Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Lekt Microsoft 365 Copilot je data? Zo beveilig je Graph-machtigingen, DLP en Purview (AI-nasynchronisatie)

Transcript

Lekt Microsoft 365 Copilot je data? Zo beveilig je Graph-machtigingen, DLP en Purview (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

0:00
Klaar voor 10 dagen Microsoft 365, Copilot, AI, Azure en de mensen die de toekomst van werk vormgeven?
0:07
Deze januari is M365, kom terug en pakken we groter uit.
0:12
Doe mee voor live sessies, praktijkdemos en praktische kennis van MVPs en experts van over de hele wereld.
0:18
Geen algemene sliedes, geen eindeloze modewoorden.
0:21
We pakken de echte uitdagingen aan Copilot Studio, AI Agents, Fabric, Beveiliging, Governance en Automatisering.
0:29
Of je nu een IT-professional, ontwikkelaar of zakelijk leider bent, er zijn sessies speciaal voor jou ontworpen.
0:35
Met 10 volledige dagen kun je diverse technologieën verkennen en in contact komen met een wereldwijde community.
0:40
Kijk live mee en neem praktische inzichten mee terug naar je organisatie.
0:44
Januari 2027, 10 dagen, 1 Microsoft Community.
0:49
De registratie is nu geopend.
0:51
Ga naar m365.com.net en verzeker je vandaag nog van een plek.
0:56
Dat is m365.com.net.
0:59
Doe mee op m365.com.net en we zien je live in januari.
1:04
Als je denkt dat Copilot alleen laat zien waar je al toestemming voor hebt, denk dan nog eens na.
1:09
Een verkeerde Graf toestemming en plotseling kan je AI gegevens tonen waar je compliance team nooit toestemming voor gaf.
1:14
Het enge is, misschien merk je niet eens dat het gebeurt.
1:17
In deze video bespreek ik de echte risico's van onbeheerde Copilot toegang en hoe gevoelige bestanden, financiële spreadsheets en vertrouwelijke klantgegevens kunnen lekken.
1:25
Daarna laat ik zien hoe je dit beveiligt met brevmachtigingen, DLP-beleid en Purview zonder de productiviteit te hinderen van mensen die de toegang echt nodig hebben.
1:33
Wanneer Copilot te veel weet, vraagt een junior medewerker om notices van de projectevaluatie van het vorige kwartaal.
1:40
En wat terugkomt is geen nette samenvatting van hun eigen vergadering, maar gedetailleerde notulen van een besloten bestuursvergadering,
1:46
inclusief strategische beslissingen, bezuinigingen en namen die nooit in die persoon zijn inbox hadden mogen belanden.
1:51
Er gingen geen inbreukmeldingen af, geen DLP-waarschuwing, alleen een AI die stilletjes een document overhandigde dat het nooit had mogen aanraken.
1:58
Dit gebeurt omdat Copilot niet magischerwijs stopt bij de mailbox of OneDrive-map van een gebruiker.
2:03
Het bereik wordt bepaald door de machtigingen die het via Microsoft Graph heeft gekregen.
2:07
En Graph is niet zomaar een database, het is het centrale toegangspunt tot bijna elk stukje content in Microsoft 365,
2:14
SharePoint, Teams berichten, agenda afspraken, Wannot en CRM gegevens gekoppeld aan de tenant.
2:20
Alles stroomt door Graph als de juiste deur is ontgrendeld.
2:23
Dat is het punt dat veel beheerders missen.
2:25
Er is een algemene aanname dat als ik ben ingelogd als mezelf, Copilot alleen ziet wat ik kan zien.
2:30
Klinkt redelijk.
2:31
Het probleem is dat Copilot zelf vaak draait met een aparte set applicatiemachtigingen.
2:36
Als die rechten ruimer zijn dan die van de ingelogde gebruiker, krijg je een AI-assistent die veel meer kan bereiken dan de mens achter het toetsenbord.
2:45
En bij sommige implementaties worden die verhoogde rechten gegeven zonder dat iemand vraagt waarom.
2:50
Stel je een financieel analist voor die aan een kwartaalprognose werkt.
2:54
Zij vragen Copilot om de huidige pijplijngegevens voor de top 20 accounts.
2:58
In hun normale rol zouden ze alleen cijfers voor een subset van klanten moeten zien.
3:02
Maar dankzij hoe Graph is afgebakend in de app-registratie van Copilot, haalt de AI het volledige verkooppijplijnrapport op van een gedeelde teamsite waartoe de analist nooit direct toegang heeft gehad.
3:13
Vanuit het perspectief van de eindgebruiker ziet niets er verdacht uit.
3:16
Maar vanuit beveiligings- en compliance-oogpunt is dat een gevoelige blootstelling.
3:20
Graph API-rechten zijn in feite de voordeur naar de gegevens van je organisatie.
3:24
Microsoft splitst deze in gedelegeerde rechten die handelen namens een ingelogde gebruiker- en applicatierechten, waarmee een app zelfstandig kan opereren.
3:33
Copilot-scenario's vereisen vaak gedelegeerde rechten voor het ophalen van inhoud, maar bepaalde functies zoals het samenvatten van een teamsvergadering waar de gebruiker niet bij was, kunnen beheerders ertoe aanzetten om applicatierechten goed te keuren.
3:45
En dat is waar het gevaar om de hoek komt kijken. Applicatierechten negeren individuele gebruikersbeperkingen, tenzij je ze bewust afbakend.
3:52
Deze goedkeuringen gebeuren vaak vroeg in een uitrol en een IT-beheerder die copilot in een dev-tenant test, kan op accepteren klikken bij een rechtenverzoek om de installatie te voltooien en die configuratie vervolgens in productie repliceren zonder de implicaties te beoordelen.
4:06
Eenmaal ingesteld, blijven die ruime rechten bestaan tenzij iemand ze actief controleert. Na verloop van tijd, naarmate nieuwe gegevensbronnen worden verbonden met M365, breidt het bereik van copilot zich uit zonder bewuste beslissing.
4:19
Dat is stille rechtenuitbreiding, geen drama, geen klachten van gebruikers, gewoon een geleidelijke vergroting van het bereik van de AI.
4:25
De uitdaging is dat de meeste beveiligingsteams niet goed weten welke copilot-mogelijkheden welk niveau van graph-toegang vereisen.
4:32
Ze zien misschien alle bestanden lezen in SharePoint en gaan ervan uit dat dit beperkt is door de gebruikerscontext, zonder te beseffen dat de toestemming ten het breed is op applicatieniveau.
4:41
Zonder specifieke AI-scenario's te koppelen aan de minimaal noodzakelijke rechten, val je terug op wat er in die eerste configuratie is goedgekeurd.
4:50
En hoe ruimer die rechten, hoe groter de potentiële kloof tussen verwacht en daadwerkelijk gedrag.
4:55
Het is ook goed om te onthouden dat de output van copilot geen ingebouwd rechtenoverzicht bevat dat zichtbaar is voor de gebruiker.
5:04
Als de AI-inhoud ophaalt van een locatie waar de gebruiker normaal gesproken de toegang tot zou worden ontzegd, is er geen waarschuwingsbanner die zegt dat dit buiten je bevoegdheid valt.
5:12
Dat gebrek aan transparantie maakt het gemakkelijker voor risicovolle blootstellingen om op te gaan in alledaagse workflows.
5:17
De conclusie hier is dat graph-rechten voor AI-implementaties niet zomaar een vinkje zijn in het onboardingproces.
5:24
Het is een ontwerpkeuze die elke interactie vormgeeft die copilot op je netwerk zal hebben.
5:28
Behandel ze zoals je firewall-regels of VPN-toegangsbereiken zou behandelen, wel overwogen, gecontroleerd en periodiek opnieuw gevalideerd.
5:36
Standaardinstellingen zorgen misschien voor een snelle start, maar ze gaan er ook vanuit dat je het prima vindt dat de AI een veel breder net uitwerpt dan de mens erachter.
5:42
Nu we hebben gezien hoe gemakkelijk het bereik kan afwijken, is de volgende vraag hoe je die gaten vindt voordat ze uitgroeien tot een volledig incident.
5:50
Lekken vinden voordat ze naar buiten stromen.
5:52
Als copilot al data zou tonen die niet voor jou bestemd is, zou je dat überhaupt opmerken?
5:55
Voor de meeste organisaties is het eerlijke antwoord nee.
5:58
Het is niet zo dat de informatie op een openbare site wordt geplaatst of naar een mailinglijst wordt gestuurd.
6:04
Het lek kan stilletjes verschijnen in een concept, document, een samenvatting of een door AI gegenereerd antwoord.
6:10
En tenzij iemand iets ongebruikelijks opmerkt, glipt het voorbij zonder alarm te slaan.
6:14
Het zichtbaarheidsprobleem begint bij hoe de meeste monitoring systemen zijn gebouwd.
6:19
Ze zijn afgestemd op traditionele activiteiten, zoals best- en downloads, ongebruikelijke inloglocaties en grote e-mailverzendingen, niet op de manier waarop AI informatie ophoudt en samenstelt.
6:29
Copilot opent bestanden niet in de gebruikelijke zin.
6:31
Het doorzoekt databronnen via Microsoft Graph, verzamelt de resultaten en presenteert ze als tekst in natuurlijke taal.
6:38
Dat betekent dat standaard rapporten over bestandstoegang schoon kunnen lijken, terwijl de AI op de achtergrond nog steeds uit gevoelige bronnen put.
6:45
Ik heb situaties gezien waarin een bedrijf pas door had dat er iets mis was omdat een werknemer terloop zijn klantnaam noemde die niet binnen het takenpakket van hun afdeling viel.
6:54
Toen de manager vroeg hoe ze dat wisten, was het antwoord, copilot heeft het in mijn concept gezet.
6:58
Er was geen incident ticket, geen automatische melding, alleen een willekeurige opmerking die IT tot een onderzoek aanzette.
7:04
Tegen de tijd dat ze het hadden uitgezocht, waren diezelfde AI-antwoorden al gedeeld met verschillende teams.
7:10
Microsoft 365 biedt je de tools om dit soort scenario's te onderzoeken, maar je moet wel weten waar je moet zoeken.
7:16
De auditfunctie van Purview kan de datatoegang van copilot in detail registreren.
7:20
Het is alleen niet gelabeld met een groot knipperend AI-label.
7:24
Zodra je in de auditlogboek zoekopdracht zit, kun je filteren op de specifieke bewerkingen die copilot gebruikt,
7:29
zoals uitgevoerde zoekopdrachten of geopende bestanden, en dit verfijnen met de applicatie ID die aan jouw copilot implementatie is gekoppeld.
7:35
Dat vereist wat voorbereiding.
7:37
Je zult de app registratiegegevens in Entra ID willen bevestigen, zodat je het verkeer kunt identificeren.
7:42
Vanaf dat punt gaat het om het herkennen van patronen.
7:44
Als je een hoog volume aan zoekopdrachten ziet van accounts die normaal weinig data nodig hebben,
7:48
zoals een stagiairaccount dat 10 complexe zoekopdrachten in een uur uitvoert, dan is dat het onderzoeken waard.
7:52
Hetzelfde geldt voor plotselingen pieken in inhoud met het label, vertrouwelijk,
7:56
die opduiken bij afdelingen die daar normaal niet mee werken.
7:58
Purview kan labelactiviteit markeren als een copilot query dus een gelabeld document ophaalt,
8:03
zie je dat in de laks, zelfs als de AI de volledige tekst niet heeft weergegeven.
8:07
Op rollen gebaseerde toegangsbeoordelingen zijn een andere manier om de puzzelstukjes samen te voegen.
8:12
Door in kaart te brengen wie copilot daadwerkelijk gebruikt en dit te kruisen met de soorten gegevens waarmee ze werken,
8:17
kun je potentiële mismatches vroegtijdig opsporen.
8:19
Misschien gebruikt finance copilot intensief voor rapporten, wat logisch is,
8:23
maar waarom benaderen meerdere marketingaccounts salaris-spreadsheets via AI-queries?
8:27
Die beoordelingen geven je een breder beeld dan alleen losse gebeurtenissen in het auditspoor.
8:32
Het addertje onder het gras is dat algemene monitoring dashboards hier niet veel helpen.
8:36
Ze voegen alle M365 activiteiten samen in brede categorieën,
8:41
waardoor AI-specifiek gedrag kan opgaan in de normale operaties.
8:44
Zonder aangepaste filters of rapporten die gericht zijn op je copilot-epid en gebruikspatronen,
8:50
ben je in feite op zoek naar specifieke zandkorrels op een heel strand aan data.
8:54
Je hebt gerichte zichtbaarheid nodig, niet zomaar meer zichtbaarheid.
8:58
Het gaat er niet om een surveillancecultuur op te bouwen, maar om met zekerheid te weten wat je AI daadwerkelijk ophaalt.
9:03
Een goede logboekstrategie beantwoordt drie kritieke vragen.
9:06
Wat heeft copilot opgehaald?
9:07
Wie heeft dit geactiveerd?
9:09
En kwam die actie overeen met je bestaande beveiligings- en compliancebeleid?
9:12
Met die antwoorden kun je problemen nauwkeurig aanpakken,
9:15
of dat nu betekent dat je een machtiging aanpast,
9:18
een DLP-regel verfijnd of roleinstellingen aan SharePT.
9:21
Zonder die duidelijkheid blijf je gissen, en gissen is geen beveiligingsstrategie.
9:26
Dus, in plaats van te wachten op een toevallige opmerking die je alarmeert,
9:29
is het de moeite waard om tijd te investeren in het structureren van je monitoring,
9:33
zodat de voetafdruk van copilot zichtbaar en traceerbaar is.
9:36
Op deze manier wordt elk teken van overmatige blootstelling van gegevens een beheerde gebeurtenis,
9:41
geen verrassing.
9:42
Weten waar de lekken zitten is slechts de eerste stap.
9:45
Het echte doel is ervoor zorgen dat ze niet opnieuw kunnen gebeuren,
9:48
en daar komen de juiste vangrails kijken.
9:50
Vangrails die ook echt werken,
9:52
DLP is niet alleen bedoeld voor het opvangen van e-mails met creditcardnummers erin.
9:56
In de context van copilot kan het de struikeldraad zijn die voorkomt
9:59
dat gevoelige gegevens in een door AI gegenereerd antwoord terechtkomen
10:03
dat in een Teams-chat wordt geplakt of wordt geëxporteerd naar een document dat je tenant verlaat.
10:08
Het is nog steeds dezelfde onderliggende tool in Microsoft 365,
10:12
maar de manier waarop je deze configureert voor AI-scenario's vereist een andere denkwijze.
10:17
Het hiaat is dat de DLP-beleidsregels van de meeste organisaties nog steeds zijn geschreven
10:21
met ouderwetse triggers in gedachten, e-mailbijlagen, best- en downloads naar USB-sticks,
10:26
gegevens kopiëren naar niet-goedgekeurde apps.
10:29
Copilot activeert die regels standaard niet omdat het geen bestanden verstuurt.
10:33
Het genereert content op het moment zelf.
10:35
Als je copilot vraagt om de volledige lijst met klanten die als beperkt zijn gemarkeerd
10:39
en deze wordt opgehaald uit een gelabeld document,
10:42
kan de uitvoer zich verplaatsen zonder ooit een traditionele DLP-voorwaarde te activeren.
10:47
Daarom moeten AI-prompts en reacties expliciet worden opgenomen in je DLP-bereik.
10:52
Een praktisch voorbeeld, stel dat je beleid het exporteren van bepaalde contractdocumenten
10:58
buiten je beveiligde omgeving verbiedt.
11:00
Een gebruiker kan copilot vragen om belangrijke clausules te extraheren en deze in een PowerPoint te plaatsen.
11:05
Als je DLP-regels AI-gegenereerde inhoud niet controleren,
11:08
bevindt dat gevoelige materiaal zich nu in een onbeschermd bestand.
11:12
Door DLP-inspectie uit te breiden naar copilot-uitvoer,
11:15
kun je voorkomen dat die PowerPoint wordt opgeslagen op een onbeheerde locatie
11:19
of wordt gedeeld met een externe gast in Teams.
11:22
Dit instellen in Microsoft 365 is niet ingewikkeld, maar het vereist wel een zorgvuldig proces.
11:27
Ga eerst in de Microsoft Purview Compliance Portal naar de sectie voor gegevensverliespreventie
11:32
en maak een nieuw beleid aan.
11:34
Wanneer je de locaties kiest waarop het moet worden toegepast,
11:36
neem dan Exchange, SharePoint, OneDrive en vooral Teams op,
11:40
omdat copilot-gegevens in al deze locaties kan weergeven.
11:43
Defineer vervolgens de voorwaarden.
11:45
Je kunt je richten op ingebouwde gevoelige informatietypen,
11:48
zoals financiële rekeningnummers of aangepaste type die je interne projectcodes detecteren.
11:53
En als je consistent gebruik maakt van vertrouwelijkheidslabels,
11:56
kun je de voorwaarden ook zo instellen dat deze wordt geactiveerd
11:58
wanneer gelabelde inhoud verschijnt in de uiteindelijke uitvoer van een bestand
12:01
dat wordt opgeslagen of gedeeld.
12:03
Configureer tot slot de acties.
12:05
Blokkeer het delen.
12:06
Toon een beleidstip aan de gebruiker of verrijs een rechtvaardiging om door te gaan.
12:11
Vertrouwelijkheidslabels zelf zijn een essentieel onderdeel om dit te laten werken.
12:14
In de AI-context is het label metadata die Copilot net als elke andere M365 service kan lezen.
12:21
Als een zeer vertrouwelijk document een label heeft dat toegang en gebruik beperkt,
12:25
zou Copilot die beperkingen respecteren bij het genereren van antwoorden,
12:29
mits de beveiligingsinstellingen van de labels consistent worden toegepast in de betreffende apps.
12:34
Als de AI probeert inhoud met een label te gebruiken buiten het toegestaane bereik,
12:38
kan het DLP beleid dat aan dat label is gekoppeld de actie voorkomen of markeren voor beoordeling.
12:43
Zonder die koppeling is het label vanuit compliance oogpunt slechts decoratie.
12:48
Een van de meest voorkomende foutieve configuraties die ik tegenkom,
12:51
is dat DLP beleid totaal geen rekening houdt met AI-scenario's.
12:54
De regels bestaan, maar er is geen link naar Copilot uitvoer omdat beheerders het niet als een afzonderlijk kanaal beschouwen.
13:00
Dat creëert een blinde vlek waarbij gevoelige termen in een gegenereerd antwoord niet worden geïnspecteerd,
13:05
ook al zou dezelfde tekst in een e-mail zijn geblokkeerd.
13:08
Maar om dat op te lossen, moet je AI-ondersteunde workflows beschouwen als een van je DLP locaties en ze samen met al het andere monitoren.
13:16
Wanneer DLP en vertrouwelijkheidslabels goed zijn geconfigureerd en op elkaar zijn afgestemd,
13:21
kan Copilot nuttig zijn zonder een compliance hoofdpijndossier te worden.
13:25
Je kunt het rapporten laten opstellen, documenten samenvatten en datasets doorzoeken,
13:29
terwijl je stilletjes dezelfde grenzen handhaaft die je verwacht in een e-mail of Teamsbericht.
13:34
Gebruikers profiteren van AI-ondersteuning, terwijl de beveiligingsregels voorkomen dat risicovolle informatie naar buiten lekt.
13:39
Het voordeel hier is niet alleen het voorkomen van onbedoeld delen van gegevens.
13:43
Het gaat erom de technologie binnen duidelijke kaders te laten opereren.
13:47
Zo hoef je niet terug te vallen op algemene beperkingen die Teams frustreren en de adoptie in de weg staan.
13:52
Je kunt de instellingen aanpassen, zodat marketing kan brainstormen met Copilot,
13:57
finance-analyses kan draaien en ouder onboarding-gidsen kan genereren, elk binnen hun eigen toegestane zones.
14:03
Maar de uitvoer beheersen is slechts een deel van de puzzel.
14:06
Om het risico volledig te beperken, moet je ook beslissen wie in de eerste plaats toegang krijgt tot welke AI-mogelijkheden.
14:13
Toegang is geen one-size-fits-all.
14:16
Moeten een marketingstagiair en een CFO echt dezelfde Copilot-rechten hebben?
14:20
Het idee klinkt absurd als je het hardop uitspreekt, maar in veel tenants is het precies zo ingesteld.
14:25
Copilot wordt voor iedereen met dezelfde machtigingen ingeschakeld omdat dat sneller en eenvoudiger is dan het afhandelen van rolspecifieke configuraties.
14:32
Het nadeel is dat de toegang van de AI overeenkomt met het meest open scenario, niet met de behoefte van elke rol.
14:38
Dat is waar rolspecifieke Copilot toegangsgroepen om de hoek komen kijken.
14:41
In plaats van elke gebruiker als inwisselbaar te behandelen, stem je AI-mogelijkheden af op de informatie en workflows die specifieke rollen daadwerkelijk nodig hebben.
14:49
Marketing heeft wellicht toegang nodig tot campagne-assets en merkrichtlijnen, maar niet tot ruwe financiële modellen.
14:56
Finance heeft die modellen nodig, maar ze hebben geen vroege product-roadmaps nodig.
15:01
Het doel is niet om Copilot minder bruikbaar te maken.
15:03
Het gaat erom de rijkwijte relevant te houden voor de functie van elk persoon.
15:07
De risico's van universele activering zijn groter dan de meeste teams verwachten.
15:10
Copilot werkt door gebruik te maken van de gegevens die je Microsoft 365-omgeving al bevat.
15:16
Als al het personeel gelijke AI-toegang heeft, kan de technologie silo's overbruggen die je bewust in stand hebt gehouden.
15:22
Zo krijg je hour-assistenten die per ongeluk omzetoverzichten zien of een operationsmanager die aan Copilot vraagt om het product-releaseplan van volgend jaar en ontwerpdetails krijgt die nog niet eens definitief zijn.
15:34
Niets ervan voelt op dat moment als een inbreuk, maar het risico is reëel.
15:38
Het juiste toegangsmodel begint bij het koppelen van functies aan gegevensbehoeften, niet alleen aan de applicaties die mensen gebruiken, maar aan de diepgang en gevoeligheid van de gegevens waar ze dagelijks mee werken.
15:48
Je ontdekt misschien dat 70% van de verzoeken van je verkoopteam aan Copilot over klantgeschiedenis gaat, terwijl minder dan 5% betrekking heeft op zeer gevoelige contractbestanden.
15:57
Dit suggereert dat u het meeste AI-gebruik veilig kunt beperken tot bepaalde SharePoint-bibliotheken, terwijl u de rest afsluit.
16:03
Voer die oefening uit voor elke afdeling en er zullen patronen ontstaan.
16:07
Zodra u weet wat elke groep nodig heeft, wordt Microsoft entra ID, wat velen nog Azure AD noemen, uw handhavingsstoel.
16:14
U maakt beveiligingsgroepen aan die overeen komen met uw roldefinities en wijst vervolgens Copilot-machtigingen toe op groepsniveau.
16:20
Dat kan betekenen dat u bepaalde Graph API-scopes alleen inschakelt voor leden van de financiële Copilot-groep, terwijl de Marketing Copilot-groep een andere set heeft.
16:28
Toegang tot gevoelige sites, teams, kanalen of specifieke OneDrive-mappen kan hetzelfde model volgen.
16:34
De kracht van deze aanpak is de combinatie met de controles die we al hebben behandeld.
16:39
Graph-machtigingen bepalen de buitenste grenzen van wat Copilot technisch kan bereiken.
16:44
DLP-beleid controleert de output van de AI op gevoelige inhoud.
16:48
Op rollen gebaseerde groepen zitten daartussenin en zorgen ervoor dat Graph-machtigingen niet te ruim zijn voor minder gevoelige rollen en dat DLP geen zaken opvang die u had kunnen voorkomen door invoerbronnen te beperken.
17:02
Maar zoals elk systeem kan het doorslaan.
17:04
Het is verleidelijk om voor elk scenario een micro-groep aan te maken.
17:07
Financieel analist, Copilot met rapportagemachtigingen of marketing stagiair zonder teamstoegang, waardoor u eindigt met tientallen variaties.
17:15
Dat niveau van granulariteit ziet er op papier misschien precies uit, maar in de live omgeving is het een onderhoudsconnachtmerrie.
17:20
Gebruikers veranderen van rol, projecten verschuiven, contractanten komen en gaan.
17:24
Als het groepsmodel te rigide is, zal uw IT-personeel meer tijd besteden aan het oplossen van toegangsproblemen dan aan het verbeteren van de beveiliging.
17:31
Het werkelijke doel is balans. Een handvol duidelijke, goed gedefinieerde rolgroepen dekt de meeste use cases zonder administratieve blokkades te creëren.
17:38
De groep van de CFO heeft uitgebreide analytische krachten nodig, maar strikte controles op het delen van output.
17:44
De stagiairgroep krijgt een beperkte gegevensomvang, maar voldoende capaciteit om bij te dragen aan daadwerkelijk werk.
17:50
Afdelingshoofden zitten in het midden en IT behoudt de mogelijkheid om aanpassingen te doen wanneer speciale projecten uitzonderingen vereisen.
17:57
U probeert niet alles tot frustrerend niveau af te sluiten.
18:00
U houdt elke AI-ervaring relevant, veilig en in lijn met het beleid.
18:05
Wanneer u het goed aanpakt, worden de voordelen snel zichtbaar.
18:08
Gebruikers zijn niet langer verrast door de gegevens die Copilot hen presenteert, omdat het altijd iets is binnen hun verantwoordelijkheidsgebied.
18:14
Compliance teams hebben minder incidenten om te onderzoeken omdat overmatige blootstelling niet per ongeluk gebeurt.
18:19
En IT kan eindelijk vooruit met nieuwe Copilot-functies zonder zich zorgen te maken dat een wereldwijde uitrol stilletjes alle datagrenzen ondermijnt waar ze aan hebben gewerkt.
18:29
Met toegang en vangrails die samenwerken, heeft u uw risicoprofiel aanzienlijk verkleind.
18:34
Maar zelfs een goed ontworpen model is alleen nuttig als je kunt aantonen dat het werkt, zowel voor jezelf als voor iedereen die aanklopt met een auditverzoek.
18:41
Compliance aantonen zonder vertraging.
18:44
Compliance is niet alleen voor de bühne, het is het bewijsmateriaal dat auditors tevreden stelt.
18:48
Beleid en vangrails zijn geweldig, maar als je niet precies kunt aantonen wat er met AI-ondersteunde data is gebeurd, moet je zaken beweren in plaats van bewijzen.
18:56
Een audit-ready copilot-omgeving betekent dat elke interactie van de gebruikersquery tot het ophalen van data door de AI kan worden verklaard en onderbouwd met een verifiëerbaar spoor.
19:06
Het lastige is dat veel bedrijven denken dat ze gedekt zijn omdat ze interne controles doorstaan.
19:11
Die controles checken vaak het bestaan van maatregelen en een paar voorbeeldscenario's, maar ze eisen niet altijd de granulariteit die externe auditors verwachten.
19:21
Wanneer een externe assessor vraagt om een logboek van alle gevoelige content die copilot het afgelopen kwartaal heeft geraadpleegd, inclusief wie het aanvroeg en waarom, is het verrassend hoe vaak er hiaten verschijnen.
19:32
Of de logboeken zijn incompleet of ze laten AI gerelateerde gebeurtenissen volledig weg omdat ze nooit als zodanig zijn getagd.
19:39
Dit is waar Microsoft Purview een groot verschil kan maken.
19:42
De compliance-mogelijkheden gaan niet alleen over het toepassen van labels en DLP-beleid.
19:47
Ze verzamelen ook het forensisch bewijsmateriaal dat je nodig hebt.
19:50
In een copilot-context kan Purview elk relevant verzoek tot datatoegang, de identiteit erachter en de bronlocatie vastleggen.
19:56
Het kan die gebeurtenissen ook correleren aan patronen van databewegingen, zoals gevoelige bestanden die worden gebruikt in concepten, samenvattingen of exporten, zonder te vertrouwen op zelfrapportage van de AI.
20:06
De compliance-scoren van Purview is meer dan een ijdelheidsstatistiek.
20:10
Het is een momentopname van hoe jouw omgeving scoort ten opzichte van de aanbevolen maatregelen van Microsoft, inclusief die welke AI gerelateerde risico's direct beperken.
20:18
Betere hygiëne van grafiekrechten, strengere DLP-configuraties en goed onderhouden rollengebaseerde groepen dragen allemaal bij aan die scoren.
20:25
En omdat de score wordt bijgewerkt terwijl je wijzigingen aanbrengt, kun je bijna in real-time zien hoe verbeteringen in AI governance je compliance-positie versterken.
20:33
Denk aan een toezichthoudend onderzoek waarbij je moet rechtvaardigen waarom bepaalde klantgegevens verschenen in een door co-pilot gegenereerd rapport.
20:41
Zonder gestructureerde logboekregistratie wordt dat gesprek giswerk.
20:45
Met een correct geconfigureerde Purview kun je het toegangsverzoek in een audit-logboek tonen, wijzen naar de rol en machtigingen die het autoriseerde en aantonen dat de output binnen goedgekeurde kanalen bleef.
20:54
Dat is een veel makkelijker gesprek dan gehaast een niet gedocumenteerde gebeurtenis moeten verklaren.
20:58
De sleutel is om compliance-rapportage onderdeel te maken van je normale IT-governance-cyclus, in plaats van slechts een speciaal project voor een audit.
21:05
Geautomatiseerde rapportage helpt hier enorm bij.
21:07
Purview kan periodieke rapporten genereren over overeenkomsten met informatiebeveiligingsbeleid, DLP-incidenten en het gebruik van vertrouwelijkheidslabels.
21:15
Wanneer die rapporten maandelijks in de werkruimte van je governance-team worden geplaatst, bouw je een basislijn van AI-activiteit op die eenvoudig te controleren is.
21:23
Elke afwijking valt op ten opzichte van het historische patroon.
21:26
De tijdbesparende functie stellen snel op Purview wordt bijvoorbeeld geleverd met ingebouwde rapporten die alle incidenten met gelabelde inhoud groeperen op locatie of activiteit type.
21:35
Als een co-pilot-sessie een vertrouwelijk document in een uitvoer heeft getrokken en je DLP hierop heeft gereageerd, verschijnt dat incident al in een rapport zonder dat je vanaf nul een aangepaste query hoeft te bouwen.
21:46
Je kunt vervolgens in dat record duiken voor meer details, maar het zware werk van verzamelen en categoriseren is al gedaan.
21:52
Een andere efficiëntieslag is de integratie tussen Purview-aditing en de op rollen gebaseerde toegangsgegevens van Microsoft 365.
21:59
Omdat Purview entra ID-groepen begrijpt, kan het toegangslogboeken filteren op role-type.
22:04
Dat betekent dat je snelgerichte vragen kunt beantwoorden, zoals laat me alle instanties zien waarbij marketingrollen de afgelopen 90 dagen via co-pilot toegang hadden tot financieel gelabelde gegevens.
22:14
Dat vermogen om te filteren op zowel rol- als gegevensclassificatie is precies waar externe beoordelaars naar op zoek zijn.
22:21
Als je erover nadenkt, is compliance op dit niveau geen last.
22:24
Het is een vangrail die bevestigt dat je governance-ontwerp in de praktijk werkt.
22:28
Het neemt ook de stress van audits weg omdat je niet hoeft te schrapen.