Microsoft 365 Copilotの利用で機密情報が露出するおそれ、過剰なアクセス権限や共有設定が原因に

AIアシスタントの利用に伴う機密情報の露出リスク

Microsoft 365 CopilotなどのAIアシスタントを利用する際、企業の機密情報が意図せず露出するリスクが指摘されている。Copilotは利用者に付与されたアクセス権限の範囲内で情報を参照する仕組みだが、組織内の権限設定や情報共有が適切に管理されていない場合、本来想定していない相手に機密情報が表示される可能性がある。特に、過剰なアクセス権限や不必要な情報共有が残っている環境では、AIアシスタントの導入前にデータの管理状況を確認する必要がある。

Microsoft 365 Copilotに関連する情報漏えいリスクは、主に既存のアクセス権限とデータ管理の問題に起因する。Copilotは、利用者がアクセスできる文書やチャット、メールなどの情報を参照して回答を生成するため、共有設定に不備があると、本来は限られた関係者だけが閲覧することを想定していた情報が回答に含まれるおそれがある。特に、Outlookのメール、Microsoft Teamsのチャット、SharePointに保存された業務文書などに機密情報が含まれる場合、アクセス権限の設定状況が情報の露出範囲に影響する。

Copilotを安全に運用するには、情報へのアクセス権限を適切に管理し、不必要な共有設定を見直すことが重要となる。Microsoft 365で設定されているユーザーやグループの権限を確認し、業務上必要のないアクセス権限を削除することが基本的な対策となる。また、特定のプロジェクトに伴って一時的に付与した権限についても、業務終了後に見直す必要がある。機密性の高いデータについては、秘密度ラベルやデータ損失防止（DLP）ポリシーを活用することで、情報の取り扱いや共有範囲を制御できる。

AIアシスタントの利用では、従業員がプロンプトに入力する情報の管理も課題となる。パスワードや個人情報、顧客の機密情報などを業務上の必要性を確認せずに入力した場合、組織の情報管理方針に抵触したり、不適切な取り扱いにつながったりする可能性がある。ただし、Microsoft 365 Copilotへの入力内容が、そのまま外部に公開されるわけではない。組織では、利用するAIサービスのデータ処理条件を確認したうえで、入力してよい情報の範囲や取り扱い方法を従業員に周知する必要がある。

Copilotの導入前には、組織内のデータがどこに保存され、誰がアクセスできる状態にあるのかを把握することが求められる。機密性の高い情報の保存場所や共有状況を確認し、不要な権限を整理したうえで、Microsoft 365のセキュリティ設定を実際の業務環境に合わせて調整することが重要となる。導入初期には機密情報を扱う機会の少ない業務から利用を開始し、回答に含まれる情報やアクセス権限の適切性を継続的に確認することで、必要に応じた追加のセキュリティ対策を検討できる。