M365 Copilot 도입 전 필수 체크, 모르면 사내 기밀 그대로 새어나가는 이유
회사에서 "M365 Copilot 도입 좀 검토해봐"라는 지시를 받고 어디서부터 손대야 할지 막막한 상태일 가능성이 크다.
OOO은 다수의 기업을 대상으로 Microsoft 365 Copilot과 Azure OpenAI 기반 업무 자동화 환경을 구축하며, 도입 과정에서 실제로 터지는 보안 사고와 그 해결 방법을 현장에서 직접 다뤄온 팀이다.
딱 5분만 투자해 이 글을 끝까지 읽으면, Copilot 도입 이후 벌어질 수 있는 사내 데이터 유출 사고를 사전에 막을 수 있다. 보안팀 설득 자료를 만들기 전에 이 글부터 확인하는 것이 순서다.
M365 Copilot과 Azure OpenAI, 뭐가 다른가?
두 개를 같은 걸로 착각하는 담당자가 많은데, 역할이 다르다.
M365 Copilot은 Word, Excel, Outlook, Teams 안에 바로 들어가 있는 '완제품 업무 비서'다.
회의록 요약, 메일 초안 작성, 엑셀 함수 추천처럼 즉시 쓸 수 있는 기능을 제공한다.
Azure OpenAI는 다르다. 회사가 가진 사내 문서, 계약서, 매뉴얼 같은 데이터를 학습·연동시켜 "우리 회사 전용 AI 검색·분석 시스템"을 직접 만드는 기반 플랫폼이다. 비유하자면 M365 Copilot이 매장에서 바로 사 입는 정장이라면, Azure OpenAI는 원단부터 골라 맞추는 맞춤 정장에 가깝다.
문제는 여기서 시작된다. 둘 다 결국 '회사 데이터'를 재료로 움직이는 도구이기 때문에, 데이터 관리 체계가 없으면 편리함이 그대로 위험으로 바뀐다.
도입하자마자 보안팀이 제일 먼저 반대하는 이유?
Copilot은 사용자가 이미 접근 권한을 가진 파일을 기반으로 답변을 만든다.
문제는 실무에서 권한 설정이 생각보다 엉망인 경우가 많다는 점이다.
인사팀 전용 폴더인 줄 알았던 공유 폴더가 사실은 전 직원에게 열려 있었다면,
Copilot은 그 폴더 안 인사평가 파일까지 요약해서 아무렇지 않게 보여준다.
사람이 직접 파일을 뒤져서 찾아내는 데는 시간이 걸리지만,
Copilot은 몇 초 만에 찾아서 정리까지 해준다는 게 진짜 문제다.
이런 '과잉 공유(오버셰어링)' 문제는 도입 전에는 드러나지 않다가, Copilot을 켠 순간 한꺼번에 노출된다.
Purview AI Hub로 막을 수 있는 3가지 위험
1) 민감도 라벨로 접근 자체를 차단한다.
파일에 '기밀', '내부용' 같은 민감도 라벨을 붙이고 암호화를 적용해 두면,
권한이 없는 사용자는 Copilot을 통해서도 해당 내용을 볼 수 없다. AI가 아무리 똑똑해도 열람 권한 자체가 없으면 답을 만들 수 없는 구조를 만드는 것이다.
2) AI 활동 자체를 상시 모니터링한다.
Purview는 Copilot에 입력된 프롬프트와 그 응답 내용을 분석해, 그 안에 민감한 정보가 오갔는지 탐지하는 기능을 제공한다.
즉 "누가 어떤 질문을 던져서 어떤 데이터를 끌어냈는지"가 기록으로 남는다는 뜻이다.
사고가 터진 뒤 원인을 추적하는 데도, 사고를 예방하는 데도 이 기록이 핵심 역할을 한다.
3) 외부로 나가는 순간 자동으로 암호화된다
이중 키 암호화, 고객 키 관리 같은 기능을 적용하면 중요한 문서가 회사 밖으로 나가더라도
열쇠 없이는 내용을 볼 수 없는 상태로 잠긴다.
실수로 메일에 첨부해 외부로 보냈더라도, 최소한 '읽히지는 않는' 마지막 방어선이 생기는 셈이다.
실제로 벌어질 뻔했던 상황
한 제조업체 인사팀 담당자가 있었다.
평소처럼 팀 내부 공유 폴더에 직원 평가 파일을 올려두었는데, 알고 보니 그 폴더는 전사 공유 권한으로 설정되어 있었다.
Before: Copilot 도입 초기,
다른 부서 직원이 "우리 팀 인사평가 관련 자료 있어?"라고 물었더니, Copilot이 해당 폴더에서 파일을 찾아 요약본까지 만들어 보여줬다. 담당자도, 보안팀도 사고가 난 뒤에야 문제를 알았다.
After: Purview 민감도 라벨과 DLP 정책을 적용한 뒤에는,
같은 질문을 던져도 Copilot이 "권한이 없어 해당 콘텐츠에 접근할 수 없다"는 답만 내놓는다.
파일 자체가 암호화되어 있어 라벨 확인 권한이 없는 사용자에게는 아예 검색 결과로도 노출되지 않는다.
같은 실수를 저질러도 결과가 완전히 달라진다는 것, 이게 Purview AI Hub를 반드시 함께 도입해야 하는 이유다.
M365 Copilot과 Azure OpenAI는 업무 생산성을 크게 끌어올리는 도구이지만, 그만큼 사내 데이터 접근 권한을 그대로 반영한다는 특성이 있다.
Purview AI Hub의 민감도 라벨, AI 활동 모니터링, 자동 암호화 세 가지를 함께 세팅해야 비로소 '안전한 도입'이 완성된다.
단순히 유행이라서 급하게 Copilot 버튼부터 켜고, 보안은 나중에 생각해도 된다고 여기는 조직에는 이 글이 맞지 않다.
데이터 거버넌스까지 제대로 갖추고 안전하게 AI 전환을 하고 싶은 조직만 아래 내용을 참고하는 게 좋다.
도입 순서를 무시하고 급하게 진행했다가 사고부터 나는 경우를 여러 차례 봐왔기 때문에, 준비 없이 서두르는 곳에는 컨설팅도 권하지 않는다.