Entra ID – Governança de IA Generativa com a Filtragem de Conteúdo Web

As ferramentas de IA generativa estão se tornando cada vez mais presentes no dia a dia corporativo, é elas podem impulsionar significativamente a produtividade desde a redação de e-mails no Outlook até a análise de relatórios complexos no Microsoft 365, no entanto, essa mesma capacidade também introduz novos riscos, muitas vezes subestimados, que podem impactar a segurança da organização de forma inesperada.

Nota: Um estudo recente revela que 93% dos administradores Microsoft estão despreparados ou apenas parcialmente preparados para enfrentar os desafios de segurança impostos pela adoção da IA.

Neste artigo, vamos explorar os principais riscos de segurança associados às ferramentas de IA generativa (GenAI), como OpenAI ChatGPT, Google Gemini, Microsoft Copilot, entre outras, mais importante, apresentaremos abordagens práticas para mitigar esses riscos, incluindo como bloquear o acesso a sites de GenAI por meio da filtragem de conteúdo da Web no Microsoft Entra, garantindo que a inovação em IA avance sem comprometer a postura de segurança da organização.

Principais riscos de segurança no uso de IA generativa em ambientes Microsoft 365

Imagine o seguinte cenário: sua organização libera o acesso a ferramentas de IA generativa como ChatGPT, Gemini, Copilot, DeepSeek, entre outras, à primeira vista, tudo parece normal, relatórios passam a ser produzidos em menos tempo, e-mails são resumidos automaticamente e tarefas rotineiras são concluídas com mais eficiência, a produtividade cresce de forma visível.

No entanto, como toda moeda, existe o outro lado, Adelle, colaboradora do departamento financeiro, faz o upload de um arquivo confidencial de um projeto em uma ferramenta de IA apenas para obter um resumo rápido, o que ela não percebe é que essas informações podem sair do ambiente corporativo ou até mesmo ser utilizadas para treinar modelos de IA fora do controle da organização, uma ação aparentemente inofensiva se transforma, rapidamente, em um risco real de vazamento de dados.

Esse não é um cenário hipotético, em maio de 2023, um funcionário da Samsung carregou inadvertidamente um código-fonte interno e sensível no ChatGPT, pouco depois, a empresa percebeu que esses dados poderiam estar armazenados em servidores de terceiros, sem garantias claras de exclusão ou recuperação. Diante do risco de exposição a longo prazo, a Samsung optou por restringir totalmente o uso de ferramentas de IA generativa em toda a organização.

E o risco não se limita a erros acidentais, ameaças internas também devem ser consideradas. Um colaborador mal-intencionado ou até mesmo uma conta comprometida pode usar a IA para criar e-mails ou mensagens de voz de phishing altamente convincentes, enganando outros usuários e levando à exposição de credenciais ou informações sensíveis.

Restringindo IA generativa usando filtragem de conteúdo da Web no Microsoft Entra

O cliente do Global Secure Access (GSA) é um componente fundamental para o controle e a proteção do tráfego de rede nos dispositivos dos usuários finais. Antes de iniciar a instalação, é importante observar alguns pré-requisitos essenciais

• É necessário possuir uma licença do Microsoft Entra Suite para instalar o GSA. Caso queira avaliar a solução, é possível ativar uma assinatura de avaliação do Microsoft Entra.
• O cliente é compatível apenas com Windows 10 ou Windows 11 em arquitetura 64 bits, além do Windows 11 Arm64.
• Apenas dispositivos ingressados no Microsoft Entra (Entra Joined) ou ingressados de forma híbrida (Hybrid Entra Joined) são compatíveis. Dispositivos apenas registrados no Entra (Entra Registered) não são suportados.
• A instalação ou atualização do cliente deve ser realizada por um administrador local no dispositivo.

Depois de garantir que todos os pré-requisitos foram atendidos, prossiga com as etapas a seguir para realizar a instalação do Cliente do Global Secure Access nos dispositivos da equipe financeira que estejam ingressados no Microsoft Entra.

Vamos para Hans-On

Atenção: As implementações apresentadas em nossos artigos foram desenvolvidas com base em documentações oficiais e nas boas práticas recomendadas pela Microsoft. Entretanto, enfatizamos que qualquer implementação deve ser previamente testada em ambientes de homologação ou testes para garantir a segurança e a estabilidade do ambiente de produção.

Vá para o portal do Microsoft Entra ID

1. Desça até a seção Global Secure Access
2. Depois clique em Conncet
3. Em seguida em Client Dowload
4. E logo após selecione Windows e clique em Dowload Client

Habilite no Entra ID o perfil responsável pelo encaminhamento do tráfego de acesso à Internet.

1. Ainda em Global Secure Access
2. Clique em Connect
3. Depois em Traffic Forwarding
4. Habilite Internet access profile
5. Em User and Group assignments atribua ao grupo que deseja.

Atenção: Quando o perfil é atribuído a usuários ou grupos específicos, apenas esses destinatários terão a política de filtragem de conteúdo da Web aplicada. Os demais usuários não incluídos na atribuição não serão impactados e continuarão sem a aplicação dessas políticas por padrão.

Criando as políticas de filtragem de conteúdo da Web no Microsoft Entra.

As políticas de filtragem de conteúdo da Web possibilitam definir quais sites e serviços de IA podem ser acessados pelos usuários. Na prática, elas funcionam como um mecanismo para estabelecer limites claros e seguros para o uso de IA generativa dentro da organização.

Por meio dessas políticas, é possível aplicar restrições granulares, utilizando categorias de sites ou nomes de domínio totalmente qualificados (FQDNs), permitindo, por exemplo:

• Bloquear integralmente o acesso a plataformas e domínios relacionados à IA generativa.
• Permitir ou restringir apenas determinados serviços de IA, como chatgpt.com, google.gemini.com ou deepseek.com.

Configurando a política de filtragem de conteúdo Web.

1. Em Global Secure Access
2. Expanda a seção Secure
3. Clique em Web content filtering policies
4. Create Policy

No menu suspenso, escolha Block e clique em Next

Em Policy Rule, clique em Add Rule

1. De um nome a a sua Rule
2. Em Destination type deixe como WebCategory
3. Selecione Artificial intelligence depois em Add

 Isso impedirá que seus usuários do grupo selecionado não consigam acessar toda a IA generativa.

Para bloquear domínios de IA específicos, selecione (fqdn) no campo Destination Type, insira os domínios (chatgpt.com, deepseek.com, etc.) que deseja bloquear e clique em Add

Por fim, clique em Next e depois em Create Policy para salvar sua política de filtragem de conteúdo da web.

Criando um perfil de segurança.

Depois de criar a política de filtragem de conteúdo da Web, a etapa seguinte é associá-la a um perfil de segurança, esses perfis funcionam como um agrupador de regras de filtragem, tornando mais simples a gestão e a aplicação das políticas aos usuários por meio de políticas de Conditional Access.

1. Ainda em Global Secure Access
2. Expanda seção Secure
3. Depois clique em Security profiles
4. E em Create profile

Certifique-se de que o State esteja definido como Enabled, defina o valor Priority entre 100 e 65000 e clique em Next
Um detalhe importante, ao definir a prioridade de um perfil de segurança para 65000, nenhuma política de Conditional Access precisa ser aplicada para que ele entre em vigor. Nesse artigo seguiremos para a criação da Conditional Access

Em link policies, iremos vincular a política de Web Filter criado anteriormente, selecione Link Policy e clique em Existing web filtering policy

Nesse menu, selecione a Política de Web Filter criada anteriormente, em Priority deixaremos com mesmo valor, depois em Add, Next e por fim em Create Profile

Vale destacar que o filtro de conteúdo da Web não é compatível com o Copilot Chat, isso ocorre porque a Microsoft não oferece suporte à gestão do Copilot por meio de controles em nível de rede. como o Copilot está nativamente integrado aos aplicativos do Microsoft 365, a imposição desse tipo de restrição pode gerar comportamentos inesperados, como bloqueios indevidos, indisponibilidade ou falhas no serviço.

Dessa forma, para reduzir riscos de exposição ou compartilhamento excessivo de informações, a abordagem recomendada é controlar o acesso ao Copilot utilizando políticas de Acesso Condicional, garantindo que apenas usuários confiáveis ou grupos previamente definidos tenham permissão para utilizá-lo.

Criando Conditional Access para impor o filtro de conteúdo da Web.

A última etapa para limitar o acesso à IA generativa consiste na criação de uma Conditional Access Policy, essa política atua como o elo de aplicação, garantindo que as regras de filtragem de conteúdo da Web sejam direcionadas aos usuários e grupos adequados.

1. No centro de Administração do Microsoft Entra, Expanda Entra ID
2. Clique em Conditional Access
3. Depois em Create new policy

De um nome a sua política, em Users, selecione Users and Group, e escolha o grupo que deseja aplicar a politica, no meu caso e Finance

Em Target resources selecione All internet resources wiht Global Secure Access

Em Session selecione Use Global Secure Access Security Profile, na lista suspensa, escolha o perfil de segurança que você criou na etapa anterior e clique em Select

Por fim, defina a política como ON e clique em Create para ativar a aplicação do filtro de conteúdo da web. Importante destacar que deixando a política em ON ela ja ativa imediatamente.

Atenção: Deixando em Report-only as políticas de Acesso Condicional permite que administradores com pelo menos a função de leitor de segurança vejam um instantâneo dos impactos potenciais ou existentes das políticas nas autenticações interativas na sua organização. Você pode explorar o impacto nas últimas 24 horas, 7 dias ou 1 mês. Você também pode ver e conectar a uma amostragem de eventos de login para obter mais detalhes.

Em fim chegamos ao final de mais uma jornada

Ao longo deste artigo, vimos como o Global Secure Access e o Web Filter podem ser utilizados como peças estratégicas na governança e no controle do uso de IA generativa dentro das organizações, partimos dos pré-requisitos técnicos, passamos pela instalação do cliente GSA, ativação dos perfis de encaminhamento de tráfego, criação das políticas de filtragem de conteúdo, organização dessas regras em perfis de segurança e, por fim, pela aplicação efetiva por meio de Conditional Access policy.

Também destacamos pontos importantes de boas práticas, como a impossibilidade de aplicar filtragem de conteúdo ao Copilot Chat em nível de rede, reforçando que o controle adequado nesse cenário deve ser feito via Conditional Access, garantindo acesso apenas a usuários ou grupos confiáveis.

No conjunto, essas configurações demonstram como é possível equilibrar segurança, conformidade e produtividade, oferecendo um uso controlado da IA, sem comprometer a experiência dos usuários ou a estabilidade dos serviços do Microsoft 365.

Link de referência: Oque e Global Secure Access
Link de referência: Documentação completa
Link de referência: Analisar Impacto da Conditional Access policy