Microsoft Discovery는 Azure의 엔터프라이즈 클라우드 인프라 위에 구축된 과학 연구용 엔터프라이즈 에이전트 AI 플랫폼입니다. Azure에서 실행되므로 Microsoft Discovery는 조직이 민감한 연구 및 개발(R&D) 환경을 관리하는 데 사용하는 보안, 규정 준수, 투명성 및 거버넌스 프레임워크에 맞춰 운영되도록 설계되었습니다.
이 글은 보안 검토자, 아키텍트, 배포자에게 Microsoft Discovery를 평가할 수 있는 단일 출발점을 제공합니다. 이 설문지는 플랫폼의 보안 통제를 요약하고, 공동 책임 모델을 설명하며, 플랫폼의 역량을 제3자 위험 평가에 흔히 사용되는 공유 평가 표준화 정보 수집(SIG) 설문지의 위험 영역과 매핑합니다. 보안 검토를 안내하는 데 사용하고, 권위 있는 통제 수준의 세부 사항을 위해 링크된 기사들을 따라가세요. SIG 도메인별로 정리된 질문 수준의 답변은 SIG 기반 보안 및 준수 FAQ를 참조하세요.
Important
이 글은 정보 제공 목적으로만 제공됩니다. 이는 인증, 증명, 감사 또는 준수 보장을 의미하지 않으며, Microsoft Discovery가 여기서 언급된 어떤 프레임워크에 따라 인증받거나 독립적으로 감사받았다는 의미도 아닙니다. 현재 권위 있는 Microsoft 인증, 감사 보고서, 제어 구현 세부 사항은 Microsoft Trust Center와 Service Trust Portal을 이용하세요.
배포 및 신뢰 경계
Microsoft Discovery는 자원을 Microsoft가 관리하는 구독이 아니라 Azure 구독과 Microsoft Entra 테넌트에 배포합니다. 작업 공간, 슈퍼컴퓨터, 또는 북쉘프를 프로비저닝할 때, 서비스는 구독 내에 관리되는 자원 그룹 (MRG)을 생성하여 백엔드 자원을 보관합니다.
이 배포 모델은 직접적인 보안상의 영향을 가집니다:
- 고객 데이터와 이를 저장하는 자원은 구독 및 테넌트 경계 내에 머무릅니다.
- 주변 환경의 신원, 네트워크, 접근 제어 구성은 여러분이 소유합니다.
- 기본 Azure 리소스에 비용을 지불하고 관리하며, 자체 Azure Policy, 로그, 모니터링을 적용할 수 있습니다.
자원 모델과 데이터 흐름에 대해서는 서비스 아키텍처 개요를 참조하세요.
공동 책임 모델
Microsoft Discovery의 보안은 Azure 공동 책임 모델을 따릅니다. 다음 표는 자원이 구독에 들어오는 상황에서 Discovery 배포에 이 모델이 어떻게 적용되는지 보여줍니다.
| 책임 | 마이크로소프트 | 고객 |
|---|---|---|
| Azure 데이터센터의 물리적 및 플랫폼 보안 | 책임형 | 책임 없음 |
| 관제평면 및 관리형 서비스 운영 | 책임형 | 책임 없음 |
| 미사용 데이터 암호화(기본 키 사용) 및 Azure 백본에서의 전송 중 데이터 암호화 | 책임형 | 책임 없음 |
| 내장 AI 안전 제어 (콘텐츠 필터링, 시스템 안전장치) | 책임형 | 책임 없음 |
| 구독, 가상 네트워크 및 방화벽 구성 | 책임 없음 | 책임형 |
| 신원 거버넌스 및 최소 권한 역할 할당 | 책임 없음 | 책임형 |
| 고객 관리 키(선택 시), Key Vault, 키 수명주기 | 책임 없음 | 책임형 |
| 데이터 분류 및 수집 전 데이터 보호 | 책임 없음 | 책임형 |
| 구독에서 감사 기록, 보존 및 모니터링 활성화 | 책임 없음 | 책임형 |
| 업무 연속성과 상태 저장 리소스의 복제 | 책임 없음 | 책임형 |
AI 관련 업무에 대해서는 Microsoft Discovery의 책임 있는 AI를 참조하세요.
SIG 설문지 도메인 맵
공유 평가 표준화 정보 수집(SIG) 설문지는 제3자 위험 질문을 위험 영역으로 정리합니다. 다음 표는 각 SIG 위험 도메인을 Microsoft Discovery가 어떻게 다루는지, 그리고 권위 있는 세부 정보를 어디서 찾을 수 있는지 매핑하여 SIG Lite 또는 SIG Core 평가를 효율적으로 수행할 수 있도록 합니다. 상속받은 Azure 플랫폼 제어로 충족되는 도메인은 중앙 진실의 출처를 가리킵니다.
| SIG 위험 영역 | Microsoft Discovery가 이를 해결하는 방법 | Reference |
|---|---|---|
| 엔터프라이즈 위험 관리 | Microsoft 기업 거버넌스 하에 중앙집중식 관리, 감사 추적, 인간 감독 체크포인트가 적용되어 운영됩니다. | Microsoft 보안 센터 |
| Cloud Services | Azure 서비스로 제공되며; 자원은 Azure 공동 책임 모델 하에 귀하의 구독과 테넌트에 배포됩니다. | 서비스 아키텍처, 공동 책임 |
| 준수 관리 | Azure 기반 구축; Azure 플랫폼 준수를 계승합니다. 인증과 감사 보고서는 중앙에서 발행됩니다. | 트러스트 센터, 서비스 트러스트 포털 |
| Access Control | Microsoft Entra ID 인증, Azure RBAC, 내장 및 프로젝트 수준 역할, 그리고 최소 권한 관리 식별 등이 있습니다. | 역할 할당, Project 수준의 접근 제어 |
| 애플리케이션 보안 / 애플리케이션 관리 | Microsoft의 보안 개발 수명주기 하에 개발되었으며; 구축한 맞춤형 에이전트와 도구를 안전하게 보호합니다. | 책임 있는 AI 모범 사례 |
| 인공 지능 | Foundry는 콘텐츠 필터링, 사용 금지 정책, 근거 및 인용, 그리고 RAI 평가를 가드레일 수 있습니다. | 책임 있는 AI, 행동 강령 |
| 자산 및 정보 관리 | 구독에 저장된 데이터는 저장 컨테이너와 자산을 통해 저장됩니다; 데이터 분류는 당신이 소유합니다. | 데이터 처리, 저장 자산 |
| 정보 보증 | 기본적으로 Microsoft 관리 키와 선택적으로 고객이 관리하는 키로 정지 암호화; 운영자로부터의 키 격리. | 저장 중인 데이터의 암호화 |
| 서버 보안 | 백엔드는 Azure 관리 서비스에서 실행되며; 플랫폼 강화와 패치는 Azure 운영의 일부로 처리됩니다. | 서비스 신뢰 포털 |
| 엔드포인트 보안 | 관리 데이터 플레인에는 고객 엔드포인트가 없으며; 접근은 Entra ID로 보호된 인터페이스와 API를 통해 이루어집니다. | 네트워크 보안 |
| 네트워크 보안 | 네트워크 보안 경계, 프라이빗 엔드포인트, 가상 네트워크 주입, 그리고 기본적으로 프라이빗인 데이터 플레인 액세스. | 네트워크 보안 |
| IT 운영 관리 | 애플리케이션, 활동, 고객 구성 가능한 감사 로그를 Azure Monitor를 통해 상관관계 ID 추적과 함께 제공합니다. | 가시성, 감사 로그 활성화 |
| 인시던트 관리 | 추적을 위한 종단 간 상관 ID; 플랫폼 사고 대응 및 침해 통보가 중앙에서 처리됩니다. | 상관 관계 ID,보안 센터 |
| 사이버보안 / 위협 관리 | Azure의 위협 탐지 및 보안 운영을 상속하는 Azure 관리형 서비스를 기반으로 실행됩니다. | Azure 보안 기본 사항 |
| 운영 회복력 | 다중 지역 서비스 아키텍처; 고객은 재해 복구를 위해 자체 상태 기반 자원을 복제합니다. | 비즈니스 연속성 및 재해 복구 |
| 물리적 및 환경 보안 | Azure 데이터센터에서 제공하고 Azure 플랫폼의 일부로 독립적으로 감사되었습니다. | 서비스 신뢰 포털 |
| 인사 관리 보안 | Microsoft의 인사 선별, 교육, 접근 거버넌스는 중앙에서 운영되고 문서화되었습니다. | 서비스 신뢰 포털 |
| 공급망 위험 관리 / N차 협력업체 관리 | 명명된 Azure 서비스를 기반으로 하며; 서브프로세서 목록과 공급망 보증이 중앙에서 공개됩니다. | 신뢰 센터 |
| 개인 정보 관리 | 리소스는 구독 내에 배포되며, 제어 평면 지역과 리전 간 데이터 평면 배포는 데이터 레지던시를 지원합니다. | 데이터 상주,신뢰 센터 프라이버시 |
Note
SIG 설문지에는 환경, 사회, 지배구조(ESG) 영역도 포함되어 있습니다. Microsoft는 기업 차원에서 ESG를 다루고 있습니다; Microsoft Discovery 제품 문서보다는 Microsoft Trust Center와 Microsoft의 지속 가능성 및 기업 책임 자료를 참고하세요.
제어 프레임워크 매핑
조직이 SIG 이외의 프레임워크를 표준화한다면, 이 문서에서 횡단보도를 다시 만들지 마세요. Microsoft는 프레임워크 매핑, 인증 범위, 그리고 증거 감사를 중앙에서 공개합니다. Microsoft Discovery에 대한 컴플라이언스 가이드를 참고하시면 Discovery에서 어떤 통제를 평가하시는지, Azure로부터 어떤 통제를 계승하는지, 그리고 각 질문에 답변하는 권위 있는 출처에 대한 정보가 있습니다.
ID 및 액세스 관리
Microsoft Discovery는 Microsoft Entra ID를 통해 사용자를 인증하고 Azure RBAC를 통해 작업을 승인합니다. 디스커버리에 특화된 점은 역할 모델입니다: 내장 플랫폼 역할(예: 플랫폼 관리자, 플랫폼 기여자, 플랫폼 리더), 조사를 분리하는 프로젝트 수준 역할, 그리고 최소 권한 접근을 위한 자원별 역할.
서비스 간 접근은 비밀이나 연결 문자열 대신 사용자가 직접 생성하고 관리하는 사용자 지정 관리 아이덴티티 를 사용합니다. 디스커버리는 별도의 아이덴티티 슬롯을 정의하여, 스코프로 지정된 역할로 별도의 아이덴티티를 할당하고 에이전트 툴의 실행을 필요한 권한으로 제한할 수 있습니다.
더 알아보세요:
데이터 보호 및 암호화
Microsoft Discovery는 Azure 데이터 암호화를 휴지상태에서 사용하며, 자동으로 투명하게 활성화됩니다. 디스커버리에 특화된 결정이 핵심 모델입니다:
- Microsoft 관리 키(기본값): 고객 조치가 필요 없음.
- 고객 관리 키(CMK): 작업 공간, 슈퍼컴퓨터, 북쉘프 리소스에 사용할 수 있습니다. 자원 생성 시점에 CMK를 선택해야 하며; 모델은 변경 불가능합니다.
서비스 운영자, 엔지니어, 지원 인력은 암호화 키에 접근할 수 없습니다. 자세한 내용은 데이터 암호화 at rest를 참조하세요.
네트워크 보안
Microsoft Discovery는 세 가지 Azure 네트워킹 제어를 적용하고, 2026-02-01-preview API 버전 이상으로 관리되는 작업 영역과 책장에 대해 기본적으로 네트워크 강화를 사용하도록 설정합니다:
- 네트워크 보안 경계는 관리 자원을 제한하여 권한 있는 디스커버리 컴포넌트만 접근할 수 있도록 합니다.
- 프라이버시 엔드포인트는 워크스페이스와 북쉘프 데이터 플레인 API 트래픽을 Microsoft 백본을 통해 라우팅합니다.
- 가상 네트워크 인젝션은 가상 네트워크 내에서 프로비저빙 및 위임하는 서브넷에서 작업 공간 플랫폼 서비스와 에이전트를 실행합니다.
Important
네트워크 보안 경계는 아직 모든 지역과 모든 Azure 리소스 유형에 대해 제공되지 않았습니다. 배포가 네트워크 보안 경계를 지원하는 지역인지 확인하세요.
배포에 따른 네트워크 요구사항 및 구성 지침은 네트워크 보안, 가상 네트워크 및 서브넷, 그리고 엔드 간 네트워크 강화 배포를 참조하세요.
기록, 모니터링 및 감사
Microsoft Discovery는 Azure Monitor와 통합되어 세 가지 로그 카테고리를 보여줍니다:
- 애플리케이션 로그는 각 리소스의 MRG 내 전용 Log Analytics 작업 공간에서 자동으로 수집됩니다.
- 활동 로그는 디스커버리 자원에 대한 제어판 작업을 기록합니다.
- 감사 로그는 진단 설정을 통해 옵트인하여 소유한 스토리지 계정이나 Log Analytics 작업 공간으로 내보내 장기 보존을 가능하게 합니다.
상관 ID는 플랫폼 구성 요소 간에 작업을 끝에서 끝까지 추적할 수 있게 해줍니다. 자세한 내용은 관측 가능성 및 감사 로그 활성화를 참조하세요.
AI 안전과 책임 있는 AI
Microsoft Discovery는 Microsoft의 책임 있는 AI 표준을 따릅니다. 안전 제어 기능에는 Discovery에서 생성된 모델에 기본적으로 적용되는 Foundry Guardrails 콘텐츠 필터링, 출처 인용 기반의 그라운딩, 그리고 시스템 수준의 안전장치가 포함됩니다. 플랫폼은 무기 개발 금지 및 안전 시스템 우회 금지 같은 사용 금지 정책을 시행하며, 각 출시 전에 안전성과 접지 여부를 평가합니다.
자세한 내용은 Microsoft Discovery의 책임 있는 AI, 플랫폼 카드 및 행동 강령을(를) 참조하세요.
비즈니스 연속성 및 재해 복구
Microsoft Discovery는 서비스 구성 요소에서 단일 장애 지점을 피하도록 설계된 고가용성 다중 지역 아키텍처를 사용합니다. 서비스는 지역 배포 간에 고객 상태를 자동으로 복제하지 않으므로, 복구 목표를 달성하기 위해 자체 상태 기반 자원을 복제합니다. 자세한 내용은 비즈니스 연속성 및 재해 복구를 참조하세요.
데이터 저장 위치
Microsoft Discovery 제어 평면은 미국 동부, 스웨덴 중부 및 영국 남부에서 사용할 수 있습니다. 관리 리소스 그룹(데이터 플레인) 자원은 지역 간 배포를 통해 다른 지역에 배포할 수 있어 데이터 상주 또는 용량 요구사항을 충족하는 데 도움이 됩니다. 구독 시 이 데이터 플레인 리소스의 Azure 지역을 선택합니다. 현재 Microsoft의 데이터 상주 및 데이터 처리 약속에 대한 권위 있는 성명은 Microsoft Trust Center와 해당 Microsoft 제품 용어를 참조하십시오.
규정 준수 및 인증
Microsoft 디스커버리는 Azure 위에 구축되었으며, Azure 플랫폼과 그가 사용하는 관리형 서비스(예: Azure Storage, Azure Kubernetes Service, Azure AI 검색, Azure Key Vault)의 보안 운영 및 준수 태세를 계승합니다. Microsoft는 인증, 감사 보고서(예: SOC 및 ISO), 그리고 통제 매핑을 서비스별이 아니라 중앙에서 게시합니다.
귀하의 시나리오에 맞는 준수 평가를 위해:
- Microsoft Trust Center에서 컴플라이언스 제공 상품과 그것이 Azure 서비스에 어떻게 적용되는지 확인해 보세요.
- 서비스 트러스트 포털에서 감사 보고서와 통제 문서를 다운로드하세요.
- 컴플라이언스 가이드라인을 사용하여 디스커버리에서 평가하는 통제와 Azure에서 물려받는 통제를 분리하세요.