Microsoft 365 Copilotは、サインインしているユーザーのアクセス権限で動作します。ユーザーが既にアクセスできるコンテンツしか利用できませんが、人よりもはるかに速くそのコンテンツを見つけ出し、要約します。これまで気づかれなかった過剰なアクセス権限が、一夜にして表面化します。そのため、安全な導入はライセンスではなく、データとIDから始まります。
最初のライセンスを割り当てる前に、以下の確認を短い準備期間として計画してください。過剰なアクセス権限やラベルの未設定など、多くの指摘事項は、Copilotを利用するかどうかにかかわらずリスクの低減につながります。
SharePointとOneDriveの過剰共有を特定して是正する
MicrosoftがCopilotライセンスに含めているSharePoint Advanced Managementが、この作業の主なツールとなります。
- データアクセスガバナンスレポートを実行し、「Everyone except external users」や広範な共有リンクで共有されているサイトを特定する
- サイトアクセスレビューを開始し、サイト所有者にアクセスの確認または削除を求める
- Restricted Content Discoveryを使い、整理が済むまでリスクの高いサイトをCopilotの対象から除外する
- 制限付きアクセス制御を適用し、機密性の高いサイトを特定のグループに限定する
- 既定の共有設定、所有者不在のサイト、所有者の未設定といった根本原因を是正する
Microsoft Purviewで機密コンテンツにラベルを付けて保護する
秘密度ラベルは、コンテンツをどのように取り扱うべきかをCopilotとユーザーに示します。少数で分かりやすいラベル体系を定め、新しいコンテンツには既定のラベルを適用してください。暗号化を伴うラベルにより、Copilotの利用は必要な使用権限を持つユーザーに限定されます。Purviewのデータ損失防止（DLP）を使ってCopilotとのやり取りを通じた機密情報の流出を防ぎ、データセキュリティ態勢管理（DSPM）を使って組織全体のAI利用状況を把握してください。Copilotのプロンプトと応答が、監査、保持、電子情報開示（eDiscovery）の対象となっていることも確認してください。
Microsoft Entra IDでIDを強化する
Copilotの安全性は、それを利用するアカウントの安全性に左右されます。アカウントが侵害されると、攻撃者は正規のユーザーと同じように、コンテンツへ迅速にアクセスできてしまいます。
- すべてのユーザーに多要素認証を、管理者にはフィッシング耐性のある認証方法を必須とする
- Microsoft 365とCopilotを対象とする条件付きアクセスポリシーを適用する
- レガシー認証をブロックする
- 特権ロールをジャストインタイムのアクセスと定期的なレビューで管理する
- ゲストアカウントと、そのTeamsおよびSharePointへのアクセスを見直す
Microsoft Intuneで準拠デバイスを必須にする
Copilotの回答には機密性の高い内容が含まれる可能性があるため、デバイスも重要です。Intuneでコンプライアンスポリシーを定義し、条件付きアクセスにより準拠デバイスまたは管理対象デバイスの利用を必須にしてください。個人所有のデバイスにはアプリ保護ポリシーを適用し、管理対象外のデバイスからのダウンロードやコピー＆ペーストを制限してください。
Copilot Studioのエージェントを統制する
Copilot Studioで作成したエージェントは、データソースに接続し、ユーザーに代わって操作を実行できます。ルールがなければ急速に増え、作成者のリスクをそのまま引き継ぎます。
- 誰がどの環境でエージェントを作成・共有できるかを決める
- Power Platform admin centerでコネクタのデータポリシーを設定する
- エージェントが使用するナレッジソース、認証、アクセス権限を確認する
- 所有者とレビューサイクルを含むエージェントのインベントリを維持する
ユーザーを教育し、明確なルールを定める
ユーザーは、Copilotが何を参照できるか、出力をどのように確認するか、何をプロンプトに入力してはならないかを理解する必要があります。研修は、EU AI法（EU AI Act）第4条が求めるAIリテラシーの措置にも役立ちます。ドイツでは、従業員の行動や業績を監視できるツールは共同決定の対象となるため、早い段階から事業所委員会（Betriebsrat）を関与させてください。不正確または不適切な出力をユーザーがどのように報告し、誰が対応するかを取り決めてください。まずパイロットグループで始め、問題を測定しながら段階的に利用範囲を広げてください。
FidempliはCopilotの導入準備状況を評価し、お客様のテナントにこれらの対策を実装します。2026年12月提供開始のFidempli プラットフォームは、Copilotの導入準備状況とエージェントを継続的に把握します。