Latest / M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어) / Copilot 활성화는 마법이 아니다: Microsoft 365의 계약, 라이선스, 권한, Purview 거버넌스 (AI 더빙)

Transcript

Copilot 활성화는 마법이 아니다: Microsoft 365의 계약, 라이선스, 권한, Purview 거버넌스 (AI 더빙) · M365.FM – Microsoft 365, Copilot & AI 팟캐스트 (한국어)

0:00
많은 이들이 마이크로소프트 코파일럿은 그냥 켜기만 하면 마법처럼 작동한다고 생각합니다.
0:04
틀렸습니다. 실제로는 거대 언어 모델을 회사 데이터의 핵심 현류에 직접 연결하는 것입니다.
0:10
코파일럿을 소개합니다. 코파일럿은 거대 언어 모델과 여러분의 마이크로소프트 그래프 콘텐츠
0:15
그리고 매일 사용하는 마이크로소프트 365 앱을 결합합니다.
0:18
이메일, 채팅, 문서가 모두 입력 데이터로 흘러들어갑니다.
0:21
문제는 작동 여부가 아니라 여러분이 테넌트 전체에 무엇을 풀어놓았느냐입니다.
0:25
진정한 위험은 계약, 라이선스, 데이터 보호, 기술적 제어 및 거버넌스 전반에 걸쳐 있습니다.
0:31
하나라도 놓치면 지도 없는 미로를 만든 셈입니다.
0:33
솔직히 말해봅시다. 코파일럿 스위치를 켜면 정확히 무엇이 바뀌며 그 결과에 대한 책임은 누가 집니까?
0:39
계약, 그것이 스위치를 조종하는 보이지 않는 손입니다.
0:42
계약은 여러분이 켜고 있다고 생각하는 모든 스위치를 조종하는 보이지 않는 손입니다.
0:46
관리자 콘솔은 강력한 대시보드처럼 보일지 몰라도 실제 연결은 건조한 법률 텍스트 속에 있습니다.
0:51
코파일럿은 단독으로 존재하지 않으며 마이크로소프트 제품 약관과 데이터 보호 부속서의 적용을 받습니다.
0:57
이 문서들은 단순한 약관이 아니라 데이터 상주, 처리 약속, 개인정보 보호 의무의 기본 지침입니다.
1:02
다시 말해 스위치를 누르기도 전에 계약이 이미 게임의 규칙을 결정해둔 것입니다.
1:07
환상을 걷어내봅시다.
1:08
마이크로소프트 제품 약관은 무엇을 할 수 있는지, 데이터가 물리적으로 어디에 저장되는지,
1:13
그리고 결정적으로 코파일럿의 출력물을 누가 소유하는지를 결정합니다.
1:16
데이터 보호 부속서는 gdpr 및 유사한 프레임워크를 중심으로 개인정보 보호 제어를 설정하고 데이터 처리자로서 마이크로소프트의 역할을 정의합니다.
1:25
이러한 프레임워크는 단순히 연감을 주는 준수 지침이 아니라 구속력을 까집니다.
1:29
이를 무시한다고 규칙을 피하는 것이 아닙니다.
1:32
기술적 설정은 이러한 의무와 일치해야 하며 이를 거스르면 규정 준수 위반 위험만 커질 뿐입니다.
1:38
이것은 기술적인 문제가 아니라 구조적인 문제입니다.
1:41
계약은 의무이고 기술적 제어는 이를 실행하는 메커니즘입니다.
1:44
보존 네이블, 암호화 정책, 권한을 지칠 때까지 꼼꼼하게 설정할 수 있지만
1:49
이러한 조치가 dpa와 제품 약관에 명시된 약속과 일치하지 않으면 여전히 위험에 노출된 상태입니다.
1:56
계약은 우회할 수 있는 대상이 아닙니다.
1:58
그것이 바로 출발 신호입니다.
2:00
계약 없이는 제대로 배포된 것이 아닙니다.
2:02
법적 책임을 안고 즉흥적으로 대처하는 것뿐입니다.
2:05
자주 듣는 걱정 하나가 있습니다.
2:07
마이크로소프트가 우리 비즈니스 데이터로 llm을 몰래 학습시키나요?
2:10
계약상의 답변은 아니요입니다.
2:12
코파일럿이 사용하는 프롬프트, 문답, 마이크로소프트 그래프 데이터는 마이크로소프트의 파운데이션 모델 학습에 다시 사용되지 않습니다.
2:17
이는 제품 약관과 dpa 모두에 명시되어 있습니다.
2:20
여러분의 이메일은 ai 두뇌를 위한 연습용 노트로 쓰이지 않습니다.
2:23
마이크로소프트는 정확히 그런 일을 막기 위한 보호장치를 마련해두었습니다.
2:26
이 사실을 몰랐다면 축하합니다.
2:28
당신은 이미 계약으로 해결된 문제를 고민하고 있었던 것입니다.
2:30
이제 이 점을 확실히 이해하기 위해 헬스장 회원권 비유를 들어보겠습니다.
2:33
당신은 단순히 러닝머신을 사용하려고 등록했다고 생각했지만,
2:36
계약서에는 운영시간, 장비 이용 제한, 그리고 사우나에서의 복장 규정까지 조용히 명시되어 있습니다.
2:41
믿지 않았다고 해서 변명이 되지 않습니다.
2:44
헬스장은 규정대로 집행하니까요.
2:45
마이크로소프트 도 같은 방식으로 운영됩니다.
2:47
놀이터에서 즉흥적으로 노는 것이 아니라 인프라와 법적 기틀 위해서 움직입니다.
2:50
이러한 계약은 데이터가 어디에 저장되는지를 결정합니다.
2:53
데이터 거주지는 철학적 인추상 개념이 아닙니다.
2:55
규제 당국은 이를 매우 명확하고 영격하게 집행합니다.
2:58
예를 들어 EU 고객의 코파일럿 쿼리는 EU 데이터 경계 내에 제한됩니다.
3:02
EU 외부에서는 커리가 다른 글로벌 지역의 데이터 센터를 거쳐 라우팅될 수 있습니다.
3:06
이 내용은 제품 약관에 명시되어 있습니다.
3:08
파일이 국경을 넘을 수 있다는 사실에 놀라셨나요?
3:11
그런 충격은 계약 내용을 읽지 않았을 때만 발생합니다.
3:14
출력물의 소유권 문제도 미리 다루어집니다.
3:16
코파일럿 이 생성한 슬라이드 자료의 소유권은 기본적으로 사용자에게 귀속됩니다.
3:20
이는 디지털 관대함 때문이 아니라
3:22
제품 약관이 AI 시스템의 지식재산권 주장을 포기하도록 지시했기 때문입니다.
3:26
GDPR과 그 이상도 있습니다.
3:28
데이터 유출 통지, 하위 처리자 사용 감사 등 모든 내용이 DPA,
3:31
데이터 처리 부속서에 담겨 있습니다.
3:32
결론은 이론에 그치지 않습니다.
3:34
귀사의 배포가 이러한 의존성을 고려하지 않는다면
3:36
기술적 제어는 화려하지만 속이 빈 가식에 불과하게 됩니다.
3:40
계약이 아키텍처를 설정해야만
3:42
비로소 당신이 구성한 스위치와 정책들이
3:44
실질적인 규정 준수 효력을 갖게 됩니다.
3:46
기억에 남을 만한 비유를 들자면
3:48
코파일럿을 가볍게 꽂아 쓰는 콘센트가 아니라
3:50
전력망의 일부로 생각하십시오.
3:52
그 전력망의 청사진인 배선도는
3:54
토스터를 꽂기 훨씬 전부터 존재합니다.
3:57
배선도를 잘못 이해하면
3:58
그 이후에 모든 기술적 조치는 불안정을 초래합니다.
4:00
계약서가 바로 그 배선도입니다.
4:02
관리자 스위치를 켜는 것은
4:03
단지 종단점에서 플러그를 꽂는 행위일 뿐입니다.
4:05
정확히 말하자면
4:06
사용자를 활성화하는 것은 가벼운 선택이 아닙니다.
4:08
코파일럿을 켜는 순간
4:09
문서에 이미 코드화된 의무들이 발효됩니다.
4:12
아이디, 권한, 암호화, 보존 정책은
4:14
모두 그 하위 단계에서 작동합니다.
4:16
계약 조건은 가장 근본적인 수준의 거버넌스입니다.
4:19
역할을 할당하거나 보존 네이블을 설정하기도 전에
4:21
계약은 이미 관할권, 소유권, 규정 준수 상태를 확정 짓습니다.
4:25
자, 여기서 얻을 핵심 메시지는 이렇습니다.
4:27
직원들에게 라이선스를 무작정 배포하기 전에 잠시 멈추십시오.
4:30
법무팀과 상의하십시오.
4:31
DPA 및 제품 약관의 적용 범위가 문서화되어 있는지 확인하십시오.
4:34
EU 데이터 경계 고려 사항과 같이
4:36
지역별 데이터 거주지 약정을 파악하고
4:38
위무사항을 기준점으로 삼으십시오.
4:40
그제서야 비로소 IT 부서가
4:41
코파일럿 자석을 할당하기 시작할 명분이 생깁니다.
4:44
기반이 확인되고 나면
4:45
그 다음 단계는 자연스럽게 명확해집니다.
4:47
서류 작업을 넘어
4:48
라이선스와 역할 할당을 활성화하면
4:50
실제로 무엇을 제어하게 될까요?
4:52
거기서부터 진짜 잠금장치들이 나타나기 시작합니다.
4:55
모든 문을 잠그는 라이선스와 역할이 바로 그것입니다.
4:58
아마도 여러분은 라이선스가 마법의 열쇠라고 생각할지 모릅니다.
5:01
구매해서 나눠주고 사용자가 프롬프트를 입력하면
5:03
갑자기 코파일럿이 카페인을 과하게 섭취한 인턴처럼
5:06
이메일을 작성하는 식이죠.
5:07
틀렸습니다.
5:08
코파일럿 라이선스는 만능 열쇠가 아닙니다.
5:11
오히려 문지기가 딸린 건축허가증에 더 가깝습니다.
5:13
허가증은 무엇이 존재할 수 있는지 정의하고
5:15
문지기는 누구의 통행이 허용되는지 강제합니다.
5:18
라이선스를 단순한 잠금해제 코드로만 취급한다면
5:20
시스템이 어떻게 연결되어 있는지 벌써 오해하고 계신 겁니다.
5:22
머릿속에 확실히 각인해두어야 할 분명한 사실이 여기 있습니다.
5:26
라이선스는 코파일럿 기능을 활성화하지만
5:28
코파일럿은 사용자가 마이크로소프트 그래프를 통해
5:30
이미 접근 권한이 있는 데이터만 표출합니다.
5:32
권한은 테넌트의 아이디와 RBAC 설정에 위해 제어됩니다.
5:36
라이선스는
5:40
이전부터 접근할 수 없었다면 여전히 cfoe 개인 폴더를 열 수는 없습니다.
5:43
라고 말합니다.
5:44
이런 구분이 없다면 사람들은 유령 같은 위험에 당황하거나
5:46
더 심각하게는 매우 현실적인 위험을 무시하게 됩니다.
5:49
라이선스 자체는 투박하지만 꼭 필요합니다.
5:51
코파일럿은 기존 마이크로소프트 365 플랜에 추가하는 부가 기능입니다.
5:55
표준 번들의 기본으로 포함된 것이 아니라 직접 선택해야 합니다.
5:58
라이선스를 할당한다고 해서 권한이 확장되는 것은 아니면
6:00
단지 워드, 엑셀, 아웃룩 등 제품군 내의 기능을 사용할 수 있게 해줄 뿐입니다.
6:04
여기 운영상의 미묘한 차이가 있습니다.
6:06
일부 기능은 규정 준수 제어를 위한 퍼뷰나 보안 스윙 게이트를 위한 디펜더 에드온처럼 추가 라이선스가 필요합니다.
6:13
이런 의존성을 모른 채 코파일럿을 실행하려 한다면
6:15
젤리 위에 비계를 세우는 것처럼 불안정한 배포가 될 것입니다.
6:19
이제 가장 위험한 오해를 바로 잡아 보겠습니다.
6:21
만약 RBAC을 확인하지 않고 조직 전체의 코파일럿 라이선스를 무분별하게 배포한다면
6:26
사용자들은 자신이 이미 접근할 수 있는 모든 것을 커리하게 될 것입니다.
6:30
즉 권한관리가 허술하다면 인턴이 마법처럼 글로벌 관리자가 되지는 않더라도
6:35
실수로 전체 공개된 민감한 문서들을 찾아낼 수 있다는 뜻입니다.
6:39
광범위한 라이선스 부여와 느슨한 역할 관리가 결합되면
6:41
정보 노출은 가설이 아니라 확정된 사실이 됩니다.
6:44
사용자가 악의를 가질 필요도 없습니다.
6:46
검색창과 과도한 상속 권한만 있다면 정보 유출은 발생합니다.
6:49
역할이야말로 비계가 무너지지 않게 지탱해주는 요소입니다.
6:51
역할 기반 액세스 제어는 아이디가 가질 접근 수준을 결정합니다.
6:54
역할 범위 설정 없이 코파일럿 라이선스만 할당하는 것은
6:57
사람들이 굳이 들어갈 필요도 없는 어두운 복도를
6:59
AI가 탑재된 손전등을 들고 걷게 하는 것과 같습니다.
7:02
제대로 수행한다면 RBAC은 코파일럿이 정해진 구역 내에서만 작동하도록 가둘 것입니다.
7:05
재무팀 직원은 재무 데이터 세트만 조회할 수 있습니다.
7:08
마케팅팀은 캠페인 자료를 바탕으로 초안만 작성할 수 있습니다.
7:11
관리자는 설정을 관리할 수 있지만
7:12
여러분이 설정한 엄격한 경계 내에서만 가능합니다.
7:15
코파일럿은 디렉터리를 충실히 반영하므로
7:16
디렉터리가 엉망이 아닌 이상 제멋대로 작동하지 않습니다.
7:19
두 조직을 상상해보십시오.
7:20
첫 번째 조직은 공정성이란 동일한 액세스 권한을 가진
7:23
동일한 라이선스를 의미한다고 믿습니다.
7:24
모두가 동일한 코파일럿 범위를 갖게 됩니다.
7:26
고결한 생각이지만 결과는 재앙입니다.
7:29
실수로 과도하게 공유된 계약 라이브러리,
7:31
인사기록, 경영진 이메일 체인까지
7:33
코파일럿이 거리낌 없이 들여다보게 됩니다.
7:35
두 번째 조직은 원칙을 따릅니다.
7:37
라이선스는 필요에 맞게 할당되고
7:39
역할은 엄격한 영역을 정의합니다.
7:41
재무는 재무 영역에,
7:42
마케팅은 마케팅 영역에 머물며
7:44
IT는 경계선에 위치합니다.
7:45
사용자는 여전히 코파일럿이 지능적이라고 느끼지만
7:48
실제로는 단순히 잘 설계된 정보 구조를 반영할 뿐입니다.
7:51
여기 실용적인 생존 팁이 있습니다.
7:53
좌석을 하나씩 수동으로 할당하는 것은 멈추십시오.
7:56
대신 그룹 기반 라이선스 할당을 사용하십시오.
7:58
더 효율적이며 그룹 멤버십을 검토하도록 강제합니다.
8:01
멤버십을 감사하지 않으면
8:03
라이선스가 넘지 말아야 할 영역까지 흘러들어갈 수 있습니다.
8:06
그리고 코파일럿 라이선스는
8:07
테넌트 간 게스트 계정으로 확장될 수 없다는 점을 기억하십시오.
8:10
지메일 로그인 계정을 사용하는 컨설턴트는
8:15
템이 차단할 것이며 이번만큼은 그게 오히려 다행입니다.
8:18
라이선스를 여권이라고 생각하십시오.
8:20
여권은 국경에서 누구 인지식별하게 해주지만
8:22
시민에게 대륙 전체를 자유롭게 돌아다닐 권리를 보장하지는 않습니다.
8:25
비자와 거주 허가증이 제약을 추가합니다.
8:27
역할이 바로 여러분의 비자입니다.
8:29
이 둘이 합쳐져 국경을 구성합니다.
8:31
역할을 무시하는 것은 출입국 관리소에서 시민권을 요구하며
8:33
소란을 피우는 관광객과 같습니다.
8:34
좋게 보면 우스꽝스럽고 나쁘게 보면 위험합니다.
8:37
이 방식의 와함은 RBAC가 제대로 설계되면 보이지 않게 작동한다는 점입니다.
8:40
사용자들은 코파일럿이 자신들을 잘 안다고 생각합니다.
8:42
사실이 아닙니다.
8:43
코파일럿은 단순히 마이크로소프트 365에 내장된 보안격자를 메아리처럼 반영할 뿐입니다.
8:47
강력한 권한을 부여하면 코파일럿은 원칙을 반영합니다.
8:50
무질서를 방치하면 코파일럿은 무질서를 반영합니다.
8:53
거울은 중립적이지만 여러분의 설계는 그렇지 않습니다.
8:56
그것이 라이선스와 역할이 조직 전체에서 조용한 자물쇠 역할을 하는 이유입니다.
9:00
제대로 하면 아무도 눈치채지 못합니다.
9:02
잘못하면 인턴이 절대 읽어서는 안 될 문서가 코파일럿에 의해 나타날 때 비로소 알게 됩니다.
9:06
그리고 그것이 다음 문제를 야기합니다.
9:09
잠긴 방안에서 코파일럿은 실제로 무엇을 소비하고 있을까요?
9:12
정답은 여러분의 이메일, 문서, 그리고 방치해둔 과도하게 공유된 모든 파일로 구성된 뷔페입니다.
9:18
데이터 노출입니다.
9:20
코파일럿 위 식단은 여러분의 조직 전체입니다.
9:22
이제 코파일럿 20기 시작했을 때 어떤 일이 벌어지는지 이야기해봅시다.
9:25
데이터 노출은 이론적인 문제가 아닙니다.
9:27
여러분이 구축한 바로 그 디렉터리를 코파일럿이 마음껏 먹도록 허용할 때 발생하는 일상적인 결과입니다.
9:32
마이크로소프트 365 코파일럿은 마이크로소프트 그래프를 통해 콘텐츠를 가져오며 사용자가 이미 보기 권한을 가진 자료만 표시합니다.
9:40
시멘틱 인덱스와 그라운딩은 아이디 기반 액세스 경계를 존중하므로 AI가 접근 권한이 없는 보관소로 이동하는 일은 없습니다.
9:47
AI는 사용자의 보안 모델이 이미 허용하고 있는 내용을 보여줄 뿐이며 때로는 예상치 못한 방식으로 나타나기도 합니다.
9:52
하지만 바로 그것이 위험 요소입니다.
9:53
코파일럿은 권한을 무시하는 것이 아니라 권한을 그대로 반영합니다.
9:56
만약 팀 라이브러리에 모두에게 접근 권한이 부여되어 있다면 코파일럿은 이를 기꺼이 요약에 포함할 것입니다.
10:01
셰어포인트가 부주의하게 공개되어 있다면 코파일럿은 해당 데이터를 초안에 통합할 것입니다.
10:06
사용자는 테넌트 내의 복잡한 구석까지 검색하는 경우가 드물지만 코파일럿은 차별 없이 검색합니다.
10:10
코파일럿은 전체 인덱스에서 데이터를 가져오며 그 인덱스는 마이크로소프트 가 아닌 여러분이 만든 것입니다.
10:15
코파일럿을 완벽한 기억력을 가진 사서라고 생각해보세요.
10:17
일반 직원들은 지하실에 잠겨있지 않은 파일 캐비닛을 잊어버리곤 합니다.
10:20
하지만 코파일럿은 잊지 않고 인덱스를 스캔합니다.
10:23
모두에게 공개된 폴더에 던져두었던 당혹스러운 메모는 이제 잊혀진 것이 아니라 언제든 프롬프트로 호출할 수 있게 되었습니다.
10:27
다시 말하지만 이는 악의가 아니라 여러분이 구축한 디지털 혼란의 효율성을 적용한 결과입니다.
10:31
이제 권한 설정만으로는 전체 방정식이 완성되지 않습니다.
10:34
민감도 레이블이 등장할 차례입니다.
10:36
이것들은 장식이 아니라 보호를 강화하는 역할을 합니다.
10:38
파일이 암호화가 적용된 기밀로 분류되면 코파일럿은 반드시 이를 존중해야 합니다.
10:43
그리고 여기 세부사항이 있습니다.
10:44
레이블이 암호화를 강제하거나 데이터 추출 사용 권한을 요구하는 경우 코파일럿은 사용자가 보기 및 추출 권한을 모두 가진 경우 에만 콘텐츠를 처리합니다.
10:52
그렇지 않으면 코파일럿은 차단됩니다.
10:54
레이블은 상속되기도 합니다.
10:55
따라서 코파일럿이 민감한 파일을 기반으로 새로운 슬라이드 덱을 생성하면 레이블과 보호 조치가 자동으로 이전됩니다.
11:01
사람의 개입은 필요하지 않습니다.
11:03
이는 다행스러운 일입니다.
11:04
모든 파생문서에 레이블을 붙이도록 사용자에게 의존한다면 무질서에 맞서 인간의 기억력을 믿어야 하기 때문입니다.
11:09
통계적으로 인간은 질확률이 높습니다.
11:11
규제 프레임워크는 이를 더욱 강조합니다.
11:13
gdpr은 권한 설정상 가능했다는 변명을 받아들이지 않습니다.
11:16
hipaa는 누군가 실수로 암환자 기록을 마케팅팀에 공개했다는 사실을 고려하지 않습니다.
11:20
iso는 프로세스가 일관되지 않을 때 이를 가볍게 넘기지 않습니다.
11:24
규제기관은 오직 액세스 노출 범위에만 관심이 있습니다.
11:26
권한 설정으로 인해 코파일럿을 통해 개인정보가 노출된다면 컴플라이언스 상태는 의협받고 있는 것입니다.
11:32
ai가 단순히 권한을 반영했을 뿐이라고 주장하는 것은 발이 자연스럽게 가속페달을 밟아 눈이 과속딱지를 떼어서는 안 된다고 우기는 것과 같습니다.
11:40
법은 이를 인정하지 않으며 데이터 거주지 규칙도 결코 단순하게 보지 않습니다.
11:44
eu 고객의 경우 마이크로소프트는 필요한 경우 eu 데이터 경계를 통해 코파일럿 처리를 라우팅합니다.
11:48
하지만 아주 중요한 점은 bing에 대한 웹검색 커리는 eu 데이터 보장 범위에 포함되지 않는다는 것입니다.
11:54
검색 커리는 완전히 별도의 데이터 처리 정책을 따릅니다.
11:56
모든 데이터가 동일하게 보호된다고 가정하면 여러분은 이미 잘못 생각하고 있는 것입니다.
12:00
규제 당국은 여러분이 잊지 않아 더라도 그 미묘한 차이를 알아챌 것입니다.
12:03
데이터 보존은 어떨까요?
12:05
코파일럿 프롬프트, 응답, 활동 로그는 LLM 학습 시설로 유출되지 않습니다.
12:10
이 데이터는 마이크로소프트 365 서비스 경계 내에 저장되며 퍼뷰를 통해 보존 및 삭제를 관리할 수 있습니다.
12:17
관리자는 퍼뷰 콘텐츠 검색 및 보존 정책을 사용하여 이 기록을 관리할 수 있습니다.
12:21
마이크로소프트는 이를 명확히 밝히고 있습니다.
12:23
그래프 프롬프트와 응답은 코파일럿이 기반 모델을 학습시키는데 사용되지 않습니다.
12:27
CEO의 분기별 메모가 다른 회사의 AI를 개선하기 위해 몰래 수집되는 일은 없습니다.
12:31
그렇다면 데이터 유출 범위를 어떻게 줄여야 할까요?
12:34
권한 감사를 실행하고 모든 사용자, 에브리원, 그룹을 제거한 다음
12:38
퍼뷰 데이터 보안 상태 관리, DSPM 평가를 수행하여 공유 상태로 방치된 파일과 라이브러리를 찾아내세요.
12:44
인재 여부와 관계없이 코파일럿은 여러분이 실수로 허용한 모든 권한을 표출할 수 있기 때문입니다.
12:50
그렇지 않은 척한다고 해서 상황이 바뀌지는 않습니다.
12:52
물론 모든 책임을 퍼뷰에만 정가할 수는 없습니다.
12:55
퍼뷰는 필터 역할을 하지만 필터가 작동하려면 우선 데이터를 올바르게 분류해야 합니다.
13:00
콘텐츠를 잘못 분류하거나 분류하지 않으면 필터는 작동하지 않습니다.
13:03
코파일럿은 탐욕스러운 것이 아니라 규정을 준수할 뿐입니다.
13:06
코파일럿의 답변에 비친 모습은 여러분의 권한 관리 상태를 보여주는 거울과 같습니다.
13:10
권한 관리가 잘 되어 있다면 인사이트는 깔끔하고 관련성 있게 보입니다.
13:14
관리가 허술하다면 코파일럿은 그 허점을 기꺼이 드러낼 것입니다.
13:17
강제 조치와 이러한 노출이 충돌하면 상황은 흥미로워집니다.
13:20
코파일럿 이 깔끔한 답변을 내놓으려다가도 규정 준수 규칙에 가로막혀 답변이 중간에 끊길 수 있습니다.
13:26
오류도 AI의 실패도 아닙니다.
13:28
보안 통제 기능이 권한을 행사하는 것입니다.
13:31
이제 진짜 이야기로 넘어가 보겠습니다.
13:33
관리센터, 퍼뷰, 디펜더와 같은 기본 도구들이 어떻게 서로 조율하여 코파일럿의 응답을 제안하고 모니터링하며 차단하는지에 대한 이야기입니다.
13:39
여러분은 단순히 버튼을 누른다고 생각하겠지만 사실은 오케스트라를 지휘하고 있는 것입니다.
13:42
기술적 통제, 그것은 스위치 뒤에 숨겨진 교양곡입니다.
13:45
마이크로소프트 365관리센터에서 무심코 클릭한 확인란이 사실은 지휘자의 지휘뽕과 같습니다.
13:51
단순히 스위치를 켜는 것이 아니라 통합된 규정 준수 시스템에 정확한 동작 방식을 지시하는 것입니다.
13:56
관리센터, 퍼뷰, 디펜더는 각자 따로 노는 개별 앱이 아닙니다.
14:00
이들은 정교하게 조율된 연주를 위한 악기들입니다.
14:03
각 도구의 역할과 상세한 작업 설명은 다음과 같습니다.
14:06
관리센터는 테넌트 제어 시스템이자 전력망과 같은 역할을 합니다.
14:09
라이선스 할당, 코파일럿 테넌트 수준 설정, 플러그인 활성화를 처리합니다.
14:13
관리자는 누가 코파일럿을 사용할지 설정하고 업데이트 채널을 지정하며 기본 조건을 관리합니다.
14:18
퍼뷰는 국경의 세관검사와 같습니다.
14:20
마이크로소프트 그래프를 통해 흐르는 모든 데이터를 분류하고 라벨을 지정하며 검사합니다.
14:24
정책을 통해 보존을 강제하고 데이터 손실방지, DLP를 적용하며
14:28
AI를 위한 데이터 보안 태세관리, DSPM로 위험을 발견하고 모든 작업을 감사추적에 기록합니다.
14:34
그리고 집행기관인 디펜더가 있습니다.
14:37
구체적으로 마이크로소프트 디펜더4 엔드포인트는 런타임 집행, 경고 및 엔드포인트 DLP를 제공합니다.
14:42
행동을 모니터링하고 민감한 데이터를 타사 AI 도구에 붙여넣는 등의 위험한 작업을 차단하며
14:47
규칙과 일치할 경우 코파일럿 콘텐츠를 중단시킵니다.
14:49
이는 결함이 아니라 정책이 실시간으로 실행되는 것입니다.
14:52
평범한 관리자는 격리되어 있다는 치명적인 가정을 합니다.
14:55
그들은 이 도구들을 마치 각각 밀폐된 상자 안에 있는 것처럼 취급합니다.
14:58
그렇지 않습니다. 그들은 끊임없이 중첩됩니다.
15:00
관리센터에서 코파일럿을 켤 수는 있지만 퍼뷰 위 레이블과 정책이 없으면 콘텐츠는 분류 없이 흐르게 됩니다.
15:06
퍼뷰는 규칙을 만들지만 디펜더 위 집행이 없으면 위반 사항이 그대로 통과됩니다.
15:11
누구든 선택사항으로 취급하면 규정 준수를 관리하는 것이 아니라 혼란을 야기하는 것입니다.
15:15
상상해보세요. 관리센터에서 라이선스를 프로비저닝했지만 퍼뷰 민감도 레이블은 구성하지 않았습니다.
15:21
코파일럿은 열려있는 파일을 자유롭게 인덱싱하고 갑자기 인턴이 M&A 전략 초안 문서를 우연히 발견할 수 있습니다.
15:26
또는 지나치게 공격적인 디펜더 DLP 설정을 생각해보십시오.
15:30
사용자가 분기별 매출에 대한 코파일럿 요약을 요청하지만 기본 파일에는 제한으로 분류된 계좌번호가 포함되어 있습니다.
15:36
디펜더는 즉시 출력을 차단합니다. 직원은 코파일럿이 고장났다고 불평합니다.
15:41
그렇지 않습니다. 디펜더는 당신이 집행하라고 지시한 것을 집행했을 뿐입니다.
15:44
런타임 집행은 무작위적인 방해가 아닙니다. 정책 설계가 잘못된 자연스러운 결과입니다.
15:49
그러니 이렇게 생각해보세요. 관리센터는 법을 만들고 퍼뷰는 화물을 검사하며 디펜더는 런타임에 집행합니다.
15:54
단순히 세 가지 도구를 이어붙인 것이 아닙니다. 하나의 컴플라이언스 엔진을 구성하는 세 가지 차원입니다.
15:59
하나라도 잘못 구성되거나 무시되면 그 결과는 거버넌스가 아니라 소음뿐입니다.
16:03
이제 실제로 따라야 할 구체적인 기술적 전술을 살펴보겠습니다.
16:06
첫 번째 단계는 퍼뷰에서 통합감사 로깅을 활성화하고 AI를 위한 데이터 보안 태세 관리를 활성화하는 것입니다.
16:12
DSPM은 코파일럿이 노출할 수 있는 과도하게 공유된 파일이나 그림자 데이터를 검색합니다.
16:17
그리고 클릭 한 번으로 명백한 구멍을 메우기 위한 정책을 자동 생성할 수 있습니다.
16:21
두 번째 단계는 민감도 레이블을 일관되게 적용하고 이를 퍼뷰 DLP 정책과 결합하여 코파일럿이 기밀 데이터를 처리하지 못하도록 전면 제안하는 것입니다.
16:30
이를 보존 규칙과 결합하여 프롬프트와 응답에 대한 수명주기 제어를 적용하십시오.
16:34
세 번째 단계는 경계선을 강화하는 것입니다.
16:36
아이디 계층에서 조건부 액세스 및 다단계 인증을 사용하고 모든 장치에 디펜더 엔드포인트 DLP를 배포하십시오.
16:42
그렇게 하면 직원들이 민감한 답변을 승인되지 않은 타사 AI 도구에 복사하여 붙여 넣는 방식으로 가드레이를 우회할 수 없습니다.
16:48
이 세 가지 조치는 정책, 분류, 런타임 단계에서 동시에 생태계를 보호합니다.
16:53
조용히 제 역할을 다하는 도구들도 잊지 마십시오.
16:55
퍼뷰의 보존 및 이 디스커버리 기능은 규칙을 집행하는 것뿐만 아니라 그것을 증명할 수 있도록 보장합니다.
17:00
규제 당국이 서류를 들고 증거를 요구하며 찾아올 때 여러분에게는 검색 가능한 감사 로그와 불러올 수 있는 코파일럿 사용 기록이 필요합니다.
17:06
이는 장식용 규정 준수가 아니라 생존의 문제입니다.
17:09
통신 규정 준수, 커뮤니케이션 컴플라이언스는 검사 지점을 하나 더 추가하여 사용자가 코파일럿에 질의하는 방식에서 위험한 프롬프트나 장제적 인위 법행위를 탐지합니다.
17:16
이를 무시하면 테넌트 내부에서 발생하는 오용을 전혀 파악할 수 없습니다.
17:20
항상 규정 준수를 시스템 위에 더 씌우는 무언가로 보려는 유혹이 있습니다.
17:23
그것은 틀렸습니다.
17:25
이러한 제어 장치들이 바로 코파일럿 거버넌스의 운영 제재입니다.
17:27
라이선스, 분류, 보정, 차단, 로빙은 코파일럿의 작동을 보완하는 것이 아니라 작동 방식을 정의하는 것입니다.
17:33
코파일럿은 진공 상태에서 존재하지 않습니다.
17:35
코파일럿은 여러분이 환경에 설정해둔 정책, 네이블, 가드레일 내부에서만 존재합니다.
17:39
그리고 이것이 더 큰 문제로 이어집니다.
17:41
기술적 제어는 정밀하게 조정할 수 있지만 그 효과는 훨씬 예측하기 어려운 요소인 사람과 부딪힙니다.
17:47
완벽한 보존 정책, 철저한 DLP 규칙, 디펜더를 통한 견고한 시행을 구성할 수는 있습니다.
17:52
하지만 거버넌스가 아무도 잊지 않는 아웃룩 메모로 전락하는 순간 무슨 일이 벌어질까요?
17:57
불행위도 바로 그 지점에서 통제의 진정한 취약성이 드러납니다.
18:01
실제 거버넌스, 즉 규칙과 현실의 차이입니다.
18:04
실제 거버넌스는 이론이 현실을 만나려는 시점이지만 대개는 실패하고 맙니다.
18:08
종이 위에 정책은 취약합니다.
18:10
배포하고 타운홀 미팅을 열고 승리를 선언하지만 며칠 안에 잊지 않은 이메일 속에 파묻히고 맙니다.
18:15
시스템 중심이 아닌 거버넌스는 거버넌스가 아닙니다.
18:18
그것은 잠자리 동화일 뿐입니다.
18:19
실제로 작동하는 규칙을 원한다면 직원들이 이미 사용 중인 도구에 직접 하드코딩해야 합니다.
18:25
그렇지 않으면 제어장치는 양심에 맡겨지게 되고 직원들도 그에 따라 행동하게 됩니다.
18:30
거버넌스는 장식이나 희망사항이 아닙니다.
18:33
거버넌스는 추상적인 규정 준수 요구사항, 개인정보 보호, 민감한 액세스 제한 등을 플랫폼이 강제하는 실제 행동으로 고정하는 번역계층입니다.
18:41
그것 없이는 정책은 공허한 수사일 뿐입니다.
18:43
그것이 있으면 규칙은 피할 수 없게 됩니다.
18:46
허뷰가 적용한 보존네이블은 어떤 HR 메모보다 강력합니다.
18:48
시스템이 사용자에게 선택해제 버튼을 주지 않기 때문입니다.
18:51
그렇다면 거버넌스는 외국영화의 자막과도 같습니다.
18:54
직원들이 무슨 일이 일어나는지 이해하기 위해 동의할 필요는 없습니다.
18:57
시스템이 설계상 이해를 강제하기 때문입니다.
19:00
코파일럿과 민감한 파일을 공유하지 마십시오.
19:02
라는 웃기게도 무용지물인 지침을 예로 들어보겠습니다.
19:04
영격해 보이지만 쿠키 접시 앞에 쿠키를 먹지 마세요.
19:07
라고 적힌 포스트잇을 붙여놓는 정도의 억제력밖에 없습니다.
19:10
대신 허뷰에서 마이크로소프트 코파일럿 환경의 위치를 타겟팅하는
19:14
데이터 손실방지, DLP 정책을 구성하세요.
19:16
즉, 코파일럿 이 기밀 파일을 발견하면 직원이 아무리 정중하게
19:20
혹은 아무것도 모른 채 프롬프트를 입력하더라도
19:23
요약하거나 처리할 수 없게 됩니다.
19:25
그것은 제한이 아니라 시스템에 내장된 거부입니다.
19:28
일반적인 인식 제고 캠페인과 비교해보면 그 차이는 분명합니다.
19:32
하나는 사용자에게 하지 말아야 할 일을 말해주고
19:34
다른 하나는 금지된 행동을 기술적으로 불가능하게 만듭니다.
19:37
자동차 비율을 간단히 해보죠.
19:39
사용자에게 데이터를 공유하지 말라고 하는 것은
19:41
제한속도 표지판을 세우는 것과 같습니다.
19:43
코파일럿의 기본 민감도 레이블, 자동 레이블 지정,
19:45
DLP 정책을 구성하는 것은 시속 65마일을 넘지 못하게 하는
19:49
속도 제한 장치를 설치하는 것과 같습니다.
19:51
그렇다면 규제 당국은 어느 쪽을 더 선호할까요?
19:53
인간의 선택권을 방정식에서 제거하는 쪽입니다.
19:55
솔직히 여러분도 그래야 합니다.
19:57
이제 마이크로소프트 위 거버넌스 도구를 활용하세요.
19:59
이번에는 정말 유용하니까요.
20:01
퍼뷰, 자동 레이블 지정.
20:03
기본 민감도 레이블은 직원이 잊어버려도 분류를 강제합니다.
20:06
보존 레이블은 타임라인을 자동으로 적용하여
20:09
잊혀진 파일이 영원히 남아있지 않게 합니다.
20:11
커뮤니케이션 규정 준수, 커뮤니케이션 컴플라이언스는 감시 시스템 역할을 합니다.
20:15
코파일럿 프롬프트와 응답을 스캔하여 AI에 입력되는 부적절한 데이터를 표시할 수 있습니다.
20:19
이는 과도한 간섭이 아니라 최소한의 조치입니다.
20:22
또한 AI용 퍼뷰 DSPM은 코파일럿이 무엇을 처리하는지 가시성을 제공하고
20:25
위험한 노출을 차단하는 원클릭 수정 정책을 지원합니다.
20:28
이 도구들은 위도한 바와 시스템이 강제하는 것 사이에 간극을 메워줍니다.
20:32
가장 약한 연결고리는 예측 가능한 존재인 사람 이기 때문에 이 점이 중요합니다.
20:36
규정 준수 담당자는 규칙을 만들고 관리자는 도구를 구성하지만 직원들은 바빠지면 그 모든 것을 무시합니다.
20:42
커뮤니케이션 규정 준수 도구가 인간의 부적절한 시도 자체를 막을 수는 없지만
20:45
시도를 포착하여 원격 측정 데이터를 생성할 수는 있습니다.
20:48
DSPM은 선의에 의존하지 않습니다.
20:50
공유가 과도한 데이터를 찾아내고 이를 자동으로 수정할 정책을 제공합니다.
20:54
이러한 도구들은 규율을 요청하는 것이 아니라 강제합니다.
20:57
물론 거버넌스는 도구뿐만 아니라 구조도 필요합니다.
21:00
올바른 배포에는 부서관 협업을 위한 AI위원회 나우수센터 코파 포함됩니다.
21:04
법무, 보안, 인사, IT 부서가 모여 규칙을 기술적 제어와 일치시키는 자리입니다.
21:10
마이크로소프트 위 가이드라인도 이를 권장하며 이는 선택사항이 아닙니다.
21:14
조율이 없으면 한쪽은 모호한 지침을 인쇄하고 다른 쪽은 전혀 다른 현실을 구성하게 됩니다.
21:19
거버넌스는 단순한 기술적 경계가 아니라 조직의 안무와 같습니다.
21:23
두 가상기업의 비교를 보면 그 의미가 명확해집니다.
21:26
A사는 코파일럿을 책임감 있게 사용하세요.
21:29
나는 멋진 한 페이지짜리 지침을 만듭니다.
21:31
B사는 퍼뷰 템플릿을 구성하여 코파일럿이 분류되지 않은 데이터에 전혀 접근하지 못하게 차단합니다.
21:37
6개월 후 A사는 코파일럿 요약에 민감한 파일이 노출되어 유출을 막으려 고군분투합니다.
21:42
B사는 그렇지 않습니다.
21:44
두 회사 모두 거버넌스를 갖췄지만 오직 한 분만이 거버넌스를 시스템으로 다루었습니다.
21:47
결론부터 말하자면 보여주기식은 실패하고 자동화가 승리합니다.
21:50
필요한 결론은 단호합니다.
21:51
거버넌스는 PDF, 포스터, 위무 교육 슬라이드 속에 존재하는 것이 아닙니다.
21:55
거버넌스는 사용자가 우회할 수 없는 기술적 제어 속에 존재합니다.
21:58
벽에 붙여든 정책은 공식적으로 보일 수는 있습니다.
22:00
하지만 실제로 공식적인 것은 구성된 퍼뷰 규칙, DLP 차단, 그리고 민감도 레이블입니다.
22:05
인식 제고 캠페인은 양념일 뿐, 실질적인 것은 강제성입니다.
22:08
물론 사용자 교육도 중요하지만, 직원들이 항상 규칙을 기억하기를 바라는 전략이라면 이미 실패한 것입니다.
22:14
결국 거버넌스는 사용자의 협조 여부와 관계없이 작동하는 시스템 강제 규칙으로 모든 기대를 전환하는 것입니다.
22:21
그래야만 규정 준수가 현실 속에서도 유지될 수 있습니다.
22:24
자동화된 경계가 설정되면, 코파일럿은 단순한 AI 비서를 넘어 거버넌스 모델이 실시간으로 작동함을 증명하는 도구가 됩니다.
22:33
코파일럿 활성화는 단순히 인공지능을 켜는 것이 아니라, 계약, 권한, 데이터 제한, 거버넌스 전반에 걸친 제어 시스템을 작동시키는 것임을 깨달아야 합니다.
22:43
바로 그 큰 그림을 다음 순서로 살펴보겠습니다.
22:46
코파일럿 스위치를 켜는 것은 AI를 실행하는 것이 아니라 규정 준수 엔진을 가동하는 것입니다.
22:50
그 클릭 한 번이 계약, 라이선스, 데이터 보호, 강제 규칙 전반에 파급 효과를 미칩니다.
22:55
이를 마법같은 자동화로 치부한다면 시스템을 잘못 이해하고 있는 것입니다.
22:57
당신은 지금 법률, 정책, 보안을 동시에 작동시킨 것입니다.
23:01
코파일럿 이 위험을 초래하지 않게 하려면, 이번 주의 테넌트 내 다음 세 가지 항목을 확인하십시오.
23:05
퍼뷰 DSPM4 AI 평가를 실행하고, 원클릭 수정을 적용하며,
23:10
RBAC 및 엔트라 범위를 지정해 그룹별로 라이선스를 할당하고,
23:14
민감 데이터 차단을 위해 퍼뷰 감사, 보존, DLP를 활성화하십시오.
23:18
이 정보가 문제 해결에 드는 고통스러운 시간을 줄여주었다 면 구독해주세요.
23:21
미래의 관리자인 당신이 스스로에게 고마워하게 될 것입니다.
23:24
기억하십시오.
23:24
코파일럿과 관련해 마이크로소프트는 이미 제어 장치와 지침을 마련해두었습니다.
23:28
이를 구성하기만 하면 규정 준수를 통해 AI는 의협적인 존재에서 신뢰할 수 있고,
23:31
규율을 갖춘 조력자로 변모할 것입니다.