Preparación para Microsoft 365 Copilot: primero los permisos y el sobrecompartido
Copilot solo muestra lo que cada usuario ya puede abrir, así que los sitios, equipos y enlaces sobrecompartidos quedan a la vista. Así se evalúa, limpia, etiqueta y prueba con seguridad.
Preparar su empresa para Microsoft 365 Copilot es, sobre todo, un proyecto de permisos y no de inteligencia artificial. Copilot solo trabaja con el contenido que cada usuario ya puede abrir; si sus sitios de SharePoint, equipos de Teams y enlaces de OneDrive están sobrecompartidos, Copilot hará que esa información sea rápida y fácil de encontrar. Ordene los accesos, etiquete los datos sensibles y haga un piloto con un grupo pequeño antes de licenciar a toda la empresa.
Puntos clave
- Copilot respeta los permisos existentes de Microsoft 365. No otorga accesos nuevos, pero elimina la "seguridad por oscuridad" de la que muchas empresas dependen sin saberlo.
- Los mayores riesgos son los grupos amplios ("Todos excepto usuarios externos", equipos públicos de Teams), los enlaces viejos y las carpetas con herencia rota desde hace años.
- Las etiquetas de confidencialidad de Microsoft Purview permiten clasificar y proteger los archivos más importantes; las etiquetas con cifrado pueden limitar lo que Copilot puede usar.
- Implemente por fases: evaluar, limpiar, piloto y luego escalar con una política de uso de IA y capacitación.
Por qué el sobrecompartido es el verdadero reto de Copilot
Microsoft 365 Copilot responde buscando en el contenido al que el usuario tiene acceso mediante Microsoft Graph: correo, chats, reuniones y archivos en OneDrive, SharePoint y Teams. Microsoft indica claramente que Copilot solo muestra datos de la organización para los que el usuario tiene, como mínimo, permiso de lectura.
Eso tranquiliza, pero tiene un matiz importante: en la mayoría de las pequeñas y medianas empresas nadie sabe con certeza quién puede ver qué. Una asistente legal de un bufete en Brickell puede tener acceso técnico a la hoja de compensación de los socios porque se guardó en un sitio al que pertenece todo el personal. Un contador de una firma en Coral Gables podría abrir la exportación de nómina del año pasado a través de un enlace creado para un auditor. Antes de Copilot esos archivos pasaban desapercibidos porque nadie los buscaba. Con Copilot, una pregunta inocente como "resume cuánto pagamos al personal sénior" puede incluirlos en la respuesta.
Dónde suele esconderse el sobrecompartido
| Origen | Cómo ocurre | Qué revisar |
|---|---|---|
| Membresía de sitios de SharePoint | Se agrega "Todos excepto usuarios externos" o un grupo de toda la empresa | Permisos del sitio y miembros de los grupos Visitantes/Miembros |
| Equipos públicos y grupos de Microsoft 365 | Un equipo creado como "Público" permite que cualquiera de la organización llegue a sus archivos | Privacidad del equipo y propietarios |
| Enlaces para compartir | Enlaces "Personas de su organización" o "Cualquier persona" que nunca vencen | Informes de uso compartido y política de vencimiento |
| Herencia rota | Permisos sueltos en carpetas o archivos de proyectos antiguos | Permisos únicos en bibliotecas con contenido sensible |
| Proyectos y sitios abandonados | Sitios sin dueño que todos todavía pueden leer | Fecha de última actividad, propietario, archivar o eliminar |
| Invitados | Invitados externos que siguen en Teams después de terminar un trabajo | Lista de invitados y revisiones de acceso |
Licencias y requisitos técnicos (visión general)
Microsoft 365 Copilot es una licencia complementaria que requiere un plan base elegible, como Microsoft 365 Business Standard o Business Premium, o un plan empresarial. Microsoft actualiza la lista de planes y requisitos, así que confírmela en Microsoft Learn antes de comprar. Además de la licencia, asegúrese de contar con:
- Cuentas de Entra ID con autenticación multifactor para cada usuario con Copilot. Un asistente de IA con acceso a un buzón comprometido es un regalo para los atacantes.
- Archivos en OneDrive y SharePoint, no en un servidor local ni en unidades personales, si quiere que Copilot los use. Es buen momento para decidir qué migrar y qué archivar.
- Aplicaciones de Microsoft 365 actualizadas en un canal compatible, y los nuevos Outlook y Teams donde corresponda.
- Acceso de red a los servicios de Microsoft 365 que Copilot necesita, algo importante si su firewall o filtro web es estricto.
- Un responsable claro: alguien que pueda decidir sobre la estructura de SharePoint, la retención y los accesos, no solo la persona que restablece contraseñas.
Paso 1: Averigüe quién puede ver qué
Empiece con un inventario. Microsoft ofrece varias herramientas y su disponibilidad depende de la licencia:
- Informes del centro de administración de SharePoint y, si está disponible, los informes de gobernanza de acceso a datos de SharePoint Advanced Management, que muestran sitios con uso compartido amplio, permisos de "Todos excepto usuarios externos" y muchos enlaces.
- Microsoft Purview con el explorador de contenido y de actividad (con la licencia adecuada) para ubicar archivos con información sensible, como números de Seguro Social o de cuentas bancarias.
- PowerShell para una foto rápida y exportable.
Un punto de partida sencillo con el shell de administración de SharePoint Online:
Connect-SPOService -Url https://sutenant-admin.sharepoint.com
Get-SPOSite -Limit All |
Select-Object Url, Owner, SharingCapability, LastContentModifiedDate |
Export-Csv .\inventario-sitios.csv -NoTypeInformation
Y para listar los grupos públicos de Microsoft 365 (que respaldan a Teams) con Microsoft Graph PowerShell:
Connect-MgGraph -Scopes "Group.Read.All"
Get-MgGroup -All -Property DisplayName, Visibility, GroupTypes |
Where-Object { $_.GroupTypes -contains 'Unified' -and $_.Visibility -eq 'Public' } |
Select-Object DisplayName
Ordene los resultados por sensibilidad: recursos humanos, nómina, finanzas, asuntos legales, expedientes de pacientes o clientes, fusiones y contenido de la dirección primero.
Paso 2: Limpie permisos y enlaces
La limpieza no tiene que ser un proyecto gigantesco de una sola vez. Concéntrese en el contenido que causaría daño si apareciera en la respuesta equivocada.
- Quite los grupos amplios de los sitios con contenido sensible y reemplácelos por grupos de seguridad específicos.
- Convierta en privados los equipos sensibles de Teams y confirme que cada equipo tenga al menos dos propietarios con nombre.
- Configure el vencimiento de los enlaces y cambie el tipo de enlace predeterminado a "Personas específicas" en el centro de administración de SharePoint. Revise los enlaces existentes de "Cualquier persona" y de toda la organización en bibliotecas sensibles.
- Corrija la herencia rota en las bibliotecas donde encuentre permisos sueltos. Por lo general conviene crear un sitio o biblioteca dedicada con un modelo de permisos limpio.
- Archive o elimine sitios abandonados sin dueño ni actividad reciente, respetando sus requisitos de retención.
- Haga revisiones de acceso de invitados para que proveedores y clientes anteriores pierdan el acceso que ya no necesitan.
Mientras limpia, Microsoft ofrece barreras temporales como Restricted SharePoint Search o, con SharePoint Advanced Management, Restricted Content Discovery para sitios específicos. Pueden mantener ciertos sitios fuera de la búsqueda general y de Copilot mientras corrige los permisos. Úselas como un puente, no como sustituto de un acceso bien configurado.
Paso 3: Etiquete lo importante con Microsoft Purview
Las etiquetas de confidencialidad permiten clasificar el contenido (por ejemplo Público, Interno, Confidencial, Altamente confidencial) y añadir protección como cifrado, marcas de agua o restricciones para compartir fuera de la empresa. Para Copilot ayudan de tres maneras:
- Copilot hereda las etiquetas. Cuando Copilot genera contenido a partir de una fuente etiquetada, el nuevo contenido puede llevar la etiqueta y Copilot la muestra en sus respuestas.
- El cifrado controla el uso. En elementos cifrados, Copilot solo puede usar el contenido si el usuario tiene los derechos de uso que concede la etiqueta. Es un control más fuerte que los permisos del sitio para sus archivos más sensibles.
- La prevención de pérdida de datos puede extenderse a Copilot. Las opciones más recientes de DLP en Microsoft Purview pueden impedir que Copilot procese elementos con ciertas etiquetas, según su licencia.
Mantenga pocas etiquetas. Cuatro o cinco que la gente entienda funcionan mejor que una docena que nadie usa. Comience con etiquetado predeterminado en los sitios sensibles y use el etiquetado automático para datos bien definidos, como números de tarjeta o de Seguro Social, si su plan lo permite.
Paso 4: Piloto con un grupo pequeño y variado
Elija un grupo piloto de 10 a 20 personas de distintos roles: un directivo, alguien de finanzas, un gerente de proyectos, un asistente, un vendedor. No elija solo a los entusiastas de la tecnología; necesita un uso realista.
- Defina de tres a cinco casos de uso reales por rol: resumir hilos largos de correo, redactar propuestas a partir de plantillas, preparar resúmenes de reuniones, encontrar una política interna.
- Pida a los participantes que reporten sorpresas, sobre todo cualquier respuesta con información que no esperaban ver. Cada reporte es un problema de permisos que puede corregir antes de ampliar.
- Mida el valor con comentarios sencillos: qué tareas se facilitaron, qué resultados necesitaron mucha edición y dónde se equivocó Copilot.
Paso 5: Política y capacitación antes de escalar
Los controles técnicos no reemplazan reglas claras. Antes de ampliar, publique una política breve de uso de IA (vea nuestra guía sobre cómo redactar una política de uso de IA para empleados) que incluya:
- Qué herramientas de IA están aprobadas y cuáles no, para que nadie pegue datos de clientes en chatbots de consumo.
- Que cada persona sigue siendo responsable de lo que envía o archiva y debe revisar lo que produce Copilot antes de usarlo.
- Qué hacer si Copilot muestra algo que no debería ver: detenerse, no compartirlo y avisar a TI.
- Manejo especial de datos regulados (información de salud, asuntos legales de clientes, registros financieros).
Después, capacite al equipo. Redactar buenas instrucciones, revisar las fuentes que cita Copilot y reconocer respuestas seguras pero erróneas son habilidades que se aprenden. Nuestra capacitación en IA para equipos cubre todo esto en inglés y en español, algo clave para las oficinas bilingües del sur de Florida.
Errores comunes
- Comprar licencias primero y limpiar después. En cuanto Copilot se activa, el sobrecompartido queda a la vista de todos los usuarios con licencia.
- Creer que "nadie lo va a buscar" es una protección. Copilot busca por todos.
- Desactivar la búsqueda para ocultar problemas en lugar de corregir los permisos.
- Demasiadas etiquetas, que confunden a los usuarios y terminan marcando todo como Público.
- Nadie a cargo de SharePoint. Sin un responsable, los permisos vuelven al desorden en pocos meses.
- Omitir MFA y el acceso condicional, lo que convierte una contraseña robada en una búsqueda asistida por IA en toda la empresa.
Gobernanza después del lanzamiento
La preparación no es un proyecto de una sola vez. Programe revisiones trimestrales de acceso en sitios y equipos sensibles, vigile los informes de uso compartido, revise los eventos de auditoría relacionados con Copilot en Microsoft Purview y actualice etiquetas y políticas a medida que cambia el negocio. Cuando se sumen nuevos departamentos o empresas adquiridas, páselos por las mismas fases de evaluación y limpieza antes de darles Copilot.
Si necesita ayuda, nuestros equipos de soporte de TI administrado y ciberseguridad realizan revisiones de permisos de Microsoft 365 para firmas de servicios profesionales en Miami-Dade y Broward, incluidos bufetes de abogados con estrictos deberes de confidencialidad.
Preguntas frecuentes
¿Puede Microsoft 365 Copilot ver archivos que el usuario no puede abrir?
No. Microsoft documenta que Copilot solo usa datos de la organización para los que el usuario tiene, como mínimo, permiso de lectura. El riesgo es que los usuarios suelen poder abrir mucho más de lo que nadie pretendía.
¿Necesitamos etiquetas de confidencialidad antes de activar Copilot?
No son un requisito técnico, pero se recomiendan para el contenido sensible. Las etiquetas con cifrado agregan un control que no depende solo de los permisos del sitio y se trasladan al contenido que genera Copilot.
¿Cuánto tarda un proyecto de preparación para Copilot en una empresa pequeña?
Depende de cuántos sitios, equipos y carpetas compartidas tenga y de qué tan desordenados estén. Un entorno pequeño y ordenado avanza rápido; una firma con años de uso compartido sin control debe planificar una limpieza estructurada antes del piloto.
¿Conviene usar Restricted SharePoint Search?
Puede ser una barrera temporal útil mientras corrige permisos, porque limita qué sitios aparecen en la búsqueda general y en Copilot. Microsoft la presenta como una medida temporal, así que planifique corregir los accesos de fondo.
¿Quiere saber qué tan expuesto está realmente su entorno de Microsoft 365? Solicite una evaluación de TI gratuita: revisaremos el uso compartido en SharePoint, Teams y OneDrive, identificaremos el contenido de mayor riesgo y le entregaremos un plan práctico para preparar Copilot.
