Como os administradores corporativos configuram permissões de acesso a dados e rótulos de confidencialidade no SharePoint antes de implantar o Microsoft 365 Copilot

A implantação do Microsoft 365 Copilot exige que os administradores corporativos cuidem da higienização do conteúdo e da governança de acesso antes de conceder licenças aos usuários finais. Embora o Copilot opere estritamente dentro dos perímetros de segurança e das listas de controle de acesso (ACLs) existentes do Microsoft 365 — garantindo que os usuários não possam consultar informações para as quais não têm permissão de visualização —, sua poderosa pesquisa semântica e síntese de linguagem natural amplificam a descoberta de arquivos anteriormente esquecidos. Em organizações com dívida histórica de permissões, documentos confidenciais como planos de remuneração de executivos, memorandos de aquisição ou informações de identificação pessoal (PII) de clientes armazenados em sites com acesso amplo, como "Todos, exceto usuários externos" (EEEU), podem surgir involuntariamente em respostas conversacionais. Para evitar vazamento de dados e manter a conformidade, os administradores devem auditar repositórios compartilhados em excesso, corrigir as permissões de acesso do locatário (tenant), implantar rótulos de sensibilidade do Microsoft Purview em nível de contêiner e de item e estabelecer proteções temporárias, como a Pesquisa Restrita do SharePoint (Restricted SharePoint Search). Este guia descreve a configuração técnica de ponta a ponta necessária para proteger os dados do SharePoint antes do lançamento do Microsoft 365 Copilot.

Compreendendo o modelo de fundamentação (Grounding) e segurança do Copilot

O Microsoft 365 Copilot interage com os dados organizacionais por meio de um processo conhecido como Geração Aumentada de Recuperação (RAG, na sigla em inglês). Quando um usuário envia um prompt, o Copilot não consulta um corpus de treinamento isolado; em vez disso, ele usa o Microsoft Graph e o Índice Semântico para Copilot (Semantic Index for Copilot) para identificar conteúdo organizacional relevante, empacota esses trechos em um contexto de fundamentação (grounding context) e os encaminha ao modelo de linguagem grande (LLM) para formular uma resposta.

Como operam os limites de acesso

O Copilot opera estritamente dentro do contexto de segurança do usuário que executa o prompt:

• Direitos de usuário herdados: O Copilot não possui privilégios elevados de conta de serviço. Se um usuário não puder acessar um documento do SharePoint por meio do navegador da Web, de uma URL direta ou da pesquisa padrão do SharePoint, o Copilot não poderá acessar nem sintetizar esse documento para esse usuário.
• A lacuna de descoberta: Nos ambientes tradicionais do SharePoint, os usuários raramente descobrem arquivos obscuros armazenados em bibliotecas mal configuradas porque a pesquisa por palavras-chave requer termos específicos ou conhecimento prévio do nome do arquivo. O Copilot, por outro lado, interpreta a intenção e a semântica. Se um funcionário perguntar: "Quais são as propostas mais recentes de ajuste salarial na engenharia?", o Copilot pesquisa documentos indexados aos quais o usuário tem permissão técnica de leitura, recupera os dados e apresenta um resumo direto.
• Aplicação de limites de segurança: O Copilot respeita os controles de segurança configurados no Microsoft Entra ID, SharePoint Online e Microsoft Purview. No entanto, ele não corrige permissões inadequadas. As equipes de segurança devem garantir que o acesso de "leitura" represente uma autorização comercial real.

Serviços de Gerenciamento de Direitos (RMS) e o direito EXTRACT

Ao interagir com arquivos criptografados, o Copilot impõe as permissões dos Serviços de Gerenciamento de Direitos (RMS). Para que o Copilot possa ler, analisar e extrair informações de um documento protegido para responder a um prompt, o usuário solicitante deve possuir o direito de uso EXTRACT (Copiar):

Se um rótulo de sensibilidade aplicar criptografia que negue o direito EXTRACT a um grupo de usuários, esses usuários não poderão usar o Copilot para resumir ou interrogar esses documentos específicos, mesmo que consigam visualizar o documento renderizado no Word ou no Excel.

Etapa 1: Auditar permissões do SharePoint e identificar conteúdo compartilhado em excesso

Antes de modificar permissões ou aplicar políticas restritivas, os administradores devem estabelecer visibilidade sobre as estruturas de acesso existentes. Os principais riscos decorrem de grupos amplos em todo o domínio, sites de equipe órfãos e links de compartilhamento não gerenciados.

Utilizando relatórios de Governança de Acesso a Dados (DAG)

Os relatórios de Governança de Acesso a Dados (DAG) do SharePoint, disponíveis no Centro de administração do SharePoint em Relatórios > Governança de acesso a dados, fornecem insights automatizados sobre os padrões de compartilhamento em todo o locatário. Os administradores devem priorizar três categorias de relatório específicas:

1. Relatórios de "Todos, exceto usuários externos" (EEEU): Identificam todos os sites do SharePoint em que a declaração EEEU foi adicionada às permissões do site (como Membros do site ou Visitantes do site). Esses sites ficam acessíveis a todos os funcionários internos, tornando-se a principal fonte de exposição não intencional de dados no Copilot.
2. Relatórios de links de compartilhamento: Identificam os sites com o maior volume de links de compartilhamento do tipo "Qualquer pessoa com o link" (anônimo) ou "Pessoas na sua organização" (interno em todo o locatário) criados nos últimos 30 dias.
3. Relatórios de rótulos de sensibilidade aplicados a arquivos: Cruzam dados de sites que armazenam grandes concentrações de arquivos não rotulados ou confidenciais para apontar pontos cegos de governança.

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

Revisando atributos de repositórios de alto risco

Ao avaliar os dados exportados pelo DAG, os administradores devem categorizar os sites com base na sensibilidade do conteúdo e na associação existente:

• Repositórios executivos e de RH: Os sites de Jurídico, RH, Finanças e M&A devem ser inspecionados quanto a permissões pai herdadas e associações a grupos de segurança amplos.
• Grupos públicos vs. privados do Microsoft 365: Quando os usuários criam o Microsoft Teams ou Grupos do Microsoft 365, a configuração padrão geralmente é "Público", concedendo a qualquer usuário do locatário acesso de leitura e gravação ao site de equipe do SharePoint associado. Eles devem ser identificados e convertidos para "Privado".
• Herança de permissão quebrada: Subpastas e bibliotecas de documentos individuais com permissões exclusivas e quebradas frequentemente ocultam arquivos confidenciais dentro de sites departamentais aparentemente inofensivos.

Etapa 2: Corrigir permissões e implementar proteções de acesso

Assim que os repositórios compartilhados em excesso forem identificados, os administradores devem remediar o acesso aberto e aplicar controles estruturais para evitar a proliferação de permissões no futuro.

Eliminando grupos amplos e revogando links de compartilhamento abertos

A correção deve seguir uma sequência priorizada:

1. Remover declarações EEEU: Remover "Todos, exceto usuários externos" dos Membros do site, Visitantes do site e conjuntos de permissões em nível de documento de qualquer site que contenha conteúdo confidencial, proprietário ou de uso exclusivamente interno.
2. Padronizar tipos padrão de links de compartilhamento: No Centro de administração do SharePoint, em Políticas > Compartilhamento, altere o tipo padrão de link de compartilhamento de "Pessoas na sua organização" para "Pessoas específicas (apenas as pessoas especificadas pelo usuário)". Isso evita que os usuários criem inadvertidamente links de acesso para todo o locatário ao compartilhar arquivos com colegas.
3. Definir períodos de expiração de links: Aplique políticas de expiração automática para links de compartilhamento anônimos e de convidados (por exemplo, exigindo nova autenticação após 30 a 90 dias).

Implantando controles do SharePoint Advanced Management (SAM)

Para organizações com licenças do SharePoint Advanced Management (SAM), os administradores podem aplicar limites de acesso centralizados sem depender exclusivamente dos proprietários individuais dos sites:

• Controle de Acesso Restrito (RAC) para sites do SharePoint: O RAC permite que os administradores restrinjam o acesso a um site do SharePoint a membros de grupos de segurança do Microsoft Entra ID ou grupos do Microsoft 365 especificados. Mesmo que um usuário individual tenha permissões diretas de arquivo ou pertença a um grupo aninhado, o acesso será negado, a menos que ele pertença ao grupo RAC designado.
• Descoberta Restrita de Conteúdo (RCD): O RCD permite que os administradores coloquem sites de alto risco ou não verificados em quarentena de descoberta. Quando o RCD está ativo em um site, seu conteúdo fica oculto da pesquisa em todo o locatário e das respostas do Copilot, enquanto os membros autorizados existentes mantêm o acesso direto. Isso permite que as equipes de segurança isolem sites não verificados sem interromper o trabalho diário em andamento.
• Revisões de Acesso ao Site: Os administradores podem iniciar campanhas automatizadas de revisão de acesso que exigem que os proprietários dos sites confirmem periodicamente suas listas de membros, revogando automaticamente o acesso de usuários inativos ou não autorizados.

Implementando a Pesquisa Restrita do SharePoint (RSS) como um disjuntor temporário

Em grandes empresas com milhares de sites do SharePoint, concluir uma limpeza abrangente de permissões pode levar meses. Para evitar atrasos na liberação de licenças do Copilot, a Microsoft fornece a Pesquisa Restrita do SharePoint (RSS) como um controle administrativo provisório.

Como funciona a Pesquisa Restrita do SharePoint

Quando a RSS está habilitada:

• A pesquisa corporativa e o Microsoft 365 Copilot ficam restritos a uma Lista de Permitidos (Allowed List) de até 100 sites selecionados do SharePoint.
• O Copilot continua acessando o OneDrive pessoal do usuário, mensagens de email, chats do Teams, eventos de calendário e sites que o usuário visita com frequência ou dos quais é proprietário explícito.
• O conteúdo armazenado nos milhares de sites do SharePoint não selecionados é excluído da fundamentação do Copilot e da pesquisa em toda a organização, eliminando o risco de o Copilot extrair dados de repositórios não auditados.

Configurando a RSS por meio do PowerShell do SharePoint Online

A Pesquisa Restrita do SharePoint é gerenciada usando o módulo PowerShell do SharePoint Online:

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

Transição para desativar a RSS

A Pesquisa Restrita do SharePoint foi projetada como uma ponte temporária, não como uma arquitetura permanente. Embora a RSS proteja contra o vazamento de dados de sites não verificados, ela também limita a capacidade do Copilot de fornecer insights multifuncionais em repositórios de projetos legítimos. Assim que os relatórios de Governança de Acesso a Dados confirmarem que as permissões dos sites foram saneadas e os rótulos de sensibilidade estiverem em vigor, os administradores deverão desabilitar a RSS para liberar todo o valor organizacional do Copilot:

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

Etapa 3: Projetar e implantar rótulos de sensibilidade do Microsoft Purview

Enquanto as permissões do SharePoint definem quem tem acesso a um site ou pasta, os rótulos de sensibilidade do Microsoft Purview definem o que é o conteúdo e impõem uma proteção persistente que viaja com os dados onde quer que sejam armazenados, compartilhados ou processados pela IA.

Rótulos de sensibilidade em nível de contêiner

Os rótulos em nível de contêiner aplicam configurações de governança diretamente a sites do SharePoint, Grupos do Microsoft 365 e Microsoft Teams. Antes de criar rótulos de contêiner, verifique se o recurso está habilitado em seu locatário via PowerShell (Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) e Microsoft Entra ID.

Os rótulos de contêiner impõem três controles principais relevantes para a prontidão do Copilot:

1. Configurações de privacidade (Público vs. Privado): Forçar "Privado" garante que novos sites de equipe não possam ser criados com acesso aberto a todo o locatário.
2. Controles de compartilhamento externo: Definir o rótulo como "Apenas pessoas da sua organização" ou "Convidados existentes" evita o vazamento externo de dados em sites de colaboração confidenciais.
3. Políticas de Acesso Condicional e dispositivos não gerenciados: Restringir o acesso apenas à Web ou bloquear o acesso de dispositivos fora de conformidade garante que o Copilot não possa ser acessado a partir de endpoints não confiáveis que interajam com sites confidenciais.

Rótulos de sensibilidade e criptografia em nível de item

Os rótulos em nível de item classificam e protegem arquivos individuais do Word, Excel, PowerPoint e PDF. Os administradores configuram esses rótulos no portal de conformidade do Microsoft Purview em Proteção de informações > Rótulos.

Um esquema padrão de classificação corporativa normalmente inclui:

• Público (Public): Dados não confidenciais destinados ao consumo público (sem criptografia).
• Geral (General): Dados de negócios cotidianos compartilhados internamente (sem criptografia ou com direitos internos básicos).
• Confidencial (Confidential): Dados de negócios confidenciais (relatórios financeiros, estratégias de clientes). Configurado com criptografia do Azure Information Protection, restringindo o acesso a funcionários autenticados da organização com direitos EXTRACT.
• Altamente Confidencial (Highly Confidential): Propriedade intelectual crítica, remuneração de executivos, registros de M&A. Configurado com criptografia estrita, restringindo o acesso a usuários nomeados específicos ou grupos de segurança. Em cenários específicos, o direito EXTRACT pode ser removido para bloquear explicitamente a síntese por IA e a cópia para a área de transferência.

Herança de rótulos de sensibilidade no Copilot

Quando o Microsoft 365 Copilot sintetiza informações para gerar um novo documento, rascunho de email ou resumo, ele segue regras rígidas de herança de rótulos:

• Referência a uma única fonte: Se o Copilot fizer referência a um único documento rotulado como Confidential, qualquer novo arquivo gerado pelo Copilot a partir dessa interação receberá automaticamente o rótulo Confidential e suas configurações de criptografia associadas.
• Referências a várias fontes: Se o Copilot combinar conteúdo de várias fontes com classificações distintas (por exemplo, um documento rotulado como General e outro rotulado como Highly Confidential), o Copilot aplicará automaticamente o rótulo mais restritivo (Highly Confidential) à saída.
• Telemetria e visibilidade: O Copilot exibe o rótulo de sensibilidade aplicado diretamente na interface do usuário, garantindo que os usuários estejam cientes imediatamente do nível de classificação dos dados.

Configurando políticas de rotulagem automática do Purview

A rotulagem manual depende da conformidade do usuário final, o que frequentemente deixa lacunas. Para garantir uma cobertura consistente antes de implantar o Copilot, os administradores devem implementar políticas de rotulagem automática tanto no lado do cliente quanto no lado do serviço.

Rotulagem automática no lado do cliente

Configurada dentro da definição do rótulo no Microsoft Purview:

• Recomenda ou aplica rótulos automaticamente quando os usuários criam documentos no Word, Excel ou PowerPoint com base em Tipos de Informações Confidenciais (SITs) detectados, como números de cartão de crédito, identificadores fiscais ou expressões regulares personalizadas.
• Fornece orientação imediata ao usuário no momento da criação do documento.

Rotulagem automática no lado do serviço (inspeção em repouso)

A rotulagem automática no lado do serviço opera no nível da infraestrutura do locatário, verificando arquivos armazenados no SharePoint Online e no OneDrive:

1. No portal do Microsoft Purview, navegue até Proteção de informações > Rotulagem automática.
2. Crie uma nova política direcionada a sites do SharePoint e contas do OneDrive.
3. Defina as regras de detecção usando SITs internos (registros financeiros, dados de saúde) ou Classificadores Treináveis (código-fonte, contratos legais).
4. Execute a política no Modo de Simulação (Simulation Mode) por pelo menos 7 a 14 dias para revisar as correspondências, verificar a precisão e evitar rotulagem excessiva não intencional.
5. Quando os resultados da simulação corresponderem às expectativas, ative a política para aplicar automaticamente rótulos e criptografia aos dados históricos em repouso.

Roteiro de implementação: Governança em fases pré-implantação

Para estruturar a implementação de maneira eficaz, os administradores devem seguir um cronograma operacional em fases:

Validando limites de segurança e governança contínua

Antes de liberar o acesso ao Copilot para toda a empresa, os administradores devem validar sistematicamente se os limites de segurança estão funcionando conforme o esperado.

Cenários de teste com usuários sintéticos

As equipes de segurança devem criar contas de teste com diferentes perfis departamentais (por exemplo, contas padrão de Vendas, Engenharia padrão e Especialista de RH) para realizar a validação dos prompts:

• Sondagem interdepartamental: A partir da conta de teste padrão de Vendas, envie prompts direcionados ao Copilot, como "Resuma o próximo plano de reorganização de executivos" ou "Mostre-me as revisões salariais recentes". Confirme se o Copilot não retorna dados e indica que não consegue encontrar informações relevantes.
• Sondagem de documentos criptografados: Teste prompts em documentos nos quais o usuário possui permissões VIEW, mas não tem permissões EXTRACT. Confirme se o Copilot se recusa a extrair ou resumir o texto.
• Verificação de herança: Peça ao Copilot para redigir um memorando usando um documento com o rótulo Confidential como referência e verifique se a resposta gerada retém automaticamente o rótulo de sensibilidade Confidential.

Monitoramento por meio do Hub de IA do Microsoft Purview

O Microsoft Purview oferece o Hub de IA (AI Hub) (localizado no portal de conformidade do Purview), disponibilizando telemetria dedicada para interações com o Microsoft 365 Copilot:

• Atividade de dados confidenciais: Visualize painéis em tempo real mostrando quais tipos de informações confidenciais e rótulos de sensibilidade estão sendo referenciados nos prompts dos usuários e nas respostas geradas do Copilot.
• Violações de política: Configure alertas de Prevenção contra Perda de Dados (DLP) para detectar quando os usuários tentarem compartilhar ou exportar respostas do Copilot que contenham dados confidenciais para locais não autorizados.
• Registro em log de auditoria: Consulte o log de auditoria unificado usando o tipo de registro CopilotInteraction na Auditoria do Purview para investigar prompts de usuários específicos, URIs de arquivos referenciados e rótulos aplicados para auditoria de conformidade.

Ao combinar a correção proativa de permissões no SharePoint, controles direcionados como a Pesquisa Restrita do SharePoint, rótulos de sensibilidade persistentes do Microsoft Purview e monitoramento contínuo de telemetria, os administradores corporativos podem eliminar com sucesso os riscos de vazamento de dados e garantir uma implantação segura e em conformidade do Microsoft 365 Copilot.