Microsoft 提供的保護 AI 支援企業安全指南：資料控管和安全性

1. 分類：建立可檢視性和所有權

治理旅程圖始於了解您擁有的一切。企業必須建立涵蓋結構化、非結構化和 AI 生成資料的完整可檢視性，並具備追蹤新興 AI Agent 的能力。分類需要：

• 清晰且直覺的結構描述以對應商務風險
• 在商務單位中指定資料擁有者和管理者
• 持續盤點並由 CIO 主導探索工作

分類為後續所有工作奠定基礎。

2. 標籤：讓治理成為可採取的動作

分類定義意圖，然後由標籤來強制執行。敏感度標籤將原則和真實使用情形連結起來，以影響安全性系統、存取控制，甚至是人類員工與 AI Agent 輸出的互動。

重要因素包括：

• 部署有助於強制標籤的技術，確保標籤能主動觸發安全性和資料外洩防護 (DLP) 原則
• 反映商務影響的風險導向標籤策略
• 透過員工訓練強調標籤的適用時機和方法

3. 保護：營運中的安全性

保護是將原則轉變為護欄。內容包括：

• 透過角色型存取控制 (RBAC)、Just-In-Time (JIT) 和 DLP 等存取控制措施來執行原則
• 待用資料和傳輸中資料的加密
• 自動監視過度共用和原則違規
• 符合隱私權法規的結構化事件回應計劃

這些控制確保敏感性資料受到保護，即使 AI 工具大規模地存取與處理也一樣。

4. 管理：治理整個資料生命週期

治理是持續的工作。企業必須維護：

• 符合最小化原則的資料保留和刪除原則
• 持續監控資料漂移、標籤錯誤和存取異常
• 資料所有權的自動重新認證
• 整個 IT、開發和安全性團隊中 AI Agent 的可見度與治理

透過生命週期管理降低受攻擊面，確保資料使用方式與企業價值長期保持一致。