איך חוסמים את Microsoft 365 Copilot בארגון: שלוש שיטות, ומה כל אחת חוסמת באמת

קודם כל: יש שני Copilot

Microsoft 365 Copilot: השירות הארגוני המנוהל, שעובד עם המידע של הארגון. עליו חלות כל השיטות בפוסט הזה.
Microsoft Copilot עם חשבון Microsoft פרטי: החוויה הצרכנית. היא רצה באותה אפליקציית Microsoft Copilot של חוויית העבודה, והמידע לא עובר בין השתיים.

אם חוסמים רק את השירות הארגוני, העובד עדיין יכול להיכנס ל-Microsoft Copilot עם חשבון Microsoft פרטי, ואולי להדביק בו מידע של הארגון. ההנחיה של מיקרוסופט היא לא לחסום את הכתובת copilot.cloud.microsoft כדי לעצור חשבונות פרטיים, אלא להשתמש ב-Tenant restrictions v2 כדי לשלוט בכניסה עם חשבון Microsoft פרטי. שירותים כמו ChatGPT ו-Gemini שונים: אותם חוסמים ברמת התחנה, למשל עם Defender for Endpoint. הרחבנו על כלי AI שהארגון לא מנהל בפוסט כלי AI לסיכום פגישות שמשתלטים על הארגון.

לפני שחוסמים: Teams תלוי ב-SharePoint וב-OneDrive

הקבצים בערוצים של Teams נשמרים ב-SharePoint. קבצים שמשתפים בצ'אט נשמרים ב-OneDrive של השולח. לכן כל חסימה של SharePoint או של OneDrive פוגעת גם בחלקים של Teams. כדאי להגיד את זה למשתמשים ולהנהלה לפני שמתחילים. איך SharePoint ו-Teams בנויים, ומה כדאי לסדר בהם לפני שפותחים את Copilot, פירטנו באבטחת SharePoint ו-Teams לפני Microsoft 365 Copilot.

שיטה 1: חסימה מלאה עם Conditional Access

איך: מדיניות Conditional Access שחוסמת את Microsoft 365 Copilot, ואם צריך גם את SharePoint Online ואת OneDrive, לקבוצת המשתמשים הרלוונטית.
מה המשתמש רואה: הודעה כללית שהגישה נחסמה.
רישוי: Entra ID P1, שכלול ב-Microsoft 365 Business Premium, E3 ו-E5. בחבילות Business Basic ו-Standard אין Conditional Access.
יתרון: פשוט, צפוי, ועובד בכל המכשירים ובכל האפליקציות.

שיטה 2: חסימה דרך Defender for Cloud Apps

איך: מסמנים את האפליקציה כחסומה (החסימה עצמה עובדת במכשירים עם Network protection של Defender for Endpoint, או דרך פרוקסי נתמך), או מפנים את הגישה אליה לבקרת session.
מה המשתמש רואה: הודעה ברורה יותר, שאפשר להתאים לארגון.
רישוי: דורש רישוי של Defender for Cloud Apps, ובנוסף Defender for Endpoint לחסימה עצמה.

שיטה 3: חסימה של העלאה והורדה בלבד

איך: מדיניות session ב-Defender for Cloud Apps שחוסמת העלאה והורדה של קבצים, ומשאירה את האפליקציה פתוחה לשאר השימושים.
המגבלה שגילינו: החסימה חלה רק על קבצים שמגיעים מבחוץ, כלומר מהמחשב או מאחסון חיצוני. צירוף מסמך מתוך האפליקציות של הארגון נשאר זמין.

מה למדנו מהשטח

ניסינו גם לחסום רק רכיבים מסוימים, וקיבלנו את ההפך ממה שרצינו:

Teams נחסם לגמרי.
OneDrive המשיך לעבוד חלקית.
גם באפליקציות שלא נחסמו התחילו לקפוץ שגיאות.

החסימה פגעה איפה שלא צריך, ולא חסמה מספיק איפה שכן צריך.

ההמלצה שלנו: מתחילים בחסימה מלאה עם Conditional Access, ופותחים בהדרגה, אפליקציה אחרי אפליקציה וקבוצה אחרי קבוצה. ותמיד בודקים קודם בסביבת מעבדה.

השוואה

שיטה	מה נחסם	מה המשתמש רואה	רישוי
Conditional Access	כל האפליקציה	הודעה כללית	Entra ID P1
Defender for Cloud Apps: חסימת אפליקציה	כל האפליקציה	הודעה ברורה שאפשר להתאים	Defender for Cloud Apps + Defender for Endpoint
Defender for Cloud Apps: העלאה והורדה	קבצים מבחוץ בלבד	האפליקציה עובדת, ההעלאה נחסמת	Defender for Cloud Apps
Defender for Endpoint	ChatGPT, Gemini ואתרי AI דומים	האתר לא נטען	Defender for Endpoint

אחרי החסימה: פותחים בצורה מבוקרת

חסימה היא רק צעד ראשון. כשהארגון מוכן לפתוח את Copilot, עושים את זה עם בקרות: גישה, סדר בשיתוף יתר, DLP וניטור. פירטנו את זה ב5 צעדים מעשיים לאבטחת Microsoft 365 Copilot, ואת כל התהליך, מהחסימה ועד הפתיחה, אנחנו עושים בשירות אבטחת Copilot בארגון.

אם חוסמים את SharePoint, גם Teams מפסיק לעבוד?

הצ'אט והשיחות ממשיכים לעבוד, אבל קבצים בערוצים ובצ'אטים נחסמים.

חסימה של Microsoft 365 Copilot חוסמת גם את Copilot הפרטי?

לא. את הכניסה עם חשבון פרטי מגבילים עם Tenant restrictions v2, ולא חוסמים את copilot.cloud.microsoft.

איזו שיטה הכי מומלצת להתחלה?

חסימה מלאה עם Conditional Access, ואחריה פתיחה הדרגתית.

צריך רישוי נוסף?

ל-Conditional Access מספיק Entra ID P1. לחסימה עם הודעה מותאמת או לחסימת העלאות צריך Defender for Cloud Apps, ולחסימת אפליקציה על ידי סימון כ-Unsanctioned צריך גם Defender for Endpoint (או פרוקסי נתמך).

רוצים לחסום עכשיו ולפתוח בצורה מבוקרת? נבנה איתכם את התוכנית.

דברו איתנו