마이크로소프트 정보보안 정책 사례를 보면 ‘대형 클라우드 사업자를 쓰면 보안까지 모두 맡겨진다’는 오해부터 바로잡아야 한다. 서비스 제공자는 인프라와 플랫폼 보호를 맡지만 계정 권한, 데이터 분류, 공유 설정, 업무 기기 관리는 고객 조직이 관리하는 영역으로 남는다. 이 구분이 출발점이다.
또 하나의 오해는 보안 제품을 많이 사면 위험이 줄어든다는 생각이다. 정책 없이 도구만 늘리면 경고가 쌓이고 담당자는 중요한 신호를 놓친다. 마이크로소프트가 공개적으로 강조해 온 접근도 제품 개별 기능보다 신원, 기기, 데이터, 운영 절차를 묶어 관리하는 구조에 가깝다. 클라우드 보안은 구매 목록이 아니라 업무 규칙이다.
마이크로소프트 정보보안 정책 사례에서 읽을 원칙
대표적인 축은 제로 트러스트다. 사내망에서 접속했다는 이유만으로 신뢰하지 않고 사용자 신원, 기기 상태, 접속 위치, 요청한 데이터의 민감도를 계속 확인하는 방식이다. 한 번 로그인하면 모든 시스템이 열리는 구조와 거리가 멀다. 매번 검증한다.
예를 들어 관리자 계정에는 다단계 인증을 기본으로 두고, 평소와 다른 국가나 새 기기에서 접속하면 추가 확인 또는 접근 차단 규칙을 둔다. 일반 직원에게는 메일과 협업 문서 업무에 필요한 최소 권한만 주며, 퇴사·부서 이동 때 계정과 공유 권한을 즉시 회수하는 흐름을 만든다. 권한은 쌓인다.
마이크로소프트는 최근 몇 년간 Secure Future Initiative라는 보안 강화 계획도 공개하며 보안을 설계와 운영의 우선순위로 내세웠다. 공개 자료에서 확인되는 방향은 보안 기본값 강화, 자격 증명 보호, 취약점 대응 속도, 엔지니어링 책임성 확대다. 다만 공개 정책과 실제 서비스 기능, 제공 지역, 계약 조건은 바뀔 수 있으므로 도입 시점의 공식 문서와 관리자 센터 안내를 확인해야 한다.
클라우드 보안에서 나눠 봐야 할 책임
실무에서는 책임 공유 모델을 표로 나눠 보면 회의가 빨라진다. SaaS를 사용한다고 서버 패치 부담이 사라져도 직원이 잘못 공유한 문서나 탈취된 계정까지 공급자가 대신 막아 주는 구조는 아니다. 계약 전 담당자를 정해야 한다.
| 영역 | 서비스 제공자 역할 | 고객 조직 역할 |
|---|---|---|
| 기반 인프라 | 데이터센터, 물리 설비, 핵심 서비스 운영 | 서비스 범위와 공지 확인 |
| 신원과 계정 | 인증 기능과 보안 옵션 제공 | MFA, 관리자 분리, 퇴사 계정 회수 |
| 데이터 | 저장·전송 보호 기능 제공 | 분류, 공유 제한, 보존·삭제 기준 설정 |
| 기기와 운영 | 관리 도구와 로그 기능 제공 | 기기 등록, 패치, 경보 대응, 교육 |
표의 핵심은 빈칸을 없애는 데 있다. “IT팀이 하겠지”라는 말만으로는 담당자가 생기지 않는다. 계정 생성, 외부 공유 승인, 관리자 권한 부여, 사고 연락망을 업무 흐름에 맞춰 문서로 남겨야 한다.
도입 전에 해 볼 5단계 점검
- 데이터를 세 등급으로 나눈다. 공개 가능, 사내 한정, 민감 정보처럼 단순하게 시작한다. 주민등록번호나 계약서, 소스 코드처럼 유출 피해가 큰 자료는 별도 목록으로 뺀다.
- 관리자 계정을 분리한다. 일상 메일 계정과 관리자 계정을 분리하고 관리자에는 다단계 인증을 우선 적용한다. 적은 계정부터 시작해도 된다.
- 외부 공유 기본값을 확인한다. 링크만 알면 열리는 공유, 외부 도메인 공유, 다운로드 허용 여부를 업무 부서와 합의한다. 협업이 멈추면 우회 저장소가 생긴다.
- 로그 보관과 확인 주기를 정한다. 로그인 실패 급증, 관리자 권한 변경, 대량 다운로드처럼 볼 신호를 3~5개만 먼저 정한다. 경보는 적어야 읽힌다.
- 복구 훈련을 한다. 계정 탈취나 랜섬웨어 의심 상황을 가정해 계정 차단, 세션 종료, 담당자 보고, 데이터 복원 순서를 점검한다. 백업 복원은 실제로 시험해야 한다.
비용을 비교할 때도 라이선스 단가만 보지 말아야 한다. 월 구독료에 관리 인력 시간, 기존 솔루션 연동, 사용자 교육, 로그 저장량, 사고 대응 부담을 더해 1년 기준으로 비교하면 판단이 선명해진다. 사용하지 않는 고급 기능은 보안 효과가 아니라 낭비가 되기 쉽다.
FAQ
마이크로소프트 365를 쓰면 보안 정책은 필요 없나?
필요하다. 기본 보호 기능이 있어도 조직별 데이터 등급, 외부 공유 기준, 관리자 권한, 퇴사자 처리 절차는 조직이 정해야 한다. 특히 협업 도구의 공유 설정은 업무 관행과 맞물린다.
제로 트러스트는 대기업만 적용하나?
작은 조직도 관리자 MFA, 최소 권한, 관리되는 기기, 민감 파일 공유 제한부터 적용할 수 있다. 거대한 프로젝트로 시작할 이유는 없다. 우선순위가 중요하다.
모든 직원에게 MFA를 강제해야 하나?
계정 탈취 위험을 낮추려면 폭넓은 적용을 검토할 만하다. 다만 현장 인력의 기기 환경, 비상 계정, 인증 수단 분실 절차를 함께 설계하지 않으면 업무 중단이 생긴다. 적용 전 소규모 부서에서 시험하는 편이 낫다.
보안 로그는 얼마나 오래 보관해야 하나?
정답은 조직의 사고 대응 필요, 계약 조건, 내부 규정에 따라 달라진다. 먼저 조사에 필요한 로그 종류와 비용을 정리하고 보존 기간은 보안·IT·법무 담당 부서와 확인하는 방식이 안전하다.
관련 글
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.