Latest / M365.FM – Podcast de Microsoft 365, Copilot e IA em português / O Microsoft 365 Copilot está vazando seus dados? Como proteger com permissões do Graph, DLP e Purview (Dublagem IA)

Transcript

O Microsoft 365 Copilot está vazando seus dados? Como proteger com permissões do Graph, DLP e Purview (Dublagem IA) · M365.FM – Podcast de Microsoft 365, Copilot e IA em português

0:00
Preparado para 10 dias de Microsoft 365, Copilot, IA, Azure e as pessoas que estão moldando o futuro do trabalho, IA.
0:07
Em janeiro, a M3165.com está de volta e ainda maior.
0:12
Junte-se a nós para sessões ao vivo, demonstrações reais e conhecimento prático com MVPs e especialistas do setor de todo o mundo.
0:18
Nada de slides genéricos ou jargões intermináveis.
0:22
Vamos abordar desafios reais Copilot Studio, agentes de IA, fábrica, segurança, governança e automação.
0:28
Seja você um profissional de TI, desenvolvedor ou líder de negócios, há sessões projetadas para você.
0:35
Com 10 dias completos, você pode explorar várias tecnologias e se conectar com uma comunidade global.
0:40
Assista ao vivo e leve insights práticos para sua organização.
0:45
Janeiro de 2027, 10 dias, uma única comunidade Microsoft. As inscrições já estão abertas.
0:51
Acesse m3165.com.net e garanta sua vaga, hoje mesmo.
0:55
É m3165.com.net e...
0:59
Participe agora em m3165.com.net e nos vemos ao vivo em janeiro.
1:05
Se você acha que o Copilot só mostra que você já tem permissão para ver, pense novamente.
1:09
Uma permissão incorreta no Graph. De repente, sua IA pode exibir dados que sua equipe de conformidade nunca autorizou.
1:14
O lado assustador, você pode nunca perceber o que está acontecendo.
1:16
Neste vídeo, analisarei os riscos reais do acesso não gerenciado ao Copilot, como arquivos sensíveis, planilhas financeiras e dados confidenciais de clientes podem vazar.
1:25
Depois, mostrarei como restringir o acesso, usando permissões do Graph, políticas de DLP e Perview, sem interromper a produtividade de quem realmente precisa de acesso.
1:32
Quando o Copilot sabe demais, um funcionário júnior pede ao Copilot as notas da revisão de projeto do último trimestre.
1:40
E o que retorna não é um resumo organizado da própria reunião, mas atas detalhadas de uma sessão privada do Conselho,
1:45
incluindo decisões estratégicas, cortes orçamentários e nomes que nunca deveriam ter chegado à caixa de entrada daquela pessoa.
1:52
Nenhum alerta de violação disparou ou nenhum aviso de DLP, apenas uma IA entregando silenciosamente um documento que nunca deveria ter acessado.
1:57
Isso acontece porque o Copilot não para magicamente na caixa de correio ou na pasta do OneDrive de um usuário.
2:03
Seu alcance é ditado pelas permissões concedidas a ele por meio do Microsoft Graph.
2:08
E o Graph não é apenas um banco de dados, é o ponto central de acesso a quase todo o conteúdo no Microsoft 365, SharePoint,
2:14
mensagens do Teams, eventos de calendário, OneNote e dados de CRM vinculados ao tenant.
2:20
Tudo flui através do Graph se a porta certa estiver destrancada.
2:23
Essa é a parte que muitos administradores deixam passar.
2:24
Existe uma suposição comum de que se estou logado como eu, o Copilot só verá o que eu posso ver.
2:30
Parece razoável.
2:31
O problema é que o próprio Copilot geralmente é executado com um conjunto separado de permissões de aplicativo.
2:36
Se essas permissões forem mais amplas do que os direitos do usuário logado,
2:39
você acaba com um assistente de IA que consegue acessar muito mais do que a pessoa no teclado.
2:45
E em algumas implementações, as permissões elevadas são concedidas sem que ninguém questione o porquê.
2:51
Imagine um analista financeiro trabalhando numa previsão trimestral.
2:53
Ele pede ao Copilot os dados atuais do pipeline dos 20 principais clientes.
2:58
Em sua função normal, ele deveria apenas números de um subconjunto desses clientes.
3:03
Mas, devido a como o Graph foi configurado no registro do aplicativo do Copilot,
3:06
a IA puxa todo o relatório do pipeline de vendas de um site de equipe compartilhado
3:10
ao qual o analista nunca teve acesso direto.
3:12
Sob a perspectiva do usuário final, nada parece suspeito.
3:16
Mas, do ponto de vista de segurança e conformidade, isso é uma exposição de dados sensíveis.
3:20
As permissões da API do Graph são, na prática, a porta de entrada para os dados da sua organização.
3:24
A Microsoft as divide em permissões delegadas, que agem em nome de um usuário logado,
3:28
e permissões de aplicativo que permitem que um app opere de forma independente.
3:33
Cenários do Copilot geralmente exigem permissões delegadas para recuperação de conteúdo,
3:37
mas certos recursos, como resumir uma reunião do Teams na qual o usuário não estava presente,
3:40
podem levar administradores a aprovar permissões de nível aplicativo, por OAS.
3:45
E é aí que o perigo se instala.
3:47
As permissões de aplicativo ignoram restrições individuais de usuário,
3:50
a menos que você as delimite deliberadamente.
3:52
Essas aprovações costumam ocorrer no início da implementação,
3:55
e um administrador de TI testando o Copilot em um ambiente de desenvolvimento
3:59
pode clicar em aceitar em uma solicitação de permissão apenas para concluir a configuração,
4:03
replicando-a na produção sem revisar as implicações.
4:07
Uma vez estabelecidas, essas permissões amplas permanecem a menos que alguém as audite ativamente.
4:12
Com o tempo, à medida que novas fontes de dados se conectam ao M365,
4:15
o alcance do Copilot se expande sem qualquer decisão consciente.
4:19
Isso é um aumento silencioso de permissões, sem drama, sem reclamações de usuários,
4:22
apenas uma ampliação gradual do escopo da IA.
4:26
O desafio é que a maioria das equipes de segurança não domina quais recursos do Copilot,
4:29
exigem qual nível de acesso ao Graph.
4:32
Elas podem ver, ler todos os arquivos no SharePoint e presumir que está limitado ao contexto do usuário,
4:37
sem perceber que a permissão é para todo locatário no nível do aplicativo.
4:41
Sem mapear cenários específicos de IA para as permissões mínimas necessárias,
4:45
você acaba dependendo do que foi aprovado na configuração inicial,
4:48
e quanto mais amplos forem esses direitos,
4:52
maior a diferença potencial entre o comportamento esperado e o real.
4:55
Vale lembrar também que o resultado do Copilot não vem com rastro de permissões visível para o usuário.
5:04
Se a IA recuperar conteúdo de um local que o usuário normalmente estaria impedido de acessar,
5:08
não há um banner de aviso dizendo que isso está fora da sua alçada.
5:12
Essa falta de transparência torna mais fácil para exposições arriscadas se misturarem aos fluxos de trabalho de app.
5:17
A lição aqui é que as permissões do Graph para implementações de IA não são apenas mais uma caixa de seleção no processo de integração.
5:24
Elas são uma escolha de design que molda cada interação que o Copilot terá em sua rede.
5:28
Trate-as como faria com regras de firewall ou escopos de acesso VPN,
5:32
de forma deliberada, revisada e revalidada periodicamente.
5:36
As configurações padrão podem agilizar o início,
5:38
mas também assumem que você aceita que a IA tem um alcance muito maior do que o humano por trás dela.
5:43
Agora que vimos com que facilidade o escopo pode se desviar,
5:45
a próxima pergunta é como encontrar essas lacunas antes que se transforme em um incidente grave.
5:50
Encontrando vazamentos que transbordem.
5:52
Se o Copilot já estivesse exibindo dados que não deveria, você notaria.
5:54
Você notaria.
5:55
Para a maioria das organizações, a resposta honesta é não.
5:58
Não é que a informação seria postada em um site público ou enviada para uma lista de e-mails.
6:03
O vazamento pode aparecer silenciosamente dentro de um rascunho de documento,
6:08
um resumo ou uma resposta gerada por IA.
6:10
E a menos que alguém note algo em comum, ele passa despercebido sem acionar alarmes.
6:14
O problema de visibilidade começa com a forma como a maioria dos sistemas de monitoramento são construídos.
6:19
Eles são ajustados para atividades tradicionais, como downloads de arquivos,
6:22
locais de login comuns, envios de e-mails grandes,
6:24
não para a forma como uma IA recupera e compila informações.
6:29
Copilot não abre arquivos no sentido convencional.
6:31
Ele consulta fontes de dados via Microsoft Graph, compila os resultados,
6:35
e os apresenta como texto em linguagem natural.
6:37
Isso significa que relatórios padrão de acesso a arquivos podem parecer limpos,
6:41
enquanto a IA ainda extrai dados de locais confidenciais em segundo plano.
6:46
Já vi situações em que uma empresa só percebeu que algo estava errado
6:48
porque um funcionário mencionou casualmente o nome de um cliente
6:51
que não estava sob a responsabilidade de seu departamento.
6:54
Quando o gerente perguntou como ele sabia disso,
6:56
a resposta foi o Copilot inclui no meu rascunho.
6:58
Não houve chamado de incidente nem alerta automatizado,
7:01
apenas um comentário casual que levou a TI a investigar.
7:03
Quando eles uniram as peças, aquelas mesmas respostas da IA
7:07
já haviam sido compartilhadas entre várias equipes.
7:10
O Microsoft 365 oferece as ferramentas para investigar esses tipos de cenários,
7:14
mas você precisa saber onde procurar.
7:16
O recurso de auditoria do Purview pode registrar o acesso a dados do Copilot em detalhes.
7:20
Ele só não vem com um rótulo grande e piscante de IA.
7:24
Ao acessar a pesquisa de log de auditoria,
7:26
você pode filtrar pelas operações específicas que o Copilot usa
7:29
como consulta de pesquisa realizada ou arquivo acessado
7:31
e restringir pelo ID do aplicativo vinculado à sua implantação do Copilot.
7:35
Isso requer um pouco de preparação.
7:37
Você precisará confirmar os detalhes do registro do aplicativo no EntryD
7:40
para que possa identificar o tráfego.
7:42
A partir daí trata-se de identificar padrões.
7:44
Se você vir um grande volume de consultas de contas
7:46
que normalmente têm pouca necessidade de dados,
7:48
como uma conta de estagiário realizando 10 pesquisas complexas em uma hora,
7:51
vale a pena verificar.
7:52
O mesmo vale para picos repentinos de conteúdo
7:54
marcado como confidencial aparecendo em departamentos
7:56
que normalmente não acessam esse tipo de informação.
7:58
O Purview pode sinalizar a atividade de rótulos,
8:00
portanto, se uma consulta do Copilot acessar um documento rotulado,
8:03
você verá isso nos registros,
8:04
mesmo que a IA não tenha exibido o texto completo.
8:08
Se revisões de acesso baseadas em função
8:09
são outra maneira de conectar os pontos.
8:12
Ao mapear quem realmente usa o Copilot
8:13
e cruzar com os tipos de dados com os quais interagem,
8:16
você pode identificar possíveis inconsistências precocemente.
8:19
Talvez o financeiro esteja usando o Copilot intensamente para relatórios,
8:22
o que faz sentido, mas por que várias contas de marketing
8:24
estão acessando planilhas de folha de pagamento via consultas de IA?
8:27
Essas revisões oferecem uma visão mais ampla,
8:29
indo além de eventos isolados na trilha de auditoria.
8:32
O problema é que painéis de monitoramento genéricos não ajudam muito aqui.
8:36
Eles agregam toda a atividade do M365 em categorias amplas,
8:40
o que pode fazer com que o comportamento específico da IA
8:42
se misture às operações normais.
8:45
Sem criar filtros ou relatórios personalizados
8:47
focados no ID do aplicativo Copilot e nos padrões de uso,
8:50
você está basicamente procurando grãos de areia específicos
8:53
em uma praia cheia de dados.
8:55
Você precisa de visibilidade direcionada, não apenas de mais vida.
8:57
Não se trata de construir uma cultura de vigilância,
9:00
mas de saber com certeza o que sua IA está realmente acessando.
9:03
Uma abordagem de registro adequada responde a três perguntas críticas.
9:06
O que o Copilot recuperou?
9:07
Mencionou o consul.
9:08
E essa ação estava alinhada com suas políticas de segurança e conformidade existentes?
9:12
Essas respostas permitem que você resolva problemas com precisão,
9:16
seja ajustando uma permissão, refinando uma rede de DLP
9:18
ou restringindo atribuições de função.
9:20
Sem essa clareza, você fica na base do palpite.
9:23
Palpite não é uma estratégia de segurança.
9:26
Portanto, em vez de esperar por outro comentário casual para te alertar,
9:29
vale a pena investir tempo estruturando seu monitoramento
9:32
para que a pegada do Copilot seja visível e rastreável.
9:37
Dessa forma, qualquer sinal de superexposição de dados
9:39
se torna um evento gerenciado, não uma surpresa.
9:42
Saber onde estão os vazamentos é apenas o primeiro passo.
9:45
O objetivo real é garantir que eles não aconteçam novamente,
9:47
e é aí que entram as proteções certas e proteções que realmente funcionam.
9:52
DLP não serve apenas para detectar e-mails com números de cartão de crédito.
9:56
No contexto do Copilot, pode ser o gatilho que impede que dados sensíveis
10:00
escapem para uma resposta gerada por IA que é colada em um chat do Teams
10:04
ou exportada em um documento que sai do seu tenant.
10:08
Ainda é a mesma ferramenta subjacente no Microsoft 365,
10:12
mas a forma como você a configura para cenários de IA exige uma mentalidade diferente.
10:16
A lacuna é que as políticas de DLP da maioria das organizações ainda são escritas
10:20
pensando em gatilhos tradicionais, anexos de e-mail,
10:23
download de arquivos para unidades USB,
10:25
cópia de dados para aplicativos não aprovados,
10:28
coguiu.
10:29
O Copilot não aciona essas regras por padrão porque não está enviando arquivos,
10:33
ele está gerando conteúdo instantaneamente.
10:35
Se você pedir ao Copilot a lista completa de clientes marcados como restritos
10:39
e ele recuperar isso de um documento rotulado,
10:41
o resultado pode circular sem nunca acionar uma condição de DLP tradicional.
10:45
É por isso que prompts e respostas de IA precisam ser explicitamente incluídos
10:50
no seu escopo de DLP.
10:53
Um exemplo prático, digamos que sua política proíba exportar
10:56
certos documentos contratuais para fora do seu ambiente seguro.
11:00
Um usuário poderia pedir ao Copilot para extrair cláusulas importantes
11:03
e inseri-las em um PowerPoint.
11:04
Se suas regras de DLP não monitorarem conteúdo gerado por IA,
11:08
esse material sensível passará a existir em um arquivo desprotegido.
11:12
Ao estender a inspeção de DLP para cobrir o output do Copilot,
11:15
você pode impedir que esse PowerPoint seja salvo em um local não gerenciado
11:18
ou compartilhado com um convidado externo no Teams.
11:23
Configurar isso no Microsoft 365 não é complicado,
11:25
mas exige um processo deliberado.
11:27
Primeiro, no portal de conformidade do Microsoft Purview,
11:30
vá para a sessão de prevenção contra a perda de dados
11:32
e crie uma nova política.
11:33
Ao escolher os locais de aplicação, inclui o Exchange, SharePoint, OneDrive,
11:37
muito importante, o Teams, pois o Copilot pode apresentar dados em qualquer um deles,
11:41
PIMSUS em qualquer um deles.
11:43
Depois, defina as condições.
11:45
Você pode segmentar tipos de informações sensíveis integrados
11:48
como números de contas financeiras ou tipos personalizados
11:50
que detectam seus códigos de projeto internos.
11:53
E se você usar rótulos de sensibilidade de forma consistente,
11:56
também pode definir a condição para disparar quando o conteúdo rotulado
11:59
aparecer no resultado final de um arquivo salvo ou compartilhado.
12:03
Por fim, configure as ações.
12:05
Bloqueie o compartilhamento.
12:06
Exiba uma dica de política para o usuário
12:08
ou exija justificativa para prosseguir.
12:10
Os próprios rótulos de sensibilidade são uma peça-chave para que isso funcione.
12:14
No contexto de IA, o rótulo é um metadado
12:16
que o Copilot pode ler exatamente como qualquer outro serviço do M3065.
12:20
Se um documento altamente confidencial tiver um rótulo que restringe acesso e uso,
12:25
o Copilot respeitará essas restrições ao gerar respostas,
12:28
desde que as configurações de proteção dos rótulos
12:30
sejam aplicadas de forma consistente nos aplicativos envolvidos.
12:34
Se a IA tentar usar conteúdo com um rótulo fora de seu escopo permitido,
12:38
a política de DLP vinculada a esse rótulo pode impedir a ação
12:41
ou sinalizá-la para revisão.
12:43
Sem essa vinculação, o rótulo é apenas uma decoração do ponto de vista de conformidade.
12:47
Uma das configurações incorretas mais comuns que encontro
12:50
é deixar as políticas de DLP totalmente alheias aos cenários de IA.
12:54
As regras existem, mas não há conexão com o output do Copilot
12:57
porque os administradores não o consideraram um canal separado.
13:00
Isso cria um ponto cego, onde termos sensíveis e uma resposta gerada
13:03
não são inspecionados, mesmo que o mesmo texto em um e-mail tivesse sido bloqueado.
13:08
Mas, para corrigir isso, você precisa considerar os fluxos de trabalho
13:11
assistidos por IA como um de seus locais de DLP
13:13
e monitorá-los junto com todo o resto.
13:15
Quando o DLP e os rótulos de confidencialidade são configurados corretamente e integrados,
13:21
o Copilot continua útil sem se tornar um pesadelo de conformidade.
13:25
Você pode deixá-lo redigir relatórios, resumir documentos e filtrar conjuntos de dados
13:29
aplicando silenciosamente os mesmos limites que você esperaria em um e-mail ou mensagem no Teams.
13:34
E os usuários obtêm o benefício da assistência por IA
13:36
e as proteções impedem que informações de alto risco vazem.
13:39
A vantagem aqui não é apenas evitar um compartilhamento excessivo ocidental.
13:43
Trata-se de permitir que a tecnologia opere dentro de regras claras.
13:47
Dessa forma, você não precisa recorrer a restrições generalizadas que frustram as equipes e impedem a adoção.
13:52
Você pode ajustar os controles para que o marketing crie ideias com o Copilot.
13:56
O financeiro realize análises e o RH gere guias de integração, cada um dentro de suas zonas permitidas.
14:03
Mas controlar a saída é apenas parte do desafio.
14:06
Para reduzir totalmente o risco, você também precisa decidir quem terá acesso a quais recursos de IA desde o início.
14:13
Um modelo único de acesso não serve para todos.
14:15
Um estagiário de marketing e um CFO deveriam realmente ter os mesmos privilégios no Copilot.
14:19
No Copilot.
14:20
A ideia soa absurda quando dita em voz alta, mas em muitos ambientes é exatamente assim que está configurado.
14:26
O Copilot é ativado para todos, com as mesmas permissões, porque é mais rápido e fácil do que lidar com configurações específicas por função.
14:32
O lado negativo é que o acesso da IA corresponde ao cenário mais aberto possível, não às necessidades de cada cargo.
14:38
É aí que entram os grupos de acesso ao Copilot baseados em funções.
14:41
Em vez de tratar cada usuário como intercambiável, você alinha os recursos da IA às informações e fluxos de trabalho que funções específicas realmente exigem.
14:48
O marketing pode precisar de acesso a ativos de campanha e diretrizes de marca, mas não a modelos financeiros brutos.
14:56
O financeiro precisa desses modelos, mas não precisa de roteiros de produtos em estágio inicial.
15:01
O objetivo não é tornar o Copilot menos útil.
15:03
É manter seu escopo relevante para o trabalho de cada pessoa.
15:07
Os riscos da habilitação universal são maiores do que a maioria das equipes, imagina.
15:10
O Copilot funciona extraindo dados que seu ambiente Microsoft 365 já possui, já possui.
15:16
Se todos os funcionários tiverem acesso igual a IA, a tecnologia pode eliminar silos que você manteve intencionalmente.
15:22
É assim que assistentes de RH acabam acessando detalhamentos de receita,
15:26
ou um líder de operações pede ao Copilot o plano de lançamento de produto do próximo ano
15:30
e obtém detalhes de design que nem foram finalizados.
15:34
Nada disso parece uma violação no momento, mas a exposição é real.
15:37
Acertar um modelo de acesso começa mapeando funções de trabalho para a necessidade de dados,
15:42
não apenas os aplicativos que as pessoas usam,
15:44
mas a profundidade e a sensibilidade dos dados que manipulam diariamente.
15:48
Você pode descobrir que 70% das solicitações da sua equipe de vendas ao Copilot
15:52
envolvem históricos de contas de clientes,
15:53
enquanto menos de 5% acessam arquivos de contrato de alta sensibilidade.
15:57
Isso sugere que você pode manter o uso da IA de forma segura
16:00
dentro de certas bibliotecas do SharePoint enquanto bloqueia o restante.
16:03
Faça esse exercício em cada departamento e os padrões surgirão.
16:06
Assim que souber o que cada grupo deve ter, o Microsoft Enter ID,
16:10
o que muitos ainda chamam de Azure ID, torna-se sua ferramenta de aplicação.
16:14
Você cria grupos de segurança que correspondem às definições de suas funções
16:17
e então atribui permissões do Copilot no nível do grupo.
16:20
Isso pode significar habilitar certos escopos da IP e do Graph
16:23
apenas para membros do grupo financeiro do Copilot,
16:25
enquanto o grupo de marketing do Copilot tem um conjunto diferente.
16:28
O acesso a sites confidenciais, canais do Teams ou pastas específicas do OneDrive
16:32
pode seguir o mesmo modelo.
16:34
A força dessa abordagem está quando ela é combinada com os controles que já abordamos.
16:39
As permissões do Graph definem os limites externos do que o Copilot pode tecnicamente alcançar.
16:44
As políticas de DLP monitoram a saída da IA em busca de conteúdo sensível.
16:49
Grupos baseados em funções ficam no meio,
16:51
garantindo que as permissões do Graph não sejam amplas demais para funções de baixa sensibilidade,
16:55
e que a DLP não acabe detectando coisas que você poderia ter prevenido
16:59
restringindo as fontes de entrada.
17:02
Mas como qualquer sistema, isso pode ser levado longe.
17:04
É tentador criar um microgrupo para cada cenário,
17:08
Copilot para analista financeiro com permissões de relatório
17:10
ou estagiário de marketing sem acesso a Teams
17:12
e acabar com dezenas de variações.
17:15
Esse nível de granularidade pode parecer preciso no papel,
17:18
mas no ambiente real é uma dor de cabeça para a manutenção.
17:21
Usuários mudam de cargo, projetos mudam, contratados vêm e vão.
17:23
Se o modelo de grupo for muito frágil,
17:26
sua equipe de TI gastará mais tempo corrigindo problemas de acesso
17:29
do que melhorando a segurança.
17:31
O verdadeiro objetivo é que...
17:32
Um punhado de grupos de funções claras e bem definidos
17:35
cobrirá a maioria dos casos de uso sem criar um gargalo administrativo.
17:38
O grupo do CFO precisa de amplos poderes analíticos,
17:41
mas controles rígidos sobre o compartilhamento de resultados.
17:44
O grupo de estagiários recebe um escopo de dados limitado,
17:46
mas capacidade suficiente para contribuir com o trabalho real.
17:49
Líderes de departamento ficam no meio termo
17:52
e a TI mantém a capacidade de ajustar
17:54
quando projetos especiais exigirem exceções.
17:57
Você não está tentando bloquear tudo a ponto de causar frustração.
18:01
Você está mantendo cada experiência de arrelevante,
18:03
segura e alinhada com a política.
18:05
Quando você acerta, os benefícios aparecem rapidamente.
18:08
Os usuários param de se surpreender com os dados que o Copilot apresenta,
18:11
pois são sempre informações dentro da esfera de responsabilidade.
18:14
As equipes de conformidade têm menos incidentes para investigar,
18:16
porque as superexposições não ocorrem por acidente.
18:19
E a TI pode finalmente avançar com novos recursos do Copilot
18:22
sem se preocupar que uma implementação global
18:24
erosione silenciosamente todas as fronteiras de dados
18:27
que trabalharam para construir.
18:29
Com acesso e proteções trabalhando juntos,
18:31
você reduziu significativamente seu perfil de risco.
18:34
Mas mesmo um modelo bem projetado,
18:36
só importa se você puder provar que ele está funcionando
18:38
tanto para você quanto para qualquer pessoa
18:39
que venha com uma solicitação de auditoria.
18:41
Comprovando a conformidade sem perder o ritmo.
18:44
Conformidade não é apenas teatro de segurança,
18:45
se é a evidência que mantém os auditores satisfeitos.
18:48
Políticas e diretrizes são ótimas,
18:50
mas se você não puder mostrar exatamente o que aconteceu
18:52
com dados assistidos por IA,
18:53
você só terá afirmações em vez de provas.
18:56
Um ambiente Copilot pronto para auditoria
18:58
significa que cada interação da consulta do usuário
19:01
à recuperação de dados pela IA
19:02
pode ser explicada e apoiada por um rastro verificável.
19:06
A parte complicada é que muitas empresas acham
19:08
que estão protegidas porque passam em revisões internas.
19:11
Essas revisões geralmente verificam
19:13
a existência de controles e alguns cenários de exemplo,
19:15
mas nem sempre exigem o nível de granularidade
19:18
que auditores externos esperam.
19:21
Quando um avaliador externo solicita um registro
19:23
de todo o conteúdo sensível que o Copilot acessou
19:25
no último trimestre,
19:27
junto com quem solicitou e por quê,
19:28
é surpreendente a frequência com que surgem lacunas.
19:32
Ou os registros estão incompletos,
19:34
ou omitem totalmente os eventos relacionados à IA
19:36
porque nunca foram marcados dessa forma desde o início.
19:38
É aqui que o Microsoft Purview pode fazer uma grande diferença.
19:42
Suas capacidades de conformidade não se resumem apenas
19:45
a aplicar rótulos e políticas de DLP.
19:47
Elas também reúnem as evidências forenses de que você precisa.
19:50
Em um contexto de Copilot,
19:52
o Purview pode registrar cada solicitação de acesso
19:54
a dados relevantes, a identidade por trás dela
19:55
e o local de origem.
19:56
Ele também pode correlacionar esses eventos
19:58
a padrões de movimentação de dados,
20:00
como arquivos sensíveis sendo referenciados em rascunhos,
20:02
resumos ou exportações,
20:04
sem depender de autorrelato da IA.
20:05
A pontuação de conformidade do Purview
20:08
é mais do que uma métrica de vaidade.
20:10
É um panorama de como o seu ambiente
20:11
se compara aos controles recomendados pela Microsoft,
20:14
incluindo aqueles que limitam diretamente
20:15
os riscos relacionados à IA.
20:18
Uma higiene de permissões de grafo mais forte,
20:19
configurações de DLP mais rígidas
20:21
se grupos baseados em funções bem mantidos
20:23
contribuem para essa pontuação.
20:25
Bem como a pontuação é atualizada,
20:26
conforme você faz alterações,
20:28
você pode ver em tempo quase real
20:30
como as melhorias na governança de IA
20:31
aumentam sua posição de conformidade.
20:32
Pense em um exame regulatório,
20:35
onde você precisa justificar
20:36
por que certos dados de clientes apareceram
20:39
em um relatório gerado pelo Copilot.
20:41
Sem registros estruturados,
20:43
essa conversa se transforma em suposições.
20:45
Com o Purview configurado corretamente,
20:46
você pode mostrar a solicitação de acesso
20:48
em um registro de auditoria,
20:49
apontar a função e as permissões que a autorizaram,
20:51
e demonstrar que a saída permaneceu nos canais aprovados.
20:54
Essa é uma discussão muito mais fácil
20:55
do que tentar explicar um evento não documentado às pressas.
20:58
O segredo é tornar a geração de relatórios de conformidade
21:00
parte do seu ciclo normal de governança de TI,
21:02
não apenas um projeto especial antes de uma auditoria.
21:05
Relatórios automatizados ajudam muito nesse processo.
21:07
O Purview pode gerar relatórios recorrentes
21:09
sobre correspondências de políticas de proteção de informações,
21:11
incidentes de DLP e uso de rótulos de sensibilidade.
21:15
Quando esses relatórios são programados
21:16
para chegar ao espaço de trabalho
21:17
da sua equipe de governança todo mês,
21:19
você cria uma base de atividade de IA fácil de revisar.
21:23
Qualquer anomalia se destaca em relação ao padrão histórico.
21:26
Usa economia de tempo se acumulou.
21:27
Por exemplo, o Purview vem com relatórios pré-criados
21:30
que destacam todos os incidentes envolvendo conteúdo rotulado
21:33
agrupados por local ou tipo de atividade.
21:36
Se uma sessão do Coopilot trouxe um documento confidencial
21:38
para um resultado e sua DLP atuou sobre ele,
21:40
esse incidente já aparece em um relatório
21:42
sem que você precise criar uma consulta personalizada do zero.
21:46
Você pode então analisar esse registro para obter mais detalhes,
21:48
mas o trabalho pesado de coleta e categorização já foi feito.
21:52
Outra eficiência é a integração entre a auditoria do Purview
21:55
e os dados de acesso baseados em função do Microsoft 365.
21:59
Como o Purview entende os grupos do Entry-ID,
22:01
ele pode segmentar os logs de acesso por tipo de função.
22:05
Isso significa que você pode responder rapidamente
22:06
a perguntas focadas como mostre-me todas as instâncias
22:08
em que funções de marketing acessaram dados rotulados
22:10
como financeiros via culpados como financeiros
22:12
via culpados nos últimos 90 dias.
22:14
Essa capacidade de filtrar tanto por função
22:16
quanto por classificação de dados
22:18
é exatamente o que os avaliadores externos procuram.
22:21
Pensando bem, a conformidade nesse nível não é um fardo.
22:24
É uma proteção que confirma que o design da sua governança
22:26
está funcionando na prática.
22:28
Também elimina o estresse das auditorias,
22:30
pois você não precisa garimpar.