企業管理員如何在推出 Microsoft 365 Copilot 之前設定 SharePoint 資料存取權限與敏感度標籤

在向終端使用者分配授權之前，企業管理員在部署 Microsoft 365 Copilot 時必須先處理內容清理與存取控管問題。雖然 Copilot 嚴格在現有的 Microsoft 365 安全周界與存取控制清單（ACL）內運作——確保使用者無法查詢其無權檢視的資訊——但其強大的語意搜尋與自然語言生成能力顯著放大了先前被忽視檔案的可探索性。在存在過往權限債務的組織中，儲存在具有廣泛存取權限（例如「外部使用者以外的所有人」，即 EEEU）的網站中的機密文件（例如高階主管薪酬方案、併購備忘錄或客戶個人識別資訊 PII），可能會在對話式回答中被無意揭露。為防止資料外洩並維持合規性，管理員必須稽核過度共用的存放庫、修正租用戶存取權限、部署容器層級與項目層級的 Microsoft Purview 敏感度標籤，並建立如受限制的 SharePoint 搜尋（Restricted SharePoint Search）等臨時防護措施。本指南詳細說明了在推出 Microsoft 365 Copilot 之前保護 SharePoint 資料所需的端對端技術設定。

理解 Copilot 錨定（Grounding）與安全模型

Microsoft 365 Copilot 透過稱為檢索增強生成（RAG）的程序與組織資料進行互動。當使用者提交提示時，Copilot 並不會查詢隔離的定型語料庫；相反地，它使用 Microsoft Graph 與 Copilot 語意索引（Semantic Index for Copilot）來識別相關的組織內容，將這些程式碼片段或文字區塊封裝至錨定內容（grounding context）中，並將其傳遞給大型語言模型（LLM）以產生回應。

存取界限的運作方式

Copilot 嚴格在執行提示之使用者的安全性內容中運作：

• 繼承的使用者權限： Copilot 沒有提高權限的服務帳戶特權。如果使用者無法透過網頁瀏覽器、直接 URL 或標準 SharePoint 搜尋存取某個 SharePoint 文件，Copilot 就無法為該使用者存取或合成該文件。
• 可探索性差距： 在傳統的 SharePoint 環境中，使用者很少會發現儲存在設定不當之程式庫中的冷門檔案，因為關鍵字搜尋需要特定詞彙或預先得知檔案名稱。相較之下，Copilot 能夠解讀意圖與語意。如果員工詢問：「整個工程團隊最新的薪資調整提案是什麼？」，Copilot 會搜尋該使用者在技術上擁有讀取權限的已編製索引文件，擷取資料並直接呈現摘要。
• 安全界限強制執行： Copilot 遵循在 Microsoft Entra ID、SharePoint Online 與 Microsoft Purview 中設定的安全性控制措施。但是，它不會更正不適當的權限。資安團隊必須確保「讀取」存取權代表真實的業務授權。

權限管理服務（RMS）與 EXTRACT 權限

在與加密檔案互動時，Copilot 會強制執行權限管理服務（RMS）權限。為了讓 Copilot 能夠從受保護的文件中讀取、剖析並擷取資訊以回答提示，提出要求的使用者必須擁有 EXTRACT（複製）使用權限：

如果敏感度標籤套用的加密拒絕了某組使用者的 EXTRACT 權限，即使這些使用者可以在 Word 或 Excel 中檢視呈現後的文件，他們也無法使用 Copilot 來摘要或質詢這些特定文件。

步驟 1：稽核 SharePoint 權限並識別過度共用的內容

在修改權限或套用限制性原則之前，管理員必須建立對現有存取結構的能見度。主要風險來自廣泛的全網域群組、孤立的小組網站以及未受管理的共用連結。

利用資料存取控管（DAG）報告

SharePoint 資料存取控管（DAG）報告可在 SharePoint 系統管理中心的 報告 > 資料存取控管 下取得，提供對全租用戶共用模式的自動化見解。管理員應優先考慮三種特定的報告類別：

1. 「外部使用者以外的所有人」（EEEU）報告： 識別已將 EEEU 宣告新增至網站權限（例如網站成員或網站訪客）的所有 SharePoint 網站。所有內部員工皆可存取這些網站，使其成為 Copilot 意外資料暴露的主要來源。
2. 共用連結報告： 識別包含過去 30 天內建立之「知道連結的任何人」（匿名）或「組織中的人員」（全租用戶內部）共用連結數量最多的網站。
3. 套用至檔案的敏感度標籤報告： 交叉比對儲存大量未標記或敏感檔案的網站，以找出治理盲點。

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

審查高風險存放庫屬性

在評估 DAG 匯出資料時，管理員應根據內容敏感度與現有成員資格對網站進行分類：

• 高階主管與人力資源存放庫： 必須檢查法務、人力資源、財務與併購網站的繼承父權限以及廣泛的安全性群組成員資格。
• 公用與私人 Microsoft 365 群組： 當使用者建立 Microsoft Teams 或 Microsoft 365 群組時，預設設定通常為「公用」，這會授與任何租用戶使用者對相關聯 SharePoint 小組網站的讀取與寫入權限。必須識別這些網站並將其轉換為「私人」。
• 中斷的權限繼承： 具有唯一、已中斷繼承權限的子資料夾與個別文件庫，往往會在原本正常的部門網站中隱藏敏感檔案。

步驟 2：修正權限並實作存取防護措施

一旦識別出過度共用的存放庫，管理員必須修正開放的存取權限，並套用結構性控制以防止未來的權限蔓延。

消除廣泛群組並撤銷開放共用連結

權限修正應遵循優先順序：

1. 移除 EEEU 宣告： 從任何包含專有、僅供內部或敏感內容之網站的「網站成員」、「網站訪客」以及文件層級權限集中移除「外部使用者以外的所有人」。
2. 標準化預設共用連結類型： 在 SharePoint 系統管理中心的 原則 > 共用 下，將預設共用連結類型從「組織中的人員」調整為「特定人員（僅限使用者指定的人員）」。這可防止使用者在與同事共用檔案時無意間建立全租用戶存取連結。
3. 設定連結到期時間範圍： 對來賓與匿名共用連結強制執行自動到期原則（例如要求在 30 至 90 天後重新進行驗證）。

部署 SharePoint 進階管理（SAM）控制措施

對於擁有 SharePoint 進階管理（SAM）授權的組織，管理員可以強制執行集中式存取界限，而無需完全依賴個別網站擁有者：

• SharePoint 網站的受限制的存取控制（RAC）： RAC 允許管理員將對 SharePoint 網站的存取權限制為指定之 Microsoft Entra ID 安全性群組或 Microsoft 365 群組的成員。即使個別使用者擁有直接檔案權限或屬於巢狀群組，除非該使用者屬於指定的 RAC 群組，否則存取將會遭到拒絕。
• 限制內容探索（RCD）： RCD 讓管理員能夠將高風險或未驗證的網站置於探索隔離區中。當某個網站啟用 RCD 時，其內容將在全租用戶搜尋與 Copilot 回應中隱藏，而現有獲授權的網站成員仍保留直接存取權。這使資安團隊能夠在不中斷日常工作的情況下隔離未經審查的網站。
• 網站存取檢閱： 管理員可以啟動自動化存取檢閱活動，要求網站擁有者定期確認其成員清單，自動撤銷非使用中或未授權使用者的存取權限。

實作受限制的 SharePoint 搜尋（RSS）作為臨時斷路器

在擁有數千個 SharePoint 網站的大型企業中，完成全面的權限清理可能需要數個月的時間。為了避免延遲推出 Copilot 授權，Microsoft 提供了**受限制的 SharePoint 搜尋（RSS）**作為過渡期的系統管理控制措施。

受限制的 SharePoint 搜尋運作方式

啟用 RSS 後：

• 企業搜尋與 Microsoft 365 Copilot 將受限於最多 100 個精選 SharePoint 網站的允許清單（Allowed List）。
• Copilot 會繼續存取使用者的個人 OneDrive、電子郵件訊息、Teams 聊天、行事曆事件，以及使用者經常造訪或明確擁有的網站。
• 儲存在數千個未精選 SharePoint 網站中的內容將被排除在 Copilot 錨定與全組織搜尋之外，進而消除了 Copilot 從未經審查的存放庫中擷取資料的風險。

透過 SharePoint Online PowerShell 設定 RSS

受限制的 SharePoint 搜尋是使用 SharePoint Online PowerShell 模組進行管理：

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

從 RSS 平穩轉換

受限制的 SharePoint 搜尋旨在作為臨時橋樑，而非永久架構。雖然 RSS 可以防止未經審查網站的資料外洩，但它也限制了 Copilot 在合法專案存放庫中提供跨部門見解的能力。一旦資料存取控管報告確認網站權限已清理完畢且敏感度標籤已強制執行，管理員應停用 RSS 以釋放 Copilot 的全部組織價值：

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

步驟 3：設計並部署 Microsoft Purview 敏感度標籤

雖然 SharePoint 權限定義了誰可以存取網站或資料夾，但 Microsoft Purview 敏感度標籤定義了內容是什麼，並強制執行持續性的保護，無論資料儲存、共用或由 AI 處理到何處，該保護都會隨資料一起移動。

容器層級敏感度標籤

容器層級標籤將治理設定直接套用至 SharePoint 網站、Microsoft 365 群組與 Microsoft Teams。在建立容器標籤之前，請確保已透過 PowerShell（Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph）與 Microsoft Entra ID 在租用戶中啟用了該功能。

容器標籤強制執行與 Copilot 整備度相關的三項主要控制措施：

1. 隱私權設定（公用與私人）： 強制設定為「私人」可確保新建的小組網站不會具有開放的全租用戶存取權限。
2. 外部共用控制： 將標籤設定為「僅限組織中的人員」或「現有來賓」，可防止機密共同作業網站上的外部資料外洩。
3. 條件式存取與未受管理的裝置原則： 將存取限制為僅限網頁或封鎖來自不符合合規性裝置的存取，可確保無法從未受信任的端點存取與敏感網站互動的 Copilot。

項目層級敏感度標籤與加密

項目層級標籤對個別 Word、Excel、PowerPoint 與 PDF 檔案進行分類與保護。管理員在 Microsoft Purview 合規性入口網站中的 資訊保護 > 標籤 下設定這些標籤。

標準的企業分類架構通常包括：

• 公用 (Public)： 供大眾使用的非敏感資料（無加密）。
• 一般 (General)： 內部共用的日常商務資料（無加密或基本內部權限）。
• 機密 (Confidential)： 敏感商務資料（財務報告、客戶策略）。設定 Azure 資訊保護加密，將存取權限制為具有 EXTRACT 權限的已驗證組織員工。
• 高度機密 (Highly Confidential)： 核心智慧財產權、高階主管薪酬、併購申報檔案。設定嚴格加密，將存取權限制為指定的具名使用者或安全性群組。在特定情境下，可以移除 EXTRACT 權限以明確封鎖 AI 合成與剪貼簿複製。

Copilot 敏感度標籤繼承

當 Microsoft 365 Copilot 合成資訊以產生新文件、電子郵件草稿或摘要時，它遵循嚴格的標籤繼承規則：

• 單一來源參考： 如果 Copilot 參考了標有 Confidential 的單一文件，則 Copilot 從該互動產生的任何新檔案都會自動繼承 Confidential 標籤及其關聯的加密設定。
• 多來源參考： 如果 Copilot 合併了來自具有不同分類之多個來源的內容（例如，一個標為 General 的文件與另一個標為 Highly Confidential 的文件），Copilot 會自動將最嚴格的標籤（Highly Confidential）套用至輸出。
• 遙測與能見度： Copilot 會直接在使用者介面中顯示已套用的敏感度標籤，確保使用者能立即得知資料的分類等級。

設定 Purview 自動標記原則

手動標記仰賴終端使用者的合規自覺，這經常會留下漏洞。為了在推出 Copilot 之前確保一致的涵蓋範圍，管理員應同時部署用戶端與服務端自動標記原則。

用戶端自動標記

在 Microsoft Purview 的標籤定義中進行設定：

• 當使用者在 Word、Excel 或 PowerPoint 中撰寫文件時，根據偵測到的敏感性資訊類型（SIT，例如信用卡號、稅務識別碼或自訂規則運算式）提示或自動套用標籤。
• 在建立文件的當下提供即時的使用者教育。

服務端自動標記（待用資料檢查）

服務端自動標記在租用戶基礎架構層級運作，掃描儲存在 SharePoint Online 與 OneDrive 中的檔案：

1. 在 Microsoft Purview 入口網站中，瀏覽至 資訊保護 > 自動標記。
2. 建立針對 SharePoint 網站與 OneDrive 帳戶的新原則。
3. 使用內建 SIT（財務記錄、健康資料）或可訓練的分類器（原始程式碼、法律合約）定義偵測規則。
4. 在**模擬模式（Simulation Mode）**下執行原則至少 7 至 14 天，以檢閱相符項目、驗證準確性並避免無意的過度標記。
5. 當模擬結果符合預期後，開啟原則以自動對待用歷史資料套用標籤與加密。

實作藍圖：分階段推出前治理

為了有效組織推出流程，管理員應遵循分階段的營運排程：

驗證安全界限與持續治理

在向更廣泛的企業開放 Copilot 存取之前，管理員必須有系統地驗證安全界限是否如預期運作。

模擬使用者測試情境

資安團隊應建立具有不同部門角色特徵的測試帳戶（例如，標準銷售、標準工程與人力資源專員帳戶）來執行提示驗證：

• 跨部門探測： 從標準銷售測試帳戶提交具針對性的 Copilot 提示，例如「摘要即將公佈的高階主管改組計劃」或「顯示最近的薪酬審查」。確認 Copilot 未傳回任何資料，並指出找不到相關資訊。
• 加密文件探測： 針對使用者擁有 VIEW 權限但缺少 EXTRACT 權限的文件測試提示。確認 Copilot 拒絕擷取或摘要文字。
• 繼承驗證： 要求 Copilot 使用標為 Confidential 的文件作為參考來起草備忘錄，並驗證產生的輸出是否自動保留 Confidential 敏感度標籤。

透過 Microsoft Purview AI 中樞進行監控

Microsoft Purview 提供了 AI 中樞（AI Hub）（位於 Purview 合規性入口網站中），為 Microsoft 365 Copilot 互動提供專門的遙測資料：

• 敏感資料活動： 檢視即時儀表板，顯示 Copilot 使用者提示與產生的回應中正在參考的敏感性資訊類型與敏感度標籤。
• 原則違規： 設定資料外洩防護（DLP）警示，以偵測使用者何時嘗試將包含敏感資料的 Copilot 回應共用或匯出至未經授權的位置。
• 稽核記錄： 在 Purview 稽核中使用 CopilotInteraction 記錄類型查詢整合稽核記錄，以調查特定使用者提示、參考的檔案 URI 與套用的標籤，以便進行合規性稽核。

透過結合 SharePoint 中的主動權限修正、受限制的 SharePoint 搜尋等針對性控制措施、持續性的 Microsoft Purview 敏感度標籤以及不間斷的遙測監控，企業管理員可以成功消除資料外洩風險，並確保 Microsoft 365 Copilot 的安全且合規推出。