Partager via

En savoir plus sur Gestion de la posture de sécurité des données (DSPM) pour l’IA

Guide de gestion des licences Microsoft 365 pour la sécurité & la conformité

Gestion de la posture de sécurité des données Microsoft Purview (DSPM) pour l’IA à partir du portail Microsoft Purview fournit un emplacement de gestion central pour vous aider à sécuriser rapidement les données des applications IA et à surveiller de manière proactive l’utilisation de l’IA. Ces applications incluent des Copilotes, des agents et d’autres applications IA qui utilisent des modules LLM tiers.

Gestion de la posture de sécurité des données pour l’IA offre un ensemble de fonctionnalités qui vous permettent d’adopter l’IA en toute sécurité sans avoir à choisir entre productivité et protection :

  • Insights et analyses sur l’activité IA dans votre organization

  • Stratégies prêtes à l’emploi pour protéger les données et empêcher la perte de données dans les invites IA

  • Évaluations des risques liés aux données pour identifier, corriger et surveiller le surpartage potentiel des données.

  • Contrôles de conformité pour appliquer des stratégies optimales de gestion et de stockage des données

Pour obtenir la liste des sites IA tiers pris en charge, tels que ceux utilisés pour Gemini et ChatGPT, consultez Sites IA pris en charge par Microsoft Purview pour les protections de conformité et de sécurité des données.

Comment utiliser Gestion de la posture de sécurité des données pour l’IA

Pour vous aider à obtenir plus rapidement des insights sur l’utilisation de l’IA et protéger vos données, Gestion de la posture de sécurité des données pour l’IA fournit des stratégies préconfigurées recommandées que vous pouvez activer en un seul clic. Si vous utilisez des unités administratives, vous devez être administrateur illimité pour créer ces stratégies qui s’appliquent à tous les utilisateurs de votre organization.

Prévoyez au moins 24 heures pour que ces nouvelles stratégies collectent des données afin d’afficher les résultats dans Gestion de la posture de sécurité des données pour l’IA, ou reflètent les modifications que vous apportez aux paramètres par défaut.

Exemple de capture d’écran de Gestion de la posture de sécurité des données Microsoft Purview pour l’IA.

Aucune activation n’est nécessaire, Gestion de la posture de sécurité des données pour l’IA exécute automatiquement une évaluation hebdomadaire des risques liés aux données pour les 100 principaux sites SharePoint en fonction de l’utilisation dans votre organization. Vous pouvez compléter cela avec vos propres évaluations personnalisées des risques liés aux données, actuellement en préversion. Ces évaluations sont conçues spécifiquement pour vous aider à identifier, corriger et surveiller le surpartage potentiel des données, afin que vous puissiez être plus sûr de vos organization à l’aide de Microsoft 365 Copilot et d’agents, et Microsoft 365 Copilot Chat.

Pour commencer à utiliser Gestion de la posture de sécurité des données pour l’IA, utilisez le portail Microsoft Purview. Vous avez besoin d’un compte disposant des autorisations appropriées pour la gestion de la conformité, par exemple un compte membre du rôle de groupe Administrateur de conformité Microsoft Entra.

Conseil

Les étapes suivantes fournissent une procédure pas à pas recommandée pour utiliser toutes les fonctionnalités disponibles à partir de DSPM pour l’IA. Si vous souhaitez utiliser DSPM pour l’IA uniquement pour une application IA spécifique, utilisez les liens de la section Étapes suivantes.

  1. Se connecter au portail> Microsoft PurviewSolutions>DSPM pour l’IA.

    Sélection de la solution Gestion de la posture de sécurité des données Microsoft Purview pour l’IA dans le portail Microsoft Purview.

  2. Dans Vue d’ensemble, consultez la section Prise en main pour en savoir plus sur Gestion de la posture de sécurité des données pour l’IA et les actions immédiates que vous pouvez prendre. Sélectionnez chacune d’elles pour afficher le volet volant pour en savoir plus, effectuer des actions et vérifier votre status actuelle.

    Action Plus d’informations
    Activer Microsoft Purview Audit L’audit étant activé par défaut pour les nouveaux locataires, vous pouvez déjà remplir ce prérequis. Si c’est le cas et que les utilisateurs se voient déjà attribuer des licences pour Microsoft 365 Copilot, vous commencez à voir des insights sur les activités de Copilot et des agents dans la section Rapports plus bas dans la page.
    Installer l’extension de navigateur Microsoft Purview Un prérequis pour les sites IA tiers.
    Intégrer des appareils à Microsoft Purview Il s’agit également d’une condition préalable pour les sites IA tiers.
    Étendre vos insights pour la découverte des données Stratégies en un clic pour collecter des informations sur les utilisateurs qui visitent des sites d’IA générative tiers et leur envoient des informations sensibles. L’option est identique au bouton Étendre vos insights dans la section Analyse des données IA plus bas dans la page.

    Pour plus d’informations sur les prérequis, consultez Prérequis pour Gestion de la posture de sécurité des données pour l’IA.

    Pour plus d’informations sur les stratégies préconfigurées que vous pouvez activer, consultez Stratégies en un clic à partir de Gestion de la posture de sécurité des données pour l’IA.

  3. Ensuite, passez en revue la section Recommandations et décidez s’il faut implémenter des options pertinentes pour votre locataire. Consultez chaque recommandation pour comprendre en quoi elles sont pertinentes pour vos données et en savoir plus.

    Ces options incluent l’exécution d’une évaluation des risques liés aux données sur les sites SharePoint, la création d’étiquettes et de stratégies de confidentialité pour protéger vos données et la création de stratégies par défaut pour vous aider à détecter et protéger immédiatement les données sensibles envoyées aux sites d’IA générative. Exemples de recommandations :

    • Protégez vos données contre les risques potentiels de surpartage en affichant les résultats de votre évaluation des risques de données par défaut pour identifier et résoudre les problèmes afin de vous aider à déployer Microsoft 365 Copilot en toute confiance.
    • Protégez vos données avec des étiquettes de confidentialité en créant un ensemble d’étiquettes de confidentialité par défaut si vous n’avez pas encore d’étiquettes de confidentialité et des stratégies pour les publier et étiqueter automatiquement les documents et les e-mails.
    • Protégez les éléments avec des étiquettes de confidentialité contre Microsoft 365 Copilot et le traitement de l’agent en vous invitant à sélectionner une ou plusieurs étiquettes de confidentialité qui empêchent les Microsoft 365 Copilot et les agents de résumer les données étiquetées. Pour plus d’informations sur cette fonctionnalité, consultez En savoir plus sur l’emplacement de la stratégie Microsoft 365 Copilot.
    • Détectez les interactions à risque dans les applications IA pour calculer le risque utilisateur en détectant les invites et les réponses à risque dans les Microsoft 365 Copilot, les agents et d’autres applications d’IA générative. Pour plus d’informations, consultez Utilisation risquée de l’IA (préversion).
    • Découvrez et gérez les interactions avec ChatGPT Enterprise AI en inscrivant ChatGPT espaces de travail Entreprise. Vous pouvez identifier les risques potentiels d’exposition aux données en détectant les informations sensibles partagées avec ChatGPT Entreprise.
    • Obtenez une assistance guidée pour les réglementations d’IA, qui utilisent des modèles réglementaires de mappage de contrôle du Gestionnaire de conformité.
    • Sécuriser les interactions pour les expériences Microsoft Copilot, qui capture les invites et les réponses pour Copilot dans Fabric, et Security Copilot. Sans stratégie similaire à celle créée avec cette recommandation, les événements d’audit sont capturés pour Copilot dans Fabric et Security Copilot, mais pas pour les invites et les réponses.
    • Détectez les informations sensibles partagées avec l’IA via le réseau, qui utilise la sécurité des données réseau pour détecter les types d’informations sensibles partagés avec les applications IA dans les navigateurs, les applications, les API, les compléments, etc., à l’aide d’un service Edge d’accès sécurisé ou d’une intégration Security Service Edge.
    • Sécurisez les interactions à partir des applications d’entreprise, ce qui capture les invites et les réponses pour la conformité réglementaire des applications IA inscrites à Entra, ChatGPT Enterprise Connector et des applications basées sur les services Azure AI.
    • Sécurisez les données dans les agents et applications Azure AI, qui a configuré des instructions pour capturer des invites et des réponses pour les applications IA qui utilisent un ou plusieurs abonnements Azure AI.

    Vous pouvez utiliser le lien Afficher toutes les recommandations ou Recommandations dans le volet de navigation pour voir toutes les recommandations disponibles pour votre locataire et leurs status. Lorsqu’une recommandation est terminée ou ignorée, vous ne la voyez plus dans la page Vue d’ensemble .

  4. Utilisez la section Rapports ou la page Rapports du volet de navigation pour afficher les résultats des stratégies par défaut créées. Vous devez attendre au moins un jour que les rapports soient remplis. Sélectionnez les catégories d’expériences et d’agents Copilot, Applications IA d’entreprise et Autres applications IA pour vous aider à identifier l’application d’IA générative spécifique.

  5. Utilisez la page Stratégies pour surveiller les status des stratégies en un clic par défaut créées et des stratégies liées à l’IA à partir d’autres solutions Microsoft Purview. Pour modifier les stratégies, utilisez la solution de gestion correspondante dans le portail. Par exemple, pour DSPM pour l’IA - Comportement non éthique dans Copilot, vous pouvez examiner et corriger les correspondances à partir de la solution de conformité des communications.

    Remarque

    Si vous avez les anciennes stratégies de rétention pour les conversations Teams et les interactions Copilot, elles ne sont pas incluses sur cette page. Découvrez comment créer des stratégies de rétention distinctes pour Microsoft Copilot expériences qui seront incluses dans cette page Stratégie.

  6. Sélectionnez Applications et agents pour afficher un tableau de bord des applications IA et de leurs agents utilisés dans votre organization afin de pouvoir identifier et gérer les risques potentiels pour la sécurité des données. Pour chaque agent, affichez des détails sur les données sensibles auxquelles ils ont accédé et la façon dont ils sont protégés par des stratégies de Microsoft Purview.

  7. Sélectionnez Explorateur d’activités pour afficher les détails des données collectées à partir de vos stratégies.

    Ces informations plus détaillées incluent le type d’activité et l’utilisateur, la date et l’heure, la catégorie et l’application d’application IA, l’application accessible dans, tous les types d’informations sensibles, les fichiers référencés et les fichiers sensibles référencés.

    Parmi les exemples d’activités, citons l’interaction ia, les types d’informations sensibles et la visite du site web IA. Requêtes et les réponses sont incluses dans les événements d’interaction ia lorsque vous disposez des permisisons appropriées. Vous pouvez utiliser le filtre Requêtes web dans l’Explorateur d’activités pour identifier plus facilement les interactions IA qui ont une requête web, avec le volet volant d’interaction IA qui diplaye le texte de la requête de recherche dans la section Application IA références web utilisée . Pour plus d’informations sur les événements, consultez Événements de l’Explorateur d’activités.

    À l’instar des catégories de rapport, les charges de travail incluent les expériences et les agents Copilot, les applications IA d’entreprise et les autres applications IA. Parmi les exemples d’ID d’application et d’hôte d’application pour les expériences et les agents Copilot, citons Microsoft 365 Copilots et Copilot Studio. Les applications IA d’entreprise incluent ChatGPT Enterprise. D’autres applications IA incluent les applications des sites IA tiers pris en charge, telles que celles utilisées pour Gemini et ChatGPT.

  1. Sélectionnez Évaluations des risques liés aux données pour identifier et corriger les risques potentiels de surpartage des données dans votre organization.

    Une évaluation des risques liés aux données par défaut s’exécute automatiquement chaque semaine pour les 100 principaux sites SharePoint en fonction de l’utilisation dans votre organization, et vous avez peut-être déjà exécuté une évaluation personnalisée comme l’une des recommandations. Toutefois, revenez régulièrement à cette option pour case activée les derniers résultats hebdomadaires de l’évaluation par défaut et exécutez des évaluations personnalisées lorsque vous souhaitez case activée pour différents utilisateurs ou sites spécifiques. Après l’exécution d’une évaluation personnalisée, attendez au moins 48 heures pour voir les résultats qui ne sont plus mis à jour. Vous aurez besoin d’une nouvelle évaluation pour voir les modifications apportées aux résultats.

    En raison de la puissance et de la vitesse de l’IA peut exposer de manière proactive du contenu qui peut être obsolète, sur-autorisé ou dépourvu de contrôles de gouvernance, l’IA générative amplifie le problème du surpartage des données. Utilisez des évaluations des risques de données pour identifier et corriger les problèmes.

    L’évaluation par défaut s’affiche en haut de la page avec un résumé rapide, tel que le nombre total d’éléments trouvés, le nombre de données sensibles détectées et le nombre de liens partageant des données avec n’importe qui. La première fois que l’évaluation par défaut est créée, il y a un délai de 4 jours avant l’affichage des résultats.

    Après avoir sélectionné Afficher les détails pour obtenir des informations plus détaillées, dans la liste, sélectionnez chaque site pour accéder au volet volant qui comporte des onglets Vue d’ensemble, Identifier, Protéger et Surveiller. Utilisez les informations de chaque onglet pour en savoir plus et prendre les mesures recommandées. Par exemple :

    Utilisez l’onglet Identifier pour identifier la quantité de données analysées ou non analysées pour les types d’informations sensibles, avec une option permettant de lancer une analyse de classification à la demande en fonction des besoins.

    Utilisez l’onglet Protéger pour sélectionner les options permettant de corriger le surpartage, notamment :

    • Restreindre l’accès par étiquette : utilisez Protection contre la perte de données Microsoft Purview pour créer une stratégie DLP qui empêche les Microsoft 365 Copilot et les agents de résumer les données lorsqu’elles ont des étiquettes de confidentialité que vous sélectionnez. Pour plus d’informations sur le fonctionnement et les scénarios pris en charge, consultez En savoir plus sur l’emplacement de la stratégie Microsoft 365 Copilot.
    • Restreindre tous les éléments : utilisez la fonctionnalité de découverte de contenu restreint SharePoint pour répertorier les sites SharePoint à exempter de Microsoft 365 Copilot. Pour plus d’informations, voir Découverte de contenu restreint pour les sites SharePoint.
    • Créer une stratégie d’étiquetage automatique : lorsque des informations sensibles sont trouvées pour les fichiers sans étiquette, utilisez Protection des données Microsoft Purview pour créer une stratégie d’étiquetage automatique afin d’appliquer automatiquement une étiquette de confidentialité pour les données sensibles. Pour plus d’informations sur la création de cette stratégie, voir Guide pratique pour configurer des stratégies d’étiquetage automatique pour SharePoint, OneDrive et Exchange.
    • Créer des stratégies de rétention : lorsque le contenu n’a pas été consulté depuis au moins 3 ans, utilisez Gestion du cycle de vie des données Microsoft Purview pour le supprimer automatiquement. Pour plus d’informations sur la création de la stratégie de rétention, consultez Créer et configurer des stratégies de rétention.

    Utilisez l’onglet Surveiller pour afficher le nombre d’éléments du site partagés avec tout le monde, partagés avec tous les membres du organization, partagés avec des personnes spécifiques et partagés en externe. Sélectionnez Démarrer une révision d’accès aux sites SharePoint pour plus d’informations sur l’utilisation des rapports de gouvernance d’accès aux données SharePoint.

    Exemple de capture d’écran, après l’exécution d’une évaluation des risques de données, montrant l’onglet Protéger avec les solutions aux problèmes détectés :

    Exemple de capture d’écran d’une évaluation des risques liés aux données à partir de Gestion de la posture de sécurité des données Microsoft Purview pour l’IA.

    Pour créer votre propre évaluation personnalisée des risques liés aux données, sélectionnez Créer une évaluation afin d’identifier les problèmes potentiels de surpartage pour tous les utilisateurs ou certains utilisateurs, les sources de données à analyser (actuellement prises en charge pour SharePoint uniquement), puis exécutez l’évaluation.

    Si vous sélectionnez tous les sites, vous n’avez pas besoin d’être membre des sites, mais vous devez être membre pour sélectionner des sites spécifiques.

    Cette évaluation des risques des données est créée dans la catégorie Évaluations personnalisées . Attendez que la status de votre évaluation affiche l’analyse terminée, puis sélectionnez-la pour afficher les détails. Pour réexécuter une évaluation personnalisée des risques liés aux données et afficher les résultats après l’expiration de 30 jours, utilisez l’option dupliquée pour créer une évaluation, en commençant par les mêmes sélections.

    Conseil

    Les évaluations des risques des données par défaut et personnalisées fournissent une option d’exportation qui vous permet d’enregistrer et de personnaliser les données dans un choix de formats de fichier (Excel, .csv, JSON, TSV).

    Les évaluations des risques liés aux données prennent actuellement en charge un maximum de 200 000 éléments par emplacement. Le nombre de fichiers signalés peut ne pas être précis lorsqu’il y a plus de 100 000 fichiers par emplacement.

Étapes suivantes

Utilisez les stratégies, les outils et les insights de DSPM pour l’IA conjointement avec des protections et des fonctionnalités de conformité supplémentaires de Microsoft Purview. Si vous êtes intéressé par une application IA spécifique, utilisez les liens suivants :