Perché Copilot porta a galla un problema che c’era già
Microsoft 365 Copilot recupera i contenuti da Microsoft Graph e rispetta i permessi, le impostazioni di condivisione e le policy che già esistono nel tenant. Non concede accessi nuovi: rende però immediatamente utilizzabile tutto ciò a cui un utente aveva già diritto e che nessuno aveva mai cercato. Da qui il nome del fenomeno, l’oversharing: un sito SharePoint condiviso anni prima con il gruppo Everyone except external users (spesso abbreviato in EEEU), una libreria con l’ereditarietà dei permessi interrotta, un link Anyone creato per un fornitore e mai scaduto. Prima erano rischi teorici perché nessuno navigava fin lì; con Copilot bastano una domanda e tre secondi.
La conseguenza pratica è che il rischio numero uno di un rollout non è il modello linguistico, ma lo stato dei permessi. E qui serve tenere separati oggetti che l’esame ama confondere: gli oggetti di cui parliamo in questa unità sono sites, libraries e folders, cioè oggetti SharePoint, che si governano dal SharePoint admin center (non mailbox o distribution group, che stanno in Exchange, né teams o channel, che stanno in Teams). E l’intervento sull’accesso è diverso dal classificare e proteggere un file con una sensitivity label, dal bloccare un’azione con DLP e dal decidere quanto conservare con la retention: qui parliamo solo di chi può arrivare a un sito.
Misurare: i data access governance report
Il primo dei tre strumenti è diagnostico. Nel SharePoint admin center si espande Reports e si seleziona Data access governance. La pagina raccoglie due famiglie di report.
Gli snapshot reports fotografano lo stato attuale: Site permissions across your organization è quello indicato come consigliato e mostra, per ogni sito SharePoint e OneDrive, il numero totale di utenti che possono accedere, i gruppi Microsoft Entra con permessi, l’entità della broken inheritance, i permessi concessi a Everyone except external users e a Everyone, quelli di guest e external participant, e il conteggio dei link Anyone e People in your organization. Esiste anche uno snapshot per singolo utente, che elenca tutti i siti a cui una persona può accedere, e il report Sensitivity label applied to files, che individua i siti contenenti file con una determinata etichetta applicata: notare che il report vive in SharePoint, mentre l’etichetta si crea e si pubblica in Microsoft Purview.
Gli activity reports guardano invece gli ultimi 28 giorni: Sharing links, per i siti dove sono stati creati più link di condivisione, e Shared with ‘Everyone except external users’, per l’esposizione interna appena creata.
Eseguire un report è un’operazione da amministratore di base: si seleziona View reports sotto la categoria desiderata e poi Create report; per gli aggiornamenti successivi si usa Run reports. La documentazione avverte che il primo report sui permessi può richiedere fino a 5 giorni, i successivi si completano entro 24 ore e possono essere rigenerati ogni 30 giorni. La vista web mostra i primi 100 siti per numero di utenti; per l’analisi estesa si scarica il CSV. La cadenza suggerita è snapshot trimestrali e activity report mensili.
Un report da solo non ripara nulla. Dalla stessa vista si può selezionare Initiate site access review: i site owner ricevono un’email specifica per il problema rilevato, vedono il dettaglio a livello di elemento che l’amministratore per motivi di compliance non può vedere, agiscono con Manage access e chiudono con Complete review. L’avanzamento si segue nella scheda My review requests.
SharePoint Advanced Management: che cos’è e come si ottiene
SharePoint Advanced Management (abbreviato SAM nella documentazione) è l’insieme di controlli di governance per SharePoint e OneDrive, organizzato in tre aree: gestire la proliferazione dei contenuti, gestire il ciclo di vita dei contenuti e prevenire l’oversharing. Ci si amministra prevalentemente dal SharePoint admin center e comprende, fra le altre cose, i data access governance report, il Content management assessment, le policy di Site lifecycle management, il Block download policy, gli App insights e il pulsante Get AI insights accanto a diversi report.
I prerequisiti di licenza sono cambiati e vanno verificati alla fonte, non ricordati. Servono due cose. Primo, una subscription di base fra Office 365 E3, E5 o A5 e Microsoft 365 E1, E3, E5 o A5 (con le varianti GCC, GCC-High e DoD). Secondo, almeno una di queste condizioni: almeno un utente dell’organizzazione ha una licenza Microsoft 365 Copilot assegnata, e non deve essere un amministratore; oppure la subscription include SharePoint K, P1 o P2 e si acquista l’add-on SharePoint Advanced Management Plan 1, indicato anche come versione standalone; oppure l’organizzazione ha Microsoft 365 E7, la Frontier Suite. Alcune funzionalità, come Restricted site creation by apps, richiedono comunque l’add-on. Sul fronte ruoli servono SharePoint Administrator o SharePoint Advanced Management Administrator, quest’ultimo con le capacità aggiuntive di governance avanzata.
Restringere: restricted access control e il suo vicino di casa
Il terzo strumento agisce. Il restricted access control, o restrizione di accesso a livello di sito, limita l’accesso a un sito SharePoint e ai suoi contenuti agli utenti presenti in uno o più gruppi di controllo: Microsoft 365 groups o gruppi di sicurezza Microsoft Entra, fino a dieci per sito. Chi non è nel gruppo non accede al sito né ai contenuti, anche se aveva permessi precedenti o un link di condivisione, e la policy è rispettata anche nella ricerca a livello di organizzazione e nelle esperienze Copilot. Attenzione al meccanismo, perché è una domanda naturale d’esame: aggiungere una persona al gruppo di controllo non le concede i permessi: servono entrambe le cose, il permesso sul contenuto e l’appartenenza al gruppo. Si abilita a livello di organizzazione da Policies > Access control > Site-level access restriction, poi si configura sul singolo sito dalla scheda Settings del pannello del sito in Active sites.
Da non confondere con la Restricted Content Discovery, l’impostazione Restrict content from Microsoft 365 Copilot che nasconde un sito dalla ricerca a livello di organizzazione e dalle risposte Copilot senza toccare i permessi: chi aveva accesso continua ad accedere direttamente. Uno nega l’accesso, l’altro nega la scoperta. Ed esiste una controparte lato Purview, le Data risk assessments di Data Security Posture Management, che nel Microsoft Purview portal analizzano l’oversharing dei contenuti sensibili: l’esame chiede di riconoscere quale portale ospita quale strumento, non di configurarli.
L’ordine delle operazioni è la vera nozione da portarsi all’esame: prima si misura con i report, poi si delega la bonifica ai site owner, poi si restringe con le policy. Restringere per primi, senza dati, produce solo ticket di utenti che non aprono più i file di ieri.