企業 IT 管理員如何為 Microsoft Copilot 設定企業資料保護

企業 IT 管理員可以透過設定 企業資料保護（Enterprise Data Protection，簡稱 EDP），結合 Microsoft Entra ID 身分識別驗證與 Microsoft 365 管理原則，徹底消除企業對話外洩、未經授權留存以及被用於基礎大型語言模型訓練的疑慮。

企業資料保護（前身為「商業資料保護」Commercial Data Protection，即 CDP）是一項內建且無須額外付費的安全承諾。只要合格的企業員工使用所屬組織的 Microsoft Entra ID（前稱 Azure AD）工作或學校帳戶登入，系統便會自動套用 EDP。在 EDP 機制下，員工輸入的提示（Prompts）與系統產生的回覆（Responses）皆嚴格保存在組織的 Microsoft 365 租用戶（Tenant）合規界限內部，並實施待機與傳輸中加密，在合約與技術架構上均嚴格禁止用於定型微軟或 OpenAI 的基礎 AI 模型。

然而，此資料保護機制與使用者的登入身分高度綁定：若員工在未登入狀態或使用個人微軟帳戶（MSA）使用 Copilot，對話將自動切換至消費者條款，帶來資料可能被快取或用於模型調優的風險。因此，IT 管理員必須系統性地落實身分驗證強制、瀏覽器原則鎖定、連網檢索控制與 Microsoft Purview 合規稽核。

1. 企業資料保護（EDP）的核心防護架構

根據使用者的登入身分不同，Microsoft Copilot 在法律規範與底層資料架構上遵循兩種完全不同的運作機制：

EDP 的核心技術與合規保障

• 租用戶隔離與全程加密： 提示與回覆均在 Microsoft 365 服務界限內部進行處理。傳輸中採用 TLS 1.2+ 強式加密，待機資料則由 BitLocker 與服務加密金鑰妥善保護，確保租用戶之間嚴格隔離。
• 零基礎模型定型承諾： 微軟明確承諾絕不存取客戶提示、產生的內容或經由 Microsoft Graph 擷取的組織資料來定型或調整基礎 AI 模型。
• 基於 Exchange 的合規儲存架構： 企業版對話記錄儲存於使用者 Exchange Online 信箱的合規位置中，管理員可透過 Purview 設定自動清理或封存週期，並配合法規進行法律保留。
• 資料處理者法律責任（DPA）： 微軟在合約中擔任資料處理者，全面符合 GDPR、ISO/IEC 27018 以及歐盟資料界限（EU Data Boundary）之法規要求。

2. 授權資格與先決條件

企業資料保護已直接包含於多數主流 Microsoft 365 與 Office 365 商業訂閱配置中，無須額外付費加購：

• 企業方案： Microsoft 365 E3、E5、F1、F3；Office 365 E1、E3、E5、F3
• 商務方案： Microsoft 365 商務基本版（Business Basic）、商務標準版（Business Standard）、商務進階版（Business Premium）
• 教育方案： Microsoft 365 A3、A5；Office 365 A1、A3、A5（包含教職員工與合格學生授權）
• 獨立 Teams 與政府雲： Teams Enterprise、Teams Essentials 以及 GCC 租用戶

若企業進一步為使用者指派 Microsoft Copilot 授權（原 Microsoft 365 Copilot 附加授權），除了同樣享有嚴格的 EDP 保護外，還能啟用針對企業內部 SharePoint、OneDrive、電子郵件與會議記錄的 Microsoft Graph 語意檢索整合。

3. IT 管理員完整配置操作指南

為確保組織內部全面啟用安全防護，管理員需依序落實身分驗證控管、端點瀏覽器原則、連網搜尋閘道與資料生命週期原則：

+-----------------------------------------------------------------------------------+
|                            1. 身分識別與網路連線層                                 |
|  - 指派 M365 授權 -> 允許 copilot.cloud.microsoft -> 設定租用戶限制（Tenant Restrictions）|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                          2. 裝置端點與 Edge 瀏覽器原則                            |
|  - 強制瀏覽器登入（BrowserSignin = 2） -> 限制公司網域名稱（RestrictSigninToPattern）|
|  - 側邊欄頁面內容存取設定（EdgeEntraCopilotPageContext）                          |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                          3. Copilot 管理中心與原則設定                            |
|  - Microsoft 365 系統管理中心 -> 設定 Bing 連網搜尋原則（Allow web search in Copilot）|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                        4. Microsoft Purview 安全性與合規稽核                      |
|  - 自動保留與清除原則 -> 互動稽核記錄追蹤 -> 端點資料外洩防護（DLP）              |
+-----------------------------------------------------------------------------------+

第一步：強制 Entra ID 登入，杜絕個人帳戶繞道

由於 EDP 機制僅在驗證到有效的 Entra ID 權杖時啟動，IT 部門必須防止員工在公司受控裝置上使用個人微軟帳戶存取 Copilot。

1. 部署 Microsoft Edge 瀏覽器原則（Intune / GPO）

透過 Microsoft Intune 或本機群組原則編輯器設定 Microsoft Edge 系統範本：

1. 強制瀏覽器登入（BrowserSignin）：
   • 將 BrowserSignin 設定為 2（強制使用者登入以使用瀏覽器），確保每個 Edge 工作階段皆綁定明確身分。
2. 限定允許登入之電子郵件網域（RestrictSigninToPattern）：
   • 將 RestrictSigninToPattern 設定為公司電子郵件網域之規則運算式（例如：.*@yourcompany\.com）。
   • 此設定可阻止員工在瀏覽器內建立未受控的個人設定檔，或登入 @outlook.com、@gmail.com 等外部私人信箱。
3. 管理 Edge 側邊欄網頁內容存取（EdgeEntraCopilotPageContext）：
   • 設定為 Enabled（1）允許 Copilot 讀取並摘要目前的企業內部網頁或 PDF；設定為 Disabled（0）則禁止側邊欄擷取目前頁面文字。值得注意的是，受 Microsoft Purview DLP 保護的敏感頁面無論此項設定為何，皆會自動阻斷 Copilot 存取。

2. 設定 Entra ID 租用戶限制 v2（Tenant Restrictions v2）

防止員工於公司內部網路環境中連線至個人帳戶或未獲授權的外部組織租用戶：

1. 登入 Microsoft Entra 系統管理中心 > 外部身分識別 > 跨租用戶存取設定。
2. 設定 租用戶限制 v2，僅允許存取公司所屬之租用戶識別碼，阻斷未授權的外部身分驗證。

第二步：配置網路端點，維持服務通道通暢

微軟已全面將 Copilot 服務架構整合於 .cloud.microsoft 頂級網域下。

1. 放行必要端點： 確保公司防火牆、安全 Web 閘道（SWG）與 Proxy 伺服器允許通配符網域名稱：
   • *.cloud.microsoft
   • 主要存取端點：https://copilot.cloud.microsoft
2. 切勿於網路層過濾特定 Copilot 流量： 微軟強烈建議不要在網路防火牆層級針對 Copilot 特定 IP 或子 URL 進行封鎖。由於 Copilot 與 Teams、Outlook 及 Office 網頁版應用程式緊密整合，網路封包攔截常導致用戶端通訊故障。請一律採用 Microsoft 365 內建控制措施進行權限管理。

第三步：控管 Bing 搜尋網路接地與查詢匿名化

在預設狀態下，Microsoft Copilot Chat 啟用了 Web 搜尋接地功能，藉由 Bing 搜尋提供即時的公開資訊支援。

Bing 搜尋查詢的資料防護處理

當觸發連網搜尋時：

• Copilot 僅從使用者提示中提取關鍵詞彙，產生包含簡短詞彙的搜尋查詢。
• 系統會完全移除使用者識別碼（UPN）、使用者姓名、公司網域名稱與租用戶識別碼。
• 內部文件全文、郵件內容與機密附件絕不會傳送給 Bing。
• 查詢透過 HTTPS 安全連線傳送，微軟承諾不會將此查詢與廣告商共享，不會建立廣告輪廓，且絕不用於訓練基礎 AI 模型。

透過雲端原則關閉連網搜尋（選用）

若企業所屬產業受高度法規管制，要求全面禁止外部連網查詢：

1. 前往 Microsoft 365 Apps 系統管理中心（config.office.com），點選 雲端原則（Cloud Policy）。
2. 為目標使用者群組建立或修改原則設定。
3. 尋找 在 Copilot 中允許 Web 搜尋（Allow web search in Copilot） 原則：
   • 在 Microsoft Copilot 和 Microsoft Copilot Chat 中啟用： 維持標準的匿名外部搜尋支援。
   • 在 Microsoft Copilot 工作模式停用；在 Web 模式啟用： 確保內部工作模式不向外部發送查詢。
   • 在 Microsoft Copilot 和 Microsoft Copilot Chat 中停用： 全面關閉 Bing 搜尋功能。Copilot 將僅依賴現有預訓練模型權重生成答案。

管理員亦可直接在 Microsoft 365 系統管理中心 的 Copilot > 設定 頁面進行全租用戶層級的設定。

第四步：設定 Microsoft Purview 資料保留與稽核控管

在 EDP 保護下，對話資料納入租用戶 Exchange Online 之合規架構，管理員可靈活部署生命週期治理：

1. 設定保留原則（Retention Policies）：
   • 進入 Microsoft Purview 合規性入口網站 > 資料生命週期管理 > 保留原則。
   • 針對 Microsoft Copilot 使用者互動 建立保留原則。
   • 建議依據公司資安規範設定自動清除期限（如 30 天、60 天或 90 天自動銷毀），以最小化資料暴露風險；亦可依據監管要求設定法規保留期限。
2. 稽核記錄與活動追蹤：
   • 在 Microsoft Purview 稽核（Audit） 中，搜尋 CopilotInteraction 結構描述事件。
   • 稽核記錄完整呈現對話時間戳記、操作使用者、發起之應用程式以及是否觸發連網搜尋。
3. 資料外洩防護（DLP）：
   • 在 Purview 中設定端點 DLP 與 Edge DLP 原則。當開啟標記有「機密」或「高度機密」之敏感度標籤文件時，原則將自動禁止使用者將內容複製至 Copilot，並阻斷 Edge Copilot 側邊欄摘要該文件。

4. 驗證檢核清單：確認 EDP 已正確生效

完成各項原則部署後，IT 團隊與使用者可透過以下三項指標進行驗證：

1. 使用者介面外觀檢查：
   • 開啟 https://copilot.cloud.microsoft 或 Edge 側邊欄中的 Copilot。
   • 介面上方「新聊天」按鈕旁應明確顯示 綠色盾牌圖示 與 已保護（Protected） 字樣。
   • 個人頭像下方明確顯示 工作（Work） 帳戶設定檔。
   • 輸入框下方顯示安全提示文字：「此聊天中的個人和公司資料皆受到保護。」
2. 個人帳戶封鎖測試：
   • 嘗試在公司受控裝置的 Edge 中登入個人微軟帳戶（例如 @outlook.com）。系統應顯示組織原則限制提示並封鎖該設定檔。
3. 合規稽核追蹤驗證：
   • 使用公司測試帳戶進行一次 Copilot 提問。
   • 約 15 至 30 分鐘後至 Microsoft Purview 稽核搜尋中心，確認租用戶日誌中已成功產生該筆互動記錄。

5. 最佳實務建議

在企業環境中導入 Microsoft Copilot，無需仰賴複雜的第三方網路代理或反向代理攔截：

• 徹底封鎖個人身分： 嚴格落實 Intune 與 Edge 瀏覽器原則（BrowserSignin = 2 與 RestrictSigninToPattern），防範未受控帳戶所引發的資料外洩漏洞。
• 教育訓練與識別強化： 宣導員工在輸入業務相關提示前，務必確認介面具備綠色「受保護」盾牌圖示與「Work」識別。
• 視合規需求調配連網搜尋： 針對法務、研發等敏感單位，善用雲端原則停用 Bing 搜尋功能。
• 利用 Purview 建立生命週期管理： 建立定期的自動清除或歸檔機制，兼顧 AI 賦能與組織資訊安全。

參考資料

• Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Microsoft Copilot Chat Privacy and Protections | Microsoft Learn
• Data, privacy, and security for web search in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Manage Microsoft Copilot Chat | Microsoft Learn