Införa Microsoft 365 Copilot säkert: Det här behöver du veta

Översikt

• Känna till och kontrollera oversharing
• SharePoint Advanced Management
• Skapa grundläggande säkerhet i tenanten
• Uppdatering av Office-applikationerna
• Dataskydd och datasäkerhet

Känna till och kontrollera oversharing

Begreppet "oversharing" har använts ofta de senaste månaderna, men vad betyder det i samband med förberedelsen inför Microsoft 365 och införandet av Copilot?

Vad är oversharing?

Oversharing, alltså "överdelning" av data, betyder att personer kan komma åt data som de egentligen inte borde ha tillgång till. Det här problemet uppstår ofta på grund av bristande datakontroll. Ett IT-magasin hade i november 2024 rubriken: "Copilot låter medarbetare läsa sina chefers e-post". Det påståendet är dock sakligt felaktigt. Sådana incidenter beror inte på Copilot, utan på otillräcklig datakontroll och oversharing.

Microsoft Copilot bygger på den data som är tillgänglig för användaren. Den får inga extra behörigheter, utan använder ett index som gör det enklare att stöta på information eller hitta sådant man inte visste att man hade tillgång till.

Typer av Microsoft Teams

När det gäller Teams skiljer vi mellan privata och offentliga team. Om känsliga eller skyddade dokument ligger i offentliga team kan de ses av alla medarbetare i företaget och därmed också indexeras av Copilot.

Det finns i grunden inget som talar emot att fortsätta använda offentliga team också, till och med många av dem. Det viktiga är dock att säkerställa att den information och de dokument som delas där får vara tillgängliga för alla.

Rekommendation

Kontrollera regelbundet vilken data som ligger i era team, och röj undan vid behov. Ofta rör det sig om gammalt bråte som till exempel härstammar från tiden då Microsoft Teams infördes och som har vuxit med tiden.

Åtkomst till data i SharePoint Online

Dokumenten som ligger i offentliga team finns som bekant även i SharePoint. Utöver team-webbplatserna i SharePoint finns det dock även fristående SharePoint-webbplatser och -bibliotek. Ofta har alla eller många medarbetare åtkomst även här.

Rekommendation

Kontrollera åtkomst- och behörighetsinställningarna på de viktiga SharePoint-webbplatserna. Ofta gömmer sig där till exempel "Alla användare"-objekt i grupperna för "Webbplatsbesökare".

Dela dokument och mappar rätt (från och med nu)

Ytterligare ett vanligt misstag är de så kallade "Everyone Except External"-länkarna, med vilka dokument eller mappar delas.

Praktiskt, men farligt: väljer man länktypen "Personer i min organisation" när man delar ett dokument, får varje person som använder länken åtkomst till filen, och därmed också Copilot, eftersom den alltid agerar i användarkontexten.

{: .post__screenshot}

Sådana länkar till hela mappar, vars innehåll förändras över månader eller år, leder ofta till oversharing-incidenter. Den här typen av länk förblir viktig och praktisk, men bör inte användas som standardinställning. Ett enkelt tips kan råda bot på det.

Rekommendation

I SharePoint Administrationscenter hittar du under "Principer" avsnittet "Fil- och mapplänkar". Ställ in standardinställningen där på "Vissa personer". Därigenom blir alternativet "Endast personer i min organisation" tillgängligt först genom ett medvetet klick.

{: .post__screenshot}

Läs mer

SharePoint Advanced Management

En ny central möjlighet att utnyttja den fulla potentialen är att använda funktionerna i SharePoint Advanced Management. Sedan 2025-01-01 ingår de i alla M365 Copilot-licenser. Det betyder att oavsett om man har 1 eller 10 000 M365 Copilot-licenser ingår nu SharePoint Advanced Management.

SharePoint Advanced Management omfattar en mängd funktioner kring ämnena data oversharing, governance och security. Hittills behövde det här tillägget licensieras separat och har därför knappt uppmärksammats. Funktionerna och möjligheterna som ingår är dock avsevärda och har alltid varit ett vettigt komplement för administration och förberedelse av SharePoint Online med tanke på ett införande av artificiell intelligens som Copilot. Microsoft beskriver 4 pelare som SAM stödjer:

Rekommendation

Vi rekommenderar alla som just nu arbetar med M365 Copilot att aktivera och använda de här funktionerna. Dit hör i synnerhet Data Access Governance, Site Lifecycle Management och Restricted Access Control Policy samt funktionerna som ännu delvis är i preview (Oversharing Baseline Report och Restricted Content Discoverability Policy).

Mer detaljer om SharePoint Advanced Management hittar du på Microsofts officiella sida.

Skapa grundläggande säkerhet i tenanten

Utöver Copilots åtkomst till data bör vi säkerställa att vår tenant är omfattande skyddad. Användningen av artificiell intelligens gör detta senast nu oumbärligt. Det finns talrika åtgärder för att skydda den, här en översikt med de viktigaste punkterna.

Genomförande av Zero Trust

Begreppet Zero Trust är på allas läppar, och du har sannolikt redan stött på det. Men vad betyder det exakt, särskilt i samband med Copilot? Kort sagt: Zero Trust betyder i det här fallet att ingen får schablonmässig åtkomst till allt, utan bara till de resurser som behövs för tillfället. Den här principen, känd som Least Privileged Access, är väsentlig för att skydda data och system mot obehörig åtkomst. Den knyter direkt an till ämnen som oversharing, eftersom fokus ligger på att bara ge tillgång till den nödvändiga informationen.

Men Zero Trust begränsar sig inte bara till SharePoint. Det berör också åtkomsten till e-post i Outlook, kundinformation i CRM-systemet och andra känsliga områden. Med den tilltagande integrationen av Copilot och artificiell intelligens i Microsoft 365 och därutöver vinner det här konceptet ytterligare i betydelse. Ju tidigare du och ditt team sätter er in i det, desto bättre är ni rustade för framtiden.

Zero Trust: särskilt viktigt för administratörer

För admins vinner ämnet ännu mer i betydelse: med införandet av Copilot i administrationscentren och Security Copilot blir det oumbärligt att skydda administrativa åtkomster. Verktyg som Privileged Identity Management (PIM) är här avgörande för att säkerställa att admin-rättigheter bara tilldelas när de verkligen behövs, och även då bara tidsbegränsat och strikt övervakat.

Multifaktorautentisering och Conditional Access? Ett måste

Ytterligare ett kärnelement i säkerheten är att sätta upp multifaktorautentisering (MFA) och Conditional Access för alla Entra ID-konton i Microsoft 365. Microsoft driver på de här inställningarna alltmer, så du bör säkerställa att samtliga konton i din organisation är skyddade i enlighet med detta.

Varför är det så viktigt? Tekniskt sett har användningen av Copilot inget direkt att göra med MFA eller Conditional Access. Men det handlar om att säkerställa att personen som loggar in verkligen är den hon utger sig för att vara. Det vore nämligen ödesdigert om en angripare fick tillgång till en kraftfull KI-assistent.

Säkerhet är mer än bara grunderna

Naturligtvis är Zero Trust, MFA och Conditional Access bara början. En verkligt säker tenant omfattar många fler aspekter. Microsoft erbjuder en bred palett av säkerhetslösningar, däribland Microsoft Defender-produkterna, Entra ID, Sentinel och många fler. De här verktygen hjälper dig att skydda din organisation ännu bättre och att täppa till säkerhetsluckor.

Rekommendation

Om du behöver stöd med genomförandet eller är osäker på var du ska börja hjälper vi dig gärna vidare. Säkerhet är en resa, och vi följer med och stöttar dig i att ta de rätta stegen för att skydda ditt företag.

Läs mer om vårt erbjudande inom Security Consulting Läs mer om vårt Cloud Security Operations Center

Uppdatering av Office-applikationerna

Det fulla mervärdet av Microsoft Copilot utvecklas först genom integrationen av AI-assistenten i de installerade Office-applikationerna (M365 Apps). Dit hör för närvarande Word, Excel, PowerPoint, OneNote, Outlook och Teams.

{: .post__screenshot}

Microsoft skiljer dock på tillgängligheten och funktionerna i Copilot beroende på versionen av de installerade apparna. Om till exempel Semi-Annual Enterprise Channel är inställt hos användare står Microsofts KI-funktioner inte till deras förfogande.

Rekommendation

Säkerställ att era Office-appar minst använder Monthly Enterprise Channel eller helst Current Channel. Bara så garanterar ni att Copilot och de senaste funktionerna är tillgängliga utan problem.

Men det är bara en del av helhetsbilden. Ämnen som Application Lifecycle Management och användningen av moderna plattformar för programvaruhantering spelar en avgörande roll, särskilt i kombination med Intune. Här hjälper vår lösning RealmJoin dig att utforma processen effektivt och alltid hålla dina applikationer uppdaterade.

RealmJoin är det molnbaserade komplementet till Microsoft Intune och den saknade pusselbiten på vägen mot en heltäckande plattform för client management. Det förenklar tillhandahållandet av nästan 2 000 färdiga standardapplikationer för Intune i hög kvalitet, en modern paketfabrik för anpassade applikationer, kompletterad med ytterligare funktioner som LAPS, fjärrsupport och runbook-automatisering.

Dataskydd och datasäkerhet

Just i europeiska företag stöter man på förbehåll när det gäller att införa Microsoft Copilot, och det är fullständigt begripligt. Ny teknik kan skapa osäkerhet, i synnerhet när det handlar om känsliga ämnen som dataskydd och kontroll.

Om ni vill införa Copilot, tänk på att det inte bara handlar om tekniken. Sätt er tidigt in i de relevanta kraven på dataskydd och säkerhet. Involvera alla relevanta intressenter i det arbetet, dit hör det interna eller externa dataskyddsombudet, er CISO, arbetstagarrepresentanter, compliance-administratörer och andra ansvariga. Diskutera förbehåll och frågor öppet med varandra. Ofta går de här farhågorna att skingra med tydlig information och befintliga riktlinjer.

Microsoft erbjuder omfattande dokumentation och förklaringar som visar hur, när och var data behandlas. Här är de viktigaste fakta:

• Grounding av KI-modellerna: KI-modellerna som Copilot använder kommer inte åt era data direkt. I stället sker åtkomsten via Microsoft Graph och är strikt begränsad till användarkontexten.
• Standarder för dataskydd och säkerhet: Copilot uppfyller alla relevanta krav på dataskydd, säkerhet och compliance, däribland GDPR, EU:s dataskyddsförordning samt standarder som ISO/IEC 27018 och EU AI Act.
• EU Data Boundary: All data behandlas så nära användaren som möjligt, men alltid inom EU. Den så kallade EU Data Boundary följs strikt.
• Kryptering: Inmatningar (prompts) och resultat krypteras och används aldrig för vidareutveckling av KI-modeller (LLM:er).
• Compliance och spårbarhet: Prompts och resultat lagras krypterat i tenanten. De kan analyseras inom ramen för lagstadgade krav, till exempel för granskningar eller vid domstolsbeslut. Åtkomsten till dem är bara möjlig med särskilda behörigheter, till exempel via Content Search eller eDiscovery.
• Säkerhetsåtgärder: Microsoft skyddar sina tjänster, inklusive Copilot, genom logisk isolering, fysiska säkerhetsåtgärder och krypteringstekniker. Plug-ins har bara begränsad åtkomst till krypterat innehåll.
• Responsible AI: Microsoft lägger stor vikt vid en ansvarsfull användning av KI. Fokus ligger på att använda KI-tjänster positivt och etiskt och att förhindra att de missbrukas för olagliga eller tvivelaktiga ändamål.

Rekommendation

Genom att du sätter dig in i de här ämnena tidigt och involverar de relevanta personerna skapar du förtroende och lägger grunden för ett framgångsrikt införande. Många farhågor går redan att avfärda med Microsofts befintliga säkerhetsåtgärder och riktlinjer. Om ni behöver stöd står vi gärna vid er sida. Dataskydd och säkerhet är avgörande, och vi hjälper er att genomföra de här kraven optimalt.

Mer information och bakgrundskunskap finns direkt hos Microsoft på olika ställen som:

• https://learn.microsoft.com/de-de/copilot/microsoft-365/microsoft-365-copilot-privacy
• https://support.microsoft.com/de-de/topic/was-ist-verantwortungsvolle-ki-33fc14be-15ea-4c2c-903b-aa493f5b8d92
• https://learn.microsoft.com/de-de/copilot/microsoft-365/microsoft-365-copilot-architecture-data-protection-auditing