Microsoft Copilot 및 에이전트를 구현할 때 보안, 규정 준수, 개인 정보 보호 및 거버넌스와 관련된 새롭고 증폭된 위험에 직면할 수 있습니다. 이 보안 및 거버넌스 프레임워크는 다음 구성 요소에서 이러한 문제를 완화하는 데 도움이 됩니다.
- Microsoft Copilot
- Microsoft Copilot Chat
- Microsoft 365 미리 빌드된 에이전트
- Microsoft Copilot Studio에서 만들고 Microsoft 365 채널에 게시한 에이전트
이 문서에서는 기본 및 최적화 된 컨트롤을 참조합니다. 일반적으로 이러한 용어는 다음 제품 및 서비스를 나타냅니다.
기본: A3/E3/G3 라이선스가 있는 Microsoft 365 관리 센터, SharePoint 고급 관리 및 Microsoft Purview에서 보안 및 거버넌스를 제어합니다.
최적화: A5/E5/G5 라이선스가 있는 Microsoft Purview 및 Microsoft Defender for Cloud Apps의 컨트롤입니다.
Copilot 컨트롤의 보안 및 거버넌스 핵심 요소는 다음과 같은 주요 기능에 중점을 둡니다.
- 데이터 보안
- AI 보안
- 규정 준수 및 개인 정보 보호
데이터 보안
무엇보다도 조직의 정보를 보호하세요. 현재 라이선스에 따라 Microsoft Purview 및 SharePoint 고급 관리를 사용하여 과다 공유 위험을 평가합니다. 정책 권장 사항을 위해 Microsoft Purview를 사용하고 수정 조치를 취할 수도 있습니다. 이러한 작업을 통해 중요한 데이터가 계속 보호되고 Copilot 및 에이전트를 포함하여 액세스가 필요한 사용자로만 제한된다는 것을 확신할 수 있습니다.
기본 데이터 보안 및 거버넌스 제어
A3/E3/G3 라이선스가 있는 SharePoint 고급 관리 및 Microsoft Purview에서는 다음과 같은 기본 데이터 보안 및 거버넌스 제어를 얻을 수 있습니다.
Microsoft 365 전체에서 과도하게 공유되었을 가능성이 있는 데이터를 식별합니다. 다음 보고서를 정기적으로 실행합니다.
- SharePoint 사이트에 대한 데이터 액세스 거버넌스 보고서를 사용하여 사이트에서 과도하게 공유된 데이터를 식별할 수 있습니다. 과도하게 공유된 사이트의 소유자에게 사이트 액세스 검토를 보낼 수도 있습니다.
필요에 따라 조직 전체 사이트 액세스를 제거합니다.
SharePoint를 사용하여 이 액세스를 수동으로 구성하거나 Windows PowerShell로 구성을 자동화하세요. 자세한 내용은 Microsoft 365 그룹 및 Microsoft Entra 보안 그룹을 사용하여 SharePoint 사이트 액세스 제한을 참조하세요.
위험을 해결하는 동안 과도하게 공유된 사이트에 대한 사용자, Copilot 및 에이전트 액세스를 제한하려면 SharePoint 제한된 콘텐츠 검색 또는 SharePoint 제한된 액세스 제어를 사용합니다.
Microsoft Purview Information Protection 사이트 민감도 레이블을 사용합니다. 자세한 내용은 Microsoft Teams, Microsoft 365 그룹 및 SharePoint 사이트에서 민감도 레이블 사용을 참조하세요.
불필요한 콘텐츠를 보관하거나 삭제하여 Copilot 및 에이전트 응답을 개선합니다.
비활성 또는 소유자가 없는 SharePoint 사이트를 식별하고 관리한 다음 보관하거나 삭제하려면 SharePoint 사이트 수명 주기 관리를 사용합니다.
Microsoft Purview 데이터 수명 주기 관리를 사용하여 필요하지 않은 파일을 식별하고 삭제합니다.
A3/E3/G3 라이선스가 있는 Microsoft Purview에서는 다음과 같은 기본 데이터 보안 제어를 얻을 수 있습니다.
수정 옵션을 사용하여 새로운 과다 공유가 발생할 때 알림을 받습니다. 자세한 내용은 Microsoft Purview 데이터 손실 방지를 참조하세요.
파일 수준 액세스 제어를 통해 중요한 데이터를 보호합니다. 자세한 내용은 Microsoft Purview Information Protection 민감도 레이블을 사용하여 암호화 적용을 참조하세요.
Copilot 및 에이전트 상호 작용에서 참조된 중요한 데이터와 보호되지 않는 파일에 대한 보고서를 봅니다. 자세한 내용은 AI용 Microsoft Purview DSPM(데이터 보안 태세 관리)의 보고서를 참조하세요.
다음 컨트롤에 Microsoft Purview Information Protection 민감도 레이블 을 사용합니다.
콘텐츠에 중요한 데이터가 포함된 경우를 감지하고 사용자에게 보호 기능을 수동으로 적용하도록 요청합니다.
사용자가 파일을 이동하거나 다운로드하는 경우에도 파일을 보호합니다.
최적화된 데이터 보안 제어
A5/E5/G5 라이선스가 있는 Microsoft Purview에서는 다음과 같은 최적화된 데이터 보안 제어를 얻을 수 있습니다.
다음 컨트롤에 AI 용 Microsoft Purview DSPM(데이터 보안 태세 관리) 을 사용합니다.
SharePoint 사이트 및 OneDrive와 같은 특정 Microsoft 365 위치를 대상으로 하는 데이터 위험 평가를 만듭니다.
정책 제안을 받고 이에 따라 조치를 취하여 특정 과다 공유 위험을 완화합니다.
콘텐츠에 중요한 데이터가 포함된 경우를 감지하고 보호를 자동으로 적용하려면 Microsoft Purview Information Protection 민감도 레이블을 사용합니다.
다음 컨트롤에 Microsoft Purview 내부 위험 관리 를 사용합니다.
일반적인 동작 패턴에서 벗어난 위험한 사용자 작업에 대한 알림을 받습니다. 자세한 내용은 내부자 위험 관리 정책 템플릿을 참조하세요.
위험 경고의 상관 관계 지정 및 시퀀싱을 통해 사용자의 심각도가 높은 위험 패턴을 식별합니다. 자세한 내용은 시퀀스 검색에 대한 내부자 위험 관리 정책을 참조하세요.
위험 패턴에 따라 더 엄격한 보안 정책에 사용자를 자동으로 추가합니다. 자세한 내용은 내부자 위험 관리를 위한 적응형 보호를 참조하세요.
AI 보안
또한 진화하는 위협으로부터 AI 기반 도구 및 관련 데이터를 보호해야 합니다. Copilot 컨트롤은 AI 관련 위험을 모니터링, 감지 및 대응하는 도구를 제공합니다. 예를 들면 중요한 정보의 과잉 공유, 비정상적인 사용자 행동, 생성형 AI 기능의 오용이 있습니다. 이러한 기능을 사용하여 AI 통합이 내부 및 외부 위협 모두에 대해 보안, 규정 준수 및 복원력을 유지하도록 합니다.
기본 AI 보안 제어
Copilot에는 이미 AI 기반 공격에 대한 기본 제공 보호 기능이 포함되어 있습니다. 이러한 보호에는 다음 보호가 포함되나 이에 국한된 것은 아닙니다.
A3/E3/G3 라이선스가 있는 Microsoft Purview에서는 다음과 같은 기본 AI 보안 제어를 얻을 수 있습니다.
프롬프트 및 응답 텍스트와 참조된 파일을 보려면 Microsoft Purview eDiscovery를 사용하여 검색 및 내보냅니다.
Copilot 및 에이전트가 민감도 레이블 및 보호를 상속하기 위해 만든 Copilot 및 에이전트 응답과 문서의 경우 Microsoft Purview Information Protection 민감도 레이블을 사용합니다.
최적화된 AI 보안 제어
A5/E5/G5 라이선스가 있는 Microsoft Purview에서는 다음과 같은 최적화된 AI 보안 컨트롤을 사용할 수 있습니다.
Copilot 및 에이전트가 특정 중요 파일을 처리하고 응답에 사용하지 못하도록 하려면 Microsoft Copilot 및 에이전트에 대한 Microsoft Purview 데이터 손실 방지를 사용합니다.
프롬프트 삽입 공격 시도 또는 중요한 데이터 사용과 같은 위험한 AI 사용에 대한 경고를 받으려면 Microsoft Purview 내부 위험 관리를 사용하세요.
Copilot 및 에이전트를 사용하여 고위험 사용자가 중요한 콘텐츠에 액세스하지 못하도록 차단하려면 내부자 위험 관리를 위한 적응형 보호를 사용합니다.
프롬프트 및 응답 텍스트를 보려면 기반을 두는 동안 사용되는 모든 웹 쿼리와 참조된 파일은 AI용 Microsoft Purview 데이터 보안 상태 관리의 활동 탐색기를 사용합니다.
규정 준수 및 개인 정보 보호
Copilot 제어에서 보안 및 거버넌스의 세 번째 측면은 Copilot과 에이전트 상호 작용이 규정 및 내부 표준을 준수하는 방식을 모니터링, 감사 및 관리할 수 있도록 하는 것입니다. Microsoft Purview를 사용하여 Copilot 활동을 포괄적으로 감독합니다. 이러한 컨트롤을 사용하면 Microsoft Copilot 및 에이전트를 배포하고 사용할 때 중요한 정보를 보호하고, 개인 정보를 유지하고, 규정 준수를 입증할 수 있습니다.
기본 규정 준수 및 개인 정보 제어
A3/E3/G3 라이선스가 있는 Microsoft Purview에서는 다음과 같은 기본 규정 준수 및 개인 정보 제어를 얻을 수 있습니다.
Copilot 및 에이전트 상호 작용을 감사하려면 Copilot 및 AI 애플리케이션에 대한 Microsoft Purview 감사를 사용하여 자세한 로그 정보에 액세스합니다.
다음 기능에 대한 보존 및 삭제 정책을 적용하려면 Microsoft Purview 데이터 수명 주기 관리를 사용합니다.
Microsoft Copilot과 에이전트 상호 작용
Microsoft Teams 모임 녹음/녹화 및 대본
다음 컨트롤에 Microsoft Purview eDiscovery 를 사용합니다.
법적 보존에 사용자의 Copilot 및 에이전트 프롬프트와 응답을 포함합니다. 자세한 내용은 보류 및 보류 정책을 참조하세요.
소송 또는 조사를 검색하고 Copilot 및 에이전트가 생성하는 콘텐츠를 포함합니다.
최적화된 규정 준수 및 개인 정보 제어
A5/E5/G5 라이선스가 있는 Microsoft Purview에서는 다음과 같은 최적화된 규정 준수 및 개인 정보 제어를 얻을 수 있습니다.
가능한 규정 준수 또는 윤리적 위반이 발생할 경우 경고를 받은 다음 조사를 시작하려면 Microsoft Purview 커뮤니케이션 규정 준수를 사용합니다.
규정 프레임워크 준수를 평가하고 추적하려면 Microsoft Purview 준수 관리자를 사용합니다.
제로 트러스트
Microsoft는 조직에서 제로 트러스트 원칙을 구현하기 위한 자세한 설명서와 Microsoft Copilot 및 Copilot Chat에 대한 특정 고려 사항을 제공합니다. 제로 트러스트는 제품이나 서비스가 아니라 다음 보안 원칙을 설계하고 구현하는 접근 방식입니다.
- 명시적으로 확인
- 최소 권한 액세스 사용
- 보안 위반 가정
자세한 내용은 제로 트러스트 보안을 사용하여 Copilot 준비를 참조하세요.