# Ennen Copilotia: kuka näkee mitäkin?

> Copilot ei ohita käyttöoikeuksia, mutta löytää kaiken mihin niitä on. Mistä ylijako syntyy, millä työkaluilla sen löytää ja mistä kannattaa aloittaa.

- Kirjoittaja: Jami Susijärvi, Oy Wolflake Consulting Ab
- Julkaistu: 2026-10-12
- Verkkosivu: https://wolflake.fi/blogi/copilot-ylijako

Kuvitellaan, että joku kirjoittaa Copilotille ensimmäisellä viikollaan: "Mitä johtoryhmässä on viime aikoina päätetty?" Tai: "Löydätkö palkkataulukon?" Useimmissa ympäristöissä Copilot vastaa, ettei sillä ole pääsyä sellaiseen. Yllättävän monessa se vastaa kysymykseen.

Copilot ei ole murtanut mitään. Se on vain löytänyt jotain, mihin käyttäjällä on ollut pääsy jo vuosia, mutta jota kukaan ei ole koskaan etsinyt.

## Copilot ei ohita oikeuksia, se löytää ne

Tämä on koko aiheen tärkein lause, ja Microsoft sanoo sen itse suoraan: Copilot [näyttää vain sisältöä, johon käyttäjällä on vähintään lukuoikeus](https://learn.microsoft.com/microsoft-365/copilot/microsoft-365-copilot-privacy). Se ei näe mitään, mitä käyttäjä ei näkisi itsekin.

Ongelma ei siis ole Copilotissa. Ongelma on siinä, että käyttöoikeudet ovat vuosien mittaan levinneet paljon laajemmiksi kuin kukaan on tarkoittanut, ja niitä on suojannut lähinnä se, ettei kukaan ole osannut etsiä. Tiedosto, joka on jaettu koko organisaatiolle mutta haudattu kolmannen alikansion alle vanhalle projektisivustolle, oli käytännössä piilossa. Copilotille se on yhden kysymyksen päässä.

Tämä ei ole syy jättää Copilot ottamatta käyttöön. Se on syy katsoa jaot läpi ennen kuin se otetaan.

## Mistä ylijako syntyy

Ylijako ei yleensä synny huolimattomuudesta. Se syntyy siitä, että jakaminen on tehty helpoksi ja rajaaminen vaatii vaivaa.

Lähtökohta on, että [SharePointin jakoasetukset ovat oletuksena sallivimmat mahdolliset](https://learn.microsoft.com/sharepoint/get-ready-copilot-sharepoint-advanced-management). Jos niitä ei ole tenantin perustamisen jälkeen kukaan muuttanut, kaikki muu seuraa siitä.

Yleisimpiä lähteitä on useita, ja tyypillisessä ympäristössä niistä löytyy monta yhtä aikaa:

**Linkit, jotka avaavat tiedoston kaikille.** "Kuka tahansa, jolla on linkki" tai "kaikki organisaatiossa". Linkki tehtiin aikanaan yhdelle ihmiselle, mutta se toimii kenelle tahansa, ja se on edelleen voimassa.

**"Everyone except external users".** SharePointin sisäänrakennettu ryhmä, joka sisältää automaattisesti jokaisen organisaation käyttäjän. Kun se lisätään sivuston tai kansion oikeuksiin, sisältö on koko talon nähtävissä.

**Julkiset Teams-tiimit ja ryhmät.** Tiimi luotiin julkiseksi, koska se tuntui helpoimmalta tai koska eroa ei mietitty. Tiimin tiedostot ovat silloin kaikkien luettavissa.

**Katkenneet oikeuksien periytymiset.** Jonkin kansion oikeuksia on muutettu erikseen, ja kukaan ei enää tiedä, miksi tai kenelle.

**Omistajattomat ja hylätyt sivustot.** Projekti päättyi, vastuuhenkilö lähti, sivusto jäi. Kukaan ei vastaa siitä, kuka sinne pääsee.

## Microsoftin työkalut tähän

Tähän on olemassa työkalusarja, joka on monelle tuntematon: SharePoint Advanced Management. Erikseen ostettuna se on kallis lisäosa, ja siksi sitä harva on hankkinut. Moni ei kuitenkaan tiedä, että [jo yksi Copilot-lisenssi tenantissa](https://learn.microsoft.com/sharepoint/sharepoint-advanced-management-features-copilot-license) avaa suurimman osan sen ominaisuuksista koko ympäristön käyttöön.

Microsoftin dokumentaatio ei sano suoraan, koskeeko tämä myös pienille yrityksille tarkoitettua, edullisempaa Copilot Businessia, joten testasin sen omassa tenantissani. Kun yhdelle käyttäjälle oli määritetty Copilot Business -lisenssi, SharePoint-hallintakeskuksen Advanced management -osio aktivoitui alle vuorokaudessa ilman erillistä SAM-lisenssiä. Myös sivustokohtaiset rajoitukset, joista kerron seuraavaksi, tulivat käyttöön.

Ylijaon kannalta hyödyllisimmät osat:

**Data access governance -raportit** näyttävät, missä on Anyone-linkkejä, koko organisaatiolle jaettuja linkkejä ja "Everyone except external users" -oikeuksia. Tämä on lähtöpiste: ensin pitää tietää, missä ongelma on.

**Site access review** siirtää löydöksen sivuston omistajalle tarkistettavaksi. Ylläpitäjä ei tiedä, kenen pitäisi päästä myynnin sivustolle. Myynnin johtaja tietää.

**Restricted Content Discovery** (hallintakeskuksessa Restrict content discovery) piilottaa sivuston Copilotilta ja organisaation laajuisesta hausta muuttamatta käyttöoikeuksia. Tämä on käytännöllisin työkalu silloin, kun siivoukseen ei ole vielä aikaa mutta Copilot halutaan käyttöön. RCD ei kuitenkaan ole tietoturvaraja. Se estää Copilotia löytämästä sisältöä itse, mutta ei poista kenenkään oikeuksia: käyttäjä, jolla on pääsy tiedostoon, voi edelleen avata sen ja antaa sen Copilotille käsiteltäväksi. Siksi se sopii välivaiheeksi, mutta ei korvaa oikeuksien siivoamista.

**Restricted Access Control** (hallintakeskuksessa Restricted site access) rajaa sivuston vain nimetyille ryhmille, vaikka jollain muulla olisi siihen linkki tai vanha oikeus.

Yksi varoitus vanhoihin ohjeisiin. Moni Copilotin käyttöönotto-opas neuvoo vielä käyttämään Restricted SharePoint Searchia, joka rajaa haun tiettyihin sivustoihin. Se oli alun perinkin tarkoitettu väliaikaiseksi ratkaisuksi, ja [Microsoft on poistamassa sen käytöstä](https://learn.microsoft.com/sharepoint/restricted-sharepoint-search). Uusia käyttöönottoja ei ole sallittu heinäkuun 2026 jälkeen. Korvaajana on Restricted Content Discovery.

## Luottamuksellisuustunnisteet

Toinen keino on merkitä arkaluonteiset tiedostot luottamuksellisuustunnisteilla (sensitivity labels). Copilot noudattaa niitä: jos tunnisteen salaus ei anna käyttäjälle oikeutta kopioida sisältöä, [Copilot ei tiivistä tiedostoa](https://learn.microsoft.com/microsoft-365/copilot/microsoft-365-copilot-architecture-data-protection-auditing) vaan antaa siihen pelkän linkin. Copilotin tuottama sisältö myös perii lähteidensä korkeimman prioriteetin tunnisteen.

Business Premiumissa tunnisteet ovat mukana, mutta ne annetaan käsin. Tunnisteiden automaattinen antaminen ja DLP-sääntö, joka estää Copilotia käsittelemästä tunnisteella merkittyjä tiedostoja kokonaan, vaativat E5-tason lisensoinnin. Pienemmässä ympäristössä käsin annetut tunnisteet riittävät hyvin alkuun, kunhan ne laitetaan sinne, missä niillä on merkitystä.

## Täydellinen ei saa estää hyvää

Sama periaate kuin [monivaiheisen tunnistuksen kanssa](https://wolflake.fi/blogi/miksi-mfa-ei-enaa-riita): jos kaikkea ei voi siivota ennen käyttöönottoa, se ei ole syy jättää siivoamatta mitään. Eikä se ole syy lykätä Copilotia vuodella.

Vuosien aikana kertyneitä jakoja ei korjata viikossa, eikä tarvitse. Tärkeintä on tietää, missä arkaluonteisin aineisto on, ja varmistaa ensin se. Henkilöstöhallinto, palkat, talous, hallituksen ja johtoryhmän aineisto, asiakassopimukset. Kun ne ovat kunnossa, loput voi käydä läpi vaiheittain, ja Restricted Content Discovery hoitaa välivaiheen niille sivustoille, joihin ei ole vielä ehditty.

## Mistä aloittaa

Ensimmäinen askel on tenanttitason oletusasetukset. Rajoita Anyone-linkit tai poista ne kokonaan, ja muuta oletuslinkki koskemaan vain tiettyjä henkilöitä. Tämä ei korjaa vanhoja jakoja, mutta lopettaa uusien syntymisen.

Sen jälkeen arkaluonteiset sivustot. Etsi ne, tarkista niiden oikeudet ja poista "Everyone except external users" sieltä, missä se ei kuulu.

Sitten raportit ja vaiheittainen läpikäynti muulle ympäristölle, ja omistajat mukaan tarkistamaan omat sivustonsa.

## Muistilista

- **Muuta tenantin oletusjakoasetukset.** Rajoita Anyone-linkit ja vaihda oletuslinkki koskemaan vain tiettyjä henkilöitä.
- **Etsi laajat jaot.** Anyone- ja organisaatiolinkit, "Everyone except external users" -oikeudet ja julkiset Teams-tiimit ovat yleisimpiä syitä siihen, että sisältö näkyy koko talolle.
- **Tunnista arkaluonteisin aineisto ja aloita siitä.** HR, palkat, talous, hallitus ja johtoryhmä ensin.
- **Piilota keskeneräiset sivustot Copilotilta.** Restricted Content Discovery antaa aikaa siivota ilman että käyttöönotto odottaa.
- **Älä ota käyttöön Restricted SharePoint Searchia.** Se on poistumassa.
- **Anna sivustojen omistajien tarkistaa omat sivustonsa.** He tietävät, kenen kuuluu nähdä mitäkin.
- **Älä odota täydellistä.** Arkaluonteisin ensin, loput vaiheittain.

Copilot tekee näkyväksi sen, mikä on ollut auki koko ajan. Se on oikeastaan hyvä asia, koska sama ylijako on ollut olemassa myös ennen Copilotia, ja sitä olisi voinut hyödyntää kuka tahansa tunnuksen haltuunsa saanut. Jakoasetukset ja julkiset ryhmät käydään läpi [kuntokartoituksessa](https://wolflake.fi/kuntokartoitus). Se kannattaa tehdä ennen Copilot-hankintaa eikä sen jälkeen.