3단계 – 규정 준수 정책 계획

이전에 Intune 구독을 설정하고 앱 보호 정책을 만들었습니다. 다음으로, 장치가 설정한 요구 사항을 충족하도록 요구하여 조직 데이터를 보호하는 데 도움이 되는 장치 준수 설정 및 정책을 계획하고 구성합니다.

규정 준수 및 조건부 액세스 정책을 만드는 3단계부터 Microsoft Intune을 시작하는 것을 보여주는 다이어그램입니다.

규정 준수 정책에 아직 익숙하지 않은 경우 규정 준수 개요를 참조하세요.

이 글의 적용 대상:

Android Enterprise(완전 관리형 및 개인 소유 회사 프로필)
Android Open-Source 프로젝트(AOSP)
iOS/iPadOS
Linux
macOS
Windows

장치 또는 사용자 그룹에 규정 준수 정책을 배포합니다. 사용자에게 배포할 때 사용자가 로그인하는 모든 장치는 정책 요구 사항을 충족해야 합니다. 규정 준수 요구 사항의 몇 가지 일반적인 예는 다음과 같습니다.

최소 운영 체제 버전이 필요합니다.
특정 복잡성 및 길이 요구 사항을 충족하는 암호 또는 PIN을 사용합니다.
사용하는 모바일 위협 방어 소프트웨어에 의해 결정된 위협 수준 이하인 장치입니다. 모바일 위협 방어 소프트웨어에는 엔드포인트용 Microsoft Defender 또는 Intune의 다른 지원 파트너 중 하나가 포함됩니다.

장치가 규정 준수 정책의 요구 사항을 충족하지 못하는 경우 해당 정책은 규정 미준수에 대해 하나 이상의 조치를 적용할 수 있습니다. 일부 작업은 다음과 같습니다.

비규격 장치를 원격으로 잠급니다.
장치 사용자가 규정 준수로 되돌릴 수 있도록 규정 준수 문제에 대한 이메일 또는 알림을 장치 또는 사용자에게 보냅니다.
장기간 규정 준수를 위반하는 상태를 유지할 경우 사용 중지할 준비가 된 장치를 식별합니다. 규정 준수 정책을 계획하고 배포할 때 다양한 수준의 권장 사항을 통해 규정 준수 정책에 접근하는 것이 도움이 될 수 있습니다. 대부분 또는 모든 플랫폼에 공통적인 최소 규정 준수 설정으로 시작한 다음 더 많은 기능을 제공하는 고급 구성 및 통합을 추가하여 확장하는 것이 좋습니다.

장치 플랫폼마다 서로 다른 규정 준수 기능을 지원하거나 유사한 설정에 서로 다른 이름을 사용하므로 각 옵션을 나열하는 것은 이 배포 계획을 벗어납니다. 대신 다음 각 수준에 대한 범주 및 해당 범주의 설정 예제를 제공합니다.

수준 1 – 최소 장치 규정 준수. 이 범주에는 모든 테넌트가 현재 위치에 있는 것이 좋은 구성이 포함됩니다.
수준 2 – 향상된 장치 규정 준수 설정. 여기에는 암호화 또는 시스템 수준 파일 보호와 같은 일반적인 장치 구성이 포함됩니다.
수준 3 - 고급 장치 규정 준수 구성. 상위 수준 권장 사항에는 Microsoft Entra 조건부 액세스와 같은 다른 제품과의 긴밀한 통합이 필요한 구성이 포함됩니다.

일반적으로 권장 사항은 최소 규정 준수 수준에서 플랫폼 간에 공통되는 주요 구성으로 간주되는 주요 구성으로 간주되는 설정을 배치하여 강력한 투자 수익을 제공합니다. 상위 수준에 나열된 설정에는 타사 제품의 통합이 필요한 설정과 같이 더 복잡할 수 있습니다. 모든 범위 권장 사항을 검토하고 organization의 요구 사항과 기대치에 맞게 자체 배포 계획을 조정할 준비를 해야 합니다.

다음 문서는 Intune 정책이 기본적으로 지원하는 설정을 이해하는 데 도움이 될 수 있습니다.

수준 1 - 최소 장치 규정 준수

테넌트 전체 준수 정책 설정 구성
비준수 장치에 대한 응답 설정(비준수에 대한 조치)
장치 규정 준수 및 장치 구성 정책이 상호 작용하는 방식 이해
지원하는 플랫폼에서 최소 규정 준수 설정의 핵심 집합을 사용합니다.

최소 장치 준수 설정에는 준수 정책을 사용하려는 모든 테넌트가 이해하고 사용할 수 있도록 준비해야 하는 다음 주제가 포함됩니다.

준수 정책 설정 – Intune 규정 준수 서비스가 장치와 함께 작동하는 방식에 영향을 주는 테넌트 전체 설정입니다.
규정 위반에 대한 조치 – 이러한 구성은 모든 장치 규정 준수 정책에 공통적입니다.
최소 장치 준수 정책 권장 사항 – 이 범주에는 모든 테넌트가 조직의 리소스를 안전하게 유지하기 위해 구현해야 한다고 생각되는 플랫폼별 장치 규정 준수 설정이 포함됩니다.

또한 장치 규정 준수 정책과 장치 구성 정책이 어떻게 관련되고 상호 작용하는지를 잘 알고 있는 것이 좋습니다.

규정 준수 정책 설정

모든 조직은 테넌트 전체 규정 준수 정책 설정을 검토하고 설정해야 합니다. 이러한 설정은 플랫폼별 정책을 지원하기 위한 기초입니다. 또한 규정 준수 정책을 평가하지 않은 장치를 비준수로 표시할 수 있으므로 보안 기대치를 충족하지 못할 수 있는 새 장치나 알 수 없는 장치로부터 organization을 보호하는 데 도움이 될 수 있습니다.

준수 정책 설정은 모든 장치에 적용되는 테넌트 수준에서 수행하는 몇 가지 구성입니다. 테넌트에 대해 Intune 규정 준수 서비스가 작동하는 방식을 설정합니다.
이러한 설정은 Microsoft Intune 관리 센터에서 직접 구성되며 특정 플랫폼에 대해 만들어 별개의 장치 또는 사용자 그룹에 배포하는 장치 준수 정책과 구별됩니다.

테넌트 수준의 준수 정책 설정과 이를 구성하는 방법에 대한 자세한 내용은 준수 정책 설정을 참조하세요.

비준수에 대한 작업

각 장치 준수 정책에는 정책의 준수 요구 사항을 충족하지 못하는 장치에 적용되는 하나 이상의 시간 순서가 지정된 작업인 비 준수에 대한 작업이 포함됩니다. 기본적으로 장치를 비준수로 표시하는 것은 각 정책에 포함된 즉각적인 조치입니다.

추가하는 각 작업에 대해 장치가 비준수로 표시된 후 해당 작업이 실행되기 전에 대기할 시간을 정의합니다.

구성할 수 있는 작업에는 다음이 포함되지만 각 장치 플랫폼에 모두 사용할 수 있는 것은 아닙니다.

디바이스를 비준수로 표시 (모든 정책에 대한 기본 작업)
최종 사용자에게 푸시 알림 보내기
최종 사용자에게 전자 메일 보내기
비규격 장치 원격으로 잠그기
비규격 장치 사용 중지

정책 관리자는 각 작업에 사용할 수 있는 옵션을 이해하고 필요한 정책을 배포하기 전에 지원 구성을 완료해야 합니다. 예를 들어 전자 메일 보내 기 동작을 추가하려면 먼저 보낼 메시지가 포함된 하나 이상의 전자 메일 템플릿을 만들어야 합니다. 이러한 이메일에는 사용자가 디바이스를 규정 준수에 적용하는 데 도움이 되는 리소스가 포함될 수 있습니다. 나중에 정책에 대한 전자 메일 작업을 정의할 때 특정 작업에 사용할 템플릿 중 하나를 선택할 수 있습니다.

기본값이 아닌 각 작업은 별도의 구성을 사용하여 정책에 여러 번 추가할 수 있으므로 작업 적용 방법을 사용자 지정할 수 있습니다.

예를 들어 시퀀스에서 발생하도록 여러 관련 작업을 구성할 수 있습니다. 첫째, 규정을 준수하지 않는 즉시 Intune에서 장치의 사용자와 관리자에게 이메일을 보내도록 할 수 있습니다. 그런 다음 며칠 후 두 번째 작업에서 장치 수정 기한에 대한 세부 정보가 포함된 다른 전자 메일 알림을 보낼 수 있습니다. 또한 장치가 오랜 기간 동안 비준수 상태를 유지한 후에만 실행되도록 설정하여 사용 중지하려는 장치 목록에 장치를 추가하는 최종 작업을 구성할 수도 있습니다.

규정 준수 정책은 장치를 비준수로 표시할 수 있지만 비준수 장치를 수정하는 방법에 대한 계획도 필요합니다. 이 계획에는 비준수 장치 상태를 사용하여 장치에 업데이트 또는 구성을 요청하는 관리자가 포함될 수 있습니다. 장치 사용자에게 일반적인 지침을 제공하기 위해 장치 규정 준수 문제를 해결하기 위한 유용한 팁이나 연락처를 포함하도록 규정 위반에 대한 최종 사용자에게 이메일 보내 기 작업을 구성할 수 있습니다.

자세한 내용은 규정 위반에 대한 조치를 참조하세요.

장치 규정 준수 및 장치 구성 정책이 상호 작용하는 방식 이해

수준별 규정 준수 정책 권장 사항을 살펴보기 전에 규정 준수 정책과 장치 구성 정책 간의 가끔 밀접한 관계를 이해하는 것이 중요합니다. 이러한 상호 작용을 인식하면 두 기능 영역에 대한 성공적인 정책을 더 잘 계획하고 배포할 수 있습니다.

장치 구성 정책은 특정 구성을 사용하도록 장치를 구성합니다. 이러한 설정은 장치의 모든 측면에 걸쳐 있을 수 있습니다.
장치 준수 정책은 보안과 관련된 장치 구성의 하위 집합에 중점을 둡니다.

규정 준수 정책을 수신하는 장치는 가능한 작업에 대해 Intune에 반환되는 결과와 함께 규정 준수 정책 구성에 대해 평가됩니다. 암호 요구 사항과 같은 일부 규정 준수 구성은 장치 구성이 더 관대한 경우에도 장치에 적용됩니다.

장치에서 서로 다르거나 유사한 정책 유형에 대해 충돌하는 구성을 수신하면 충돌이 발생할 수 있습니다. 이 시나리오를 준비하는 데 도움이 되도록 충돌하는 규정 준수 및 장치 구성 정책을 참조하세요

구성 중복을 식별하는 데 도움이 되도록 장치 구성과 장치 준수 팀 간에 계획된 구성을 동기화하는 것이 좋습니다. 두 가지 정책 유형이 대상 디바이스에 대해 동일한 구성에 동의하는지 확인하세요. 이렇게 하면 정책 충돌을 방지하거나 예상한 구성 또는 리소스 액세스 없이 디바이스를 방치하는 데 도움이 될 수 있습니다.

최소 규정 준수 설정

테넌트 전체 규정 준수 정책 설정을 설정하고 비준수 장치에 대한 작업에 대한 통신 또는 규칙을 설정한 후에는 장치 준수 정책을 만들고 개별 장치 또는 사용자 그룹에 배포할 준비가 된 것입니다.

Microsoft Intune 관리 센터에서 플랫폼별 정책을 검토하여 각 플랫폼에 사용할 수 있는 규정 준수 설정과 해당 설정의 사용에 대한 자세한 내용을 확인합니다. 정책을 구성하려면 규정 준수 정책 만들기를 참조하세요.

최소 장치 규정 준수 정책에서 다음 설정을 사용하는 것이 좋습니다.

최소 장치 규정 준수 범주 및 예제	정보
바이러스 백신, 스파이웨어 방지 및 맬웨어 방지Windows: Windows 보안 센터에 등록한 솔루션의 장치를 평가하여 다음을 모니터링합니다. - 바이러스 백신 - 스파이웨어 방지 - Microsoft Defender 맬웨어 방지 기타 플랫폼: Windows 이외의 플랫폼에 대한 규정 준수 정책에는 이러한 솔루션에 대한 평가가 포함되지 않습니다.	바이러스 백신, 스파이웨어 방지 및 맬웨어 방지 솔루션에 대한 활성 솔루션이 중요합니다. Windows 규정 준수 정책은 이러한 솔루션이 활성 상태이고 등록되어 있을 때 디바이스의 Windows 보안 센터에 등록된 경우 이러한 솔루션의 상태를 평가할 수 있습니다. 비 Windows 플랫폼은 Intune 규정 준수 정책에 활성 상태를 평가할 수 있는 옵션이 없더라도 바이러스 백신, 스파이웨어 방지 및 맬웨어 방지에 대한 솔루션을 계속 실행해야 합니다.
운영 체제 버전 모든 디바이스: 다음을 포함한 운영 체제 버전에 대한 설정 및 값을 평가합니다. - 최대 OS - 최소 OS - 부 및 주 빌드 버전 - OS 패치 수준	허용되는 최소 OS 버전 또는 빌드와 중요한 패치 수준을 정의하는 사용 가능한 설정을 사용하여 장치 운영 체제가 최신 상태이고 안전한지 확인합니다. 최대 OS 설정은 새롭지만 테스트되지 않은 결과와 알려지지 않은 위험을 초래할 수 있는 베타 또는 개발자 OS 빌드를 식별하는 데 도움이 될 수 있습니다. Linux는 Ubuntu와 같은 Linux 배포 유형을 정의하는 옵션을 지원합니다. Windows는 지원되는 빌드 범위를 설정하는 다른 설정을 지원합니다.
암호 구성 모든 장치: - 잠금을 해제하려면 암호 또는 PIN이 필요하도록 일정 기간 사용하지 않으면 화면을 잠그는 설정을 적용합니다. - 문자, 숫자, 기호의 조합을 사용하는 복잡한 비밀번호가 필요합니다. - 장치 잠금을 해제하려면 비밀번호나 PIN이 필요합니다. - 최소 암호 길이에 대한 요구 사항을 설정합니다.	규정 준수를 사용하여 장치의 암호 구조 및 길이를 평가하고 암호가 없거나 간단한 암호를 사용하는 장치를 식별합니다. 이러한 설정은 장치에 대한 액세스를 보호하는 데 도움이 될 수 있습니다. 암호 재사용 또는 암호를 변경해야 할 때까지의 시간과 같은 기타 옵션은 향상된 규정 준수 수준에 명시적으로 포함됩니다.

수준 2 - 향상된 장치 규정 준수 설정

지원되는 플랫폼 유형에 향상된 디바이스 구성 정책 사용

향상된 규정 준수 설정

향상된 수준 준수 설정에 대한 지원은 최소 권장 사항에 있는 설정과 비교하여 플랫폼별로 크게 다릅니다. 일부 플랫폼은 관련 플랫폼에서 지원하는 설정을 지원하지 않을 수 있습니다. 예를 들어 Android AOSP에는 Android Enterprise 플랫폼에서 시스템 수준 파일 및 부팅 보호의 준수를 구성하는 옵션이 없습니다.

향상된 장치 규정 준수 정책에서 다음 설정을 사용하는 것이 좋습니다.

향상된 장치 규정 준수 범주 및 예제	정보
신청 Android Enterprise: - 알 수 없는 원본 의 앱 차단 - 회사 포털 앱 런타임 무결성 - 앱 의 원본 위치 관리 - Google Play 서비스 - 증명 및 평가 를 위한 SafteyNet 옵션 iOS/iPadOS - 제한된 앱 macOS: - 특정 위치 의 앱 허용 - 알 수 없는 원본 의 앱 차단 - 방화벽 설정 Windows: - 알 수 없는 소스 의 앱 차단 - 방화벽 설정	다양한 응용 프로그램에 대한 요구 사항을 구성합니다. Android의 경우 Google Play, SafteyNet과 같은 애플리케이션의 사용 및 운영과 회사 포털 앱 런타임 무결성 평가를 관리합니다. 모든 플랫폼에서 지원되는 경우 앱을 설치할 수 있는 위치와 조직 리소스에 액세스하는 장치에서 허용해서는 안 되는 앱을 관리합니다. macOS 및 Windows의 경우 규정 준수 설정은 활성 및 구성된 방화벽이 필요한 것을 지원합니다.
암호화 Android Enterprise: - 데이터 저장소 암호화 필요Android AOSP: - 데이터 저장소 암호화 필요macOS: - 데이터 저장소 암호화 필요Linux: - 데이터 저장소 암호화 필요Windows: - 데이터 저장소 암호화 필요 - BitLocker	데이터 저장소의 암호화를 요구하는 규정 준수 설정을 추가합니다. 또한 Windows는 BitLocker 사용을 요구하도록 지원합니다.
암호 구성 Android Enterprise: - 암호 만료 및iOS/iPadOS 재사용 : - 암호 만료 및 재사용 macOS: - 암호 만료 및Windows 재사용 : - 암호 만료 및 재사용	암호가 주기적으로 순환되고 암호가 자주 재사용되지 않도록 암호 준수 설정을 추가합니다.
시스템 수준 파일 및 부팅 보호 Android AOSP: - 루팅된 디바이스 Android Enterprise: - 디바이스 에서 USB 디버깅 차단 - 루팅된 디바이스 iOS/iPadOS - 무단 해제된 디바이스 macOS: - 시스템 무결성 보호 필요 Windows: - 코드 무결성 필요 - 디바이스 에서 보안 부팅을 사용하도록 설정해야 함 - 신뢰할 수 있는 플랫폼 모듈(TPM)	시스템 수준 또는 커널 수준 위험에 대해 장치를 평가하는 플랫폼별 옵션을 구성합니다.

수준 3 - 고급 장치 규정 준수 구성

디바이스 규정 준수 정책에 모바일 위협 방어 파트너의 데이터 추가
타사 규정 준수 파트너를 Intune과 통합
Windows 및 Linux에 대한 사용자 지정 규정 준수 설정 정의
조건부 액세스와 함께 규정 준수 데이터를 사용하여 organization 리소스에 대한 액세스 게이트
지원되는 플랫폼 유형에 고급 장치 구성 정책 사용

강력한 장치 준수 정책을 사용하면 다음을 포함하여 장치 준수 정책의 설정을 구성하는 것 이상의 고급 준수 옵션을 구현할 수 있습니다.

장치 규정 준수 정책 및 조건부 액세스 정책의 일부로 모바일 위협 방어 파트너 의 데이터를 사용합니다.
장치 규정 준수 상태와 조건부 액세스를 통합하여 전자 메일, 기타 클라우드 서비스 또는 온-프레미스 리소스에 액세스할 수 있는 장치를 게이트합니다.
제3자 규정 준수 파트너의 규정 준수 데이터 포함. 이러한 구성을 사용하면 해당 장치의 규정 준수 데이터를 조건부 액세스 정책에 사용할 수 있습니다.
기본적으로 Intune 준수 정책 UI를 통해 사용할 수 없는 사용자 지정 준수 설정을 정의하여 기본 제공 장치 준수 정책을 확장합니다.

모바일 위협 방어 파트너의 데이터 통합

MTD(모바일 위협 방어) 솔루션은 다양한 사이버 위협으로부터 모바일 디바이스를 보호하는 데 도움이 되는 모바일 디바이스용 소프트웨어입니다. 모바일 장치를 보호하면 organization과 리소스를 보호할 수 있습니다. MTD 솔루션이 통합되면 디바이스 규정 준수 정책에 대한 추가 정보 원본을 Intune에 제공합니다. 이 정보는 Intune과 함께 사용할 수 있는 조건부 액세스 규칙에 사용될 수도 있습니다.

통합되는 경우 Intune은 등록된 디바이스에서 MTD 솔루션 사용을 지원하고, MTD 솔루션에서 지원하는 경우 Microsoft Intune 보호 앱 및 앱 보호 정책을 사용하여 등록되지 않은 디바이스에서 사용할 수 있도록 지원합니다.

Intune에서 지원하며 사용하는 모든 플랫폼에서 organization 필요한 기능을 지원하는 MTD 파트너를 사용해야 합니다.

예를 들어 엔드포인트용 Microsoft Defender는 Android, iOS/iPadOS 및 Windows 플랫폼에서 사용할 수 있는 모바일 위협 방어 솔루션입니다. 다른 솔루션은 일반적으로 Android 및 iOS/iPadOS를 지원합니다. 지원되는 MTD 파트너 목록을 보려면 모바일 위협 방어 파트너 를 참조하세요.

Intune에서 모바일 위협 방어 소프트웨어를 사용하는 방법에 대한 자세한 내용은 Intune과 모바일 위협 방어 통합부터 시작하세요.

타사 규정 준수 파트너의 데이터 사용

Intune은 파트너가 장치 그룹에 대한 MDM(모바일 장치 관리) 기관 역할을 하는 타사 규정 준수 파트너의 사용을 지원합니다. 지원되는 규정 준수 파트너를 사용하는 경우 해당 파트너를 사용하여 솔루션에서 관리하는 디바이스에 대한 디바이스 규정 준수를 구성합니다. 또한 규정 준수 결과를 Intune에 전달한 다음 해당 데이터를 Intune의 규정 준수 데이터와 함께 Microsoft Entra ID에 저장하도록 파트너 솔루션을 구성합니다. 그런 다음 타사 규정 준수 데이터는 장치 규정 준수 정책을 평가할 때 Intune에서 사용하고 조건부 액세스 정책에서 사용할 수 있습니다.

일부 환경에서는 Intune기본적으로 Android, iOS/iPadOS 및 Windows 플랫폼에 등록된 규정 준수 파트너인 Intune 사용해야 하는 유일한 MDM 기관 역할을 할 수 있습니다. 다른 플랫폼에서는 다른 규정 준수 파트너가 macOS 장치용 Jamf Pro 사용과 같이 장치 MDM 기관 역할을 해야 합니다.

사용자 환경에서 타사 디바이스 규정 준수 파트너를 사용하는 경우 Intune에서 지원되는지 확인합니다. 지원을 추가하려면 Microsoft Intune 관리 센터 내에서 파트너에 대한 연결을 구성하고 해당 파트너 설명서에 따라 통합을 완료합니다.

이 주제에 대한 자세한 내용은 Intune에서 타사 장치 규정 준수 파트너 지원을 참조하세요.

사용자 지정 규정 준수 설정 사용

관리되는 Linux 및 Windows 디바이스에 대한 사용자 지정 규정 준수 설정을 구성하여 Intune의 기본 제공 디바이스 규정 준수 옵션을 확장할 수 있습니다.

사용자 지정 설정을 사용하면 Intune에서 이러한 설정을 추가할 때까지 기다릴 필요 없이 장치에서 사용할 수 있는 설정에 따라 규정 준수를 기반으로 할 수 있는 유연성이 있습니다.

사용자 지정 규정 준수를 사용하려면 . 규정 준수에 사용할 장치의 값을 정의하는 JSON 파일과 JSON의 설정을 평가하기 위해 장치에서 실행되는 검색 스크립트입니다.

사용자 지정 규정 준수에 필요한 필수 요소, 지원되는 플랫폼, JSON 및 스크립트 구성에 대한 자세한 내용은 [Microsoft Intune을 사용하여 Linux 및 Windows 장치에 사용자 지정 규정 준수 정책 및 설정 사용](.. / protect/compliance-use-custom-settings.md).

조건부 액세스와 규정 준수 통합

조건부 액세스는 장치를 보호하기 위해 Intune과 함께 작동하는 Microsoft Entra 기능입니다. Microsoft Entra에 등록하는 장치의 경우 조건부 액세스 정책은 Intune의 장치 및 규정 준수 세부 정보를 사용하여 사용자 및 장치에 대한 액세스 결정을 적용할 수 있습니다.

조건부 액세스 정책과 다음을 결합:

장치 준수 정책은 해당 장치를 사용하여 organization의 리소스에 액세스하기 전에 장치를 준수로 표시하도록 요구할 수 있습니다. 조건부 액세스 정책은 보호하려는 앱 서비스, 앱 또는 서비스에 액세스할 수 있는 조건 및 정책이 적용되는 사용자를 지정합니다.
앱 보호 정책은 Intune 앱 보호 정책을 지원하는 클라이언트 앱만 Exchange 또는 기타 Microsoft 365 서비스와 같은 온라인 리소스에 액세스할 수 있도록 하는 보안 계층을 추가할 수 있습니다.

조건부 액세스는 디바이스를 안전하게 유지하는 데 도움이 되도록 다음을 사용합니다.

엔드포인트용 Microsoft Defender 및 타사 MTD 앱
디바이스 규정 준수 파트너 앱
Microsoft Tunnel

자세한 내용은 조건부 액세스 및 Intune에 대한 자세한 정보를 참조하세요.

고급 규정 준수 설정

정책을 구성하려면 규정 준수 정책 만들기를 참조하세요.