Microsoft Purview 규정 준수 점수 계산: 점수, 가중치, 기준선이 실제로 작동하는 방식

By Mirko Peters · 2026-10-23

Microsoft Purview Compliance Manager 점수 계산 방식을 쉽게 풀어 설명합니다. 개선 작업, 가중치, 점수, 기준선이 클라우드 보안 등급을 어떻게 결정하는지 알아봅니다.

Automatically translated with AI from the original post. Read the English original

Microsoft Purview 규정 준수 점수 계산 방식을 이해하면 IT 관리자와 클라우드 아키텍트가 추상적인 보안 등급을 측정 가능한 진척도로 바꿔 볼 수 있습니다. 개선 작업, 위험 가중치, 공동 책임 모델, 기본 기준선이 어떻게 결합되는지 살펴보면, 클라우드 구성을 의심하지 않고도 점수를 정확하게 해석할 수 있습니다.

핵심 요약

• 규정 준수 점수는 평가 전반에서 완료한 개선 작업으로 점수를 얻어 계산한 백분율입니다.
• 점수는 위험 가중치에 따라 부여되며, 영향이 큰 예방 기술 통제는 최대 27점을 받습니다.
• 기본 데이터 보호 기준선 평가는 모든 구독 수준에 포함되며, GDPR, NIST, ISO의 핵심 요구 사항에 매핑됩니다.
• 기술 작업 하나가 둘 이상의 규정 요구 사항을 충족하면 여러 평가에서 동시에 점수를 얻을 수 있습니다.
• 새로운 구성 변경 사항이 Microsoft Purview 대시보드에 반영되기까지 보통 약 24시간이 걸립니다.

경영진이 Microsoft Purview 포털에 로그인해 Compliance Manager 대시보드를 열면 가장 먼저 눈에 띄는 것은 크게 표시된 하나의 백분율입니다. 스프레드시트와 연간 감사에 익숙한 팀에게 이 숫자는 조직의 상태를 한눈에 보여 주는 지표입니다. 하지만 이 수치 뒤의 계산 방식은 종종 혼란을 줍니다. 인터페이스가 팀에 방해가 되지 않고 도움이 되도록 하려면, 점수가 어떻게 누적되고 가중치가 어떻게 부여되는지, 그리고 설정을 건드리지 않았는데도 점수가 왜 변하는지 이해해야 합니다.

규정 준수 점수의 구조

규정 준수 점수의 핵심은 비율입니다. 획득한 점수를 전체 가용 점수로 나눈 값을 백분율로 표시합니다. 조직이 개선 작업을 완료하거나 Microsoft가 공동 책임 모델에 따라 자신의 부분을 완료할 때마다 전체 점수에 점수가 더해집니다.

다만 전체 점수는 개별 평가 점수의 단순 평균이 아닙니다. 규정 준수 프레임워크는 서로 겹치는 경우가 많기 때문에, 기술적 조치 하나로 여러 규정의 요구 사항을 동시에 충족할 수 있습니다. GDPR 평가와 NIST 평가 모두에 해당하는 작업을 완료하면 두 프레임워크 모두에 점수가 반영될 수 있습니다. 따라서 평가를 더 많이 추적할수록, 동일한 보안 구성에 대해 전체 누적 점수가 더 높아질 수 있습니다.

위험 가중치: 예방 작업과 탐지 작업

모든 개선 작업의 중요도가 같지는 않습니다. Microsoft Purview는 각 작업이 위험을 완화하는 능력에 따라 가중치를 부여합니다. 이 가중치 체계는 자동화된 우선순위 지정 엔진 역할을 하여, 기술 팀이 가장 높은 보안 효과를 내는 활동에 집중하도록 안내합니다.

예방 조치, 즉 보안 설정 오류나 위협이 발생하기 전에 이를 차단하고 쉽게 우회할 수 없는 조치에 가장 높은 점수가 부여됩니다. 반면 탐지 조치는 이상 징후가 발생한 뒤 단순히 모니터링하거나 로그를 남기는 역할이므로 점수가 적습니다. 표준 템플릿 전반에서 가장 가치가 높은 조치는 최대 27점이며, 영향이 낮거나 문서 작업 위주의 과제는 1점에 그칠 수도 있습니다. 이 점수 체계를 이해하지 않으면 영향이 큰 기술 설정은 손대지 않은 채, 팀이 몇 주씩 가치가 낮은 관리 작업에 매달리게 될 수 있습니다.

데이터 보호 기준선의 역할

초보자가 가장 많이 혼란스러워하는 부분 중 하나는 사용자 지정 규칙을 구성하기도 전인 첫날부터 이미 점수가 존재한다는 점입니다. 이 초기 점수는 모든 Microsoft 365 구독 수준에 기본으로 포함된 평가인 데이터 보호 기준선에서 산출됩니다.

기준선은 NIST, ISO, FedRAMP, GDPR 등 전 세계적으로 인정받는 표준 및 규정의 기본 통제 항목을 가져옵니다. Compliance Manager는 기본 상태의 기존 테넌트 설정을 검사하여, 이미 기본으로 활성화되어 있는 기준선 보안 통제에 점수를 부여합니다. 따라서 조직은 빈 상태에서 시작하는 대신 즉시 활용할 수 있는 출발점을 갖게 됩니다.

공동 책임 모델과 자동 테스트

건강한 규정 준수 점수는 공동 책임 모델에 크게 의존합니다. Microsoft는 클라우드 인프라 보안의 상당 부분을 대신 담당하며, Compliance Manager는 이러한 백엔드 보호 조치에 대해 조직에 자동으로 점수를 반영합니다. 즉, 점수에는 Microsoft 클라우드 엔지니어링 팀과 내부 관리자가 함께 기여한 노력이 반영됩니다.

또한 많은 기술 조치에는 자동 테스트가 포함되어 있습니다. Compliance Manager는 수동 증빙이나 직접 작성한 메모를 요구하는 대신, Microsoft Secure Score와 Defender for Cloud에서 원격 측정 데이터를 직접 가져와 설정이 올바르게 유지되고 있는지 확인합니다. 자동 테스트는 반복적인 관리 부담을 줄여 주지만, 해당 항목에 대해서는 수동 편집이 잠깁니다. 즉, 관리 측면의 통제력을 일부 내어 주는 대신 지속적이고 자동화된 정확성을 얻는 셈입니다.

점수 업데이트는 즉시 나타나는 슬롯머신 결과가 아니라는 점을 기억하십시오. 새로운 보안 정책을 구현하거나 테넌트 설정을 변경한 경우, 시스템이 원격 측정 데이터를 처리하고 대시보드 상태를 업데이트하는 데 최대 24시간이 걸릴 수 있습니다.

결론

Microsoft Purview 규정 준수 점수 계산 방식을 익히면, 이 도구는 부담스러운 블랙박스에서 클라우드 보안을 위한 전략적 로드맵으로 바뀝니다. 점수, 위험 가중치, 기준선이 어떻게 상호작용하는지 이해하면 팀은 가치가 높은 과제에 우선순위를 두고, 이해관계자와 감사자에게도 진행 상황을 명확히 전달할 수 있습니다.

최신 Microsoft 365 관리와 거버넌스를 더 쉽게 다루는 방법을 더 깊이 알고 싶으신가요? 전체 에피소드를 들어보세요. Compliance Manager의 워크플로, 역할, 평가에 대한 전문 용어 없이 이해하기 쉬운 상세 설명을 확인할 수 있습니다.

자주 묻는 질문

Microsoft Purview Compliance Manager에서 점수는 어떻게 계산되나요?

점수는 평가 내에서 완료한 개선 조치마다 부여됩니다. 각 조치에는 예방, 탐지, 시정 중 어떤 보안 범위를 제공하는지에 따라 정해진 가중치(1점에서 27점까지)가 있습니다.

설정을 변경하지 않았는데 전체 규정 준수 점수가 바뀌는 이유는 무엇인가요?

새 평가를 추가하거나, 자동 테스트가 기본 통제의 검증 상태를 업데이트하거나, Microsoft가 테넌트에 연결된 공동 책임 통제를 업데이트하면 전체 점수가 변동될 수 있습니다.

하나의 구성 변경이 여러 규정 준수 평가에 영향을 주나요?

예. 기술 개선 조치 하나가 여러 활성 규제 템플릿(예: GDPR 및 ISO 27001)의 요구 사항을 충족하면, 해당 점수가 관련된 각 평가에 모두 반영되어 전체 점수를 효율적으로 높일 수 있습니다.

설정을 변경한 후 규정 준수 점수가 업데이트되기까지 얼마나 걸리나요?

구성 변경은 기술 환경에 즉시 반영되지만, Compliance Manager 대시보드와 점수는 업데이트된 상태를 처리하여 표시하는 데 일반적으로 최대 24시간이 걸릴 수 있습니다.