Bei aller Euphorie für die neuen Möglichkeiten, die M365 Copilot bietet, ist es von entscheidender Bedeutung, eine Frage zu beantworten: “Wann ist der Einsatz von Microsoft 365 Copilot sicher?”. Aus der allgemeinen Datenschutz- und IT-Securtiy-Perspektive kann der Einsatz von M365 Copilot als sicher betrachtet werden, vorausgesetzt, dass M365 sicher implementiert & evaluiert ist. Der Schlüssel zum Verständnis der Sicherheit von Copilot liegt darin, dass dieser auf den bestehenden Sicherheitsmechanismen von M365 aufbaut. Das bedeutet, dass alle Richtlinien, Kontrollen und Sicherheitsmaßnahmen, die bereits für M365 eingerichtet wurden, auch für den Einsatz von Copilot gelten.
Das Problem mit der Informationssicherheit
Ein wesentliches Detail, das es zu beachten gilt, ist, dass Copilot auf alle Informationen Zugriff hat, die auch für den Nutzer sichtbar sind. Dies wirft wichtige Fragen hinsichtlich des Least Privileg-Prinzips und der Zugriffsrechteverwaltung auf. In einem Umfeld, in dem Mitarbeitende möglicherweise mehr Zugriffsrechte haben, als sie für ihre tägliche Arbeit benötigen, könnte Copilot unbeabsichtigt zu einem Risiko werden. Die Lösung für dieses Problem liegt in der Implementierung eines Zero-Trust-Sicherheitsmodells.
Der Copilot wird zur Gefahr für die Informationssicherheit, wenn Nutzer zu viele Rechte haben. Durch den M365 Copilot wird es eine Leichtigkeit, alle sichtbaren Informationen abzurufen. Wer den M365 Copilot (sicher) einsetzen will, muss die Prinzipien des Zero Trust Frameworks beachten.
Funktionsweise des M365 Copilot
Was ist Zero Trust?
Zero Trust ist ein Security Framework, welches die Infrastruktur und die Daten in der heutigen digitalen Transformation sichert. Zero Trust geht vom Ansatz aus, dass keine Netzwerkgrenzen existieren. Netzwerke können lokal, in der Cloud oder in beiden Umgebungen existieren. Zudem sind Benutzer und Ressourcen verteilt und können in irgendeinem Standort liegen. Das Zero Trust Framework geht damit weg vom traditionellen Ansatz „Trust but verify“. Das ursprüngliche Framework verfolgte den Grundsatz, dass innerhalb der Organisation ein automatisches Vertrauen vorhanden ist. Dadurch bestand das Risiko von internen Akteuren, welche durch gefährdete Konten einen weitgehenden Zugriff hatten. War der Angreifer somit einmal innerhalb der Organisation angekommen, konnte er sich meistens lateral bewegen und somit beträchtlichen Schaden verursachen. Das Modell des „Trust but verify“-Ansatzes ist mittlerweile durch Cloud Migrationen, Business Transformationen und Remote Work obsolet geworden.
Was ist das Zero Trust Framework?
Ein Framework ist immer ein Regelwerk oder ein Ordnungsrahmen, an dem sich Betroffene orientieren können und in dem man sich flexibel bewegen kann. Man muss daher immer beachten, dass Maßnahmen und Initiativen am Framework orientiert sind, jedoch auf die betroffene Organisation abgestimmt wurden. Wie bereits erwähnt, verfolgt Zero Trust den Grundsatz, dass keine Netzwerkgrenzen mehr existieren. Dies kommt daher, dass Netzwerke nicht mehr nur lokal, sondern auch über die Cloud oder in einem hybriden Modell zur Verfügung stehen müssen. Des Weiteren sind Benutzer und Ressourcen nicht mehr nur lokal an einem Standort tätig, sondern über mehrere, zum Teil auch individuelle Standorte verteilt. Doch was hat dies zur Folge?
Benutzer und Ressourcen werden, obgleich innerhalb oder außerhalb des Netzwerks oder der Organisation, regelmäßig authentisiert, autorisiert und validiert. Erst dann kann auf ein Netzwerk, ein System, eine Applikation oder auf Daten zugegriffen werden. Der richtige Grad an Berechtigungen und Attributen wird ständig verifiziert. Um dies umsetzen zu können, umfasst das Zero Trust Framework den gesamten Bereich an Zugriffs-, Netzwerk- und Datenpunkten. Das trägt ebenfalls dazu bei, Microsoft 365 Copilot sicher zu verwenden.
Das Zero Trust Security Framework beinhaltet demnach ein breites Spektrum an Themen, welches Unternehmen und Organisationen abdecken müssen. Es ist nötig, einen wirksamen Identitätsschutz zu etablieren, der die Authentifizierung sowie die Verschlüsselung der Daten gewährleistet. Dies kann durch eine robuste Cloud Technologie unterstützt werden. Zudem muss die Sicherheit bei Endpoints und Systemen ausgebaut werden. Des Weiteren darf man die Nachverfolgung und das Monitoring nicht vernachlässigen. Es gilt, ein automatisiertes System aufzubauen, welches kritische Aktivitäten erkennt und eliminiert. Zusätzlich ist die Wartung und Pflege der Systemsicherheit der Schlüssel für einen nachhaltigen Schutz der Organisation. Prozesse müssen anpassbar entwickelt werden, um auf die sich immer schneller ändernden Bedrohungen reagieren zu können.
Fazit: Microsoft 365 Copilot sicher einsetzen geht nur mit Zero Trust
Bei Fragen oder Anregungen zum Thema New Work, zur Microsoft Welt oder zu Collaboration Tools stehen wir Ihnen gerne beratend zur Seite. Wir freuen uns auf Ihre Kontaktaufnahme.
Weitere Blogartikel aus Bereichen, die von New Work, über Microsoft 365 bis hin zu Sustainable IT reichen, finden Sie auf unserer Blogseite.
Quellen: Microsoft
Kostenloses Whitepaper
Sicherer Einsatz von Microsoft 365 Copilot mit Zero Trust
Sie wollen den Microsoft 365 Copilot sicher nutzen? Wir zeigen Ihnen, wie das geht. Dazu lösen wir das Problem der Informationssicherheit, indem Zero Trust Prinzipien konsequent in M365 angewendet werden.
- Microsoft 365 Copilot
- Exkurs Informationssicherheit
- Zero Trust
