Copilot 권한 모델 자세히 알아보기

By Mirko Peters · 2026-03-18 · Updated 2026-03-24

AI로 Microsoft 365 Copilot의 데이터를 보호하세요. Copilot 사용을 위한 액세스 권한을 구성하고 관리하는 방법을 알아봅니다. 테넌트에서 AI 모델의 액세스를 제어하세요.

Automatically translated with AI from the original post. Read the English original

비즈니스를 운영하거나 조직의 IT를 관리한다면 Microsoft 365 Copilot의 권한이 어떻게 작동하는지 이해하는 것이 매우 중요합니다. Copilot은 단순한 AI 추가 기능이 아니라 Microsoft 365 생태계 전체에 통합되어 문서, 이메일, 채팅 등에 접근합니다. 따라서 누가 무엇에 접근할 수 있는지, 데이터가 어떻게 안전하게 보호되는지, 그리고 규정 준수 요건을 어떻게 충족하는지 정확히 알아야 합니다.

이 가이드에서는 핵심 영역을 다룹니다. Copilot의 보안 모델과 역할 관리부터 데이터 보호 및 감사 전략까지 살펴봅니다. Copilot 배포를 담당하든 규정 준수 팀을 만족시켜야 하든, 보안, 액세스 제어, 규제 요건, 확장성에 대한 실용적인 인사이트를 얻을 수 있습니다. 목표는 Copilot 배포가 강력하면서도 적절히 거버넌스되도록 하여 상황을 제대로 파악한 상태로 운영하는 것입니다.

• 기본 액세스 범위가 예상보다 넓게 느껴질 수 있습니다. Copilot 통합 기능은 개별 파일에만 국한되지 않고 코드베이스 전반에서 인라인 제안을 제공할 수 있도록 리포지토리 수준의 범위를 요청하는 경우가 많습니다.
• 권한은 계층적으로 적용됩니다. 사용자 수준의 동의, 조직 정책, 리포지토리 설정이 모두 Copilot의 액세스 범위에 영향을 줄 수 있으므로 다계층 제어 모델이 형성됩니다.
• 세분화된 토큰의 사용이 늘고 있습니다. 최신 Copilot 배포에서는 장기 유효 키 대신 수명이 짧고 범위가 세밀하게 제한된 토큰을 활용할 수 있으며, 이를 통해 자격 증명이 유출되더라도 피해 범위를 줄일 수 있습니다.
• 일부 권한 변경은 자동화할 수 있습니다. 관리자 정책으로 팀이나 리포지토리별 확장 프로그램 액세스를 자동 승인하거나 자동 거부할 수 있어, 앱 요청마다 수동으로 개입하지 않고도 규칙을 시행할 수 있습니다.
• 감사 가능성은 많은 사람의 예상보다 뛰어납니다. 상세 로그를 통해 어떤 제안이 생성되었는지, 어떤 리포지토리가 참조되었는지 확인할 수 있어 규정 준수 점검과 보안 사고 조사에 활용할 수 있습니다.
• 특정 환경에서는 일시적인 권한 상승이 가능합니다. 조직은 진단이나 고급 기능을 위해 시간이 제한된 상승 액세스를 구성할 수 있으며, 기간이 끝나면 권한이 자동으로 원래대로 돌아갑니다.
• 데이터 흐름 및 학습은 리포지토리에 대한 직접 쓰기와 분리되어 있습니다. Copilot의 제안 생성은 원격 분석 데이터와 메타데이터를 사용할 수 있지만, 쓰기 작업은 동일한 GitHub 권한 모델로 계속 통제됩니다. 명시적으로 허용하지 않는 한 제안이 자동 커밋으로 이어지지는 않습니다.

Microsoft 365 Copilot 보안 기능 개요

Microsoft 365 환경에 Copilot을 도입하면 회사 데이터를 확인할 수 있는 AI에 문을 열어주는 셈입니다. 그렇다고 열쇠를 낯선 사람에게 넘기는 것은 아닙니다. Copilot의 보안 기능은 엔터프라이즈 가치의 핵심이며, 여러 계층의 보호 장치를 통해 신뢰할 수 있는 올바른 사용자만 Copilot을 활성화하고, 그들이 볼 권한이 있는 데이터에만 접근하도록 합니다.

Copilot의 보안은 Microsoft Entra ID, 조건부 액세스 정책, 다단계 인증과 같은 최신 인증 프레임워크와 긴밀하게 통합됩니다. 이들은 함께 작동하여 Copilot에 정보를 요청하는 사용자가 실제로 그럴 권한이 있는지 확인합니다. 핵심은 팀이 정보 공유와 인사이트 활용을 유연하게 할 수 있도록 하면서도 정보의 기밀성과 무결성을 희생하지 않는 것입니다. 최종 목표는 안전하고 효율적인 업무 흐름이며, 모든 Copilot 작업이 엔터프라이즈 규정 준수를 위해 추적, 모니터링, 관리되도록 하는 것입니다.

이 보안 계층이 중요한 이유는 단순히 위협을 차단하기 위해서가 아닙니다. 감사 담당자와 위험 관리 책임자가 편히 잘 수 있도록 하면서 팀이 더 빠르게 일하도록 돕기 위해서입니다. 최소 권한 원칙 적용, DLP, 모니터링이 어떻게 결합되는지 더 자세히 알고 싶다면 실행 가능한 전략을 다룬 Copilot 보안 및 규정 준수 거버넌스 글을 권장합니다. 거버넌스에 관심이 많다면 정책과 배포 정렬에 관한 내용은 Copilot 거버넌스 정책 모범 사례에서 확인할 수 있습니다.

Copilot 보안 및 인증 메커니즘 이해하기

Microsoft 365 Copilot은 환경에서 이미 사용 중인 핵심 인증 프로세스를 기반으로 동작하며, 여기에는 Microsoft Entra ID(이전 명칭 Azure AD)가 포함됩니다. 모든 Copilot 세션은 사용자 인증으로 시작됩니다. 사용자 이름과 암호를 확인하고, 대부분의 경우 전화 코드나 보안 앱 같은 추가 확인 단계도 거칩니다. 이것이 다단계 인증(MFA)입니다. 이 단계에서 대부분의 기본적인 공격은 애초에 문턱을 넘지 못합니다.

다음으로 Copilot은 조건부 액세스를 활용합니다. 조건부 액세스는 디바이스 상태, 사용자 위험 프로필, 로그인 시도가 발생한 실제 위치 같은 요소를 고려하는 규칙 집합입니다. 적응형 인증에서는 권한이 단순히 "허용 또는 거부"로 결정되지 않고 상황에 따라 조정됩니다. 예를 들어 누군가 의심스러운 위치에서 Copilot을 사용하려 하면 액세스가 차단되거나 추가 확인을 요구받을 수 있습니다.

Copilot은 더 넓은 Microsoft 365 보안 스택과 연동되어 Microsoft Defender, Purview, 감사 로그 같은 기능과 통합됩니다. 이를 통해 액세스가 승인된 사용자로 엄격히 제한될 뿐 아니라, Copilot을 통한 활동도 모니터링되고 기록됩니다. 이러한 통합 덕분에 정책을 구성하고, 이상 징후가 감지되면 알림을 설정할 수 있습니다.

Defender의 위협 보호와 Purview 기반 제어를 함께 활용하는 실질적인 방법을 알고 싶다면 이 Microsoft 365 보안 가이드를 검토해 볼 만합니다. 조건부 액세스와 확장 가능한 ID 거버넌스를 더 깊이 살펴보려면 여기서 공유된 관점인 Entra ID 조건부 액세스 보안 루프를 확인해 보시기 바랍니다.

역할 기반 액세스 제어와 Copilot 권한

역할과 권한은 Copilot의 지도와 나침반과 같습니다. 데이터 환경 안에서 누가 어디에 들어갈 수 있고 무엇을 할 수 있는지를 결정하기 때문입니다. Microsoft 365 Copilot에서는 모든 것이 역할 기반 액세스 제어(RBAC)를 중심으로 돌아갑니다. 즉, 올바른 직무 역할과 보안 권한을 가진 사용자만 특정 Copilot 기능을 사용할 수 있으며, 그 사용도 본인이 접근해도 되는 데이터에 한정됩니다.

잘 설계된 역할 구성은 데이터를 보호할 뿐 아니라 회사 정책과 규제 요구사항에도 부합합니다. 비즈니스 necessity에 따라 역할을 정의한 다음 권한을 구성하여 민감한 콘텐츠에 누가 접근할 수 있는지, 특정 유형의 프롬프트를 누가 실행할 수 있는지, 연동된 앱에 누가 연결할 수 있는지를 세밀하게 조정합니다. 읽기 전용부터 전체 편집 또는 관리자 수준까지 액세스 수준을 단계별로 나누면 불필요한 데이터 노출을 줄이고 최소 권한 원칙을 적용하는 데 도움이 됩니다.

규제 환경을 헤쳐 나가야 하는 조직이나, 과도한 권한 부여 위험이 걱정되는 조직이라면 전략은 분명합니다. 첫날부터 역할 할당을 엄격하게 관리하는 것입니다. Copilot과 AI 에이전트를 위한 더 깊은 거버넌스 전략은 책임 있는 AI 정책과 거버넌스 보드를 위한 모범 사례에서 살펴볼 수 있습니다. 또는 여기에 정리된 제어 플레인 아키텍처를 보려면 거버넌스를 통한 AI 에이전트 보안을 참고해 보시기 바랍니다.

Copilot의 세분화된 권한 제어와 액세스 범위

Copilot의 똑똑함과 안전성은 설정한 권한에 따라 결정됩니다. 세분화된 권한 제어는 액세스를 세부 수준까지 나눕니다. "이 사용자가 CRM에 접근할 수 있는가?"에서 그치지 않고 "CRM 안의 특정 레코드나 필드를 볼 수 있는가?"까지 제어하는 것입니다. 이는 읽기나 쓰기만의 문제가 아니라, Copilot이 검색, 요약, 편집할 수 있는 데이터의 정확한 범위를 통제하는 일입니다. 이 범위는 Dynamics 365나 Salesforce 같은 시스템에 이미 설정된 백엔드 권한을 그대로 반영합니다.

IT 관리자에게 최소 권한 액세스를 구현한다는 것은 각 역할에 필요한 만큼만 Copilot의 권한을 제한하는 정책을 만드는 것을 의미합니다. 더도 덜도 아닌 정확한 수준입니다. 권한은 문서 라이브러리부터 SharePoint 사이트 전체까지 모든 범위에 적용되며, 스마트 매핑을 통해 상황에 맞는 액세스가 보장됩니다. Copilot은 사용자 본인의 권한으로 이미 접근이 허용된 데이터 이상에는 절대 도달하지 못합니다. 따라서 예상치 못한 문제나 그림자 데이터 유출의 위험을 걱정할 필요가 없습니다.

필드 수준 보안이란, 예를 들어 직원이 HR 시스템에서 급여 정보를 볼 수 없는 경우 누군가 그 세부 정보를 요청하더라도 Copilot이 해당 수치를 보여주지 않는다는 뜻입니다. 역할 상속과 컨텍스트 매핑을 통해 Copilot의 작업이 언제나 사용자 액세스 권한과 정확히 일치하도록 보장되며, 여러 앱을 넘나들거나 컨텍스트를 바꾼다고 해서 권한이 늘어나는 일은 없습니다.

거버넌스를 강화하거나 사용자를 교육하고 싶다면 중앙 집중식 Copilot 학습 센터를 참고하거나, 이 상세한 거버넌스 분석을 통해 데이터 액세스와 소유권이 적절한 Copilot 거버넌스로 이어지는 방식을 살펴보시기 바랍니다.

Microsoft Purview 및 데이터 거버넌스 통합

Microsoft Purview는 Copilot 데이터 거버넌스의 핵심 역할을 합니다. Copilot이 수행하는 모든 작업을 기록하는 운영 센터라고 생각하시면 됩니다. Copilot 사용이 규정 준수 기준 안에서 이루어지도록 보장합니다. Purview를 Copilot과 통합하면 조직은 누가 AI를 사용하든 데이터를 따라가는 정책을 정의하고 시행할 수 있습니다.

Purview를 사용하면 Copilot이 어떤 데이터에 접근하는지 정확히 확인할 수 있으므로 규제 준수를 입증하고, 감사가 들이닥치기 훨씬 전에 취약점을 찾아낼 수 있습니다. Purview의 데이터 손실 방지(DLP) 정책, 민감도 레이블, 액세스 제어는 Copilot과 함께 작동하여 AI가 접근해서는 안 되는 영역에 손대지 못하도록 합니다. 기밀 데이터나 규제가 엄격한 데이터를 다루는 조직에게는 매우 중요한 점검 지점입니다.

이러한 제어를 설정하는 일은 몇 번의 클릭으로 끝나지 않습니다. 정책은 조직 고유의 위험 프로필을 반영하여 민감한 정보와 일상적인 업무 정보를 구분해야 합니다. 고급 Copilot 에이전트 거버넌스를 직접 실습하고 싶다면 Purview가 Copilot과 Power Platform을 보호하는 방법을 확인해 보십시오. 감사 로그의 작동 방식도 이해해 두시면 좋은데, 실용적인 가이드는 여기 있습니다: 사용자 활동에 대한 Microsoft Purview 감사.

Copilot의 데이터 개인정보 보호 및 규제 준수

금융, 의료 또는 사실상 규제를 받는 모든 분야에 계신다면, 데이터 개인정보 보호가 선택 사항이 아니라는 것을 이미 잘 아실 것입니다. Copilot은 GDPR이나 HIPAA와 같은 엄격한 표준을 준수하도록 설계되었으므로, 조직은 사용자의 개인정보, 법적 권리, 규제 경계를 존중하면서도 AI 기반 생산성을 활용할 수 있습니다.

핵심은 투명성과 통제입니다. Microsoft는 Copilot이 데이터를 저장, 처리, 관리하는 방식에 대한 명확한 프레임워크를 제공합니다. 여기에는 데이터 최소화, 강력한 암호화, 그리고 EU와 미국 규정 모두에 부합하는 민감 데이터 처리가 포함됩니다. 또한 데이터가 어디에 저장되는지 확인하는 것도 중요합니다. 현지 데이터 저장을 요구하거나 국경 간 전송을 제한하는 법률이 적용되는 글로벌 기업에게는 특히 중요한 부분입니다.

Microsoft의 접근 방식은 정책, 계약, 기술적 시행을 결합한 것으로, 컴플라이언스 담당자와 개인정보 보호 책임자가 올바르게 하고 있다고 말만 하는 것이 아니라 입증할 수 있도록 필요한 도구를 제공합니다. 실제 환경에서 컴플라이언스가 어떻게 어긋날 수 있는지(그리고 이를 어떻게 처리하는지)를 더 자세히 알아보려면 Microsoft 365의 컴플라이언스 드리프트에 관한 이 에피소드를 살펴보십시오. 또한 분석과 Copilot에서 통합 데이터 아키텍처를 최대한 활용하려면 Microsoft Fabric이 데이터 거버넌스와 AI를 통합하는 방식을 확인해 보시기 바랍니다.

Microsoft 365 Copilot의 데이터 개인정보 보호, GDPR 및 HIPAA

Microsoft 365 Copilot은 처음부터 GDPR, HIPAA와 같은 엄격한 규제 표준을 충족하도록 설계되어, 사용자의 개인 정보와 민감한 데이터를 안전하게 보호합니다. Microsoft는 데이터 처리 계약에서 강력한 약속을 하며, Copilot이 정보를 저장, 처리 또는 공유하는 방식을 엄격하게 제한합니다. Copilot의 모든 데이터 처리는 Microsoft의 안전한 클라우드 인프라 내에서 이루어지며, 전송 중과 저장 시 모두 강력한 암호화가 적용됩니다.

사용 권한 관리(User rights management)는 핵심 기능입니다. 조직은 이를 통해 '잊힐 권리'와 같은 정보 주체의 요청에 대응하고, 접근을 통제하며, 규제 요건에 맞춰 권한을 중앙에서 철회하거나 변경할 수 있습니다. Copilot은 기존 민감도 레이블, DLP 정책, 테넌트 측 데이터 분류를 준수하므로, AI 기반 작업은 항상 조직의 규정 준수 설정에 맞춰 수행됩니다. Copilot의 모든 작업은 로그로 기록되며, 별도로 명시적 구성을 하지 않는 한 Copilot이 처리하는 모든 데이터는 Microsoft 365 경계 안에 머무릅니다.

DLP를 구현하거나 Power Platform 자동화에서 커넥터 사용을 엄격하게 적용하려는 경우, DLP 정책을 관리하는 개발자를 위한 이 가이드가 도움이 될 수 있습니다. Microsoft 365에서 DLP를 설정하는 방법과 Copilot의 생산성 이점을 단계별로 알아보려면 Microsoft 365에서 DLP를 설정하는 방법을 참고하십시오.

데이터 거주성 및 주권 고려 사항

Copilot은 Microsoft 365의 데이터 거주성 및 주권 약속을 따릅니다. 즉, 조직의 규제 또는 비즈니스 요건에 따라 지정한 지역이나 국가 안에 데이터가 머무릅니다. EU 데이터 경계 준수가 필요하든 현지 저장 법규를 충족해야 하든, Copilot은 민감한 콘텐츠가 허가되지 않은 지역으로 넘어가지 않도록 보장합니다.

글로벌 기업이나 규제가 엄격한 산업에 속한 조직의 경우, Copilot의 데이터 지역화 방식은 데이터 처리 및 보존과 관련된 법적 의무를 충족하는 데 도움이 됩니다. 구조와 권한 경계를 시행하기 위한 실질적인 거버넌스 전략은 이 SharePoint AI 거버넌스 가이드에서 다룹니다.

Copilot이 조직 데이터에 접근하고 보호하는 방식

Copilot은 Microsoft Graph API를 통해 조직 데이터에 접근합니다. Microsoft Graph API는 Exchange, SharePoint, Teams 등 Microsoft 365 워크로드를 연결하는 핵심 연결 고리입니다. 하지만 Copilot은 사용자 본인이 이미 접근할 수 없는 정보는 볼 수 없습니다. 따라서 현재의 권한 모델, 민감도 레이블, 액세스 검토가 Copilot 기반의 모든 작업을 둘러싼 보안 경계를 형성합니다.

모든 Copilot 쿼리는 강력한 데이터 보안 프로토콜을 거쳐 필터링되며, 사용자 역할, 세션 상태, 디바이스 컨텍스트를 실시간으로 평가합니다. 이 방식은 AI 기능이 대규모로 사용되는 경우에도 승인되지 않은 요청을 차단하고 데이터 유출 위험을 줄입니다. 모든 데이터 전송은 암호화되며, 각 작업이 허용되기 전에 just-in-time 권한이 확인됩니다.

데이터 흐름을 추적하고 검토하는 능력, 즉 누가 Copilot에 무엇을 언제 요청했는지 파악하는 능력은 규정 준수를 검증하고 사고를 신속하게 해결하는 데 필요한 가시성을 제공합니다. 데이터 액세스 거버넌스, 검토, 민감도 레이블링 모범 사례를 더 자세히 알아보려면 소유권 및 거버넌스 분석을 참고하십시오. Azure 환경을 사용하고 있다면, 정책과 RBAC를 통한 거버넌스가 대규모 엔터프라이즈 클라우드에 어떻게 적용되는지 Azure 엔터프라이즈 거버넌스 전략에서 확인할 수 있습니다.

Copilot의 민감한 데이터 처리 및 보호

재무 기록, 건강 정보, 법률 문서와 같은 민감한 데이터를 보호하는 것은 Copilot 설계의 핵심입니다. 사용자가 Copilot과 상호 작용하면, 기본 제공 민감도 레이블과 DLP 정책이 자동으로 이 데이터를 표시하고, AI 응답에서 이 데이터가 사용, 공유, 노출되는 방식을 제한합니다.

Microsoft는 여러 계층에서 데이터 분류를 시행하여 Copilot 출력에서 기밀 자료가 노출되거나 오용되지 않도록 합니다. 정책 제어를 통해 관리자는 Copilot이 접근해도 "안전"한 콘텐츠가 무엇인지 정의할 수 있습니다. DLP 설정을 명확히 하거나 데이터 분류 전략을 설계하려면 이 Power Platform DLP 정책 빌더에서 지침을 찾을 수 있습니다.

Copilot의 ID 기반 권한 부여 및 조건부 액세스

ID 기반 권한 부여란 Copilot 액세스가 항상 실제로 확인된 사용자에게 직접 연결되어 있다는 뜻입니다. 보안의 빈틈을 타고 들어오는 미확인 사용자는 없습니다. Microsoft Entra ID를 기반으로 모든 Copilot 요청은 액세스가 허용되기 전에 사용자 ID, 역할, 상황별 위험 평가에 따라 검사됩니다.

조건부 액세스 정책을 사용하면 디바이스 규정 준수 여부, 위치, 로그인 위험, 세션 상태를 기준으로 규칙을 설정할 수 있습니다. Copilot을 관리되는 디바이스에서만 사용하도록 하거나 특정 시간대에만 사용하도록 설정하고 싶으신가요? 어렵지 않습니다. 이러한 규칙에는 암호 이상으로 사용자 본인임을 증명하도록 요구하는 다단계 인증(MFA) 같은 계층형 요구 사항을 포함할 수 있습니다. 이러한 적응형 접근 방식은 정상적인 사용자에게 불편을 주지 않으면서 변화하는 위협에 대응합니다.

조건부 액세스를 제대로 구현한 조직은 더 강력한 보안 경계와 더 원활한 최종 사용자 경험을 모두 얻습니다. 지나치게 광범위한 예외 설정으로 생기는 허점이 고민이거나 지속적인 모니터링에 대해 알고 싶으시다면 조건부 액세스 신뢰 문제에 대한 이 가이드를 살펴볼 만합니다. 정책이 무분별하게 늘어나거나 레거시 ID 부채로 어려움을 겪고 계시다면 Entra ID 조건부 액세스 해결 및 보안 강화에 대한 실용적인 조언을 확인해 보시기 바랍니다.

Copilot 권한 사용 감사 및 모니터링

Copilot 권한 사용에 대한 감사와 모니터링은 단순한 규정 준수 체크리스트가 아닙니다. 과도한 권한이 부여된 액세스를 찾아내고, 실제 위험으로 번지기 전에 비정상적인 동작을 포착하는 수단입니다. Microsoft 365는 모든 Copilot 세션에 대한 로그를 제공하여 누가, 어떤 데이터를, 언제, 어떻게 사용했는지 자세히 보여줍니다.

Microsoft Purview 감사를 사용하면 특정 사용자 작업 단위까지 Copilot의 데이터 액세스를 추적하고, 규제 기관 제출이나 내부 검토를 위한 보고서를 신속하게 생성할 수 있습니다. 프리미엄 감사 기능은 보존 기간을 더 늘리고, 이상 징후 탐지를 개선하며, 정책 위반에 대한 경고를 제공합니다. 규제가 엄격한 환경이나 대기업에서 특히 중요한 기능입니다.

지속적인 모니터링을 통해 IT 및 보안 팀은 오용을 시사할 수 있는 패턴을 식별할 수 있습니다. 예를 들어 누군가 Copilot을 통해 갑자기 대량의 민감한 파일을 다운로드하려는 경우가 이에 해당합니다. 사용자 활동 감사에 대한 실무 조언이 필요하다면 Microsoft Purview로 사용자 활동을 감사하는 방법을 참고하십시오. ERP 또는 플랫폼 통합에 대한 감사 가능성이 필요하다면 시스템 수준의 감사 가능성과 규정 준수에 대한 이 분석에서 얻은 인사이트가 접근 방식을 더욱 완성해 줄 것입니다.

고급 Copilot 기능: Promptbooks, 플러그인 및 확장성

Microsoft 365 Copilot의 차별점은 내장 AI뿐만 아니라, Promptbooks, 플러그인, 그리고 비즈니스 애플리케이션 전반의 통합을 통해 기능을 확장할 수 있다는 점입니다. Promptbooks는 응답을 표준화하고 모범 사례를 공유하는 데 도움이 되며, 플러그인을 사용하면 Copilot이 Microsoft 365 외부 시스템의 데이터를 가져오거나 워크플로를 실행할 수 있습니다.

확장성은 양날의 검입니다. 생산성은 크게 향상되지만 거버넌스도 꾸준히 관리해야 합니다. 노트북과 파생 AI 콘텐츠에는 상속된 민감도 레이블과 제한된 공유 정책이 적용되어야 합니다. 그렇지 않으면 추적되지 않는 정보가 쌓인 "섀도 데이터 레이크"가 생길 수 있습니다. 기본 정책, 기간 제한, 검토 게이트는 안전하게 운영하기 위한 실용적인 도구입니다.

Copilot 기능이 새로 출시되면서 거버넌스에 어려움을 겪고 있다면 Copilot Notebooks의 거버넌스 위험을 다룬 이 분석에서 위험 완화와 AI 에이전트 제어에 대한 솔직한 이야기를 찾을 수 있습니다. 섀도 자동화가 정책을 앞지를 때는 실용적인 48시간 프레임워크로 통제력을 되찾는 방법을 확인해 보십시오: Agentageddon: Agents Outpacing Governance

액세스 권한 및 Copilot 관리자: 관리자를 위한 추가 리소스

Copilot 권한 모델이란 무엇이며, Microsoft 365 테넌트 내에서 어떻게 작동합니까?

코파일럿 권한 모델은 Microsoft 365 테넌트에서 Microsoft Copilot 에이전트가 데이터와 서비스에 접근하는 방식을 정의합니다. 코파일럿이 사용하는 데이터 액세스 제어와 그 기반이 되는 데이터 액세스 통제를 세밀하게 제공하여, 데이터가 구성된 액세스 권한과 기본 통제 설정에 따라서만 처리되도록 합니다. 관리자는 역할 기반 설정, 보기 권한, 테넌트 수준 정책으로 액세스를 관리할 수 있으며, 이를 통해 코파일럿 응답이 OneDrive, SharePoint 등 허용된 데이터 소스와 통합된 다른 Microsoft 365 서비스에서만 생성되도록 하고, 사용자 간에 데이터가 의도치 않게 유출되는 것을 방지합니다.

Microsoft Copilot의 액세스와 사용자 권한은 어떻게 관리하나요?

액세스와 사용자 권한을 관리하려면 코파일럿 관리자가 Microsoft 365 테넌트에서 역할과 정책을 구성하여, 어떤 사용자와 그룹이 코파일럿 기능을 사용할 수 있는지 통제해야 합니다. 여기에는 데이터 소스에 대한 액세스 권한 부여 또는 취소, 보기 권한 설정, 그리고 코파일럿 사용을 효과적으로 관리하기 위한 Microsoft Learn 및 관리 센터의 도구 활용이 포함됩니다. 또한 API와 테넌트 수준 설정을 사용해 권한 변경을 자동화하고, 기존 ID 및 액세스 관리 시스템과 통합할 수도 있습니다.

코파일럿이 사용하는 데이터 액세스 통제는 무엇이며, 이것이 개인정보를 어떻게 보호하나요?

코파일럿은 사용되는 데이터 액세스 통제와 그 기반이 되는 데이터 액세스 통제를 조합해 사용합니다. 여기에는 역할 기반 액세스, 데이터 상주 위치 설정, 문서 수준 권한 등이 포함됩니다. 코파일럿은 사용자가 이미 볼 권한이 있는 데이터만 표시하며, Microsoft 365 테넌트 내의 모델도 기존 액세스 권한과 개인정보 보호 정책 설정을 그대로 따릅니다. 이러한 조치는 보안 업데이트 및 모니터링과 함께 민감한 콘텐츠의 노출을 제한하고, EU AI 법과 같은 규제 요건을 충족하는 데 도움이 됩니다.

코파일럿이 외부 데이터 소스에 액세스할 수 있나요? 그러면 그 권한은 어떻게 처리되나요?

코파일럿은 외부 데이터 소스에 액세스하도록 구성할 수 있지만, 이러한 액세스는 관리자가 명시적으로 허용해야 합니다. 외부 데이터 소스 및 API와의 연결은 테넌트 정책과 커넥터의 승인 방식을 설명하는 추가 리소스에 따라 관리됩니다. 관리자는 개인정보 보호 정책에 미치는 영향을 검토하고, 보안 및 개인정보 보호 통제가 적용되었는지 확인해야 합니다. 또한 외부 콘텐츠를 참조할 수 있는 코파일럿의 응답 생성 방식을 모니터링하여, 학습 데이터와 외부 입력이 조직의 규칙에 따라 처리되도록 해야 합니다.

코파일럿 권한 모델은 어떻게 코파일럿 응답이 사용자 간에 의도치 않게 유출되는 것을 방지하나요?

권한 모델은 보기 권한과 테넌트별 통제를 적용하여 각 사용자의 컨텍스트를 분리하므로, 코파일럿은 각 개인이 볼 수 있도록 허용된 데이터만 표시합니다. Microsoft 365의 에이전트는 사용자 ID와 그룹 구성원 자격에 연결된 액세스 범위 안에서 작동하며, 로그와 감사 기능은 잠재적인 유출을 탐지하고 조치하는 데 도움을 줍니다. 이러한 보호 기능은 LLM 및 분류기 구성 요소의 안전장치와 결합되어, 한 사용자의 콘텐츠와 컨텍스트가 다른 사용자의 코파일럿 응답에 나타날 위험을 줄입니다.

코파일럿 관리자는 보안 업데이트와 기술 지원과 관련하여 어떤 책임을 지나요?

코파일럿 관리자는 보안 업데이트를 적용하고, 액세스 권한을 정기적으로 검토하며, 기술 지원을 위해 Microsoft Learn과 지원 채널의 지침을 따라야 합니다. 또한 코파일럿 사용자를 주기적으로 검토하는 정책을 시행하고, Microsoft 365 서비스와의 통합이 안전한지 확인하며, 적용된 데이터 액세스 통제에 대한 문서를 유지해야 합니다. 문제가 발생하면 관리자는 Microsoft 기술 지원팀과 협력하고 권장 사례를 따라 규정 준수와 운영 연속성을 유지해야 합니다.

코파일럿은 데이터를 어떻게 처리하며, 학습 데이터와 AI 모델에 대해 무엇을 알아야 하나요?

각 개인이 상호 작용하는 데이터는 코파일럿 응답을 생성하기 위해 AI 모델이 일시적으로 사용할 수 있습니다. Microsoft는 데이터가 어떻게 처리되는지, 그리고 모델 학습에 사용되는지 여부에 대한 문서를 제공합니다. 관리자는 즉각적인 응답 생성에 사용되는 데이터와 장기적인 학습에 사용되는 데이터의 차이를 이해해야 하며, 개인정보 보호 정책이나 규제 요건에 따라 학습 데이터 사용을 제한해야 하는 경우 이를 설정해야 합니다. LLM의 동작과 데이터 처리에 관한 자세한 내용은 Microsoft Learn과 거버넌스 가이드를 참고하세요.

기본 권한 모델의 변경이 필요한 Microsoft 365 Copilot의 사용 사례와 시나리오는 무엇인가요?

일부 Microsoft 365 Copilot 사용 사례(예: 조직 전체를 대상으로 하는 copilot, 여러 데이터 소스를 통합하는 copilot, 새로운 copilot 배포)에서는 사용자 지정 권한 구성이 필요할 수 있습니다. 예를 들어, HR 데이터나 외부 API를 통합하는 copilot 에이전트에는 추가 제어 기능, 분류자 규칙 또는 더 엄격한 테넌트 수준 정책이 필요할 수 있습니다. 관리자는 각 시나리오를 규제 요구 사항에 비추어 평가하고, OneDrive 및 SharePoint와 같은 민감한 데이터에 승인된 사용자만 접근하도록 보장하며, 보안 및 개인 정보 보호 프레임워크에 모든 예외 사항을 문서화해야 합니다.

copilot 권한 모델을 구현하기 위한 추가 리소스, 문서 및 모범 사례는 어디에서 찾을 수 있습니까?

추가 리소스로는 Microsoft Learn, Microsoft 365 관리 센터 문서, 그리고 Microsoft Copilot 및 생성형 AI 거버넌스 지침이 있습니다. 이러한 리소스는 액세스 관리 방법, copilot 관리자 구성 방법, copilot을 Microsoft 365 서비스에 통합하는 방법, 세분화된 제어를 위한 API 구현 방법을 다룹니다. 직접적인 도움이 필요하면 Microsoft 기술 지원팀에 문의하고, 보안 업데이트와 규정 준수 자료를 검토하여 copilot 구현이 조직 및 규제 요구 사항을 충족하는지 확인하십시오.