PSPF를 사용하는 호주 정부 규정 준수에 대한 Microsoft Purview Information Protection 가이드
이 Microsoft Purview Information Protection 가이드는 Microsoft에서 호주 정부 및 기타 관심 있는 조직에서 사용할 수 있는 준비를 했습니다. 호주 정부 고객이 정보 분류 및 보호 요구 사항을 충족하는 동안 데이터 보안 태세를 개선할 수 있도록 지원하기 위한 것입니다. 이 가이드의 조언은 PSPF(보호 보안 정책 프레임워크) 및 ISM(정보 보안 설명서)에 명시된 요구 사항과 밀접하게 일치합니다.
이 가이드는 호주 정부 CDO(최고 데이터 책임자), CTO(최고 기술 책임자), CSO(최고 보안 책임자), CISO(최고 정보 보안 책임자), 위험 또는 규정 준수 책임자, 정보 개인 정보 보호 또는 기타 정보 관리 역할을 대상으로 합니다.
제안된 프로그램 접근 방식은 조직이 프로그램을 수립하고 정보 보호 완성도를 빠르게 개선하는 데 도움이 됩니다.
이 가이드는 상용구 정부 organization 대해 작성되며, 이 효과에 적용할 수 있는 예제가 작성되었습니다. 그러나 모든 정부 organization 고유한 요구 사항에 맞게 지침을 조정해야 합니다. 예를 들어 organization 적용할 수 있는 특정 입법 뉘앙스가 있습니다. 예제는 이러한 뉘앙스에도 도움이 됩니다.
기능 매핑에 대한 호주 정부 요구 사항이라는 제목의 가이드 섹션에는 PSPF 정책 8 및 정책 9 요구 사항의 전체 목록과 각 요구 사항을 충족하도록 Microsoft Purview 기능을 구성할 수 있는 방법에 대한 설명과 해당 가이드 섹션에 대한 링크가 포함되어 있습니다. ISM(관련 정보 보안 설명서) 및 AGRkMS(오스트레일리아 정부 기록 보관 메타데이터 Standard) 요구 사항도 설명합니다.
이 가이드에서는 정부 정보 보호 및 분류 요구 사항 즉, 다음 세 가지 주요 기능을 사용합니다.
- 민감도 레이블 지정
- DLP(데이터 손실 방지)
- 민감도 자동 레이블 지정
다음 다이어그램에서는 사용 예제와 함께 이러한 세 가지 Microsoft 365 기능 간의 상호 작용에 대한 개념적 개요를 제공합니다.
Microsoft Purview Information Protection 민감도 레이블 지정이라는 기능이 포함되어 있습니다. 민감도 레이블 지정을 사용하면 사용자가 파일 및 전자 메일과 같은 항목에 레이블을 적용할 수 있습니다. 이러한 레이블은 데이터 보안 컨트롤에 맞춰 묶인 정보를 보호할 수 있습니다. 민감도 레이블 지정은 SharePoint 사이트, Teams 및 모임과 같은 다른 서비스로 확장될 수도 있습니다.
민감도 레이블은 PSPF(보호 보안 정책 프레임워크) 정책 8에 정의된 것과 같은 조직 분류 요구 사항에 부합하는 경우 레이블을 분류로 처리할 수 있습니다. 사용자 인터페이스 및 기타 표시 옵션을 통해 시각적 표시를 제공합니다. 예시:
민감도 레이블을 통해 적용할 수 있는 데이터 보안 컨트롤은 다음과 같습니다.
- 권한이 없는 사용자의 액세스를 방지하는 항목을 암호화하는 기능입니다.
- 중요한 정보를 검색할 때 사용자에게 레이블 권장 사항을 제공하는 기능입니다.
- 레이블이 지정된 위치에 대한 외부 사용자 액세스 제어입니다.
- 특정 레이블이 적용된 모임에 대한 Teams 모임 보안 설정을 제어합니다.
이러한 기능은 민감하거나 보안 기밀 정보의 표시 및 보호를 위한 호주 정부의 요구 사항에 부합합니다.
Microsoft Office 클라이언트 지원에서 설명한 대로 사용자는 일반적으로 Microsoft 365 앱 Office 클라이언트, 웹 기반 클라이언트 또는 해당하는 모바일 디바이스를 통해 레이블이 지정된 항목과 상호 작용합니다. 이러한 클라이언트를 사용하면 사용자가 항목에 레이블을 적용할 수 있습니다.
사용자가 항목에 레이블을 적용하는 것을 잊어버린 경우 클라이언트는 항목을 저장하기 전에 또는 전자 메일을 보내기 전에 레이블을 적용하라는 메시지를 사용자에게 표시 합니다.
사용자가 항목을 작업하는 동안 레이블이 아직 적용되지 않았고 분류와 일치하는 정보가 검색되면 레이블 권장 사항을 사용자에게 제공할 수 있습니다. 적용된 민감도 레이블보다 높은 분류와 일치하는 중요한 콘텐츠가 검색되면 항목의 민감도를 높이는 권장 사항을 사용자에게 제공할 수 있습니다.
이러한 권장 사항은 레이블 정확도를 보장하는 데 도움이 됩니다. 정보의 흐름을 제어하는 많은 컨트롤이 항목 민감도를 기반으로 하기 때문에 레이블 정확도가 중요합니다.
Microsoft 365 Copilot 손상 및 무단 액세스로부터 Microsoft 365의 여러 형태의 보호를 상속합니다. Microsoft 365 내의 권한 모델은 사용자와 그룹 간에 정보를 의도적으로 유출할 수 없도록 하는 데 도움이 됩니다.
중요
Microsoft Purview 구성은 Microsoft 365용 Copilot의 필수 구성 요소가 아닙니다. 그러나 Microsoft Purview 구성을 배포하면 Copilot를 비롯한 organization 전체 환경에서 전반적인 정보 보안 태세가 강화됩니다.
Microsoft Purview가 제공하는 정보 위험 완화는 Microsoft 365용 Copilot와 보완됩니다. 이 예제의 가장 간단한 예는 레이블 상속을 통해서입니다. 예를 들어 소스 항목을 기반으로 항목을 생성하는 데 Copilot를 사용하여 원본 Word 문서의 요약을 생성하는 경우 원본 항목에 적용된 민감도 레이블은 생성된 항목에 의해 상속됩니다. 이렇게 하면 정보가 양식에 변경될 때 정보에 적용되는 보호가 유지되도록 할 수 있습니다.
Microsoft 365 활성화에 대한 Copilot의 결과로 발생할 수 있는 잠재적 보안 문제를 평가할 때 위험은 다음 세 가지 범주로 그룹화될 수 있습니다.
- AI 도구에서 데이터 유출: Copilot에서 생성된 콘텐츠에는 중요한 정보가 포함될 수 있습니다.
- 데이터 과잉 공유: 사용자는 중요한 정보를 포함하는 Copilot 생성 항목을 배포할 수 있습니다.
- AI 도구로 데이터 유출: 사용자가 실수로 중요한 데이터를 Copilot에 누수할 수 있습니다.
이 가이드에서 설명하는 다음 기능은 Copilot 및 데이터 과잉 공유 위험에서 데이터 유출을 완화하는 데 도움이 될 수 있습니다.
- 정보를 식별하면 생성된 콘텐츠 또는 공유되는 콘텐츠에 중요한 정보 또는 보안 기밀 정보가 포함되어 있는지 여부를 식별합니다. 컨트롤은 정보를 자동으로 보호합니다.
- 클라이언트 기반 자동 레이블 지정 은 생성된 항목에 중요한 정보가 포함된 경우를 식별하고 사용자에게 레이블 권장 사항을 제공합니다. 레이블에는 레이블 기반 컨트롤이 적용됩니다.
- 레이블 그룹 및 사이트 구성 은 공유 및 외부 사용자 액세스에 대한 제한을 포함한 보안 제어를 위치에 적용합니다. Copilot에서 생성된 항목이 항목에 적용된 레이블에 대해 안전하다고 간주되지 않는 위치로 이동되면 정리를 허용하도록 트리거를 경고합니다.
- 기밀 정보를 보호하는 DLP 규칙은필수 레이블 지정 구성과 쌍을 이루는 경우 모든 Office 문서 및 전자 메일에 적용됩니다. 레이블 상속으로 인해 Copilot에서 생성된 콘텐츠는 원본 정보에 적용된 레이블을 상속하므로 관련 레이블 기반 DLP 정책의 scope 내에 있습니다.
- 중요한 정보를 보호하는 DLP 규칙은 항목에 적용된 레이블에 관계없이 올바른 보안 컨트롤이 계속 적용되도록 합니다. 이렇게 하면 Copilot가 생성된 항목에서 중요한 정보를 활용했을 수 있는 경우 정보가 초과 공유로부터 보호됩니다.
- 민감도 레이블 암호화 는 권한 있는 사용자만 보안 분류 항목에 액세스할 수 있도록 하여 과잉 공유를 방지합니다. 또한 암호화 권한은 Copilot를 매우 중요한 항목에서 잠그고 생성된 콘텐츠에 정보가 포함될 위험을 줄입니다.
이러한 컨트롤에 대한 Microsoft 365에 대한 자세한 내용은 Copilot에 대한 정보 보호 고려 사항을 참조하세요.
AI 도구로의 데이터 유출과 관련된 위험과 관련하여 민감도 레이블 암호화 는 이와 관련이 있습니다. 다른 컨트롤은 Microsoft Purview에 국한되지 않으며 이 가이드의 일부로 해결되지 않습니다. 그러나 다음 링크는 관련 정보를 제공합니다.
- RSS(제한된 SharePoint 검색)를 사용하면 조직에서 Microsoft 365용 Copilot를 최대 100개 사이트의 승인된 목록에만 액세스하도록 제한할 수 있습니다. 이 기능을 구현하면 조직이 액세스할 준비가 되지 않은 Copilot 인덱싱 정보의 위험을 줄일 수 있습니다. 이 기능은 이전 Microsoft Purview 컨트롤 목록이 구현되고 부적절한 권한으로 인한 기존 초과 공유가 해결되는 동안 Copilot를 사용하도록 설정하는 것입니다. 정보 위험 가능성이 완화되면 사용자가 Copilot의 기능을 최대한 활용할 수 있도록 RSS를 사용하지 않도록 설정합니다.
- SharePoint Premium 포함된 데이터 액세스 거버넌스 보고서를 사용하여 잠재적으로 과도하게 공유되거나 중요한 콘텐츠가 포함된 사이트를 검색하여 해결할 수 있습니다.
- SharePoint Premium 포함된 사이트 수명 주기 관리는 비활성 사이트에서 자동으로 검색하고 조치를 수행하는 데 사용할 수 있습니다. 비활성 사이트를 제거하면 Copilot가 액세스할 수 있는 정보가 최신이고 관련성이 있는지 확인하는 데 도움이 됩니다.
이 가이드의 작성자에게 연락하여 제공된 조언을 논의하려면 를 통해 AUGovMPIPGuide@microsoft.com자유롭게 할 수 있습니다.