Amikor egy munkatárs megkéri a Copilotot, hogy foglalja össze a heti leveleit vagy készítsen vázlatot egy ajánlathoz, a háttérben dokumentumok, levelek és csevegések nyílnak meg a nevében. A felhasználó a választ látja. Az informatikai és a biztonsági csapat abból tudja meg, mi történt, amit a Microsoft 365 az interakcióról feljegyez.
Ez a feljegyzés a Microsoft Purview egységes auditnaplójába kerül, ugyanoda, ahol a fájlmegnyitások, a bejelentkezések és az adminisztrátori műveletek is. Az alábbiakban végigmegyünk azon, milyen adat keletkezik egy Copilot-kérdésről, mennyi ideig marad meg, hogyan lehet benne keresni, és mire kell figyelni, mert a napló a munkatársak tevékenységéről szól.
Miért kell látni a Copilot használatát
A Copilot a bejelentkezett felhasználó jogosultságaival dolgozik. Ha egy fájlhoz túl sokan férnek hozzá, a Copilot ezt a hozzáférést gyorsan és kényelmesen használhatóvá teszi. A túl tág megosztások feltárása a bevezetés előtti munka, a napló pedig azt mutatja meg utólag, hogy a rendezés után mi jut el ténylegesen a válaszokig.
A napló jellemzően négy helyzetben kell:
- Incidensvizsgálat. Ha egy fiókot átvettek, a támadó a Copilottal percek alatt összegyűjtheti, amit a fiók elér. A napló megmutatja, mely forrásokat érintették a kérdések, és mikor.
- Bejelentés kivizsgálása. Egy munkatárs jelzi, hogy a Copilot olyan dokumentumot hozott fel, amelyet nem kellene látnia. A naplóból kiderül, melyik fájlról van szó és hol tárolják, így a jogosultság javítható.
- Szabályok ellenőrzése. Ha a bizalmasnak címkézett tartalom nem kerülhet a válaszokba, a napló alapján ellenőrizhető, hogy a beállított szabály valóban így működik-e.
- Használat áttekintése. Mely alkalmazásokban, mely osztályokon használják a Copilotot, és hol nem. Ez a licencek és a képzések tervezéséhez ad adatot.
Szabályozási háttérként a NIS2 hatálya alá tartozó szervezeteknél az incidensek kezelése és bejelentése a biztonsági eseményekre vonatkozó naplók meglétét is feltételezi. A Copilot-napló ennek egy újabb forrása, amelyet érdemes a többi mellett a naplózási szabályzatba is felvenni. Hogy egy incidenshez általában mely forrásokat érdemes gyűjteni, arról a naplózásról szóló cikk ír.
Copilot-események az auditnaplóban
A Microsoft 365 Copilot és a Copilot Chat interakciói külön beállítás nélkül bekerülnek az auditnaplóba, ha a bérlőben a naplózás be van kapcsolva. Ez a legtöbb bérlőben alapértelmezés, de érdemes ellenőrizni, különösen régebbi vagy átköltöztetett bérlőknél, ahol valaki egyszer kikapcsolhatta.
Minden interakció egy rekordot hoz létre a CopilotInteraction rekordtípussal. Egy interakció itt egy kérdés és a rá adott válasz. Rekord keletkezik akkor is, amikor a felhasználó a Wordben szöveget írat, a Teamsben egy értekezletről kér összefoglalót, az Outlookban levelet fogalmaztat, vagy a Copilot csevegőfelületén kérdez.
A Copilot Studióban készült ügynökök használata szintén megjelenik az auditnaplóban, ugyanígy egyes más, a Microsoft által kezelt AI-élmények. A nem Microsoft-féle AI-alkalmazások interakcióinak naplózása a Purview-ban külön, használatalapú számlázáshoz kötött funkció. Ezért nem szabad abból kiindulni, hogy a napló minden AI-eszköz használatát mutatja: a nyilvános, személyes fiókkal használt chatbotok alapesetben nem jelennek meg benne.
Get-AdminAuditLogConfig parancs UnifiedAuditLogIngestionEnabled értéke mutatja. Ha ez hamis, Copilot-rekord sem keletkezik, és a kikapcsolt időszak rekordjai utólag sem pótolhatók.
Mi látszik egy interakcióból, és mi nem
Egy Copilot-rekord a következő adatokat tartalmazza:
- Ki és mikor: a felhasználó azonosítója, az időpont és a kliens adatai, mint minden auditrekordnál.
- Hol: az alkalmazás, amelyben a kérdés elhangzott (Word, Excel, PowerPoint, Outlook, Teams, a Copilot csevegőfelülete), és a környezet, például a megnyitott dokumentum vagy az értekezlet azonosítója.
- Milyen forrásokból: a válaszhoz felhasznált erőforrások listája, fájlok, levelek, webhelyek, az elérési úttal és, ha van, az érzékenységi címke azonosítójával.
- Mely üzenetek: a kérdés és a válasz üzenetazonosítója, egy beszélgetés-azonosító, amely az egymást követő kérdéseket összeköti, és egy jelzés, ha a rendszer egy üzenetben a védelmi korlátok megkerülésére irányuló kísérletet észlelt.
- Milyen bővítménnyel: ha a válaszhoz webes keresés vagy más bővítmény is kellett, annak nyoma.
A rekord nem tartalmazza a kérdés és a válasz szövegét. A naplóból kiderül, hogy egy felhasználó kedd délután az Outlookban kérdezett valamit, és a válaszhoz három fájlt használt egy adott webhelyről. Az nem derül ki, mit kérdezett. A forráslista ettől is sokat mond: ha egy személyügyi webhely fájljai egy nem odatartozó felhasználó kérdéseinél jelennek meg, ott jogosultsági probléma van, akármi volt a kérdés.
Hol van a kérdés és a válasz szövege
A szöveget a Microsoft 365 a felhasználó Exchange-postafiókjának egy rejtett mappájában tárolja, a Teams-csevegésekhez hasonlóan. A felhasználó ezt a mappát a postafiókjában nem látja, de a Purview eDiscovery-funkciójával kereshető és exportálható. Rá a Purview megőrzési szabályai vonatkoznak, nem az auditnapló beállításai: a Copilot-interakciókra külön megőrzési vagy törlési szabály hozható létre.
Mivel a szöveg a postafiókban van, egy kilépő munkatárs Copilot-beszélgetései a postafiók szokásos törlésével együtt elvesznek, hacsak egy megőrzési szabály vagy jogi visszatartás inaktív postafiókként meg nem tartja. Az auditnapló rekordjai ettől függetlenül a saját megőrzési idejükig megmaradnak.
| Adat | Hol található | Mi szabályozza a megőrzését |
|---|---|---|
| Ki, mikor, melyik alkalmazásban, mely forrásokból | Egységes auditnapló, CopilotInteraction rekord | Auditmegőrzés (licencszinttől és auditmegőrzési szabálytól függ) |
| A kérdés és a válasz szövege | A felhasználó postafiókjának rejtett mappája, eDiscovery-vel kereshető | Purview megőrzési szabály a Copilot-interakciókra |
| A felhasznált fájl tartalma | Az eredeti helyén (SharePoint, OneDrive, Exchange) | Az adott hely megőrzési beállításai |
Megőrzési idő és licencszintek
Az auditnapló megőrzési ideje a licenctől függ. A Microsoft 365-előfizetések többségében elérhető Audit (Standard) a rekordokat alapértelmezés szerint 180 napig őrzi. Az Audit (Premium) a Microsoft 365 E5 szintű előfizetésekben vagy kiegészítő licenccel érhető el. Itt auditmegőrzési szabályokat lehet létrehozni rekordtípusonként és felhasználónként, legfeljebb egyéves megőrzéssel, egy további kiegészítő licenccel pedig akár tíz évig.
A Premium szint egyéves alapértelmezése az Exchange-, a SharePoint- és az Entra ID-rekordokra vonatkozik. A Copilot-rekordok hosszabb megőrzéséhez ezért érdemes kifejezetten a CopilotInteraction rekordtípusra szóló szabályt létrehozni, és a beállítás után ellenőrizni, valóban a kívánt ideig maradnak-e meg a rekordok.
A megőrzési idő megválasztásánál két, egymásnak ellentmondó szempontot kell összemérni:
- A vizsgálati igény. Egy fiók átvétele vagy egy belső visszaélés gyakran hónapokkal később derül ki. Ha a napló addigra törlődött, a vizsgálat nem tudja megállapítani, mit ért el a támadó vagy a munkatárs.
- Az adattakarékosság. A napló személyes adat, és csak addig tartható meg, amíg a célja indokolja. Az évekig megőrzött, senki által nem használt Copilot-napló adatvédelmi kockázat.
A döntést a naplózási szabályzatban célszerű rögzíteni, indoklással együtt. A Copilot-rekordokat legalább addig érdemes őrizni, mint a fájlhozzáférési rekordokat, mert egy vizsgálatnál a kettőt együtt kell összevetni. A kérdés-válasz szövegének megőrzése külön döntés: lehet rövidebb, mint az auditrekordé, hiszen sokkal több személyes és üzleti tartalmat hordoz.
Keresés, export és riasztás
Keresés a Purview portálon
A Purview portál audit menüpontjában a Copilot-tevékenységekre lehet szűrni dátumtartomány, felhasználó és tevékenység szerint. A keresést az Audit Logs vagy a View-Only Audit Logs szerepkörrel lehet futtatni. Ezeket a szerepköröket érdemes kevés, név szerint kijelölt személynek kiosztani, mert a teljes bérlő tevékenységét mutatja. A rekordok nem azonnal jelennek meg: a Microsoft dokumentációja szerint egy esemény általában 60–90 perc múlva kereshető, és a késés ennél hosszabb is lehet. Egy friss bejelentésnél ezért a „nincs találat” még nem végleges eredmény.
Export és feldolgozás
A találatok CSV-fájlba exportálhatók. A részletek egyetlen oszlopban, JSON-formátumban vannak, ezért elemzéshez szét kell bontani, például táblázatkezelőben vagy szkripttel. Nagyobb mennyiséghez az Exchange Online PowerShell Search-UnifiedAuditLog -RecordType CopilotInteraction parancsa használható, folyamatos gyűjtéshez pedig az Office 365 Management Activity API, amelyen keresztül a rekordok egy központi naplógyűjtőbe vagy SIEM-be továbbíthatók.
A SIEM-be továbbítás akkor éri meg, ha a Copilot-rekordokat más forrásokkal együtt kell nézni. Egy gyanús bejelentkezés, majd ugyanabból a munkamenetből egy sor Copilot-kérdés pénzügyi és személyügyi forrásokkal: ez az összefüggés csak akkor látszik, ha a bejelentkezési és a Copilot-napló egy helyen van.
Mire érdemes riasztást építeni
A Purview riasztási szabályai tevékenységszintű feltételekkel dolgoznak, a rekord részleteire, például a felhasznált források címkéjére, nem lehet bennük szűrni. Az alábbi szabályokhoz ezért a rekordokat exportálva vagy továbbítva, SIEM-ben vagy szkripttel kell feldolgozni. Néhány kiindulópont:
- a válasz forrásai között a legmagasabb érzékenységi címkével jelölt tartalom szerepel, olyan felhasználónál, akinek a munkaköre ezt nem indokolja,
- egy felhasználó rövid idő alatt szokatlanul sok kérdést tesz fel, sok különböző webhely forrásaival,
- a rendszer a korlátok megkerülésére irányuló kísérletet jelez egy üzenetben,
- Copilot-tevékenység olyan fióknál jelenik meg, amelynek nem kellene interaktívan használnia, például egy szolgáltatásfióknál vagy egy kilépett munkatárs még aktív fiókjánál.
A „szokatlanul sok” küszöbét csak a valós használat ismeretében lehet beállítani, ezért az első hetekben a szabály inkább csak jelezzen, és ne indítson automatikus intézkedést. Ha a címkézett tartalom felhasználását egy DLP-szabály tiltja, annak egyezései a DLP-riasztások között is megjelennek, így ott nem kell a naplóból külön szabályt építeni.
Adatvédelmi szempontok a naplók kezelésénél
A Copilot-napló a munkatársak munkavégzéséről szól: ki mikor, mivel és milyen dokumentumokkal dolgozott. A kérdések szövege ennél is többet elárulhat, akár a kérdező, akár harmadik személyek magánügyeiről, egészségi állapotáról vagy munkahelyi konfliktusairól. A kezelésére ezért a GDPR és a munkajogi szabályok vonatkoznak.
Néhány szempont, amelyet a bevezetéskor rendezni kell:
- Cél és jogalap. Le kell írni, mire használja a szervezet a naplót (biztonsági vizsgálat, szabályok ellenőrzése, használati statisztika), és mi a jogalap, munkáltatói naplózásnál jellemzően a jogos érdek, érdekmérlegeléssel alátámasztva. A naplót csak a rögzített célra lehet használni: a biztonsági napló nem válhat utólag teljesítményértékelés eszközévé.
- Tájékoztatás. A munka törvénykönyve (2012. évi I. törvény 11/A. §) szerint a munkáltató a munkavállalót csak a munkaviszonnyal összefüggő magatartása körében ellenőrizheti, és az alkalmazott technikai eszközökről előre tájékoztatnia kell. A Copilot naplózását ezért a munkavállalói adatkezelési tájékoztatóban szerepeltetni kell. Ha működik üzemi tanács, a munkavállalók ellenőrzésére szolgáló technikai eszközök bevezetéséről véleményezési joga van (Mt. 264. §).
- Hozzáférés két szinten. Az auditrekordokhoz és a kérdések szövegéhez külön szerepkör kell. Az auditrekordokból kiderül a forrás és az időpont, a szöveget csak egy konkrét, dokumentált vizsgálat indokolja. Erre jó gyakorlat a négy szem elve: az eDiscovery-keresést egy második személy is jóváhagyja. Az eDiscovery-műveletek maguk is bekerülnek az auditnaplóba, így utólag ellenőrizhető, ki mit keresett.
- Az exportált fájlok. Egy CSV-export a naplót kiviszi a Purview szabályozott környezetéből. Az exportokat korlátozott hozzáférésű helyen kell tárolni, és a vizsgálat lezárásakor törölni.
- Az érintett jogai. A munkatárs a GDPR 15. cikke alapján kérheti a róla kezelt adatokat, és ebbe a Copilot-napló és a kérdései szövege is beletartozhat. Érdemes előre tisztázni, ki és hogyan teljesíti az ilyen kérést.
A munkatársaknak tudniuk kell, mi kerül a Copilot-naplóba, ki nézheti meg, és milyen esetben. A naplózási szabályzat ezért a Copilot bevezetésének része, és jó, ha a felhasználói útmutatóban is szerepel egy rövid, érthető összefoglalása.
Kapcsolódó szolgáltatás: Biztonságos Copilot és Microsoft 365 AI bevezetés →
