Compartir vía

Configurar la prevención de pérdida de datos para copilotos

  • Artículo

Importante

Las capacidades y características de Power Virtual Agents son ahora parte de Microsoft Copilot Studio tras importantes inversiones en IA generativa e integraciones mejoradas en Microsoft Copilot.

Algunos artículos y capturas de pantalla pueden hacer referencia a Power Virtual Agents mientras actualizamos la documentación y el contenido de capacitación.

Los datos de la organización son los activos más importantes que los administradores tienen la responsabilidad de proteger. La capacidad de crear automatización para usar esos datos constituye gran parte del éxito de su empresa.

Puede crear e implementar rápidamente copilotos de alto valor para sus usuarios finales. Puede conectar a sus copilotos con muchas fuentes de datos y servicios. Algunos de estas fuentes y servicios pueden ser servicios externos de terceros y también pueden incluir redes sociales.

Es fácil pasar por alto el potencial de la exposición. Este tipo de exposición puede ser resultado de la fuga de datos o conexiones a servicios y audiencias que no deberían tener acceso a los datos.

Los administradores pueden gobernar a los copilotos en su organización mediante políticas de prevención de pérdida de datos (DLP) con conectores existentes y Copilot Studio . Las directivas de DLP se crean en el centro de administración Power Platform. Para crear una directiva DLP, debe ser administrador de inquilinos o tener el rol Administrador de entorno.

Requisitos previos

Conectores de Copilot Studio

Los conectores de Copilot Studio se pueden clasificar dentro de una directiva DLP en los siguientes grupos de datos, que se presentan en el centro de administración de Power Platform al revisar las directivas de DLP:

  • Negocio
  • No empresariales
  • Bloqueado

Puede utilizar los conectores en las políticas DLP para proteger los datos de su organización de cualquier filtración de datos maliciosa o involuntaria por parte de los creadores de copilotos.

Importante

De forma predeterminada, la aplicación de DLP para copilotos está deshabilitada en todos los inquilinos. Obtenga más información sobre habilitar el cumplimiento.

Los conectores deben estar en un solo grupo de datos, ya que los datos no se pueden compartir entre conectores que están en diferentes grupos.

Los siguientes conectores de Copilot Studio están disponibles en el centro de administración de Power Platform.

Captura de pantalla de una lista de los conectores disponibles para Copilot Studio

Nombre del conector Description
Chat sin autenticación de Microsoft Entra ID en Copilot Studio Bloquee a los creadores de copilotos para que no publiquen copilotos que no estén configurados para la autenticación.
Los usuarios del copiloto requerirán autenticación para chatear con el copiloto.
Consulte Ejemplo: Requerir autenticación de usuario final para copilotos para obtener más detalles.
Canales Direct Line de Copilot Studio Bloquee cualquier canal de Direct Line.
Por ejemplo, se bloquearían el sitio web de demostración, el sitio web personalizado y los canales de la aplicación móvil.
Canal de Facebook en Copilot Studio Bloquear a los creadores de copilotos para que no habiliten o utilicen el canal de Facebook.
Canal de Microsoft Teams en Copilot Studio Bloquear a los creadores de copilotos para que no habiliten o utilicen el canal de Teams.
Omnicanal en Copilot Studio Bloquear a los creadores de copilotos para que no habiliten o utilicen el canal de Omnicanal.
Aptitudes con Copilot Studio Bloquear a los creadores de copilotos para que no utilicen capacidades en copilotos de Copilot Studio.
Consulte Ejemplo: Usar DLP para bloquear aptitudes en copilotos de Copilot Studio y Ejemplo: Usar DLP para bloquear solicitudes HTTP de copilotos de Copilot Studio para obtener más detalles.

Configuraciones de directiva DLP de ejemplo

Para ayudarlo a comenzar a usar la gestión de copilotos de Copilot Studio, hemos creado los siguientes ejemplos que detallan diferentes escenarios:

Utilice PowerShell para habilitar y administrar la aplicación de DLP para los copilotos de su organización

Puede configurar si las políticas DLP se deben aplicar a sus copilotos con los cmdlets de PowerAppDlpErrorSettings y PowerVirtualAgentsDlpEnforcement PowerShell.

Usted puede:

  • Confirme si DLP está habilitado para copilotos en su inquilino.
  • Habilite o deshabilite DLP en modo de auditoría (-Mode SoftEnabled) para que los creadores de copilotos puedan ver los errores, pero no se les impida realizar acciones que se bloquearían si la aplicación de DLP estuviera completamente habilitada.
  • Habilite o deshabilite la aplicación de DLP, lo que mostrará errores de aplicación de DLP y evitará que los creadores de copilotos publiquen bots afectados por DLP o configuren ajustes relacionados con DLP.
  • Eximir a copilotos específicos de la aplicación de DLP.
  • Agregue y actualice los enlaces de correo electrónico de contacto y de información adicional que se muestran a los creadores de copilotos cuando encuentran DLP en las aplicaciones Teams y web de Copilot Studio.

Importante

Antes de utilizar los cmdlets de PowerShell o los scripts de ejemplo que se muestran aquí, asegúrese de instalar los siguientes módulos mediante PowerShell.

  • Microsoft.PowerApps.Administration.PowerShell
  • Microsoft.PowerApps.PowerShell -AllowClobber

Necesita ser un administrador de inquilinos para usar cmdlets.

Por lo general, usaría estos cmdlets de acuerdo con un proceso de implementación de DLP, que podría constar de los siguientes pasos, en orden:

  1. Agregue o actualice los enlaces de correo electrónico de contacto del administrador y de información adicional que se muestran en Errores de DLP para los creadores de copilotos.

  2. Determine qué copilotos (si los hay) tienen actualmente habilitada la aplicación de políticas DLP.

  3. Utilizar el modo de auditoría o "soft" para que los creadores puedan ver los errores de DLP en la web de Copilot Studio y las aplicaciones de Teams.

  4. Mitigar el riesgo poniéndose en contacto con los creadores e informándoles sobre la mejor línea de actuación para su aplicación o flujo.

  5. Habilite la aplicación de DLP para los copilotos para evitar tareas y funciones afectadas por DLP.

También puede decidir eximir a uno o más copilotos de la aplicación de políticas DLP, según el caso de uso y los requisitos del copiloto.

Puede configurar un correo electrónico y un vínculo para obtener más información mediante el cmdlet Set-PowerAppDlpErrorSettings de PowerShell. Los creadores de sus copilotos verán esta información cuando experimenten errores de DLP.

Captura de pantalla de la aplicación web de Copilot Studio que muestra un error relacionado con DLP con texto de error resaltado.

Para agregar el correo electrónico y el vínculo para obtener más información por primera vez, ejecute el siguiente script de PowerShell, reemplazando los valores para los parámetros <email>, <URL> y <tenant ID> con los suyos propios.

$ContactDetails = [pscustomobject] @{
    Enabled=$true
    Email="<email>"
}
$ErrorMessageDetails = [pscustomobject] @{
    Enabled=$true
    Url="<URL>"
}
$ErrorSettingsObj = [pscustomobject] @{
    ErrorMessageDetails=$ErrorMessageDetails
    ContactDetails=$ContactDetails
}
New-PowerAppDlpErrorSettings -TenantId "<tenant ID>" -ErrorSettings $ErrorSettingsObj

Para actualizar una configuración existente, use el mismo script de PowerShell y reemplace New-PowerAppDlpErrorSettings con Set-PowerAppDlpErrorSettings.

Precaución

Esta configuración se aplica a todas las aplicaciones de Power Platform dentro del inquilino especificado.

Habilite y configure la aplicación de DLP para copilotos

Puede habilitar, deshabilitar, configurar y auditar la aplicación de DLP dentro de Copilot Studio con el cmdlet PowerVirtualAgentsDlpEnforcement.

En cualquiera de los siguientes ejemplos, reemplace (o declare) <tenant ID> con su id. de inquilino.

Puede abarcar los copilotos creados después de una fecha determinada reemplazando <date> con una fecha en el formato MM-DD-YYYY. Para eliminar el ámbito, elimine el parámetro -OnlyForBotsCreatedAfter y su valor.

Confirmar la aplicación de DLP para copilotos

De forma predeterminada, la aplicación de DLP para copilotos está deshabilitada en todos los inquilinos.

Puede ejecutar el siguiente cmdlet de PowerShell para verificar si DLP para Copilot Studio está habilitado para un inquilino.

Get-PowerVirtualAgentsDlpEnforcement -TenantId <tenant ID>

Nota

Si no ha configurado el DLP de Copilot Studio, los resultados del cmdlet estarán vacíos.

Utilizar el modo de auditoría o "soft" para ver los errores de DLP en la web de Copilot Studio o las aplicaciones de Teams

Ejecute el siguiente script de PowerShell para habilitar las directivas DLP en el modo de auditoría. Los creadores de copilotos verán errores relacionados con DLP al configurar copilotos en las aplicaciones web y Teams de Copilot Studio, pero no se les impedirá realizar acciones relacionadas con DLP. También podrán publicar copilotos como de costumbre.

Set-PowerVirtualAgentsDlpEnforcement -TenantId <tenant ID> -Mode SoftEnabled

Para encontrar copilotos que podrían verse afectados por las políticas DLP existentes de su organización, puede:

  1. Utilice el Kit de inicio del Centro de Excelencia (CoE) para obtener una lista de copilotos en su organización. Vaya a la página Descripción general de Copilot Studio en el panel de CoE para ver los copilotos y los nombres de los entornos de su organización.

    Captura de pantalla del panel del kit de inicio del CoE abierto en la página de información general de Copilot Studio.

  2. Ejecute una campaña con los creadores de copilotos de su organización para abordar los errores de DLP o las políticas de DLP actualizadas. Puede descargar todos los errores de DLP generados por un copiloto seleccionando Descargar detalles en el banner de notificación de errores en Copilot Studio.

    Captura de pantalla de la imagen de notificación de error que muestra la opción para descargar los detalles del error.

Habilitar la aplicación de DLP para copilotos

Importante

Antes de habilitar la aplicación de DLP, asegúrese de saber qué copilotos mostrarán errores a sus usuarios de copilotos debido a infracciones de la directiva DLP.

Si tiene problemas, puede eximir a un copiloto de las políticas de DLP o desactivar la aplicación de DLP mientras sus creadores arreglan el copiloto para que cumpla con las políticas de DLP.

Puede ejecutar el siguiente comando de PowerShell para hacer cumplir las directivas DLP en Copilot Studio. A los creadores de copilotos se les bloqueará o se les impedirá realizar acciones afectadas por DLP, y los usuarios finales verán errores si intentan interactuar con las funciones afectadas por DLP en un copiloto.

Set-PowerVirtualAgentsDlpEnforcement -TenantId <tenant ID> -Mode Enabled -OnlyForBotsCreatedAfter <date>

Eximir a un bot de las directivas DLP

Si ha habilitado la aplicación de DLP para su inquilino, pero necesita eximir a un copiloto de mostrar errores de DLP a los creadores y usuarios finales, puede ejecutar el siguiente script de PowerShell.

Asegúrese de reemplazar <environment ID>, <bot ID>, <tenant ID> y <policy ID> con los ID apropiados para el copiloto que desea eximir.

Propina

Puede encontrar <environment ID> y <bot ID> en la URL del copiloto.

<policy ID> aparece junto a los detalles del error en el archivo Descargar detalles. Puede descargar ese archivo seleccionando Descargar detalles en la imagen de notificación de error en Copilot Studio.

$environmentId = "<environment ID>" 
$botId = "<bot ID>"; 
$tenantId = "<tenant ID>" 
$policyName = "<policy ID>"

# Ensure the DLP commands are installed
if (-not (Get-Command "Get-PowerAppDlpPolicyExemptResources" -ErrorAction SilentlyContinue))
{
    Write-Host "Please ensure the Power Apps DLP commands are available: https://docs.microsoft.com/power-platform/admin/powerapps-powershell#environments-commands" -ForegroundColor Red
    return;
}
# Set up the PVA resource information
$pvaResourceId = "$environmentId+$botId"
$pvaResourceType = "Bot"
$exemptBot = [pscustomobject]@{
                id = $pvaResourceId
                type = $pvaResourceType
              }
Write-Host "Getting exempt resources"
$resources = Get-PowerAppDlpPolicyExemptResources -TenantId $tenantId -PolicyName $policyName
if (-not $resources)
{
    $resources = [pscustomobject]@{  exemptResources = @($exemptBot) }
    Write-Host "No exempt resources configured yet"
}
$resources = New-PowerAppDlpPolicyExemptResources -TenantId $tenantId -PolicyName $policyName -NewDlpPolicyExemptResources $resources
Write-Host "Added bot to exempt resources"

Deshabilitar la aplicación de DLP para copilotos

El siguiente comando deshabilitará la aplicación de DLP en los copilotos.

Set-PowerVirtualAgentsDlpEnforcement -TenantId <tenant ID> -Mode Disabled