Microsoft Copilot ha sido considerada una de las herramientas de productividad más poderosas del planeta.
Copilot es un asistente de inteligencia artificial que se encuentra dentro de cada una de sus aplicaciones de Microsoft 365: Word, Excel, PowerPoint, Teams, Outlook, etc. El sueño de Microsoft es eliminar la monotonía del trabajo diario y permitir que los humanos se concentren en resolver problemas de forma creativa.
Lo que hace que Copilot sea una bestia diferente a ChatGPT y otras herramientas de inteligencia artificial es que tiene acceso a todo en lo que haya trabajado en 365. Copilot puede buscar y compilar datos instantáneamente en todos sus documentos, presentaciones, correo electrónico, calendario, notas y contactos. .
Y ahí radica el problema para los equipos de seguridad de la información. Copilot puede acceder a todos los datos confidenciales a los que puede acceder un usuario, lo que a menudo es demasiado. En promedio, el 10% de los datos M365 de una empresa están abiertos a todos los empleados.
Copilot también puede generar rápidamente neto nuevo datos sensibles que deben ser protegidos. Antes de la revolución de la IA, la capacidad de los humanos para crear y compartir datos superaba con creces la capacidad de protegerlos. Basta mirar las tendencias de violación de datos. La IA generativa echa queroseno sobre este fuego.
Hay mucho que analizar cuando se trata de IA generativa en su conjunto: envenenamiento de modelos, alucinaciones, deepfakes, etc. Sin embargo, en esta publicación me centraré específicamente en la seguridad de los datos y en cómo su equipo puede garantizar una implementación segura de Copilot. .
Casos de uso de copiloto de Microsoft 365
Los casos de uso de la IA generativa con una suite de colaboración como M365 son ilimitados. Es fácil ver por qué tantos equipos de TI y seguridad claman por obtener acceso temprano y preparar sus planes de implementación. Los aumentos de productividad serán enormes.
Por ejemplo, puede abrir un documento de Word en blanco y pedirle a Copilot que redacte una propuesta para un cliente basada en un conjunto de datos de destino que puede incluir páginas de OneNote, presentaciones de PowerPoint y otros documentos de Office. En cuestión de segundos, tienes una propuesta en toda regla.
Aquí hay algunos ejemplos más que Microsoft dio durante su evento de lanzamiento:
- Copilot puede unirse a sus reuniones de Teams y resumir en tiempo real lo que se está discutiendo, capturar elementos de acción y decirle qué preguntas quedaron sin resolver en la reunión.
- Copilot en Outlook puede ayudarle a clasificar su bandeja de entrada, priorizar correos electrónicos, resumir hilos y generar respuestas para usted.
- Copilot en Excel puede analizar datos sin procesar y brindarle información, tendencias y sugerencias.
Cómo funciona el copiloto de Microsoft 365
A continuación se ofrece una descripción general sencilla de cómo se procesa un mensaje de Copilot:
- Un usuario ingresa un mensaje en una aplicación como Word, Outlook o PowerPoint.
- Microsoft recopila el contexto empresarial del usuario según sus permisos M365.
- El mensaje se envía al LLM (como GPT4) para generar una respuesta.
- Microsoft realiza comprobaciones de IA responsables de posprocesamiento.
- Microsoft genera una respuesta y envía comandos a la aplicación M365.
Modelo de seguridad de Microsoft 365 Copilot
Con Microsoft, siempre existe una tensión extrema entre productividad y seguridad.
Esto se puso de manifiesto durante el coronavirus cuando los equipos de TI implementaron rápidamente Microsoft Teams sin comprender primero completamente cómo funcionaba el modelo de seguridad subyacente o qué tan bien estaban los permisos, grupos y políticas de enlace de M365 de su organización.
Las buenas noticias:
- Aislamiento de inquilinos. Copilot solo utiliza datos del inquilino M365 del usuario actual. La herramienta de IA no mostrará datos de otros inquilinos en los que el usuario pueda ser invitado, ni de ningún inquilino que pueda estar configurado con sincronización entre inquilinos.
- Límites del entrenamiento. Copiloto no es utilice cualquiera de sus datos comerciales para capacitar a los LLM fundamentales que Copilot utiliza para todos los inquilinos. Tú no debería tendrá que preocuparse de que sus datos de propiedad aparezcan en las respuestas de otros usuarios de otros inquilinos.
Las malas noticias:
- Permisos. Copilot muestra todos los datos de la organización para los cuales los usuarios individuales tienen al menos permisos de visualización.
- Etiquetas. Contenido generado por copiloto no lo hará hereda las etiquetas MPIP de los archivos de los que Copilot obtuvo su respuesta.
- Humanos. No se garantiza que las respuestas de Copilot sean 100% objetivas o seguras; los humanos deben asumir la responsabilidad de revisar el contenido generado por IA.
Veamos las malas noticias una por una.
Permisos
Otorgar acceso a Copilot solo a lo que un usuario puede acceder sería una excelente idea si las empresas pudieran imponer fácilmente privilegios mínimos en Microsoft 365.
Microsoft afirma en su Documentación de seguridad de datos del copiloto:
“Es importante utilizar los modelos de permisos disponibles en los servicios de Microsoft 365, como SharePoint, para ayudar a garantizar que los usuarios o grupos correctos tengan el acceso correcto al contenido correcto dentro de su organización”.
Fuente: Datos, privacidad y seguridad para Microsoft 365 Copilot
Sin embargo, sabemos empíricamente que la mayoría de las organizaciones están lo más lejos posible del privilegio mínimo. Solo eche un vistazo a algunas de las estadísticas de Microsoft. Informe sobre el estado de riesgo de los permisos en la nube.
Esta imagen coincide con lo que Varonis ve cuando realizamos miles de evaluaciones de riesgos de datos para empresas que utilizan Microsoft 365 cada año. En nuestro informe, La gran exposición de datos SaaSencontramos que el inquilino promedio de M365 tiene:
- Más de 40 millones de permisos únicos
- Más de 113.000 registros confidenciales compartidos públicamente
- Más de 27.000 enlaces para compartir
¿Por qué pasó esto? Los permisos de Microsoft 365 son extremadamente complejos. Basta pensar en todas las formas en que un usuario puede acceder a los datos:
- Permisos de usuario directos
- Permisos de grupo de Microsoft 365
- Permisos locales de SharePoint (con niveles personalizados)
- Acceso de invitados
- Acceso externo
- Acceso público
- Acceso al enlace (cualquiera, en toda la organización, directo, invitado)
Para empeorar las cosas, los permisos están principalmente en manos de los usuarios finales, no de los equipos de TI o de seguridad.
Etiquetas
Microsoft depende en gran medida de las etiquetas de confidencialidad para hacer cumplir las políticas de DLP, aplicar cifrado y prevenir en general las fugas de datos. Sin embargo, en la práctica, conseguir etiquetas trabajar Es difícil, especialmente si dependes de humanos para aplicar etiquetas de sensibilidad.
Microsoft pinta un panorama optimista del etiquetado y el bloqueo como la red de seguridad definitiva para sus datos. La realidad revela un escenario más sombrío. A medida que los humanos crean datos, el etiquetado con frecuencia se queda atrás o se vuelve obsoleto.
Bloquear o cifrar datos puede agregar fricción a los flujos de trabajo y las tecnologías de etiquetado se limitan a tipos de archivos específicos. Cuantas más etiquetas tenga una organización, más confusa puede resultar para los usuarios. Esto es especialmente intenso para las organizaciones más grandes.
La eficacia de la protección de datos basada en etiquetas seguramente se degradará cuando tengamos IA generando órdenes de magnitud más de datos que requieran etiquetas precisas y que se actualicen automáticamente.
¿Están bien mis etiquetas?
Varonis puede validar y mejorar el etiquetado de confidencialidad de Microsoft de una organización escaneando, descubriendo y reparando:
- Archivos confidenciales sin etiqueta
- Archivos confidenciales con una etiqueta incorrecta
- Archivos no confidenciales con una etiqueta confidencial
Humanos
La IA puede volver perezosos a los humanos. El contenido generado por LLM como GPT4 no sólo es bueno, es fantástico. En muchos casos, la velocidad y la calidad superan con creces lo que puede hacer un humano. Como resultado, la gente empieza a confiar ciegamente en la IA para crear respuestas seguras y precisas.
Ya hemos visto escenarios del mundo real en los que Copilot redacta una propuesta para un cliente e incluye datos confidenciales que pertenecen a un cliente completamente diferente. El usuario presiona “enviar” después de un vistazo rápido (o ningún vistazo), y ahora tiene en sus manos un escenario de violación de datos o privacidad.
Preparar la seguridad de su inquilino para Copilot
Es fundamental tener una idea de su postura de seguridad de datos. antes su implementación de Copilot. Ahora que Copilot está disponible de forma generalizada, es un buen momento para implementar los controles de seguridad.
Varonis protege a miles de clientes de Microsoft 365 con nuestra plataforma de seguridad de datos, que proporciona una vista en tiempo real del riesgo y la capacidad de aplicar automáticamente privilegios mínimos.
Podemos ayudarle a abordar los mayores riesgos de seguridad con Copilot prácticamente sin esfuerzo manual. Con Varonis para Microsoft 365, puedes:
- Descubra y clasifique automáticamente todo el contenido sensible generado por IA.
- Asegúrese automáticamente de que las etiquetas MPIP se apliquen correctamente.
- Aplique automáticamente permisos con privilegios mínimos.
- Supervise continuamente los datos confidenciales en M365 y alerte y responda ante comportamientos anormales.
La mejor manera de empezar es con un evaluación de riesgos gratuita. La configuración lleva unos minutos y, en uno o dos días, tendrá una vista en tiempo real del riesgo de los datos confidenciales.
Este artículo Apareció originalmente en el blog de Varonis.