Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Copilot Studio Governance: Wie Power-Platform-DLP und Purview verhindern, dass KI-Agenten interne Daten preisgeben (KI-Synchronfassung)

Transcript

Copilot Studio Governance: Wie Power-Platform-DLP und Purview verhindern, dass KI-Agenten interne Daten preisgeben (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Sie lassen gerade Daten über Co-Pilot Studio durchsickern, ohne es überhaupt zu wissen.
0:03
Während alle begeistert davon sind, wie ihr neuer KI-Assistent Dinge abrufen, zusammenfassen und automatisieren kann,
0:08
indexiert derselbe freundliche Chatbot womöglich fröhlich ihre Vorstandsprotokolle und Finanztabellen.
0:14
Das ist keine böse Absicht, sondern Gehorsam schmerzt sich präziser Gehorsam.
0:17
Co-Pilot Studio-Agenten erben ihre Berechtigungen.
0:19
Wenn sie also die Gehaltsdatei des CEO sehen können, kann das ihr Chatbot auch.
0:23
Herzlichen Glückwunsch, wir haben einen allwissenden Praktikanten gebaut, der mit Aschegeschwindigkeit arbeitet.
0:27
Und dennoch sprechen die Leute über Co-Pilot Sicherheit, als wäre es ein gelöstes Rätsel.
0:31
Boiler, das ist es nicht.
0:32
Ihre KI-Agenten sind Erweiterung ihrer Benutzeridentität, keine eigenständigen Wesen mit Sicherheitsvorkehrung.
0:37
Sie leihen sie ihr Zugriffstoken und durchforsten ihre Datenlandschaft genauso, wie sie es ihnen nicht erlaubt haben.
0:41
Nur haben sie es ihnen nie verboten, weil sie die Regeln zur Verhinderung von Datenverlust, die als Leine, die nie konfiguriert haben.
0:48
Hier ist also die Lage.
0:49
In den nächsten Minuten lernen sie, wie sie dieses Leck schließen und Power-Plattform-DLP-Richtlinien anwenden,
0:54
damit ihre Co-Pilot-Agenten keine sensiblen Daten preisgeben, wie ein geschwätziger Praktikant, der die Firmenkreditkarte verliert.
1:02
Wir untersuchen, warum Co-Pilot-Agenten ihre Kompetenzen überschreiten, wie man Datenflüsse über Konnektoren steuert
1:07
und was Microsoft-Zustimmungsmodell hinter den Kulissen wirklich erlaubt.
1:10
Und es gibt eine bestimmte DLP-Regel, die von etwa neun von zehn Administratoren ignoriert wird
1:14
und die den Unterschied zwischen sicheren Unternehmen und solchen macht, die in den Schlagzeilen landen.
1:18
Am Ende kennen sie die Lösung und haben keine Ausreden mehr.
1:21
Lassen Sie uns aufdecken, dass ihr Co-Pilot weiß, was er eigentlich ließ.
1:23
Das verborgene Problem, Agenten, die zu viel wissen.
1:27
Hier ist die unbequeme Wahrheit.
1:28
Ihr Co-Pilot-Studio-Agent ist kein Kollege, sondern eine Kopie von Ihnen in Silizio.
1:33
Er fragt nicht, ob er diese SharePoint-Datei abrufen oder in jene Dataverse-Tabelle schauen darf.
1:37
Er tut es einfach, weil es ihre Berechtigungen sind.
1:40
Die meisten Administratoren vergessen, dass Identitätsreplikation im Microsoft-Ökosystem gleichbedeutend mit Privilegienreplikation ist.
1:46
Der Agent ist im Grunde ein gehorsamer Klon mit Zugriff über ihren Sicherheitskontext, besitzt aber keinerlei Diskretion.
1:52
Co-Pilot-Studio bündelt diese Funktion über Konnektoren.
1:55
Outlook, Dataverse, SharePoint, Teams und jede andere Integration, die ihr Power-Plattform-Tenant erlaubt.
2:00
Jeder Konnektor wirkt wie ein Tunnel zwischen ihren Datenquellen und diesem KI-Assistenten.
2:05
Je mehr Tunnel Sie öffnen, desto weiter kann Ihr Agent umherstreifen.
2:08
Es ist bequem, ja fast berauschend, bis dieser Agent fröhlich vertrauliche Dokumente zusammenfasst,
2:12
weil jemand fragte, wie waren die Einstellungsmuster im letzten Quartal.
2:15
Das digitale Äquivalent zu einem koffeinhaltigen Praktikanten, der im Schnelldurchlauf die Personalakte liest.
2:21
Eigentliche Paradoxon.
2:22
Microsoft stellt tatsächlich Sicherheitsvorkehrungen bereit, Richtlinien zur Verhinderung von Daten.
2:26
DLP sollte eigentlich der Türsteher sein, der unternehmenskritische Daten vom restlichen Chaos trennt.
2:32
Doch in den meisten Bereitstellungen enden diese Schutzmaßnahmen zwei Etagen unter dem Arbeitsbereich von Co-Pilot.
2:37
Anwender gehen davon aus, dass ihre Mandantenrichtlinien automatisch gelten.
2:40
Doch Co-Pilot-Agenten liegen irgendwo zwischen einer Power-Plattform-Umgebung und ihren Mandanten-Grenzen.
2:45
Eine Schattenzone der Governance, in der technisch gesehen nichts ausfällt, aber alles im Stillen schiefläuft.
2:50
Denken Sie einmal darüber nach.
2:51
Sie konfigurieren Outlook und SharePoint-Connectoren als geschäftlich und eine externe API als nicht geschäftlich.
2:57
Diese Trennung verhindert bei korrekter Durchsetzung, dass Daten zwischen den Kategorien fließen.
3:01
Doch Ihr Co-Pilot-Agent, der in einer zu schwach abgesicherten Umgebung sitzt, agiert am Ende über beide Bereiche,
3:05
weil niemand seine Umgebung mit dem richtigen DLP-Set verknüpft hat.
3:08
Plötzlich werden Ihre geschäftlichen Daten über eine nicht geschäftliche Verbindung geleitet.
3:12
Es ist, als hätten Sie einen sicheren Tresor mit offener Tür, weil Ihre Sicherheitsrichtlinie nur das Foyer bewacht hat.
3:17
Häufige Fehlerpfade lassen sich alle auf dasselbe Versäumnis zurückführen.
3:20
Erstens, Agenten fassen Informationen aus vertraulichen Listen zusammen oder umschreiben sie.
3:24
Zweitens, sie führen verschiedene Quellen in einer einzigen Unterhaltung zusammen
3:28
und verletzen so unbeabsichtigt Datenklassifizierungen.
3:31
Drittens, Administratoren setzen eine Vererbung der Richtlinie voraus.
3:34
Da Co-Pilot-Agenten jedoch innerhalb von Umgebungen mit eigenen DLP-Grenzen bereitgestellt werden,
3:38
findet diese Vererbung nie statt.
3:40
Die wundersame Annahme, dass Microsoft die Governance-Arbeit für Sie erledigt, das tut es nicht.
3:45
Wenn Ihr Co-Pilot-Finanzdaten sehen kann, herzlichen Glückwunsch.
3:48
Das kann dann auch jeder gutmeine Mitarbeiter, der eine Chatsitzung öffnet und anfängt, Budgetdetails abzufragen.
3:53
Äh, das ist der stille Angriffsvektor.
3:56
Interne Preisgabe ohne böswillige Absichten.
3:58
Kein Hacker erforderlich, nur übermäßig großzügige Berechtigungen und eine fehlende Kontextisolierung.
4:03
Es ist die Art von Sicherheitslücke, die erst Schlagzeilen macht, wenn jemand ein Chatprotokoll exportiert.
4:08
Also, bevor Sie in Panik geraten oder Microsoft beschuldigen, schauen Sie sich Ihre Architektur an.
4:11
Ihr Agent bricht keine Regeln, er befolgt sie ganz präzise.
4:14
Sie haben nur nie die richtigen definiert.
4:16
DLP gilt nicht automatisch über jede Ebene hinweg.
4:18
Es muss pro Umgebung definiert, durchgesetzt und getestet werden.
4:21
Wissen Sie was?
4:22
Co-Pilot-Studio-Agenten leben standardmäßig in Entwicklungsumgebungen jenen, die Sie wahrscheinlich nie gehärtet haben, weil es ja nur zum Testen ist.
4:29
Wir haben das Symptom identifiziert, Agenten, die zu viel wissen.
4:31
Um das Lecken zu stopfen, müssen wir nachverfolgen, wohin Daten in Co-Pilot-Studio tatsächlich fließen,
4:36
vom Benutzer über den Connector bis zum Konversationsprotokoll.
4:39
Man kann einen Fluss nicht aufhalten, ohne seine Strömung zu verstehen.
4:42
Lassen Sie uns diesen Fluss als nächstes analysieren, bevor Ihr höflicher kleiner Chatbot versehentlich Ihre Jahresprognose in einen Team-Chat schreibt,
4:48
den man nie hätte beiträgen dürfen.
4:50
Wie Daten durch Co-Pilot-Studio fließen?
4:52
Verfolgen wir die Spur Ihrer Daten, denn im Gegensatz zu Ihnen macht sie keine Kaffeepause.
4:55
In dem Moment, in dem ein Benutzer ein Gespräch mit einem Co-Pilot-Studio-Agenten beginnt,
4:59
setzen sich im Hintergrund verschiedene Prozesse in Gang.
5:02
Authentifizierung, authentifiziert über EntraID.
5:05
Diese Identität bringt delegierte Berechtigungen mit sich, die im Grunde sagen,
5:09
alles, was ich sehen kann, kannst du auch sehen.
5:11
Der Agent nutzt diese Anmeldeinformationen dann über einen Connector, die logische Brücke zu Ihrer Datenquelle,
5:16
sei es SharePoint, Outlook, Dataverse oder ein anderer Dienst in dieser Umgebung.
5:20
Sobald die Daten abgerufen wurden, verschwindet die Ausgabe nicht einfach.
5:23
Sie durchläuft verschiedene Ebenen.
5:25
Gesprächskontext, generierte Antwort und schließlich den Analyse-Speicher für Protokollierung und Einblicke.
5:31
Ein netter, kleiner Datenstaffellauf, nur dass der Staffelstab Ihre vertraulichen Informationen sind.
5:35
An jedem Punkt dieses Staffellaufs gibt es Schwachstellen.
5:38
Der Connector ist die erste Gefahrenzone.
5:40
Connectors in der Power-Plattform gibt es in drei Arten.
5:42
Standard, typische Microsoft-Dienste, Premium, Drittanbieter oder erweiterte Funktionen
5:47
und benutzerdefinierte APIs.
5:49
Jede Art wird unterschiedlich verweilt.
5:51
Standard-Connectors fallen sauber in die integrierten DLP-Kategorien.
5:54
Premium- und benutzerdefinierte Connectors schweben jedoch oft in einem regulatorischen Niemandsland,
5:58
bis sie in eine Klassifizierung zuweisen.
5:59
Wenn Administratoren dies vernachlässigen, betrachtet der Co-Pilot-Agency alles, weil es spielt.
6:02
Stellen Sie sich vor, Sie kennzeichnen die Hälfte Ihrer Aktenschränke als Stränke als Stränke,
6:05
geheim, während der Rest unbeschrifte bleiben.
6:07
Damit haben Sie dem Praktikanten gerade die Erlaubnis gegeben, alles zu öffnen, was interessant ist.
6:10
Der zweite Schwachpunkt liegt bei den System-Connectors.
6:12
Diese sind im Maker Canvas nicht sichtbar, ermöglichen aber im Hintergrund Funktionen wie Teams-Nachrichten
6:16
oder die Darstellung von Adaptive Cards.
6:18
Da Sie technisch gesehen dem System und nicht dem Benutzer gehören, umgehen Sie oft Ihre DLP-Filter.
6:23
Betrachten Sie sie als Wartungstunnel unter Ihrer Burg.
6:26
Selten patrouilliert, immer offen.
6:29
Wenn Daten durch Sie fließen, bemerken die meisten Organisationen dies nicht.
6:32
Standardmäßig schließt Microsoft einige Connectors von der Richtliniendurchsetzung aus,
6:35
um die grundlegende Funktionalität zu gewährleisten.
6:37
Wunderbar für die Verfügbarkeit, fatal für die Isolierung.
6:39
Dann gibt es noch das Gesprächsprotokoll, den Chatverlauf des Co-Piloten,
6:42
der für Analysen, Fehlerbehebung und kontinuierliche Verbesserung gespeichert wird.
6:45
Viele gehen davon aus, dass dies durch das deaktivierende Timmetrie abgeschaltet wird.
6:48
Das tut es nicht.
6:49
Gesprächsdaten können im Analysespeicher der Umgebung verbleiben,
6:52
was bedeutet, dass eine Abfrage mit sensiblen Finanzkennzahlen
6:54
möglicherweise auf unbestimmte Zeit in Ihren Protokollen bleibt,
6:56
sofern keine Aufbewahrungsrichtlinie konfiguriert ist.
6:59
Man kann förmlich spüren, wie die Compliance-Abteilung erschaudert.
7:01
Hier wird der Datenfluss täuschen.
7:03
Komplex.
7:03
Ein einzelner Co-Pilot-Aufruf kann nacheinander mehrere Connectors berühren.
7:08
Zum Beispiel könnte ein Agent-Outlook verwenden, um aktuelle E-Mails abzurufen,
7:12
diesen Inhalt durch einen Textanalyse-Connector leiten
7:13
und Zusammenfassungen in Teams zurückgeben.
7:16
Jeder dieser Schritte überschreitet eine DLP-Grenze.
7:18
Wenn nur einer dieser Connectors zu einer anderen Klassifizierung gehört,
7:20
etwa Outlook als geschäftlich und Cognitive Services als nicht geschäftlich,
7:23
verstößt der gesamte Ablauf gegen die Richtlinie Wichtlinie.
7:25
Das System schreit nicht, es macht einfach weiter.
7:28
Querverbindungen sind lautlos, aber katastrophal.
7:30
Schlimmer noch, DLP-Richtlinien sind umgebungsbasiert, nicht hin und weit.
7:33
Was bedeutet, dass jede Power-Plattform-Umgebung ihre eigenen Grenzen hat?
7:37
Wenn Sie Richtlinien nicht explizit replizieren,
7:39
wird jede neue Umgebung zu einem potenziellen Leck.
7:41
Sie können eine makellose Governance in der Produktion
7:43
und absolutes Chaos in der Entwicklung haben.
7:46
Und Microsoft wird Sie höflich daran erinnern,
7:48
falls Sie fragen, dass die Isolierung von Umgebungen so beabsichtigt ist.
7:51
Übersetzung Ihr Problem.
7:52
Lassen Sie mich eine wahrende Geschichte erzählen.
7:54
Ein Kunde implementierte einen finanziellen Co-Pilot-Agenten
7:57
in einer Testumgebung und nahm an,
7:58
seine globale DLP-Richtlinie würde automatisch greifen.
8:01
Der Agent, der sich der Hierarchie fröhlich nicht bewusst war,
8:03
hatte Zugriff auf interne SharePoint-Bibliotheken
8:05
und eine experimentelle Drittanbieter-IP-AP.
8:08
Als die Rechtsabteilung ein Beispiel-Chat-Protokoll prüfte,
8:10
entdeckten Sie vertrauliche Quartalszahlen,
8:12
die in ein API-Gespräch eingeflossen waren.
8:14
Kein Eindringen, kein Hack, nur das Fehlen einer Richtlinie.
8:16
Das System verhielt sich genau so, wie es konfiguriert war,
8:18
um alles falsch zu machen.
8:20
Mittlerweile können Sie sich die Anatomie eines Lecks vorstellen.
8:22
Identitäten delegieren Befugnisse,
8:24
Konnektoren überbrücken Daten, Chat-Protokolle,
8:26
sichern Spuren, Analysen halten das Ereignis fest.
8:29
Verpassen Sie eine Grenze und Informationen Siegern.
8:30
Bevor wir also Abwehrkräfte aufbauen,
8:32
merken Sie sich diesen Fluss.
8:33
Benutzer-Connector, Agent-Protokoll, Analytik.
8:36
Jeder Pfeil ist ein potenzieller Fluchtweg.
8:38
Als nächstes bauen wir Mauer.
8:40
DLP-Richtlinien, die stark genug sind,
8:41
um selbst den übereifrigsten Co-Pilot einzudämmen.
8:44
Die DLP-Festungen errichten die richtige Einrichtung.
8:46
Die meisten Administratoren bekommen hier leichte Panik.
8:48
Gut. Panik bedeutet, dass sie endlich begreifen,
8:50
dass ihre Agenten nicht unschuldig sind.
8:52
Es sind unbeaufsichtige Kleinkinder mit Zugang zum Unternehmenstresor.
8:55
Also fangen wir an, diese Festung von Grund auf richtig aufzubauen.
8:58
Denn eine DLP-Richtlinie in der Power-Plattform zu erstellen,
9:00
ist nicht schwer.
9:01
Zu verstehen, was sie tatsächlich kontrolliert,
9:03
erfordert mehr Finesse als die meisten Dokumentationen zu geben.
9:06
Identifizieren Sie zuerst Ihr Schlachtfeld,
9:07
die Umgebungen, in denen Co-Pilot-Studio-Projekte gehostet werden.
9:10
Viele Organisationen starten mehrere Power-Plattformen,
9:12
Umgebungen, Entwicklung, Test, Produktion,
9:14
oft durch enthusiastische Citizen-Developer,
9:16
die denken, Umgebung klinge nach einer Spielwiese für Kreativität.
9:19
Das ist nicht.
9:20
Jede Umgebung ist Ihre eigene Sicherheitsinsel.
9:22
Richtlinien, die Sie auf Tenentebene festlegen,
9:24
schützen diese Insel nicht automatisch.
9:26
Das bedeutet, Ihre Produktionsumgebung könnte wie Fort Knox gesichert sein,
9:29
während die Entwicklung wie ein Fluss im Pazifik treibt.
9:31
Der erste Schritt ist daher Aufklärung.
9:33
Finden Sie jede Umgebung, in der jemand auf Co-Pilot erstellen geklickt hat.
9:36
Gehen Sie davon aus, dass nichts harmlos ist.
9:38
Bauen wir die erste Mauer.
9:39
Öffnen Sie im Power-Plattform-Admin-Center den Bereich für Datenrichtlinien
9:42
und erstellen Sie eine neue Richtlinie zur Verhinderung von Datenverlust.
9:45
Sie werden aufgefordert, die betroffenen Umgebungen zu definieren.
9:47
Wählen Sie diese bewusst aus.
9:49
Das Verteilen von Richtlinien auf ungenutzte Bereiche erzeugt nur Inkonsistenz.
9:52
Jede Richtlinie greift zum Zeitpunkt der Bereitstellung, nicht rückwirkend.
9:56
Jeder neue oder bestehende Connector in dieser Umgebung hält sich also erst an die Richtlinien,
10:00
nachdem sie veröffentlicht wurden.
10:02
Als nächstes folgt der Eckpfeiler der DLP-Connector-Kategorisierung.
10:05
Stellen Sie sich Kategorien vor, die als geschäftlich, nicht geschäftlich und locket bezeichnen.
10:08
Innerhalb dieser Gruppen können Sie frei kommunizieren.
10:10
Nicht-geschäftliche Connectoren dürfen sich nur innerhalb Ihrer eigenen Gruppe austauschen.
10:13
Blockierte Connectoren werden vollständig gestellt.
10:15
Das ist die Hierarchie, die Ihre KI einhalten muss.
10:18
Und, ja, ein falsch zugeordneter Connector kann aus einem sicheren Chatbot einen Klatschreporter machen.
10:23
Isolieren Sie nun die Risikogruppe.
10:25
KI und externe Connectoren.
10:27
Alles, was als Cognitive Services, OpenAI oder generisches HTTP gekennzeichnet ist,
10:31
sollte standardmäßig nicht geschäftlich oder blockiert sein.
10:33
Diese Connectoren fungieren als ausgehende Gateways über die Daten
10:35
Microsofts geschützten Bereich verlassen und in die Verarbeitung durch Dritte gelangen.
10:38
Sie zu blockieren lämmt Ihren Co-Piloten nicht, es diszipliniert ihn.
10:42
Sie können weiterhin intelligente Abläufe erstellen,
10:44
ohne jedoch rohe Kundendaten an den erstbesten Endpunkt zu senden.
10:47
Ah, dann kommen wir zum stillen Killer, der Cross-Connection.
10:51
Dies geschieht, wenn eine einzelne Konversation oder ein Flow
10:53
sowohl einen geschäftlichen als auch einen nicht geschäftlichen Connector berührt.
10:56
Beispiel, ein Agent ruft eine SharePoint-Liste ab, geschäftlich,
10:59
und sendet die Zusammenfassung an eine externe Sprach-API, nicht geschäftlich.
11:02
Auch wenn jeder Connector einzeln erlaubt ist, entsteht an diesem Punkt eine Datenbrücke,
11:07
die Ihre Richtlinie verbietet.
11:09
Die DLP-Durchsetzung der Power-Plattform blockiert solche Abläufe automatisch,
11:12
wenn Sie die Konnektoren korrekt kategorisiert haben.
11:14
Andernfalls ignoriert sie es um Nachtweide.
11:16
Überprüfen Sie Ihre Kopierung.
11:18
Eine einzige falsche Klassifizierung.
11:19
Und die Wächter lassen den Dieb höflich hinaus spazieren.
11:22
Die DLP-Hierarchie selbst funktioniert wie ein Stapel ineinandergreifender Schutzschutz.
11:25
Ganz oben setzen Mandantenrichtlinien alles darunter außer Kraft.
11:28
Darunter regeln Umgebungsrichtlinien spezifische Bereiche.
11:31
Schließlich gelten Einschränkungen für einzelne Apps oder Agenten nur innerhalb Ihres Umgebungsumfangs.
11:36
Betrachten Sie es als Management-Hierarchie.
11:38
Mandanten-Regeln sind Unternehmensrecht, Umgebungsregeln sind Abteilungsrichtlinien
11:41
und App-Einstellungen sind Notizzettel an den Schreibtischen.
11:44
Bei Widersprüchen gewinnt das Unternehmensrecht.
11:47
Wenn Sie also unsicher sind, setzen Sie an der Mandanten-Grenze strenge Standards durch
11:50
und verengen Sie die Ausnahmen nach unten hin.
11:52
Vertrauen Sie nicht darauf, dass sich App-Entwickler selbst kontrollieren.
11:54
Das sind dieselben Leute, die dachten, Power Automate ohne Versionskontrolle in die Produktion zu bringen sei akzeptabel.
11:58
Bevor Sie feiern, testen Sie immer alles in einer Sandbox-Umgebung.
12:03
Co-Pilot-Studio-Agenten basieren auf mehreren impliziten Verbindungen
12:05
und Ihre neue Richtlinie könnte diese unbemerkt blockieren und Kernfunktionen zerstören.
12:09
Implementieren Sie Ihre DLP-Anpassungen in einer Testumgebung, importieren Sie einen Testagenten
12:13
und bestätigen Sie, dass Ihr Routineanfragen noch beantwortet.
12:15
Falls nicht, passen Sie die Gruppierung an, bis die Funktionalität zurückkehrt, ohne das Risiko zu erhöhen.
12:19
Sie wägen Benutzerfreundlichkeit gegen Paranoia ab, wobei Sie leicht zur Paranoia tendieren.
12:24
Das ist billiger als ein Rechtsstreit.
12:25
Merken Sie, was wir gerade getan haben.
12:27
Wir haben die Daten getrennt, Grenzen definiert und die Ausgänge versiegelt und die aussiegelt.
12:32
Das ist Ihre Festung, starre Kategorien, abgegrenzte Umgebungen, geschichtete Hierarchien, geprüfte Mauern, Äh.
12:38
Doch selbst die beste Festung braucht Wächter, die Berechtigungen verstehen,
12:41
denn Befestigungen versagen in dem Moment, in dem jemand einen Hauptschlüssel weitergibt.
12:44
Und im Reich von Microsoft werden diese Schlüssel über N3-ID ausgestellt.
12:47
Nachdem also Ihre Mauern hoch und Ihr Wassergraben gefüllt sind, sprechen wir über die Torwächter,
12:51
diese charmanten, delegierten Berechtigungen, die jeden Admin in falscher Sicherheit wiegen,
12:54
jeden Admin in falscher Sicherheit wiegen.
12:56
Bühne frei für Entra. Und das nicht ganz so magische Berechtigungsmodell.
12:59
Berechtigungen Entra und der Mythos der Sicherheit.
13:01
Wenn nicht für jedes Mal, wenn jemand sagt, es ist Entra, also ist es sicher, einen Dollar bekäme.
13:05
Hätte ich genug, um Microsoft Aktien zu kaufen und das Problem selbst zu lösen.
13:08
Lassen Sie uns diesen Mythos richtig demontieren.
13:10
Entra, früher bekannt als Azure Active Directory, verteilt keinen Fehlstaub auf Ihre Identität,
13:15
nur weil es die Authentifizierung übernimmt.
13:18
Es ist ein Vermittler, kein Wächter.
13:19
Und Ihr Co-Pilot Agent besitzt, so niedlich er auch erscheinen mag.
13:22
Kein eigenes Konto, kein Passwort und kein Gewissen.
13:25
Erleiht sich Ihres.
13:26
Dies nennt man Delegierte Berechtigung.
13:28
Wenn Sie sich anmelden und mit einem Co-Pilot Agenten interagieren,
13:31
fordert dieser Agent in Ihrem Namen ein Zugriffstoken an.
13:33
Dieses Token umfasst jede Berechtigung, die Ihnen in Ihrer Microsoft 365 Umgebung gewährt wurde.
13:38
SharePoint Bibliothek abgehakt.
13:40
Dataverse Tabelle abgehakt.
13:41
Privater Teams-Chat mit Ihrem Chef ebenfalls abgehakt,
13:43
falls Sie diesen Zugriff haben.
13:45
Der Agent unterscheidet nicht zwischen wichtig und katastrophal.
13:48
Er führt es einfach in Ihrem Bereich und Ihrer Identität aus.
13:51
Wenn Sie Finanzprivilegien haben, hat Sie auch Ihr algorithmischer Assistent.
13:54
Und nein, er wird nicht zögern, Sie zu nutzen.
13:57
Dieses Design funktioniert innerhalb kontrollierter Bereiche wunderbar,
13:59
da es die Benutzererfahrung nahtlos hält.
14:01
Aber die Gefahr geht von impliziten Zustimmung aus.
14:03
Wenn Sie einen Connector genehmigen, etwa für Outlook oder Dataverse,
14:06
wird diese Zustimmung in der Umgebung gespeichert.
14:09
Jeder dort gehostete Co-Pilot Agent erbt dieses Vertrauen.
14:11
Einmal genehmigt, haben Sie effektiv jeden zukünftigen Agenten mit derselben Reichweite gesegnet.
14:16
Herzlichen Glückwunsch!
14:17
Sie haben eine Familie allmächtiger Chatbots ohne individuelle Überwachung bereitgestellt.
14:20
Wenn das leichtsinnig klingt, dann deshalb, weil es ist...
14:22
Das Gegenmittel liegt in der Implementierung des Zugriffs mit den geringsten Rechten für Ihre Agenten,
14:26
genau wie Sie es hoffentlich für Menschen tun, genau wie Sie es hoffen tun.
14:29
Erstellen Sie in Entra-ID benutzerdefinierte Sicherheitsgruppen und Rollenzuweisungen,
14:32
die begrenzen, dass Co-Pilot bezogene Komponenten abfragen.
14:35
Beschränken Sie den Zugriff beispielsweise nur auf die Teilmenge der Daten-Connectors,
14:37
die für die Funktion des jeweiligen Agenten erforderlich sind.
14:40
Ein Marketing-Assistent hat keinen Grund, HR-Unterlagen abzufragen,
14:43
dennoch fassen viele Administratoren sie aus Bequemlichkeit in den selben Bereichen zusammen.
14:46
Bequemlichkeit schafft Angriffsflächen.
14:48
Wenn Sie nicht gerade gerne Prüfern die Datenherkunft erklären, hören Sie damit auf.
14:51
Was sind mit verwalteten Identitäten?
14:53
Ja, sie existieren und ja, sie sind nützlich.
14:55
Eine verwaltete Identität erlaubt einer Anwendung,
14:57
sich bei Azure-Ressourcen mit ihrem eigenen Dienstprinzipal zu authentifizieren,
14:59
statt ihre zu nutzen, statt ihre zu nutzen.
15:01
Doch hier liegt das Detail, das die meisten übersehen.
15:03
Co-Pilot Studio Agents laufen primär über Benutzerdelegierungen,
15:06
nicht über verwaltete Identitäten.
15:08
Voreiliges Zuweisen verwalteter Identitäten kann zu Überprivilegierungen führen,
15:12
da diese Dienstprinzipale oft mit weiterreichenden Azure-Rechten starten als beabsichtigt.
15:16
Betrachten Sie verwaltete Identitäten als chirurgische Instrumente nicht als Standardscheid.
15:19
Automatisierung ist nicht gleichbedeutend mit Automatisierung.
15:21
Vielleicht denken Sie, oh gut, ich verlasse mich einfach auf die Prüfung.
15:24
Eine exzellente Einstellung, solange Sie es auch tatsächlich tun.
15:26
Intra bietet Anmeldeprotokolle und App-Zustimmungsberichte,
15:29
die zeigen, welche Dienstprinzipale auf welche Ressourcen zugriffen,
15:31
unter welcher Identität und wann.
15:33
Kombinieren Sie das mit der Analyse des Power-Plattform-Admin-Centers
15:36
und Sie können die Connector-Aktivität pro Agent nachverfolgen.
15:39
Wenn Sie jemals sehen, dass ein Connector-Daten außerhalb seiner zugewiesenen Umgebung abruft,
15:42
ist das keine Neugier?
15:44
Es ist sichtbar gewordene Konfigurationsfaulheit.
15:46
Erfassen Sie diese Ereignisse, exportieren Sie sie auf Ihre Wachungsplattform und reagieren Sie darauf.
15:49
Vertrauen aber überprüfen ist veraltet.
15:51
Im Co-Pilot-Zeitalter heißt es einschränken und bestätigen.
15:53
Also nein, Intra allein sichert Ihre Agents nicht ab.
15:56
Es authentifiziert Sie höflich, effizient und völlig gleichgültig.
15:58
Sicherheit ist die Architektur, die um die Identität herum aufgebaut ist, nicht Ihre bloße Existenz.
16:03
Ihre Mauern, die LP, Ihre Schlüssel, Berechtigungen und Ihre Wächter, Auditing, bilden ein Dreigestirn.
16:10
Bricht ein Bein weg, riecht die gesamte Struktur in Zwang.
16:12
Der Mythos der Sicherheit stirbt in dem Moment, in dem Sie erkennen,
16:14
dass Microsoft die Verantwortung direkt an Sie zurückdelegiert hat.
16:17
Sie haben nach Self-Service gehen gefragt.
16:18
Sie haben genau das geliefert, Self-Service für alles.
16:21
Und das schließt selbstverschuldete Daten nichts mit ein.
16:23
Nachdem wir nun die Identität gestraft und den Bereich eingeschränkt haben,
16:25
sollten Sie sich noch nicht selbst gratulieren.
16:27
Eine Richtlinie, die geschrieben, aber nie getestet wurde, ist die bürokratische Version eines Placebos.
16:31
Sie brauchen Beweise, einen Beleg dafür, dass Ihre Festung unter Druck tatsächlich standhält.
16:34
Das bedeutet, stochern, provozieren und gelegentlich versuchen, Ihr eigenes System zu knacken.
16:38
Denn wenn Sie es nicht tun, wird es irgendwann jemand anderes tun, ob versehentlich oder absichtlich.
16:41
Testen und überwachen
16:43
Weisen Sie, dass es dicht ist.
16:45
Einen Co-Pilot Agenten zu testen, bedeutet nicht, ihm dabei zuzusehen, wie Herr Goethello sagt.
16:49
Es geht darum zu sehen, was passiert, wenn Sie ihn mit Fragen herausfordern,
16:52
die auf Sicherheitsbarrieren stoßen sollten.
16:54
Sie beginnen damit, Ihren Co-Pilot einem Red-Teaming zu unterziehen.
16:56
Nicht mit dramatischen Lakerspielchen, sondern mit gezielten, kontrollierten Prompts.
17:00
Fragen Sie nach vertraulichen Daten, auf die er nicht zugreifen sollte.
17:02
Lassen Sie Gehälter zusammenfassen, alle Kundendatensätze exportieren
17:05
oder Verträge aus der Finanzabteilung zeigen.
17:08
Wenn der Agent höflich ablehnt oder eine Zugriffssperre meldet,
17:11
feiern Sie kurz.
17:12
Wenn er nachgibt, haben Sie genau die Lücke aufgedeckt von der Angreiferträumung.
17:16
Diese Methode ist kein hypothetischer Test, sondern angewandte Governance.
17:20
Erstellen Sie einen Katalog verbotener Prompts und führen Sie diese in jeder Co-Pilot-Umgebung aus.
17:24
Verfolgen Sie die Antwort.
17:25
Eine Verweigerung zeigt, dass DLP und Berechtigungsebenen funktionieren.
17:29
Ein Datenleck deutet auf Fehlklassifizierung oder Connectorüberschneidung.
17:31
Das Schöne an Co-Pilot ist seine Transparenz.
17:34
Protokolle erfassen alles.
17:35
Das Erschweckende ist, dass diese Protokolle auch Ihre Fehler festhalten.
17:38
Überwachen Sie da als nächstes die Analysen zur Connector-Nutzung.
17:41
Öffnen Sie im Power-Plattform-Admin-Center den Bereich für Umgebungsanalysen.
17:45
Dort finden Sie Metriken zu Connector-Volumen, Häufigkeit und Benutzerherkunft.
17:48
Suchen Sie nach Anomalie.
17:49
Spitzen bei HTTP-Connector-Aufrufen von Agenten, die keine externen APIs nutzen sollten
17:54
oder plötzliche Anstiege bei SharePoint-Abfragen durch neue Chatbot-Bereitstellungen.
17:58
Das sind keine Zufälle, sondern Hinweise auf eine fehlerhafte Konfiguration.
18:01
Behandeln Sie diese wie forensische Spuren.
18:03
Jede Anomalie weist auf eine fehlende Kontrolle von einer Stelle weiter oben.
18:06
Dann folgt die Audit-Protokollierung, Ihre Nachwärtsspuren.
18:08
Aktivieren Sie Audit-Ereignisse in der Power-Plattform und synchronisieren Sie diese mit Microsoft Purview oder Microsoft Sentinel.
18:13
Dies stellt sicher, dass jede Aktion, jeder Prompt und jeder Connector-Aufruf in Ihr umfassenderes Compliance-Gefüge indexiert wird.
18:18
Mit Purview erhalten Sie Kontext.
18:20
Welche Datensätze wurden berührt?
18:21
Welche Benutzer hat den Prompt initiiert und haben Daten ihre geografische Ganze verlassen?
18:24
Sentinel hingegen fügt Korrelation hinzu und verknüpft diese Aktivitäten mit umfassenderen Sicherheitsereignissen wie ungewöhnlichen Anmeldungen oder Privilegieneskalationen.
18:32
Zusammen verwandeln Sie unsichtbares KI-Verhalten in messbare Telemetrie.
18:37
Eine oft übersehene Regel die Abstimmung der Aufbewahrungsfrist.
18:39
Audit-Daten überdauern oft Konversationsdaten.
18:42
Wenn Sie Chat-Protokolle nach 30 Tagen löschen, aber Audit-Ereignisse ein Jahr lang aufbewahren,
18:45
verlieren Sie den Kontext, der erklärt, warum ein Ereignis auftrat.
18:49
Die Durchsetzung von Richtlinien ohne Kontext ist nutzlos.
18:52
Stellen Sie sicher, dass Aufbewahrungsrichtlinien für Co-Pilot-Protokolle, Analysen und Audit-Spuren synchron bleiben,
18:57
damit Ihre Nachweise eine schlüssige Geschichte erzählen.
19:01
Die regelmäßige Neuklassifizierung gehört zu den am meisten ignorierten Aufgaben.
19:04
Microsoft aktualisiert ständig die Connector-Definitionen.
19:08
Ein ehemals sicherer Standard-Connector kann über Nacht zu Premium oder extern werden und sein Datenverhalten ändern.
19:13
Überprüfen Sie der Connector-Inventar vierteljährlich und klassifizieren Sie es gemäß der aktuellen Microsoft-Dokumentation neu,
19:17
nicht basierend auf Annahmen aus dem Vorjahr.
19:19
Dies zu vernachlässigen ist so, als würde man die Türen abschließen, während jemand heimlich die Scharniere bewegt.
19:23
Implementieren Sie schließlich eine kontinuierliche Governance.
19:26
Jeder neue Connector, jedes Plug-in oder jede Erweiterung von Drittanbietern vergrößert die Angriffsfläche.
19:30
Betrachten Sie DLP nicht als statisches Compliance-Kontrollkästchen, sondern als sich entwickelnden Perimeter.
19:34
Planen Sie vierteljährliche Audits, automatisieren Sie den Export von Analysedaten und speisen Sie Warnungen in Ihre CM-Pipeline ein.
19:41
Governance stirbt in dem Moment, in dem Sie mal läuft.
19:43
Wenn Sie die Tests abschließen, werden Sie etwas Erfreuliches feststellen.
19:45
Das Ziel ist nicht Compliance und war es auch nie. Es ist Kontrolle.
19:49
Ein Co-Pilot-Agent, der nur innerhalb bewachter Grenzen antwortet, wird vorhersehbar, verwaltbar und für den geschäftlichen Gebrauch wirklich sicher.
19:55
Dann wandelt sich KI von einer Haftung zum Gewinn. Aber nur?
19:58
Weil Sie paranoiasystemisch und nicht optional gemacht haben.
20:01
Sobald Ihre Daten nicht mehr abfließen, werden Sie Co-Pilot Studio anders sehen.
20:05
Nicht als Spielzeug für Produktivität, sondern als Instrument für Trust Engineering.
20:08
Ihre Agenten verhalten sich so, weil Sie die Regeln genauso festgelegt haben.
20:11
Und so können Sie endlich ohne Ironie behaupten, dass Ihre Umgebung versiegelt ist, denn Co-Pilot Studio-Agenten sind keine Schurken, sie sind Spiegelbilder.
20:19
Sie verhalten sich genau nach Ihrer Konfiguration, was meist ein höfliches Überteilen von Informationen bedeutet.
20:24
Jede Berechtigung, die Sie nutzen, jeder Connector, den Sie überqueren und jeder Datensatz, den Sie offenlegen, ist letztlich ein Spiegel Ihrer Governance.
20:29
Sie haben die Brücke gebaut, Sie sind nur darüber gelaufen.
20:32
Denken Sie also daran, ein Co-Pilot-Agent ist nur so vertrauenswürdig wie seine DLP-Konfiguration, nicht mehr.
20:37
Sicherheit durch Optimismus ist keine Strategie. Sicherheit durch erzwungene Grenzen hingegen schon.
20:43
Governance ist daher keine Option, wenn Ihre KI-Sharepoint, Dataverse und Outlook mit exekutiver Autorität abfragen kann.
20:49
Das Verführerische am Co-Pilot ist die Bequemlichkeit. Fragen Sie an der Gehorchen.
20:52
Das Gefährliche ist, dass dieser Gehorsam auch vertrauliche Tabellen und Personaldaten umfasst, wenn man es ihm nicht anders beibringt.
20:57
Die einzige wirkliche Lösung ist Disziplin.
20:59
Klassifizieren Sie Konnektoren, schränken Sie Berechtigungen ein und testen Sie diese Einschränkungen, bis ein Fehler unmöglich wird.
21:04
Tun Sie dies, bevor ein harmloses Pilotprojekt zu einer Compliance-Untersuchung wird.
21:09
Sperren Sie Ihre Daten, bevor Ihr Co-Pilot zu viel hält.
21:11
Betrachten Sie DLP als intellektuelle Eindämmung, nicht als Bürokratie.
21:14
Eine Reihe digitaler Mauern, die verhindern, dass Intelligenz zu einer Schwachstelle mutiert.
21:18
Sobald Sie diese Regeln durchsetzen, ist Ihr Co-Pilot keine Haftung mehr, sondern das, als was er beworben wurde, ein vertrauenswürdiger Assistent.
21:24
Wenn dies Ihrem Compliance-Team eine Panikattacke erspart hat, abonnieren Sie Dinger.
21:27
Es ist günstiger als ein Audit und unendlich viel weniger unangenehm, als der Rechtsabteilung zu erklären, warum ein Chatbot Gehaltsdaten in Teams gepostet hat.
21:33
Folgen Sie uns für die nächste Episode zu fortgeschrittener Co-Pilot Agent Governance mit Microsoft Purview
21:38
und halten Sie Ihre Automatisierung clever eingedämmt und absolut unter Kontrolle.