Proteja sus datos en la era de M365 Copilot
Iniciamos compartiendo el Modelo de Responsabilidad Compartida de IA, es un marco útil a la hora de pensar en cómo se quiere utilizar un servicio de IA. Donde deberíamos comprender hasta donde llega el cloud provider y donde inicia la responsabilidad de la organización para considerar los puntos no cubiertos, en este modelo SaaS (Copilot).
Iniciamos con la pegunta ¿Conoce los pasos que debe de seguir su organización para proteger la información confidencial al adoptar Microsoft 365 Copilot? Describiremos de manera general desde que el usuario inicia sesión hasta llegar al servicio donde se tiene protegido los datos sensibles y/o proyectos.
Usuarios y dispositivos:
Con Entra ID haber considerado la implementación de medidas de gestión de identidad y acceso. Como parte del flujo donde el usuario inicia sesión en Microsoft 365 con una identidad corporativa y administrada;
Entra ID evalúa la sesión de inicio de sesión utilizando reglas de acceso condicional. Estas reglas tienen en cuenta factores como la pertenencia al usuario/grupo, la ubicación de IP, el estado del dispositivo y la aplicación a la que se accede. Por ejemplo, el sistema podría pedirle al usuario que utilice la autenticación multifactor; o si identifica un riesgo, podría monitorear y controlar el acceso a las aplicaciones en tiempo real; o si el usuario se ve comprometido, puede pedirle que restablezca su contraseña o incluso que bloquee el acceso por completo de ser el caso.
También emplea la Evaluación de Acceso Continuo (CAE) para mejorar la seguridad. CAE monitorea eventos críticos casi instantáneamente y emite tokens de acceso que pueden revocarse inmediatamente si hay un cambio en la cuenta o política del usuario. Esto cubre situaciones como terminación de usuario, cambio/restablecimiento de contraseña, cambio de ubicación de red y revocación de token. Este proceso garantiza que se apliquen las últimas políticas de seguridad sin depender de la caducidad del token, lo que reduce el riesgo de acceso no autorizado.
Acceso a Copilot: Una vez que haya iniciado sesión, el usuario puede acceder a Copilot para Microsoft 365 dentro de varias aplicaciones como Word, Excel, Outlook, PowerPoint, Teams y más. Las características de Endpoint Management en Intune garantizan que las aplicaciones de Microsoft 365 estén instaladas de forma segura en el dispositivo del usuario y se mantengan actualizadas.
Dependiendo de las políticas de su organización, el uso de aplicaciones de trabajo, incluido Copilot, puede limitarse en dispositivos personales para evitar la fuga de datos o el uso de dispositivos no seguros o no administrados. Alternativamente, su organización puede implementar políticas de protección de aplicaciones para limitar las acciones que los usuarios pueden realizar en estos dispositivos, como guardar archivos generados en aplicaciones no seguras o restringir copiar y pegar en aplicaciones que no son de trabajo.
Por último, todo el contenido del trabajo, incluido el contenido generado por Copilot, se puede borrar si el dispositivo se pierde o se desvincula de la empresa o del usuario.
Los datos de su organización:
Uso de Copilot: A medida que un usuario interactúa con sus datos utilizando Copilot para Microsoft 365, se aplican políticas de cumplimiento y seguridad de datos. Copilot solo accederá a los datos que el usuario tiene permiso para ver. Si los usuarios no tienen acceso a ciertos archivos, Copilot no los procesará.
Al utilizar Purview, Copilot hereda las etiquetas de confidencialidad de los documentos confidenciales y las aplica a sus resultados y referencias, lo que garantiza que los datos estén clasificados y protegidos de manera consistente. Los clasificadores de aprendizaje automático en Microsoft 365 también pueden ayudar a identificar información confidencial para una mejor clasificación y protección de los datos. Si Copilot genera datos confidenciales que se guardan en ubicaciones de Microsoft 365, se activan políticas de prevención de pérdida de datos para evitar la filtración de datos.
Todas las interacciones con Copilot se registran con fines de auditoría; cualquier infracción comercial o del código de conducta de las indicaciones y respuestas de Copilot se puede detectar para tomar acciones correctivas rápidas. También puede habilitar políticas de retención para garantizar que los datos no se conserven más tiempo del necesario.
Descubrir y controlar el uso de aplicaciones de IA
Supervisión administrativa: Los administradores de TI desempeñan un papel clave a la hora de garantizar el uso seguro de tecnologías de inteligencia artificial como Copilot. Pueden evaluar el riesgo en más de 400 aplicaciones de IA en una organización y tienen el poder de bloquear o sancionar su uso.
Conclusiones
Estas medidas brindan un recorrido seguro para el usuario desde el inicio de sesión hasta el uso de Copilot, con supervisión continua por parte de los administradores de TI. Destacan la importancia de gestionar y consumir información de forma segura, se utilice o no Copilot. Es crucial que las organizaciones implementen estas prácticas no solo como respuesta al uso de Copilot sino como un enfoque fundamental para proteger la información confidencial.
