Latest / M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어) / Microsoft 365 Copilot가 데이터를 유출하고 있다면? Graph 권한, DLP, Purview로 보호하는 법 (AI 더빙)

Transcript

Microsoft 365 Copilot가 데이터를 유출하고 있다면? Graph 권한, DLP, Purview로 보호하는 법 (AI 더빙) · M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어)

0:00
마이크로소프트 365, 코파일럿, AI, 에이저, 그리고 일의 미래를 만들어가는 사람들과 함께하는 10일간의 여정을 준비되셨나요?
0:08
이번 1월, M365 컨이더 커진 규모로 돌아옵니다.
0:12
전세계 MVP와 업계 전문가들이 전하는 라이브 세션, 실전 데모, 그리고 실무 지식을 만나보세요.
0:18
뻔한 슬라이드나 끝없는 유행원은 없습니다.
0:21
코파일럿 스튜디오, AI 에이전트, 패브릭, 보안, 거버넌스, 자동화 등 실질적인 과제들을 다룹니다.
0:29
IT 전문가, 개발자, 비즈니스 리더 등 각자에게 맞는 맞춤형 세션이 준비되어 있습니다.
0:35
10일 동안 다양한 기술을 탐구하고 글로벌 커뮤니티와 연결될 수 있습니다.
0:40
라이브로 시청하고 실질적인 인사이트를 조직에 바로 적용해보세요.
0:44
2027년 1월, 10일간의 여정, 하나의 마이크로소프트 커뮤니티가 여러분을 기다립니다.
0:49
지금 바로 등록하세요.
0:51
M365 COM.NET에 접속하여 오늘 바로 자리를 확보하세요.
0:55
다시 한번 M365 COM.NET입니다.
0:59
M365 COM.NET에서 지금 등록하고 1월에 라이브로 만나요.
1:04
코파일럿 이 권한이 있는 정보만 보여줄 거라 생각하신다면 다시 생각해보셔야 합니다.
1:09
그래프 권한 설정 하나만 잘못되어도 AI 가규정 준수팀이 허가하지 않은 데이터까지 노출할 수 있습니다.
1:14
더 무서운 점은 이런 일이 벌어지고 있다는 사실 조차 깨닫지 못할 수 있다는 것입니다.
1:17
이번 영상에서는 관리되지 않은 코파일럿 액세스의 실질적인 위험과 민감한 파일, 재무 스프레드 시트, 기밀 고객 데이터가 유출되는 과정을 다룹니다.
1:25
또한 업무 생산성을 저해하지 않으면 서 그래프 권한, DLP 정책, 퍼별을 사용하여 이를 안전하게 차단하는 방법을 알려드립니다.
1:33
코파일럿 이 너무 많은 정보를 알게 되면 신입사원이 지난 분기 프로젝트 검토 노트를 요청했을 때 자신의 회의 요약이 아니라 전략 결정, 예산 삭감, 그리고 절대 알면 안 되는 이름이 포함된 비공개 이사회 회의록이 나올 수 있습니다.
1:51
치매 경고도 DLP 알림도 없이 AI 가건들여 선 안 될 문서를 조용히 넘겨주는 셈입니다.
1:57
이런 일이 발생하는 이유는 코파일럿 이 단순히 사용자의 메일함이나 온드라이브 폴더에서 멈추지 않기 때문입니다.
2:03
코파일럿 위 접근 범위는 마이크로소프트 그래프를 통해 부여된 권한에 따라 결정됩니다.
2:07
그래프는 단순한 데이터베이스가 아니라 마이크로소프트 365, 셰어포인트, 팀즈 메시지, 캘린더 이벤트, 원노트, 페넌트에 연결된 CRM 데이터 등 거의 모든 콘텐츠에 접근하는 중심점입니다.
2:19
올바른 문만 열려 있다면 모든 데이터가 그래프를 통해 흐릅니다.
2:23
많은 관리자가 이 부분을 놓치고 있습니다.
2:25
사용자 본인으로 로그인하면 코파일럿도 자신에게 허용된 정보만 볼 것이라는 흔한 오해가 있습니다.
2:29
그럴 듯하게 들리죠. 문제는 코파일럿 자체가 종종 별도의 애플리케이션 권한으로 실행된다는 점입니다.
2:36
해당 권한이 로그인 한 사용자의 권한보다 광범위할 경우 결국 키보드 앞에 사람보다 훨씬 더 많은 정보에 접근할 수 있는 AI 어시스턴트가 만들어지게 됩니다.
2:45
일부 배포 환경에서는 이러한 높은 권한이 아무런 의문 없이 부여되기도 합니다.
2:50
분기별 예측을 작업 중인 재무 분석가를 떠올려 보십시오.
2:53
그들이 코파일럿에게 상위 20개 계정에 대한 현재 파이프라인 데이터를 요청합니다.
2:58
일반적인 역할상 그들은 일부 고객의 수치만 볼 수 있어야 합니다.
3:02
하지만 코파일럿 앱 등록에서 그래프가 설정된 범위 때문에
3:06
AI는 분석가가 직접 접근한 적 없는 공유팀 사이트에서 전체 영업 파이프라인 보고서를 가져옵니다.
3:12
최종 사용자 입장에서는 아무것도 의심스러워 보이지 않습니다.
3:16
하지만 보안 및 규정 준수 관점에서는 이는 민감한 정보 노출입니다.
3:20
그래프 API 권한은 사실상 조직 데이터로 통하는 정문과 같습니다.
3:24
마이크로소프트는 이를 로그인 한 사용자를 대신하여 작동하는 위임된 권한과
3:29
앱이 독립적으로 작동하게 하는 애플리케이션 권한으로 나눕니다.
3:33
코파일럿 시나리오는 콘텐츠 검색을 위해 위임된 권한이 필요한 경우가 많지만
3:37
사용자가 참석하지 않은 팀즈 회의 요약과 같은 특정 기능은
3:41
관리자가 애플리케이션 수준의 권한을 승인하도록 유도할 수 있습니다.
3:45
그리고 바로 그 지점에서 위험이 스며듭니다.
3:47
애플리케이션 권한은 위도적으로 범위를 지정하지 않는 한 개별 사용자 제한을 무시합니다.
3:52
이러한 승인은 주로 도입 초기 단계에서 발생하며
3:55
개발 테넌트에서 코파일럿을 테스트하던 IT 관리자가 설정을 완료하기 위해
4:00
권한 프롬프트에서 동의를 클릭한 뒤
4:02
그 영향을 검토하지 않고 프로덕션 환경에 그대로 복제할 수 있습니다.
4:07
일단 적용된 광범위한 권한은 누군가 적극적으로 감사하지 않는 한 그대로 유지됩니다.
4:11
시간이 지나 새로운 데이터 소스가 M365에 연결되면
4:14
별다른 의식적인 결정 없이도 코파일럿 위 도달 범위가 확장됩니다.
4:19
이것이 바로 조용한 권한 확대이며
4:21
큰 문제나 사용자 불만 없이 AI 위 범위가 점진적으로 넓어지는 것입니다.
4:25
문제는 대부분의 보안팀이 어떤 코파일럿 기능에
4:28
어느 수준의 그래프 접근 권한이 필요한지 잘 모른다는 점입니다.
4:32
그들은 시어포인트에서 모든 파일 읽기 권한을 보고
4:34
사용자 컨텍스트에 위해 제한될 것이라 가정하지만
4:36
실제로는 해당 권한이 애플리케이션 수준에서 테넌트 전체에 적용된다는 사실을 인지하지 못합니다.
4:41
특정 AI 시나리오를 최소한의 필수 권한에 맞추지 않으면
4:45
결국 초기 설정에서 승인된 내용이 기본값으로 유지됩니다.
4:50
권한이 광범위할수록 기대했던 동작과 실제 동작 사이의 격차는 커집니다.
4:56
코파일럿 위 출력 결과에는
4:58
사용자에게 표시되는 권한 추적 기능이 포함되어 있지 않다는 점도 기억해야 합니다.
5:04
AI가 사용자가 평소 접근이 차단되었던 위치에서 콘텐츠를 가져오더라도
5:08
이것이 사용자의 허용 범위를 벗어났다는 경고 배너는 뜨지 않습니다.
5:12
이러한 투명성 부족으로 인해 위험한 정보 노출이 일상적인 워크플로우에 쉽게 섞여 들어갑니다.
5:18
핵심은 AI 배포를 위한 그래프 권한이 온 보딩 과정의 단순한 확인 항목이 아니라는 점입니다.
5:23
이는 코파일럿 이 네트워크에서 수행할 모든 상호작용을 결정짓는 설계상이 선택입니다.
5:29
방화벽 규칙 2나 VPN 액세스 범위처럼 신중하게 검토하고 주기적으로 재검증해야 합니다.
5:35
기본 설정은 빠르게 시작할 수는 있지만 AI가 사용자보다 훨씬 더 넓은 범위의 정보를 검색하는 것을 당연하게 가정합니다.
5:42
범위가 얼마나 쉽게 벗어날 수 있는지 확인했으니 이제 문제는 사고로 번지기 전에 그 격차를 어떻게 찾아낼 것인가입니다.
5:49
데이터가 유출되기 전에 먼저 발견하기.
5:52
만약 코파일럿이 이미 노출되어서는 안 될 데이터를 보여주고 있다면 과연 알아챌 수 있을까요?
5:56
대부분의 조직에서 솔직한 답변은 아니오입니다.
5:58
정보가 공개 사이트에 게시되거나 메일링 리스트로 뿌려지는 것은 아닙니다.
6:03
유출된 정보는 문서 초안, 요약본 또는 AI가 생성 한 답변 속에 조용히 나타날 수 있습니다.
6:10
누군가 이상한 점을 발견하지 못한다면 경고도 없이 그냥 지나쳐버립니다.
6:14
가시성 문제는 대부분의 모니터링 시스템이 구축된 방식에서 시작됩니다.
6:19
기존의 파일 다운로드, 비정상적인 로그인 위치, 대량 이메일 발송과 같은 활동에 맞춰져 있지,
6:25
AI가 정보를 검색하고 취합하는 방식에는 맞춰져 있지 않습니다.
6:28
코파일럿은 일반적인 의미에서 파일을 여는 것이 아닙니다.
6:31
마이크로소프트 그래프를 통해 데이터 소스를 커리하고 결과를 취합하여 자연어 텍스트로 제시합니다.
6:38
즉, 표준 파일 액세스 보고서는 깨끗해 보여도 AI는 백그라운드에서 민감한 위치의 데이터를 가져오고 있을 수 있습니다.
6:46
부서 업무 범위에 없는 고객 이름을 직원이 무심코 언급해서야 회사가 문제가 있음을 깨달은 상황을 본 적이 있습니다.
6:53
관리자가 어떻게 알았냐고 묻자 직원은 코파일럿 2초 안에 포함시켰다고 답했습니다.
6:58
사건 티켓도 자동화된 경고도 없어두며 IT팀의 조사로 이어진 것은 단지 우연한 발언뿐이었습니다.
7:04
조각을 맞추어 파악했을 때는 이미 동일한 AI 응답이 여러 팀에 공유된 상태였습니다.
7:10
마이크로소프트 365는 이러한 시나리오를 조사할 도구를 제공하지만 어디를 살펴봐야 할지 알아야 합니다.
7:16
퍼뷰 위 감사 기능은 코파일럿 위 데이터 액세스를 상세하게 기록할 수 있습니다.
7:20
단지 AI라는 표시가 크게 붙어 있지 않을 뿐입니다.
7:24
감사 로그 검색에서 코파일럿 2 사용하는 특정 작업, 검색 커리 실행 또는 파일 액세스 등
7:29
웰 필터링하고 배포된 코파일럿과 연결된 애플리케이션 아이디로 범위를 좁힐 수 있습니다.
7:35
이를 위해서는 약간의 준비가 필요합니다.
7:38
엔트라 아이디 위 앱 등록 세부 정보를 확인하여 트래픽을 식별해야 합니다.
7:41
그 다음은 패턴을 파악하는 일입니다.
7:44
데이터 사용량이 적은 계정, 예, 인턴 계정, 이 1시간에 10번이 복잡한 검색을 실행하는 등
7:49
대량의 커리를 보내는 것이 보인다 면 확인해볼 가치가 있습니다.
7:52
평소 접할 일이 없는 부서에서 기밀로 표시된 콘텐츠가 갑자기 급증하는 경우도 마찬가지입니다.
7:58
퍼뷰는 레이블 활동을 표시할 수 있으므로
8:00
코파일럿 커리가 레이블이 지정된 문서를 가져오면
8:03
AI가 전체 텍스트를 출력하지 않아 더라도 로그해서 확인할 수 있습니다.
8:07
역할 기반 액세스 검토는 정보를 연결하는 또 다른 방법입니다.
8:11
실제로 코파일럿을 사용하는 사람들을 맵핑하고
8:14
상호작용하는 데이터 유형과 대조하면
8:16
잠재적 인불일치를 조기에 발견할 수 있습니다.
8:19
재무팀이 보고서를 위해 코파일럿을 활발히 사용하는 것은 이해가 되지만
8:23
왜 여러 마케팅 계정이 AI 커리를 통해 급여 스프레드 시트에 접근하는 걸까요?
8:27
이러한 검토는 감사추적의 단일 이벤트를 넘어
8:30
더 넓은 그림을 볼 수 있게 해줍니다.
8:32
문제는 일반적인 모니터링 대시보드가
8:34
여기서는 별 도움이 되지 않는다는 점입니다.
8:36
이들은 모든 M365 활동을 광범위한 범주로 집계함으로
8:40
AI 고유의 동작이 일반적인 작업과 섞일 수 있습니다.
8:45
코파일럿 앱 아이디와 사용 패턴에 집중된
8:47
사용자 지정 필터 나보고서를 만들지 않으면
8:50
방대한 데이터 속에서 특정 모래알을 찾는 것과 다를 바 없습니다.
8:54
단순히 가시성을 높이는 것이 아니라
8:56
목표가 명확한 가시성이 필요합니다.
8:58
이는 감시 문화를 만드는 것이 아니라
8:59
AI가 실제로 무엇을 가져오는지 확실히 파악하는 것에 관한 문제입니다.
9:03
적절한 로깅 접근 방식은 세 가지 중요한 질문에 답을 제공합니다.
9:06
코파일럿 이 무엇을 검색했는가?
9:08
누가 이를 실행했는가?
9:09
그리고 그 행동이 기존 보안 및 규정 준수 정책과 일치하는가?
9:13
이러한 답변을 통해 권한 조정, DLP 규칙 개선,
9:17
역할 할당 강화 등 문제를 정밀하게 해결할 수 있습니다.
9:21
이러한 명확성이 없으면 추측에 의존하게 되는데
9:23
추측은 보안 전략이 될 수 없습니다.
9:26
그러므로 우연한 계기로 문제가 드러나기를 기다리기보다
9:29
코파일럿 위 흔적이 보이고 추적 가능하도록
9:32
모니터링 체계를 구축하는 데 시간을 투자할 가치가 있습니다.
9:36
이렇게 하면 데이터 과다 노출의 증후가
9:38
갑작스러운 사고가 아닌 관리 가능한 이벤트가 됩니다.
9:42
유출 지점을 아는 것은 첫 번째 단계일 뿐입니다.
9:45
진정한 목표는 재발을 방지하는 것이며
9:47
바로 그 지점에서 올바른 가드레일이 필요합니다.
9:50
실제로 작동하는 가드레일 말이죠.
9:52
DLP는 단순히 신용카드 번호가 포함된 이메일을 찾아내는 도구만이 아닙니다.
9:56
코파일럿 환경에서 DLP는 민감한 데이터가 AI 생성 답변에 포함되어
10:01
팀즈 채팅에 붙여 넣어지거나
10:03
페넌트 외부로 나가는 문서로 내보내지는 것을 막는
10:06
트리거 역할을 할 수 있습니다.
10:08
마이크로소프트 365내의 동일한 도구이지만
10:11
AI 시나리오를 위해 구성하는 방식은
10:14
완전히 다른 사고 방식이 필요합니다.
10:16
문제는 대부분의 조직이 가진 DLP 정책이
10:19
이메일 첨부 파일, USB 드라이브로의 파일 다운로드,
10:23
승인되지 않은 앱으로의 데이터 복사와 같은 구식 트리거를 염두에 두고 작성되었다는 점입니다.
10:28
코파일럿은 파일을 전송하는 것이 아니기 때문에
10:30
기본적으로는 그러한 규칙을 트리거하지 않습니다.
10:33
콘텐츠를 즉석에서 생성하기 때문입니다.
10:35
코파일럿에게 제한됨으로 표시된 전체 고객 목록을 요청하고
10:39
코파일럿 이 레이블이 지정된 문서에서 이를 가져오면
10:42
해당 결과물은 기존 DLP 조건을 전혀 트리거하지 않고
10:45
외부로 유출될 수 있습니다.
10:47
그렇기 때문에 AI 프롬프트와 응답을 DLP 범위에 명시적으로 포함해야 합니다.
10:53
한 가지 실제 예를 들어
10:54
특정 계약 문서를 보안 환경 외부로 내보내는 것이
10:57
정책상 금지되어 있다고 가정해보겠습니다.
11:00
사용자가 코파일럿에게 주요 조항을 추출하여
11:02
파워포인트에 넣어달라고 요청할 수 있습니다.
11:05
DLP 규칙이 AI 생성 콘텐츠를 모니터링하지 않으면
11:08
해당 민감한 자료는 이제 보호되지 않는 파일에 존재하게 됩니다.
11:12
DLP 검사 범위를 코파일럿 결과물까지 확장하면
11:15
해당 파워포인트가 관리되지 않는 위치에 저장되거나
11:18
팀즈에서 외부 게스트와 공유되는 것을 차단할 수 있습니다.
11:22
마이크로소프트 365에서 이를 설정하는 것은 복잡하지 않지만
11:25
신중한 프로세스가 필요합니다.
11:27
먼저 마이크로소프트 퍼뷰 규정
11:29
준수 포털의 데이터 손실방지 섹션으로 이동하여
11:32
새 정책을 만듭니다.
11:33
적용할 위치를 선택할 때
11:35
Exchange, SharePoint, OnDrive를 포함하고
11:38
코파일럿이 모든 곳의 데이터를 불러올 수 있으므로
11:41
특히 팀즈를 포함해야 합니다.
11:43
그런 다음 조건을 정의합니다.
11:44
금융계좌 번호와 같은 기본 제공 민감한 정보유형이나
11:48
내부 프로젝트 코드를 감지하는
11:50
사용자 지정 유형을 대상으로 지정할 수 있습니다.
11:53
민감도 레이블을 일관되게 사용하는 경우
11:55
파일이 저장되거나 공유될 때
11:57
최종 결과물에 레이블이 지정된 콘텐츠가 나타나면
12:00
조건이 트리거되도록 설정할 수도 있습니다.
12:03
마지막으로 작업을 구성합니다.
12:05
공유를 차단하거나
12:05
사용자에게 정책 팁을 표시하거나
12:08
진행을 위해 사유 입력을 요구할 수 있습니다.
12:10
민감도 레이블 자체가 이 기능을 작동하게 하는 핵심 요소입니다.
12:14
AI 환경에서 레이블은 코파일럿이 다른 M365 서비스와 마찬가지로
12:19
읽을 수 있는 메타데이터입니다.
12:21
기밀 수준이 높은 문서에 액세스 및 사용을 제한하는 레이블이 지정된 경우
12:25
관련 앱 전반에서 레이블 보호 설정이 일관되게 적용된다면
12:30
코파일럿은 답변을 생성할 때 해당 제안을 준수합니다.
12:34
AI가 허용된 범위를 벗어나는 레이블이 지정된 콘텐츠를 사용하려고 하면
12:37
해당 레이블과 연결된 DLP 정책이 작업을 방지하거나
12:41
검토를 위해 플래그를 지정할 수 있습니다.
12:43
이러한 연동 없이는 규정 준수 관점에서
12:45
레이블은 단순한 장식에 불과합니다.
12:48
제가 자주 접하는 가장 흔한 잘못된 구성 중 하나는
12:50
DLP 정책을 AI 시나리오와 전혀 연관시키지 않는 것입니다.
12:54
규칙은 존재하지만 관리자가 코파일럿 결과물을
12:57
별도의 채널로 고려하지 않았기 때문에 연결고리가 없습니다.
13:00
이는 이메일 내에 동일한 텍스트라면 차단되었을 상황
13:03
임에도 생성된 답변 속에 민감한 용어는 검사되지 않는 사각지대를 만듭니다.
13:08
이를 해결하려면 AI 지원 워크플로우를 DLP 위치 중 하나로 생각하고
13:13
다른 모든 위치와 함께 모니터링 해야 합니다.
13:16
DLP와 민감도 레이블이 올바르게 구성되어 서로 연동되면
13:20
코파일럿은 규정 준수 문제 없이 유용하게 활용될 수 있습니다.
13:25
이메일이나 팀즈 메시지에서 기대하는 것과 동일한 경계를 조용히 유지하면서
13:29
보고서 추한 작성, 문서 요약, 데이터 세트 분석을 맡길 수 있습니다.
13:34
사용자는 AI 지원에 이점을 누리고
13:36
안전장치는 위험도가 높은 정보가 유출되지 않도록 방지합니다.
13:39
여기서의 이점은 단순히 의도치 않은 정보 공유를 막는데 그치지 않습니다.
13:43
핵심은 기술이 명확한 규칙 안에서 작동하도록 하는 것입니다.
13:46
그렇게 하면 팀의 불만을 사고 도입을 저해하는
13:49
일괄적인 제한 조치에 의존할 필요가 없습니다.
13:52
컨트롤을 조정하면 마케팅 부서는 코파일럿으로 아이디어를 구상하고
13:56
재무부서는 분석을 수행하며 인사부서는 온 보딩 가이드를 생성하는 등
14:00
각자 허용된 영역 내에서 작업할 수 있습니다.
14:03
하지만 출력물을 제어하는 것만으로는 퍼즐의 일부일 뿐입니다.
14:06
위험을 완전히 줄이려면 애초에 누가 어떤 AI 기능을 사용할 수 있는지 결정해야 합니다.
14:12
모두에게 동일한 액세스 권한을 부여해서는 안 됩니다.
14:15
마케팅 인턴과 최고 재무책임자, CFO, 가정말 같은 코파일럿 권한을 가져야 할까요?
14:20
말로 하면 터무니없게 들리지만 많은 테넌트에서 실제로 그렇게 설정되어 있습니다.
14:25
역할별 구성을 관리하는 것보다 빠르고 쉽기 때문에 모든 사람에게 동일한 권한으로 코파일럿을 켭니다.
14:32
단점은 AI 위 액세스 권한이 각 역할에 필요가 아닌 가장 개방적인 시나리오에 맞춰진다는 것입니다.
14:38
바로 그 지점에서 역할 기반 코파일럿 액세스 그룹이 필요합니다.
14:42
모든 사용자를 동일하게 취급하는 대신 특정 역할에 실제로 필요한 정보와 워크플로우의 AI 기능을 맞춰야 합니다.
14:48
마케팅 부서는 캠페인 자산과 브랜드 가이드라인에 접근해야 할 수도 있지만 원본 재무 모델까지는 필요 없을 것입니다.
14:56
재무 부서는 모델이 필요하지만 초기 단계의 제품 로드맵은 필요하지 않습니다.
15:01
핵심은 코파일럿을 덜 유용하게 만드는 것이 아닙니다.
15:04
각자의 업무와 관련이 있는 범위로 제한하는 것입니다.
15:06
모든 사용자에게 동일한 기능을 활성화할 때 따르는 위험은 대부분의 팀이 예상하는 것보다 큽니다.
15:11
코파일럿은 마이크로소프트 365 환경에 이미 저장된 데이터를 활용하여 작동합니다.
15:16
모든 직원이 동일한 AI 액세스 권한을 가지면 기술이 의도적으로 유지해온 사일로를 허물어 버릴 수 있습니다.
15:22
그 결과 인사보조 직원이 매출 내역을 보게 되거나 운영 리드가 내년 제품 출시 계획을 코파일럿에게 물어 아직 확정되지 않은 설계 세부 정보를 얻는 상황이 발생합니다.
15:34
당장은 보안 침해처럼 느껴지지 않을 수 있지만 노출 위험은 실제합니다.
15:38
올바른 액세스 모델을 구축하려면 단순히 사용하는 애플리케이션뿐만 아니라 업무 일상에서 다루는 데이터의 깊이와 민감도를 기준으로 직무 기능을 맵핑하는 것부터 시작해야 합니다.
15:48
영업팀의 코파일럿 요청 중 70%는 고객 계정 기록과 관련이 있고 5% 미만 만이 보안 수준이 높은 계약 파일에 해당한다는 사실을 발견할 수도 있습니다.
15:57
이는 AI 사용의 대부분을 특정 셰어포인트 라이브러리 내에서 안전하게 유지하면서 나머지는 차단할 수 있음을 시사합니다.
16:03
각 부서에 걸쳐 이 작업을 수행하면 패턴이 나타납니다.
16:06
각 그룹에 필요한 항목을 파악했다면 많은 사람들이 여전히 에이저 AD라고 부르는 마이크로소프트 엔트라 아이디가 시행 도구가 됩니다.
16:14
역할 정의에 해당하는 보안 그룹을 만들고 그룹 수준에서 코파일럿 권한을 할당합니다.
16:20
즉, 재무 코파일럿 그룹 구성원에게만 특정 그래프 API 범위를 활성화하고 마케팅 코파일럿 그룹에는 다른 범위를 설정할 수 있습니다.
16:29
민감한 사이트, 팀즈 채널 또는 특정 온드라이브 폴더에 대한 액세스도 동일한 모델을 따를 수 있습니다.
16:34
이 접근 방식의 강점은 앞서 다룬 제어 기능과 계층화될 때 나타납니다.
16:39
그래프 권한은 코파일럿이 기술적으로 도달할 수 있는 외부 경계를 정의합니다.
16:44
DLP 정책은 AI 위 출력물에서 민감한 콘텐츠를 모니터링합니다.
16:49
역할 기반 그룹은 중간에서 그래프 권한이 낮은 민감도의 역할에 지나치게 광범위하지 않도록 하고,
16:55
입력 소스를 제한하여 애초에 방지할 수 있었던 문제를 DLP가 감지하지 않도록 합니다.
17:01
하지만 다른 시스템과 마찬가지로 지나치면 문제가 될 수 있습니다.
17:04
모든 시나리오에 대해 마이크로 그룹을 만들고 싶은 유혹이 될 것입니다.
17:08
보고 권한이 있는 재무 분석가, 코파일럿이나 팀즈 액세스 권한이 없는 마케팅 인턴 등 수십 가지 변형이 생길 수 있습니다.
17:15
이러한 세밀함은 이론상으로는 정확해 보일 수 있지만, 실제 환경에서는 유지관리의 골칫거리가 됩니다.
17:20
사용자는 역할을 변경하고, 프로젝트는 바뀌며, 계약직은 계속 오고 갑니다.
17:24
그룹 모델이 너무 경직되면, IT 직원은 보안을 개선하기 보다 액세스 문제를 해결하는 데 더 많은 시간을 소비하게 됩니다.
17:31
진정한 목표는 균형입니다.
17:33
명확하고 잘 정의된 소수의 역할 그룹이면 관리적 교착 상태를 만들지 않고도 대부분의 사용 사례를 다룰 수 있습니다.
17:39
CFO 그룹은 광범위한 분석 권한이 필요하지만, 출력 공유에 대한 엄격한 제어가 필요합니다.
17:44
인턴 그룹은 제한된 데이터 범위 내에서 실제 업무에 기여할 수 있는 충분한 역량을 가집니다.
17:50
부서장은 중간 수준의 권한을 가지며, 특별 프로젝트로 예외가 필요할 경우 IT 부서가 조정할 수 있는 능력을 유지합니다.
17:57
모든 것을 잠가서 답답하게 만들려는 것이 아닙니다.
18:00
각 AI 환경을 관련성 있고, 안전하며 정책에 맞게 유지하려는 것입니다.
18:05
제대로 수행하면 그 이점이 빠르게 나타납니다.
18:08
사용자는 코파일럿이 제공하는 데이터가 항상 자신의 책임 범위 내에 있기 때문에 놀라지 않게 됩니다.
18:14
준법 감시팀은 우발적인 과다 노출이 발생하지 않으므로 조사할 사건이 줄어듭니다.
18:19
또한 IT팀은 전체 배포로 인해 공들여 쌓아온 데이터 경계가 조용히 무너질까 걱정할 필요 없이 새로운 코파일럿 기능을 자신있게 추진할 수 있습니다.
18:29
액세스 제어와 보호장치가 함께 작동하면 위험 프로필이 크게 감소합니다.
18:34
하지만 잘 설계된 모델이라도 내부적으로는 물론, 외부 감사 요청이 있을 때 그 작동 방식을 증명할 수 있어야만 의미가 있습니다.
18:41
속도를 늦추지 않으면 서규정 준수를 증명하는 방법입니다.
18:44
규정 준수는 단순한 형식적 절차가 아니라 감사관을 만족시킬 수 있는 근거입니다.
18:48
정책과 가드레일은 훌륭하지만, AI 가지원한 데이터로 정확히 어떤 일이 일어났는지 보여주지 못하면 증명 대신 주장만 늘어놓게 됩니다.
18:56
감사 준비가 완료된 코파일럿 환경이란 사용자의 질의부터 AI 위 데이터 검색까지 모든 상호작용을 검증 가능한 기록으로 설명하고 뒷받침할 수 있다는 의미입니다.
19:06
까다로운 점은 많은 기업이 내부 검토를 통과했다고 해서 모든 것이 해결되었다고 생각한다는 것입니다.
19:11
그러한 검토는 대개 통제 항목의 존재 여부와 몇 가지 샘플 시나리오만 확인하며, 외부 감사관이 요구하는 수준의 세밀함까지는 요구하지 않는 경우가 많습니다.
19:21
외부 평가자가 지난 분기에 코파일럿이 액세스한 모든 민감한 콘텐츠의 로그와 요청자 및 요청 이유를 요구할 때 생각보다 자주 공백이 발견됩니다.
19:32
로그가 불안전하거나 AI 관련 이벤트가 애초에 그렇게 태그되지 않았기 때문에 아예 누락되는 경우입니다.
19:39
바로 이 지점에서 마이크로소프트 퍼뷰가 큰 차이를 만들 수 있습니다.
19:42
퍼뷰의 규정 준수 기능은 단순히 레이블이나 DLP 정책을 적용하는 것에 그치지 않습니다.
19:47
필요한 포렌식 증거를 한데 모아주는 역할도 합니다.
19:50
코파일럿 환경에서 퍼뷰는 관련 데이터 액세스 요청, 요청자의 신원, 그리고 원본 위치를 모두 기록할 수 있습니다.
19:56
또한 AI 위 자체 보고에 위존하지 않고도 민감한 파일이 초안, 요약본, 내보내기 파일에서 참조되는 등 데이터 이동 패턴과 이벤트를 연관지어 분석할 수 있습니다.
20:06
퍼뷰의 규정 준수 점수는 단순한 보여주기식 수치가 아닙니다.
20:10
이 점수는 AI 관련 위험을 직접적으로 제한하는 제어 항목을 포함하여 귀사의 환경이 마이크로소프트가 권장하는 통제 기준에 얼마나 부합하는지를 보여주는 스냅샷입니다.
20:18
더 강력한 그래프 권한 관리, 더욱 엄격한 DLP 구성, 잘 관리된 역할 기반 그룹 등이 모두의 점수에 반영됩니다.
20:25
또한 변경 사항에 따라 점수가 업데이트됨으로 AI 거버넌스 개선이 어떻게 규정 준수 상태를 향상시키는지 실시간에 가깝게 확인할 수 있습니다.
20:34
코파일럿이 생성한 보고서에 특정 고객 데이터가 포함된 이유를 정당화해야 하는 규제 검사를 상상해보십시오.
20:41
체계적인 로깅이 없다면 그러한 대화는 추측으로 변질되고 맙니다.
20:45
퍼뷰가 올바르게 구성되어 있다면 감사 로그에서 액세스 요청을 보여주고 권한을 부여한 역할과 권한을 지목하며 결과물이 승인된 채널 내에서 처리되었음을 증명할 수 있습니다.
20:53
이는 문서화되지 않은 이벤트를 설명하기 위해 허동되는 것보다 훨씬 수월한 대화가 될 것입니다.
20:58
핵심은 규정 준수 보고를 감사전이 특별 프로젝트가 아닌 일상적인 IT 거버넌스 주기의 일부로 만드는 것입니다.
21:05
자동화된 보고는 이 과정에서 매우 큰 도움이 됩니다.
21:08
퍼뷰는 정보보호 정책 일치, DLP 사고, 민감도 레이블 사용에 관한 반복적인 보고서를 생성할 수 있습니다.
21:15
매달 거버넌스 팀의 작업 공간으로 보고서가 자동 생성되면 검토하기 쉬운 AI 활동 기준선을 구축하게 됩니다.
21:22
어떤 이상 증오라도 과거 패턴과 비교하면 눈에 띄게 마련입니다.
21:26
시간 절약 기능이 더해지면 효과는 커집니다.
21:28
예를 들어 퍼뷰는 위치나 활동 유형별로 그룹화된 네이블이 지정된 콘텐츠 관련 모든 사고를 강조하는 사전 구축된 보고서를 제공합니다.
21:36
코파일러 세션이 기밀문서를 출력물로 가져와 DLP가 이를 차단했다면,
21:41
사용자 지정 커리를 처음부터 만들지 않아도 해당 사고가 보고서에 이미 표시됩니다.
21:45
이후 해당 기록을 자세히 드릴 다운할 수 있으며, 수집과 분류와 같은 번거로운 작업은 이미 완료된 상태입니다.
21:52
또 다른 효율성은 퍼뷰 감사와 마이크로소프트 365위 역할 기반 액세스 데이터 간의 통합입니다.
21:59
퍼뷰는 엔트라 아이디 그룹을 인식함으로 역할 유형별로 액세스 로그를 분류할 수 있습니다.
22:05
즉, 지난 90일 동안 마케팅 역할이 코파일러들 통해 재무레이블이 지정된 데이터에 액세스한 모든 사례를 보여줘,
22:11
와 같은 구체적인 질문에 빠르게 답할 수 있습니다.
22:14
역할과 데이터 분류 모두를 기준으로 필터링하는 기능은 외부 검토자가 정확히 요구하는 바입니다.
22:21
생각해보면 이러한 수준의 규정 준수는 결코 부담이 아닙니다.
22:24
이는 거버넌스 설계가 실제로 작동하고 있음을 확인해주는 안전장치입니다.
22:28
또한 자료를 긁어 모을 필요가 없으므로 감사에 대한 스트레스도 사라집니다.