Há mais de duas décadas que os ficheiros essenciais ao funcionamento das organizações têm sido guardados numa pasta do SharePoint e partilhados com «Todos, exceto utilizadores externos», sem que ninguém tenha revisto esses controlos de acesso. Até há poucos anos, esses ficheiros só representavam um risco se alguém soubesse onde procurá-los.
Já não é assim.
Os agentes de IA, como o Microsoft 365 Copilot, não precisam de saber onde procurar antes de revelarem dados que se encontram num repositório há quem sabe quanto tempo. Basta fazer a solicitação ao agente, e este irá apresentar tudo aquilo que o utilizador solicitante tem, tecnicamente, direito a ver.
Na prática, a IA Agentic pode funcionar tanto como uma ferramenta de produtividade como um teste de resistência não planeado às políticas de classificação de dados do SharePoint. Mas trata-se de uma funcionalidade, não de um erro, e é, em parte, a razão pela qual um relatório da Gartner revelou que 40 % dos responsáveis de TI inquiridos adiaram a implementação do Copilot devido a preocupações com a partilha excessiva de informações.
O que nos leva a uma questão fundamental: sabe realmente que tipo de dados se encontram nos seus repositórios do SharePoint? Se a resposta for «não exatamente», está na hora de descobrir; antes da sua próxima implementação de IA.
Cada documento que não tenha sido identificado, classificado ou protegido constitui mais uma informação que o Copilot pode potencialmente revelar aos utilizadores que já tenham autorização para aceder ao mesmo. Por conseguinte, a segurança dos dados do Copilot, através de políticas de DLP (Prevenção de Perda de Dados), deve constituir uma prioridade imediata para as organizações, em vez de ser um projeto de governação a longo prazo.
Como o « Proactive DLP » protege os dados antes que o Copilot os possa expor
Se as organizações não quiserem que os seus dados sejam revelados pelo Copilot (ou por outros agentes), têm de os identificar e proteger antes da implementação do agente. O problema é que as equipas não têm uma visão completa do que existe no seu ambiente SharePoint, enquanto os ficheiros confidenciais continuam a acumular-se ao longo dos anos. Sem políticas de classificação e proteção, esses dados permanecem invisíveis até que algo os exponha.
O Copilot acelera o tempo de deteção. Se adotar uma abordagem reativa, fica à espera que uma interação com a IA revele informações confidenciais para identificar e bloquear esses dados. Nessa altura, a organização já está a lidar com uma exposição que poderia ter sido evitada.
Proactive DLP, por outro lado, aborda o problema numa fase mais precoce. Identifica continuamente conteúdos sensíveis, aplica as medidas de proteção adequadas e proporciona visibilidade às equipas de segurança antes que a adoção da IA se expanda. Quando aplicado, leva a:
- Detecção precoce, à medida que os dados sensíveis são identificados e ocultados, para que o Copilot não os possa revelar
- Aplicação de políticas através da implementação automática de encriptação, quarentena, ocultação ou eliminação, com base na sensibilidade dos dados
- Preparação para a conformidade, oferecendo uma forma clara de demonstrar que as informações sensíveis estão classificadas e sujeitas a regras de gestão antes de os auditores solicitarem provas
- Implementação controlada: quando o Copilot for finalmente ativado para grupos de utilizadores mais amplos, os dados de risco já terão sido corrigidos
Plataformas como o MetaDefender™ Storage Security apoiam esta abordagem através da inspeção e classificação contínuas de conteúdos, ajudando as organizações a estabelecer as bases de governação necessárias para uma adoção segura da IA.
Conclusão principal: a combinaçãoda análise contínuae da classificação dos dados do repositório do SharePoint proporciona uma melhor visibilidade sobre o tipo de dados que as empresas armazenam efetivamente – e que o Copilot poderia, potencialmente, partilhar.
Como funciona a tecnologia Proactive DLP™ da OPSWATem MetaDefender Storage Security
O DLP não resolve os problemas de governação do SharePoint acumulados ao longo de anos. No entanto, atenua as consequências quando essas lacunas se tornam visíveis através do Copilot. Um documento que é identificado, classificado e automaticamente censurado representa um risco muito diferente de um ficheiro que contém informações confidenciais e que aparece numa resposta gerada por IA, porque a empresa se esqueceu de que o ficheiro existia.
É aí que entra a tecnologia Proactive DLP™, utilizada pelo MetaDefender Storage Security , através da sua integração nativa com o SharePoint: identificar dados confidenciais que as organizações podem nem saber que possuem.
Passo 1: Detetar dados sensíveis
Em primeiro lugar, as organizações precisam de responder a duas perguntas básicas: que dados sensíveis possuem e onde é que esses dados se encontram, na realidade? MetaDefender OStorage Security começa por aí, analisando conteúdos em mais de 125 tipos de ficheiros.
A visibilidade vai além dos ficheiros de produtividade. A compatibilidade com ficheiros de grande dimensão proporciona às organizações uma visão completa do que existe nos seus ambientes de armazenamento.
Na prática, o OCR e o reconhecimento de entidades nomeadas identificam um número de segurança social oculto num PDF digitalizado ou um número de cartão de crédito presente numa imagem. Com esta medida, as organizações podem eliminar os pontos cegos que podem, acidentalmente, transformar o Copilot num nó de vigilância.
Como o momento certo é tão importante quanto a deteção, o MetaDefender Storage Security realiza análises aquando do upload ou da modificação, e não apenas de acordo com um horário fixo. Um novo ficheiro é verificado quanto à presença de dados sensíveis no momento em que é carregado. Esperar pela próxima janela de análise é arriscado; um ficheiro pode ficar exposto e acessível ao Copilot durante semanas antes de alguém sequer saber que lá está.
Passo 2: Identificar e classificar
Encontrar os dados só te leva até certo ponto; o próximo passo é decidir o que os dados significam e quem deve ter acesso aos mesmos. O site Proactive DLP classifica os ficheiros de acordo com os quadros regulamentares existentes:
- PCI-DSS para números de cartões de pagamento,
- HIPAA no que diz respeito às informações de saúde protegidas,
- RGPD para os dados pessoais ao abrigo da legislação da UE.
Essa etapa cria uma forma consistente de distinguir entre conteúdo empresarial comum e informação que requer proteção adicional. Com base nessas classificações, as organizações podem utilizar as suas políticas baseadas no conteúdo para acionar processos de etiquetagem, marcação de água, remoção de metadados, expurgação, substituição ou aprovação. A informação sensível recebe os controlos adequados sem depender de revisões manuais.
Os administradores definem quais os tipos de ficheiros que não são sujeitos à verificação, quais os repositórios abrangidos e se a verificação é executada de forma programada ou acionada por eventos. Se adicionar um novo site do SharePoint posteriormente, este herda automaticamente esse mesmo fluxo de trabalho, sem necessidade de reconfiguração.
Passo 3: Proteger e fazer cumprir
Embora as primeiras etapas tenham proporcionado um mapa de exposição, a etapa final consiste em tomar medidas. As organizações podem aplicar políticas automatizadas para ocultar campos sensíveis, tornar as informações anónimas, impedir transferências de risco ou impedir que ficheiros contendo dados regulamentados saiam de ambientes aprovados. Estas políticas cumprem requisitos de conformidade como o PCI-DSS, o HIPAA e o RGPD.
A IA irá revelar dados que antes eram desconhecidos; essa parte não é opcional assim que o Copilot estiver em funcionamento.
O que as organizações ainda controlam é a ordem das operações: se os dados sensíveis são classificados e geridos antes de um assistente os encontrar, ou depois. Para as empresas que avançam com a implementação da IA, o « Proactive DLP » corrige essa sequência; permite que a implementação ocorra enquanto os dados sensíveis são mantidos ao abrigo de uma política definida, em vez de se esperar que as permissões já estejam corretas.
De que forma a implementação do « Proactive DLP » antes da implementação do Copilot beneficia a segurança, a conformidade e as equipas de TI?
As equipas de segurança notam os resultados no tempo de resposta a incidentes.
Uma equipa que já sabe o que é sensível e quem tem acesso a essa informação não investiga uma exposição no Copilot a partir do zero. Sabe o que estava em risco, onde se encontrava e quem tinha acesso a essa informação. Isso limita o âmbito da investigação e, ao mesmo tempo, torna o panorama da ameaça mais nítido: em vez de ter de analisar centenas de sites do SharePoint não classificados, apenas os que foram assinalados como sensíveis são relevantes.
Para as equipas de conformidade, os benefícios manifestam-se nos processos que apoiam as auditorias.
A classificação contínua e outras políticas de DLP permitem que uma organização apresente provas, mediante solicitação, de que os dados regulamentados foram geridos antes mesmo de o Copilot lhes ter acedido. O auditor encontrará, assim, um registo limpo, em vez de ter de esperar por registos de atividades que podem ou não revelar a totalidade da situação de conformidade.
Os responsáveis de TI deixam de lado a razão pela qual a maioria das implementações fica paralisada logo no início. Para as organizações preocupadas com a partilha excessiva, a classificação altera o que está realmente em jogo. Os ficheiros podem continuar a ser partilhados em excesso, mas aqueles que importam não o são, porque essa camada é gerida separadamente. O calendário de implementação é definido com base nos seus próprios méritos, e não na ansiedade em relação à governação.
Estes três fatores, em conjunto, ajudam as empresas a acelerar a implementação da IA agênica, com os benefícios que daí advêm: competitividade, ganhos financeiros e capacidade de inovação.
Ignorar a governança irá atrasar a adoção da IA devido a implementações paralisadas, ciclos de análise jurídica e a necessidade de resolver a situação após um incidente que ninguém tinha previsto. Proteger em primeiro lugar permite que a organização avance mais rapidamente, porque não fica presa à fadiga de decisão, preocupada em saber se é ou não seguro dar o próximo passo.
Perguntas mais frequentes
Quais são os riscos de utilizar o Microsoft Copilot com o SharePoint?
O Microsoft Copilot pode aceder e resumir qualquer conteúdo do SharePoint que o utilizador já esteja autorizado a visualizar. Se as permissões forem demasiado amplas ou se os ficheiros sensíveis não tiverem sido devidamente classificados e protegidos, o Copilot poderá revelar informações comerciais confidenciais, dados pessoais ou conteúdo sujeito a regulamentação a que os utilizadores tinham, tecnicamente, acesso, mas que não se esperava que acedessem.
O que é a Prevenção Proativa da Perda de Dados (Proactive DLP)?
A Prevenção Proativa da Perda de Dados (DLP) é uma abordagem que identifica, classifica e protege continuamente os dados sensíveis antes que estes possam ser expostos por assistentes de IA, utilizadores ou fluxos de trabalho empresariais. Em vez de reagir após a ocorrência de uma exposição de dados, o « Proactive DLP » ajuda as organizações a identificar os riscos numa fase inicial e a aplicar antecipadamente as políticas de proteção adequadas.
De que forma o MetaDefender Storage Security protege os dados do SharePoint?
MetaDefender Storage Security analisa continuamente os repositórios do SharePoint para detetar informações confidenciais em mais de 125 tipos de ficheiros. Classifica o conteúdo de acordo com requisitos regulamentares, tais como o RGPD, a HIPAA e a PCI DSS, e pode aplicar automaticamente políticas definidas pelo administrador, como a ocultação, a encriptação, a quarentena ou fluxos de trabalho de aprovação, para ajudar a proteger os dados confidenciais antes de estes serem expostos.
O Microsoft Copilot consegue contornar as permissões do SharePoint?
Não. O Microsoft Copilot respeita as permissões existentes no SharePoint e apenas acede ao conteúdo que o utilizador já está autorizado a visualizar. No entanto, se as permissões estiverem desatualizadas, forem demasiado abrangentes ou tiverem sido herdadas incorretamente, o Copilot pode revelar rapidamente informações confidenciais às quais os utilizadores têm, tecnicamente, acesso, mas que talvez não tivessem encontrado manualmente.
Por que razão as organizações devem classificar os dados do SharePoint antes de implementar o Microsoft Copilot?
A classificação de dados sensíveis antes de ativar o Microsoft Copilot ajuda a reduzir o risco de divulgação excessiva de informações confidenciais, contribui para o cumprimento da regulamentação e garante que as respostas geradas pela IA se baseiem em conteúdos devidamente geridos.
Que tipos de dados confidenciais é que o « Proactive DLP » consegue detetar?
Proactive DLP consegue identificar uma vasta gama de informações sensíveis, incluindo informações de identificação pessoal (PII), dados de cartões de pagamento, informações de saúde protegidas (PHI), credenciais, chaves de « API » e outras informações comerciais regulamentadas ou confidenciais.
O serviço « Proactive DLP » ajuda na conformidade com o RGPD, a HIPAA e a norma PCI DSS?
Sim. Ao identificar, classificar e proteger os dados sujeitos a regulamentação, o « Proactive DLP » ajuda as organizações a cumprir regulamentos como o RGPD, a HIPAA e a PCI DSS.
Além disso, proporciona uma maior visibilidade dos dados confidenciais e ajuda a demonstrar que existem controlos de governação adequados em vigor antes de as ferramentas de IA acederem ao conteúdo da organização.
Com que frequência devem os repositórios do SharePoint ser analisados para detetar dados confidenciais?
Recomenda-se a análise contínua ou orientada por eventos. À medida que novos ficheiros são carregados, os documentos existentes são alterados e as permissões mudam ao longo do tempo, a análise contínua ajuda a identificar dados sensíveis recém-introduzidos antes que possam ser acedidos por assistentes de IA ou por utilizadores não autorizados.
