Latest / M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語） / Copilotの有効化は魔法ではない：Microsoft 365の契約・ライセンス・権限・Purviewガバナンス（AI吹き替え）

Transcript

Copilotの有効化は魔法ではない：Microsoft 365の契約・ライセンス・権限・Purviewガバナンス（AI吹き替え） · M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語）

0:00
多くの人はマイクロソフトコパイロットはスイッチを入れるだけで魔法のように動くと思っています
0:04
それは間違いです
0:05
実際に言っているのは大規模言語モデルを自社のデータという欠陥に直接つなぎ込むことなのです
0:10
それがコパイロットです
0:12
これは大規模言語モデルとマイクロソフトグラフのコンテンツ
0:14
そして日々使っているマイクロソフト365アプリを組み合わせるものです
0:17
メールチャットドキュメントなどすべてが入力として流れ込みます
0:21
問題はそれが機能するかではなく
0:22
それを有効にしたことで何がテナント全体に解き放たれたかということです
0:25
真のリスクは契約ライセンスデータ保護技術管理ガバナンスにまで及びます
0:30
一つでも欠ければ地図のない迷宮を作り上げたことになります
0:33
正直に問いましょう
0:35
コパイロットのスイッチを入れた時何が切り替わりその結果に対する責任は誰にあるのでしょうか
0:39
そのスイッチの裏で糸を引く見えざる手それが契約です
0:42
契約こそがあなたが動かしていると思っているあらゆるスイッチを導く見えざる手なのです
0:46
管理コンソールは強力なダッシュボードに見えるかもしれませんが
0:49
実際の配線は無味乾燥な法文の中にあります
0:51
コパイロットは単独で存在するのではなくマイクロソフト製品情報及びデータ保護補足情報の下で管理されています
0:57
それらの文書は細かい注意書きではなくデータ主権処理の責務プライバシー義務の基礎となるものです
1:02
つまりスイッチを一つ押す前に契約によってゲームのルールはすでに決まっているのです
1:07
幻想を取り払いましょう
1:08
マイクロソフト製品情報は何が許可されているかデータが物理的にどこに存在できるか
1:13
そして極めて重要なコパイロットの出力の所有権を定めています
1:16
データ保護補足情報はGDPRや類似の枠組みに基づいたプライバシー管理を設定しデータ処理者としてのマイクロソフトの役割を定義しています
1:24
これらの枠組みはコンプライアンスのための標語ではなく法的拘束力のあるものです
1:29
これらを無視してもルールを回避できるわけではありません
1:32
単にコンプライアンス違反のリスクを高めるだけです
1:34
技術的な設定は義務に逆らうのではなく義務と足並みを揃えて運用されるべきだからです
1:38
これは形式的な話ではなく構造的な問題です
1:41
契約が義務であり技術的統制がその施工メカニズムです
1:45
保持ラベルや暗号化ポリシーアクセス権を極限まで綿密に構成したとしても
1:50
それらの措置がディーパや製品条項で明文化された公約と一致していなければリスクにさらされたままです
1:56
契約は回避できるようなものではありません
1:58
それはスタートの合図です
2:00
それがなければ適切な導入とは言えません
2:02
法的責任を伴うバータリ的な対応をしているにすぎません
2:05
よく耳にする不安が一つあります
2:06
マイクロソフトが裏で自社のLLMを私たちのビジネスデータで学習させているのではないかという懸念です
2:10
その答えは契約上ノーです
2:12
コパイロットで使用されるプロンプと応答
2:14
マイクロソフトグラフデータはマイクロソフトの基盤モデルの学習にはフィードバックされません
2:17
これは製品条項とディーパの両方で正式に定められています
2:20
あなたのメールがAIの脳を鍛えるための練習長として悪用されることはありません
2:23
マイクロソフトはまさにそれを防ぐための保護機能を構築しているのです
2:26
もしこれを知らなかったのならおめでとうございます
2:28
あなたは契約ですでに解決済みの問題に悩んでいたことになります
2:30
この点を強調するためにジムの会員契約を例に考えてみましょう
2:33
あなたはトレッドミルを使うために契約したつもりでしょうが
2:36
契約書には営業時間や機器の利用制限
2:38
そしてサウナでの衣類着用に関するルールまでもがひっそりと定められています
2:41
読んでいなかったと言い訳はできません
2:43
ジムは容赦なく規則を執行するからです
2:45
マイクロソフトも同じ仕組みで動いています
2:47
インフラと法的な枠組みでありその場しのぎの遊び場ではありません
2:50
これらの契約がデータの保存場所を決定付けています
2:53
データレジデンシー所在地は哲学的な抽象論ではありません
2:55
規制当局は容赦ない明確さを持ってこれを執行します
2:58
例えばEUの顧客によるコパイロットのクエリはEUのデータ協会内に制限されます
3:02
EU域外ではクエリが世界各地のデータセンターを経由する可能性があります
3:06
これは製品規約に明記されています
3:08
自分のファイルが国境を超える可能性があると知り驚きましたか
3:11
その驚きは署名した内容を読んでいない場合にのみ生じるものです
3:14
成果物の所有権についてもあらかじめ取り決められています
3:16
コパイロットが生成するスライド資料の所有権がデフォルトであなたにあるのは
3:20
デジタルな寛大さによるものではなく
3:21
製品規約がAIシステムに対し知的財産権の主張を放棄するよう指示しているからです
3:26
さらにGDPRやその他の規制もあります
3:28
データ侵害の通知やサブプロセッサーの利用監査など
3:30
すべてディーパデータ処理補足条項に網羅されています
3:32
その結果は決して理論上の話ではありません
3:34
ロールアウト展開でこうした前提条件を無視すれば
3:37
技術的な管理策は見た目だけは立派で中身のない見せかけとなってしまいます
3:40
契約こそがアーキテクチャを決定し
3:42
その上で初めてあなたが設定するスイッチやポリシーが
3:44
実質的なコンプライアンスの重みを持つようになります
3:46
記憶に残る比喩としてコパイロットを気軽に差し込むコンセントではなく
3:50
電力網の一部と考えてみてください
3:52
その電力網の青蛇心つまり配線図は
3:54
あなたがトースターを差し込むよりもずっと以前から存在しています
3:57
配線図を間違えればその後のあらゆる技術的な操作が不安定さを招くことになります
4:00
契約書こそがその配線図なのです
4:02
管理画面のスイッチは単にあなたが終端でプラグを差し込む操作にすぎません
4:05
正確に言えばユーザーを有効にすることは単なる気軽な選択ではありません
4:08
コパイロットをオンにすることは
4:09
これらの文書にすでに高度化された義務を発行させることなのです
4:12
アイデンティティー権限暗号化保持
4:14
これらはすべてその下流で機能します
4:16
契約条件はガバナンスの原始レベルに当たるものです
4:18
役割を割り当てる前
4:19
保持ラベルを設定する前でさえ
4:21
契約によって管轄権
4:22
所有権
4:23
コンプライアンスの体制はすでに確定しているのです
4:25
では重要なポイントをまとめます
4:26
全従業員にライセンスを配布し始める前に一度立ち止まってください
4:29
法務部門と話し合ってください
4:31
リーパと製品規約の適用範囲が文書化されていることを確認してください
4:34
EUの協会に関する考慮事項など
4:36
地域特有のデータレジデンシーの責務を把握し
4:38
義務の基準を明確にしてください
4:40
その準備ができて初めて
4:41
IT部門にコパイロットのシート割り当てを開始させる意味があるのです
4:44
基盤が認識できれば
4:45
次に取るべき当然のステップは明らかです
4:47
事務手続きの先で
4:48
ライセンスや役割の割り当てをオンにすると
4:50
実際には何が制御されるのでしょうか
4:52
そこに真のロックがかかり始めます
4:55
ライセンスと役割はあらゆるドアにかかる鍵なのです
4:58
ライセンスとは魔法の鍵だと思っていませんか
5:00
購入して配布しユーザーがプロンプトを入力すれば
5:03
コパイロットがカフェイン過剰摂取のインターンのように
5:06
メールを作成し始める
5:07
それは違います
5:08
コパイロットのライセンスは万能鍵ではありません
5:10
どちらかといえば
5:11
用心棒付きの建築許可証のようなものです
5:13
許可証は何が存在できるかを定義し
5:15
用心棒は誰がロープの先へ進めるかを強制します
5:18
ライセンスを単なる解除コードとして扱うなら
5:20
システムの仕組みをすでに誤解しています
5:22
脳に刻み込んで置くべき重要な説明がこれです
5:25
ライセンスはコパイロットの機能を有効にしますが
5:28
コパイロットはユーザーがマイクロソフトグラフを通じて
5:30
すでに閲覧権限を持っているデータしか表示しません
5:32
権限はテナントのID設定とバックエンド設定によって強制されます
5:36
ライセンスは
5:37
はいこの人はコパイロットを使えますと言います
5:39
しかしバックエンドはいいえ
5:40
以前から権限がない限り
5:42
CFOのプライベートホルダーは開けませんと言います
5:44
この区別ができなければ
5:45
人々は幻のリスクにパニックを起こすか
5:47
さらに悪いことに現実のリスクを無視することになります
5:49
ライセンス自体は単純なものですが不可欠です
5:52
コパイロットは既存のマイクロソフト365プランへのアドオンです
5:55
標準バンドルには組み込まれていないため
5:56
自身で選択する必要があります
5:58
ライセンスを割り当てても権限が拡張されるわけではなく
6:00
ワード、エクセル、アウトルックなどのスイート内で機能が使えるようになるだけです
6:04
そしてここが運用の微細なポイントです
6:06
コンプライアンス管理のためのパービューや
6:08
セキュリティ上のゲートとなるディフェンダーアドオンなど
6:10
一部の機能には追加ライセンスが必要です
6:13
こうした依存関係を理解せずにコパイロットを導入しようとすれば
6:16
ゼリーの上に足場を組むような不安定な展開になるでしょう
6:19
さて最も危険な誤解を払拭しましょう
6:21
もしコパイロットライセンスを不要意に割り当て
6:24
バックエンドを確認せずに組織全体にばらまけば
6:26
ユーザーは自分がアクセス権を持つあらゆるものを検索できるようになります
6:30
つまり権限管理がずさんであれば
6:32
インターンが魔法のようにグローバル管理者になることはありませんが
6:35
誤って全員に公開された機密文書を検索で表示できてしまうのです
6:39
広範なライセンスと緩い役割を組み合わせると
6:41
情報の露出は過程の話ではなく確実なものとなります
6:44
ユーザーは悪意がなくても情報漏洩を引き起こします
6:46
検索ボックスと過剰に継承されたアクセス権さえあれば十分なのです
6:49
役割こそがその足場を支えるものです
6:51
ロールベースのアクセス制御RBACによって
6:53
IDが持つアクセスレベルが決定されます
6:55
役割を定義せずにコパイロットライセンスを割り当てることは
6:57
本来歩くべきではないくらい廊下で
6:59
AIによって拡張された懐中電灯を人々に手渡すようなものです
7:02
適切に行えばバックエンドがコパイロットを正しく制限してくれます
7:05
財務部門の従業員は財務データセットのみを紹介できます
7:08
マーケティング部門はキャンペーン資料からドラフトを作成することのみ可能です
7:11
管理者は設定を管理できますが
7:12
それはあなたが定めた厳格な境界内に限られます
7:14
コパイロットはディレクトリを忠実に反映します
7:16
ディレクトリ自体が乱雑でない限り
7:18
コパイロットが暴走することはありません
7:19
2つの組織を思い浮かべてください
7:21
1つ目の組織は公平さとは全員に同じライセンスとアクセス権を与えることだと信じています
7:24
誰もが同じコパイロットのスコープを持ちます
7:26
崇高な考えですが結果は悲惨です
7:28
コパイロットは契約書ライブラリ
7:30
人事記録役員のメールのやり取りに飛び込みます
7:32
それらが誤って広く共有されていたためです
7:35
2つ目の組織は規律を守ります
7:37
ライセンスはニーズに合わせ役割によって厳格なゾーンが定義されます
7:41
財務は財務の範囲内
7:42
マーケティングはマーケティングの範囲内に止まり
7:44
一途は境界に位置します
7:46
ユーザーは依然としてコパイロットを賢いと感じますが
7:48
実際にはただ規律ある情報アーキテクチャを反映しているにすぎません
7:51
ここで実用的な生存のヒントを紹介します
7:53
手動で一人ずつシートを割り当てるのはやめましょう
7:55
代わりにグループベースのライセンス割り当てを使用してください
7:58
効率的でありグループメンバーシップの見直しを強制できます
8:01
メンバーシップを監査しなければ
8:03
ライセンスが本来あるべきでない場所にまで漏れ出す可能性があります
8:06
そして覚えておいてください
8:07
コパイロットライセンスをテナント間のゲストアカウントに拡張することはできません
8:10
Gメールログインを持つコンサルタントは
8:11
あなたの環境内でコパイロットを利用することはできません
8:13
回避策を講じようとしないでください
8:15
システムがそれを阻止します
8:16
今回はそれがありがたいことなのです
8:18
ライセンスをパスポートと考えてください
8:20
国境に誰がいるかを示すものであっても
8:22
パスポートは大陸全体を自由に歩き回れることを保証するものではありません
8:25
ビザや居住許可が制限を加えるのです
8:27
役割とはあなたのビザに当たります
8:29
両者が揃って初めて協会が形作られます
8:31
役割を無視すれば入国審査で市民権を超え高に要求する観光客と同じです
8:34
よく言えば滑稽悪く言えば危険です
8:36
ここでのエレガントな点は
8:37
RBACが正しく設計されれば意識することなく機能するということです
8:40
ユーザーはコパイロットが自分たちを理解していると考えます
8:42
それは違います
8:43
コパイロットは単にマイクロソフト365に組み込まれたセキュリティの格子を反映しているだけです
8:47
強力な権限を設定すればコパイロットは規律を反映します
8:50
混沌とした状態であればコパイロットは混沌を反映します
8:53
鏡は中立ですがあなたの設計は中立ではありません
8:56
だからこそライセンスと役割が組み合わさることで
8:58
組織全体に目に見えないロックとして機能するのです
9:07
次の問題を引き起こします
9:08
ロックされた部屋の中でコパイロットは実際に何を消費しているのでしょうか
9:13
その答えはあなたのメール、ドキュメント、そして放置されたすべての共有ファイルで構成されるビュッフェです
9:18
データの露出です
9:20
コパイロットの食事はあなたの組織全体です
9:22
ではコパイロットが咀嚼を始めたらどうなるかについて話しましょう
9:25
データの露出は理論上の話ではありません
9:27
それはあなたが構築したディレクトリをコパイロットが自由に食べることを許可した結果として日々起こる現実なのです
9:33
マイクロソフト365コパイロットはマイクロソフトグラフを通じてコンテンツを取得しユーザーがすでに閲覧権限を持っている資料のみを提示します
9:40
セマンティックインデックスとグラウンディングはIDベースのアクセス境界を尊重するためAIが本来アクセスすべきでない場所に立ち入ることはありません
9:47
AIはお客様のセキュリティモデルがすでに可視化しているものを意図しない形で指摘しているにすぎません
9:51
しかしそこにこそ危険があります
9:53
コパイロットは権限を無視するのではなくそれをそのまま反映します
9:56
チームのライブラリが全員にアクセス許可されている場合コパイロットはそれらを喜んでようやくに取り込みます
10:01
シェアポイントの設定がずさんであればコパイロットはそのデータまでドラフトに統合してしまいます
10:05
ユーザーが組織内の乱雑な場所をわざわざ探すことは稀ですがコパイロットは区別なく探し出します
10:10
AIはインデックス全体から情報を取得します
10:12
そのインデックスを構築したのはマイクロソフトではなくお客様自身です
10:15
コパイロットを完璧な記憶力を持つ支所だと考えてみてください
10:17
普通の従業員なら地下にある鍵のかかっていないキャビネットのことは忘れてしまいます
10:20
コパイロットは忘れません
10:22
インデックスをスキャンするからです
10:23
誰にも見られないはずのホルダに放り込んだ恥ずかしいメモも今はプロンプト一つで呼び出せます
10:27
繰り返しますが悪意があるわけではありません
10:29
お客様が作り上げたデジタルな混沌を効率的に処理しているだけです
10:32
さて権限設定だけが全てではありません
10:34
ここで秘密ドラベルの出番です
10:35
これらは単なる飾りではなく保護を強制するものです
10:38
ファイルが暗号化を伴う機密としてラベル付けされている場合
10:41
コパイロットはそれを尊重しなければなりません
10:43
詳細を説明します
10:44
ラベルによって暗号化や抽出権限が要求される場合
10:47
ユーザーが閲覧と抽出の両方の権限を持っていない限り
10:50
コパイロットはコンテンツを処理しません
10:51
そうでなければコパイロットはブロックされます
10:54
ラベルは継承もされます
10:55
そのためコパイロットが機密ファイルに基づいて新しいスライドデッキを作成する際
10:59
ラベルと保護設定は自動的に引き継がれます
11:01
人の手による介入は不要です
11:03
これは非常に重要です
11:04
派生文書ごとにユーザーがラベル付けを行うことを期待するのは
11:07
人間の記憶力に頼るという無謀な欠けだからです
11:09
統計的に見て人間は負けます
11:11
規制の枠組みはこの問題をさらに深刻にします
11:13
GDPRは権限設定で許可されていたという言い訳を認めません
11:16
HIPAAも誰かが誤ってガン患者の記録をマーケティングチームに公開してしまったという事情は考慮しません
11:20
ISOもプロセスの一貫性が欠けている状況を容認しません
11:23
規制当局にとって重要なのはアクセス可能な範囲そのものなのです
11:26
権限設定の不備によりコパイロット経由で個人データが表示されてしまう場合
11:30
コンプライアンス体制は不十分であるとみなされます
11:32
AIが権限を反映しただけだという主張は
11:35
アクセルを自然に踏んだだけだからスピード違反の切符を切るなと言っているようなものです
11:39
法律はそのような理屈を認めませんし
11:41
居住地ルールを単純化することもありません
11:43
EUの顧客向けにマイクロソフトは必要に応じてコパイロットの処理をEUデータ協会内で行うようにルーティングしています
11:48
しかしここが重要ですが
11:50
リングへのウェブ検索クエリはEUデータ協会の保証範囲には含まれません
11:54
それらは全く別のデータ取扱いポリシーに従います
11:56
全てのデータが等しく守られていると思い込むならその時点で認識は誤っています
12:00
規制当局はたとえあなたが読まなかったとしてもその微妙な違いに気づくでしょう
12:03
永続性についてはどうでしょうか
12:05
コパイロットのプロンプト、応答、アクティビティログがどこか他のLLM学習施設に流出することはありません
12:10
これらはマイクロソフト365のサービス協会内に保存され
12:14
当然ながらパービューで保持や削除を管理できます
12:17
管理者はパービューのコンテンツ検索と保持ポリシーを使用してこの履歴を管理できます
12:21
そしてマイクロソフトは明言しています
12:23
グラフのプロンプトと応答はコパイロットの基盤モデルのトレーニングには使用されません
12:26
CEOの市販機メモが他社のAIを改善するために密かに取り込まれるようなことはありません
12:31
では爆発半径を減らすには何から始めれば良いのでしょうか
12:34
権限監査を実行しエブリワングループを排除してから
12:37
パービューのデータセキュリティ体制管理DSPM評価を実行し
12:41
共有しすぎた状態で放置されているファイルやライブラリを特定します
12:44
なぜなら気づいているかどうかに関わらず
12:46
コパイロットはあなたが誤って許可してしまったあらゆる権限を表面化させる権限を持っているからです
12:50
見て見ぬふりをしたところで助けにはなりません
12:52
もちろん責任をパービューだけに丸投げすることはできません
12:55
パービューはフィルターですがそもそもデータを適切に分類しなければフィルターは機能しません
12:59
コンテンツのラベルを間違えたり身分類のまま放置したりすればフィルターは機能しません
13:03
コパイロットは貪欲なのではなくコンプライアンスに従っているだけなのです
13:06
コパイロットの回答に反映されるのはあなたの組織の権限管理の鏡です
13:10
権限管理が適切であれば洞察は整理され関連性の高いものになります
13:14
図3であればコパイロットは喜んでその見落としを突きつけてきます
13:17
そして強制措置がこうした露出と衝突した時事態は面白くなります
13:21
コパイロットが気の利いた回答を出そうとしてもコンプライアンスルールによって途中で遮断されることがあります
13:26
これはバグでもaiの失敗でもありません
13:28
セキュリティ管理が権限を行使しているのです
13:31
ここからが本題です
13:32
管理センターパービューディフェンダーといった基盤ツールが実際にどのように連携してコパイロットの応答を制御
13:37
監視遮断しているのかを解説します
13:39
あなたは単にトグルを切り替えているつもりでも実際にはオーケストラを指揮しているのです
13:42
スイッチの裏側には技術的な管理という名の公共曲があります
13:45
マイクロソフト365管理センターで何気なくクリックしたチェックボックスは実は指揮者のタクトなのです
13:51
スイッチを切り替えているのではなく統合されたコンプライアンスシステムに対してその振る舞いを正確に指示しているのです
13:56
管理センターパービューディフェンダーは個別に機能するアプリではありません
14:00
これらは緻密に構成された演奏における楽器なのです
14:03
ここに役割を正確に定義したキャストリストを挙げます
14:06
管理センターはテナント制御システムでありいわば送電網です
14:09
ライセンスの割り当てコパイロットのテナントレベルの設定プラグインの有効化を処理します
14:13
管理者はコパイロットの利用者を設定し更新チャンネルを定めベースラインの条件を管理します
14:17
パービューは国境における税関です
14:20
マイクロソフトグラフを流れるすべてを分類しラベル付けし検査します
14:24
ポリシーによる保持の強制dlpデータ損失防止の適用
14:28
ai向けデータセキュリティ体制管理dspmによるリスクの発見
14:31
そしてすべてのアクションの監査ログへの記録を行います
14:34
そして執行部門を担うのがディフェンダーです
14:37
具体的にはマイクロソフトディフェンダー法エンドポイントが実行時の強制
14:40
警告エンドポイントdlpを提供します
14:42
動作を監視し機密データをサードパーティ性aiツールに貼り付けるようなリスクのある操作をブロックし
14:47
ルールに該当する場合はコパイロットのコンテンツ出力を停止します
14:49
これは不具合ではなくポリシーが実行されている証拠です
14:58
実際は違います
14:59
常に相互に重なり合っています
15:00
管理センターでコパイロットを有効にできてもパービューのラベルやポリシーがなければコンテンツは分類されないまま流れてしまいます
15:06
パービューがルールを作成してもディフェンダーの強制力がなければ違反はすり抜けてしまいます
15:11
どれか一つでもオプション扱いすればコンプライアンス管理ではなく混沌を招くことになります
15:15
想像してみてください
15:16
管理センターでライセンスを付与してもパービューの秘密ドラベルを一度も設定していないような状況です
15:21
コパイロットは開かれたファイルを無防備にインデックス化しインターン生がM&A戦略の草案を偶然見つけてしまうかもしれません
15:26
あるいはディフェンダーのDLP設定が過剰な場合を考えてみてください
15:30
ユーザーがコパイロットに市販機収益の要約を求めた際気になるファイルに制限付きと分類された口座番号が含まれていたとします
15:36
ディフェンダーは即座に出力を遮断します
15:38
従業員はコパイロットが壊れていると不満を漏らします
15:40
壊れてはいません
15:41
ディフェンダーはあなたが強制するよう設定した通りに実行しただけです
15:44
実行時の強制はランダムな妨害ではありません
15:46
ポリシー設計の不整合による当然の規決です
15:48
つまりこのように考えてください
15:50
管理センターが法を定めパービューが中身を検査しディフェンダーが実行時に強制するのです
15:54
これらは単に3つのツールを連結したものではありません
15:56
1つのコンプライアンスエンジンの3つの側面なのです
15:59
どれか1つでも設定ミスや無視があれば得られるのはガバナンスではなくノイズです
16:03
では実際に従うべき具体的な技術的戦術を説明します
16:06
ステップ1パービューで統合監査ログを有効にし
16:09
AI向けデータセキュリティ体制管理DSPMをアクティブにします
16:12
DSPMはコパイロットが表面化させる可能性のある過剰に共有されたファイルやシャドーデータをスキャンします
16:18
そしてワンクリックで明白な穴を塞ぐポリシーを自動生成できます
16:21
ステップ2秘密ドラベルを一貫して適用し
16:24
パービューDLPポリシーと組み合わせて
16:26
コパイロットが極めて機密性の高いデータを一切処理できないように制限します
16:30
これを保持ルールと組み合わせることで
16:32
プロンプトと回答にライフサイクル管理を適用します
16:34
ステップ3境界を強化します
16:36
IDレイヤーで条件付きアクセスと多要素認証を使用し
16:39
ディフェンダーのエンドポイントDLPを全てのデバイスに展開します
16:42
そうすれば従業員が機密の回答を未承認のサードパーティー性AIツールにコピー&ペーストして
16:46
ガードレールを回避することはできなくなります
16:48
これら3つの動きによりポリシー分類実行時の各段階でエコシステムを同時にロックダウンできます
16:53
地味ですが重要な役割を果たすツールも忘れないでください
16:55
パービューの保持機能と電子情報開示機能により
16:57
単にルールを強制するだけでなくそれを証明することが可能になります
17:00
規制当局が調査に訪れ証拠を求めてきたとき
17:02
コパイロット利用の検索可能な監査ログと取得可能な履歴が必要になります
17:06
それは飾りとしてのコンプライアンスではなく生き残るための手段です
17:09
コミュニケーションコンプライアンスは検査ポイントをもう一つ追加し
17:12
コパイロットへのリスクのあるプロンプトや不正利用の可能性を検知します
17:16
これを無視すればテナント内で進行中の不正利用に対して盲目になるだけです
17:20
コンプライアンスをシステムの上に重ねるものとして捉えたくなる誘惑が常にあります
17:23
それは間違いです
17:24
これらのコントロールこそがコパイロットガバナンスのオペレーティングシステムなのです
17:27
ライセンス分類保持ブロックログ記録
17:30
これらはコパイロットの動作を保管するものではなく定義するものです
17:33
コパイロットは真空の中に存在するわけではありません
17:35
それは環境に組み込んだポリシー、ラベル、ガードレールの中でしか存在し得ないのです
17:39
そしてこれがより大きな問題へと繋がります
17:41
技術的なコントロールは精密に調整できますがその有効性は予測困難な要因
17:45
つまり人と衝突します
17:47
完璧な保持ポリシー、隙のないDLPルール、ディフェンダーによる堅牢な強制運用を設定することは可能です
17:53
しかしガバナンスが誰も読まないアウトルックのメモになり下がった瞬間に何が起こるでしょうか
17:57
残念ながらそこでコントロールの真の脆さが露呈します
18:01
実践におけるガバナンス、ルール対現実
18:03
実践におけるガバナンスとは理論が現実と向き合うフリをする場所であり大抵は失敗に終わります
18:08
紙の上のポリシーは脆弱です
18:10
周知しタウンホールミーティングを開き勝利を宣言しても数日後には未読メールの山に埋もれてしまいます
18:15
システム主導でないガバナンスはガバナンスではありません
18:18
それはただの根物語です
18:19
機能するルールを望むなら従業員がすでに使っているツールに直接ハードコードする必要があります
18:25
そうでなければコントロールは生前説に基づくことになり従業員もそれ相応の扱いしかしません
18:30
ガバナンスは飾りや理想ではありません
18:32
それは抽象的なコンプライアンスの要求を翻訳し個人情報を保護し機密アクセスを制限してプラットフォームが強制する実際の行動として定着させるそうなのです
18:41
それがなければポリシーは空虚なレトリックにすぎません
18:43
それがあればルールは不可否なものとなります
18:46
パービューによって適用されたホジラベルはどんな人事メモよりも有便です
18:48
なぜならシステムにはユーザーがオプトアウトするボタンなど存在しないからです
18:51
ガバナンスとは外国映画に付けられた字幕のようなものです
18:54
従業員は何が起きているのかを納得する必要さえありません
18:57
システムが設計によって強制的に理解させるからです
19:00
機密ファイルをコパイロットと共有しないでくださいという笑えるほど無益な指示を例にあげましょう
19:04
厳格に聞こえますがクッキーの皿の前にクッキーを食べないでと書いた付箋を置く程度の抑止力しかありません
19:10
その代わりにマイクロソフトコパイロットの体験環境を対象としたデータ損失防止ポリシーをパービューで構成してください
19:16
つまりコパイロットが機密性の高いファイルを認識した場合
19:19
従業員がどれほど丁寧にあるいは無知にプロンプとしても要約や処理ができなくなるのです
19:24
それは提案ではありません
19:26
システムに組み込まれた拒絶なのです
19:28
一般的な啓発キャンペーンと比べてみればその違いは明らかです
19:32
一方はユーザーに禁止事項を伝えもう一方は禁止された操作を技術的に不可能にします
19:36
車の例え話で短く説明しましょう
19:39
ユーザーにデータ共有をしないよう伝えるのは制限速度の標識を立てるようなものです
19:43
コパイロットにデフォルトの秘密ドラベル
19:44
自動ラベル付けdlpポリシーを設定することは
19:47
時速65マイル以上出ないよう実際にスピードリミッターを取り付けるようなものです
19:51
では規制当局はどちらを好むでしょうか
19:53
人間の選択肢を排除する方です
19:55
率直に言ってあなたもそうすべきです
19:57
今こそマイクロソフトのガバナンスツールを活用しましょう
19:59
今回は本当に役立ちますから
20:01
パービュー自動ラベル付けデフォルトの秘密ドラベルは従業員が忘れていても分類を強制します
20:06
保持ラベルはタイムラインを自動適用し忘れられたファイルが永遠に残るのを防ぎます
20:11
コミュニケーションコンプライアンスは監視システムとして機能します
20:14
コパイロットのプロンプトと応答をスキャンし
20:16
AIに不適切なデータが入力されるのを検知できます
20:19
それはやりすぎではなく最低限必要なことです
20:22
そしてAI向けパービューDSPMはコパイロットが何を学習しているかを可視化し
20:26
ワンクリックの修復ポリシーでリスクのある露出を遮断します
20:28
これらを組み合わせることで
20:29
意図とシステムの強制力の間のギャップを埋めることができます
20:32
これが重要なのは最も弱いリンクが予測可能な人間だからです
20:36
コンプライアンス担当者がルールを書き
20:38
管理者がツールを設定しても
20:40
従業員は忙しくなれば全て無視してしまいます
20:42
コミュニケーションコンプライアンスは人間の軽率な行動を止められませんが
20:46
試みを補足しテレメトリを生成できます
20:48
DSPMは善意に頼りません
20:50
共有されすぎたデータを見つけ
20:52
自動修正するためのポリシーを提示します
20:54
これらのツールは規律を求めるのではなく
20:56
強制するのです
20:57
もちろんガバナンスはツールだけでなく構造も必要です
21:00
適切な導入には部門横断的なAIカウンシルやセンターオブエクセレンスが必要です
21:04
ホーム、セキュリティ、人事、ITがテーブルを囲み
21:07
ルールと技術的制御をすり合わせる場所です
21:10
マイクロソフトのガイダンスもこれを推奨しており
21:12
これは単なる形式的なものではありません
21:13
すり合わせがなければ一方は曖昧な指示を印刷し
21:16
もう一方は全く異なる現実を構成することになります
21:19
ガバナンスは単なる技術的な境界線ではなく
21:21
組織の振り付けなのです
21:23
架空の2社を比較すればその点は明白です
21:26
A社はコパイロットを責任を持って使用すること
21:29
という見栄えの良い1ページの指針を作成します
21:32
B社は分類されていないデータにはコパイロットが一切触れないよう
21:35
パービューテンプレートを設定します
21:37
6ヶ月後、A社はコパイロットのようやくに機密ファイルが露出し
21:40
情報漏洩の対応に追われます
21:42
B社はそんなことにはなりません
21:44
どちらもガバナンスはありましたが
21:45
ガバナンスをシステムとして扱ったのは一方だけでした
21:47
ネタバレすると形式主義は失敗し自動化が勝利します
21:50
結論は明白です
21:51
ガバナンスはPDF、ポスター、必須のトレーニングスライドの中には存在しません
21:55
ユーザーが回避不可能な技術的制御の中にこそ存在しているのです
21:58
壁に貼られただけのポリシーは公式に見えるかもしれません
22:00
設定されたパービュールールやDLPブロック、秘密度ラベルこそが真に公式なものです
22:05
意識向上キャンペーンは味付けに過ぎず、強制力こそが本質です
22:08
確かにユーザー教育は重要ですが
22:10
従業員が常にルールを覚えていることに頼る戦略ではすでに負けています
22:14
つまり、実務におけるガバナンスとは
22:16
あらゆる機体をユーザーの協力の有無に関わらず機能するシステム強制ルールへと変換することに集約されます
22:21
そうして初めて、コンプライアンスは現実の試練に頼るものとなります
22:24
自動化された境界が確立されれば、コパイロットは単なるAIアシスタントではなく
22:29
ガバナンスモデルがリアルタイムで機能していることを証明する存在になります
22:33
ここから得られる重要な気づきは、コパイロットの有効化が単なるAIの導入ではなく
22:37
契約、権限、データ制限、ガバナンス全体にわたる管理システムの作動を意味するということです
22:43
次に検討すべきは、まさにこの全体像です
22:46
コパイロットのスイッチを入れることは、単にAIをオンにするのではなく
22:48
コンプライアンスエンジンを始動させることです
22:50
そのワンクリックが、契約、ライセンス、データ保護、そして強制ルール全体に波及していきます
22:54
それを魔法のような自動化だと思っているなら、システムを読み違えています
22:57
あなたは一度の操作で、法律、ポリシー、そしてセキュリティを作動させたのです
23:01
コパイロットのリスクを抑えつつ運用したいなら、今週中にテナント内のこれら3点を確認してください
23:06
パービューDSUPM4 AI評価を実行し修正を適用すること
23:09
RBACとエントラのスコープでグループ単位のライセンス割り当てを行うこと
23:13
そしてパービュー監査、保持、DLPを有効にして高機密データをブロックすることです
23:18
面倒なトラブルシューティングの時間を節約できたなら、ぜひチャンネル登録を
23:21
将来の自分自身が感謝することになるでしょう
23:23
忘れないでください
23:24
コパイロットには、マイクロソフトが構築した統制機能とガイダンスがすでに備わっています
23:28
それらを適切に設定すれば、コンプライアンスによってAIは脅威から
23:31
信頼のおける規律あるツールへと変わります