Copilot a odziedziczone uprawnienia folderów - ukryte ryzyko

Microsoft 365 Copilot

Copilot a odziedziczone uprawnienia folderów - ukryte ryzyko

W skrócie

Odziedziczone uprawnienia folderów to cichy sposób, w jaki plik trafia w niepowołane ręce, a Microsoft 365 Copilot potrafi to uwidocznić. Dotyczy każdej firmy, która przechowuje dokumenty w SharePoint i OneDrive z zagnieżdżonymi folderami. W tym wpisie tłumaczymy, jak działa dziedziczenie dostępu i jak sprawdzić oraz zawęzić uprawnienia, zanim Copilot wyciągnie coś, co miało zostać zamknięte.

Jak to wygląda w praktyce

Sytuacja jest podstępna, bo nikt niczego świadomie nie otworzył. Ktoś umieścił poufny dokument w podfolderze, zakładając, że skoro folder jest "gdzieś głębiej", to jest bezpieczny. W rzeczywistości podfolder odziedziczył szerokie uprawnienia z folderu albo witryny nadrzędnej, która była udostępniona dużej grupie. Po włączeniu Copilota pracownik pyta o temat z tego obszaru i w odpowiedzi dostaje plik z zagnieżdżonego folderu, choć nikt go tam wprost nie zapraszał. Wygląda to jak wyciek, a jest skutkiem dziedziczenia dostępu, o którym autor dokumentu po prostu nie pomyślał.

Dlaczego Copilot tak robi

W SharePoint i OneDrive uprawnienia domyślnie spływają z góry na dół: podfolder i plik dziedziczą dostęp po elemencie nadrzędnym, dopóki ktoś świadomie tego dziedziczenia nie przerwie. Jeśli witryna albo folder wyżej jest otwarty dla całej firmy, to samo dotyczy wszystkiego, co w nim leży, także rzeczy schowanych głęboko. Copilot działa z uprawnieniami zalogowanego użytkownika, a Microsoft Graph zwraca mu treści zgodnie z tymi właśnie odziedziczonymi uprawnieniami. Copilot nie podnosi dostępu i nie tworzy nowej dziury, tylko korzysta z tego, co dziedziczenie już nadało. To dlatego samo przeniesienie pliku do podfolderu niczego nie zabezpiecza: dopóki dostęp jest dziedziczony z szeroko otwartego miejsca, plik pozostaje szeroko dostępny.

Jak to rozwiązać krok po kroku

1. Znajdź foldery i witryny nadrzędne z szerokim udostępnieniem. W Centrum administracyjnym SharePoint sprawdź, które lokalizacje mają poziom dostępu "Wszyscy" lub "Wszyscy z wyjątkiem użytkowników zewnętrznych".
2. Prześledź, co dziedziczy po tych lokalizacjach. Pamiętaj, że każdy podfolder i plik w środku ma domyślnie ten sam szeroki dostęp, o ile nikt go nie przerwał.
3. Skorzystaj z raportów nadmiarowego udostępniania, żeby szybciej wskazać zagnieżdżone pliki z otwartym zasięgiem. Ścieżka to Centrum administracyjne Microsoft 365, sekcja Copilot; raport nadmiernego udostępniania wymaga licencji SharePoint Advanced Management.
4. Dla wrażliwych folderów przerwij dziedziczenie i nadaj dostęp imienny. Zamiast polegać na dziedziczeniu z góry, przypisz dostęp wyłącznie osobom lub grupom, które faktycznie tej treści potrzebują.
5. Uporządkuj strukturę. Wrażliwe dokumenty trzymaj w miejscach z celowo zawężonym dostępem, a nie w podfolderach otwartych witryn.
6. Na najwrażliwsze pliki nałóż etykietę poufności z szyfrowaniem. Wtedy niezależnie od odziedziczonych uprawnień Copilot potraktuje je zgodnie z regułami etykiety.

Jak sprawdzić, że zadziałało

Po przerwaniu dziedziczenia i zawężeniu dostępu wykonaj test na koncie, które nie należy do grupy uprawnionej do danego folderu, i zapytaj Copilota o pliki, które wcześniej stamtąd zwracał. Jeśli ich już nie pokazuje, a bezpośrednie otwarcie kończy się brakiem dostępu, dziedziczenie zostało poprawnie ograniczone. Sprawdź też w SharePoint, że wrażliwy folder ma teraz własne, zawężone uprawnienia, a nie dziedziczone z szeroko otwartej witryny. Ten test na żywo daje pewność większą niż samo przejrzenie ustawień, bo pokazuje realne zachowanie narzędzia po zmianie.

Wroc do listy: 200 najczestszych problemow z Microsoft 365 Copilot