Pracownik działu sprzedaży pyta Copilota o plany firmy na przyszły rok. W odpowiedzi dostaje streszczenie prezentacji zarządu o restrukturyzacji, która leżała na witrynie SharePoint udostępnionej całej organizacji. Copilot niczego tu nie złamał. Pokazał dokument, do którego pracownik miał dostęp od dawna, tylko nigdy go nie znalazł. Właśnie dlatego dobre wdrożenie asystenta AI zaczyna się od uprawnień, a nie od szkoleń z pisania poleceń.
Jak Copilot korzysta z uprawnień
Microsoft 365 Copilot odpowiada na podstawie danych dostępnych przez Microsoft Graph: poczty, kalendarza, czatów Teams, plików na OneDrive i SharePoint. Zawsze w kontekście konkretnego użytkownika. Jeśli ktoś nie ma dostępu do pliku, Copilot go nie wykorzysta. Jeśli ma, choćby przez przypadek, Copilot może go znaleźć, streścić i zacytować.
Przez lata wiele firm nieświadomie polegało na tym, że trudno coś znaleźć. Plik udostępniony zbyt szeroko nikomu nie szkodził, bo nikt nie wiedział, gdzie go szukać. Asystent AI kończy z tym podejściem: wyszukuje semantycznie, po znaczeniu, a nie po nazwie pliku, więc dociera do treści, o których istnieniu użytkownik nie miał pojęcia.
Skąd biorą się zbyt szerokie uprawnienia
W typowym środowisku Microsoft 365 nadmierne udostępnianie nie jest wynikiem jednej złej decyzji, tylko lat drobnych wygód. Najczęściej spotykamy:
- witryny i zespoły Teams ustawione jako publiczne w ramach organizacji, choć zawierają materiały jednego działu,
- uprawnienia nadane grupie obejmującej wszystkich pracowników, żeby „nie było problemu z dostępem”,
- linki do plików udostępnione całej organizacji i nigdy nie wycofane,
- zespoły bez właściciela, w których nikt nie odpowiada za to, kto ma dostęp,
- dane przeniesione z udziałów sieciowych razem z szerokimi uprawnieniami sprzed lat,
- konta gości, którzy dawno skończyli współpracę z firmą.
Żaden z tych przypadków nie jest wyjątkowy. Razem tworzą jednak sytuację, w której informacje kadrowe, finansowe czy dotyczące klientów są w zasięgu znacznie większej grupy osób, niż ktokolwiek planował.
Narzędzia, które pomagają zrobić porządek
Microsoft udostępnia kilka mechanizmów, które pozwalają ocenić skalę problemu i ograniczyć ryzyko bez blokowania pracy. SharePoint Advanced Management generuje raporty nadmiernego udostępniania, pozwala zlecić właścicielom witryn przegląd dostępu i ograniczyć widoczność wybranych witryn w wynikach Copilota oraz wyszukiwania. Microsoft Purview odpowiada za klasyfikację danych: etykiety poufności, zasady zapobiegania utracie danych i mechanizmy, które pozwalają wyłączyć oznaczone treści z przetwarzania przez Copilota.
Same narzędzia nie rozwiązują jednak problemu. Raport pokaże tysiące witryn z szerokim dostępem, ale to ludzie muszą zdecydować, które z nich są w porządku, a które wymagają zmian. Tu potrzebne jest doświadczenie w prowadzeniu takich projektów i dobra współpraca z właścicielami danych po stronie biznesu.
Kolejność prac w praktyce
Porządkowanie uprawnień w dużej organizacji może trwać długo, ale nie musi wstrzymywać wdrożenia. Sprawdza się podejście etapowe:
- Diagnoza: raporty udostępniania, lista witryn z największą liczbą użytkowników i miejsc, gdzie leżą dane wrażliwe.
- Szybkie zabezpieczenia: ograniczenie widoczności w Copilocie dla najbardziej ryzykownych witryn, na przykład kadrowych, prawnych czy zarządu, zanim zostaną dokładnie przejrzane.
- Klasyfikacja: wdrożenie etykiet poufności z jasnymi zasadami, często z domyślną etykietą dla nowych dokumentów.
- Przeglądy dostępu z udziałem właścicieli witryn i zespołów, połączone z porządkami w kontach gości.
- Zasady cyklu życia: archiwizacja nieaktywnych witryn i zespołów oraz wymóg posiadania właściciela.
- Stały monitoring, bo uprawnienia wracają do bałaganu, jeśli nikt ich nie pilnuje.
Dzięki temu pilotaż Copilota może ruszyć po etapie szybkich zabezpieczeń, a dalsze porządki postępują równolegle.
Kto decyduje o dostępie do danych
Administratorzy Microsoft 365 widzą, kto ma dostęp do witryny, ale rzadko wiedzą, kto powinien go mieć. Tę wiedzę mają działy: kadry wiedzą, które dokumenty są poufne, finanse wiedzą, kto pracuje nad budżetem. Dlatego w projekcie porządkowania uprawnień najważniejsze jest wyznaczenie właścicieli danych po stronie biznesu i danie im prostych narzędzi do przeglądu.
Partner przygotowuje ten proces tak, żeby nie obciążał nadmiernie ludzi z działów. Zamiast arkusza z tysiącami wierszy właściciel dostaje krótką listę swoich witryn, informację, kto ma do nich dostęp, i jasne pytanie: zostawić czy ograniczyć. Taki przegląd zajmuje kilkanaście minut, a nie kilka dni.
Jak mierzyć postęp
Żeby porządki nie zamieniły się w niekończący się projekt, warto od początku ustalić kilka prostych mierników i śledzić je co miesiąc:
- liczbę witryn i zespołów dostępnych dla całej organizacji,
- odsetek dokumentów oznaczonych etykietą poufności w kluczowych obszarach,
- liczbę zespołów i witryn bez właściciela,
- liczbę nieaktywnych kont gości z dostępem do zasobów firmy.
Te liczby dobrze pokazują zarządowi, że ryzyko maleje, a jednocześnie wskazują, które działy można włączać do kolejnych etapów wdrożenia Copilota.
Czego unikać
Najprostszą reakcją na raport o nadmiernym udostępnianiu jest zablokowanie Copilotowi dostępu do większości treści. To bezpieczne, ale bezużyteczne: asystent, który nie widzi dokumentów firmy, nie różni się wiele od ogólnodostępnego czatu. Ograniczenia widoczności powinny być rozwiązaniem tymczasowym, na czas porządków, a nie docelową konfiguracją.
Drugim błędem jest odkładanie wdrożenia, aż wszystkie uprawnienia będą idealne. Takiego momentu w żywej organizacji zwykle nie ma. Lepiej zabezpieczyć najbardziej wrażliwe obszary, uruchomić pilotaż w dobrze przygotowanych działach i porządkować resztę środowiska w ustalonym rytmie.
Uprawnienia jako element szerszej strategii bezpieczeństwa
Porządek w dostępie do danych to nie tylko warunek wdrożenia Copilota. To ten sam fundament, na którym opiera się podejście Zero Trust: minimalne uprawnienia, weryfikacja każdego dostępu i założenie, że naruszenie może się zdarzyć. Firmy, które potraktują projekt Copilota jako okazję do uporządkowania tych obszarów, zyskują podwójnie: bezpieczniejszego asystenta AI i mniejsze ryzyko wycieku danych niezależnie od niego.
Sii Polska – kim jesteśmy
Sii Polska działa na rynku od 2006 roku i zatrudnia ponad 7500 specjalistów w 14 oddziałach w Polsce. Firma realizuje projekty z zakresu doradztwa technologicznego, transformacji cyfrowej, inżynierii i usług biznesowych (BPO) dla ponad 200 aktywnych klientów, a w 2025 roku osiągnęła 2,2 mld zł przychodu. Jest częścią francuskiej grupy Sii, notowanej na giełdzie w Paryżu, i prowadzi działalność także na Ukrainie, w Szwecji, Indiach i Malezji.
Bezpieczne wdrożenie Copilota z Sii
Jako Microsoft Copilot partner przygotowujemy środowisko Microsoft 365 tak, żeby asystent działał bezpiecznie i bez chaosu. Analizujemy dane, uprawnienia i procesy, a jako partner AvePoint dostarczamy interaktywny pulpit, który pokazuje lokalizację danych wrażliwych, poziom ryzyka i miejsca wymagające natychmiastowych działań. Audyt i raportowanie są w pełni zautomatyzowane, a administratorzy mogą reagować od razu. Jeśli planujesz wdrożenie Copilota, zacznijmy od sprawdzenia, kto naprawdę ma dostęp do Twoich danych.
Artykuł sponsorowany
