AIGC 보안: Microsoft Copilot 데이터 유출 위험 방지

마이크로소프트 코파일럿 지구상에서 가장 강력한 생산성 도구 중 하나로 알려져 있습니다.

Copilot은 모든 Microsoft 365 응용 프로그램(Word, Excel, PowerPoint, Teams, Outlook 등)에 내장된 인공 지능 도우미입니다. 마이크로소프트의 꿈은 일상 업무의 고된 일을 없애고 인간이 창의적인 문제 해결자로서 집중할 수 있도록 하는 것입니다.

Copilot은 365에서 작업한 모든 것에 액세스할 수 있다는 점에서 ChatGPT 및 기타 AI 도구와 다릅니다. Copilot은 문서, 프리젠테이션, 이메일, 달력, 메모 및 연락처의 데이터를 즉시 검색하고 컴파일합니다.

이것은정보 보안팀 문제. Copilot은 사용자가 액세스할 수 있는 모든 민감한 데이터에 액세스할 수 있는데, 이는 종종 너무 많은 정보입니다. 평균적으로 회사 10%의 M365 데이터는 모든 직원에게 공개됩니다.

Copilot은 또한 빠르게 생성할 수 있습니다.새로운 민감한 데이터.AI 혁명 이전에는 인간이 데이터를 생성하고 공유하는 능력은 데이터를 보호하는 능력을 훨씬 뛰어넘었습니다. 데이터 유출 동향을 살펴보세요.생성 인공 지능불에는 등유가 튀었습니다.

생성 AI 전체에 관해서는 모델 중독, 환각, 딥페이크 등 풀어야 할 내용이 많습니다. 그러나 이 기사에서는 특히 다음 사항에 중점을 둘 것입니다.데이터 보안팀이 안전한 Copilot 출시를 보장할 수 있는 방법을 알아보세요.

Microsoft 365 Copilot 사용 사례#

M365와 같은 협업 제품군을 갖춘 생성 AI의 사용 사례는 무한합니다. 왜 그렇게 많은 IT 및 보안 팀이 조기에 액세스하고 롤아웃 계획을 준비하기를 열망하는지 쉽게 알 수 있습니다. 생산성 향상 효과는 엄청날 것입니다.

예를 들어 빈 Word 문서를 열고 Copilot에 OneNote 페이지, PowerPoint 프레젠테이션 및 기타 Office 문서가 포함될 수 있는 대상 데이터 세트를 기반으로 클라이언트를 위한 제안 초안을 작성하도록 요청할 수 있습니다. 단 몇 초만에 완전한 제안서를 받게 됩니다.

다음은 이벤트 중에 Microsoft가 제공한 추가 예입니다.

• Copilot은 Teams 회의에 참여하여 논의 중인 내용을 실시간으로 요약하고, 작업 항목을 캡처하고, 회의에서 미해결 상태로 남아 있는 문제를 알려줄 수 있습니다.
• Outlook의 Copilot을 사용하면 받은 편지함을 정렬하고, 전자 메일의 우선 순위를 지정하고, 주제를 요약하고, 응답을 생성할 수 있습니다.
• Excel의 Copilot은 원시 데이터를 분석하고 통찰력, 추세 및 권장 사항을 제공할 수 있습니다.

Microsoft 365 Copilot 작동 방식#

Copilot 프롬프트를 처리하는 방법에 대한 간략한 개요는 다음과 같습니다.

• 사용자는 Word, Outlook 또는 PowerPoint와 같은 응용 프로그램에 프롬프트를 입력합니다.
• 사용자의 M365 권한을 기반으로 하는 Microsoft사용자의 비즈니스 컨텍스트를 수집합니다.
• 응답을 생성하기 위해 팁이 LLM(예: GPT4)으로 전송됩니다.
• Microsoft는 후처리를 담당하는 AI 검사를 수행합니다.
• Microsoft는 응답을 생성하고 명령을 다시 M365 애플리케이션으로 보냅니다.

이미지 출처: 마이크로소프트

마이크로소프트 365 코파일럿 보안 모델#

Microsoft의 경우 생산성과 보안 사이에는 항상 극심한 긴장이 존재해 왔습니다.

이는 코로나바이러스 사태 동안 IT 팀이 기본 보안 모델의 작동 방식이나 조직의 M365 권한, 그룹 및 링크 정책의 상태를 완전히 이해하지 못한 채 신속하게 Microsoft Teams를 배포했을 때 입증되었습니다.

좋은 소식:#

• 테넌트 격리.Copilot은 현재 사용자의 M365 테넌트의 데이터만 사용합니다. AI 도구는 사용자가 게스트일 수 있는 다른 테넌트나 테넌트 간 동기화가 설정된 테넌트의 데이터를 표시하지 않습니다.
• 훈련 경계.부조종사습관비즈니스 데이터를 사용하여 모든 테넌트가 사용하는 기본 LLM에서 Copilot을 교육합니다. 너필요 없음다른 테넌트의 다른 사용자에 대한 응답으로 귀하의 독점 데이터가 표시되는 것에 대해 걱정하십시오.

나쁜 소식:#

• 권한.Copilot은 각 사용자에게 최소한 보기 권한이 있는 모든 조직 데이터를 표시합니다.
• 상표.Copilot에서 생성된 콘텐츠습관Copilot이 응답을 받는 파일의 MPIP 레이블을 상속합니다.
• 인류.부조종사의 답변은 100%가 진짜이거나 안전하다는 것을 보장하지 않으며, 인간이 AI 생성 콘텐츠를 검토할 책임이 있어야 합니다.

나쁜 소식을 하나씩 살펴보겠습니다.

권한#

회사가 Microsoft 365에서 최소 권한을 쉽게 적용할 수 있다면 사용자가 액세스할 수 있는 권한만 Copilot에 부여하는 것이 좋습니다.

Microsoft는 Copilot 데이터 보안 문서에서 다음과 같이 명시합니다.

"적절한 사용자나 그룹이 조직 내에서 적절한 콘텐츠에 대한 적절한 액세스 권한을 갖도록 하려면 SharePoint와 같은 Microsoft 365 서비스에서 사용할 수 있는 권한 모델을 사용하는 것이 중요합니다."

출처: Microsoft 365 Copilot의 데이터, 개인 정보 보호 및 보안

그러나 우리는 경험을 통해 대부분의 조직이 최소 권한에 훨씬 미치지 못한다는 것을 알고 있습니다. Microsoft의 자체 클라우드 권한 위험 상태 보고서에서 일부 통계를 살펴보세요.

이 그림은 Varonis가 Microsoft 365를 사용하는 회사에 대해 매년 수천 건의 데이터 위험 평가를 수행할 때 보는 것과 일치합니다. The Big SaaS Data Exposure 보고서에서 평균 M365 테넌트는 다음과 같은 특징을 가지고 있는 것으로 나타났습니다.

• 4천만 개 이상의 고유 권한
• 공개적으로 공유된 113,000개 이상의 민감한 기록
• 27,000개 이상의 공유 링크

왜 이런 일이 발생합니까? Microsoft 365 권한은 매우 복잡합니다. 사용자가 데이터에 액세스하는 모든 방법을 생각해 보세요.

• 직접적인 사용자 권한
• Microsoft 365 그룹 권한
• SharePoint 로컬 권한(사용자 지정 수준 포함)
• 게스트 액세스
• 외부 액세스
• 공개 액세스
• 링크 액세스(누구나, 조직 전체, 직접, 게스트)

설상가상으로 권한은 주로 IT나 보안 팀이 아닌 최종 사용자의 손에 있습니다.

상표#

Microsoft는 DLP 정책을 시행하고, 암호화를 적용하고, 데이터 위반을 광범위하게 방지하기 위해 민감도 레이블에 크게 의존합니다. 그러나 실제로는 라벨을역할을하다특히 민감도 레이블을 적용하기 위해 사람에게 의존하는 경우에는 어렵습니다.

Microsoft는 데이터에 대한 궁극적인 안전망으로 레이블 지정 및 차단에 대한 장밋빛 그림을 그립니다. 현실은 더 암울한 시나리오를 드러냈습니다. 인간이 데이터를 생성할 때 레이블은 종종 지연되거나 시대에 뒤떨어지게 됩니다.

데이터를 차단하거나 암호화하면 작업 흐름에 마찰이 가중될 수 있으며 라벨링 기술은 특정 파일 형식으로 제한됩니다. 조직에 레이블이 많을수록 사용자가 혼란스러워질 가능성이 높아집니다. 이는 대규모 조직의 경우 특히 그렇습니다.

AI가 정확하고 자동으로 업데이트되는 태그가 필요한 훨씬 더 많은 데이터를 생성할 수 있게 되면서 태그 기반 데이터 보호의 효율성은 확실히 감소할 것입니다.

내 라벨은 괜찮나요?#

Varonis는 검색, 검색 및 교정을 통해 조직의 Microsoft 민감도 레이블을 확인하고 개선할 수 있습니다.

• 태그가 없는 민감한 문서
• 라벨이 잘못된 민감한 파일
• 민감한 라벨이 있는 민감하지 않은 파일

인류#

인공지능은 인간을 게으르게 만들 것이다. GPT4와 같은 LLM에서 생성된 콘텐츠는 단지 좋은 것이 아니라 정말 훌륭합니다. 많은 경우 속도와 질량은 인간의 능력을 훨씬 뛰어넘습니다. 그 결과 사람들은 AI가 안전하고 정확하게 대응할 것이라고 맹목적으로 신뢰하기 시작했습니다.

우리는 Copilot이 클라이언트를 위한 제안 초안을 작성하고 완전히 다른 클라이언트에 속한 민감한 데이터를 포함하는 실제 시나리오를 보았습니다. 사용자가 빠른 탐색(또는 탐색 없음) 후 "보내기"를 클릭하면 이제 개인 정보 보호 또는 데이터 침해에 직면하게 됩니다.

Copilot 보안을 위해 테넌트 준비#

Copilot 출시 당시전에데이터 보안 상태를 이해하는 것이 중요합니다. 이제 Copilot이 일반 공급되므로 보안 제어를 구현하기에 좋은 시기입니다.

Varonis는 위험에 대한 실시간 보기와 최소 권한을 자동으로 적용하는 기능을 제공하는 데이터 보안 플랫폼을 통해 수천 명의 Microsoft 365 고객을 보호합니다.

Copilot을 사용하면 사실상 수동 작업 없이 가장 큰 보안 위험을 해결할 수 있습니다. Microsoft 365용 Varonis를 사용하면 다음을 수행할 수 있습니다.

• 모든 민감한 AI 생성 콘텐츠를 자동으로 검색하고 분류합니다.
• MPIP 라벨의 올바른 적용을 자동으로 보장합니다.
• 최소 권한을 자동으로 적용합니다.
• M365의 민감한 데이터를 지속적으로 모니터링하고 비정상적인 동작에 대해 경고하고 대응합니다.