Compartilhar via

Saiba mais sobre Gerenciamento da Postura de Segurança de Dados para IA

Orientações de licenciamento do Microsoft 365 para conformidade com & de segurança

Gerenciamento da Postura de Segurança de Dados do Microsoft Purview (DSPM) para IA a partir do portal do Microsoft Purview fornece uma localização de gestão central para o ajudar a proteger rapidamente dados para aplicações de IA e monitorizar proativamente a utilização de IA. Estas aplicações incluem Copilots, agentes e outras aplicações de IA que utilizam módulos de linguagem grandes (LLMs) de terceiros.

Gerenciamento da Postura de Segurança de Dados para IA oferece um conjunto de capacidades para que possa adotar ia em segurança sem ter de escolher entre produtividade e proteção:

  • Informações e análises sobre a atividade de IA na sua organização

  • Políticas prontas a utilizar para proteger dados e evitar a perda de dados em pedidos de IA

  • Avaliações de risco de dados para identificar, remediar e monitorizar potenciais partilhas excessivas de dados.

  • Controlos de conformidade para aplicar políticas de armazenamento e processamento de dados ideais

Para obter uma lista de sites de IA de terceiros suportados, como os utilizados para Gemini e ChatGPT, consulte Sites de IA suportados pelo Microsoft Purview para obter proteções de conformidade e segurança de dados.

Como utilizar Gerenciamento da Postura de Segurança de Dados para IA

Para o ajudar a obter informações mais rapidamente sobre a utilização de IA e proteger os seus dados, Gerenciamento da Postura de Segurança de Dados para IA fornece algumas políticas pré-configuradas recomendadas que pode ativar com um único clique. Se estiver a utilizar unidades administrativas, tem de ser um administrador sem restrições para criar estas políticas que se aplicam a todos os utilizadores na sua organização.

Aguarde, pelo menos, 24 horas para que estas novas políticas recolham dados para apresentar os resultados em Gerenciamento da Postura de Segurança de Dados para IA ou reflita as alterações que fizer às predefinições.

Captura de ecrã de exemplo de Gerenciamento da Postura de Segurança de Dados do Microsoft Purview para IA.

Não é necessária nenhuma ativação, Gerenciamento da Postura de Segurança de Dados para IA executa automaticamente uma avaliação de risco de dados semanal para os 100 principais sites do SharePoint com base na utilização na sua organização. Pode complementá-lo com as suas próprias avaliações de risco de dados personalizadas, atualmente em pré-visualização. Estas avaliações foram concebidas especificamente para ajudar a identificar, remediar e monitorizar potenciais partilhas de dados, para que possa estar mais confiante sobre a sua organização através de Microsoft 365 Copilot e agentes e Microsoft 365 Copilot Chat.

Para começar a utilizar Gerenciamento da Postura de Segurança de Dados para IA, utilize o portal do Microsoft Purview. Precisa de uma conta que tenha as permissões adequadas para a gestão de conformidade, como uma conta que seja membro da função de grupo Administrador de Conformidade do Microsoft Entra.

Dica

Os passos seguintes fornecem instruções recomendadas para utilizar todas as capacidades disponíveis do DSPM para IA. Se estiver interessado em utilizar DSPM para IA apenas para uma aplicação de IA específica, utilize as ligações na secção Passos seguintes.

  1. Iniciar sessão no portal> do Microsoft PurviewSoluções>DSPM para IA.

    Selecionar a solução Gerenciamento da Postura de Segurança de Dados do Microsoft Purview para IA no portal do Microsoft Purview.

  2. Na Descrição geral, mantenha a vista Todas as aplicações de IA selecionada. Reveja a secção Introdução para saber mais sobre Gerenciamento da Postura de Segurança de Dados para IA e as ações imediatas que pode efetuar. Selecione cada um deles para apresentar o painel de lista de opções para saber mais, tomar medidas e verificar a sua status atual.

    Ação Mais informações
    Ativar Auditoria do Microsoft Purview A auditoria está ativada por predefinição para novos inquilinos, pelo que poderá já cumprir este pré-requisito. Se o fizer e os utilizadores já tiverem licenças atribuídas para Microsoft 365 Copilot, começa a ver informações sobre as atividades do Copilot e dos agentes na secção Relatórios mais abaixo na página.
    Instalar a extensão do browser Microsoft Purview Um pré-requisito para sites de IA de terceiros.
    Integrar dispositivos no Microsoft Purview Também um pré-requisito para sites de IA de terceiros.
    Expandir as suas informações para deteção de dados Políticas de um clique para recolher informações sobre utilizadores que visitam sites de IA geradores de terceiros e enviam informações confidenciais aos mesmos. A opção é a mesma que o botão Expandir as suas informações na secção Análise de dados de IA mais abaixo na página.

    Para obter mais informações sobre os pré-requisitos, veja Pré-requisitos para Gerenciamento da Postura de Segurança de Dados para IA.

    Para obter mais informações sobre as políticas pré-configuradas que pode ativar, consulte Políticas de um clique a partir de Gerenciamento da Postura de Segurança de Dados para IA.

  3. Em seguida, reveja a secção Recomendações e decida se pretende implementar opções relevantes para o seu inquilino. Veja cada recomendação para compreender como são relevantes para os seus dados e saiba mais.

    Estas opções incluem executar uma avaliação de risco de dados em sites do SharePoint, criar etiquetas de confidencialidade e políticas para proteger os seus dados e criar algumas políticas predefinidas para o ajudar a detetar e proteger imediatamente os dados confidenciais enviados para sites de IA geradores. Exemplos de recomendações:

    • Proteja os seus dados contra potenciais riscos de partilha excessiva ao ver os resultados da sua avaliação de risco de dados predefinida para identificar e corrigir problemas para o ajudar a implementar Microsoft 365 Copilot com maior confiança.
    • Proteja os seus dados com etiquetas de confidencialidade ao criar um conjunto de etiquetas de confidencialidade predefinidas se ainda não tiver etiquetas de confidencialidade e políticas para os publicar e etiquetar automaticamente documentos e e-mails.
    • Proteja os itens com etiquetas de confidencialidade contra Microsoft 365 Copilot e o processamento de agentes, solicitando-lhe que selecione uma ou mais etiquetas de confidencialidade que impeçam Microsoft 365 Copilot e agentes que resumem os dados etiquetados. Para obter mais informações sobre esta capacidade, veja Saiba mais sobre a localização da política de Microsoft 365 Copilot.
    • Detete interações de risco em aplicações de IA para calcular o risco do utilizador ao detetar pedidos e respostas de risco em Microsoft 365 Copilot, agentes e outras aplicações de IA geradoras. Para obter mais informações, veja Utilização de IA de risco.
    • Detetar e governar interações com a IA Empresarial do ChatGPT ao registar as áreas de trabalho chatGPT Enterprise, pode identificar potenciais riscos de exposição de dados ao detetar informações confidenciais que são partilhadas com o ChatGPT Enterprise.
    • Obtenha assistência orientada para os regulamentos de IA, que utilizam modelos regulamentares de mapeamento de controlo do Gestor de Conformidade.
    • Interações seguras para experiências de Microsoft Copilot, que captura pedidos e respostas para o Copilot nos Recursos de Infraestrutura e Security Copilot. Sem uma política semelhante à que é criada com esta recomendação, os eventos de auditoria são capturados para o Copilot no Fabric e Security Copilot, mas não os pedidos e respostas.
    • Detetar informações confidenciais partilhadas com a IA através da rede, que utiliza a segurança de dados de rede para detetar tipos de informações confidenciais partilhados com aplicações de IA em browsers, aplicações, APIs, suplementos e muito mais, através de uma integração do Serviço de Acesso Seguro ou Perímetro de Serviço de Segurança.
    • Interações seguras de aplicações empresariais, que capturam pedidos e respostas para conformidade regulamentar a partir de aplicações de IA registadas em Entra, ChatGPT Enterprise Connector e aplicações criadas no Microsoft Foundry.
    • Proteja os dados em aplicações e agentes de IA Azure, que configurou instruções para capturar pedidos e respostas para aplicações de IA que utilizam uma ou mais subscrições de IA Azure.

    Pode utilizar a ligação Ver todas as recomendações ou Recomendações no painel de navegação para ver todas as recomendações disponíveis para o seu inquilino e as respetivas status. Quando uma recomendação é concluída ou dispensada, já não a vê na página Descrição geral .

  4. Utilize a secção Relatórios ou a página Relatórios do painel de navegação para ver os resultados das políticas predefinidas criadas. Tem de esperar pelo menos um dia para que os relatórios sejam preenchidos. Selecione as categorias de experiências e agentes do Copilot, aplicações de IA Empresarial e Outras aplicações de IA para o ajudar a identificar a aplicação de IA geradora específica.

  5. Utilize a página Políticas para monitorizar a status das políticas de um clique predefinidas criadas e políticas relacionadas com IA de outras soluções do Microsoft Purview. Para editar as políticas, utilize a solução de gestão correspondente no portal. Por exemplo, para DSPM para IA – Comportamento não ético no Copilot, pode rever e remediar as correspondências da solução de Conformidade de Comunicação.

    Observação

    Se tiver as políticas de retenção mais antigas para a localização chats do Teams e interações do Copilot, estas não serão incluídas nesta página. Saiba como criar políticas de retenção separadas para Microsoft Copilot Experiências que serão incluídas nesta página política.

  6. Selecione Aplicações e agentes para ver uma dashboard de aplicações de IA e os respetivos agentes utilizados na sua organização para que possa identificar e gerir potenciais riscos de segurança de dados. Para cada agente, veja detalhes sobre os dados confidenciais a que acederam e como são protegidos por políticas do Microsoft Purview.

  7. Selecione Explorador de atividades para ver os detalhes dos dados recolhidos das suas políticas.

    Estas informações mais detalhadas incluem o tipo de atividade e o utilizador, data e hora, categoria e aplicação da aplicação de IA, aplicação acedida no, quaisquer tipos de informações confidenciais, ficheiros referenciados e ficheiros confidenciais referenciados.

    Exemplos de atividades incluem interação de IA, tipos de informações confidenciais e visita ao site de IA. Prompts e respostas são incluídas nos eventos de interação de IA quando tem as permisisons certas. Pode utilizar o filtro de consultas Web no explorador de atividades para identificar mais facilmente quais as interações de IA que têm uma consulta Web, com o painel de opções de interação de IA a colocar o texto da consulta de pesquisa na secção Aplicação de IA de referências Web utilizada . Para obter mais informações sobre os eventos, veja Eventos do explorador de atividades.

    À semelhança das categorias de relatórios, as cargas de trabalho incluem experiências e agentes Copilot, aplicações de IA Empresarial e Outras Aplicações de IA. Exemplos de um ID de aplicação e anfitrião de aplicações para experiências e agentes copilot incluem Copilots do Microsoft 365 e Copilot Studio. As aplicações de IA empresarial incluem o ChatGPT Enterprise. Outras Aplicações de IA incluem as aplicações dos sites de IA de terceiros suportados, como as utilizadas para Gemini e ChatGPT.

  1. Selecione Avaliações de risco de dados para identificar e corrigir potenciais riscos de partilha de dados na sua organização. Devido à potência e à velocidade, a IA pode apresentar proativamente conteúdos que podem ser obsoletos, com permissões excessivas ou sem controlos de governação, a IA geradora amplifica o problema da partilha excessiva de dados. Utilize avaliações de risco de dados para identificar e remediar problemas.

    Para obter instruções, utilize o separador Microsoft 365 para ficheiros no SharePoint e no OneDrive e selecione o separador Recursos de Infraestrutura para itens em Áreas de trabalho de recursos de infraestrutura.

    Uma avaliação de risco de dados predefinida é executada automaticamente semanalmente para os 100 principais sites do SharePoint com base na utilização na sua organização e poderá já ter executado uma avaliação personalizada como uma das recomendações. No entanto, volte regularmente a esta opção para marcar os resultados semanais mais recentes da avaliação predefinida e executar avaliações personalizadas quando quiser marcar para diferentes utilizadores ou sites específicos. Após a execução de uma avaliação personalizada, aguarde pelo menos 48 horas para ver os resultados que não são atualizados novamente. Precisará de uma nova avaliação para ver quaisquer alterações nos resultados.

    A Avaliação predefinida é apresentada na parte superior da página com um resumo rápido, como o número total de itens encontrados, o número de dados confidenciais detetados e o número de ligações que partilham dados com qualquer pessoa. Na primeira vez que a avaliação predefinida é criada, há um atraso de 4 dias antes de os resultados serem apresentados.

    Depois de selecionar Ver detalhes para obter informações mais aprofundadas, na lista, selecione cada site para aceder ao painel de lista de opções que tem separadores para Descrição Geral, Identificar, Proteger e Monitorizar. Utilize as informações em cada separador para saber mais e efetue as ações recomendadas. Por exemplo:

    Utilize o separador Identificar para identificar a quantidade de dados que foram analisados ou não analisados relativamente a tipos de informações confidenciais, com uma opção para iniciar uma análise de classificação a pedido , conforme necessário.

    Utilize o separador Proteger para selecionar opções para remediar a partilha excessiva, que incluem:

    • Restringir o acesso por etiqueta: utilize Prevenção Contra Perda de Dados do Microsoft Purview para criar uma política DLP que impeça Microsoft 365 Copilot e agentes de resumir dados quando tem etiquetas de confidencialidade que seleciona. Para obter mais informações sobre como isto funciona e os cenários suportados, veja Saiba mais sobre a localização da política de Microsoft 365 Copilot.
    • Restringir todos os itens: utilize a Deteção restrita de conteúdos do SharePoint para listar os sites do SharePoint a excluir de Microsoft 365 Copilot. Para obter mais informações, veja Restringir a deteção de sites e conteúdos do SharePoint.
    • Criar uma política de etiquetagem automática: quando forem encontradas informações confidenciais para ficheiros não etiquetados, utilize Proteção de Informações do Microsoft Purview para criar uma política de etiquetagem automática para aplicar automaticamente uma etiqueta de confidencialidade a dados confidenciais. Para obter mais informações sobre como criar esta política, consulte Como configurar políticas de etiquetagem automática para o SharePoint, OneDrive e Exchange.
    • Criar políticas de retenção: quando o conteúdo não for acedido há, pelo menos, 3 anos, utilize Gerenciamento do Ciclo de Vida dos Dados do Microsoft Purview para eliminá-lo automaticamente. Para obter mais informações sobre como criar a política de retenção, veja Criar e configurar políticas de retenção.

    Utilize o separador Monitorizar para ver o número de itens no site partilhados com qualquer pessoa, partilhados com todas as pessoas na organização, partilhados com pessoas específicas e partilhados externamente. Selecione Iniciar uma revisão de acesso a sites do SharePoint para obter informações sobre como utilizar os relatórios de governação de acesso a dados do SharePoint.

  1. Para criar a sua própria avaliação de risco de dados personalizada, selecione Criar avaliação personalizada para identificar potenciais problemas de partilha excedida para todos os utilizadores ou utilizadores selecionados, as origens de dados a analisar e executar a avaliação.

    Observação

    Opcionalmente, as avaliações personalizadas do Microsoft 365 suportam a análise ao nível do item com ações de remediação quando conclui um processo de autenticação único. Para especificar as definições necessárias, tem de ter uma aplicação Entra registada. Para obter mais informações sobre a aplicação Entra, veja Pré-requisitos para a análise ao nível do item do Microsoft 365 para avaliações de riscos de dados.

    Selecione Nível do item na página Nível de análise e, em seguida, Autenticar para especificar as informações da aplicação Entra.

    Esta avaliação de risco de dados é criada na categoria Avaliações personalizadas . Aguarde que a status da sua avaliação seja apresentada Como Concluída e selecione-a para ver os detalhes. Para executar novamente uma avaliação de risco de dados personalizada e para ver os resultados após a expiração de 30 dias, utilize a opção duplicada para criar uma nova avaliação com as mesmas seleções.

    A análise e a remediação ao nível do item para itens potencialmente partilhados são aplicáveis apenas ao Microsoft 365 e estão atualmente restringidos a sites do SharePoint. Esta análise identifica os itens como potencialmente partilhados em excesso se tiverem uma ligação de partilha para utilizadores externos ou anónimos e também mostra qualquer etiqueta de confidencialidade aplicada e o proprietário de cada item.

    Quando a análise estiver concluída, abra a avaliação personalizada e veja as informações ao nível do item no separador Itens potencialmente partilhados ou no botão Ver itens a partir da faixa Itens potencialmente sobrepartilhados . As seguintes ações de remediação podem ser tomadas nos itens potencialmente sobrepartilhados identificados:
    • Resolva, por exemplo, se decidir que o item não está em risco de sobrepartilhar.
    • Aplique uma etiqueta de confidencialidade para itens identificados como não etiquetados atualmente ou que devem ter uma etiqueta de confidencialidade diferente.
    • Notifique o proprietário do site com uma notificação por e-mail (não personalizável).
    • Remova a ligação de partilha para remover a ligação de partilha existente para que já não possa ser utilizada para aceder ao item. Esta é uma ação a ser utilizada com moderação porque pode impedir que as pessoas acedam ao item de forma legítima. Neste cenário, o proprietário do site ou proprietário do item tem de definir um tipo de ligação de partilha menos permissivo para os utilizadores autorizados. Se ainda não o fez, considere configurar etiquetas de confidencialidade para uma ligação de partilha predefinida.
    A notificação por e-mail contém informações e instruções sobre os itens potencialmente partilhados no site. Também contém opções para aceder ao site do SharePoint para gerir o acesso aos itens a partir daí ou para o portal do Microsoft Purview para obter uma vista só de leitura dos resultados da análise ao nível do item que apenas mostram itens e sites que possuem.

    Dica

    As avaliações de risco de dados predefinidas e personalizadas fornecem uma opção Exportar que lhe permite guardar e personalizar os dados numa escolha de formatos de ficheiro (Excel, CSV, JSON, TSV).

    Limites do Microsoft 365:
    • Um máximo de 200 000 itens por localização, que se aplica a uma avaliação de risco de dados personalizada e a uma avaliação de risco de dados predefinida. A contagem de ficheiros comunicados pode não ser precisa quando existem mais de 100 000 ficheiros por localização.
    • Atualmente, o OneDrive não é suportado para análise ao nível do item.
    • Um máximo atual de 10 sites do SharePoint para análise ao nível do item.

Próximas etapas

Utilize as políticas, ferramentas e informações do DSPM para IA em conjunto com proteções adicionais e capacidades de conformidade do Microsoft Purview. Se estiver interessado numa aplicação de IA específica, utilize as seguintes ligações:

  • Last updated on