Copilot'u Açmadan Önce Paylaşım İzinleri

Microsoft 365 Copilot’a “geçen çeyreğin satış rakamlarını özetle” diye sorduğunuzda, Copilot cevabı kurumunuzun dosyalarından, e-postalarından ve sohbetlerinden toplar. Burada sorulması gereken soru şu: Copilot hangi dosyalara bakabiliyor?

Microsoft’un cevabı açık: Copilot yalnız kullanıcının en az görüntüleme izni olduğu içeriği gösterir. Yani Copilot yeni bir erişim açmaz; var olan izinleri kullanır. Sorun da tam burada başlar. Yıllar içinde “herkesle paylaş” denmiş bir klasör, eski bir projeden kalmış açık bir site ya da ayrılan bir çalışanın paylaştığı bağlantı, bugüne kadar kimsenin aklına gelmeyen yerlerde durur. Copilot bunları arayıp bulmayı çok kolaylaştırır.

Bu duruma İngilizcede “oversharing”, yani gereğinden geniş paylaşım deniyor. Aşağıdaki adımlar Copilot’u açmadan önce bu riski azaltmak için pratik bir başlangıçtır. Yazı genel bilgi amaçlıdır.

Copilot neye erişir, neye erişmez?

Copilot, Microsoft Graph üzerinden e-posta, takvim, sohbet, toplantı ve belgelere ulaşır. Microsoft’un belgelerine göre:

Copilot, kullanıcının zaten erişebildiği içerikle sınırlıdır. Başka bir kullanıcının ya da başka bir kurumun verisine kendiliğinden ulaşmaz.
Duyarlılık etiketleriyle şifrelenmiş içerikte, kullanıcıya verilen kullanım hakları geçerlidir.
Teams paylaşılan kanalları gibi kurumlar arası iş birliği araçlarıyla kurum dışındaki kişilere verdiğiniz izinler de bu kapsama girer.

Kısacası Copilot’un güvenliği, izinlerinizin düzenine bağlıdır. İzinler dağınıksa Copilot bu dağınıklığı görünür hale getirir.

1. En geniş paylaşımları bulun

İlk adım, kimin neyi görebildiğini ölçmektir. Özellikle şunlara bakın:

“Herkes” ya da “kuruluştaki herkes” ile paylaşılmış siteler, klasörler ve dosyalar.
Bağlantıyı bilen herkesin açabildiği paylaşım bağlantıları.
Sahibi belli olmayan ya da sahibi kurumdan ayrılmış siteler ve ekipler.
Konuk kullanıcılar: Projesi bitmiş ama erişimi duran dış kişiler.

Microsoft 365 yönetim merkezi ve SharePoint yönetim merkezi bu bilgilerin bir kısmını gösterir. Kurumunuzda en az bir Microsoft 365 Copilot lisansı varsa SharePoint Advanced Management’ın Copilot’a hazırlık özellikleri de kullanılabilir. Bunların başında SharePoint yönetim merkezindeki veri erişimi yönetişimi (Data access governance) raporları gelir: kurum genelindeki site izinleri, paylaşım bağlantıları ve “harici kullanıcılar dışında herkes” ile paylaşılan içerik bu raporlarda listelenir. Başlamak için en kritik iki üç alanla (insan kaynakları, finans, yönetim) başlayın.

2. Hassas içeriği işaretleyin

Her dosya aynı önemde değildir. Bordro, sözleşme, müşteri listesi, kişisel veri içeren belgeler gibi içerikleri ayrıca ele almak gerekir. Microsoft Purview duyarlılık etiketleriyle belgeleri “Gizli” ya da “Yalnız iç kullanım” gibi sınıflara ayırabilirsiniz. Şifreleme içeren bir etiket, içerik yanlış yere taşınsa bile kimin açabileceğini sınırlar.

Etiketlemeye başlamadan önce elinizde hangi verinin nerede durduğunu bilmek gerekir. Bunun için verinizin haritası yazımıza bakabilirsiniz.

3. İzinleri düzeltin, sonra açın

Bulduğunuz geniş paylaşımları kapatın ya da daraltın. Kalıcı çözüm budur. Bu iş zaman alabilir; büyük ortamlarda haftalar sürebilir. Bu sürede iki geçici araç işinizi kolaylaştırır:

Kısıtlı içerik keşfi (Restricted Content Discovery): Microsoft’a göre bir siteyi kurum genelindeki aramadan ve Copilot’un geniş taramasından çıkarır; izinleri değiştirmez, erişimi olan kişiler siteyi kullanmaya devam eder. Site bazında açılan bir ayardır; Copilot lisansı ve SharePoint Advanced Management gerektirir. OneDrive’da çalışmaz; çok büyük sitelerde (500 binden fazla öğe) etkisinin görülmesi bir haftayı geçebilir.
Site erişim incelemesi (Site access review): Veri erişimi yönetişimi raporundan başlatılır. Site sahibine e-posta gider; sahip kimin erişimi olması gerektiğini gözden geçirir, izinleri düzeltir ve incelemeyi tamamlar. Yalnız SharePoint sitelerinde çalışır, OneDrive’da yoktur.

Microsoft, kısıtlı içerik keşfinin aşırı kullanımının arama ve Copilot performansını olumsuz etkileyebileceğini de belirtiyor. Yani bu araç kalıcı bir çözüm değil, izinler düzeltilirken kullanılan bir köprüdür. Microsoft, eski Kısıtlı SharePoint Araması’nı emekliye ayırıyor ve yerine kısıtlı içerik keşfini öneriyor.

4. Küçük bir grupla başlayın

Copilot’u tüm kuruma birden açmak yerine, izinleri temizlenmiş birimlerden küçük bir pilot grupla başlayın. Pilot sırasında kullanıcılardan beklenmedik bir içerikle karşılaşıp karşılaşmadıklarını sorun. Her beklenmedik sonuç, düzeltilmesi gereken bir paylaşımı gösterir.

5. Düzeni kalıcı hale getirin

İzinler bir kez temizlendikten sonra yeniden dağılır. Bunu önlemek için:

Yeni site ve ekip açılışında sahip ve gizlilik ayarı zorunlu olsun.
Paylaşım bağlantılarının varsayılan ayarı “yalnız belirli kişiler” olsun.
Konuk erişimleri belirli aralıklarla gözden geçirilsin.
Çalışan ayrıldığında hesabı ve paylaşımları aynı gün ele alınsın.

Özet: başlamak için beş soru

Kuruluştaki herkese açık hangi siteler ve klasörler var?
Bağlantıyı bilen herkesin açabildiği paylaşımlar kimde?
Sahibi olmayan siteler ve ekipler hangileri?
Hassas belgeler etiketli mi?
Copilot’u ilk hangi birimle deneyeceksiniz?

Bu soruların cevabını bilmiyorsanız, Copilot’u açmadan önce bakmak için iyi bir zaman. Microsoft 365 yönetimi hizmetimizde roller, erişim ve güvenlik ayarları; Microsoft 365 Copilot sayfamızda ise paylaşım izinleri ve hassas veri kontrolüyle başlayan hazırlık, lisans seçimi ve pilot adımları yer alıyor. Sorularınız için bize ulaşın.