Copilot 데이터 보안 위험: Microsoft 365 환경 보호하기

By Mirko Peters · 2026-02-25 · Updated 2026-03-24

Copilot 데이터 보안 위험: Microsoft 365 환경 보호하기. Microsoft Copilot이 민감한 기업 데이터에 접근할 때의 보안 위험을 이해하고, Microsof

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot Data Security Risks: Protecting Your Microsoft 365 Environment

Microsoft Copilot은 조직의 업무 방식을 바꾸고 있습니다. 하지만 강력한 AI 능력에는 그만큼 확실한 보안이 시급히 필요합니다. Copilot이 유용한 요약과 초안을 만들기 위해 회사의 문서, 이메일, 채팅을 파고들면서 새로운 데이터 노출 문제가 바로 수면 위로 떠오르고 있습니다. 재무 기록, 고객 정보, 특허 같은 민감한 비즈니스 데이터는 Copilot의 보안이 철저히 잠겨 있지 않다면 위험에 노출될 수 있습니다.

해커만 문제가 되는 것은 아닙니다. 때로는 이미 신뢰하고 있는 사람, 즉 외주 인력이나 권한이 과도하게 부여된 사용자, 또는 구성 설정의 작은 실수 하나만으로도 Copilot이 잘못된 파일을 가져와 보여줄 수 있도록 금고 문이 활짝 열려 버릴 수 있습니다. Copilot 보안은 액세스 제어의 문제이지만, 생성형 AI의 '알려지지 않은 위험(unknown unknowns)', 위험한 통합, 빠르게 바뀌는 규제의 문제이기도 합니다. 의료, 금융, 공공 분야에 계신다면 규제 기관이 AI 기반 데이터 흐름을 어떻게 관리하는지 주시하고 있습니다. 그래서 Copilot 데이터 보안 위험을 이해하는 것은 단순한 모범 사례가 아니라, 규정 준수와 운영 연속성, 그리고 회사의 평판을 지키기 위해 반드시 필요합니다.

이 가이드는 Copilot과 관련된 핵심 보안 위험을 다루고, 이를 관리하기 위한 실질적인 방법을 알려 드립니다. 올바른 권한 설정부터 규제 대응 준비, 데이터 손실 방지(DLP), 플러그인 경계, 섀도 IT, 법적 위험 요소, 검증된 거버넌스 전략까지 살펴봅니다. 또한 사람의 실수, 설계 결함, 모니터링 공백이 어떻게 '똑똑한' 도구를 데이터 유출의 골칫거리로 바꿀 수 있는지, 그리고 이를 신속하게 해결하려면 무엇을 해야 하는지도 설명합니다. 자, 본격적으로 시작해 보겠습니다. Copilot이 여러분을 거스르는 것이 아니라 여러분을 위해 일하도록 만들어 봅시다.

Copilot 데이터 보안 위험에 관한 놀라운 사실 8가지

프롬프트의 모델 보존: Copilot 유형의 시스템은 사용자 프롬프트를 보존했다가 모델을 업데이트하거나 미세 조정하는 데 사용할 수 있습니다. 즉, 한 번 입력된 민감한 데이터가 향후 출력에 영향을 줄 수 있습니다.
제안을 통한 숨은 데이터 유출: 자동 완성 제안은 이러한 데이터로 학습되거나 노출된 경우, 의도치 않게 독점 코드 조각, API 키, 비즈니스 로직을 드러낼 수 있습니다.
컨텍스트 윈도우 노출: 대화나 코드 컨텍스트가 길어질수록 이전의 민감한 내용이 활성 컨텍스트 윈도우에 남아 있다가 나중에 다시 나타날 가능성이 커집니다.
서드파티 플러그인 위험: Copilot과 함께 사용하는 통합 기능과 플러그인은 추가적인 공격 표면과 공급망 위험을 만들어 낼 수 있으며, 원래 플랫폼의 통제를 우회할 수도 있습니다.
내부자에 의한 재식별: 개선을 목적으로 수집된 집계 텔레메트리나 사용 로그는 적절히 익명화되지 않으면 분석되어 개별 사용자나 프로젝트를 재식별하는 데 악용될 수 있습니다.
테넌트 간 오염: 다중 테넌트 환경에서는 모델 학습이나 캐싱 구성 오류로 인해 한 고객의 데이터가 다른 고객의 출력에 영향을 줄 수 있습니다.
생성된 콘텐츠를 통한 유출: 악의적인 사용자는 모델이 이전 입력의 민감한 패턴을 다시 쓰거나 추출하도록 프롬프트를 설계할 수 있습니다. 이렇게 하면 겉보기에 무해한 출력물을 통해 사실상 데이터가 빠져나갈 수 있습니다.
규정 준수 및 감사의 사각지대: 기존의 DLP, SIEM, 감사 도구는 모델 내부나 생성 파이프라인을 모니터링하지 않는 경우가 많습니다. 이로 인해 데이터 상주 위치, 보존, 사용 목적 제한과 관련한 규정 준수에 사각지대가 생깁니다.

Microsoft Copilot 보안 개요

Microsoft Copilot은 Microsoft 365 환경에서 생산성과 보안이 만나는 교차점에 있습니다. 단순한 추가 기능이 아니라, Copilot은 민감한 비즈니스 데이터와 깊이 상호작용하므로 보안 상태가 조직의 신뢰와 직결됩니다. 현관문에 열쇠를 꽂아 두는 것과 같은 AI 버전의 실수는 감당할 수 없습니다. 어떤 취약점이든 대규모로 증폭되기 때문입니다. 다행히 Microsoft는 Copilot을 기존 기업 보안 생태계에 계층적으로 통합하여, 사용자가 익숙한 기반 위에서 새로운 요소를 접할 수 있도록 했습니다.

Copilot 보안은 Microsoft가 기본으로 제공하는 기능만의 문제가 아닙니다. Copilot의 아키텍처는 역할 기반 액세스, ID 관리, 포괄적인 데이터 거버넌스 도구처럼 Microsoft 365에 이미 적용된 검증된 통제 기능에 의존합니다. 즉, Copilot이 보안 체계를 새로 만드는 것은 아니지만 그 체계를 더 빠른 차선에 올려놓습니다. 따라서 각 통제 기능이 실제로 어떻게 작동하는지 이해해 두는 것이 중요합니다. 이these 구성 요소가 함께 작동하는 방식을 이해하면 위험을 미리 파악하고 보안 공백을 찾아내며, 문제를 일으키지 않고 Copilot을 자신 있게 허용할 수 있습니다. 다음으로는 Copilot이 Microsoft 365 보안 스택에 직접 연결되는 방식과 Microsoft가 도입한 AI 전용 보호 기능 일부를 살펴보겠습니다.

Microsoft 365 보안과 Microsoft Copilot의 통합 방식

Microsoft Copilot은 기존 Microsoft 365 보안 프레임워크에 맞춰 설계되었으며, ID 및 액세스 제어를 위한 Microsoft Entra와 데이터 거버넌스 및 감사를 위한 Microsoft Purview 같은 도구를 사용합니다. Copilot은 조직의 최소 권한 모델과 역할 그룹을 준수하므로, 사용자나 서비스가 이미 액세스할 수 있는 데이터만 볼 수 있습니다.

Copilot을 통과하는 데이터 흐름은 Purview 정책을 포함한 전사적 보안 통제의 적용을 받으며, 감사 로그를 통해 모니터링됩니다. 지속적인 감독과 신속한 修復를 위해 조직은 DLP 및 민감도 레이블을 Copilot이 생성한 콘텐츠까지 확장하고, Purview Audit이나 Sentinel 같은 도구로 실시간 모니터링을 활용할 수 있습니다. 고급 거버넌스 전략에 대한 자세한 내용은 이 심층 가이드와 고급 거버넌스 모범 사례 같은 자료에서 확인할 수 있습니다.

Copilot의 주요 보안 기능과 AI 안전장치

상황 기반 액세스 적용: Copilot은 임의로 특별한 액세스 권한을 부여받지 않습니다. 가져오는 데이터는 Microsoft 365에서 설정한 권한과 데이터 경계를 그대로 따릅니다.
테넌트 격리: Copilot 인스턴스는 자체 테넌트 안에서만 격리되어 작동하므로, 데이터가 조직의 경계를 넘거나 다른 조직의 데이터와 섞이지 않습니다.
안전한 프롬프트 설계: Microsoft는 프롬프트 검사와 필터를 구현하여 프롬프트 인젝션 같은 알려진 공격이 Copilot 결과에 영향을 주지 못하도록 차단합니다.
민감도 레이블 지정 & DLP: Purview 민감도 레이블과 데이터 손실 방지(DLP) 정책을 기본으로 지원하며, 이 보호는 Copilot이 생성한 콘텐츠에도 적용됩니다.
지속적인 모델 모니터링: 실시간 분석과 감사를 통해 관리자에게 의심스러운 AI 기반 활동을 알리고, 신속한 조사와 복구를 가능하게 합니다.

Copilot 데이터 보안 위험과 취약점

기업 핵심 업무에 깊이 통합된 다른 AI 시스템과 마찬가지로, Microsoft Copilot은 가장 민감한 데이터와 상호작용하는 방식과 직접 연결된 새로운 보안 위험을 가져옵니다. 문제는 외부인이 침입할 수 있는지뿐만 아니라, 잘못 적용된 권한, 인식하지 못한 공유, Copilot이 파일을 활용하고 생성하는 방식을 악용하는 새로운 공격이 불러오는 연쇄 효과입니다.

Copilot과 기타 생성형 AI 도구에 고유한 위험으로는 자동화된 프로세스를 통한 데이터 노출과 Copilot이 다른 앱과 통신하는 방식의 잠재적 취약점이 있습니다. 외부 경계를 잘 잠가 두었더라도, 내부 권한이 잘못 설정된 AI 시스템이나 보호되지 않은 통합 지점이 의도치 않게 가장 약한 고리가 될 수 있습니다. 공유 파일, Teams, 연결된 API가 많은 복잡한 Microsoft 365 환경에서는 공격 표면과 실수 가능성이 모두 커집니다.

다음 섹션에서는 Copilot이 민감한 정보를 실수로 노출할 수 있는 방식, 타사 플러그인 연결에 숨은 보안 함정, 프롬프트 인젝션 위협의 기술적 실상을 포함하여 핵심 위험 범주를 자세히 살펴보겠습니다. 또한 어떤 점을 확인해야 하는지, 그리고 문제가 커지기 전에 어떻게 대응해야 하는지 알 수 있도록 실질적인 완화 전략과 일반적인 시나리오도 다루겠습니다.

Copilot 보안 위험과 데이터 노출 이해하기

부적절한 권한과 과도한 공유: Copilot은 Microsoft 365 위에서 작동하므로 사용자가 가진 권한을 그대로 반영합니다. 액세스 제어가 지나치게 넓게 설정되어 있으면, Copilot은 보아서는 안 되는 사용자를 위해 민감한 파일을 가져와 요약할 수 있습니다. 때로는 AI가 생성한 요약이나 스니펫을 통해 데이터가 드러나기도 합니다.
구성 실수: 테넌트 설정이나 DLP 레이블 지정에서 사소한 실수 하나만으로도 많은 기밀 정보가 노출될 수 있습니다. 예를 들어 감사 로그를 검토하지 않고 정책을 시행하지 않으면, Copilot이 문서 간의 연관성을 파악해 조직이 공유할 의도가 없었던 정보를 유출할 수 있습니다.
섀도 IT 및 검증되지 않은 통합: 승인되지 않은 앱이나 AI 에이전트가 Microsoft 365에 연결되면 심각한 데이터 위험이 발생할 수 있습니다. 악성 액세스 토큰이나 외부 플러그인은 거버넌스를 완전히 우회하여 보이지 않는 데이터 흐름과 규정 준수 문제를 일으킬 수 있습니다. 자세한 내용은 이 섀도 IT 거버넌스 가이드를 참조하십시오.
사용자 행동과 의도치 않은 유출: 직원이 접근 권한은 있지만 보아서는 안 되는 광범위한 문서 세트나 채팅 기록을 요약해 달라고 Copilot에 요청하면서 민감한 데이터를 의도치 않게 노출할 수 있습니다. 이러한 우발적인 프롬프트는 흔히 "AI 에코 유출"이라고 불리며, 피해가 발생한 뒤에야 알아차리기 어려운 경우가 많습니다.
실시간 거버넌스 부재: 많은 AI 에이전트 배포가 로깅에만 집중하고 작업이 실행되는 순간에 거버넌스를 적용하지 않습니다. 이로 인해 조용한 실패가 발생하고, 이 모범 사례 팟캐스트에서 설명하는 것처럼 작은 정책 공백이 대규모 데이터 유출로 확대됩니다.

이러한 위험을 보면, 정기적인 액세스 검토, 앱 동의 관리, 체계적인 DLP 전략은 "있으면 좋은 것"이 아니라 반드시 갖추어야 할 핵심 기본 방어 수단임을 알 수 있습니다.

Copilot 통합 취약점과 프롬프트 인젝션 공격

프롬프트 인젝션 공격: 악의적인 행위자가 Copilot에 전달되는 프롬프트를 조작하여, Copilot이 민감한 정보를 드러내거나 의도하지 않은 작업을 실행하도록 속일 수 있습니다. 이러한 프롬프트 인젝션은 사용자, 손상된 소스, 또는 한 컨텍스트의 데이터가 다른 컨텍스트로 새어 나가는 "교차 프롬프트" 시나리오에서 발생할 수 있습니다.
모델 역추론 공격: 공격자는 Copilot의 AI 모델을 악용해 기밀 학습 데이터를 재구성하거나 추론할 수 있으며, 특히 독점 파일이나 내부 대화에 대한 모델 출력을 제한하는 통제가 설정되지 않은 경우 위험이 커집니다.
통합 취약점: Copilot과 다른 앱 및 API 간의 연결은 특히 OAuth 동의가 지나치게 허용적일 경우 권한 상승 공격의 통로가 될 수 있습니다. 공격자는 광범위한 Graph 권한을 악용할 수 있으며, 그 원리는 이 OAuth 동의 공격 분석과 같은 가이드에서 자세히 다루고 있습니다. 이러한 공격은 자격 증명을 변경한 뒤에도 지속적이고 승인되지 않은 액세스를 가능하게 할 수 있습니다.
타사 플러그인 위험: Copilot용 새로운 플러그인 프레임워크는 데이터 경계가 엄격하게 통제되지 않으면 외부 서비스와의 승인되지 않은 데이터 공유를 초래할 수 있으므로, 플러그인 검토와 지속적인 감사가 필수입니다.
조용한 데이터 교차 오염: 커넥터 및 환경 수준에서 견고한 분류와 격리가 없으면, 특히 Power Platform, Teams, SharePoint 전반에서 작업할 때 Copilot이 업무용 데이터와 비업무용 데이터를 "교차 오염"시킬 수 있습니다.

이러한 공격 표면을 고려하면, 방어 측은 ID 동의, 플러그인 승인, 감사 모니터링에 집중하고 AI 모델 접근을 항상 엄격하게 통제해야 합니다.

Copilot을 위한 액세스 제어 및 권한 관리

강력한 액세스 제어는 Copilot을 통한 우발적이거나 악의적인 데이터 유출에 대한 마지막이자 때로는 유일한 방어선입니다. AI는 Microsoft 365 권한을 활용하는 도우미 역할을 하므로, 권한의 공백이나 과도하게 부여된 역할은 유용한 기능을 규제 측면의 악몽으로 바꿀 수 있습니다. "누가 무엇을 볼 수 있는지"에 대한 가시성과 관리가 핵심이 됩니다.

대규모 엔터프라이즈 Microsoft 365 테넌트에서는 팀 구성이 자주 바뀌고, 게스트 계정이 있으며, 파일이 부서 간에 계속 오가기 때문에 권한은 끊임없이 변합니다. Copilot의 액세스 정책을 올바르게 설정하려면 그룹 멤버십, 역할 기반 액세스, 조건부 정책, 그리고 지속적인 검토를 철저히 관리해야 합니다. 한 번 설정하고 잊어버리는 것으로는 충분하지 않으며, 이러한 규칙을 정기적으로 다시 검토하고 감사해야 합니다.

이어서 Copilot의 액세스 경계를 구성하는 실질적인 단계를 살펴보고, Teams, 파일 공유, 그룹 간 상호 작용과 관련된 과제를 자세히 다루겠습니다. 정책을 통해 눈에 보이지 않는 보안 공백을 줄이는 방법에 대해서는 조건부 액세스 모범 사례와 게스트 계정 수명 주기 관리 조언을 참고하시기 바랍니다.

세분화된 Copilot 액세스 제어 정책 구성

그룹 기반 액세스: Entra 역할 그룹과 Microsoft 365 기본 제어 기능을 사용하여 AI 지원 기능이 정말 필요한 사용자나 부서에만 Copilot 사용 권한을 할당합니다.
조건부 액세스 정책: 조건부 액세스를 활용하여 Copilot 사용을 보안 장치, 규정을 준수하는 위치, 승인된 위험 수준과 연결함으로써 적응형 보안을 구현합니다.
권한 분리: 역할 기반 액세스 제어(RBAC)를 구현하여 최소 권한을 부여하고, Copilot이 해당 사용자보다 더 광범위한 액세스 권한을 갖지 않도록 합니다.
정기적인 액세스 검토: 레거시 파일이나 퇴사한 사용자로 인해 발생하는 '권한 누적(permission creep)'을 막기 위해 주기적인 권한 검토를 예약하고 자동화합니다.
제로 트러스트 원칙: 민감한 Copilot 작업에 대해 지속적인 검증과 just-in-time 권한 상승을 계층적으로 적용합니다. 통합 제로 트러스트 접근 방식은 Zero Trust by Design에서 살펴보실 수 있습니다.

Teams 및 공유 파일 전반의 Copilot 권한

Teams 채널 거버넌스: Copilot은 팀 또는 채널 수준에서 설정된 권한을 따릅니다. 다만 관리가 제대로 되지 않은 Teams 구조나 평면적인 액세스 계층 구조에서는 사용자(따라서 Copilot)가 본래 보지 말았어야 할 기밀 대화나 문서에 접근할 수 있습니다.
SharePoint 및 파일 액세스: Copilot은 SharePoint와 OneDrive의 액세스 권한을 준수합니다. 그렇더라도 파일이 과도하게 공유되거나 통제되지 않은 문서 라이브러리에 저장되어 있으면, Copilot이 비즈니스에 중요한 파일을 요약하거나 더 넓은 대상에게 노출할 위험이 커집니다. 관련 팁은 이 Purview 및 SharePoint 가이드를 참고하십시오.
게스트 및 외부 액세스: 잊혀진 게스트 계정과 관리되지 않는 외부 협업자는 Copilot의 도달 범위를 의도한 경계 너머로 크게 확장할 수 있으며, 민감한 데이터가 파트너나 제3자 환경으로 유출될 위험을 높입니다.
수명 주기 관리: 안전한 Teams 사용은 팀을 요청, 승인, 갱신, 보관하는 자동화된 수명 주기 관리에 달려 있으며, 이는 방치된 팀이 보안 위험 요소가 되는 것을 막아 줍니다. 자세한 내용은 Teams 거버넌스 체크리스트에서 다루고 있습니다.

Teams 및 SharePoint 사이트를 자주 감사하십시오. 민감한 데이터에 태그를 지정하고 원본 파일 보호를 설정하여, Copilot이 팀, 부서, 외부 당사자 간 데이터 유출의 통로가 되지 않도록 하십시오.

Copilot 배포에서의 규정 준수 및 법적 요구 사항

규제 기준이 계속 높아지고 있다는 것은 잘 알려진 사실이며, Copilot이 민감한 데이터를 찾아내고, 분석하고, 생성할 수 있다는 점은 모든 산업, 특히 의료, 금융, 공공 기관에서 규정 준수를 최우선 과제로 만듭니다. 업계 요구 사항을 충족하는 일은 단순히 체크리스트를 채우는 것이 아니라, 막대한 과징금과 대중의 신뢰를 잃는 사태를 피하기 위한 것입니다.

Copilot 배포에서 규정 준수란 AI 활동을 HIPAA, FINRA, GDPR 등 데이터 상주 및 보존과 관련된 규정에 맞게 매핑하는 것을 의미합니다. 유럽연합에서 미국 주에 이르기까지 지역마다 요구하는 데이터 분리 및 보고 수준이 다릅니다. 데이터가 승인된 경계를 벗어나거나 Copilot의 로깅 결과를 감사할 수 없다면 위험에 노출되게 됩니다.

이어지는 섹션에서는 규제 산업에서 Copilot이 통제를 유지하는 방식이나 지역별 데이터 상주 법규를 충족하는 방법 등 규정 준수 전략과 규제상의 세부 사항을 다룹니다. 이 전략들은 컴플라이언스 담당자가 Copilot 도입을 정당화하고, 감사를 통과하며, 사전 예방적 거버넌스를 확립하는 데 도움이 될 것입니다. 변화하는 규제에 대응하는 방법에 대해서는 Defender for Cloud의 규정 준수 자동화 가이드를 참고하십시오.

의료 및 금융 분야에서 Copilot 규정 준수 보장

HIPAA 및 PHI 보호: Copilot은 개인 건강 정보(PHI)를 보호하는 경계 안에서 작동해야 하며, 모든 상호 작용에 대해 감사 추적과 액세스 검토가 이루어져야 합니다.
FINRA, GLBA, SOX 통제: Copilot이 생성한 콘텐츠와 로그는 금융 부문 규제를 충족하도록 기본적으로 관리됩니다. 즉, 캡처되고 보존되며 요청 시 감사할 수 있습니다. 규정 준수와 관련된 더 자세한 주의 사항은 이 규정 준수 드리프트 팟캐스트에서 확인하실 수 있습니다.
EU AI Act 및 책임 있는 사용: 거버넌스 보드는 책임 있는 AI 사용을 감독하고, EU AI Act의 요구 사항을 매핑하며, 공정성과 투명성을 위한 가드레일을 유지합니다. 자세한 내용은 거버넌스 보드 모범 사례에서 다룹니다.
감사 가능성 및 보고: Copilot은 Microsoft Purview를 활용해 세분화된 로깅을 제공하므로, 규제 기관에 제출할 증거를 손쉽게 확보할 수 있고 규정 준수 검토에 따르는 부담도 줄어듭니다.

Copilot 데이터 거주성 및 지역별 보안 차이

데이터 처리 경계: Copilot은 테넌트 데이터를 할당된 지역 경계(EU, 북미 등) 안에서 저장하고 처리하여 데이터 위치에 관한 규제 통제를 준수합니다. 이 기준이 맞지 않으면 GDPR 또는 기타 데이터 주권 법률을 위반할 수 있습니다.
지역별 보안 정책: 보안 기능과 감사 요구 사항은 지역에 따라 다르므로, 지역의 기대에 맞게 구성을 조정해야 합니다. 예를 들어 EU 워크로드에는 더 강력한 암호화나 보존 정책이 필요할 수 있습니다. 플랫폼 전반의 통합 데이터 거버넌스에 대해서는 데이터 거버넌스 허브로서의 Microsoft Fabric을 참조하십시오.
국경 간 데이터 이동: 승인되지 않은 지역 밖으로 민감한 데이터의 일부를 전송하거나 캐시할 수 있는 Copilot 기능이나 레거시 커넥터를 주의하십시오. 이는 규제 위반으로 이어질 수 있습니다.
미국 주 및 연방 법률: 미국에서 Copilot을 배포할 때는 여러 주의 개인 정보 보호법(CCPA, NY SHIELD 등)이 혼재되어 있음을 고려해야 하며, 경우에 따라 테넌트와 서비스 수준에서 고급 구성이 필요할 수 있습니다.

Copilot의 보안 사고 및 침해 모니터링

Copilot에서 지속적인 모니터링은 단순한 유행어가 아니라 필수입니다. AI가 민감한 정보를 노출하거나 확산시키는 규모와 속도를 고려하면 더욱 그렇습니다. 누가 무엇에 접근했는지뿐만 아니라, Copilot이 가장 중요한 데이터의 일부를 누구에게 언제 보여 주었을 수 있는지도 파악해야 합니다.

최신 Microsoft 365 환경은 그 어느 때보다 많은 인사이트를 제공합니다. 하지만 Copilot은 AI가 생성한 로그, 예측하기 어려운 상호 작용, 빠르게 진행되는 사고 가능성이라는 새로운 복잡성을 더합니다. 그래서 강력한 탐지 도구, 자동화된 修復, 선제적 알림이 중요합니다. 이러한 기능이 없으면 과도한 데이터 요약부터 채팅 로그에 숨은 미묘한 유출 시도까지 놓칠 수 있습니다.

다음 에피소드에서는 Copilot 관련 사고를 탐지하고 알리며 대응하는 실무적인 방법과, 정기적인 보안 테스트 및 공급업체 평가가 방어 체계를 어떻게 탄탄하게 유지하는지 다루겠습니다. 추가로 읽을거리로는 Purview 감사 모범 사례와 M365 공격 체인 설명을 참고하시면 위협 탐지와 계층화된 사고 대응 방식을 더 깊이 이해하실 수 있습니다.

Copilot 보안 사고 탐지 및 신속한 대응

실시간 감사 로깅: Microsoft Purview 감사 로그를 사용하여 Copilot의 사용자 프롬프트, 응답, 데이터 검색 활동을 거의 실시간으로 추적하여 빠르게 가시성을 확보하십시오.
자동 보안 알림: Microsoft Sentinel 또는 Defender를 활용하여 민감한 파일 요약의 급격한 증가와 같이 정상 범위를 벗어난 Copilot 활동을 식별하고, 즉시 알림이 발송되도록 설정하십시오.
즉시 대응 워크플로: 의심스러운 Copilot 이벤트가 발생하면 액세스를 차단하고, 세션을 취소하며, 이해관계자에게 알리는 인시던트 대응 자동화를 통합하십시오.
지속적인 정책 조정: 사고 패턴을 검토하고 DLP, 액세스, 앱 동의 정책을 개선하여 AI가 같은 실수를 두 번 반복하지 않도록 합니다. 컴플라이언스 자동화에 대한 자세한 내용은 Defender for Cloud를 활용한 지속적 모니터링을 참조하십시오.

Copilot 보안 테스트 및 취약성 평가

Copilot을 켰다고 해서 보안이 끝나는 것은 아닙니다. 보안은 정기적인 점검과 독립적인 검증이 필요한 지속적인 과정입니다. Microsoft와 제3자는 침투 테스트, 레드 팀 훈련, 지속적인 취약성 스캔을 수행하여 Copilot의 데이터 처리, 플러그인 통합, AI 모델에서 약점을 찾아냅니다.

체계적인 버그 바운티 프로그램은 보안 연구원이 결함을 발견하여 Microsoft에 직접 제보하도록 인센티브를 제공하며, 이를 통해 운영 환경에서 제로데이 공격이 발생할 위험을 줄입니다. 이 섀도 AI 거버넌스 에피소드에서 설명하는 것과 같은 실용적인 프레임워크와 함께 지속적인 내부 검토를 수행하면 잘못된 구성과 섀도 IT 활동을 발견하는 데 도움이 됩니다. 특히 자율형 에이전트와 고급 플러그인에서 중요합니다.

Copilot 보안을 위한 모범 사례 및 권장 사항

Copilot의 위험과 복잡성을 고려할 때, 최선의 보안 전략은 명확한 실천 방법을 세우고 배포가 발전하더라도 이를 꾸준히 지키는 것입니다. 이 섹션에서는 기본 단계와 고급 단계를 아우르는, 모든 조직이 즉시 적용할 수 있는 실행 가능한 보안 조치를 정리합니다. 추측에 의존하는 것이 아니라 검증된 방법, Microsoft가 권장하는 정책, 그리고 현장 조직들이 쌓은 실질적인 노하우를 다룹니다.

테넌트 준비부터 DLP 및 민감도 적용, 직원과 관리자 교육까지 수명 주기 단계별로 필수 조치를 정리했습니다. 특히 이 전략들은 사고가 발생하기 전에 가능성을 줄여, 전반적인 침해 및 컴플라이언스 위험을 낮추는 데 목적이 있습니다.

Copilot 도입을 속도 저하 없이 성숙하게 만드는 방법이나, 생산성을 저해하지 않는 지속 가능한 거버넌스를 구축하는 방법이 궁금하다면 다음 섹션이 도움이 될 것입니다. 더 알아보고 싶다면 이 Copilot 거버넌스 정책 플레이북과 효과적인 Copilot 교육 센터 팁을 추가로 참고하십시오.

Copilot 보안 모범 사례 및 권장 사항

DLP 및 민감도 레이블 적용: Copilot이 생성하고 요약한 콘텐츠를 보호하기 위해 Microsoft 365 환경 전반에 DLP 정책과 민감도 레이블을 적용하고 정기적으로 업데이트하십시오. 자세한 내용은 개발자를 위한 DLP 정책 인사이트를 참조하십시오.
지속적인 교육 실시: 직원들이 위험한 프롬프트와 의심스러운 행동을 알아보고, 안전한 Copilot 상호 작용의 기본 원칙을 이해하도록 교육하십시오. 전통적인 교육은 효과가 떨어지는 경우가 많으므로, Copilot 학습 센터 모범 사례에서 강조하는 것처럼 교육 콘텐츠를 한곳에 모아 최신 상태로 유지하십시오.
AI 액세스 분리: Copilot이 각 사용자에게 필요한 범위를 넘어서 접근하지 않도록 그룹 및 역할 기반 액세스 모델을 구축하십시오. Entra 또는 Purview를 사용해 범위를 정밀하게 지정하고, 민감도가 높은 데이터에 대한 노출은 업무상 정당한 사유가 있는 사용자에게만 제한하십시오.
모니터링 및 컴플라이언스 자동화: Microsoft Sentinel, Defender, Purview Audit을 활용해 실시간 알림과 정책 기반 修正 조치를 갖춘 자동 모니터링을 구축하십시오.
강력한 거버넌스 유지: 경험 계층과 제어 계층을 분리하고, 프롬프트를 평가하고 의도를 기록하며 작업 시점에 정책 준수를 보장하는 결정론적 정책을 적용하십시오. 이 원칙에 대한 자세한 내용은 안전한 AI 거버넌스 전략을 참조하십시오.

위험 평가 및 Copilot 데이터 거버넌스 전략

민감도 분류: 특히 SharePoint와 Teams에 있는 업무상 중요한 콘텐츠를 조기에 분류하고, Purview를 사용해 액세스 경계와 민감도 레이블을 적용하십시오.
DLP 및 액세스 검토: Copilot이 접근할 수 있는 범위 안에서 오래되었거나 관리되지 않는 권한을 찾아낼 수 있도록 DLP 정책 검토와 액세스 평가를 정기적으로 일정에 넣으십시오. 시작하는 데 도움이 필요하다면 실무 거버넌스 팟캐스트의 체크리스트를 활용해 보십시오.
콘텐츠 수명 주기 제어: 문서가 생성되는 순간부터 보관되기까지의 수명 주기를 모니터링하고 시행하여 내부자 위협을 줄이고 "문서 혼란"을 방지하십시오. 자세한 내용은 Purview 콘텐츠 제어 플레이북을 참고하십시오.

Copilot과 관련된 정책 및 입법 우려

Copilot이 대중화되면서 미국과 전 세계의 입법자들이 빠르게 목소리를 내고 있으며, 이는 도입 전략과 보안 위험에 직접적인 영향을 미치고 있습니다. 특히 공공 부문의 정책 움직임은 규제 당국이 가장 큰 위험을 어디에서 보는지, 그리고 민간 기업이 방향을 어디에서 조정해야 할지를 보여 줍니다.

이 섹션에서는 미국 의회의 Copilot 차단과 같은 최근 금지 조치의 영향을 정리하고, 데이터 주권, 규정 준수 요구 사항, 전략적 위험 계획에 미치는 파급 효과를 분석합니다. 보다 심층적인 거버넌스 관점이 필요하다면, 기업이 새로운 법적 요구 사항에 대응하고 운영 연속성을 유지하도록 돕는 AI 에이전트 거버넌스 제어와 같은 프레임워크를 확인해 보십시오.

미국 의회의 Copilot 금지와 보안 영향

미국 의회는 최근 하원 기기에서 Microsoft Copilot을 사용하지 못하도록 금지했습니다. 해결되지 않은 데이터 보안, AI 개인정보 보호 문제, 그리고 관리되지 않는 정보 흐름의 위험이 그 이유로 제시되었습니다. 이 금지 조치는 공공 부문 전반의 정서를 반영하며, 민감한 정부 데이터를 다루는 생성형 AI에 대한 회의론이 그 어느 때보다 높아진 상황입니다. Center for Data Innovation의 설문 조사에 따르면 정부 기관의 61%가 데이터 개인정보 보호 문제를 AI 도입의 가장 큰 장애물로 꼽고 있습니다.

전문가 연구에서는 Copilot과 같은 AI 시스템이 의도치 않게 정보를 집계하고 노출할 수 있다고 주장합니다. 따라서 보안 수준이 높은 기관에서는 세분화된 액세스 관리와 프롬프트 감사가 선택이 아닌 필수입니다. 이 에이전트 거버넌스 에피소드에 등장한 업계 전문가들은, 대규모 조직에서 실제로 근본적인 위험은 고립된 악성 에이전트가 아니라 "확장된 사람의 일관성 부재(scaled human inconsistency)"라고 경고합니다. 잘못 구성된 권한, 허술한 수명 주기 거버넌스, 손쉽게 연결되는 통합 기능은 모두 AI 도구에 의해 증폭되므로, 효과적인 감독의 중요성은 더욱 커지고 있습니다.

기업이 얻을 수 있는 시사점은 무엇일까요? 정부의 금지 조치는 AI 기술의 데이터 액세스, 투명성, 동의와 관련해 민간 부문에서도 규제가 도입될 가능성을 미리 보여 줍니다. 조직은 더 엄격한 감사 요구 사항, 신속한 대응 제어, 에이전트 책임에 대한 더 명확한 프레임워크에 대비해야 합니다. 이러한 흐름을 앞서가려면 규칙이 의무가 되고 감사가 시작되기 전에, 지금 엄격한 거버넌스 아키텍처를 구축해야 합니다.

Copilot과 데이터 손실 방지(DLP) 통합

데이터 손실 방지(DLP)는 현대의 모든 클라우드 작업 공간에서 정보 보안의 핵심이며, Microsoft Copilot과 같은 생성형 AI 도구를 사용하는 지금 그 중요성이 그 어느 때보다 큽니다. Copilot이 문서, 이메일, 채팅 응답을 자동으로 생성함에 따라, 개인 식별 정보와 기밀 비즈니스 데이터가 의도했든 아니든 밖으로 새어 나가지 않도록 하는 정책이 필요합니다.

하지만 DLP를 Copilot과 통합하는 일은 스위치 하나를 켜는 것 이상입니다. 조직은 Copilot이 만든 콘텐츠를 실시간으로 검사하고, 위험한 출력을 차단하며, 잠재적 유출이 감지되는 즉시 경고를 발송하는 제어를 설계해야 합니다. 대부분의 데이터 유출은 DLP 규칙이 빠져서만 일어나는 것이 아니라, Copilot이 민감한 정보를 요약하거나 재구성하거나 실수로 공유할 수 있는 관리되지 않은 환경에서 발생하기 때문에 이 점이 특히 중요합니다. 실무 팁은 Power Platform용 DLP 전략과 M365의 DLP 설정을 참고하십시오.

다음 섹션에서는 Copilot이 생성한 콘텐츠에 DLP가 어떻게 작동하는지 설명하고, AI 기반 생산성이 데이터 안전을 희생하지 않도록 지속적이고 실시간인 DLP 모니터링을 구현하는 방법을 다룹니다.

Copilot 생성 콘텐츠에 DLP 정책이 적용되는 방식

Microsoft 365의 DLP 정책은 Copilot이 생성한 콘텐츠를 능동적으로 검사하고 플래그를 지정하며, 필요하면 차단할 수도 있습니다. 대상은 문서, 이메일, 채팅 요약, 공유된 스니펫 등 무엇이든 해당됩니다. 이 규칙은 Copilot이 만들거나 요약한 내용이 사용자에게 전달되거나 회사 외부로 공유되기 전에 주민등록번호, 금융 데이터, 기밀 고객 기록 같은 민감한 정보가 있는지 확인합니다.

관리자는 Copilot 출력물이 규정 준수 여부에 맞게 자동으로 검사되도록 사용 시나리오를 설정할 수 있습니다. 예를 들어 사용자가 금융 스프레드시트에 대한 AI 생성 요약을 Teams로 공유하려고 한다고 가정해 보겠습니다. DLP는 신용카드 번호나 기밀 용어가 감지되면 해당 공유를 가로채고, 차단하고, 알림을 보낼 수 있습니다. 개발자는 DLP를 나중에 고려할 사항이 아니라 설계 제약 조건으로 다뤄야 합니다. 추가 모범 사례는 이 Power Platform 개발자용 DLP 정책 가이드에서 확인할 수 있습니다.

Copilot 상호 작용에 대한 실시간 DLP 모니터링

프롬프트 및 응답 감사: 실시간 DLP 모니터링은 사용자 프롬프트와 Copilot의 AI 생성 응답을 모두 검사하여, 워크플로에서 나타나는 민감한 데이터를 플래그 지정하고 차단합니다.
인시던트 알림 및 자동 교정: 보안 관리자는 잠재적인 데이터 유출에 대한 알림을 즉시 받을 수 있으며, 자동화된 워크플로를 통해 공유를 차단하거나, 파일을 격리하거나, 플래그가 지정된 콘텐츠에 대해 관리자 승인을 요구할 수 있습니다.
보고 도구와의 통합: DLP 로그를 Power BI 또는 SIEM 시스템에 연결하면 패턴을 분석하고, 정책 변경을 권장하고, 인시던트를 경영진에게 효율적으로 보고할 수 있습니다.
통합 환경 거버넌스: 독립된 규칙에만 의존하지 말고 환경과 커넥터 전반에 걸친 종합적인 DLP 전략을 채택하십시오. 그렇지 않으면 Copilot이 보호되지 않은 경로를 통해 정보를 빠져나가게 할 수 있습니다. 실무 지침이 필요하다면 이 Power Platform DLP 팟캐스트를 살펴보십시오.

타사 애플리케이션 및 Copilot 플러그인 보안

Copilot의 가장 큰 가치 동인이자 위험 증폭 요인 중 하나는 타사 플러그인, API, Copilot Connect 애플리케이션을 통해 기능을 확장하고 연결할 수 있다는 점입니다. 이를 통해 워크플로를 자동화하고 새로운 인사이트를 얻을 수 있지만, 주의 깊게 관리하지 않으면 새로운 공격 표면이 넓어집니다.

위협이 항상 악성 플러그인인 것은 아닙니다. 오히려 Copilot의 접근 범위가 의도치 않게 확장되는 경우가 더 많습니다. 예를 들어 필요 이상의 데이터에 접근하는 플러그인이나, 엄격한 검증 없이 업무에 중요한 파일 권한을 부여받은 공급업체가 이에 해당합니다. 타사 코드와 API가 파일과 대화에 접근할수록 데이터 유출, 공급망 공격, 통제력 상실의 위험이 커집니다.

플러그인 통합을 안전하게 관리하려면 혁신과 생산성의 균형을 유지하면서 제로 트러스트 원칙에 따라 엄격한 온보딩, 권한 부여, 지속적인 모니터링을 수행해야 합니다. 이어지는 섹션에서는 플러그인 평가와 감독을 위한 프레임워크, 그리고 엄격한 데이터 경계를 적용하기 위한 기술적 조치를 설명합니다. 보안을 희생하지 않고 마찰을 줄이는 방법은 제로 트러스트와 사용자 자유: 두 가지 모두 무너졌다 모범 사례를 참고하십시오.

Copilot 플러그인 보안 평가 및 위험 관리

플러그인 실사: Copilot에 연결하기 전에 보안 이력, 공급업체 평판, 규정 준수 인증을 기준으로 플러그인을 평가합니다.
내부 위험 검토: IT 및 보안 팀이 위협 모델링과 영향 분석을 포함해 각 플러그인을 체계적으로 평가하고 승인할 수 있도록 프레임워크를 수립합니다.
권한 및 데이터 최소화: 플러그인이 업무 기능에 필요한 데이터와 작업으로만 제한되도록 하고, 최소 권한 액세스를 정책으로 적용합니다.
정기 감사: 이상 징후나 위반이 확대되기 전에 발견할 수 있도록, 타사 액세스, 사용 패턴, 플러그인 동작을 정기적으로 감사하는 일정을 수립합니다.

Copilot 플러그인 사용 시 데이터 액세스 경계 제어

조직은 세분화된 API 권한과 액세스 범위를 사용하여 타사 Copilot 플러그인에 노출되는 데이터를 엄격하게 제한하는 기술적 조치를 적용할 수 있습니다. 모든 플러그인은 IT 및 보안 검토, 문서화된 승인 근거, 정기적인 재검증을 포함하는 정의된 수명 주기 절차를 거쳐 승인되어야 합니다.

실시간으로 플러그인 활동을 모니터링하여 어떤 데이터 소스에 접근하고 어떤 작업을 수행하는지 추적하는 것이 필수적입니다. 최소 권한 원칙에 따라 플러그인은 필요한 대상에만, 더도 덜도 없이 접근할 수 있어야 합니다. 지속적인 감독과 함께 자동화된 탐지 워크플로를 연계하여 비정상적인 요청이나 출력을 찾아내고, 경계를 넘는 행위가 발견되면 즉시 검토를 시작하거나 접근을 차단해야 합니다.

Copilot 보안 교육 및 사용자 인식 프로그램

Copilot 보안을 뒷받침하는 기술적 역량이 아무리 뛰어나도, 보안이 무너지는 지점은 흔히 사람입니다. 사용자는 부주의한 프롬프트를 통해 의도치 않게 데이터를 유출하거나, AI가 생성한 응답에 숨어 있는 교묘한 피싱에 속을 수 있습니다. 따라서 실질적인 교육과 사용자 인식 제고는 선택 사항이 아니라 안전한 Copilot 도입의 핵심입니다.

이러한 프로그램은 Copilot 사용법뿐 아니라 안전하게 사용하는 방법을 가르쳐야 합니다. 즉, 의심스러운 활동을 알아차리고, 지나치게 광범위한 질문이 가진 위험을 이해하며, AI 기반 상호 작용이 사용자를 조작하려는 것일 수 있음을 인식하도록 해야 합니다. 다음 섹션에서는 Copilot을 겨냥한 소셜 엔지니어링 전술과 민감한 데이터가 잘못된 사람의 손에 들어가지 않도록 하는 프롬프트 엔지니어링 모범 사례를 살펴봅니다. 채택률을 높이고 위험을 줄이려면 이 Copilot 학습 센터 매뉴얼을 참고하십시오.

AI 기반 소셜 엔지니어링을 알아보도록 사용자 교육하기

의심스러운 프롬프트: 평소와 달라 보이거나, 과도한 정보를 요구하거나, 모르는 사람이 보낸 것처럼 보이는 프롬프트를 입력하기 전에 잠시 멈추도록 교육하십시오. AI는 조작되어 신뢰할 수 있는 사용자에게도 피싱을 시도할 수 있습니다.
예상치 못한 데이터 요청: Copilot은 일반적인 작업을 수행하기 위해 민감한 자격 증명이나 기밀 정보를 요구해서는 안 됩니다. 만약 그런 요청을 한다면, 프롬프트 조작 가능성을 나타내는 위험 신호로 보아야 합니다.
지나치게 친절한 응답: Copilot이 사용자의 실제 역할이나 권한 범위를 넘어서는 정보나 제안을 제공한다면, 사용자는 이를 보고하고 출력물을 무조건 다운로드하거나 공유하지 않도록 교육받아야 합니다.
AI 요약을 통한 피싱: Teams, 이메일 또는 채팅으로 전달되는 AI 생성 메시지나 요약이 즉각적인 조치나 이례적인 데이터 공개를 재촉한다면 주의하십시오. 소셜 엔지니어링을 위해 설계되었을 수 있습니다. 계층형 거버넌스에 대한 자세한 내용은 거버넌스 통제에 대한 명확한 안내를 참고하십시오.

Copilot으로 안전한 프롬프트 엔지니어링 역량 강화하기

구체적인 프롬프트 권장: 사용자가 요청을 구체적으로 작성하도록 교육하고, "모든 회사 프로젝트"처럼 광범위하게 훑는 요청은 피하도록 하십시오. 이렇게 하면 데이터 노출 범위를 줄일 수 있습니다.
익명화 권장: 가능한 경우, 민감한 이름, 숫자 또는 맥락 정보를 제거한 뒤 Copilot에 프롬프트를 제출하도록 안내하십시오.
접근 경계 강화: 사용자의 팀이나 사업부 범위를 벗어나는 콘텐츠를 가져오거나 노출하지 않는 프롬프트를 사용하십시오.
출력 결과 항상 검토: 결과를 공유하거나 전달하기 전에, 의도치 않게 데이터가 포함되었는지 Copilot의 응답을 다시 확인하도록 사용자에게 권고하십시오.
중앙 학습 자료 활용: 여기에 설명된 것처럼 거버넌스가 적용되고 항상 최신 상태를 유지하는 Copilot 학습 센터를 활용하면, 프롬프트 보안에 대한 인식을 새롭게 유지하고 조직 정책에 맞출 수 있습니다.

secure microsoft copilot: 기업 데이터를 위한 보안 및 개인 정보 보호

microsoft 365 copilot 사용 방식, 조직 데이터 및 EU 데이터 경계

기업 데이터와 관련해 microsoft copilot의 주요 보안 우려 사항은 무엇입니까?

주요 우려는 무단 데이터 접근, 민감한 데이터의 의도치 않은 노출, 그리고 microsoft graph api 및 기타 microsoft 365 서비스와 같은 연동 지점을 중심으로 합니다. 조직에서는 copilot이 데이터 보호 또는 내부 정책을 위반하는 방식으로 Word 및 Outlook과 같은 microsoft 365 앱 전반의 기업 데이터를 노출할 수 있다는 점을 우려합니다. 보안팀은 microsoft 365 생태계 내의 데이터 흐름을 평가하고, microsoft 제품 약관과 데이터 처리 세부 정보를 검토하며, microsoft purview information protection과 같은 개인 정보 보호 통제를 사용하여 위험을 줄여야 합니다.

microsoft 365 copilot은 조직 데이터를 어떻게 사용하며, 어떤 데이터가 처리됩니까?

Microsoft 365 Copilot는 Microsoft 365 서비스에서 가져온 조직 데이터를 처리합니다. 여기에는 Microsoft Graph를 통해 색인된 콘텐츠와 Microsoft 365 서비스 경계 안에 저장된 데이터가 포함됩니다. 처리되는 데이터에는 응답을 생성하는 데 사용되는 사용자 데이터, 문서, 이메일, 메타데이터가 포함될 수 있습니다. Microsoft는 어떤 데이터가 처리되고 어떻게 사용되는지에 대한 문서를 제공합니다. 관리자는 설정을 구성하여 Copilot이 특정 원본에 접근하는 범위를 제한할 수 있으며, Microsoft Purview 데이터 분류를 적용해 민감한 데이터를 보호할 수 있습니다.

Copilot이 민감한 데이터를 노출할 수 있나요? 그리고 데이터 유출은 어떻게 막을 수 있나요?

네, Copilot은 해당 원본에 접근 권한이 있다면 민감한 데이터를 드러낼 수 있습니다. 데이터 유출을 막으려면 개인 정보 보호 컨트롤을 활성화하고, Microsoft Purview 정보 보호 레이블을 구현하고, 테넌트 구성을 통해 Copilot 범위를 제한해야 합니다. 또한 사용 가능한 경우 Microsoft 365 서비스 경계와 EU 데이터 경계 옵션을 적용하세요. Copilot 활동 로그를 정기적으로 모니터링하고, Copilot에 데이터를 공급하는 시스템에는 최소 권한 액세스를 적용해야 합니다.

개인 정보 보호 및 규정 준수 팀을 위해 Microsoft Copilot의 보안 위험을 설명하면 어떻게 될까요?

위험에는 규제 대상 정보의 우발적인 공개, 권한 없는 데이터의 테넌트 간 추론, 그리고 AI 기반 기능을 통한 새로운 공격 벡터가 포함됩니다. 규정 준수 팀은 Copilot 데이터 흐름을 일반 데이터 보호 규정(GDPR) 같은 규제 요건에 매핑하고, 필요한 경우 EU 데이터 경계 같은 데이터 상주 설정을 확인해야 합니다. 또한 Microsoft 제품 조건 및 데이터에 따른 처리 내용을 문서화하고, Microsoft 365 전반의 보안 및 규정 준수 도구를 사용해 보존, 액세스, 감사 정책을 시행해야 합니다.

사용자가 Microsoft Copilot을 사용할 수 있도록 하면서 보안 팀은 어떻게 Microsoft Copilot을 보호하나요?

보안 팀은 기술적 통제와 거버넌스를 결합해야 합니다. Copilot 액세스 정책을 구성하고, Microsoft Purview 정보 보호와 민감도 레이블을 통합하고, 조건부 액세스 및 ID 통제를 시행하며, Microsoft Graph를 통해 액세스되는 데이터를 감사해야 합니다. 최종 사용자에게는 Copilot 보안 문제에 대한 교육을 제공하고, Microsoft 365 내에 데이터 손실 방지 정책을 적용하며, 광범위하게 활성화하기 전에 통제된 환경에서 기능을 시범 운영하여 생산성과 보호의 균형을 맞춰야 합니다.

Microsoft 365 Copilot을 사용하면 Microsoft 365 Copilot의 취약성이 높아지나요, 아니면 새로운 공격 표면이 생기나요?

AI 도구를 도입하면 어떤 경우든 새로운 공격 표면과 보안 과제가 생깁니다. 자동 생성된 프롬프트가 맥락을 노출할 수 있고, 플러그인 통합으로 액세스 범위가 넓어질 수 있으며, 공격자가 프롬프트 인젝션을 시도하거나 생성된 출력을 통해 데이터를 유출할 수도 있습니다. 완화 방안으로는 통합 기능 강화, Copilot 텔레메트리 모니터링, 보안 개발 및 구성 방식 적용, 그리고 Microsoft 365 전반의 DLP, 액세스 통제, 위협 탐지 같은 보안 조치를 활용해 노출을 줄이는 것이 포함됩니다.

Microsoft Graph는 Copilot 보안에서 어떤 역할을 하며, 조직은 이를 어떻게 관리해야 하나요?

Microsoft Graph는 Copilot이 조직 데이터(메일, 파일, 일정 등)에 접근하는 주요 경로입니다. Microsoft Graph에 대한 권한 통제는 매우 중요합니다. 최소 권한 API 권한을 적용하고, 앱 동의를 검토하며, 애플리케이션 거버넌스를 활용하고, 토큰과 쿼리를 감사해야 합니다. Copilot의 범위를 꼭 필요한 데이터 원본으로만 제한하고, Microsoft Purview 및 Microsoft 365 서비스 경계 구성을 활용해 데이터 보호를 유지하고 권한 없는 데이터 액세스를 줄이세요.

규제 대상 데이터에 대해 개인 정보 보호 통제와 보안 및 개인 정보 보호 기능은 Copilot 보안 우려를 어떻게 줄일 수 있나요?

민감도 레이블, 암호화, 보존 정책, 액세스 거버넌스 같은 개인 정보 보호 통제는 Copilot이 규제 대상 정보를 처리하거나 노출하지 않도록 돕습니다. Microsoft Purview 정보 보호, Microsoft 365 전반의 데이터 손실 방지를 사용하고, 테넌트 수준의 Copilot 제한을 구성하세요. 이와 함께 Microsoft 제품 조건 및 데이터 처리에 대한 법무 및 계약 검토를 병행하고, 지역별 데이터 보호 의무를 충족하기 위해 필요한 경우 EU 데이터 경계 같은 경계 옵션을 선택하세요.