purview-copilot-oversharing

Microsoft 365 Copilot 过度共享控制

Microsoft 365 Copilot 遵循现有权限，因此，如果内容过度共享，Copilot 可能会将其呈现给技术上有权访问、但实际上不应访问的用户。本技能介绍如何在推出 Copilot 之前和期间，使用 SharePoint Advanced Management、敏感度标签、受限内容发现和适用于 Copilot 的 DLP 来缩小影响范围。

适用场景

为租户部署 Microsoft 365 Copilot 做准备，并持续控制 Copilot 可访问 SharePoint、OneDrive 和 Teams 中的哪些内容。

请勿使用本技能监控提示词中的敏感数据（请使用 purview-dspm-ai），也不要用来设计更全面的 DLP 计划（请使用 purview-dlp-policy）。

选择合适的过度共享控制手段

症状	控制手段
太多站点设置了“除外部用户以外的所有人”（EEEU）	SAM 数据访问治理报告 + 权限清理
广泛共享的站点中包含敏感内容	敏感度标签（加密）+ 站点的容器标签
某个站点不应出现在 Copilot 结果中，但却出现了	在站点上启用受限内容发现（RCD）
应从 Copilot 接地内容中排除已标记的内容	适用于 Microsoft 365 Copilot 的 DLP
共享链接泛滥	SAM 共享链接报告 + 清理策略

经验法则：评估（DAG 报告）-> 分类（标签）-> 限制（RCD、链接策略）-> 排除（适用于 Copilot 的 DLP）-> 治理（站点生命周期）。最常见的失败原因是跳过评估步骤。

方法

1. 评估 - 使用 SharePoint Advanced Management (SAM) 数据访问治理报告查找过度共享问题：对“所有人/EEEU”的访问权限、广泛共享的站点、共享链接，以及已授予权限但包含敏感内容的项目。 验证：DAG 报告列出带有所有者信息的高风险站点前 N 名。
2. 联系站点所有者 - 告知高风险站点的所有者预期采取的补救措施；不要在不了解所有者背景的情况下集中进行补救。 验证：已创建所有者补救工单/问题并设定截止日期。
3. 分类和标记 - 对敏感内容应用敏感度标签；为站点应用容器标签。标签可加密并限制访问，Copilot 会遵循标签权限。 验证：最高级别的标签会加密文件，并确保未经授权的测试用户无法通过 Copilot 获取该文件。
4. 限制 - 在敏感站点上使用受限访问控制 / 受限内容发现（RCD），收紧“除外部用户以外的所有人”授权，并清理共享链接。 验证：启用 RCD 的站点不再出现在测试用户的 Copilot 答案中。
5. 应用适用于 Copilot 的 DLP - 使用适用于 Microsoft 365 Copilot 的 DLP，在需要时从 Copilot 处理中排除已标记的内容。 验证：引用已标记内容的测试提示词会被排除或触发警告。
6. 治理生命周期 - 应用站点生命周期/访问权限审查，防止问题反弹；在 SAM 中设置非活动站点策略。 验证：非活动站点已归档，或所有者已按规定周期重新确认。
7. 使用 DSPM for AI 进行监控 - 持续发现 Copilot 可访问的未标记敏感文件，并据此继续标记和限制。 验证：DSPM for AI 周报中的未标记敏感内容数量有所减少。

防护措施

• 在大范围启用 Copilot 之前解决过度共享问题；试点可以仅针对范围明确且已清理的站点开展，但未经评估就面向整个租户启用，会很快引发用户投诉。
• 敏感度标签加密是最强有力的控制措施：用户无法解密/提取的内容，Copilot 也无法使用；请仅用于真正敏感的内容。
• 过度共享控制是持续进行的治理工作，而非一次性清理——每天都会创建新站点，若没有策略，共享链接也会不断增多。
• 与站点所有者协调；集中批量移除权限会破坏正当协作，并削弱大家对计划的信任。
• SAM 需单独授权（E5 / 独立 SKU）——请先确认是否已获得授权，再假设可以使用相关报告。

常见反模式

• 在整个 Copilot 租户中启用 Copilot，然后再试图补救过度共享问题——用户已经看到了 不该看到的文件。
• 只运行一次 DAG 报告，修复排名前 20 的站点，然后就宣布完成。
• 为求稳妥，用最高级别的标签加密所有内容——这会同时破坏外部协作和 Copilot 的内容依据。
• 将受限内容发现应用于租户的一半——用户会抱怨 Copilot 毫无用处。
• 因为报告太长而忽略共享链接。

示例提示词

• Make SharePoint Copilot-ready by remediating oversharing.
• Use SharePoint Advanced Management to tighten site permissions before Copilot.
• How do I stop Copilot surfacing files users should not see?
• Run data access governance to limit Copilot content.
• Apply restricted content discovery to a sensitive site.

Microsoft Learn

• Copilot 数据保护注意事项：https://learn.microsoft.com/purview/ai-microsoft-purview-considerations
• SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
• 数据访问治理报告：https://learn.microsoft.com/sharepoint/data-access-governance-reports
• 受限内容发现：https://learn.microsoft.com/sharepoint/restricted-content-discovery
• 为 Copilot 做好准备：https://learn.microsoft.com/copilot/microsoft-365/microsoft-365-copilot-requirements
• Microsoft 365 的 DLP（概述）：https://learn.microsoft.com/purview/dlp-learn-about-dlp