Copilot läckte inte dina data. Det gjorde dem sökbara.

Microsoft 365 Copilot respekterar varje behörighet du har satt upp. Det är precis problemet. I tjugo år var det oöverskådligheten som gjorde jobbet du trodde att åtkomstkontrollen gjorde.

Arkitekturen är inte sårbarheten

Varje gång en Copilot-incident rapporteras griper någon efter ordet "läcka". Det är fel ord, och fel ord leder till fel åtgärd.

Copilot har inget eget datalager. Det frågar Microsoft Graph, och det frågar det semantiska index som Microsoft bygger ovanpå din klientorganisation. Båda upprätthåller de åtkomstlistor som redan fanns. Om en användare inte kunde öppna en fil igår kommer Copilot inte att lyfta fram den idag. Microsofts dokumentation är korrekt på den här punkten och jag har inte sett något trovärdigt fall som motsäger det.

Så ingen behörighetsgräns korsades. Inget läckte ut. Varje dokument Copilot returnerar är ett dokument användaren redan hade rätt att öppna.

De hade bara aldrig hittat det.

Oöverskådligheten var en kontroll, och ingen skrev ner den

Tänk på vad som egentligen hindrade en anställd från att läsa 2018 års uppsägningslista som någon parkerade på en Teams-etablerad SharePoint-webbplats.

Det var inte en behörighet. Behörigheten var med största sannolikhet "alla utom externa användare", eftersom det är vad standardlänken för delning har gett upphov till i de flesta klientorganisationer under åratal. Det som hindrade dem var att de inte visste att webbplatsen fanns, inte visste att filen hette Liste_final_v3_REVIDERET.xlsx, och inte hade någon anledning att göra en sökning som skulle returnera den.

Sökfunktionen i organisationen var dålig. Den dåligheten var bärande.

Copilot tar bort den. Det semantiska indexet behöver inte ett filnamn. En användare skriver en fråga i naturligt språk, och hämtningslagret hittar semantiskt relaterat innehåll i allt de tekniskt kan nå, och sammanfattar det sedan till ett självsäkert stycke med källhänvisningar. Den anställda som aldrig skulle ha letat får nu ett svar de inte ställde en tillräckligt precis fråga för att förtjäna.

Det är inte en läcka. Det är ett hämtningssystem som gör sitt jobb mot ett datalandskap som ingen någonsin städat.

Vad sökning efter känsliga data faktiskt hittar

Innan du diskuterar Copilots verkningsradie, kör en sökning efter känsliga data i hela klientorganisationen och titta på resultatet. Fyra saker förstärker varandra i varje enda fall, och de är alla tråkiga:

• Ärvda behörigheter som ingen någonsin spårat. En webbplatssamling får en bred tilldelning. Underwebbplatser och bibliotek ärver. Tre omorganisationer senare innehåller gruppen som tilldelningen avser hundra personer som inte har någon koppling till det ursprungliga syftet.

• Standardlänkar för delning. I hela klientorganisationen var standarden i åratal en organisationsomfattande länk. Varje "dela detta med Lars" gav upphov till en artefakt läsbar för hela företaget. Multiplicera med ett årtionde.

• Personlig OneDrive som arkivskåp. Folk sparar HR-exporter, lönemodeller och kopior av avtal i OneDrive, delar sedan en mapp en gång, av ett skäl, och återkallar den aldrig.

• E-post. Den enskilt värsta boven i varje granskning vi kör. Pass, körkort, betalkortsuppgifter, pentest-rapporter, aktiva autentiseringsuppgifter — allt ligger i brevlådor och i de bilagor Copilot nu kan sammanfatta.

Microsofts egna motåtgärder visar att de vet. Restricted SharePoint Search finns specifikt för att panikslagna administratörer ska kunna begränsa Copilots räckvidd till en tillåtelselista med webbplatser medan de reder ut behörigheterna. Det beskrivs uttryckligen som tillfälligt, det är begränsat till ett litet antal webbplatser, och det fungerar genom att göra sökningen sämre igen. Man betalar för en hämtningsprodukt och stänger sedan av hämtningen. Det är ett tryckförband, inte en behandling.

Ordningsföljden som de flesta organisationer gör fel

Standardåtgärden är ett behörighetsprojekt. Granska ACL:erna, skärp tilldelningarna, ta bort de organisationsomfattande länkarna, kör rapporter om överdelning, driftsätt sedan.

Jag förstår varför det är den första instinkten, och en del av det måste ske. Men räkna på det. En medelstor klientorganisation har miljontals objekt och tiotusentals unika behörighetsomfång. Man försöker resonera sig fram till rätt åtkomstnivå för vartenda ett, i ett landskap där affärskontexten som motiverade varje tilldelning är borta och de som gjorde dem har slutat.

Under tiden flyttas inte driftsättningsdatumet, eftersom Copilot-licenserna redan är köpta.

Det finns en billigare åtgärd att göra först. Det mesta av det man försöker skydda borde inte finnas.

I granskningarna vi kör är en stor andel av det som ligger i brevlådor och filresurser överflödigt, föråldrat eller trivialt: överspelade utkast, gamla exporter, kopior av kopior, personuppgifter som behållits åratal efter varje lagligt ändamål. Det materialet har ingen ägare, ingen motivering för lagring och inget försvar om en tillsynsmyndighet frågar varför man fortfarande har det. Det är också, tyvärr, precis den typ av innehåll ett semantiskt index älskar — högt i personuppgifter, lågt i affärsvärde.

Att radera det är ett mindre problem än att sätta behörigheter på det. Det finns ingen ACL att resonera om på en fil som är borta. Den behöver ingen granskning, den behöver ingen undantagsprocess, och den kan inte hämtas av någon, med någon prompt, någonsin.

Så ordningen är: kör en GDPR-skanner över e-post, OneDrive och SharePoint för att fastställa vad man faktiskt har, låt varje dataägare bekräfta vad som fortfarande har ett syfte, radera resten och bevisa det, och sedan göra behörighetsarbetet på den bråkdel som överlever. Man kommer att skärpa åtkomsten på ett betydligt mindre landskap, med affärskontexten fortfarande kvar.

Ordningsföljden betyder mer än verktygen. Ett behörighetsprojekt på ett oinventerat landskap är obegränsat. Ett behörighetsprojekt på ett landskap man redan halverat är en tisdag.

Den obekväma delen

Copilot skapar inte en ny riskkategori. Det producerar den första ärliga revisionen av ditt datalandskap som någon någonsin gjort, och gör det offentligt, en anställds prompt i taget.

Varje organisation som driftsätter det är på väg att få reda på vad den har sparat. De som klassificerade och raderade först kommer att finna det betryggande.

Om du vill veta vad som faktiskt ligger i dina ostrukturerade data, kör vi en kostnadsfri granskning.

Var försiktiga där ute.

/A