Trovare e correggere la condivisione eccessiva prima di attivare Copilot: SharePoint, OneDrive e Teams

Microsoft 365 Copilot fonda le proprie risposte sui contenuti che l'utente connesso è già autorizzato ad aprire. Non infrange le autorizzazioni e non concede nuovi accessi. Ragiona solo sui file, sulla posta e sulle chat che quella persona poteva già raggiungere, il che significa che eredita il modello di accesso esatto che avete oggi. È proprio per questo che la condivisione eccessiva diventa visibile nel momento in cui lo attivate. Un contenuto protetto solo dall'oscurità, un documento che nessuno si rendeva conto fosse condiviso con l'intera organizzazione, diventa individuabile tramite un singolo prompt in linguaggio naturale. Trovare e correggere la condivisione eccessiva in SharePoint, OneDrive e Teams prima di attivare Copilot è quindi un compito di prontezza, non una pulizia opzionale che potete rimandare.

Per un amministratore IT o un responsabile della sicurezza che prepara un rollout, e per gli operatori di servizi gestiti che lo fanno su più tenant dei clienti, la preoccupazione è la stessa: la proliferazione di autorizzazioni accumulata in silenzio negli anni può emergere da un giorno all'altro. La piattaforma che la rende visibile vi dà anche gli strumenti per trovarla e correggerla per prima.

Perché Copilot rende visibile la condivisione eccessiva

L'accesso ai dati di Copilot è sempre limitato alle autorizzazioni dell'utente connesso. La documentazione di architettura di Microsoft è esplicita: presenta solo i dati a cui ogni singola persona può già accedere, e l'indice di grounding rispetta il confine di accesso basato sull'identità, così da non raggiungere mai contenuti che l'utente non potrebbe aprire da solo. OneDrive segue la stessa regola: poiché OneDrive gira su SharePoint Online al di sotto, le vostre politiche di condivisione SharePoint a livello di tenant si applicano anche a esso, e Copilot fa emergere i file OneDrive solo entro le autorizzazioni esistenti dell'utente.

Quindi Copilot non crea un nuovo rischio; cambia la velocità della scoperta. I contenuti condivisi in eccesso rimanevano prima praticamente nascosti, perché trovarli significava sapere dove cercare e cliccare sito dopo sito. Copilot elimina quell'attrito: un prompt come "riassumi i nostri piani di ristrutturazione attuali" attingerà da qualsiasi documento accessibile che corrisponde, incluso uno condiviso molto più ampiamente di quanto chiunque intendesse. L'autorizzazione è sempre stata troppo ampia; Copilot rende semplicemente facile accorgersene.

Da dove viene la condivisione eccessiva

La condivisione eccessiva raramente nasce da un singolo errore. Si accumula dalla collaborazione ordinaria, e una manciata di schemi ne spiega la maggior parte.

• Impostazioni predefinite permissive dei link di condivisione. Le impostazioni di condivisione di SharePoint arrivano permissive perché la collaborazione funzioni subito. Lasciati senza revisione, i link "Chiunque" che non richiedono l'accesso e i link "Persone nella tua organizzazione" diffondono l'accesso ben oltre i destinatari originali.
• L'attestazione "tutti tranne gli utenti esterni". EEEU è un gruppo integrato che include automaticamente ogni utente interno. Quando un sito è impostato come pubblico, o un file è condiviso direttamente con EEEU, il suo contenuto diventa visibile all'intera organizzazione.
• I team a livello di organizzazione. Un team org-wide in Microsoft Teams include automaticamente ogni utente e mantiene aggiornata quell'appartenenza man mano che le persone entrano ed escono. Ogni team è supportato da un sito SharePoint, quindi tutto ciò che è archiviato lì è raggiungibile da tutti.
• Siti senza proprietario e inattivi. I siti i cui proprietari se ne sono andati, o che nessuno ha toccato da mesi, escono dalla revisione mentre le loro autorizzazioni restano attive.
• Ereditarietà delle autorizzazioni interrotta. Una volta che una raccolta, una cartella o un file riceve le proprie autorizzazioni, non segue più il sito, e quelle eccezioni sono il punto in cui si nasconde l'accesso inatteso.

Come trovarla

La scoperta è dove SharePoint Advanced Management (SAM) si guadagna il suo posto. SAM è incluso non appena viene assegnata almeno una licenza Microsoft 365 Copilot nel tenant, così il reporting di cui avete bisogno per la prontezza arriva con il rollout stesso.

Iniziate dall'interfaccia di amministrazione di SharePoint. I report di governance dell'accesso ai dati sono costruiti per trovare questi schemi: un'istantanea dello stato delle autorizzazioni mostra quanto ampiamente siti e account OneDrive sono esposti, i report sull'attività dei link di condivisione evidenziano dove vengono creati più link "Chiunque" e a livello di organizzazione, il report di insight EEEU trova i contenuti condivisi con tutti, e un'istantanea delle etichette di riservatezza mostra dove le etichette sono e non sono applicate. Il Content Management Assessment riunisce questi segnali per segnalare i siti con destinatari troppo ampi, l'uso di EEEU, l'ereditarietà interrotta e lo stato inattivo o senza proprietario.

Poiché le regole di conformità fanno sì che gli amministratori IT non possano vedere il dettaglio a livello di file, il modo più rapido per agire su quei report è avviare revisioni dell'accesso ai siti. Questo affida la revisione di un sito condiviso in eccesso alle persone che ne conoscono il contenuto, i proprietari del sito, che rimuovono da soli l'accesso in eccesso. Potete avviare revisioni per un massimo di 100 siti da un report, e usare PowerShell per lotti più grandi. Per soppesare la condivisione rispetto alla sensibilità, le valutazioni dei rischi sui dati di Microsoft Purview Data Security Posture Management segnalano i siti condivisi in eccesso che contengono anche dati sensibili, dove risiede il vostro rischio a più alta priorità.

Se una data di rollout è vicina e vi serve un po' di respiro, Restricted SharePoint Search è il controllo intermedio. Limita la ricerca a livello di organizzazione e Copilot a un elenco consentito di siti che avete già verificato, mentre correggete il resto. Trattatelo come temporaneo: Microsoft è chiara, non è un confine di sicurezza e non cambia le autorizzazioni, e gli utenti possono comunque raggiungere i contenuti che possiedono o hanno aperto di recente. Disattivatelo una volta corrette le autorizzazioni sottostanti. Per l'insieme più ampio di segnali di prontezza da raccogliere insieme alla condivisione eccessiva, la checklist di valutazione della prontezza a Microsoft 365 Copilot copre licenze, governance e adozione nella stessa passata.

Dalla scoperta della condivisione eccessiva a un rollout Copilot controllato.

Come correggerla

La remediation funziona meglio in ordine di priorità, riducendo velocemente l'esposizione e poi chiudendo le lacune per sempre.

1. Restringete le politiche dei link di condivisione. Nell'interfaccia di amministrazione di SharePoint, sotto Criteri e poi Condivisione, impostate un tipo di link predefinito più conservativo come "Persone specifiche" o "Solo le persone della tua organizzazione", e aggiungete una scadenza a qualsiasi link "Chiunque". Un sito può essere bloccato più della predefinita dell'organizzazione ma mai reso più permissivo, quindi l'impostazione del tenant è la vostra soglia minima di sicurezza.
2. Eseguite revisioni a livello di sito con i proprietari. Usate le revisioni dell'accesso ai siti affinché i proprietari ridefiniscano l'ambito dei link di condivisione, rimuovano l'attestazione EEEU da gruppi ed elementi, e correggano l'ereditarietà interrotta. Dove un sito contiene contenuti sensibili, Restricted Access Control può limitarlo a un gruppo di sicurezza nominato così che solo quei membri, e il loro Copilot, possano raggiungerlo.
3. Classificate e proteggete con Purview. Applicate le etichette di riservatezza ai vostri siti e contenuti più sensibili. Copilot rispetta la protezione delle etichette, quindi un file etichettato e crittografato è rispettato nelle sue risposte, e la prevenzione della perdita di dati per Copilot può tenere i contenuti sensibili del tutto fuori dal grounding mentre lavorate.
4. Limitate la condivisione a livello di organizzazione. Riducete l'uso di EEEU su larga scala, e verificate se ogni team org-wide ha ancora bisogno di includere tutti. Queste concessioni ampie sono quelle che un singolo prompt espone più facilmente.
5. Ripulite i siti obsoleti. Usate la gestione del ciclo di vita dei siti, le politiche di proprietà e le politiche sui siti inattivi per trovare i siti senza proprietario e dormienti, poi archiviate o eliminate ciò che non serve più così che Copilot non si fondi su contenuti abbandonati.

Le stesse prove che producete qui fanno anche da prova di conformità. Se mappate già i controlli di Microsoft 365 su un framework, l'approccio in mappare Microsoft 365 su Cyber Essentials e ISO 27001 mostra come i controlli di accesso e condivisione si inseriscono in una storia di audit anziché vivere solo in un ticket di rollout.

Un rollout pre-Copilot per fasi

La sequenza batte l'improvvisazione, e le stesse indicazioni di fondazione sicura di Microsoft seguono la stessa forma.

1. Valutare. Stabilite una baseline del tenant con i report qui sopra così da sapere dove si trova l'esposizione più ampia prima di cambiare qualsiasi cosa.
2. Correggere prima i siti a più alto rischio. Concentratevi sui siti che combinano contenuti sensibili e accesso ampio, applicando controlli intermedi mentre i proprietari correggono le autorizzazioni.
3. Pilotare con un gruppo controllato. Attivate Copilot per una coorte circoscritta di cui avete già revisionato il contenuto, e confermate tramite l'audit che non fa emergere nulla che non dovrebbe.
4. Allargare deliberatamente. Espandete una volta che i siti di ogni ondata sono corretti, così che l'esposizione non corra mai davanti alla pulizia.

Dove si inserisce EtherInsights

Fare questo lavoro su un parco in crescita, o su molti tenant come fornitore di servizi gestiti, è dove report sparsi diventano un lavoro a sé. La prontezza a Copilot di EtherInsights porta i segnali in un'unica vista operativa: assegna un punteggio alla prontezza su licenze, governance dei dati, etichette di riservatezza, postura di condivisione e copertura di Purview rispetto allo stato reale del tenant, e trasforma ogni risultato in un'azione sostenuta da un responsabile con prove per la revisione del rollout. Poiché la forma del report resta la stessa da un tenant all'altro, un MSP può eseguire la stessa passata di prontezza su scala di clienti.

La condivisione eccessiva è solo una parte del quadro più ampio della postura. Sicurezza e conformità di Microsoft 365 estende la stessa vista del tenant alle baseline di sicurezza, al monitoraggio del Secure Score e al rilevamento della deriva, così che una configurazione valutata prima di Copilot non cambi silenziosamente in seguito. Entrambe le rotte sono guidate da EtherInsights, che mantiene la valutazione fattuale: riporta lo stato del tenant per informare le decisioni, non per promettere che un rollout sia privo di rischi.

Domande frequenti

Copilot aggira le autorizzazioni? No. Microsoft 365 Copilot accede solo ai dati che l'utente connesso è già autorizzato ad aprire, usando gli stessi controlli di accesso del resto di Microsoft 365. Non può raggiungere contenuti che l'utente non ha il permesso di vedere. Non aggira le autorizzazioni; rende la condivisione eccessiva esistente più facile da scoprire, ed è per questo che la correggete per prima.

Cos'è Restricted SharePoint Search? È un controllo temporaneo che limita la ricerca a livello di organizzazione e Copilot a un elenco consentito di siti SharePoint che avete già verificato. Fa guadagnare tempo durante un rollout per fasi, ma Microsoft è chiara, non è un confine di sicurezza e non cambia le autorizzazioni, quindi trattatelo come un ponte verso una remediation come si deve, non come un sostituto.

Ho bisogno di SharePoint Advanced Management? I report sulla condivisione eccessiva, le revisioni dell'accesso ai siti e i controlli sui contenuti riservati descritti qui sono capacità di SAM, e SAM è incluso non appena viene assegnata almeno una licenza Microsoft 365 Copilot nel tenant. Quindi se state licenziando Copilot, gli strumenti di scoperta arrivano con esso.

Quanto tempo richiede la pulizia della condivisione eccessiva? Dipende interamente dalla dimensione del parco e da quanto accesso si è accumulato, quindi trattate ogni singola cifra con cautela. In pratica la scoperta è rapida; il costo in tempo sta nella remediation, in particolare le revisioni dei proprietari sui siti ad alto rischio. Circoscrivere il pilota a siti già puliti vi permette di iniziare in sicurezza mentre la pulizia più ampia continua.

La prontezza non è un ostacolo a Copilot; è ciò che rende sicuro attivare le licenze che acquistate. Trovate la condivisione eccessiva, correggetela in ordine di priorità, e pilotate a partire da prove.

Esplora la prontezza a Microsoft 365 Copilot per vedere come segnali sparsi del tenant diventano un piano con punteggio e sostenuto da un responsabile che potete distribuire con fiducia.