案例01｜Copilot 上線前風險評估：過度分享、分類與存取控制
| 核心主題 | 主要觀點／方法 | 實務用途 | 重要條件／限制 |
|---|---|---|---|
| 資訊保護 | 防止未授權存取、使用、揭露、修改或遺失組織資料 | Copilot 導入前建立資料安全基礎 | 人工智慧會利用既有權限，因此底層治理品質很重要 |
| 風險評估 | 檢查身分安全狀態、資料分類、存取控制、SharePoint／Teams 蔓延與訓練缺口 | 找出導入前需要修正的弱點 | 只有報告而沒有修正資源會變成紙上作業 |
| 零信任（Zero Trust） | 假設資安事件已發生，對每次存取持續驗證 | 強化雲端／遠距工作環境的存取安全 | 需要身分、裝置、脈絡與政策一起運作 |
| 資料分類與敏感度標籤（Sensitivity Labels） | 辨識敏感資訊並套用適當保護 | 降低 Copilot 處理敏感內容時的曝露風險 | 錯誤分類仍可能造成過度分享 |
| 資料外洩防護（Data Loss Prevention, DLP） | 偵測與限制敏感資訊不當使用／分享 | 在 Microsoft 365 工作流中強化控制 | 政策需配合實際業務與誤判管理 |
| 小規模試行導入 | 若風險評估發現重大缺口，先用小群體試行並壓力測試控制 | 降低全面上線前的安全不確定性 | 不是永久拖延治理，而是邊試行邊修正 |
第 4 章的核心前提是：Microsoft 365 Copilot 只會呈現使用者原本有權存取的資料，但如果既有權限、分類與內容治理本來就有問題，Copilot 可能讓這些問題更容易被看到。
因此導入前不能只做產品啟用。原書要求先檢查身分、條件式存取（Conditional Access）、分類、保留政策、SharePoint 管理與 DLP 等安全基礎，再透過跨功能風險評估找出弱點。
若組織尚未準備好，原書建議採小規模試行導入，先讓小型使用者群測試，同時補強控制。Copilot 導入因此也是重新檢視資訊保護成熟度的機會。