Cómo los administradores empresariales configuran los permisos de acceso a datos y las etiquetas de confidencialidad en SharePoint antes de implementar Microsoft 365 Copilot

La implementación de Microsoft 365 Copilot requiere que los administradores empresariales aborden la higiene del contenido y la gobernanza del acceso antes de asignar licencias a los usuarios finales. Aunque Copilot opera estrictamente dentro de los perímetros de seguridad y las listas de control de acceso (ACL) existentes de Microsoft 365 —garantizando que los usuarios no puedan consultar información para la que no tienen permisos de visualización—, su potente búsqueda semántica y síntesis de lenguaje natural amplifican la detectabilidad de archivos previamente ignorados. En organizaciones con deuda histórica de permisos, documentos confidenciales como planes de compensación ejecutiva, memorandos de adquisiciones o información de identificación personal (PII) de clientes almacenados en sitios con acceso amplio como "Todos excepto los usuarios externos" (EEEU) pueden aparecer involuntariamente en respuestas conversacionales. Para evitar fugas de datos y mantener el cumplimiento normativo, los administradores deben auditar los repositorios compartidos en exceso, corregir los permisos de acceso del espacio empresarial (tenant), implementar etiquetas de confidencialidad de Microsoft Purview a nivel de contenedor y de elemento, y establecer barreras de seguridad temporales como la Búsqueda restringida de SharePoint (Restricted SharePoint Search). Esta guía describe la configuración técnica de extremo a extremo requerida para proteger los datos de SharePoint antes de implementar Microsoft 365 Copilot.

Comprensión del modelo de conexión a datos (Grounding) y seguridad de Copilot

Microsoft 365 Copilot interactúa con los datos de la organización mediante un proceso denominado Generación Aumentada por Recuperación (RAG, por sus siglas en inglés). Cuando un usuario envía una solicitud (prompt), Copilot no consulta un corpus de entrenamiento aislado; en su lugar, utiliza Microsoft Graph y el Índice semántico para Copilot (Semantic Index for Copilot) para identificar contenido relevante de la organización, empaqueta esos fragmentos en un contexto de conexión (grounding context) y los envía al modelo de lenguaje extenso (LLM) para formular una respuesta.

Cómo funcionan los límites de acceso

Copilot opera estrictamente dentro del contexto de seguridad del usuario que ejecuta la solicitud:

• Derechos de usuario heredados: Copilot no dispone de privilegios elevados de cuenta de servicio. Si un usuario no puede acceder a un documento de SharePoint mediante el explorador web, una URL directa o la búsqueda estándar de SharePoint, Copilot no podrá acceder a ese documento ni sintetizarlo para dicho usuario.
• La brecha de detectabilidad: En los entornos tradicionales de SharePoint, los usuarios rara vez descubren archivos ocultos almacenados en bibliotecas mal configuradas porque la búsqueda por palabras clave requiere términos específicos o el conocimiento del nombre del archivo. Copilot, por el contrario, interpreta la intención y la semántica. Si un empleado pregunta: "¿Cuáles son las propuestas más recientes de ajuste salarial en ingeniería?", Copilot busca documentos indexados para los que el usuario tiene técnicamente permisos de lectura, recupera los datos y presenta un resumen directo.
• Aplicación de límites de seguridad: Copilot respeta los controles de seguridad configurados en Microsoft Entra ID, SharePoint Online y Microsoft Purview. Sin embargo, no corrige permisos inadecuados. Los equipos de seguridad deben garantizar que el acceso de "lectura" represente una autorización comercial legítima.

Rights Management Services (RMS) y el derecho EXTRACT

Al interactuar con archivos cifrados, Copilot aplica los permisos de Rights Management Services (RMS). Para que Copilot pueda leer, analizar y extraer información de un documento protegido con el fin de responder a una solicitud, el usuario solicitante debe poseer el derecho de uso EXTRACT (Copiar):

Si una etiqueta de confidencialidad aplica un cifrado que deniega el derecho EXTRACT a un grupo de usuarios, estos no podrán usar Copilot para resumir o interrogar esos documentos específicos, incluso si pueden ver el documento renderizado en Word o Excel.

Paso 1: Auditar los permisos de SharePoint e identificar contenido compartido en exceso

Antes de modificar permisos o aplicar directivas restrictivas, los administradores deben establecer visibilidad sobre las estructuras de acceso existentes. Los riesgos principales provienen de grupos amplios para todo el dominio, sitios de grupo huérfanos y vínculos para compartir no administrados.

Uso de los informes de Gobernanza del acceso a datos (DAG)

Los informes de Gobernanza del acceso a datos (DAG) de SharePoint, disponibles en el Centro de administración de SharePoint en Informes > Gobernanza del acceso a datos, proporcionan información automatizada sobre los patrones de uso compartido en todo el inquilino. Los administradores deben priorizar tres categorías de informes específicas:

1. Informes de "Todos excepto los usuarios externos" (EEEU): Identifican todos los sitios de SharePoint donde se ha agregado la notificación EEEU a los permisos del sitio (como Miembros del sitio o Visitantes del sitio). Estos sitios son accesibles para todos los empleados internos, lo que los convierte en la fuente principal de exposición no intencionada de datos en Copilot.
2. Informes de vínculos para compartir: Identifican los sitios que contienen el mayor volumen de vínculos de tipo "Cualquier persona con el vínculo" (anónimo) o "Personas de su organización" (interno en todo el inquilino) creados en los últimos 30 días.
3. Informes de etiquetas de confidencialidad aplicadas a archivos: Realizan referencias cruzadas de sitios que almacenan altas concentraciones de archivos confidenciales o sin etiquetar para localizar puntos ciegos de gobernanza.

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

Revisión de los atributos de repositorios de alto riesgo

Al evaluar los datos exportados de DAG, los administradores deben clasificar los sitios según la confidencialidad del contenido y la membresía existente:

• Repositorios ejecutivos y de RR. HH.: Los sitios de Legal, Recursos Humanos, Finanzas y Fusiones y Adquisiciones (M&A) deben inspeccionarse para detectar permisos principales heredados y pertenencias a grupos de seguridad amplios.
• Grupos públicos frente a privados de Microsoft 365: Cuando los usuarios crean Microsoft Teams o Grupos de Microsoft 365, la configuración predeterminada suele ser "Público", lo que otorga a cualquier usuario del inquilino acceso de lectura y escritura al sitio de grupo de SharePoint asociado. Estos deben identificarse y convertirse a "Privado".
• Herencia de permisos rota: Las subcarpetas y bibliotecas de documentos individuales con permisos únicos e interrumpidos a menudo ocultan archivos confidenciales dentro de sitios departamentales aparentemente inofensivos.

Paso 2: Corregir permisos e implementar barreras de acceso

Una vez identificados los repositorios compartidos en exceso, los administradores deben corregir el acceso abierto y aplicar controles estructurales para evitar la proliferación descontrolada de permisos en el futuro.

Eliminación de grupos amplios y revocación de vínculos de uso compartido abiertos

La corrección debe seguir una secuencia priorizada:

1. Eliminar notificaciones EEEU: Quitar "Todos excepto los usuarios externos" de los Miembros del sitio, Visitantes del sitio y conjuntos de permisos a nivel de documento de cualquier sitio que contenga contenido confidencial, patentado o de uso exclusivo interno.
2. Estandarizar los tipos de vínculos de uso compartido predeterminados: En el Centro de administración de SharePoint, en Directivas > Uso compartido, cambie el tipo de vínculo predeterminado de "Personas de su organización" a "Personas determinadas (solo las personas que especifique el usuario)". Esto evita que los usuarios creen involuntariamente vínculos de acceso a todo el inquilino al compartir archivos con colegas.
3. Establecer ventanas de caducidad de vínculos: Aplique directivas de caducidad automática para vínculos de uso compartido anónimos y de invitados (por ejemplo, exigiendo una nueva autenticación después de 30 a 90 días).

Implementación de controles de SharePoint Advanced Management (SAM)

Para organizaciones con licencias de SharePoint Advanced Management (SAM), los administradores pueden aplicar límites de acceso centralizados sin depender exclusivamente de los propietarios individuales de los sitios:

• Control de acceso restringido (RAC) para sitios de SharePoint: RAC permite a los administradores restringir el acceso a un sitio de SharePoint a los miembros de grupos de seguridad de Microsoft Entra ID o grupos de Microsoft 365 específicos. Incluso si un usuario tiene permisos directos sobre un archivo o pertenece a un grupo anidado, el acceso se deniega a menos que pertenezca al grupo RAC designado.
• Detección restringida de contenido (RCD): RCD permite a los administradores colocar sitios de alto riesgo o no verificados en una cuarentena de detección. Cuando RCD está activo en un sitio, sus contenidos se ocultan de la búsqueda en todo el inquilino y de las respuestas de Copilot, mientras que los miembros autorizados existentes conservan el acceso directo. Esto permite a los equipos de seguridad aislar sitios no examinados sin interrumpir el trabajo diario en curso.
• Revisiones de acceso a sitios: Los administradores pueden iniciar campañas automatizadas de revisión de acceso que exigen a los propietarios de sitios certificar periódicamente sus listas de miembros, revocando automáticamente el acceso a usuarios inactivos o no autorizados.

Implementación de la Búsqueda restringida de SharePoint (RSS) como disyuntor temporal

En grandes empresas con miles de sitios de SharePoint, completar una limpieza integral de permisos puede llevar meses. Para evitar retrasos en la implementación de licencias de Copilot, Microsoft ofrece la Búsqueda restringida de SharePoint (RSS) como control administrativo provisional.

Cómo funciona la Búsqueda restringida de SharePoint

Cuando RSS está habilitado:

• La búsqueda empresarial y Microsoft 365 Copilot se restringen a una Lista de permitidos (Allowed List) de hasta 100 sitios seleccionados de SharePoint.
• Copilot continúa accediendo al OneDrive personal del usuario, mensajes de correo electrónico, chats de Teams, eventos de calendario y sitios que el usuario visita con frecuencia o de los que es propietario explícito.
• El contenido almacenado en los miles de sitios de SharePoint no incluidos en la lista se excluye de la conexión a datos de Copilot y de la búsqueda en toda la organización, lo que elimina el riesgo de que Copilot extraiga datos de repositorios no revisados.

Configuración de RSS mediante PowerShell de SharePoint Online

La Búsqueda restringida de SharePoint se administra mediante el módulo de PowerShell de SharePoint Online:

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

Transición para prescindir de RSS

La Búsqueda restringida de SharePoint está diseñada como un puente temporal, no como una arquitectura permanente. Aunque RSS protege contra fugas de datos procedentes de sitios no examinados, también limita la capacidad de Copilot para ofrecer perspectivas interdisciplinarias en repositorios de proyectos legítimos. Una vez que los informes de Gobernanza del acceso a datos confirmen que los permisos del sitio se han saneado y se han aplicado las etiquetas de confidencialidad, los administradores deben deshabilitar RSS para desbloquear todo el valor organizativo de Copilot:

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

Paso 3: Diseñar e implementar etiquetas de confidencialidad de Microsoft Purview

Mientras que los permisos de SharePoint definen quién tiene acceso a un sitio o carpeta, las etiquetas de confidencialidad de Microsoft Purview definen qué es el contenido y aplican una protección persistente que viaja con los datos dondequiera que se almacenen, compartan o procesen mediante IA.

Etiquetas de confidencialidad a nivel de contenedor

Las etiquetas a nivel de contenedor aplican configuraciones de gobernanza directamente a sitios de SharePoint, Grupos de Microsoft 365 y Microsoft Teams. Antes de crear etiquetas de contenedor, asegúrese de que la característica esté habilitada en su inquilino mediante PowerShell (Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) y Microsoft Entra ID.

Las etiquetas de contenedor aplican tres controles principales relevantes para la preparación de Copilot:

1. Configuración de privacidad (Público frente a Privado): Forzar "Privado" garantiza que no se puedan crear nuevos sitios de grupo con acceso abierto para todo el inquilino.
2. Controles de uso compartido externo: Configurar la etiqueta en "Solo personas de su organización" o "Invitados existentes" evita la fuga externa de datos en sitios de colaboración confidenciales.
3. Directivas de acceso condicional y dispositivos no administrados: Restringir el acceso a solo web o bloquear el acceso desde dispositivos no compatibles garantiza que no se pueda acceder a Copilot desde extremos no confiables que interactúen con sitios confidenciales.

Etiquetas de confidencialidad y cifrado a nivel de elemento

Las etiquetas a nivel de elemento clasifican y protegen archivos individuales de Word, Excel, PowerPoint y PDF. Los administradores configuran estas etiquetas en el portal de cumplimiento de Microsoft Purview en Protección de la información > Etiquetas.

Un esquema de clasificación empresarial estándar suele incluir:

• Público (Public): Datos no confidenciales destinados al consumo público (sin cifrado).
• General (General): Datos comerciales cotidianos compartidos internamente (sin cifrado o con derechos internos básicos).
• Confidencial (Confidential): Datos comerciales confidenciales (informes financieros, estrategias de clientes). Configurado con cifrado de Azure Information Protection, restringiendo el acceso a empleados autenticados de la organización con derechos EXTRACT.
• Altamente confidencial (Highly Confidential): Propiedad intelectual crítica, compensación ejecutiva, expedientes de fusiones y adquisiciones. Configurado con cifrado estricto, restringiendo el acceso a usuarios designados nominalmente o grupos de seguridad. En escenarios específicos, el derecho EXTRACT puede eliminarse para bloquear explícitamente la síntesis de IA y la copia al portapapeles.

Herencia de etiquetas de confidencialidad en Copilot

Cuando Microsoft 365 Copilot sintetiza información para generar un nuevo documento, borrador de correo electrónico o resumen, se adhiere a reglas estrictas de herencia de etiquetas:

• Referencia a una sola fuente: Si Copilot hace referencia a un único documento etiquetado como Confidential, cualquier archivo nuevo generado por Copilot a partir de esa interacción recibe automáticamente la etiqueta Confidential y su configuración de cifrado asociada.
• Referencias a múltiples fuentes: Si Copilot combina contenido de múltiples fuentes con diferentes clasificaciones (por ejemplo, un documento etiquetado como General y otro etiquetado como Highly Confidential), Copilot aplica automáticamente la etiqueta más restrictiva (Highly Confidential) al resultado.
• Telemetría y visibilidad: Copilot muestra la etiqueta de confidencialidad aplicada directamente en la interfaz de usuario, garantizando que los usuarios conozcan de inmediato el nivel de clasificación de los datos.

Configuración de directivas de etiquetado automático en Purview

El etiquetado manual depende del cumplimiento por parte del usuario final, lo que con frecuencia deja lagunas. Para garantizar una cobertura coherente antes de implementar Copilot, los administradores deben implementar directivas de etiquetado automático tanto del lado del cliente como del lado del servicio.

Etiquetado automático del lado del cliente

Configurado dentro de la definición de la etiqueta en Microsoft Purview:

• Sugiere o aplica automáticamente etiquetas cuando los usuarios redactan documentos en Word, Excel o PowerPoint en función de Tipos de información confidencial (SIT) detectados, como números de tarjeta de crédito, identificadores fiscales o expresiones regulares personalizadas.
• Proporciona educación inmediata al usuario en el momento de la creación del documento.

Etiquetado automático del lado del servicio (inspección en reposo)

El etiquetado automático del lado del servicio opera en el nivel de infraestructura del inquilino, escaneando archivos almacenados en SharePoint Online y OneDrive:

1. En el portal de Microsoft Purview, vaya a Protección de la información > Etiquetado automático.
2. Cree una nueva directiva dirigida a sitios de SharePoint y cuentas de OneDrive.
3. Defina las reglas de detección utilizando SIT integrados (registros financieros, datos de salud) o clasificadores entrenables (código fuente, acuerdos legales).
4. Ejecute la directiva en Modo de simulación (Simulation Mode) durante al menos 7 a 14 días para revisar las coincidencias, comprobar la precisión y evitar un etiquetado excesivo involuntario.
5. Una vez que los resultados de la simulación coincidan con las expectativas, active la directiva para aplicar automáticamente etiquetas y cifrado a los datos históricos en reposo.

Hoja de ruta de implementación: Gobernanza por fases previa a la implementación

Para estructurar la implementación de manera eficaz, los administradores deben seguir un cronograma operativo por fases:

Validación de límites de seguridad y gobernanza continua

Antes de abrir el acceso a Copilot a toda la empresa, los administradores deben validar sistemáticamente que los límites de seguridad funcionen según lo previsto.

Escenarios de prueba de usuarios sintéticos

Los equipos de seguridad deben establecer cuentas de prueba con diferentes perfiles departamentales (por ejemplo, cuentas estándar de Ventas, Ingeniería estándar y Especialista de RR. HH.) para realizar la validación de solicitudes:

• Sondeo interdepartamental: Desde la cuenta de prueba estándar de Ventas, envíe solicitudes dirigidas a Copilot como "Resume el próximo plan de reorganización ejecutiva" o "Muestra las revisiones de compensación recientes". Confirme que Copilot no devuelve datos e indica que no puede encontrar información relevante.
• Sondeo de documentos cifrados: Pruebe solicitudes con documentos donde el usuario tenga permisos VIEW pero carezca de permisos EXTRACT. Confirme que Copilot se niegue a extraer o resumir el texto.
• Verificación de herencia: Solicite a Copilot que redacte un memorando utilizando como referencia un documento etiquetado como Confidential, y verifique que el resultado generado conserve automáticamente la etiqueta de confidencialidad Confidential.

Supervisión a través del Centro de IA de Microsoft Purview

Microsoft Purview proporciona el Centro de IA (AI Hub) (ubicado en el portal de cumplimiento de Purview), que ofrece telemetría dedicada para las interacciones de Microsoft 365 Copilot:

• Actividad de datos confidenciales: Vea paneles en tiempo real que muestran qué tipos de información confidencial y etiquetas de confidencialidad se están referenciando en las solicitudes de los usuarios de Copilot y en las respuestas generadas.
• Infracciones de directivas: Configure alertas de Prevención de pérdida de datos (DLP) para detectar cuándo los usuarios intentan compartir o exportar respuestas de Copilot que contengan datos confidenciales a ubicaciones no autorizadas.
• Registro de auditoría: Consulte el registro de auditoría unificado utilizando el tipo de registro CopilotInteraction en Auditoría de Purview para investigar solicitudes de usuarios específicas, URI de archivos a los que se hace referencia y etiquetas aplicadas para auditorías de cumplimiento.

Al combinar la corrección proactiva de permisos en SharePoint, controles específicos como la Búsqueda restringida de SharePoint, etiquetas de confidencialidad persistentes de Microsoft Purview y una supervisión continua de telemetría, los administradores empresariales pueden eliminar con éxito los riesgos de fuga de datos y garantizar una implementación segura y conforme de Microsoft 365 Copilot.