Documentos confidenciais no Copilot: como evitar a exposição

O Microsoft 365 Copilot não cria acesso novo, ele devolve em segundos o que a permissão do usuário já permitia, e é por isso que a pasta da diretoria de uma cooperativa de crédito, com link aberto para toda a organização desde uma reunião de planejamento de dois anos atrás, passa a aparecer na resposta de qualquer colaborador que pergunte sobre inadimplência da carteira. Antes do Copilot ninguém achava a pasta porque ninguém a procurava, e agora a pergunta em linguagem natural faz essa busca por ele.

Em resumo

• O Copilot respeita as permissões que já existem, então o risco está no compartilhamento excessivo acumulado no SharePoint, e é lá que a correção acontece.
• A sequência é confirmar licenças, rodar os relatórios de governança de acesso a dados, priorizar os sites de maior risco, conter com a restrição de descoberta de conteúdo, corrigir permissão e links, aplicar rótulos de confidencialidade e liberar por grupos.
• O SharePoint Advanced Management vem incluído nas licenças do Copilot, então os relatórios e a restrição de descoberta não exigem compra à parte para quem já tem o Copilot no tenant.
• A restrição de descoberta de conteúdo só tira o conteúdo da busca e das respostas, e a permissão errada continua por baixo até alguém corrigi-la.
• A licença do Purview que cobre cada recurso de rótulo e de prevenção de perda de dados deve ser conferida na tabela oficial da Microsoft antes de qualquer promessa à diretoria.

Como evitar que o Copilot exponha documentos confidenciais?

Antes de liberar o Copilot, ache os sites com permissão larga demais nos relatórios de governança de acesso a dados do SharePoint Advanced Management, esconda os críticos com a restrição de descoberta de conteúdo enquanto corrige permissões e links, e só então rotule o que é confidencial e libere por grupos. Tudo isso roda no centro de administração do SharePoint e no portal do Microsoft Purview, e é necessário sempre que o tenant tem sites antigos, links abertos ou grupos grandes com acesso a pastas sensíveis.

A própria Microsoft descreve que o Copilot só traz conteúdo ao qual o usuário já tem ao menos permissão de leitura, o que está na página de segurança e proteção de dados do Microsoft 365 Copilot. O roteiro oficial para o problema está no plano de implantação do Copilot contra o compartilhamento excessivo, que se divide em piloto, implantação e operação, e cujo primeiro passo é usar o Purview e o SharePoint Advanced Management para achar sites e arquivos com compartilhamento excessivo, sem dono, inativos ou com dado sensível. O artigo do blog do Copilot que originou esta pauta resume o mesmo caminho. O que segue cobre a parte anterior à liberação, que na prática é o piloto e o começo da implantação, e os nomes de tela seguem a documentação atual no momento da escrita: o portal muda de rótulo com frequência, por isso cada passo traz a página que vale conferir.

O que você precisa antes de começar

• Licença: pelo menos uma licença do Microsoft 365 Copilot no tenant ou o complemento do SharePoint Advanced Management, conforme a visão geral do SharePoint Advanced Management.
• Função no SharePoint: administrador do SharePoint ou administrador global para abrir os relatórios de governança de acesso a dados.
• Função no Purview: uma das funções listadas na página de permissões do Microsoft Purview que permitem criar e publicar rótulos de confidencialidade.
• Ambiente: o módulo Microsoft.Online.SharePoint.PowerShell em versão atual, instalado como descreve a página de conexão ao SharePoint Online pelo PowerShell.
• Para liberar por grupos: um grupo de segurança no Microsoft Entra para o piloto, já que a atribuição de licença por grupo é feita no Entra.
• Do lado do negócio: a lista dos sites e pastas que a cooperativa já sabe serem críticos, como diretoria, conselho de administração, comitê de crédito, auditoria interna e cadastro de cooperados.

Quando este roteiro não serve

Se o tenant não tem nenhuma licença do Copilot nem o complemento do SharePoint Advanced Management, parte das ferramentas não estará disponível, e é justamente a parte que acelera a descoberta: sem os relatórios e sem a restrição de descoberta, os passos 2 e 4 viram revisão manual de permissão site a site, que funciona numa cooperativa pequena e fica inviável numa central com muitas unidades. Nesse caso, resolva primeiro o licenciamento, ou use o roteiro só nos passos 5 e 6, que dependem de permissões e rótulos e não do complemento.

Passo a passo: achar, conter, corrigir e proteger

A ordem importa porque cada passo reduz o risco do seguinte: você descobre antes de esconder, para saber o que há de exposto e onde, e esconde antes de mexer em permissão, porque a contenção protege o conteúdo enquanto a correção ainda está em andamento. Só depois, quando a permissão deixou de ser o problema, vem o rótulo, que então passa a valer sobre um acesso já corrigido.

O passo 5 está em destaque porque é a correção real, e o passo 4 só esconde o conteúdo enquanto ela não termina.

1. Confirmar licenças e funções. No centro de administração do Microsoft 365, abra Cobrança, Licenças, e confirme que as licenças do Copilot aparecem com quantidade disponível. Depois entre no centro de administração do SharePoint e verifique se o menu Relatórios mostra a opção Governança de acesso a dados. Se ela não aparecer, o problema costuma ser função ou licença, e descobrir isso agora custa menos do que descobrir no meio do piloto.
2. Rodar os relatórios de governança de acesso a dados. No centro de administração do SharePoint, vá em Relatórios, Governança de acesso a dados, e gere os relatórios de links de compartilhamento (links para qualquer pessoa e links para toda a organização), de conteúdo compartilhado com "Todos, exceto usuários externos" e de rótulos de confidencialidade aplicados a arquivos, além do que lista sites com grande número de usuários com permissão. Os nomes exatos dependem da versão do painel, então confira a lista na página dos relatórios. A geração leva algum tempo, e quando terminar vale exportar o resultado e guardar como linha de base, porque é com essa cópia que você vai provar, no passo 7, que o risco caiu.
3. Priorizar os sites de maior risco. Cruze o relatório com a lista do negócio e ordene a fila pelo que combina conteúdo sensível com público grande, e não pelo tamanho do site. Um site pequeno com a ata do comitê de crédito e um link para toda a organização vem antes de um site enorme de campanhas já públicas. A tabela logo depois da lista traz um critério para essa ordem.
4. Conter com a restrição de descoberta de conteúdo. Para cada site crítico da fila, ligue a restrição de descoberta de conteúdo, que tira o site da pesquisa em toda a organização e das respostas do Copilot enquanto você corrige o resto. A página da restrição de descoberta de conteúdo descreve o recurso e o comando, que roda com o módulo do SharePoint Online:
   @@BLOCO_DE_CODIGO_0@@
   O primeiro comando abre a sessão administrativa, o segundo liga a restrição no site informado e o terceiro devolve a propriedade para você confirmar que ficou como True. Há limite de sites por tenant para esse recurso, então use a contenção para o que é crítico e não para o tenant inteiro, e lembre que ela vale para todos, inclusive para quem é dono do conteúdo: a diretoria também deixa de receber respostas do Copilot sobre o próprio site enquanto a restrição estiver ligada.
   A armadilha deste passo é tratar a contenção como solução. A restrição só tira o conteúdo da busca e das respostas, e a permissão continua errada por baixo, de modo que quem tem o endereço do link ou abre o site direto continua com acesso. Ela compra tempo para o passo seguinte e não o substitui.
5. Corrigir permissão e links. Esta é a correção de fato, e no centro de administração do SharePoint ela passa por trocar o grupo "Todos, exceto usuários externos" por grupos específicos, trocar links para toda a organização por links para pessoas específicas, dar dono aos sites que não têm e rever o que está parado. A revisão de acesso a sites do SharePoint Advanced Management serve para delegar essa conferência ao dono de cada site, que é quem sabe se a análise de crédito de uma agência ainda precisa ser vista por todos. Para estancar o problema na origem, mude o tipo de link padrão para pessoas específicas:
   @@BLOCO_DE_CODIGO_1@@
   O parâmetro está descrito na referência do Set-SPOTenant, e o mesmo ajuste existe no painel, em Políticas, Compartilhamento. Ele muda só o que será criado daqui em diante, e os links que já existem continuam valendo até serem removidos.
6. Aplicar rótulos de confidencialidade. No portal do Microsoft Purview, abra Proteção de Informações, Rótulos de confidencialidade, crie os rótulos que a cooperativa precisa (por exemplo, Interno, Confidencial e Confidencial da diretoria) e publique-os por meio de uma política de rótulos. Habilite os rótulos para arquivos do Office no SharePoint e no OneDrive, como descreve a página de rótulos de confidencialidade em arquivos do SharePoint e do OneDrive, e use o rótulo padrão da biblioteca para que o que entra na pasta do comitê já nasça rotulado. O ponto que costuma surpreender é que o rótulo sem criptografia não restringe o acesso, de modo que ele sozinho não impede o Copilot de usar o arquivo, e é a criptografia, com seus direitos de uso, que o Copilot respeita, conforme a documentação de proteção de dados.
   Antes de prometer qualquer recurso à diretoria, abra o guia de licenciamento de segurança e conformidade do Microsoft 365 e confirme, linha por linha, em qual licença entram a rotulagem manual, o rótulo padrão de biblioteca, a rotulagem automática e a prevenção de perda de dados voltada ao Copilot. Essa informação muda entre planos e ao longo do tempo, e afirmar de memória é o jeito mais rápido de a conta chegar errada ao gerente de TI. O desenho das políticas de rótulo e de prevenção de perda de dados em si fica no nosso post sobre Purview com Copilot, e o que muda quando é um agente que lê o site está no nosso post sobre segurança de agentes no SharePoint.
7. Liberar por grupos. No centro de administração do Microsoft Entra, abra Grupos, Todos os grupos, escolha o grupo de piloto e atribua a licença do Copilot em Licenças. Comece por quem trabalha em sites já corrigidos, como a própria TI, a comunicação e uma agência-piloto, e amplie por ondas só depois de repetir os relatórios do passo 2 e de ver a queda frente à linha de base. É nessa repetição periódica que a fase de operação do roteiro oficial se sustenta, porque o compartilhamento excessivo volta sempre que alguém cria um link com pressa.

Como ordenar a fila de sites

Como validar que deu certo

A validação tem três frentes, e a primeira é técnica: o Get-SPOSite do passo 4 deve devolver RestrictContentOrgWideSearch como True nos sites contidos. A segunda é o teste de usuário, em que você usa duas contas, uma com acesso e outra sem acesso ao site da diretoria, e pergunta no Copilot Chat por um assunto que só aparece naquela pasta, como as metas aprovadas para o próximo exercício. O esperado é que nenhuma das duas receba trecho do site contido, e que o Copilot diga que não encontrou o conteúdo, porque a contenção tira o site das respostas de todos. A indexação não é instantânea, então repita o teste depois de algumas horas antes de concluir que algo falhou.

A terceira frente é a comparação com a linha de base: gere de novo os relatórios do passo 2 e confira se caíram os links para toda a organização, o conteúdo compartilhado com "Todos, exceto usuários externos" e o número de sites sem rótulo com conteúdo sensível. Para os rótulos, abra um arquivo do site no Word e veja se o rótulo aparece na barra, e confirme na biblioteca se o arquivo novo nasce com o rótulo padrão. Quando a restrição de descoberta já pode ser desligada em um site, ou seja, quando a permissão foi de fato corrigida, desligue com $false e repita o teste com a conta sem acesso, que é a prova de que a permissão agora segura sozinha.

Erros comuns e causas

"The term 'Connect-SPOService' is not recognized as the name of a cmdlet, function, script file, or operable program"

O módulo Microsoft.Online.SharePoint.PowerShell não está instalado ou não foi importado na sessão, e por isso o comando não é reconhecido. Instale ou atualize o módulo conforme a página de conexão ao SharePoint Online, e então abra uma sessão nova do Windows PowerShell para que o módulo seja carregado do zero.

"A parameter cannot be found that matches parameter name 'RestrictContentOrgWideSearch'"

A versão do módulo é antiga e ainda não conhece o parâmetro da restrição de descoberta, e é por isso que o comando falha mesmo com a sintaxe certa. Atualizar o módulo resolve, e vale checar também se o tenant tem o complemento ou a licença do Copilot que habilita o recurso, porque sem eles o parâmetro continua indisponível depois da atualização.

O Copilot continua citando um documento do site contido

As causas mais comuns são a indexação ainda em andamento, a restrição aplicada ao site errado e a cópia do arquivo em outro lugar, como o OneDrive de um colaborador ou um anexo de e-mail, que a restrição do site de origem não alcança. Procure o arquivo pelo nome nos relatórios e trate a cópia pela permissão dela, não pelo site original.

O rótulo não aparece no Word ou na biblioteca

Em geral a política de rótulos ainda não foi publicada para aquele usuário, a propagação não terminou ou os rótulos não foram habilitados para arquivos do Office no SharePoint e no OneDrive. Confira os três nessa ordem, e se o rótulo exige um recurso de licença que o tenant não tem, o portal costuma mostrar a opção desabilitada.

O que levar para quem aprova

Depois de pronto, o Copilot só encontra o que a cooperativa decidiu que cada pessoa pode ver, com os sites críticos contidos, os links abertos substituídos por acessos nominais e o confidencial rotulado, e a TI passa a ter relatórios que podem ser repetidos a cada ciclo. O custo de licença é baixo para quem já tem o Copilot, porque o SharePoint Advanced Management vem incluído, enquanto os recursos de rótulo e de prevenção de perda de dados dependem do plano do Purview e precisam ser conferidos na tabela oficial antes da proposta, e o esforço maior está em dar dono e rever permissão site a site, que depende de gente do negócio e continua depois da implantação. O risco fica sob controle da TI porque a liberação é por grupos, a contenção é reversível por site e a repetição dos relatórios mostra se o compartilhamento excessivo voltou, sem depender de fornecedor para operar.

Se ajudar, a Trinapse já percorreu essa sequência em ambientes de cooperativas, e por isso pode montar com vocês a lista priorizada de sites a partir dos relatórios do próprio tenant. Junto vai um modelo de apresentação do plano de risco para o gerente de TI, que ajuda a levar a proposta à decisão com os mesmos dados que a equipe já terá em mãos.