Jak uporządkować uprawnienia w SharePoint przed wdrożeniem Copilota?

Wyjaśnienie

Copilot nie nadaje nowych uprawnień. Microsoft pisze wprost, że pokazuje dane, do których użytkownik ma co najmniej prawo odczytu. Kłopot w tym, że w wielu firmach ten zakres jest szerszy, niż ktokolwiek zakłada: witryny udostępnione grupie Everyone except external users, linki dla całej organizacji, przerwane dziedziczenie uprawnień w bibliotekach, witryny bez właściciela. Dotąd mało kto o nich wiedział, a Copilot potrafi je znaleźć w odpowiedzi na zwykłe pytanie.

Narzędzia są w SharePoint Advanced Management (SAM). Firma dostaje funkcje SAM wspierające wdrożenie Copilota, gdy co najmniej jeden użytkownik ma przypisaną licencję Microsoft 365 Copilot (przy licencji bazowej takiej jak Microsoft 365 E3 lub E5). Część funkcji, na przykład ograniczenie tworzenia witryn przez aplikacje, wymaga osobnego dodatku SAM Plan 1. Bez SAM, przy samym Microsoft 365 E5, raporty data access governance są okrojone: nie ma raportów migawkowych ani działań naprawczych, a raporty aktywności obejmują do 10 000 witryn.

Diagnoza zaczyna się od raportów data access governance w centrum administracyjnym SharePoint. Raport uprawnień witryn pokazuje miejsca z najszerszym dostępem, w tym udostępnienia dla Everyone except external users i gości. Raport dla konkretnego użytkownika pokazuje, do których witryn ma dostęp i skąd. Raporty aktywności obejmują ostatnie 28 dni i wskazują, gdzie powstało najwięcej linków udostępniania. Microsoft zaleca raporty migawkowe co kwartał, a raporty aktywności co miesiąc. Dochodzą do tego Content Management Assessment w SAM i oceny ryzyka danych w Microsoft Purview DSPM.

Na czas porządków można ukryć wybrane witryny przed Copilotem funkcją Restricted Content Discovery. Działa na poziomie witryny, nie zmienia uprawnień i nie usuwa treści z indeksu, ale treść znika z wyszukiwania w całej organizacji i z odpowiedzi Copilota. Użytkownik dalej widzi pliki, które sam utworzył lub ostatnio otwierał. Nie działa dla OneDrive, a przy witrynach powyżej 500 000 elementów zmiana może się propagować ponad tydzień. Starsza funkcja Restricted SharePoint Search jest wycofywana: od 31 lipca 2026 nie można jej nowo włączyć, a Microsoft odsyła do Restricted Content Discovery.

Właściwa naprawa to przeglądy dostępu (site access review) zlecane właścicielom witryn, usunięcie zbędnych udostępnień dla całej organizacji, naprawa dziedziczenia i przypisanie właścicieli. Potem ustawienia domyślne: Restricted Access Control dla witryn krytycznych, ograniczenie linków Anyone i linków dla całej firmy, etykiety poufności dla witryn i plików z Microsoft Purview oraz zasady DLP dla Copilota, które wyłączają oznaczone pliki z jego odpowiedzi. Microsoft opisuje ten porządek w planie wdrożenia Secure and Governed Data Foundation for Microsoft Copilot: usunięcie nadmiernych udostępnień, zabezpieczenia, wymogi regulacyjne. Tymczasowe ograniczenia zdejmuje się dopiero po naprawie uprawnień.

Podstawa prawna

Źródła

• Microsoft Learn: Data, Privacy, and Security for Microsoft Copilot
• Microsoft Learn: SharePoint Advanced Management overview
• Microsoft Learn: Prerequisites for SharePoint Advanced Management
• Microsoft Learn: Data access governance reports for SharePoint sites
• Microsoft Learn: Restrict discovery of SharePoint sites and content
• Microsoft Learn: Restricted SharePoint Search
• Microsoft Learn: Secure and Governed Data Foundation for Microsoft Copilot, Foundational Deployment Guidance
• Microsoft Learn: Configure a secure and governed foundation for Microsoft Copilot

Materiał informacyjny, nie porada prawna.