Latest / M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском / ИИ-агент для GRC на Microsoft Purview, Power Automate и Copilot Studio: автоматические отчёты о соответствии (ИИ-дубляж)

Transcript

ИИ-агент для GRC на Microsoft Purview, Power Automate и Copilot Studio: автоматические отчёты о соответствии (ИИ-дубляж) · M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском

• 0:00
  Поговорим об отчетах по управлению, рискам и соответствию требованиям, то есть от GRC.
• 0:03
  Три буквы, ответственные за потребление кофеина больше, чем все аудиты вместе взятые.
• 0:08
  Где-то прямо сейчас бедный аналитик все еще копирует журналы аудита в Excel по ячейке,
• 0:12
  как будто на дворе 2003 год, а макросы — это колдовство.
• 0:15
  Он начнет с благих намерений, аккуратной книги и пары фильтров,
• 0:18
  а закончит 40 вкладками сводных таблиц, которые противоречат друг другу.
• 0:22
  Комплайенс, который должен быть защитой, превращается в перформанс.
• 0:25
  Часы обработки данных, чтобы убедить аудиторов, что все под контролем.
• 0:29
  Спойлер, это редко так бывает.
• 0:31
  Ручная отчетность GRC — это то, что происходит, когда организации путают документацию с инсайтами.
• 0:36
  Вы выгружаете данные из Microsoft Perview, экспортируете их, растягиваете по электронным таблицам и называете это управлением.
• 0:42
  На следующей неделе появляются новые действия, данные меняются,
• 0:44
  и внезапно ваши безупречные графики становятся ложью в цветовом градиенте.
• 0:48
  Аудиторские следы, которые должны обеспечивать подотчетность, в итоге обеспечивают выгорание.
• 0:51
  Что хуже, большинство компаний относятся к Perview как к сейфу, который вскрывают только перед аудитом.
• 0:56
  Его журналы аудита тихо накапливают терабайты данных о том, кто, что, где и когда делал.
• 1:01
  Полезно, безусловно, читаемо, едва ли.
• 1:04
  Каждая запись — это JSON-блок, настолько плотный, что он мог бы искривлять свет.
• 1:07
  И да, вы можете разбирать их вручную, если выходные — это опция, а здравый смысл — предмет торга.
• 1:12
  А теперь противопоставьте этот абсурд идее AI-агента, не волшебного второго пилота,
• 1:16
  который просто угадывает ответы автоматизированного агента,
• 1:19
  работающего по правилам и созданного на инструментах Microsoft.
• 1:23
  Copilot Studio для анализа естественного языка.
• 1:26
  Power Automate для оркестрации задач и Perview как авторитетный источник аудиторской истины.
• 1:31
  Другими словами, программное обеспечение, которое делает то, о чем всегда мечтали команды комплайенса,
• 1:36
  собирает, анализирует и объясняет без единого вздоха и риска пролить кофе на главную таблицу.
• 1:40
  Представьте это как передачу отчетности GRC стажеру, который никогда не жалуется,
• 1:44
  никогда не спит и читает JSON как родной язык.
• 1:47
  К концу этого объяснения вы точно будете знать, как его создать от подключения журнала в
• 1:51
  Perview до автоматизации планирования отчетов. И все это внутри экосистемы Microsoft.
• 1:55
  И да, мы рассмотрим логический шаг, который превращает это из простой автоматизации в полностью
• 1:59
  автономного аудитора. А пока сосредоточьтесь на этом. Соблюдение требований не должно зависеть
• 2:03
  от потребления кофеина. Машины не устают и уж точно не путают название столбцов.
• 2:06
  Есть один логический уровень, одно тонкое дизайнерское решение, которое делает этого агента
• 2:10
  достаточно надежным, чтобы отправлять отчеты без присмотра. Мы дойдем до этого,
• 2:12
  но сначала давайте поймем, что вообще представляет собой этот агент. Что делает это сочетание
• 2:17
  K-Pilot Studio и Power Automate чем-то большим, чем просто поток с модным названием? Чем на самом
• 2:22
  деле является GRC-агент? Давайте отбросим шумиху вокруг и и определим, чем это является на самом
• 2:27
  деле. Структурированная автоматизация на стеке Microsoft, маскирующаяся под интеллект.
• 2:32
  Агент GRC — это трехголовое существо. Каждая голова отвечает за свою часть когнитивного процесса.
• 2:38
  Perview предоставляет сырую память. Журналы аудита, данные классификации и события
• 2:43
  соответствия требованиям. Power Automate выступает в роли нервной системы. Он собирает сигналы,
• 2:48
  фильтрует шум и следит за выполнением процессов по графику. K-Pilot Studio — это,
• 2:52
  наконец, рот и переводчик. Он берет техническую бессмыслицу из журналов и выдает понятные
• 2:57
  человеку сводки. Пользователь пять раз повышал привилегии за 24 часа, превысив пороговое значение
• 3:02
  политики. Это понятный язык, а не JSON. Вот в чем истина. 90% задач по комплайенсу — это
• 3:07
  не принятие решений, а распознавание образов. Тем не менее, аналитики все еще тратят часы на
• 3:12
  сканирование столбцов с типами активности и результатами, хотя автоматизация могла бы делать это
• 3:18
  сама. Этот подход работает потому, что система не пытается мыслить как человек. Она создана,
• 3:23
  чтобы организовать данные лучше него. Давайте разберем эти компоненты.
• 3:26
  Microsoft Perview — это не просто инструмент для маркировки файлов. Это ваш черный ящик
• 3:30
  комплайенса. Каждое действие пользователя в Microsoft 365 от обмена документом до изменения
• 3:36
  политики протоколируется. Но если вы не владеете чтением вложенных структур JSON,
• 3:40
  вы вряд ли извлечете из них ценную информацию. В этом основная проблема — избыток данных при
• 3:44
  нулевой читаемости. Power Automate — не самый эффектный, но очень дисциплинированный инструмент.
• 3:48
  Он запускается вовремя, ничего не забывает и выполняет каждый шаг беспрекословно. Вы задаете
• 3:52
  расписание, например, ежедневно в 8 часов утра, и он использует коннекторы для получения
• 3:56
  активности из Perview. При неправильной настройке люди паникуют. Здесь при ошибке поток просто тихо
• 4:01
  останавливается, детально записывая причину сбоя в журнал. Комплайенс любит журналы
• 4:05
  событий. Power Automate предоставляет их с завидной регулярностью. И, наконец,
• 4:09
  Copilot Studio, который превращает структурированные данные в повествование. Вы подаете на вход
• 4:13
  сводную таблицу JSON с рискованными действиями пользователей, а он выдает описание рисков на
• 4:18
  естественном языке. Именно здесь возникает иллюзия интеллекта. Он не угадывает, а следует правилам,
• 4:24
  заложенным в ваш пром. Например, вы дали инструкцию обобщить значимые рискованные действия по категориям
• 4:29
  серьезности и включить одну рекомендацию для каждой категории. Результат похож на записку аналитика,
• 4:33
  но это алгоритмическая точность, облеченная в грамматику. Теперь затронем невысказанную
• 4:37
  иронию. Компании покупают дашборды, обещающие прозрачность, глянцевые отчеты и индикаторы,
• 4:42
  но дашборды не объясняют. Они просто отображают. Агент GRC, в свою очередь, пишет. Он переводит
• 4:47
  закономерности в предложение, устраняя разрыв в интерпретации, который привел к бесчисленным
• 4:51
  промахам при проверках соответствия. Когда руководство запрашивает отчет о рисках за прошлый месяц,
• 4:55
  вы не отправляете им ссылку на Power BI, в которой сами не уверены, а присылаете четкий текст,
• 4:59
  созданный рабочим процессом, который сработал в 8 часов 5 минут утра, пока вы еще пили кофе.
• 5:03
  Почему же еще не все команды так делают? Потому что многие недооценивают, насколько понятной
• 5:07
  может быть автоматизация. Они считают и непредсказуемым, хотя на самом деле этот стек
• 5:11
  детерминирован. Вы определяете все. Логику, периодичность, объем данных и даже тон изложения.
• 5:17
  Автономия — это не случайность. Это дисциплинированная автоматизация с навыками работы с текстом.
• 5:21
  Однако прежде чем агент сможет думать, он должен видеть. Это значит создать конвейер данных,
• 5:25
  который даст ему доступ именно к нужным фрагментам данных аудита Perview, не больше и не меньше.
• 5:29
  Без такой видимости вы просто автоматизируете слепоту. Итак, далее мы подключим Power Automate к
• 5:34
  Perview, определим важные события и научим нашего агента, где искать информацию. Только после этого
• 5:38
  мы научим его делать выводы. Создание конвейера данных Perview. Прежде чем учить своего GRC-агента
• 5:43
  думать, нужно дать ему глаза. Подключите его напрямую к источнику истины.
• 5:48
  Журналом аудита Microsoft Perview. Эти журналы очлеживают, кто, что, когда и как затронул.
• 5:53
  К сожалению, они хранятся в восхитительном структурном кошмаре под названием JSON.
• 5:57
  Представьте JSON как инженерный эквивалент юридического жаргона. Технически точен,
• 6:01
  практически не читаем. Прелесть Power Automate в том, что он свободно читает эту абракадабру,
• 6:06
  если вы правильно его подключили. Первый шаг – извлечение. Вы начинаете
• 6:10
  либо со встроенного коннектора Perview, либо, если любите трудности, с HTTP действия,
• 6:14
  напрямую вызывая API журнала аудита Perview. Оба пути ведут к одному результату.
• 6:18
  Поток данных, отражающий все, что произошло в вашем тенанте. Общие файлы,
• 6:22
  изменение прав доступа, нарушение доступа, входы администраторов и многое другое.
• 6:26
  Более правильный подход – заранее ограничить область охвата. Да, можно выгрузить весь поток аудита,
• 6:31
  но это все равно, что делать бэкап всего интернета из-за потери одного PDF-файла.
• 6:34
  Определите, какие события действительно влияют на соответствие требованиям.
• 6:37
  Иначе ваш поток станет непреднамеренной атакой на ваше собственное терпение.
• 6:40
  Теперь контроль доступа. Power Automate действует только в рамках предоставленных ему разрешений.
• 6:45
  Если сервисная учетная запись потока не может прочитать журнал аудита Perview,
• 6:48
  ваш агент будет смотреть в пустоту и прилежно докладывать об отсутствии проблем.
• 6:52
  Это не гарантия безопасности, это слепота, замаскированная под успех.
• 6:55
  Убедитесь, что у сервисной учетной записи есть роль читателя журналов аудита в Perview,
• 6:59
  и что она может проходить аутентификацию без запросов MFA.
• 7:02
  И послушен, но не изобретателен. Он не сможет кликнуть или пройти проверку в 2 часа ночи.
• 7:07
  Назначайте учетные данные аккуратно и храните их в Azure Key Vault или ссылках на подключение,
• 7:11
  чтобы соблюдать требования и поддерживать работу автоматизации.
• 7:13
  Как только извлечение данных станет стабильным, переходите к фильтрации.
• 7:17
  Никому не нужны события доступа к каждому файлу в папке с меню обедов в столовой.
• 7:21
  Вместо этого отфильтруйте реальные индикаторы риска.
• 7:23
  Пользователь вошел в систему из нового места, назначение роли изменено,
• 7:27
  включен внешний общий доступ, изменена политика метров.
• 7:29
  Именно эти истории действительно волнуют аудиторов.
• 7:32
  Вы можете фильтровать на этапе запроса, используя параметры API или далее внутри Power Automate с помощью логических условий.
• 7:38
  Что угодно, лишь бы объем данных оставался приемлемым.
• 7:40
  Помните, вы не накапливаете данные, а систематизируете их.
• 7:43
  Затем наступает этап, который отделяет профессионалов от тех, кто считает копипаст автоматизацией.
• 7:48
  Подача.
• 7:48
  Вы превратите эти JSON-объекты в структурированные столбцы,
• 7:51
  которые позже сможет интерпретировать ваш модуль Copilot.
• 7:54
  Простой метод использования действия «Анализ JSON» заданной схемой, полученной из примера события Perview.
• 7:59
  Если термины вроде «вложенные массивы» вызывают у вас дискомфорт,
• 8:02
  добро пожаловать в программирование для комплайенса.
• 8:04
  Каждое свойство ID-пользователя, операция, рабочая нагрузка, статус результата,
• 8:08
  IP-клиента, становится отдельной переменной.
• 8:10
  По сути, вы обучаете своего будущего и агента словарному запасу перед началом беседы.
• 8:14
  На этом этапе вы откроете для себя экзистенциальный юмор форматов данных Microsoft.
• 8:18
  Некоторые поля аудита представлены массивами, даже если содержат единственное значение.
• 8:22
  Другие скрывают результаты под тремя слоями вложенности, словно матрешки неопределенности.
• 8:27
  Power Automate справляется с этим хаосом с помощью выражений.
• 8:30
  Синтаксис применить к каждому ID-пользователя может показаться загадочным,
• 8:34
  но именно так вы указываете автоматике искать смысл внутри JSON.
• 8:37
  Незначительная опечатка здесь позже превращается в полнейшую бессмыслицу.
• 8:40
  Поэтому проверяйте каждое извлечение на небольших тестовых запусках.
• 8:43
  Да, отладка потоков — это очень гламурная работа.
• 8:45
  Возможно, вы захотите где-то сохранить эти очищенные данные.
• 8:48
  SharePoint, Dataverse или даже база данных SQL, в зависимости от объема ваших отчетов.
• 8:52
  Это хранилище выступает в роли кратковременной памяти,
• 8:55
  позволяя вашему агенту проводить исторический анализ без постоянных запросов к первью.
• 8:58
  Считайте это кэшированием аналитики.
• 9:00
  Вчерашние события помогают сделать сегодняшний анализ более обоснованным.
• 9:03
  Если вам нужны столбцы или связи между наборами данных,
• 9:06
  Dataverse лучше взаимодействует с Power Automate.
• 9:09
  SharePoint проще, но становится неповоротливым, если строк больше нескольких тысяч.
• 9:13
  Далее — планирование.
• 9:14
  Определите периодичность.
• 9:15
  Ежедневные сводки для динамичных сред, еженедельные — для более спокойных экосистем.
• 9:19
  Используйте триггер повторения в Power Automate.
• 9:21
  Настройте его на свой часовой пояс, а не на UTC,
• 9:24
  если только вам не нравится гадать, почему отчеты приходят в 3 часа ночи.
• 9:27
  Поток запускается автоматически, извлекает отфильтрованные данные,
• 9:30
  преобразует их, сохраняет и готовит к следующему этапу — логическому центру.
• 9:34
  Согласованность комплайенса больше не зависит от энтузиазма людей.
• 9:37
  Все работает как часы.
• 9:38
  Настраивая обработку ошибок, учтите, что API-первью может выдать ошибку «слишком много запросов»,
• 9:43
  потому что, как ни странно, все остальные аналитики решили сделать запрос к логам в ту же самую секунду.
• 9:47
  Создайте политики повторных попыток и резервные сообщения.
• 9:50
  Даже автоматизация должна завершаться корректно.
• 9:52
  Записывайте ошибку в лог и отправляйте сообщение в Teams, если показатели превышают заданные параметры.
• 9:57
  Так вы будете воспринимать сбои как данные, а не как драму.
• 10:00
  Помните, аудиторы не наказывают за ошибки.
• 10:03
  Они наказывают за отсутствие документации по ним.
• 10:05
  Теперь у вас есть живой конвейер.
• 10:08
  Данные-первью текут по артериям Power Automate в выбранное вами хранилище.
• 10:12
  Это заменяет ручной сбор данных чем-то гораздо более дисциплинированным.
• 10:16
  При правильном подходе это также ведет к постепенным культурным изменениям.
• 10:19
  Внезапно отчетность о соответствии становится не спринтом перед аудитом, а постоянным ритмом.
• 10:24
  И для справки, да, вы могли бы делать то же самое, вручную запрашивая перевью каждую пятницу и копируя результаты в Excel.
• 10:29
  Вы также могли бы сами сбивать себе масло.
• 10:31
  Этот конвейер существует не потому, что иначе нельзя.
• 10:33
  Он существует, потому что вы цените свои выходные.
• 10:35
  Смешно слышать от тех, кто до сих пор листает логи вручную, что автоматизация – это риск.
• 10:39
  Единственный реальный риск – это придерживаться настолько хрупкого процесса, что отсутствие одного аналитика прерывает аудит.
• 10:44
  Теперь, когда ваш агент видит и получает постоянный поток структурированных данных по расписанию, пора наделить его мышлением.
• 10:50
  Следующий уровень превращает сырую информацию в интерпретацию – пороги решений, логические условия и сводки.
• 10:55
  По сути, мы переходим от глаз – мозгу.
• 10:58
  Фундамент заложен.
• 10:59
  Давайте научим его думать.
• 11:01
  Даем агенту мозг.
• 11:02
  Логика Power Automate.
• 11:03
  Power Automate – это не И.
• 11:05
  Он не мечтает, не строит догадок и не выдумывает риски соответствия.
• 11:08
  Он делает так, что большинство людей не в силах поддерживать постоянно, он послушен.
• 11:11
  Он никогда не забывает шаги, не импровизирует и не говорит, что должно было сработать.
• 11:15
  Это предсказуемая жесткость – именно то, что нужно для автономии.
• 11:19
  Логический уровень вашего GRC-агента начинается со структуры.
• 11:22
  Поток должен запускаться сам, надежно опрашивать первью, интерпретировать находки и решать, когда события пересекают заданные вами пороги.
• 11:28
  Представьте себе цепную реакцию.
• 11:30
  Срабатывает триггер периодичности.
• 11:32
  Запрос уходит в первью.
• 11:33
  Данные очищаются, закономерности почитываются, категории риска присваиваются.
• 11:37
  Никакой драмы, только выполнение.
• 11:39
  Начните с триггера периодичности.
• 11:40
  Правильно настроенная периодичность – ответ цивилизации на человеческую забывчивость.
• 11:44
  Настройте ее на часовой пояс ваших аудиторов.
• 11:46
  Будь то ежедневно или еженедельно, этот график гарантирует, что поток начинает свою работу автоматически,
• 11:51
  именно так автономные системы остаются активными.
• 11:53
  Сразу добавьте блок инициализации.
• 11:55
  Переменные среды – счетчики, массивы.
• 11:58
  Они создают когнитивный каркас, который агент будет использовать позже.
• 12:01
  Переменные, такие как общее количество событий, число рисков высокого уровня и дата отчета,
• 12:05
  становятся его рабочей памятью.
• 12:06
  После запуска поток вызывает коннектор аудита, перевью или HTTP API.
• 12:11
  А затем наступает реальность.
• 12:13
  Исходные ответы содержат фоновый шум, системные сигналы или совершенно нерелевантные события.
• 12:18
  Добавьте шаг фильтрации массива, чтобы удалить лишнее.
• 12:21
  Обычный шаблон – игнорируйте записи, где тип пользователя, служебная учетная запись,
• 12:24
  и оставляйте только операции, связанные с управлением данными или изменением политик.
• 12:27
  Эта фильтрация позволяет вашему агенту сохранять аналитический склад ума, а не паниковать.
• 12:31
  Учитывая любовь Microsoft к дублированию, многие потоки журналов повторяют одни и те же события.
• 12:35
  Удалите дубликаты с помощью простого выражения объединения или сравнения в цикле.
• 12:38
  То, что останется, это полезный сигнал, достоверное подножество данных, заслуживающей классификации.
• 12:42
  Именно здесь скрипт оправдывает звание интеллектуального.
• 12:45
  Добавьте действие «создать» или «выбрать», которое группирует оставшиеся записи по имени участника и операции.
• 12:50
  Затем направьте эти подсчеты в циклы, которые суммируют данные по каждой категории.
• 12:53
  В итоге ваш агент получает снимок ситуации.
• 12:55
  Кто, что и как часто делал, и вышло ли это за рамки заданных границ риска.
• 13:00
  Секрет автономности в том, чтобы система сама определяла уровень риска на основе заданных вами порогов.
• 13:04
  Например, если число повышений привилегий равно 3, установите уровень риска «высокий».
• 13:09
  Если число внешних публикаций равно 1, установите уровень риска «средний».
• 13:13
  В противном случае – нормальный.
• 13:15
  Эта логика не придумывает смысл, она его задает.
• 13:18
  Формализуя понятие «слишком много», вы заменяете человеческие догадки числовой ясностью.
• 13:23
  Используйте вложенные действия условий.
• 13:25
  Если уровень риска высокий, добавьте информацию об этом пользователе в массив высокого риска.
• 13:29
  Если средний, возможно, поставьте в очередь на проверку.
• 13:31
  Если ничего необычного нет, запишите сообщение об отсутствии находок, а не просто храните молчание.
• 13:36
  Различия между «данные отсутствуют» и «нет данных» – священно в вопросах комплаенса.
• 13:39
  После срабатывания порогов можно вызвать конечную точку Капайлот Студия для создания краткого описания.
• 13:44
  Два пользователя превысили пороговые значения риска.
• 13:46
  Но этот лингвистический этап относится уже к следующему разделу.
• 13:49
  Здесь цель – квалификация, а не составление текста.
• 13:52
  Ошибки случаются. API часто ограничивает запросы или дает сбои чаще, чем обещает маркетинг.
• 13:57
  Оберните все HTTP вызовы в контейнер области с включенной политикой повторных попыток.
• 14:02
  Три попытки с экспоненциальной задержкой.
• 14:04
  В ветке сбоя запишите сообщение об ошибке, метку времени и ID запуска потока в список SharePoint или таблицу Dataverse под названием «Здоровье автоматизации».
• 14:11
  При первом развертывании будьте готовы к комичным ситуациям.
• 14:13
  Когда я впервые протестировал эту сборку, агент гордо сообщил «Проблем нет».
• 14:17
  «Идеальное соответствие», – подумал я, пока не понял, что у сервисной учетной записи не хватает роли читателя журналов аудита.
• 14:23
  Робот не ленился, он был послушно слеп.
• 14:26
  Напоминание о том, что автоматизация исполняет ровно то, что вы ей дали, и ничего больше.
• 14:30
  Каждый запуск потока фиксирует доказательства выполнения.
• 14:33
  Ставьте финальное действие добавления файл или создания элемента, которое сохраняет итоговые метрики,
• 14:37
  общее количество обработанных событий, пользователя с наивысшим риском и длительность выполнения.
• 14:41
  Отправьте эти результаты в канал Teams или соответствующую библиотеку SharePoint.
• 14:45
  Когда наступает сезон аудита, воспоминаниями вы не отчитаетесь.
• 14:48
  Вам придется предъявлять артефакты.
• 14:50
  Добавьте дополнительную защиту, включите ID запуска и версию потока.
• 14:53
  Если ваши пороговые значения изменятся, аудиторы все равно смогут отследить, какая логика привела к результату.
• 14:58
  Управление машиной равносильно управлению с помощью машины.
• 15:01
  К этому моменту автоматизация уже умеет классифицировать, считать и принимать решения.
• 15:05
  Она знает, когда уровни риска нарушают политику, но ничего об этом не говорит.
• 15:09
  Для людей эта тишина кажется пугающей, поэтому следующий уровень добавит слова.
• 15:12
  Или, проще говоря, раз она умеет думать, она должна уметь говорить, причем желательно на понятном языке.
• 15:17
  Обучение письму. Интеграция с Капайлот Студия.
• 15:20
  До сих пор ваш агент был молчаливым типом, эффективным, но немым.
• 15:25
  Капайлот Студия дает ему голос, выступая переводчиком данных на язык дипломатии.
• 15:29
  Представьте его как многоязычного переговорщика, зажатого между кодом и заседаниями комитета.
• 15:34
  Система, которая не выдумывает истории.
• 15:37
  Она переводит реальность в предложения, понятные человеку.
• 15:40
  Ее талант заключается в превращении JSON-болото из Power Automate в аккуратный дайджест действий пользователей, рисков и событий,
• 15:47
  в параграфы, достаточно вежливые для руководителей и точные для аудитора.
• 15:51
  Она связывает синтаксис и политику, гарантируя, что сырые машинные данные теперь читаются как взвешенные суждения,
• 15:57
  а не как бессвязный набор таблиц. Начните с определения того, какой тип коммуникации вам нужен.
• 16:01
  Обычно их три. Краткое резюме для руководства, техническое приложение и рекомендации.
• 16:05
  Каждый из них рассчитан на свой уровень осведомленности.
• 16:08
  Руководству нужен один абзац. Аудиторам нужны доказательства.
• 16:11
  А эти специалистам нужны все поля, потому что они прививаются данными.
• 16:14
  Вы создадите единый капайлот в студии, но выстроите внутри него несколько разных промптов.
• 16:19
  Каждый промп формирует тон, формат и объем текста.
• 16:22
  Пример. Обобщите основные риски простыми словами, ограничьтесь пятью пунктами и предложите способы устранения для каждого.
• 16:29
  Следующим может быть составить техническое приложение со списком всех событий высокого риска в виде таблицы.
• 16:34
  Чтобы связать Power Automate с Copilot Studio, используйте HTTP действие в своем потоке,
• 16:38
  которое отправляет структурированную GSUN полезную нагрузку на URL-адрес Copilot.
• 16:42
  Copilot интерпретирует эти данные, используя заданный вами системный промп.
• 16:46
  Аутентификация Microsoft обеспечивает безопасность этого процесса.
• 16:49
  Вы подтверждаете вызов через Азурет, поэтому доступ к нему есть только у вашего потока.
• 16:53
  Поздравляем! Вы только что научили своего бота отправлять структурированные мысли в машину для письма.
• 16:58
  Полученный результат – это текст, а не цифры.
• 17:00
  Этот текст и есть ваш отчет.
• 17:02
  Передайте его в Copilot с инструкцией, обобщите эти результаты в краткий отчет о соответствии,
• 17:06
  классифицировав их по степени тяжести.
• 17:08
  Порекомендуйте по одному действию на каждое нарушение и завершите общим анализом тенденций.
• 17:12
  Copilot возвращает нечто похожее на служебную записку аналитика.
• 17:16
  Два пользователя проявили повышенное рискованное поведение вчера.
• 17:19
  Адель Венес выполнила три повышения привилегий, превысив допустимый порог.
• 17:23
  Рекомендуется немедленный пересмотр прав администратора.
• 17:25
  Меган Б. однажды попыталась предоставить общий доступ извне.
• 17:28
  Напомните пользователю о политике внешней передачи данных.
• 17:31
  Других аномалий не обнаружено.
• 17:32
  Общая динамика по сравнению с базовым уровнем стабильна.
• 17:35
  Видите?
• 17:36
  Это не генеративные догадки.
• 17:37
  Это структурированный синтез на основе детерминированных промптов.
• 17:41
  Люди называют это письмом, машиной, выводом данных.
• 17:43
  Секрет в вашем контроле как над структурой данных, так и над структурой языка.
• 17:47
  Копайлот не действует произвольно.
• 17:49
  Он излагает статистику.
• 17:51
  Теперь определимся с распространением.
• 17:53
  Обычным смертным не стоит заходить в датаверс ради отчетов.
• 17:56
  Поэтому снова используем коннекторы Power Automate.
• 17:59
  Работайте с двумя ветвями одного и того же потока.
• 18:01
  Одна публикует сводку Копайлот прямо в канал Teams.
• 18:04
  Другая сохраняет полную HTML-версию в SharePoint.
• 18:07
  Руководство читает публикацию в Teams, аудиторы открывают архив для документации.
• 18:11
  Оба варианта приходят автоматически с отметкой времени и идентичной формулировкой.
• 18:15
  Это и есть последовательность, добродетель, неведомая большинству людей-писателей.
• 18:19
  Давайте поговорим о дисциплине промп-инженеринга.
• 18:21
  Вам понадобятся ограничители.
• 18:23
  Укажите точные заголовки, которые должен использовать Копайлот.
• 18:26
  Обзор, ключевые выводы, рекомендации.
• 18:28
  Если этого не сделать, Копайлот попытается впечатлить вас литературным стилем или эмодзи.
• 18:33
  Аудиторский отчет с эмодзи подходит только для хаоса.
• 18:35
  Добавьте директивы, используйте профессиональный нейтральный тон, избегайте предположений, включайте измеримые метрики.
• 18:43
  Чем строже ваши инструкции, тем более воспроизводим результат.
• 18:46
  Соответствие требованиям держится на воспроизводимости, а не на индивидуальности.
• 18:49
  В этой рутинной механике есть своя прелесть.
• 18:52
  Копайлот Студия поддерживает контекстные переменные.
• 18:55
  Вы можете встраивать динамические данные, такие как дата отчета или длительность выполнения, прямо в текст.
• 19:00
  Используйте плейс-халдеры для даты и количества записей.
• 19:03
  Когда поток вызывает Копайлот, эти переменные автоматически разрешаются.
• 19:07
  Результат выглядит так.
• 19:08
  Сгенерировано 15 марта.
• 19:09
  Проанализировано 563 события аудита.
• 19:12
  Этот метаконтекст удовлетворяет аудиторов быстрее, чем любой GIF.
• 19:15
  Точность требует финальной проверки, валидации.
• 19:18
  Добавьте в Power Automate условия проверки того, что ответ Копайлот не пуст.
• 19:22
  Если это так, сохраните ошибку в лоб и повторите операцию один раз.
• 19:25
  Вы уже научили своего агента самосознанию и логике.
• 19:28
  Теперь объедините это с лингвистической проверкой на адекватность.
• 19:30
  Готовый поток выглядит вот так.
• 19:32
  Извлечение, анализ, обобщение, повествование, публикация.
• 19:37
  Каждая стрелка означает подотчетность.
• 19:39
  Финальная доработка.
• 19:41
  Версионируйте системный промп Копайлот каждый раз при изменении критериев соответствия.
• 19:45
  Помечайте обновления как V1, V1, 1 и так далее.
• 19:48
  Фиксируя, какая версия промпта создала какой отчет.
• 19:50
  Будущие аудиты смогут ссылаться не только на то, что произошло,
• 19:53
  но и на то, какие инструкции были у модели в тот момент.
• 19:55
  Это мета-соответствие, управление управлением, которое пишет само себя.
• 19:58
  Бурократия наконец достигла рекурсии.
• 20:00
  Как только Копайлот Студия составляет отчет,
• 20:02
  ваша роль как человека становится милосердно необязательной.
• 20:05
  Агент составляет описание, прикладывает доказательства,
• 20:08
  публикует файлы, архивирует предыдущие версии и отключается до следующего цикла работы.
• 20:12
  Он не пишет вам письма для одобрения,
• 20:14
  потому что вы изначально настроили его так, чтобы ему не требовалось подтверждение.
• 20:17
  Он, если позволите так выразиться, по-своему гордится точностью своего языка.
• 20:22
  Именно здесь автономность перестает быть метафорой и становится реальностью рабочего процесса.
• 20:26
  Машина не только обрабатывает данные о соответствии требованиям,
• 20:29
  но и вовремя разъясняет их людям, избегая эмоционального напряжения из-за срывов сроков.
• 20:34
  И да, если хотите добавить немного иронии,
• 20:36
  можно снабдить отчет подписью вроде
• 20:38
  «Отчет составлен автономным агентом Копайлот GRC».
• 20:40
  Ничто так не отбивает у руководства желание заниматься микроменеджментом,
• 20:43
  как робот, который сам подписывает свою работу.
• 20:45
  Теперь, когда агент может четко формулировать выводы,
• 20:47
  вы можете навсегда забыть о написании GRC-отчетов,
• 20:50
  или, по крайней мере, до тех пор, пока кто-то не отключит ваши коннекторы.
• 20:53
  На этом этапе цикл завершается сам собой.
• 20:55
  Первью собирает данные,
• 20:56
  Power Automate интерпретирует их,
• 20:58
  Копайлот суммирует,
• 20:59
  и, удивительно, выходные снова принадлежат вам.
• 21:02
  Ежедневная рутина превращается в единый рабочий процесс,
• 21:04
  говорящий на языке безупречного соответствия требованиям.
• 21:07
  Результаты появляются в Teams в одно и то же время через равные промежутки.
• 21:11
  Ясный текст, последовательная терминология,
• 21:13
  проверяемое происхождение данных.
• 21:14
  Главное преимущество не в скорости, а в стандартизации.
• 21:17
  Каждый отчет звучит одинаково,
• 21:19
  использует одни и те же пороговые значения
• 21:21
  и регистрирует идентичные метадонные.
• 21:22
  Аудиторы больше не тратят часы на проверку формата.
• 21:25
  Они оценивают содержание.
• 21:27
  Модели рисков становятся повествованием во времени,
• 21:29
  а не хаосом в электронных таблицах.
• 21:30
  Вы превратили соответствие требованиям
• 21:32
  из процесса документирования в процесс оркестрации.
• 21:34
  Постоянно работающая система,
• 21:35
  которая очлеживает, интерпретирует
• 21:36
  и отчитывается с точностью судебного протокола.
• 21:38
  Ручные GRC-отчеты — это печатные машинки.
• 21:40
  Этот агент — текстовый процессор
• 21:42
  с функцией автоматической корректуры.
• 21:43
  Запустите его до начала следующего аудита,
• 21:45
  и фраза «ручной отчет о соответствии»
• 21:47
  скоро будет звучать так же устаревши,
• 21:48
  как «пришлите мне логи по факсу».
• 21:49
  Далее — расширение этого интеллекта
• 21:51
  на обеспечение конфиденциальности данных.
• 21:53
  Вы уже создали мозг,
• 21:54
  теперь позвольте ему следить за порядком.