Überlegungen zum DSSM für KI zum Verwalten von Datensicherheit und Complianceschutz für KI-Interaktionen

Microsoft 365-Lizenzierungsleitfaden für Sicherheit & Compliance

In den meisten Fällen ist Datensicherheitstatus-Management für KI einfach zu bedienen und selbsterklärend und führt Sie durch Voraussetzungen und vorkonfigurierte Berichte und Richtlinien. Verwenden Sie diesen Abschnitt, um diese Informationen zu ergänzen und zusätzliche Details bereitzustellen, die Sie möglicherweise benötigen.

Voraussetzungen für Datensicherheitstatus-Management für KI

Um Datensicherheitstatus-Management für KI aus dem Microsoft Purview-Portal verwenden zu können, müssen die folgenden Voraussetzungen erfüllt sein:

• Sie verfügen über die richtigen Berechtigungen.

• Erforderlich für die Überwachung von Interaktionen mit Copilot und Agents:

  • Die Microsoft Purview-Überwachung ist für Ihre organization aktiviert. Obwohl dies die Standardeinstellung ist, sollten Sie die Anweisungen unter Aktivieren oder Deaktivieren der Überwachung überprüfen.

  • Für Microsoft 365 Copilot und Agents wird Benutzern eine Lizenz für Microsoft 365 Copilot zugewiesen.

  • Für Copilot in Fabric und Security Copilot:

    • Die Unternehmensversion von Microsoft Purview Data Governance, um die erforderlichen APIs zu unterstützen.
    • Eine Sammlungsrichtlinie, z. B. die, die aus der Empfehlung Sichere Interaktionen für Microsoft Copilot Erfahrungen erstellt wurde.

• Erforderlich zum Überwachen von Interaktionen und Anwenden von DLP-Richtlinien auf andere KI-Apps in Edge:

  • Eine Edge-Konfigurationsrichtlinie ist erforderlich, um die Microsoft Purview-Integration in Edge zu aktivieren. Konfigurationsinformationen finden Sie unter Aktivieren Ihrer DLP-Richtlinie in Microsoft Edge.

• Erforderlich für die Überwachung von Interaktionen mit generativen KI-Websites von Drittanbietern:

  • Geräte werden in Microsoft Purview integriert und sind für Folgendes erforderlich:

    • Verschaffen Sie sich Einblick in vertrauliche Informationen, die für generative KI-Websites von Drittanbietern freigegeben werden. Beispielsweise fügt ein Benutzer Guthaben Karte Zahlen in ChatGPT ein.
    • Anwenden von DLP-Richtlinien für Endpunkte, um Benutzer davor zu warnen oder zu blockieren, vertrauliche Informationen für generative KI-Websites von Drittanbietern freizugeben. Beispielsweise wird ein Benutzer, der im adaptiven Schutz als erhöhtes Risiko identifiziert wird, mit der Option zum Überschreiben blockiert, wenn er Guthaben Karte Zahlen in ChatGPT einfüge.

  • Die Microsoft Purview-Browsererweiterung wird für Windows-Benutzer bereitgestellt und ist erforderlich, um Besuche auf generativen KI-Websites von Drittanbietern mithilfe einer Insider-Risikomanagement-Richtlinie zu ermitteln. Die Browsererweiterung ist auch für DLP-Richtlinien für Endpunkte unter Windows erforderlich, wenn Sie Chrome verwenden.

• Für andere KI-Apps als Microsoft 365 Copilot und Microsoft Facilitator haben Sie die nutzungsbasierte Abrechnung für Ihre organization eingerichtet. Wenn dieses Abrechnungsmodell für bestimmte Konfigurationen gilt, werden Benachrichtigungen und Anweisungen auf der Benutzeroberfläche angezeigt.

Weitere Informationen zu den Voraussetzungen für die Überwachung, zum Onboarding von Geräten und zur Browsererweiterung finden Sie in Datensicherheitstatus-Management für KI: Navigieren Sie zum AbschnittErste Schritte in der Übersicht>.

Eine Liste der derzeit unterstützten KI-Apps von Drittanbietern finden Sie unter Unterstützte KI-Websites von Microsoft Purview für Datensicherheit und Compliance-Schutz.

Voraussetzungen für Fabric-Datenrisikobewertungen

Befolgen Sie die folgenden Anweisungen, um die Voraussetzungen zum Ausführen von Datenrisikobewertungen für Fabric-Arbeitsbereiche zu erfüllen, und bevor Sie Konfiguration in DSSM für KI festlegen auswählen.

Verwenden Sie für die Schritte 1 und 2 eine der folgenden Entra-Rollen für die erforderlichen Berechtigungen:

• Cloudanwendungsadministrator
• Anwendungsadministrator
• Administrator für privilegierte Rollen

Für Schritt 3 müssen Sie Fabric-Administrator sein.

1. Erstellen und konfigurieren Sie im Microsoft Entra Verwaltungsportal eine registrierte App als Dienstprinzipalauthentifizierung für Fabric.

   Nachdem Sie diese registrierte App erstellt haben und sich weiterhin im Entra-Verwaltungsportal befinden, kopieren und speichern Sie die Werte für Anwendungs-ID (Client-ID) und geheimen Clientschlüssel, die zum Einrichten von Datenrisikobewertungen in DSSM für KI erforderlich sind:

   • So suchen Sie die Anwendungs-ID (Client-ID): Wählen Sie im Microsoft Entra-Verwaltungsportal identitätsanwendungen>>App-Registrierungen die App aus, die Sie für Fabric erstellt haben. Die Anwendungs-ID (Client) wird auf der Registerkarte Übersicht angezeigt.
   • So erstellen Sie einen geheimen Clientschlüssel: Navigieren Sie im Microsoft Entra-Verwaltungsportal zu Zertifikate & Geheimnisse. Wählen Sie unter Geheime Clientschlüsseldie Option + Neuer geheimer Clientschlüssel aus. Fügen Sie eine Beschreibung hinzu, wählen Sie einen Ablaufzeitraum aus, wählen Sie Hinzufügen aus, und kopieren Sie den Wert sofort, und speichern Sie den Wert sicher. Sie wird nur einmal angezeigt.

2. Navigieren Sie nun zu Gruppen , um die registrierte App als Gruppenmitglied einer neuen oder vorhandenen Sicherheitsgruppe hinzuzufügen. Der Typ wird als Unternehmensanwendung angezeigt.

3. Navigieren Sie im Fabric-Verwaltungsportal zu Mandanteneinstellungen>Admin API-Einstellungen, und aktivieren Sie die Optionen Dienstprinzipale können auf schreibgeschützte Administrator-APIs zugreifen und Dienstprinzipale können auf Administrator-APIs zugreifen, die für Updates verwendet werden. Wählen Sie für beides in den Abschnitten Übernehmen für: die Option Bestimmte Sicherheitsgruppen aus, und geben Sie die Sicherheitsgruppe an, die Sie im vorherigen Schritt konfiguriert haben. Wählen Sie Übernehmen aus, um diese Mandanteneinstellungen zu speichern und anzuwenden.

Weitere Informationen zu den Schritten 1 bis 2 finden Sie unter Aktivieren der Dienstprinzipalauthentifizierung für Administrator-APIs.

Weitere Informationen zu den Mandanteneinstellungen und zur Unterstützung des Informationsschutzes in Fabric finden Sie unter Index für Mandanteneinstellungen und Informationsschutz in Microsoft Fabric.

1-Klick-Richtlinien aus Datensicherheitstatus-Management für KI

Nachdem die Standardrichtlinien erstellt wurden, können Sie sie jederzeit in ihren jeweiligen Lösungsbereichen im Portal anzeigen und bearbeiten. Beispielsweise möchten Sie die Richtlinien auf bestimmte Benutzer während des Tests oder auf geschäftsbezogene Anforderungen festlegen. Oder Sie möchten Klassifizierer hinzufügen oder entfernen, die zum Erkennen vertraulicher Informationen verwendet werden. Verwenden Sie die Seite Richtlinien , um schnell zur richtigen Stelle im Portal zu navigieren.

Einige Richtlinien, z. B. DSSM für KI – Erfassen von Interaktionen für Copilot-Erfahrungen und DSSM für KI – Erkennen vertraulicher Informationen, die über das Netzwerk für KI freigegeben werden, sind Sammlungsrichtlinien, die Sie wie jede andere Sammlungsrichtlinie bearbeiten und bei Bedarf löschen können. Weitere Informationen finden Sie unter Zugreifen auf Sammlungsrichtlinien.

Wenn Sie eine der Richtlinien löschen, wird auf der Seite Richtlinien status PendingDeletion angezeigt und weiterhin als erstellt in den jeweiligen Empfehlungskarten angezeigt, bis der Löschvorgang abgeschlossen ist.

Für Vertraulichkeitsbezeichnungen und deren Richtlinien können Sie diese unabhängig von Datensicherheitstatus-Management für KI anzeigen und bearbeiten, indem Sie im Portal zu Information Protection navigieren. Weitere Informationen hierzu können Sie über die Konfigurationslinks unter Standardbezeichnungen und Richtlinien zum Schutz Ihrer Daten verwenden.

Weitere Informationen zu den unterstützten DLP-Aktionen und zu den plattformen, die diese unterstützen, finden Sie in den ersten beiden Zeilen in der Tabelle unter Endpunktaktivitäten, die Sie überwachen und maßnahmen ergreifen können.

Für die Standardrichtlinien, die adaptiven Schutz verwenden, ist diese Funktion aktiviert, wenn sie noch nicht aktiviert ist, und verwendet Standardrisikostufen für alle Benutzer und Gruppen, um Schutzaktionen dynamisch zu erzwingen. Weitere Informationen finden Sie unter Schnelleinrichtung.

Standardrichtlinien für die Datenermittlung mit Datensicherheitstatus-Management für KI

• DLP-Richtlinie: DSSM für KI: Erkennen vertraulicher Informationen, die KI-Websites hinzugefügt wurden

  Quelle: Erweitern Ihrer Erkenntnisse für die Datenermittlung

  Diese Richtlinie ermittelt vertrauliche Inhalte, die in Microsoft Edge, Chrome und Firefox auf KI-Websites eingefügt oder hochgeladen werden. Diese Richtlinie gilt nur für alle Benutzer und Gruppen in Ihrer Organisation im Überwachungsmodus.

• Insider-Risikomanagementrichtlinie: DSSM für KI – Erkennen, wann Benutzer KI-Websites besuchen

  Quelle: Erweitern Ihrer Erkenntnisse für die Datenermittlung

  Diese Richtlinie erkennt, wenn Benutzer einen Browser verwenden, um KI-Websites zu besuchen.

• Insider-Risikomanagementrichtlinie: DSSM für KI – Erkennen riskanter KI-Nutzung

  Quelle: Empfehlung : Erkennen riskanter Interaktionen in KI-Apps

  Diese Richtlinie hilft bei der Berechnung des Benutzerrisikos, indem riskante Eingabeaufforderungen und Antworten in Microsoft 365 Copilot, Agents und anderen generativen KI-Apps erkannt werden.

• Kommunikationscompliance: DSSM für KI – Unethisches Verhalten in KI-Apps

  Quelle: Empfehlung : Erkennen von unethischem Verhalten in KI-Apps

  Diese Richtlinie erkennt vertrauliche Informationen in Eingabeaufforderungen und Antworten in Microsoft 365 Copilot, Agents und anderen generativen KI-Apps. Diese Richtlinie gilt für alle Benutzer und Gruppen in Ihrem organization.

• Sammlungsrichtlinie: DSSM für KI – Erfassen von Interaktionen für Copilot-Umgebungen

  Quelle: Empfehlung Sichere Interaktionen in Microsoft Copilot Erfahrungen

  Diese Richtlinie erfasst Eingabeaufforderungen und Antworten für den Datenschutzstatus und die Einhaltung gesetzlicher Bestimmungen von Copilot in Fabric und Security Copilot. Verwalten Sie sie in Microsoft Purview-Lösungen wie eDiscovery, Data Lifecycle Management und mehr.

• Sammlungsrichtlinie: DSSM für KI – Erkennen vertraulicher Informationen, die für KI über ein Netzwerk freigegeben werden

  Quelle: Empfehlung Erweitern von Erkenntnissen in sensible Daten in KI-App-Interaktionen

  Diese Richtlinie erkennt vertrauliche Informationen, die mit KI-Apps in Browsern, Anwendungen, APIs, Add-Ins und mehr geteilt werden, indem eine SasE-Integration (Secure Access Service Edge) oder Security Service Edge (SSE) verwendet wird.

  Wichtig

  Diese Richtlinie erfordert, dass Sie in den Einstellungen zur Verhinderung von Datenverlust eine oder mehrere Integrationen von Secure Access Service Edge (SASE) oder Security Service Edge (SSE) manuell hinzufügen. Die Erkennung von KI-Interaktionen hängt von der Implementierung des Netzwerkpartners ab.

  Wenn Sie zusätzlich zum Erkennen vertraulicher Informationen Eingabeaufforderungen und Antworten erfassen möchten, müssen Sie die Sammlungsrichtlinie bearbeiten und die Option zum Erfassen von Inhalten auswählen.

• Sammlungsrichtlinie: DSSM für KI – Erfassen von Interaktionen für KI-Apps für Unternehmen

  Quelle: Empfehlung Sichere Interaktionen von Unternehmens-Apps

  Diese Richtlinie erfasst Aufforderungen und Antworten zur Einhaltung gesetzlicher Bestimmungen von KI-Apps in Unternehmen, z. B. Chat-GPT Enterprise- und KI-Apps, die über Microsoft Entra oder Azure KI-Dienste verbunden sind, sodass sie in Microsoft Purview-Lösungen wie eDiscovery, Data Lifecycle Management und mehr verwaltet werden können.

• Sammlungsrichtlinie: DSSM für KI – Erkennen vertraulicher Informationen, die in KI-Eingabeaufforderungen in Edge freigegeben werden

  Quelle: Erweitern Ihrer Erkenntnisse für die Datenermittlung

  Diese Richtlinie erkennt Aufforderungen, die an generative KI-Apps in Microsoft Edge gesendet werden, und ermittelt vertrauliche Informationen, die im Inhalt der Eingabeaufforderung freigegeben werden. Diese Richtlinie deckt alle Benutzer und Gruppen in Ihrem organization nur im Überwachungsmodus ab und erfasst keine Inhalte.

Standardrichtlinien der Datensicherheit zum Schutz vertraulicher Daten, die in generativer KI verwendet werden

• DLP-Richtlinien DSSM für KI: Vertrauliche Informationen von KI-Websites blockieren

  Quelle: Empfehlung : Stärken Sie Ihre Datensicherheit

  Diese Richtlinie verwendet adaptiven Schutz, um benutzern mit erhöhtem Risiko, die versuchen, vertrauliche Informationen in andere KI-Apps in Edge, Chrome und Firefox einzufügen oder hochzuladen, einen Block mit Außerkraftsetzung zu gewähren. Diese Richtlinie deckt alle Benutzer und Gruppen in Ihrer Organisation im Testmodus ab.

• DLP-Richtlinien DSSM für KI: Blockieren, dass Benutzer mit erhöhtem Risiko Eingabeaufforderungen an KI-Apps in Microsoft Edge senden

  Quelle: Empfehlung : Stärken Sie Ihre Datensicherheit

  Diese Richtlinie verwendet adaptiven Schutz, um Benutzer mit erhöhtem, mittlerem und geringem Risiko zu blockieren, die versuchen, Informationen in KI-Apps einzugeben, während Sie Microsoft Edge verwenden.

• DLP-Richtlinien DSSM für KI: Blockieren vertraulicher Informationen von KI-Apps in Edge

  Quelle: Empfehlung : Stärken Sie Ihre Datensicherheit

  Diese Richtlinie erkennt Inline für eine Auswahl gängiger Typen vertraulicher Informationen und verhindert, dass Eingabeaufforderungen während der Verwendung von Microsoft Edge an KI-Apps gesendet werden.

• DLP-Richtlinien DSSM für KI : Schützen vertraulicher Daten vor copilot-Verarbeitung

  Quelle: Empfehlung Schützen von Elementen mit Vertraulichkeitsbezeichnungen von Microsoft 365 Copilot und Agent-Verarbeitung

  Diese Richtlinie hindert Microsoft 365 Copilot und Agents daran, Elemente mit den in dieser Richtlinie ausgewählten Vertraulichkeitsbezeichnungen zu verarbeiten.

• Information Protection : Vertraulichkeitsbezeichnungen und Richtlinien

  Quelle: Empfehlung Schützen Ihrer Daten mit Vertraulichkeitsbezeichnungen

  Diese Empfehlung erstellt Standard-Vertraulichkeitsbezeichnungen und Vertraulichkeitsbezeichnungsrichtlinien. Wenn Sie vertraulichkeitsbezeichnungen und deren Richtlinien bereits konfiguriert haben, wird diese Konfiguration übersprungen.

Aktivitäts-Explorer-Ereignisse

Verwenden Sie die folgenden Informationen, um die Ereignisse zu verstehen, die im Aktivitäts-Explorer von Datensicherheitstatus-Management für KI angezeigt werden können. Verweise auf eine generative KI-Website können Microsoft 365 Copilot, Microsoft 365 Copilot Chat, Agents, andere Microsoft Copilots und KI-Websites von Drittanbietern umfassen.

Bekannte Probleme:

• Das KI-Interaktionsereignis zeigt nicht immer Text für die Eingabeaufforderung und Antwort an. Manchmal umfassen die Eingabeaufforderung und Antwort aufeinanderfolgende Einträge. Weitere Szenarien können folgendes sein:

  • Von Microsoft Facilitator ki generierte Notizen, es wird keine Eingabeaufforderung oder Antwort angezeigt.
  • Wenn ein Benutzer kein Postfach in Exchange Online gehostet hat, wird keine Eingabeaufforderung oder Antwort angezeigt.

• Das Ereignis Vertrauliche Informationstypen erkannt zeigt nicht die Risikostufe des Benutzers an.

• Für von Microsoft Facilitator ki generierte Notizen können KI-Interaktionsereignisse nicht mit erkannten Ereignissen von Typen vertraulicher Informationen verknüpft werden.

• Bei Sammlungsrichtlinien wird keine Eingabeaufforderung oder Antwort angezeigt, wenn die Option zum Erfassen von Inhalten in der Richtlinie nicht ausgewählt ist. Die 1-Klick-Richtlinie DSSM für KI – Vertrauliche Informationen erkennen, die über das Netzwerk für KI freigegeben werden, wählt diese Option beispielsweise nicht aus, wenn die Richtlinie automatisch erstellt wird. Sie können die Richtlinie jedoch manuell bearbeiten und diese Option auswählen, nachdem die Richtlinie erstellt wurde.