Copilot-Rollout ve Oversharing Riski: SharePoint İzinleri Neden Önce Temizlenmesi Gerekiyor

Microsoft 365 Copilot dağıtılır dağıtılmaz, birçok BT departmanında aynı geri bildirimler artıyor: Çalışanlar yapay zeka (YZ) aracılığıyla aniden daha önce haber almadıkları belgeleri buluyorlar; örneğin maaş listeleri, sözleşme taslakları veya dahili strateji belgeleri.

Bu, Copilot'un bir hatası değildir; yıllar içinde büyüyen ve hiçbir zaman temizlenmeyen SharePoint izinlerinden kaynaklanmaktadır. Copilot sadece bu sorunu görünür kılıyor, onu yaratmadı.

Copilot neden aniden daha önce kimsenin bulamadığı içeriği gösteriyor?

Copilot sadece bir kullanıcının zaten izni olan içeriğe erişir; mevcut erişim hakları saygı gösterilerek karşılanır ve atlanmaz (Kaynak: Microsoft, Copilot Arama SSS).

Asıl sorun, birçok SharePoint sitesinin yıllar içinde "Herkese Dış Kullanıcılar Hariç" (EEEU), açık paylaşım bağlantıları veya kopuk izin devralınması biriktirmesidir; bunlar daha önce hiçbir zaman aranmamıştır, çünkü hiçbir insan yapay zeka (YZ) kadar verimli arama yapamadı (Kaynak: Microsoft, Copilot İçin Sıfır Güven). Copilot saniyeler içinde arar; bir çalışan daha önce saatler harcamak zorunda kalabilirdi, ve her unutulan paylaşımı hemen bulunabilir kılıyor.

Katı belgelendirme yükümlülükleri olan kuruluşlar için, örneğin insan kaynakları veya kamu yönetiminde, bu sadece bir uyumluluk ayrıntısı değildir: Dahili bir yapay zeka (YZ) aracı yanlışlıkla erişim yetkisine hiç sahip olmaması gereken kişisel verileri açığa çıkarsa, kendi veriler üzerindeki kontrol risk altında kalır; bu tam da yönetişim olmadan otomasyon rahatlama yerine risk haline geldiği noktadır.

SharePoint Advanced Management nedir ve rollout sırasında ne için kullanılır?

SharePoint Advanced Management (SAM), yöneticilerin Copilot-Rollout'tan önce aşırı izinleri tanımlamasına ve düzeltmesine yarayan araçları bir araya getiriyor; bunlara Veri Erişim Yönetişimi Raporları, İçerik Yönetimi Değerlendirmesi ve Site Erişim İncelemesi dahildir (Kaynak: Microsoft, Copilot için SharePoint Advanced Management'e Hazırlanın).

Site Erişim İncelemesi, aşırı izinli sitelerin kontrolünü doğrudan ilgili Site Sahiplerine devreder; bu BT'yi rahatlatır ve sorumluluğu içerik konusundaki teknik bilginin bulunduğu yere yerleştirir. Değişim Geçmişi Raporları ek olarak son 180 gün içindeki tüm web sitesi eylemlerini ve ayar değişikliklerini gösterir; iki inceleme arasında gözden kaçan izin büyümesi için ne kadar alan açıldığının kanıtıdır (Kaynak: Microsoft, Değişim Geçmişi Raporu).

Restricted Content Discovery acil bir ölçü olarak nasıl yardımcı olur?

Restricted Content Discovery (RCD), bir sitenin içeriğinin kuruluş genelindeki arama ve Copilot'ta görünmesini engeller; temel alınan izinleri değiştirmez (Kaynak: Microsoft, SharePoint Sitelerinin ve İçeriğinin Keşfini Kısıtlayın).

Bir siteye zaten erişimi olan kullanıcılar bu erişimi tamamen korurlar; yalnızca arama ve Copilot aracılığıyla bulunabilirliği kısıtlanır; kontrol altında olan siteler için temiz bir ara adımdır. Ancak 500.000'den fazla öğesi olan çok büyük siteler için güncelleme bir haftadan fazla sürebilir; çünkü ayar arama dizinleri aracılığıyla yayılması gerekir (Kaynak: Microsoft, Restricted Content Discovery).

Bunun yerine daha eski Restricted SharePoint Search'ü kullananlar geçiş yapmalıdır: Microsoft, yeni kurulumunu 31 Temmuz 2026'dan itibaren engeller ve açıkça RCD'yi ardıl çözüm olarak gösterir (Kaynak: Microsoft, Kısıtlı SharePoint Araması).

Temiz bir Copilot-Rollout'a hangi dört adım dahil olur?

Microsoft'un kendi dağıtım kılavuzu, Oversharing'i önlemeyi dört aşamalı bir süreç olarak tanımlar: Purview veri riski değerlendirmeleri ve SAM İçerik Yönetimi Değerlendirmesi ile risk sitelerini tanımla; RCD ve Copilot'a yönelik Veri Kaybı Önleme kuralları ile geçici olarak güvenli hale getir; erişim hakları ve izin devralınmasını düzelt; ve sonunda Kısıtlı Erişim Kontrolü üzerinden kalıcı olarak yetkili gruplara sınırla (Kaynak: Microsoft, Microsoft 365 Copilot İçin Güvenli ve Yönetilen Bir Temel Yapılandırın).

NordFlux projelerinde bu ilk adım düzenli olarak her Copilot lisanslaması öncesinde çalışır; sonrasında değil: Yönetimden bir müşteri için Copilot başlangıçta kiracı genelinde etkinleştirilmeliydi; ama İçerik Yönetimi Değerlendirmesi, aktif sitelerin dikkate değer bir bölümünün eski bir SharePoint göçü EEEU paylaşımını hala taşıdığını gösterdi. Temizlemeden sonra rollout canlı oldu; dikkate değer ama temiz bir saldırı yüzeyiyle.

Microsoft 365 ortamımıza yönelik yaklaşımımız hakkında daha fazla bilgi için Microsoft 365 Otomasyonu başlığımıza okuyun; Copilot rollout'ları çevresinde eşlik eden yönetişim danışmanlığı için YZ Danışmanlığı.

Sık Sorulan Sorular

Restricted Content Discovery, mevcut izinleri değiştirir mi?

Hayır. RCD sadece kuruluş genelindeki arama ve Copilot aracılığıyla bulunabilirliği etkiler; erişim hakları üzerinde değil. Zaten erişimi olan kullanıcılar içeriğe doğrudan erişmeye devam edebilirler.

Riski önlemek için Copilot'u basitçe lisanslamamak yeterli mi?

Hayır, kalıcı olarak değil. Aşırı izinler Copilot'tan bağımsız olarak mevcuttur ve bir sonraki rollout veya genişletilmiş arama işlevinde aynı şekilde görünür hale gelecektir. Rollout'tan sonra tepki vermekten rollout'tan önce temizlemek daha ucuzdur.

Temizleme tipik olarak ne kadar sürer?

Siteler sayısı ve büyüklüğüne bağlıdır. Tek tek çok büyük siteler için yalnızca Restricted Content Discovery'nin teknik yayılması bir haftadan fazla sürebilir; buna Erişim İncelemeleri için geçen süre ve izin devralınmasının düzeltilmesi süresi eklenir.

NordFlux, Copilot-Rollout'ta somut olarak ne yapar?

Lisanslama öncesinde SharePoint Advanced Management raporlarıyla hangi sitelerin aşırı izinli olduğunu kontrol ederiz; Copilot üretim ortamına gitmeden önce Risk Siteleri için acil ölçü olarak Restricted Content Discovery ayarlarız ve Site Sahiplerini Erişim İncelemesinde destekleriz.