WEBVTT

00:00:00.000 --> 00:00:07.900
마이크로소프트 365, 코파일럿, AI, 에이저, 그리고 일의 미래를 만들어가는 사람들과 함께하는 10일간의 여정을 준비되셨나요?

00:00:08.300 --> 00:00:11.960
이번 1월, M365 컨이더 커진 규모로 돌아옵니다.

00:00:12.380 --> 00:00:18.660
전세계 MVP와 업계 전문가들이 전하는 라이브 세션, 실전 데모, 그리고 실무 지식을 만나보세요.

00:00:18.880 --> 00:00:21.360
뻔한 슬라이드나 끝없는 유행원은 없습니다.

00:00:21.740 --> 00:00:29.280
코파일럿 스튜디오, AI 에이전트, 패브릭, 보안, 거버넌스, 자동화 등 실질적인 과제들을 다룹니다.

00:00:29.280 --> 00:00:35.220
IT 전문가, 개발자, 비즈니스 리더 등 각자에게 맞는 맞춤형 세션이 준비되어 있습니다.

00:00:35.640 --> 00:00:40.120
10일 동안 다양한 기술을 탐구하고 글로벌 커뮤니티와 연결될 수 있습니다.

00:00:40.520 --> 00:00:44.400
라이브로 시청하고 실질적인 인사이트를 조직에 바로 적용해보세요.

00:00:44.660 --> 00:00:49.500
2027년 1월, 10일간의 여정, 하나의 마이크로소프트 커뮤니티가 여러분을 기다립니다.

00:00:49.780 --> 00:00:51.080
지금 바로 등록하세요.

00:00:51.840 --> 00:00:55.800
M365 COM.NET에 접속하여 오늘 바로 자리를 확보하세요.

00:00:55.800 --> 00:00:59.100
다시 한번 M365 COM.NET입니다.

00:00:59.280 --> 00:01:04.560
M365 COM.NET에서 지금 등록하고 1월에 라이브로 만나요.

00:01:04.820 --> 00:01:09.000
코파일럿 이 권한이 있는 정보만 보여줄 거라 생각하신다면 다시 생각해보셔야 합니다.

00:01:09.220 --> 00:01:14.020
그래프 권한 설정 하나만 잘못되어도 AI 가규정 준수팀이 허가하지 않은 데이터까지 노출할 수 있습니다.

00:01:14.240 --> 00:01:17.600
더 무서운 점은 이런 일이 벌어지고 있다는 사실 조차 깨닫지 못할 수 있다는 것입니다.

00:01:17.600 --> 00:01:25.340
이번 영상에서는 관리되지 않은 코파일럿 액세스의 실질적인 위험과 민감한 파일, 재무 스프레드 시트, 기밀 고객 데이터가 유출되는 과정을 다룹니다.

00:01:25.340 --> 00:01:33.840
또한 업무 생산성을 저해하지 않으면 서 그래프 권한, DLP 정책, 퍼별을 사용하여 이를 안전하게 차단하는 방법을 알려드립니다.

00:01:33.840 --> 00:01:51.080
코파일럿 이 너무 많은 정보를 알게 되면 신입사원이 지난 분기 프로젝트 검토 노트를 요청했을 때 자신의 회의 요약이 아니라 전략 결정, 예산 삭감, 그리고 절대 알면 안 되는 이름이 포함된 비공개 이사회 회의록이 나올 수 있습니다.

00:01:51.900 --> 00:01:57.700
치매 경고도 DLP 알림도 없이 AI 가건들여 선 안 될 문서를 조용히 넘겨주는 셈입니다.

00:01:57.700 --> 00:02:03.080
이런 일이 발생하는 이유는 코파일럿 이 단순히 사용자의 메일함이나 온드라이브 폴더에서 멈추지 않기 때문입니다.

00:02:03.080 --> 00:02:07.720
코파일럿 위 접근 범위는 마이크로소프트 그래프를 통해 부여된 권한에 따라 결정됩니다.

00:02:07.920 --> 00:02:19.580
그래프는 단순한 데이터베이스가 아니라 마이크로소프트 365, 셰어포인트, 팀즈 메시지, 캘린더 이벤트, 원노트, 페넌트에 연결된 CRM 데이터 등 거의 모든 콘텐츠에 접근하는 중심점입니다.

00:02:19.780 --> 00:02:23.080
올바른 문만 열려 있다면 모든 데이터가 그래프를 통해 흐릅니다.

00:02:23.300 --> 00:02:25.100
많은 관리자가 이 부분을 놓치고 있습니다.

00:02:25.420 --> 00:02:29.840
사용자 본인으로 로그인하면 코파일럿도 자신에게 허용된 정보만 볼 것이라는 흔한 오해가 있습니다.

00:02:29.840 --> 00:02:36.100
그럴 듯하게 들리죠. 문제는 코파일럿 자체가 종종 별도의 애플리케이션 권한으로 실행된다는 점입니다.

00:02:36.260 --> 00:02:45.020
해당 권한이 로그인 한 사용자의 권한보다 광범위할 경우 결국 키보드 앞에 사람보다 훨씬 더 많은 정보에 접근할 수 있는 AI 어시스턴트가 만들어지게 됩니다.

00:02:45.280 --> 00:02:50.000
일부 배포 환경에서는 이러한 높은 권한이 아무런 의문 없이 부여되기도 합니다.

00:02:50.600 --> 00:02:53.940
분기별 예측을 작업 중인 재무 분석가를 떠올려 보십시오.

00:02:53.940 --> 00:02:58.600
그들이 코파일럿에게 상위 20개 계정에 대한 현재 파이프라인 데이터를 요청합니다.

00:02:58.780 --> 00:03:02.600
일반적인 역할상 그들은 일부 고객의 수치만 볼 수 있어야 합니다.

00:03:02.820 --> 00:03:06.180
하지만 코파일럿 앱 등록에서 그래프가 설정된 범위 때문에

00:03:06.180 --> 00:03:12.700
AI는 분석가가 직접 접근한 적 없는 공유팀 사이트에서 전체 영업 파이프라인 보고서를 가져옵니다.

00:03:12.920 --> 00:03:16.200
최종 사용자 입장에서는 아무것도 의심스러워 보이지 않습니다.

00:03:16.440 --> 00:03:20.040
하지만 보안 및 규정 준수 관점에서는 이는 민감한 정보 노출입니다.

00:03:20.040 --> 00:03:24.280
그래프 API 권한은 사실상 조직 데이터로 통하는 정문과 같습니다.

00:03:24.800 --> 00:03:29.140
마이크로소프트는 이를 로그인 한 사용자를 대신하여 작동하는 위임된 권한과

00:03:29.140 --> 00:03:33.140
앱이 독립적으로 작동하게 하는 애플리케이션 권한으로 나눕니다.

00:03:33.300 --> 00:03:37.540
코파일럿 시나리오는 콘텐츠 검색을 위해 위임된 권한이 필요한 경우가 많지만

00:03:37.540 --> 00:03:41.500
사용자가 참석하지 않은 팀즈 회의 요약과 같은 특정 기능은

00:03:41.500 --> 00:03:45.020
관리자가 애플리케이션 수준의 권한을 승인하도록 유도할 수 있습니다.

00:03:45.280 --> 00:03:47.640
그리고 바로 그 지점에서 위험이 스며듭니다.

00:03:47.640 --> 00:03:52.660
애플리케이션 권한은 위도적으로 범위를 지정하지 않는 한 개별 사용자 제한을 무시합니다.

00:03:52.860 --> 00:03:55.560
이러한 승인은 주로 도입 초기 단계에서 발생하며

00:03:55.560 --> 00:04:00.280
개발 테넌트에서 코파일럿을 테스트하던 IT 관리자가 설정을 완료하기 위해

00:04:00.280 --> 00:04:02.640
권한 프롬프트에서 동의를 클릭한 뒤

00:04:02.640 --> 00:04:06.760
그 영향을 검토하지 않고 프로덕션 환경에 그대로 복제할 수 있습니다.

00:04:07.020 --> 00:04:11.700
일단 적용된 광범위한 권한은 누군가 적극적으로 감사하지 않는 한 그대로 유지됩니다.

00:04:11.980 --> 00:04:14.640
시간이 지나 새로운 데이터 소스가 M365에 연결되면

00:04:14.640 --> 00:04:19.260
별다른 의식적인 결정 없이도 코파일럿 위 도달 범위가 확장됩니다.

00:04:19.460 --> 00:04:21.220
이것이 바로 조용한 권한 확대이며

00:04:21.220 --> 00:04:25.720
큰 문제나 사용자 불만 없이 AI 위 범위가 점진적으로 넓어지는 것입니다.

00:04:25.920 --> 00:04:28.600
문제는 대부분의 보안팀이 어떤 코파일럿 기능에

00:04:28.600 --> 00:04:32.040
어느 수준의 그래프 접근 권한이 필요한지 잘 모른다는 점입니다.

00:04:32.260 --> 00:04:34.760
그들은 시어포인트에서 모든 파일 읽기 권한을 보고

00:04:34.760 --> 00:04:36.980
사용자 컨텍스트에 위해 제한될 것이라 가정하지만

00:04:36.980 --> 00:04:41.520
실제로는 해당 권한이 애플리케이션 수준에서 테넌트 전체에 적용된다는 사실을 인지하지 못합니다.

00:04:41.520 --> 00:04:45.360
특정 AI 시나리오를 최소한의 필수 권한에 맞추지 않으면

00:04:45.360 --> 00:04:49.540
결국 초기 설정에서 승인된 내용이 기본값으로 유지됩니다.

00:04:50.680 --> 00:04:55.740
권한이 광범위할수록 기대했던 동작과 실제 동작 사이의 격차는 커집니다.

00:04:56.840 --> 00:04:58.520
코파일럿 위 출력 결과에는

00:04:58.520 --> 00:05:03.780
사용자에게 표시되는 권한 추적 기능이 포함되어 있지 않다는 점도 기억해야 합니다.

00:05:04.160 --> 00:05:08.520
AI가 사용자가 평소 접근이 차단되었던 위치에서 콘텐츠를 가져오더라도

00:05:08.520 --> 00:05:12.500
이것이 사용자의 허용 범위를 벗어났다는 경고 배너는 뜨지 않습니다.

00:05:12.720 --> 00:05:17.960
이러한 투명성 부족으로 인해 위험한 정보 노출이 일상적인 워크플로우에 쉽게 섞여 들어갑니다.

00:05:18.160 --> 00:05:23.600
핵심은 AI 배포를 위한 그래프 권한이 온 보딩 과정의 단순한 확인 항목이 아니라는 점입니다.

00:05:23.820 --> 00:05:28.840
이는 코파일럿 이 네트워크에서 수행할 모든 상호작용을 결정짓는 설계상이 선택입니다.

00:05:29.080 --> 00:05:35.260
방화벽 규칙 2나 VPN 액세스 범위처럼 신중하게 검토하고 주기적으로 재검증해야 합니다.

00:05:35.260 --> 00:05:42.260
기본 설정은 빠르게 시작할 수는 있지만 AI가 사용자보다 훨씬 더 넓은 범위의 정보를 검색하는 것을 당연하게 가정합니다.

00:05:42.960 --> 00:05:49.620
범위가 얼마나 쉽게 벗어날 수 있는지 확인했으니 이제 문제는 사고로 번지기 전에 그 격차를 어떻게 찾아낼 것인가입니다.

00:05:49.840 --> 00:05:51.920
데이터가 유출되기 전에 먼저 발견하기.

00:05:52.100 --> 00:05:55.900
만약 코파일럿이 이미 노출되어서는 안 될 데이터를 보여주고 있다면 과연 알아챌 수 있을까요?

00:05:56.060 --> 00:05:58.700
대부분의 조직에서 솔직한 답변은 아니오입니다.

00:05:58.940 --> 00:06:03.460
정보가 공개 사이트에 게시되거나 메일링 리스트로 뿌려지는 것은 아닙니다.

00:06:03.460 --> 00:06:10.060
유출된 정보는 문서 초안, 요약본 또는 AI가 생성 한 답변 속에 조용히 나타날 수 있습니다.

00:06:10.320 --> 00:06:14.600
누군가 이상한 점을 발견하지 못한다면 경고도 없이 그냥 지나쳐버립니다.

00:06:14.860 --> 00:06:18.840
가시성 문제는 대부분의 모니터링 시스템이 구축된 방식에서 시작됩니다.

00:06:19.060 --> 00:06:24.480
기존의 파일 다운로드, 비정상적인 로그인 위치, 대량 이메일 발송과 같은 활동에 맞춰져 있지,

00:06:25.040 --> 00:06:28.600
AI가 정보를 검색하고 취합하는 방식에는 맞춰져 있지 않습니다.

00:06:28.820 --> 00:06:31.840
코파일럿은 일반적인 의미에서 파일을 여는 것이 아닙니다.

00:06:31.840 --> 00:06:37.980
마이크로소프트 그래프를 통해 데이터 소스를 커리하고 결과를 취합하여 자연어 텍스트로 제시합니다.

00:06:38.180 --> 00:06:45.540
즉, 표준 파일 액세스 보고서는 깨끗해 보여도 AI는 백그라운드에서 민감한 위치의 데이터를 가져오고 있을 수 있습니다.

00:06:46.360 --> 00:06:53.480
부서 업무 범위에 없는 고객 이름을 직원이 무심코 언급해서야 회사가 문제가 있음을 깨달은 상황을 본 적이 있습니다.

00:06:53.760 --> 00:06:58.440
관리자가 어떻게 알았냐고 묻자 직원은 코파일럿 2초 안에 포함시켰다고 답했습니다.

00:06:58.440 --> 00:07:04.820
사건 티켓도 자동화된 경고도 없어두며 IT팀의 조사로 이어진 것은 단지 우연한 발언뿐이었습니다.

00:07:04.940 --> 00:07:09.980
조각을 맞추어 파악했을 때는 이미 동일한 AI 응답이 여러 팀에 공유된 상태였습니다.

00:07:10.360 --> 00:07:16.080
마이크로소프트 365는 이러한 시나리오를 조사할 도구를 제공하지만 어디를 살펴봐야 할지 알아야 합니다.

00:07:16.080 --> 00:07:20.500
퍼뷰 위 감사 기능은 코파일럿 위 데이터 액세스를 상세하게 기록할 수 있습니다.

00:07:20.740 --> 00:07:24.060
단지 AI라는 표시가 크게 붙어 있지 않을 뿐입니다.

00:07:24.300 --> 00:07:29.680
감사 로그 검색에서 코파일럿 2 사용하는 특정 작업, 검색 커리 실행 또는 파일 액세스 등

00:07:29.680 --> 00:07:35.380
웰 필터링하고 배포된 코파일럿과 연결된 애플리케이션 아이디로 범위를 좁힐 수 있습니다.

00:07:35.640 --> 00:07:37.820
이를 위해서는 약간의 준비가 필요합니다.

00:07:38.020 --> 00:07:41.980
엔트라 아이디 위 앱 등록 세부 정보를 확인하여 트래픽을 식별해야 합니다.

00:07:41.980 --> 00:07:44.300
그 다음은 패턴을 파악하는 일입니다.

00:07:44.480 --> 00:07:49.600
데이터 사용량이 적은 계정, 예, 인턴 계정, 이 1시간에 10번이 복잡한 검색을 실행하는 등

00:07:49.600 --> 00:07:52.660
대량의 커리를 보내는 것이 보인다 면 확인해볼 가치가 있습니다.

00:07:52.900 --> 00:07:58.300
평소 접할 일이 없는 부서에서 기밀로 표시된 콘텐츠가 갑자기 급증하는 경우도 마찬가지입니다.

00:07:58.520 --> 00:08:00.680
퍼뷰는 레이블 활동을 표시할 수 있으므로

00:08:00.680 --> 00:08:03.860
코파일럿 커리가 레이블이 지정된 문서를 가져오면

00:08:03.860 --> 00:08:07.920
AI가 전체 텍스트를 출력하지 않아 더라도 로그해서 확인할 수 있습니다.

00:08:07.920 --> 00:08:11.760
역할 기반 액세스 검토는 정보를 연결하는 또 다른 방법입니다.

00:08:11.980 --> 00:08:14.580
실제로 코파일럿을 사용하는 사람들을 맵핑하고

00:08:14.580 --> 00:08:16.880
상호작용하는 데이터 유형과 대조하면

00:08:16.880 --> 00:08:19.460
잠재적 인불일치를 조기에 발견할 수 있습니다.

00:08:19.720 --> 00:08:23.020
재무팀이 보고서를 위해 코파일럿을 활발히 사용하는 것은 이해가 되지만

00:08:23.020 --> 00:08:27.340
왜 여러 마케팅 계정이 AI 커리를 통해 급여 스프레드 시트에 접근하는 걸까요?

00:08:27.540 --> 00:08:30.160
이러한 검토는 감사추적의 단일 이벤트를 넘어

00:08:30.160 --> 00:08:31.980
더 넓은 그림을 볼 수 있게 해줍니다.

00:08:32.220 --> 00:08:34.280
문제는 일반적인 모니터링 대시보드가

00:08:34.280 --> 00:08:36.540
여기서는 별 도움이 되지 않는다는 점입니다.

00:08:36.540 --> 00:08:40.340
이들은 모든 M365 활동을 광범위한 범주로 집계함으로

00:08:40.340 --> 00:08:44.300
AI 고유의 동작이 일반적인 작업과 섞일 수 있습니다.

00:08:45.000 --> 00:08:47.520
코파일럿 앱 아이디와 사용 패턴에 집중된

00:08:47.520 --> 00:08:50.140
사용자 지정 필터 나보고서를 만들지 않으면

00:08:50.140 --> 00:08:54.420
방대한 데이터 속에서 특정 모래알을 찾는 것과 다를 바 없습니다.

00:08:54.780 --> 00:08:56.260
단순히 가시성을 높이는 것이 아니라

00:08:56.260 --> 00:08:58.180
목표가 명확한 가시성이 필요합니다.

00:08:58.360 --> 00:08:59.720
이는 감시 문화를 만드는 것이 아니라

00:08:59.720 --> 00:09:03.100
AI가 실제로 무엇을 가져오는지 확실히 파악하는 것에 관한 문제입니다.

00:09:03.100 --> 00:09:06.140
적절한 로깅 접근 방식은 세 가지 중요한 질문에 답을 제공합니다.

00:09:06.300 --> 00:09:07.900
코파일럿 이 무엇을 검색했는가?

00:09:08.060 --> 00:09:09.200
누가 이를 실행했는가?

00:09:09.360 --> 00:09:13.000
그리고 그 행동이 기존 보안 및 규정 준수 정책과 일치하는가?

00:09:13.180 --> 00:09:16.960
이러한 답변을 통해 권한 조정, DLP 규칙 개선,

00:09:17.360 --> 00:09:20.760
역할 할당 강화 등 문제를 정밀하게 해결할 수 있습니다.

00:09:21.220 --> 00:09:23.860
이러한 명확성이 없으면 추측에 의존하게 되는데

00:09:23.860 --> 00:09:26.220
추측은 보안 전략이 될 수 없습니다.

00:09:26.560 --> 00:09:29.740
그러므로 우연한 계기로 문제가 드러나기를 기다리기보다

00:09:29.740 --> 00:09:32.820
코파일럿 위 흔적이 보이고 추적 가능하도록

00:09:32.820 --> 00:09:36.360
모니터링 체계를 구축하는 데 시간을 투자할 가치가 있습니다.

00:09:36.640 --> 00:09:38.780
이렇게 하면 데이터 과다 노출의 증후가

00:09:38.780 --> 00:09:41.880
갑작스러운 사고가 아닌 관리 가능한 이벤트가 됩니다.

00:09:42.200 --> 00:09:44.880
유출 지점을 아는 것은 첫 번째 단계일 뿐입니다.

00:09:45.120 --> 00:09:47.260
진정한 목표는 재발을 방지하는 것이며

00:09:47.260 --> 00:09:49.980
바로 그 지점에서 올바른 가드레일이 필요합니다.

00:09:50.240 --> 00:09:52.140
실제로 작동하는 가드레일 말이죠.

00:09:52.140 --> 00:09:56.320
DLP는 단순히 신용카드 번호가 포함된 이메일을 찾아내는 도구만이 아닙니다.

00:09:56.320 --> 00:10:01.400
코파일럿 환경에서 DLP는 민감한 데이터가 AI 생성 답변에 포함되어

00:10:01.400 --> 00:10:03.200
팀즈 채팅에 붙여 넣어지거나

00:10:03.200 --> 00:10:06.460
페넌트 외부로 나가는 문서로 내보내지는 것을 막는

00:10:06.460 --> 00:10:08.060
트리거 역할을 할 수 있습니다.

00:10:08.760 --> 00:10:11.740
마이크로소프트 365내의 동일한 도구이지만

00:10:11.740 --> 00:10:14.720
AI 시나리오를 위해 구성하는 방식은

00:10:14.720 --> 00:10:16.780
완전히 다른 사고 방식이 필요합니다.

00:10:16.780 --> 00:10:19.580
문제는 대부분의 조직이 가진 DLP 정책이

00:10:19.580 --> 00:10:23.020
이메일 첨부 파일, USB 드라이브로의 파일 다운로드,

00:10:23.020 --> 00:10:28.480
승인되지 않은 앱으로의 데이터 복사와 같은 구식 트리거를 염두에 두고 작성되었다는 점입니다.

00:10:28.680 --> 00:10:30.820
코파일럿은 파일을 전송하는 것이 아니기 때문에

00:10:30.820 --> 00:10:33.340
기본적으로는 그러한 규칙을 트리거하지 않습니다.

00:10:33.560 --> 00:10:35.760
콘텐츠를 즉석에서 생성하기 때문입니다.

00:10:35.980 --> 00:10:39.440
코파일럿에게 제한됨으로 표시된 전체 고객 목록을 요청하고

00:10:39.440 --> 00:10:42.400
코파일럿 이 레이블이 지정된 문서에서 이를 가져오면

00:10:42.400 --> 00:10:45.840
해당 결과물은 기존 DLP 조건을 전혀 트리거하지 않고

00:10:45.840 --> 00:10:47.160
외부로 유출될 수 있습니다.

00:10:47.160 --> 00:10:52.600
그렇기 때문에 AI 프롬프트와 응답을 DLP 범위에 명시적으로 포함해야 합니다.

00:10:53.040 --> 00:10:54.280
한 가지 실제 예를 들어

00:10:54.280 --> 00:10:57.480
특정 계약 문서를 보안 환경 외부로 내보내는 것이

00:10:57.480 --> 00:10:59.820
정책상 금지되어 있다고 가정해보겠습니다.

00:11:00.300 --> 00:11:02.700
사용자가 코파일럿에게 주요 조항을 추출하여

00:11:02.700 --> 00:11:04.880
파워포인트에 넣어달라고 요청할 수 있습니다.

00:11:05.140 --> 00:11:08.300
DLP 규칙이 AI 생성 콘텐츠를 모니터링하지 않으면

00:11:08.300 --> 00:11:11.980
해당 민감한 자료는 이제 보호되지 않는 파일에 존재하게 됩니다.

00:11:12.280 --> 00:11:15.260
DLP 검사 범위를 코파일럿 결과물까지 확장하면

00:11:15.260 --> 00:11:18.560
해당 파워포인트가 관리되지 않는 위치에 저장되거나

00:11:18.560 --> 00:11:22.020
팀즈에서 외부 게스트와 공유되는 것을 차단할 수 있습니다.

00:11:22.300 --> 00:11:25.760
마이크로소프트 365에서 이를 설정하는 것은 복잡하지 않지만

00:11:25.760 --> 00:11:27.700
신중한 프로세스가 필요합니다.

00:11:27.900 --> 00:11:29.640
먼저 마이크로소프트 퍼뷰 규정

00:11:29.640 --> 00:11:32.520
준수 포털의 데이터 손실방지 섹션으로 이동하여

00:11:32.520 --> 00:11:33.740
새 정책을 만듭니다.

00:11:33.940 --> 00:11:35.180
적용할 위치를 선택할 때

00:11:35.180 --> 00:11:38.540
Exchange, SharePoint, OnDrive를 포함하고

00:11:38.540 --> 00:11:41.500
코파일럿이 모든 곳의 데이터를 불러올 수 있으므로

00:11:41.500 --> 00:11:43.020
특히 팀즈를 포함해야 합니다.

00:11:43.020 --> 00:11:44.900
그런 다음 조건을 정의합니다.

00:11:44.900 --> 00:11:48.360
금융계좌 번호와 같은 기본 제공 민감한 정보유형이나

00:11:48.360 --> 00:11:50.120
내부 프로젝트 코드를 감지하는

00:11:50.120 --> 00:11:52.860
사용자 지정 유형을 대상으로 지정할 수 있습니다.

00:11:53.140 --> 00:11:55.320
민감도 레이블을 일관되게 사용하는 경우

00:11:55.320 --> 00:11:57.540
파일이 저장되거나 공유될 때

00:11:57.540 --> 00:12:00.600
최종 결과물에 레이블이 지정된 콘텐츠가 나타나면

00:12:00.600 --> 00:12:02.860
조건이 트리거되도록 설정할 수도 있습니다.

00:12:03.160 --> 00:12:04.840
마지막으로 작업을 구성합니다.

00:12:05.080 --> 00:12:05.960
공유를 차단하거나

00:12:05.960 --> 00:12:08.060
사용자에게 정책 팁을 표시하거나

00:12:08.060 --> 00:12:10.380
진행을 위해 사유 입력을 요구할 수 있습니다.

00:12:10.380 --> 00:12:14.180
민감도 레이블 자체가 이 기능을 작동하게 하는 핵심 요소입니다.

00:12:14.180 --> 00:12:19.060
AI 환경에서 레이블은 코파일럿이 다른 M365 서비스와 마찬가지로

00:12:19.060 --> 00:12:20.900
읽을 수 있는 메타데이터입니다.

00:12:21.360 --> 00:12:25.860
기밀 수준이 높은 문서에 액세스 및 사용을 제한하는 레이블이 지정된 경우

00:12:25.860 --> 00:12:30.220
관련 앱 전반에서 레이블 보호 설정이 일관되게 적용된다면

00:12:30.220 --> 00:12:33.840
코파일럿은 답변을 생성할 때 해당 제안을 준수합니다.

00:12:34.120 --> 00:12:37.940
AI가 허용된 범위를 벗어나는 레이블이 지정된 콘텐츠를 사용하려고 하면

00:12:37.940 --> 00:12:41.320
해당 레이블과 연결된 DLP 정책이 작업을 방지하거나

00:12:41.320 --> 00:12:43.400
검토를 위해 플래그를 지정할 수 있습니다.

00:12:43.640 --> 00:12:45.940
이러한 연동 없이는 규정 준수 관점에서

00:12:45.940 --> 00:12:48.000
레이블은 단순한 장식에 불과합니다.

00:12:48.260 --> 00:12:50.720
제가 자주 접하는 가장 흔한 잘못된 구성 중 하나는

00:12:50.720 --> 00:12:54.120
DLP 정책을 AI 시나리오와 전혀 연관시키지 않는 것입니다.

00:12:54.340 --> 00:12:57.080
규칙은 존재하지만 관리자가 코파일럿 결과물을

00:12:57.080 --> 00:13:00.040
별도의 채널로 고려하지 않았기 때문에 연결고리가 없습니다.

00:13:00.040 --> 00:13:03.440
이는 이메일 내에 동일한 텍스트라면 차단되었을 상황

00:13:03.440 --> 00:13:08.200
임에도 생성된 답변 속에 민감한 용어는 검사되지 않는 사각지대를 만듭니다.

00:13:08.380 --> 00:13:13.160
이를 해결하려면 AI 지원 워크플로우를 DLP 위치 중 하나로 생각하고

00:13:13.160 --> 00:13:16.080
다른 모든 위치와 함께 모니터링 해야 합니다.

00:13:16.680 --> 00:13:20.540
DLP와 민감도 레이블이 올바르게 구성되어 서로 연동되면

00:13:20.540 --> 00:13:24.700
코파일럿은 규정 준수 문제 없이 유용하게 활용될 수 있습니다.

00:13:25.020 --> 00:13:29.200
이메일이나 팀즈 메시지에서 기대하는 것과 동일한 경계를 조용히 유지하면서

00:13:29.200 --> 00:13:33.960
보고서 추한 작성, 문서 요약, 데이터 세트 분석을 맡길 수 있습니다.

00:13:34.220 --> 00:13:36.000
사용자는 AI 지원에 이점을 누리고

00:13:36.000 --> 00:13:39.560
안전장치는 위험도가 높은 정보가 유출되지 않도록 방지합니다.

00:13:39.800 --> 00:13:43.280
여기서의 이점은 단순히 의도치 않은 정보 공유를 막는데 그치지 않습니다.

00:13:43.500 --> 00:13:46.760
핵심은 기술이 명확한 규칙 안에서 작동하도록 하는 것입니다.

00:13:46.760 --> 00:13:49.480
그렇게 하면 팀의 불만을 사고 도입을 저해하는

00:13:49.480 --> 00:13:52.140
일괄적인 제한 조치에 의존할 필요가 없습니다.

00:13:52.400 --> 00:13:56.120
컨트롤을 조정하면 마케팅 부서는 코파일럿으로 아이디어를 구상하고

00:13:56.120 --> 00:14:00.580
재무부서는 분석을 수행하며 인사부서는 온 보딩 가이드를 생성하는 등

00:14:00.580 --> 00:14:02.900
각자 허용된 영역 내에서 작업할 수 있습니다.

00:14:03.140 --> 00:14:06.500
하지만 출력물을 제어하는 것만으로는 퍼즐의 일부일 뿐입니다.

00:14:06.720 --> 00:14:12.220
위험을 완전히 줄이려면 애초에 누가 어떤 AI 기능을 사용할 수 있는지 결정해야 합니다.

00:14:12.220 --> 00:14:15.260
모두에게 동일한 액세스 권한을 부여해서는 안 됩니다.

00:14:15.520 --> 00:14:20.760
마케팅 인턴과 최고 재무책임자, CFO, 가정말 같은 코파일럿 권한을 가져야 할까요?

00:14:20.960 --> 00:14:25.740
말로 하면 터무니없게 들리지만 많은 테넌트에서 실제로 그렇게 설정되어 있습니다.

00:14:25.740 --> 00:14:32.160
역할별 구성을 관리하는 것보다 빠르고 쉽기 때문에 모든 사람에게 동일한 권한으로 코파일럿을 켭니다.

00:14:32.320 --> 00:14:38.400
단점은 AI 위 액세스 권한이 각 역할에 필요가 아닌 가장 개방적인 시나리오에 맞춰진다는 것입니다.

00:14:38.600 --> 00:14:41.840
바로 그 지점에서 역할 기반 코파일럿 액세스 그룹이 필요합니다.

00:14:42.080 --> 00:14:48.980
모든 사용자를 동일하게 취급하는 대신 특정 역할에 실제로 필요한 정보와 워크플로우의 AI 기능을 맞춰야 합니다.

00:14:48.980 --> 00:14:56.280
마케팅 부서는 캠페인 자산과 브랜드 가이드라인에 접근해야 할 수도 있지만 원본 재무 모델까지는 필요 없을 것입니다.

00:14:56.480 --> 00:15:00.880
재무 부서는 모델이 필요하지만 초기 단계의 제품 로드맵은 필요하지 않습니다.

00:15:01.100 --> 00:15:03.880
핵심은 코파일럿을 덜 유용하게 만드는 것이 아닙니다.

00:15:04.060 --> 00:15:06.740
각자의 업무와 관련이 있는 범위로 제한하는 것입니다.

00:15:06.980 --> 00:15:11.040
모든 사용자에게 동일한 기능을 활성화할 때 따르는 위험은 대부분의 팀이 예상하는 것보다 큽니다.

00:15:11.040 --> 00:15:16.080
코파일럿은 마이크로소프트 365 환경에 이미 저장된 데이터를 활용하여 작동합니다.

00:15:16.260 --> 00:15:22.660
모든 직원이 동일한 AI 액세스 권한을 가지면 기술이 의도적으로 유지해온 사일로를 허물어 버릴 수 있습니다.

00:15:22.900 --> 00:15:33.940
그 결과 인사보조 직원이 매출 내역을 보게 되거나 운영 리드가 내년 제품 출시 계획을 코파일럿에게 물어 아직 확정되지 않은 설계 세부 정보를 얻는 상황이 발생합니다.

00:15:34.200 --> 00:15:38.440
당장은 보안 침해처럼 느껴지지 않을 수 있지만 노출 위험은 실제합니다.

00:15:38.440 --> 00:15:48.260
올바른 액세스 모델을 구축하려면 단순히 사용하는 애플리케이션뿐만 아니라 업무 일상에서 다루는 데이터의 깊이와 민감도를 기준으로 직무 기능을 맵핑하는 것부터 시작해야 합니다.

00:15:48.420 --> 00:15:57.320
영업팀의 코파일럿 요청 중 70%는 고객 계정 기록과 관련이 있고 5% 미만 만이 보안 수준이 높은 계약 파일에 해당한다는 사실을 발견할 수도 있습니다.

00:15:57.560 --> 00:16:03.600
이는 AI 사용의 대부분을 특정 셰어포인트 라이브러리 내에서 안전하게 유지하면서 나머지는 차단할 수 있음을 시사합니다.

00:16:03.860 --> 00:16:06.800
각 부서에 걸쳐 이 작업을 수행하면 패턴이 나타납니다.

00:16:06.800 --> 00:16:14.320
각 그룹에 필요한 항목을 파악했다면 많은 사람들이 여전히 에이저 AD라고 부르는 마이크로소프트 엔트라 아이디가 시행 도구가 됩니다.

00:16:14.580 --> 00:16:20.040
역할 정의에 해당하는 보안 그룹을 만들고 그룹 수준에서 코파일럿 권한을 할당합니다.

00:16:20.520 --> 00:16:28.780
즉, 재무 코파일럿 그룹 구성원에게만 특정 그래프 API 범위를 활성화하고 마케팅 코파일럿 그룹에는 다른 범위를 설정할 수 있습니다.

00:16:29.040 --> 00:16:34.580
민감한 사이트, 팀즈 채널 또는 특정 온드라이브 폴더에 대한 액세스도 동일한 모델을 따를 수 있습니다.

00:16:34.580 --> 00:16:39.380
이 접근 방식의 강점은 앞서 다룬 제어 기능과 계층화될 때 나타납니다.

00:16:39.600 --> 00:16:44.100
그래프 권한은 코파일럿이 기술적으로 도달할 수 있는 외부 경계를 정의합니다.

00:16:44.360 --> 00:16:48.740
DLP 정책은 AI 위 출력물에서 민감한 콘텐츠를 모니터링합니다.

00:16:49.020 --> 00:16:55.280
역할 기반 그룹은 중간에서 그래프 권한이 낮은 민감도의 역할에 지나치게 광범위하지 않도록 하고,

00:16:55.920 --> 00:17:01.340
입력 소스를 제한하여 애초에 방지할 수 있었던 문제를 DLP가 감지하지 않도록 합니다.

00:17:01.340 --> 00:17:04.780
하지만 다른 시스템과 마찬가지로 지나치면 문제가 될 수 있습니다.

00:17:04.980 --> 00:17:08.280
모든 시나리오에 대해 마이크로 그룹을 만들고 싶은 유혹이 될 것입니다.

00:17:08.480 --> 00:17:15.040
보고 권한이 있는 재무 분석가, 코파일럿이나 팀즈 액세스 권한이 없는 마케팅 인턴 등 수십 가지 변형이 생길 수 있습니다.

00:17:15.320 --> 00:17:20.460
이러한 세밀함은 이론상으로는 정확해 보일 수 있지만, 실제 환경에서는 유지관리의 골칫거리가 됩니다.

00:17:20.780 --> 00:17:24.840
사용자는 역할을 변경하고, 프로젝트는 바뀌며, 계약직은 계속 오고 갑니다.

00:17:24.840 --> 00:17:31.240
그룹 모델이 너무 경직되면, IT 직원은 보안을 개선하기 보다 액세스 문제를 해결하는 데 더 많은 시간을 소비하게 됩니다.

00:17:31.460 --> 00:17:32.940
진정한 목표는 균형입니다.

00:17:33.140 --> 00:17:38.780
명확하고 잘 정의된 소수의 역할 그룹이면 관리적 교착 상태를 만들지 않고도 대부분의 사용 사례를 다룰 수 있습니다.

00:17:39.040 --> 00:17:44.260
CFO 그룹은 광범위한 분석 권한이 필요하지만, 출력 공유에 대한 엄격한 제어가 필요합니다.

00:17:44.480 --> 00:17:50.140
인턴 그룹은 제한된 데이터 범위 내에서 실제 업무에 기여할 수 있는 충분한 역량을 가집니다.

00:17:50.140 --> 00:17:57.440
부서장은 중간 수준의 권한을 가지며, 특별 프로젝트로 예외가 필요할 경우 IT 부서가 조정할 수 있는 능력을 유지합니다.

00:17:57.660 --> 00:18:00.700
모든 것을 잠가서 답답하게 만들려는 것이 아닙니다.

00:18:00.900 --> 00:18:05.340
각 AI 환경을 관련성 있고, 안전하며 정책에 맞게 유지하려는 것입니다.

00:18:05.580 --> 00:18:08.220
제대로 수행하면 그 이점이 빠르게 나타납니다.

00:18:08.480 --> 00:18:14.040
사용자는 코파일럿이 제공하는 데이터가 항상 자신의 책임 범위 내에 있기 때문에 놀라지 않게 됩니다.

00:18:14.340 --> 00:18:19.380
준법 감시팀은 우발적인 과다 노출이 발생하지 않으므로 조사할 사건이 줄어듭니다.

00:18:19.380 --> 00:18:29.080
또한 IT팀은 전체 배포로 인해 공들여 쌓아온 데이터 경계가 조용히 무너질까 걱정할 필요 없이 새로운 코파일럿 기능을 자신있게 추진할 수 있습니다.

00:18:29.380 --> 00:18:33.940
액세스 제어와 보호장치가 함께 작동하면 위험 프로필이 크게 감소합니다.

00:18:34.260 --> 00:18:40.940
하지만 잘 설계된 모델이라도 내부적으로는 물론, 외부 감사 요청이 있을 때 그 작동 방식을 증명할 수 있어야만 의미가 있습니다.

00:18:41.240 --> 00:18:44.080
속도를 늦추지 않으면 서규정 준수를 증명하는 방법입니다.

00:18:44.280 --> 00:18:48.680
규정 준수는 단순한 형식적 절차가 아니라 감사관을 만족시킬 수 있는 근거입니다.

00:18:48.680 --> 00:18:56.420
정책과 가드레일은 훌륭하지만, AI 가지원한 데이터로 정확히 어떤 일이 일어났는지 보여주지 못하면 증명 대신 주장만 늘어놓게 됩니다.

00:18:56.660 --> 00:19:05.940
감사 준비가 완료된 코파일럿 환경이란 사용자의 질의부터 AI 위 데이터 검색까지 모든 상호작용을 검증 가능한 기록으로 설명하고 뒷받침할 수 있다는 의미입니다.

00:19:06.100 --> 00:19:11.180
까다로운 점은 많은 기업이 내부 검토를 통과했다고 해서 모든 것이 해결되었다고 생각한다는 것입니다.

00:19:11.180 --> 00:19:20.760
그러한 검토는 대개 통제 항목의 존재 여부와 몇 가지 샘플 시나리오만 확인하며, 외부 감사관이 요구하는 수준의 세밀함까지는 요구하지 않는 경우가 많습니다.

00:19:21.760 --> 00:19:31.180
외부 평가자가 지난 분기에 코파일럿이 액세스한 모든 민감한 콘텐츠의 로그와 요청자 및 요청 이유를 요구할 때 생각보다 자주 공백이 발견됩니다.

00:19:32.600 --> 00:19:39.000
로그가 불안전하거나 AI 관련 이벤트가 애초에 그렇게 태그되지 않았기 때문에 아예 누락되는 경우입니다.

00:19:39.000 --> 00:19:42.560
바로 이 지점에서 마이크로소프트 퍼뷰가 큰 차이를 만들 수 있습니다.

00:19:42.780 --> 00:19:47.340
퍼뷰의 규정 준수 기능은 단순히 레이블이나 DLP 정책을 적용하는 것에 그치지 않습니다.

00:19:47.540 --> 00:19:50.280
필요한 포렌식 증거를 한데 모아주는 역할도 합니다.

00:19:50.520 --> 00:19:56.720
코파일럿 환경에서 퍼뷰는 관련 데이터 액세스 요청, 요청자의 신원, 그리고 원본 위치를 모두 기록할 수 있습니다.

00:19:56.940 --> 00:20:06.560
또한 AI 위 자체 보고에 위존하지 않고도 민감한 파일이 초안, 요약본, 내보내기 파일에서 참조되는 등 데이터 이동 패턴과 이벤트를 연관지어 분석할 수 있습니다.

00:20:06.560 --> 00:20:10.180
퍼뷰의 규정 준수 점수는 단순한 보여주기식 수치가 아닙니다.

00:20:10.340 --> 00:20:17.920
이 점수는 AI 관련 위험을 직접적으로 제한하는 제어 항목을 포함하여 귀사의 환경이 마이크로소프트가 권장하는 통제 기준에 얼마나 부합하는지를 보여주는 스냅샷입니다.

00:20:18.100 --> 00:20:25.040
더 강력한 그래프 권한 관리, 더욱 엄격한 DLP 구성, 잘 관리된 역할 기반 그룹 등이 모두의 점수에 반영됩니다.

00:20:25.040 --> 00:20:33.840
또한 변경 사항에 따라 점수가 업데이트됨으로 AI 거버넌스 개선이 어떻게 규정 준수 상태를 향상시키는지 실시간에 가깝게 확인할 수 있습니다.

00:20:34.180 --> 00:20:41.240
코파일럿이 생성한 보고서에 특정 고객 데이터가 포함된 이유를 정당화해야 하는 규제 검사를 상상해보십시오.

00:20:41.360 --> 00:20:45.080
체계적인 로깅이 없다면 그러한 대화는 추측으로 변질되고 맙니다.

00:20:45.240 --> 00:20:53.820
퍼뷰가 올바르게 구성되어 있다면 감사 로그에서 액세스 요청을 보여주고 권한을 부여한 역할과 권한을 지목하며 결과물이 승인된 채널 내에서 처리되었음을 증명할 수 있습니다.

00:20:53.820 --> 00:20:58.420
이는 문서화되지 않은 이벤트를 설명하기 위해 허동되는 것보다 훨씬 수월한 대화가 될 것입니다.

00:20:58.560 --> 00:21:04.960
핵심은 규정 준수 보고를 감사전이 특별 프로젝트가 아닌 일상적인 IT 거버넌스 주기의 일부로 만드는 것입니다.

00:21:05.160 --> 00:21:07.800
자동화된 보고는 이 과정에서 매우 큰 도움이 됩니다.

00:21:08.040 --> 00:21:14.860
퍼뷰는 정보보호 정책 일치, DLP 사고, 민감도 레이블 사용에 관한 반복적인 보고서를 생성할 수 있습니다.

00:21:15.140 --> 00:21:22.600
매달 거버넌스 팀의 작업 공간으로 보고서가 자동 생성되면 검토하기 쉬운 AI 활동 기준선을 구축하게 됩니다.

00:21:22.600 --> 00:21:26.160
어떤 이상 증오라도 과거 패턴과 비교하면 눈에 띄게 마련입니다.

00:21:26.340 --> 00:21:28.520
시간 절약 기능이 더해지면 효과는 커집니다.

00:21:28.680 --> 00:21:36.080
예를 들어 퍼뷰는 위치나 활동 유형별로 그룹화된 네이블이 지정된 콘텐츠 관련 모든 사고를 강조하는 사전 구축된 보고서를 제공합니다.

00:21:36.260 --> 00:21:40.440
코파일러 세션이 기밀문서를 출력물로 가져와 DLP가 이를 차단했다면,

00:21:41.080 --> 00:21:45.600
사용자 지정 커리를 처음부터 만들지 않아도 해당 사고가 보고서에 이미 표시됩니다.

00:21:45.600 --> 00:21:52.280
이후 해당 기록을 자세히 드릴 다운할 수 있으며, 수집과 분류와 같은 번거로운 작업은 이미 완료된 상태입니다.

00:21:52.620 --> 00:21:59.200
또 다른 효율성은 퍼뷰 감사와 마이크로소프트 365위 역할 기반 액세스 데이터 간의 통합입니다.

00:21:59.540 --> 00:22:04.900
퍼뷰는 엔트라 아이디 그룹을 인식함으로 역할 유형별로 액세스 로그를 분류할 수 있습니다.

00:22:05.200 --> 00:22:11.280
즉, 지난 90일 동안 마케팅 역할이 코파일러들 통해 재무레이블이 지정된 데이터에 액세스한 모든 사례를 보여줘,

00:22:11.280 --> 00:22:13.940
와 같은 구체적인 질문에 빠르게 답할 수 있습니다.

00:22:14.880 --> 00:22:20.980
역할과 데이터 분류 모두를 기준으로 필터링하는 기능은 외부 검토자가 정확히 요구하는 바입니다.

00:22:21.260 --> 00:22:24.600
생각해보면 이러한 수준의 규정 준수는 결코 부담이 아닙니다.

00:22:24.760 --> 00:22:28.360
이는 거버넌스 설계가 실제로 작동하고 있음을 확인해주는 안전장치입니다.

00:22:28.540 --> 00:22:31.820
또한 자료를 긁어 모을 필요가 없으므로 감사에 대한 스트레스도 사라집니다.