Seguridad en Copilot para Microsoft 365: todo lo que debes saber

La seguridad en Copilot para Microsoft 365 es uno de los factores que más pueden preocupar a sus posibles usuarios. El acceso a los datos de la compañía para llevar a cabo su labor hace que muchos se cuestionen qué pasa realmente con ellos. Sobre todo, si se trata de información muy sensible o confidencial.

Unas preocupaciones que, de hecho, se fundamentan en algunas noticias que saltaron a lo largo de 2023. Un año en el que la IA llegó prácticamente a todas partes. Samsung, por ejemplo, prohibió el uso de ChatGPT a sus empleados en mayo del año pasado. Una decisión que tuvo como detonante el hecho algunos de ellos, por error, subieran código sensible de la compañía surcoreana a esta plataforma de IA generativa.

Desde luego, a nivel de seguridad, esa es la primera consideración que debemos tener en cuenta: el papel de los usuarios. El factor humano es, siempre, el eslabón más débil a la hora de hablar de estrategias de protección cibernética. O, dicho de otra manera, si hay datos que no queremos que sean utilizados por la IA generativa, simplemente, hay que evitar proporcionárselos. Esa es la mejor forma que tenemos, al menos por nuestra parte, de impedir que se produzcan filtraciones no deseadas. Por lo menos, desde dentro de nuestra propia empresa.

La importancia de este factor humano, por supuesto, se hace extensiva también a toda la familia Copilot. Exactamente, con esas mismas condiciones que hemos descrito en el párrafo anterior. Es vital estar muy pendiente de qué compartimos. No obstante, Microsoft también ha previsto medidas de seguridad y protección de la confidencialidad muy concretas en el uso de esta tecnología a nivel de Copilot para Microsoft 365. A lo largo de las próximas líneas vamos a desgranártelas.

Qué factores de protección ha previsto Microsoft a nivel de seguridad en Copilot para Microsoft 365

Si quieres realmente aprovechar todas las ventajas que ofrece Copilot para Microsoft 365, esta tecnología debe poder acceder a los datos que maneja tu empresa. Por supuesto, de manera segura, adecuada al cumplimiento normativo y respetando en todo momento su privacidad. Copilot para Microsoft 365 accede tanto a los datos de tu negocio como a su contexto en Graph. Así, puede ofrecerte respuestas enfocadas a tu propio contenido (documentos, correos, calendario, reuniones, etc.) y combinarlos con lo que hace cada empleado en cada momento para ofrecerle respuestas contextualizadas, exactas y relevantes.

Copilot para Microsoft 365 se integra en tu propio ecosistema de Microsoft 365. De tal manera, que hereda de forma automática todas las medidas de seguridad y cumplimiento, así como sus políticas y procesos de privacidad. Es decir, a nivel de permisos, depende de la seguridad previa que se haya aplicado en SharePoint, OneDrive, etc. ¿Qué factores convierten a Copilot en una tecnología a prueba de filtraciones? Podemos identificar los siguientes:

• La aplicación de procesos de autenticación multifactoriales, basados al menos en dos factores.
• Limitaciones de cumplimiento.
• Protección de la privacidad.

Las consultas realizadas se quedan en tu ecosistema de Microsoft 365. A no ser, en este caso, que permitas que Graph use contenido externo o utilices plugins para obtener información más exacta. Si se usan plugins, es conveniente revisar de manera pormenorizada sus términos de privacidad y condiciones de uso.

La filtración de información sensible es, desde luego, una de las grandes preocupaciones de las empresas. Por eso, previamente al uso de Copilot para Microsoft 365, es importante tomar las medidas necesarias de DLP (Data Lost Prevention) para compartimentar el acceso a la información. Los grandes modelos de lenguaje de Copilot, por otro lado, no se entrenan en ningún momento a través de tus datos o tus prompts. Y estos últimos, a su vez se encriptan y permanecen guardados de esta manera mientras se conservan en Microsoft 365. Es posible ver y controlar esos datos guardados por parte de los administradores con el buscador de Contenido o con Microsoft Purview. Con esta última herramienta, además, se es posible establecer políticas de retención de datos relacionados con las interacciones con Copilot vía chat.

Además, dentro de tu propio tenant, se evita que haya filtraciones de datos a otros grupos por medio del modelo de permisos. Y a nivel individual, finalmente, Copilot presenta únicamente datos a los que puedes acceder. Con permisos, como mínimo, de visionado. Por supuesto, si deseas que algunos datos queden excluidos completamente, sólo tienes que indicarlo. Por sí mismo, Copilot no añade una capa más de protección a nivel de acceso a la información, pero sí lo hace tanto en la gestión como en la transferencia que hace de esta información.

Factores de protección de Microsoft 365 y residencia del servicio prestado por la IA

Planteemos un ejemplo, para ver más en profundidad cómo funciona el control de privacidad de la información por medio del control de accesos. Dos usuarios, Violet y Mario, trabajan en el mismo departamento de una empresa. E, incluso, están ambos en el mismo grupo. Violet, en cambio, ha estado trabajando en un acuerdo de compra confidencial, del que sólo ella y algunos más pueden estar al tanto. Por tanto, el documento en el que está trabajando es de acceso restringido.

Mario, en cambio, dado que no está trabajando en este acuerdo, no puede ni siquiera acceder a documentación acerca del mismo. Incluso, por mucho que se haya enterado de en qué carpeta puede estar almacenada dicha documentación, tal y como podemos ver en la imagen que hay bajo estas líneas.

Tampoco puede obtener información acerca de este acuerdo ni siquiera recurriendo a los datos que tenga del mismo Copilot para Microsoft 365. Si intenta pedir un resumen del acuerdo de compra, o algo relacionado con dicho acuerdo, en su caso se le indicará que no hay ninguna sugerencia disponible acerca de esta materia.

Dentro de Microsoft 365, además, hay también implementadas múltiples formas de protección para evitar que sus servicios se vean comprometidos o evitar que los usuarios obtengan acceso no autorizado a otros tenants o al propio Microsoft 365. Como, por ejemplo:

• Aislamiento lógico del contenido del cliente dentro de cada tenant para los servicios de Microsoft 365 por medio de Microsoft Entra y el control de acceso basado en roles.
• Microsoft aplica rigurosas medidas de seguridad físicas, cribado del contexto y una estrategia de encriptación multicapa para proteger la integridad y la confidencialidad de los datos del cliente.
• Microsoft 365 usa tecnologías adjuntas al servicio para encriptar los datos del cliente tanto en reposo como en tránsito, entre las que se incluyen BitLocker, encriptación por archivo, Seguridad en la Capa de Transporte (TLS, de acuerdo con sus siglas en inglés) e Internet Protocol Security (IPsec).
• Tu control sobre tus datos se refuerza con el compromiso de Microsoft para cumplir con las leyes de privacidad de aplicación general, como el RGPD, y estándares de privacidad, como el ISO/IEC 27018, el primer código de prácticas internacional del mundo para privacidad en la nube.
• A nivel de contenido al que se accede por medio de plugins para Copilot para Microsoft 365, la encriptación puede excluir el acceso programático, limitando así el acceso al contenido del plugin.

A nivel de residencia del tratamiento de los datos tratados por la IA, es muy posible que muchos usuarios europeos tengan reparos. Por el hecho, más concretamente, de que pueda establecerse fuera de la Unión Europea. En este sentido, Microsoft ya ha dejado claro que, en el caso de clientes europeos, Copilot para Microsoft 365 se presta dentro de las fronteras de la UE. Clientes de otras partes del globo, en este caso, pueden ver cómo sus datos se procesan en la UE, Estados Unidos u otras regiones del planeta.

Cómo podemos ayudarte desde AWERTY

A lo largo de estas líneas te hemos explicado los principales factores de seguridad en Copilot para Microsoft 365 y cómo se garantizan la privacidad y confidencialidad de tus datos. Si estas interesado en acceder a esta tecnología, puedes hacerlo a través de algunos de los múltiples packs de Microsoft 365 que ponemos a tu alcance desde AWERTY. No obstante, si tienes alguna duda o pregunta que aún desees plantearnos, puedes ponerte en contacto con nosotros. Estaremos encantados de darte todas las respuestas que necesites. Sin compromiso.

Ante todo, queremos convertirnos en tu partner tecnológico de referencia. Ayudarte y guiarte para que puedas aprovechar al máximo todo lo que la transformación digital puede hacer para modernizar tu negocio. Nuestros más de 25 años de experiencia en el sector de las Tecnologías de la Información y la satisfacción de nuestros más de 2.500 clientes son nuestras mejores cartas de presentación.