先別急著開授權：Copilot 的價值，建立在你看不見的地方
當 IT 主管被問到「我們要不要導入 Microsoft 365 Copilot？」時，討論往往很快聚焦在授權成本與哪些部門先用。但真正決定 Copilot 是成為生產力引擎、還是資安破口的關鍵，並不在這份報價單上——而在那些平常沒人會去看的地方：SharePoint 裡誰能存取哪個資料夾、有多少檔案還掛著「任何人皆可檢視」的連結、機密合約有沒有被正確分類。
Copilot 的運作邏輯很單純：它以**「登入的使用者本人有權存取的內容」**為範圍，去檢索、摘要、生成答案。這代表一件事——**如果你的資料權限是一團亂，Copilot 不會幫你整理，它只會忠實地把這團亂放大。**過去那些「理論上有權限、實際上沒人會去翻」的角落，現在使用者只要打一句自然語言提示，Copilot 就會替他把內容找出來、整理好、端到面前。
這篇文章談的，正是大多數微軟行銷頁面不會替你做、但決定 Copilot 成敗的工程：M365 Copilot 導入前的資料治理就緒。
一、先搞懂授權：Copilot 部署的成本起點
談治理之前，先把授權與前置需求講清楚，避免預算與時程估算失準。
導入 Copilot 的第一個前提是：企業必須先擁有合格的 Microsoft 365 方案授權，才能在其上加購 Copilot。換句話說，Copilot 是「附加授權」，不是獨立產品。
以下是目前（2026 年 6 月）的主要授權價格：
| 授權方案 | 牌價（每人每月） | 備註 |
|---|---|---|
| Microsoft 365 Copilot（企業加購） | US$30 | 在合格 M365 訂閱之上加購 |
| Copilot Business（促銷價） | US$18 | 15% 促銷，延長至 2026-12-31 |
| 商務標準版 with Copilot | US$23.50 | 自 2026-07-01 起成為永久 SKU |
| 商務進階版 with Copilot | US$32 | 自 2026-07-01 起成為永久 SKU |
時程提醒：自 2026-07-01 起，「商務標準版 with Copilot」與「商務進階版 with Copilot」正式成為永久 SKU，牌價分別為每人每月 US$23.50 與 US$32；而 Copilot Business 的 15% 促銷（US$18/人/月）延長至 2026-12-31。規劃導入時點與採購量時，建議把這兩個時間點一起納入評估。
需要釐清不同 M365 方案差異、或正在評估雲端協作平台選型的企業，可以延伸參考我們整理的Microsoft 365 與 Google Workspace 比較；若你想在台中找在地團隊協助 M365 規劃與導入，也可以看Microsoft 365 台中導入服務。
二、為什麼「買得起」不等於「導得好」
微軟在官方文件中明確建議：在部署 Copilot 之前，先做一次 Copilot 優化評定（readiness assessment），評估企業自身的資料控管成熟度與資料安全控制是否足以支撐 Copilot 上線。
這句建議背後，是一個被反覆驗證的現實：Copilot 的效果與風險，高度取決於底層資料治理。 同一套 Copilot，部署在權限井然的環境裡，是員工的得力助手；部署在權限混亂的環境裡，就是資料外洩的加速器。
具體來說，治理不到位會在兩個方向同時出問題：
- 資安面：使用者透過 Copilot，能輕易撈出「自己有權限、但本來不該看」的內容——薪資表、未公開的併購文件、客戶個資、他人的私人筆記。這些內容過去藏在難找的資料夾深處，現在一句提示就被端出來。
- 成效面：當 Copilot 把過時、重複、錯誤的舊文件也一併當成知識來源，它生成的答案品質會下降，使用者反而對工具失去信任。乾淨的資料，才能餵出可信的答案。
三、SearchLeak 給的一堂課：已修補，但別忽略它的提醒
2026 年 6 月，Varonis Threat Labs 揭露了一個影響 Microsoft 365 Copilot Enterprise 的漏洞鏈，命名為 SearchLeak。
它的攻擊路徑相當精巧：透過 URL 的 q 參數注入提示（prompt injection）、利用 HTML 算繪的 race condition、再經由 Bing 影像端點繞過內容安全政策（CSP）形成 SSRF，最終可在使用者一鍵點擊之下，竊取該使用者有權存取的 email、會議內容、SharePoint／OneDrive 檔案，甚至 MFA 驗證碼。
重點先講清楚：SearchLeak（CVE-2026-42824，critical）已由微軟完成修補，且採後端 server-side 方式處理，客戶端無需自行 patch、不需採取任何動作。所以這不是一個要你「趕快去打更新」的緊急通知——你的 Copilot 環境在伺服器端已經被修好了。
那為什麼還要提它？因為 SearchLeak 印證了本文的核心論點：當 Copilot 這類會主動檢索、跨資料源彙整的工具進入企業，任何權限與資料治理的縫隙，都可能被放大成資料外洩的破口。 微軟修掉了這條特定的攻擊鏈，但「使用者有權限就能被 Copilot 撈出來」這個本質沒有改變——這部分的把關，責任在企業自己身上。對 AI 工具的供應鏈與資料邊界感到不確定的團隊，可以延伸閱讀我們談影子 AI 治理的整理。
四、Copilot 部署前的資料治理就緒：四個核心動作
把上面的觀念落地，導入 Copilot 前的資料治理可以收斂成四個核心動作。順序很重要——它們大致對應「先看清楚、再收乾淨、再貼標籤、再裝警報」。
1. 盤點並收斂外部共享
先把對外的縫隙補上。盤點 SharePoint 與 OneDrive 中：
- 設定為「任何人皆可存取」的公開連結
- 共享給外部來賓（guest）帳號的站台與資料夾
- 早已失效卻沒撤銷的舊共享
關閉不必要的外部共享，是成本最低、止血最快的一步。
2. 收斂過度權限，回到最小權限
針對內部權限，逐站台檢視「誰能存取什麼」，把長年累積的過度授權收回——這就是**最小權限（least privilege）**原則。重點清理對象包括：
- 繼承自上層、範圍過大的權限
- 「全公司皆可編輯」這類過寬的站台設定
- 早已離開該專案、卻仍保有存取權的成員
權限收斂不只是 Copilot 的功課，它本身就是企業資安的基本盤。
3. 用敏感度標籤分類並保護機密資料
導入 Microsoft Purview 敏感度標籤（sensitivity labels），把機密文件分類、加密、套用使用限制。當文件被正確標記為「機密」或「限內部」，Copilot 在引用與呈現時就能受到對應的政策約束，不會把高機密內容隨意攤開。
4. 設定異常活動警示
最後，為 Copilot 的存取行為裝上「警報」。設定異常活動偵測（例如同一帳號短時間內大量檢索敏感站台），把 Copilot 的行為納入既有的資安監控與稽核軌跡，達到**「看得到、也管得住」**。
五、行銷頁不會告訴你的差異：治理是工程，不是開關
打開微軟的 Copilot 行銷頁，你會看到很多「立即提升生產力」的承諾。這些都是真的——前提是你的資料先準備好了。
| 面向 | 微軟行銷頁的視角 | 真正要做的工程 |
|---|---|---|
| 上線速度 | 加購授權、即刻啟用 | 先做就緒評定，確認資料治理成熟度 |
| 資料範圍 | Copilot 安全地存取你有權的內容 | 先盤點並收斂「你有權但不該看」的內容 |
| 資安 | 內建企業級安全與合規 | 自行補上權限收斂、敏感度標籤、異常警示 |
| 成效 | 自然語言即可取得答案 | 先清掉過時／重複資料，避免答案被污染 |
這張表的右欄，正是凱茂這類顧問式系統整合商（SI）能替企業承接、而行銷頁不會替你做的部分。Copilot 是一個強大的開關，但開關背後的線路——權限、分類、監控——得有人先接好。
六、決策框架：你的組織現在該做哪一步？
不確定自己準備到哪了？用下面這個快速判斷框架對號入座：
- 權限長年沒盤點、不確定有多少公開連結 → 你還在「看不清楚」階段。先做一次完整的 SharePoint／OneDrive 權限盤點，再談 Copilot。貿然上線等於把未知風險放大。
- 權限大致清楚，但沒有敏感度標籤、機密文件混在一般文件裡 → 你在「收乾淨」階段。導入 Purview 敏感度標籤，把機密資料分類保護後，再讓 Copilot 接觸。
- 權限與分類都到位，缺的是監控與常態稽核 → 你在「裝警報」階段。設定異常活動警示、建立定期權限再認證，就可以安心擴大 Copilot 的部署範圍。
- 以上都已具備 → 恭喜，你已經比多數企業更有資格讓 Copilot 發揮價值。接下來是把治理變成常態流程，而非一次性專案。
Copilot 導入前資料治理檢核清單
把上面的內容收斂成一份可逐項勾稽的清單：
- 已確認具備合格的 Microsoft 365 方案授權，可加購 Copilot
- 已完成 Copilot 優化評定（就緒評估）
- 已盤點並關閉不必要的外部共享與公開連結
- 已收斂過度授權，套用最小權限原則
- 已導入 Microsoft Purview 敏感度標籤，分類保護機密資料
- 已設定異常活動警示，把 Copilot 存取納入資安監控
- 已建立定期權限再認證與帳號盤點的常態流程
延伸閱讀：把 AI 工具當成資安能力的一環來看，可以參考我們談Microsoft Security Copilot如何強化資安維運；而郵件與協作平台本身的防護，則可從企業郵件安全的角度補強。
結語：把 Copilot 接在治理好的地基上
Microsoft 365 Copilot 是近年最值得導入的生產力工具之一，但它的價值與風險，從來不是由那張授權報價單決定的。SearchLeak 已被微軟修補，你不需要恐慌；但它提醒我們的事很實在——治理不到位，AI 工具只會把問題放大。
真正該投入的功課，是部署前的資料治理就緒：盤點外部共享、收斂過度權限、用敏感度標籤分類保護、設定異常警示。把這些做扎實，Copilot 才能在一個「乾淨、可被治理」的地基上，安全地發揮它的價值。
凱茂資訊在 Microsoft 365 與郵件協作的規劃導入、SharePoint 權限治理、敏感度標籤與資安監控上有豐富實務經驗，也提供 ISO 27001／42001 導入輔導（協助客戶導入，非凱茂自身持有認證），協助企業把資料治理建立成可持續運作的流程。如果你正在評估 Copilot，卻不確定自己的資料治理是否準備好，歡迎與我們聊聊——從一次權限盤點開始，把潛在的破口攤在陽光下，再放心地把 Copilot 接上來。