan siapa saja yang mendapatkan akses ke kemampuan AI tertentu sejak awal.
• 14:13
  Akses satu ukuran tidak cocok untuk semua.
• 14:15
  Apakah seorang pemagang pemasaran dan seorang CFO benar-benar harus memiliki hak akses copilot yang sama?
• 14:20
  Tidak tersebut terdengar konyol saat diucapkan, tetapi di banyak penyewa, tenan, justru itulah pengaturannya.
• 14:26
  Copilot diaktifkan untuk semua orang dengan injen yang sama karena lebih cepat, dan mudah daripada menangani konfigurasi khusus berperan.
• 14:32
  Kekurangannya adalah akses AI disesuaikan dengan skenario yang paling terbuka, bukan kebutuhan masing-masing peran.
• 14:38
  Di sini peran grup akses copilot berbasis peran dibutuhkan.
• 14:41
  Daripada menganggap setiap pengguna dapat dipertukarkan, Anda menyelaraskan kemampuan AI dengan informasi dan alur kerja yang memang dibutuhkan oleh peran tertentu.
• 14:48
  Pemasaran mungkin memerlukan akses ke aset kampanye dan perdoman merek, tetapi bukan model keuangan mentah.
• 14:56
  Tim keuangan membutuhkan model tersebut, tetapi mereka tidak membutuhkan petajalan produk tahap awal.
• 15:01
  Tujuannya bukan untuk membuat copilot kurang berguna, melainkan agar cakupannya tetap relevan dengan pekerjaan masing-masing orang.
• 15:07
  Risiko di pengaktifan universal lebih besar dari yang diperkirakan sebagian besar tim.
• 15:10
  Copilot bekerja dengan memanfaatkan data yang sudah ada di lingkungan Microsoft 365 Anda.
• 15:14
  Jika semua stak memiliki akses AI yang setara, teknologi ini dapat menjembatani silo yang sengaja Anda pertahankan.
• 15:23
  Begitulah, akhirnya asisten SDM tidak sengaja menemukan perincian pendapatan atau pimpinan operasional meminta rencana rilis produk tahun depan kepada copilot dan mendapatkan detail desain yang bahkan belum final.
• 15:34
  Semua yang tidak terasa seperti pelanggaran saat itu terjadi, tetapi paparannya nyata.
• 15:38
  Mendapatkan model akses yang tepat dimulai dengan memetakkan fungsi pekerjaan kekebutuhan data bukan hanya aplikasi yang digunakan orang,
• 15:44
  tetapi kedalaman dan sensitivitas data yang mereka akses sehari-hari.
• 15:48
  Anda mungkin menemukan bahwa 70 persen permintaan tim penjualan Anda ke copilot melibatkan riwayat akun pelanggan,
• 15:53
  sementara kurang dari 5 persen mengakses file kontrak yang sangat sensitif.
• 15:58
  Itu menunjukkan Anda bisa dengan aman menyimpan sebagian besar penggunaan AI mereka di pustaka sharepoint tertentu sambil mengunci sisanya.
• 16:03
  Lakukan latihan itu di setiap deportemen dan pelakon-pelakon akan muncul.
• 16:06
  Setelah Anda tahu apa yang harus dimiliki setiap grup Microsoft Entry ID, yang masih sering disebut Azure ID, menjadi alat menegakkan aturan Anda.
• 16:14
  Anda membuat grup keamanan yang sesuai dengan definisi peran, lalu menetapkan izin copilot di tingkat grup.
• 16:20
  Itu bisa berarti mengaktifkan cakupan graph API tertentu hanya bagi anggota grup copilot keuangan,
• 16:25
  sementara grup copilot pemasaran memiliki rangkaian yang berbeda.
• 16:28
  Akses ke situs sensitif saluran Teams atau folder OneDrive tertentu bisa mengikuti model yang sama.
• 16:34
  Kekuatan pendekatan ini muncul saat dilapisi dengan kontrol yang sudah kita bahas sebelumnya.
• 16:38
  Oh, izin graph menentukan batas terluar dari apa yang secara teknis bisa dijangkau oleh copilot.
• 16:44
  Kebijakan DLP memantau output AI untuk konten sensitif.
• 16:48
  Grup berbasis peran berada di antaranya untuk memastikan izin graph tidak terlalu luas bagi peran dengan sensitivitas rendah.
• 16:56
  Dan DLP tidak menangkap hal yang seharusnya bisa dicegah sejak awal dengan membatasi sumber input.
• 17:02
  Namun seperti sistem lainnya, hal ini bisa dilakukan secara berlebih.
• 17:04
  Memang menggoda untuk membuat grup mikro bagi setiap skenario.
• 17:08
  Copilot analis keuangan dengan izin pelaporan atau magang pemasaran tanpa akses Teams.
• 17:12
  Dan akhirnya memiliki puluhan variasi.
• 17:15
  Tingkat granularitas seperti itu mungkin terlihat tepat di atas kertas, namun di lingkungan nyata itu adalah beban pemeliharaan.
• 17:20
  Pengguna berganti peran, proyek berubah, kontraktor datang, dan pergi.
• 17:24
  Jika model grup terlalu rapuh, staff TI Anda akan menghabiskan lebih banyak waktu memperbaiki masalah akses daripada benar-benar meningkatkan keamanan.
• 17:31
  Tujuan sebenarnya Laksima.
• 17:32
  Segelintir grup peran yang jelas dan terdefinisi dengan baik akan mencakup sebagian besar kasus penggunaan tanpa menciptakan hambatan administratif.
• 17:38
  Grup CFO memerlukan kemampuan analisis yang luas, namun dengan kontrol ketat pada berbagi output.
• 17:44
  Grup magang mendapatkan cakupan data terbatas, namun cukup kemampuan untuk berkontribusi pada pekerjaan nyata.
• 17:51
  Pimpinan departemen mendapatkan jalan tengah dan TI tetap memiliki kemampuan untuk menyesuaikan saat proyek khusus memerlukan pengecualian.
• 17:56
  Anda tidak sedang berusaha mengunci segalanya hingga ke titik yang memperfrustrasi.
• 18:00
  Anda menjaga agar setiap pengalaman AI tetap relevan, aman, dan selaras dengan kebijakan.
• 18:05
  Saat Anda melakukannya dengan benar, manfaatnya akan segera terlihat.
• 18:08
  Pengguna tidak lagi terkejut dengan data yang diberikan Copilot karena selalu berada dalam ruang lingkup tanggung jawab mereka.
• 18:14
  Tim kepatuhan memiliki lebih sedikit insiden untuk diselidiki karena paparambal lebih tidak terjadi secara tidak sengaja.
• 18:18
  Dan TI akhirnya bisa maju dengan fitur Copilot baru tanpa khawatir peluncuran global akan secara diam-diam mengikis semua batasan data yang telah mereka bangun.
• 18:29
  Dengan akses dan perlindungan yang bekerja bersama, Anda telah mengurangi profil risiko Anda secara signifikan.
• 18:34
  Namun, model yang dirancang dengan baik hanya berguna jika Anda dapat membuktikan kinerjanya, baik kepada diri sendiri maupun siapapun yang meminta audit.
• 18:41
  Membuktikan kepatuhan tanpa menghambat kecepat.
• 18:44
  Kepatuhan bukan sekadar formalitas keamanan, melainkan bukti yang membuat auditor kuas.
• 18:48
  Kebijakan dan aturan memang bagus, tetapi jika Anda tidak bisa menunjukkan apa yang terjadi pada data yang dibantu AEI, Anda hanya sekadar berasumsi tanpa bukti.
• 18:56
  Lingkungan Copilot yang siap audit berarti setiap interaksi mulai dari kuri pengguna hingga pengambilan data oleh AI dapat dijelaskan dan didukung oleh rekam jejak yang terverifikasi.
• 19:06
  Bagian yang sulit adalah banyak perusahaan merasa aman karena mereka telah lulus tinjauan internal.
• 19:10
  Tinjauan tersebut seringkali hanya memeriksa keberadaan kontrol dan beberapa skenario sampel, namun tidak selalu menuntut tingkat detail yang diharapkan auditor eksternal.
• 19:21
  Ketika penilai luar meminta catatan semua konten sensitif yang diakses Copilot pada kuartal lalu beserta siapai, yang memintanya dan mengapa seringkali muncul celah yang mengejutkan.
• 19:31
  Log tersebut mungkin tidak lengkap atau justru melewatkan peristiwa terkait AEI karena sejak awal tidak pernah diberi label demikian.
• 19:39
  Di sinilah Microsoft Purview dapat memberikan perbedaan besar.
• 19:42
  Kemampuan kepatuannya bukan sekadar menerapkan label dan kebijakan DLP.
• 19:47
  Sistem ini juga mengumpulkan bukti forensik yang Anda butuhkan.
• 19:50
  Dalam konteks Copilot, Purview dapat mencatat setiap permintaan akses data yang relevan, identitas dibaliknya, dan lokasi sumbernya, dan lokasi sumbernya.
• 19:56
  Sistem ini juga dapat mengorelasikan peristiwa tersebut dengan pola pergerakan data seperti file sensitif yang dirujuk dalam draft ringkasan atau ekspor tanpa mengandalkan laporan mandiri dari AEI.
• 20:07
  Skor kepatuan Purview bukan sekadar metrik untuk kaya-kayaan.
• 20:10
  Skor ini adalah gambaran bagaimana lingkungan Anda memenuhi kontrol yang direkomendasikan Microsoft, termasuk yang secara langsung membatasi risiko terkait AI.
• 20:17
  Kebersihan izin grafik yang lebih kuat, konfigurasi DLP yang lebih ketat, dan grup berbasis peran yang terkelola dengan baik semuanya berkontribusi pada skor tersebut.
• 20:25
  Dan karena skor diperbarui saat Anda melakukan perubahan, Anda dapat melihat secara hampir real-time bagaimana peningkatan tata kelola AI memperkuat posisi kepatuhan Anda.
• 20:33
  Bayangkan sebuah ujian regulasi, di mana Anda harus membenarkan mengapa data pelanggan tertentu muncul dalam laporan yang dihasilkan Copilot, InPilot.
• 20:41
  Tanpa pencatatan yang terstruktur, percakapan itu akan berubah menjadi sekadar tebak.
• 20:44
  Dengan konfigurasi purview yang tepat, Anda dapat menunjukkan permintaan akses dalam log audit, merujuk pada peran dan izin yang mengotorisasinya, serta membuktikan bahwa output tetap berada dalam saluran yang disetujui.
• 20:54
  Itu jauh lebih mudah daripada harus bersusah payah menjelaskan peristiwa yang tidak terdokumentasi.
• 20:58
  Kuncinya adalah menjadikan pelaporan kepatuhan sebagai bagian dari siklus tata kelola TI normal Anda, bukan sekadar proyek khusus sebelum audit.
• 21:04
  Laporan otomatis sangat membantu dalam hal ini.
• 21:07
  Purview dapat membuat laporan berkala mengenai kecocokan kebijakan pelindungan informasi, insiden DLP, dan penggunaan label sensitivitas.
• 21:14
  Saat laporan tersebut dijadwalkan untuk masuk ke ruang kerja tim tata kelola Anda setiap bulan, Anda membangun tolok ukur aktivitas AI yang mudah ditinjau.
• 21:23
  Anomali apapun akan terlihat menonjol dibandingkan dengan polisnya.
• 21:26
  Fitur penghemat waktu ini sangat bermanfaat.
• 21:27
  Sebagai contoh, Purview hadir dengan laporan bawaan yang menyoroti semua insiden yang melibatkan konten berlabel yang dikelompokkan berdasarkan lokasi atau jenis aktivitas.
• 21:36
  Jika sesi co-pilot menarik dokumen rahasia ke dalam output dan DLP Anda bereaksi terhadapnya, insiden itu sudah muncul dalam laporan tanpa perlu membuat query khusus dari awal.
• 21:46
  Anda kemudian dapat menelusuri catatan tersebut untuk detail lebih lanjut, tetapi tugas berat pengumpulan dan kategorisasi sudah diselesaikan.
• 21:51
  Efisiensi lainnya adalah integrasi antara audit Purview dan data akses berbasis peran Microsoft 365.
• 21:59
  Karena Purview memahami grup EntraID, Purview dapat membagi log akses berdasarkan jenis peran.
• 22:05
  Itu berarti Anda dapat menjawab pertanyaan per fokus dengan cepat seperti tunjukkan semua contoh di mana peran pemasaran mengakses data berlabel keuangan melalui co-pilot dalam 90 hari terakhir.
• 22:14
  Kemampuan untuk memfilter berdasarkan peran dan klasifikasi data adalah hal yang dicari oleh peninjau eksternal.
• 22:21
  Jika dipikirkan, kepatuhan pada tingkat ini bukanlah sebuah beban.
• 22:24
  Ini adalah pengaman yang memastikan desain tata keolah Anda bekerja dalam prakteknya.
• 22:28
  Ini juga menghilangkan stres saat audit karena Anda tidak perlu mencari-cari data.