광고 자리 모집 중 · 제휴 문의

엔터프라이즈 관리자가 Microsoft 365 Copilot을 배포하기 전에 SharePoint 데이터 액세스 권한 및 민감도 레이블을 구성하는 방법

365Finds Editorial
Wiki 문서 11,430편 수록

내 AI에서 365 Wiki 사용하기

아래 프롬프트를 복사해 평소 사용하는 AI에 붙여넣고 바로 질문하세요.

전체 Skill 다운로드

먼저 프롬프트로 체험해 보세요. 365 Wiki를 자주 쓴다면 전체 365Wiki Skill을 설치해 매번 붙여넣는 수고를 줄일 수 있습니다. 평소 쓰는 AI가 없다면 Gemini나 Microsoft Copilot 웹 버전도 사용할 수 있습니다.

최종 사용자에게 라이선스를 할당하기 전에, 엔터프라이즈 관리자는 Microsoft 365 Copilot을 배포함에 있어 콘텐츠 위생과 액세스 거버넌스를 먼저 해결해야 합니다. Copilot은 기존 Microsoft 365 보안 경계 및 액세스 제어 목록(ACL) 내에서 엄격하게 작동하여 사용자가 볼 수 있는 권한이 없는 정보를 쿼리할 수 없도록 보장하지만, 강력한 시맨틱 검색과 자연어 합성 기능은 이전에 간과되었던 파일의 검색 가능성을 크게 증폭시킵니다. 과거 권한 부채가 존재하는 조직에서는 "외부 사용자를 제외한 모든 사람"(EEEU)과 같이 광범위한 액세스 권한이 부여된 사이트에 저장된 임원 보수 계획, 인수 메모 또는 고객 개인 식별 정보(PII)와 같은 기밀 문서가 대화형 응답에 의도치 않게 노출될 수 있습니다. 데이터 유출을 방지하고 규정 준수를 유지하려면 관리자는 과도하게 공유된 리포지토리를 감사하고, 테넌트 액세스 권한을 수정하며, 컨테이너 및 항목 수준의 Microsoft Purview 민감도 레이블을 배포하고, 제한된 SharePoint 검색(Restricted SharePoint Search)과 같은 임시 안전장치를 구축해야 합니다. 본 가이드에서는 Microsoft 365 Copilot을 도입하기 전에 SharePoint 데이터를 보호하는 데 필요한 엔드투엔드 기술 구성을 간략히 설명합니다.

Copilot 그라운딩(Grounding) 및 보안 모델의 이해

Microsoft 365 Copilot은 검색 증강 생성(RAG, Retrieval-Augmented Generation)으로 알려진 프로세스를 통해 조직 데이터와 상호 작용합니다. 사용자가 프롬프트를 제출할 때 Copilot은 격리된 학습 말뭉치를 쿼리하지 않습니다. 대신 Microsoft Graph와 Copilot용 시맨틱 인덱스(Semantic Index for Copilot)를 사용하여 관련 조직 콘텐츠를 식별하고, 해당 코드 조각이나 텍스트를 그라운딩 컨텍스트로 패키징한 후, 대규모 언어 모델(LLM)에 전달하여 응답을 작성합니다.

액세스 경계 작동 방식

Copilot은 프롬프트를 실행하는 사용자의 보안 컨텍스트 내에서 엄격하게 작동합니다.

Rights Management Services(RMS) 및 EXTRACT 권한

암호화된 파일과 상호 작용할 때 Copilot은 Rights Management Services(RMS) 권한을 적용합니다. Copilot이 프롬프트에 답변하기 위해 보호된 문서에서 정보를 읽고, 구문 분석하고, 추출하려면 요청하는 사용자에게 EXTRACT(복사) 사용 권한이 있어야 합니다.

RMS 권한Copilot 상호 작용 기능운영상의 영향
모든 권한 / 소유자 (Full Control / Owner)완전한 읽기, 구문 분석 및 합성Copilot은 응답에서 데이터를 요약, 인용 및 추출할 수 있습니다.
편집 / 보기 + 추출 (Edit / View + Extract)완전한 읽기, 구문 분석 및 합성Copilot은 그라운딩 중에 해당 문서를 참조할 수 있습니다.
보기 전용(추출 불가) (View Only (No Extract))Copilot 합성 차단Copilot은 프롬프트에 답변하기 위해 문서 콘텐츠를 수집할 수 없습니다.
액세스 권한 없음 (No Access)완전히 액세스 불가Copilot은 문서를 검색하거나 액세스할 수 없습니다.

민감도 레이블에 적용된 암호화가 특정 사용자 그룹에 대해 EXTRACT 권한을 거부하는 경우, 해당 사용자가 Word 또는 Excel에서 렌더링된 문서를 볼 수 있더라도 Copilot을 사용하여 해당 문서를 요약하거나 쿼리할 수 없습니다.

1단계: SharePoint 권한 감사 및 과도하게 공유된 콘텐츠 식별

권한을 수정하거나 제한적인 정책을 적용하기 전에 관리자는 기존 액세스 구조에 대한 가시성을 확보해야 합니다. 주요 위험은 도메인 전체의 광범위한 그룹, 고아 팀 사이트 및 관리되지 않는 공유 링크에서 발생합니다.

데이터 액세스 거버넌스(DAG) 보고서 활용

SharePoint 관리 센터의 보고서 > 데이터 액세스 거버넌스에서 제공되는 SharePoint 데이터 액세스 거버넌스(DAG) 보고서는 테넌트 전체의 공유 패턴에 대한 자동화된 인사이트를 제공합니다. 관리자는 다음 세 가지 특정 보고서 범주를 우선적으로 검토해야 합니다.

  1. "외부 사용자를 제외한 모든 사람"(EEEU) 보고서: 사이트 권한(예: 사이트 구성원 또는 사이트 방문자)에 EEEU 클레임이 추가된 모든 SharePoint 사이트를 식별합니다. 이러한 사이트는 모든 내부 직원이 액세스할 수 있으므로 의도치 않은 Copilot 데이터 노출의 주요 원인이 됩니다.
  2. 공유 링크 보고서: 지난 30일 동안 생성된 "링크가 있는 모든 사용자"(익명) 또는 "조직의 사용자"(테넌트 전체 내부) 공유 링크 수가 가장 많은 사이트를 식별합니다.
  3. 파일에 적용된 민감도 레이블 보고서: 레이블이 지정되지 않았거나 중요한 파일이 집중적으로 저장된 사이트를 교차 참조하여 거버넌스 사각지대를 찾아냅니다.
DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

고위험 리포지토리 속성 검토

DAG 내보내기 데이터를 평가할 때 관리자는 콘텐츠 민감도 및 기존 멤버십을 기반으로 사이트를 분류해야 합니다.

2단계: 권한 수정 및 액세스 안전장치 구현

과도하게 공유된 리포지토리가 식별되면 관리자는 열린 액세스 권한을 수정하고 향후 권한 무분별 확장을 방지하기 위한 구조적 제어를 적용해야 합니다.

광범위한 그룹 제거 및 열린 공유 링크 해제

수정 작업은 우선순위에 따라 진행해야 합니다.

  1. EEEU 클레임 제거: 독점적, 내부 전용 또는 중요한 콘텐츠가 포함된 모든 사이트의 사이트 구성원, 사이트 방문자 및 문서 수준 권한 집합에서 "외부 사용자를 제외한 모든 사람"을 제거합니다.
  2. 기본 공유 링크 유형 표준화: SharePoint 관리 센터의 정책 > 공유에서 기본 공유 링크 유형을 "조직의 사용자"에서 "특정 사용자(사용자가 지정한 사용자만)"로 조정합니다. 이렇게 하면 사용자가 동료와 파일을 공유할 때 의도치 않게 테넌트 전체 액세스 링크를 생성하는 것을 방지할 수 있습니다.
  3. 링크 만료 기간 설정: 게스트 및 익명 공유 링크에 대한 자동 만료 정책을 적용합니다(예: 30~90일 후 재인증 요구).

SharePoint 고급 관리(SAM) 제어 배포

SharePoint 고급 관리(SAM) 라이선스를 보유한 조직의 경우 관리자는 개별 사이트 소유자에게만 의존하지 않고 중앙 집중식 액세스 경계를 적용할 수 있습니다.

임시 회로 차단기로서 제한된 SharePoint 검색(RSS) 구현

수천 개의 SharePoint 사이트가 있는 대기업에서는 포괄적인 권한 정리를 완료하는 데 수개월이 걸릴 수 있습니다. Copilot 라이선스 출시 지연을 방지하기 위해 Microsoft는 임시 관리 제어 수단으로 **제한된 SharePoint 검색(Restricted SharePoint Search, RSS)**을 제공합니다.

제한된 SharePoint 검색 작동 방식

RSS가 활성화되면:

SharePoint Online PowerShell을 통한 RSS 구성

제한된 SharePoint 검색은 SharePoint Online PowerShell 모듈을 사용하여 관리됩니다.

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

RSS에서의 전환

제한된 SharePoint 검색은 영구적인 아키텍처가 아닌 임시 가교 역할을 하도록 설계되었습니다. RSS는 검증되지 않은 사이트로부터의 데이터 유출을 방지하지만 합법적인 프로젝트 리포지토리 전반에서 교차 기능 인사이트를 제공하는 Copilot의 역량도 제한합니다. 데이터 액세스 거버넌스 보고서를 통해 사이트 권한이 정리되고 민감도 레이블이 적용된 것이 확인되면, 관리자는 RSS를 비활성화하여 Copilot의 완전한 조직적 가치를 활용해야 합니다.

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

3단계: Microsoft Purview 민감도 레이블 설계 및 배포

SharePoint 권한이 사이트나 폴더에 액세스할 수 있는 *대상(who)*을 정의하는 반면, Microsoft Purview 민감도 레이블은 콘텐츠가 *무엇(what)*인지를 정의하고 데이터가 저장, 공유되거나 AI에 의해 처리되는 모든 위치에서 데이터와 함께 이동하는 지속적인 보호를 적용합니다.

컨테이너 수준 민감도 레이블

컨테이너 수준 레이블은 거버넌스 설정을 SharePoint 사이트, Microsoft 365 그룹 및 Microsoft Teams에 직접 적용합니다. 컨테이너 레이블을 만들기 전에 PowerShell(Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) 및 Microsoft Entra ID를 통해 테넌트에서 해당 기능이 활성화되어 있는지 확인하십시오.

컨테이너 레이블은 Copilot 준비와 관련된 세 가지 주요 제어를 시행합니다.

  1. 개인 정보 설정(공개 및 비공개): "비공개"를 적용하면 새 팀 사이트가 테넌트 전체에 개방된 액세스 권한으로 생성되는 것을 방지할 수 있습니다.
  2. 외부 공유 제어: 레이블을 "조직의 사용자만" 또는 "기존 게스트"로 설정하면 중요한 협업 사이트에서 외부 데이터 유출을 방지할 수 있습니다.
  3. 조건부 액세스 및 관리되지 않는 장치 정책: 액세스를 웹 전용으로 제한하거나 비준수 장치에서의 액세스를 차단하면 중요한 사이트와 상호 작용하는 신뢰할 수 없는 엔드포인트에서 Copilot에 액세스할 수 없습니다.

항목 수준 민감도 레이블 및 암호화

항목 수준 레이블은 개별 Word, Excel, PowerPoint 및 PDF 파일을 분류하고 보호합니다. 관리자는 Microsoft Purview 규정 준수 포털의 정보 보호 > 레이블에서 이러한 레이블을 구성합니다.

표준 엔터프라이즈 분류 체계에는 일반적으로 다음이 포함됩니다.

Copilot 민감도 레이블 상속

Microsoft 365 Copilot이 정보를 합성하여 새 문서, 전자 메일 초안 또는 요약을 생성할 때 엄격한 레이블 상속 규칙을 준수합니다.

Purview 자동 레이블 지정 정책 구성

수동 레이블 지정은 최종 사용자의 준수 여부에 의존하므로 사각지대가 자주 발생합니다. Copilot을 배포하기 전에 일관된 범위를 보장하려면 관리자가 클라이언트 측 및 서비스 측 자동 레이블 지정 정책을 모두 배포해야 합니다.

클라이언트 측 자동 레이블 지정

Microsoft Purview의 레이블 정의 내에서 구성됩니다.

서비스 측 자동 레이블 지정(저장 데이터 검사)

서비스 측 자동 레이블 지정은 테넌트 인프라 수준에서 작동하여 SharePoint Online 및 OneDrive에 저장된 파일을 검색합니다.

  1. Microsoft Purview 포털에서 정보 보호 > 자동 레이블 지정으로 이동합니다.
  2. SharePoint 사이트 및 OneDrive 계정을 대상으로 하는 새 정책을 만듭니다.
  3. 기본 제공 SIT(재무 기록, 건강 데이터) 또는 학습 가능한 분류자(소스 코드, 법적 계약)를 사용하여 탐지 규칙을 정의합니다.
  4. 일치 항목을 검토하고 정확성을 검증하며 의도치 않은 과도한 레이블 지정을 방지하기 위해 최소 7~14일 동안 정책을 **시뮬레이션 모드(Simulation Mode)**로 실행합니다.
  5. 시뮬레이션 결과가 기대치와 일치하면 정책을 활성화하여 저장된 과거 데이터에 레이블과 암호화를 자동으로 적용합니다.

구현 로드맵: 단계별 배포 전 거버넌스

출시를 효과적으로 구조화하기 위해 관리자는 단계별 운영 일정을 따라야 합니다.

단계기간핵심 목표주요 관리 조치성공 지표
1단계: 검색 및 평가1–2주차테넌트 데이터 환경 및 권한 부채 파악EEEU 및 공유 링크에 대한 DAG 보고서 실행, 사이트 인벤토리 내보내기, 공개 M365 그룹 감사과도하게 공유된 상위 50개 사이트 및 민감한 리포지토리에 대한 완전한 가시성 확보
2단계: 격리 및 회로 차단3–4주차정리 작업 중 즉각적인 노출 위험 방지제한된 SharePoint 검색(RSS) 활성화, 핵심 인트라넷 사이트로 허용 목록 채우기, 민감한 사이트에서 EEEU 제거고위험 임원, 법무 또는 인사 데이터의 전사적 노출 0건 달성
3단계: 분류 및 보호5–7주차지속적인 컨테이너 및 파일 보호 구축SharePoint 사이트에 컨테이너 레이블 배포, RMS를 통한 파일 암호화 구성, 서비스 측 자동 레이블 지정 시뮬레이션 실행민감한 사이트의 100%에 컨테이너 레이블 적용, 자동 레이블 지정 활성화
4단계: 파일럿 및 경계 검증8–9주차제어된 범위 내에서 실제 사용자를 대상으로 Copilot 동작 테스트지정된 IT 및 규정 준수 파일럿 코호트에 Copilot 라이선스 발급, 권한 교차 테스트 프롬프트 실행, Purview AI 허브 모니터링ACL의 엄격한 적용 검증, Copilot 프롬프트에서 경계를 넘는 데이터 유출 없음 입증
5단계: 안정 상태 및 RSS 사용 중단10주차 이후엔터프라이즈용 완전한 Copilot 기능 활성화PowerShell을 통해 제한된 SharePoint 검색 비활성화, 진행 중인 프로젝트 사이트에 대해 SAM 제한된 액세스 제어 활성화지속적인 DAG 모니터링과 함께 전사적 검색 활성화

보안 경계 검증 및 지속적인 거버넌스

더 넓은 기업 전체에 Copilot 액세스를 개방하기 전에 관리자는 보안 경계가 의도한 대로 작동하는지 체계적으로 검증해야 합니다.

가상 사용자 테스트 시나리오

보안 팀은 서로 다른 부서 페르소나를 가진 테스트 계정(예: 표준 영업, 표준 엔지니어링 및 인사 전문가 계정)을 설정하여 프롬프트 검증을 수행해야 합니다.

Microsoft Purview AI 허브를 통한 모니터링

Microsoft Purview는 Microsoft 365 Copilot 상호 작용을 위한 전용 원격 분석을 제공하는 AI 허브(AI Hub)(Purview 규정 준수 포털 내 위치)를 제공합니다.

SharePoint에서의 선제적인 권한 수정, 제한된 SharePoint 검색과 같은 맞춤형 제어, 지속적인 Microsoft Purview 민감도 레이블 및 끊김 없는 원격 분석 모니터링을 결합함으로써 엔터프라이즈 관리자는 데이터 유출 위험을 성공적으로 제거하고 Microsoft 365 Copilot의 안전하고 규정을 준수하는 배포를 보장할 수 있습니다.