M3-3. 보안·컴플라이언스 — Purview·데이터 보호

한 줄 요약 — Cowork는 M365 Copilot과 같은 보안 체계 안에 있습니다. Purview 통제, OneDrive 데이터 보호 정책 준수, 사용자 권한 범위 제한이 세 가지 핵심입니다.

(이 페이지의 기능·화면·명칭은 2026년 10월 31일 기준 · 변경될 수 있음)

1. 권한 범위 — 가장 중요한 원칙

• Cowork는 사용자의 기존 M365 권한 안에서만 검색·행동합니다 — 권한 상승 없음
• 이벤트 기반 작업도 내 권한으로, 내가 보는 것만 실행
• 민감한 행동은 반드시 승인 — 승인 없이 스스로 행동하지 않음

2. Microsoft Purview 통합

• M365 Copilot에 쓰던 같은 Purview 도구로 Cowork의 보안·컴플라이언스 관리
• 민감도 레이블·DLP 등 기존 정책과 함께 적용
• 감사: Cowork 활동은 통합 감사 로그에 남습니다. 이벤트 트리거 작업(메일·Teams 메시지 도착 시 실행)도 사용자 권한으로 실행되고 Purview에서 감사됩니다
• ⚠️ Information Barriers(IB)는 플러그인·스킬 관리에 미지원 — IB를 쓰는 테넌트에서는 포함된 지식 파일 업로드가 막힘 (M3-2)

3. 데이터 보호·프라이버시

• Cowork 산출물·작업 파일은 OneDrive에 저장되며 OneDrive의 프라이버시·보안·컴플라이언스 정책을 따름
• Anthropic 모델은 서브프로세서로 포함됨(EU Data Boundary에서는 GPT 모델만 지원) — 계약·데이터 처리 조건은 Anthropic as a subprocessor 참조

4. 외부 연결(플러그인) 보안

• 커넥터 자격 증명은 Microsoft Enterprise Token Store에 저장 — manifest·스킬 파일에 시크릿 없음
• 파일 전달은 도구 실행 전 승인 · 파일당 150MiB 한도
• 스킬은 AI 지침으로 실행되므로 신뢰할 수 있는 출처만 허용 — 업로드 정책으로 통제

관리 체크리스트

• Purview 정책이 Cowork 시나리오(파일 생성·발송·이벤트 트리거)까지 적용되는지 검토
• Claude(Anthropic) 모델을 켤 경우, 서브프로세서 관련 내부 승인 완료
• 플러그인 허용 목록과 데이터 흐름 문서화
• 사용자 교육: 승인 대화상자를 “꼼꼼히 읽고” 승인하도록 안내 (M2-8)

출처

출처: Manage Copilot Cowork for your organization (MS Learn) · Application card: Copilot Cowork (MS Learn) · Copilot Cowork common questions (MS Learn)