Microsoft 365 Copilot · GitHub Copilot

אבטחת Copilot בארגון

העובדים רוצים Copilot, והמפתחים רוצים GitHub Copilot. אנחנו מכינים את הארגון, מגדירים את הבקרות, ובודקים במבדק חדירות שהמידע הרגיש באמת נשאר בפנים.

מתי פונים אלינו

לפני הטמעת Copilot
רוצים להפעיל Microsoft 365 Copilot, ולא יודעים מה הוא ימצא בתיקיות ובאתרים של הארגון.
המפתחים כבר משתמשים ב-AI
צוותי הפיתוח רוצים GitHub Copilot, והקוד של הארגון לא יכול לצאת החוצה.
רגולציה וביקורת
צריך להראות לרגולטור, למבקר או להנהלה שהשימוש ב-AI מבוקר ומתועד.
Copilot כבר פועל
Copilot הופעל בלי תוכנית, ורוצים לדעת מה פתוח היום ולסגור את זה.

Copilot לא פורץ הרשאות. הוא מוצא בשניות כל מה שהמשתמש כבר יכול לפתוח. לכן מתחילים בסדר במידע ובהרשאות, ורק אחר כך בהגדרות של Copilot עצמו.

בדיקת מוכנות ושיתוף יתר: מאתרים אתרי SharePoint וקבצים שמשותפים יותר מדי, ומגבילים את האתרים הרגישים כדי שלא יופיעו בתשובות של Copilot.
גישה: Conditional Access ייעודי ל-Copilot: MFA עמיד לפישינג, מכשיר מנוהל, וחסימה של חשבונות פרטיים ושל חשבונות מארגונים אחרים.
תוויות רגישות ו-DLP: מידע מסווג לא משמש לבניית התשובות, ומידע רגיש שמודבק לשיחה או לאתרי AI אחרים מזוהה.
סוכנים ויכולות צדדיות: קובעים מי יכול להשתמש בסוכנים וב-Copilot Studio, ומכבים העלאת קבצים, משוב למיקרוסופט ושיתוף נתונים כשאין בהם צורך.
שמירה וניטור: מדיניות שמירה לשיחות, זיהוי של שאלות ותשובות עם מידע רגיש, והתראות על שימוש מסוכן.

רישיון GitHub Copilot לארגון מגיע עם כל הפלטפורמה של GitHub. אם המפתחים צריכים רק עוזר קוד בתוך סביבת הפיתוח, סוגרים את כל השאר.

GitHub רק לרישוי ולניהול: חוסמים יצירת מאגרים, fork, Pages, Actions ושיתוף עם חיצוניים, כשהקוד נשאר במערכת ניהול הקוד הקיימת.
זהויות בניהול הארגון: חשבונות מנוהלים עם הקצאה אוטומטית מ-Entra ID, Conditional Access, ותפקידי ניהול דרך PIM.
הגבלת Copilot: מודלים מאושרים בלבד, וחסימה של חיפוש באינטרנט, שרתי MCP וסוכנים שלא אושרו.
סביבת פיתוח מנוהלת: הגדרות VS Code ו-Visual Studio דרך Intune: תוספים מאושרים בלבד, ו-Copilot רק עם החשבון הארגוני.
רשת ו-DLP: Copilot מגיע רק לכתובות שאושרו, דרך ה-proxy הארגוני, ו-DLP חוסם מפתחות וסיסמאות בתוך שאלות לעוזר.

בדיקת מצב. בודקים מה כבר מוגדר, מה הרישוי שלכם כולל, ומה Copilot יראה אצלכם היום.
תוכנית. רשימת בקרות לפי סדר עדיפויות, שמותאמת למדיניות אבטחת המידע ולרגולציה שלכם.
הקשחה בקבוצת פיילוט. מגדירים את הבקרות על קבוצה קטנה, בלי לעצור את העבודה של כולם.
מבדק חדירות. מנסים לעקוף את הבקרות בתרחישים אמיתיים: חשבון פרטי, מכשיר לא מנוהל, מידע רגיש בשאלה, סוכנים, דחיפת קוד החוצה.
הרחבה. מסדרים את מה שהמבדק מצא, ומרחיבים את Copilot לשאר הארגון.

Copilot יכול לחשוף קבצים שאין לעובד הרשאה אליהם? לא. הוא עובד רק עם מה שהעובד כבר יכול לפתוח. הבעיה היא שבהרבה ארגונים עובדים יכולים לפתוח הרבה יותר ממה שחושבים, ולכן מתחילים בבדיקת שיתוף יתר.
צריך רישיון E5 כדי לאבטח את Copilot? לא לכל הבקרות. חלק מהן, כמו DLP מתקדם וניטור שיחות, דורשות רישוי של Purview. בבדיקת המצב נראה מה הרישוי שלכם כבר כולל ומה כדאי להוסיף.
אפשר להשתמש ב-GitHub Copilot בלי לאחסן קוד ב-GitHub? כן. GitHub Enterprise משמש רק לרישוי ולניהול של Copilot, והקוד נשאר במערכת ניהול הקוד הקיימת.
צריך לחכות עם Copilot עד שהכול מסודר? לא. מתחילים בקבוצת פיילוט עם בקרות הגישה, מסדרים את האתרים הרגישים, ומרחיבים בהדרגה.

פגישת היכרות טכנית של שעה עם ארכיטקט אבטחה מהצוות: נבין מה יש לכם היום, ומה Copilot יראה אצלכם.