Microsoft Certified: Security, Compliance, and Identity Fundamentals(SC-900)는 Microsoft 보안 자격증 라인업의 첫 관문입니다. 방화벽을 설정하거나 탐지 규칙을 작성하는 시험이 아니라 "이 위협에는 어떤 Microsoft 서비스가 대응하는지, 이 규정 준수 요구에는 어떤 도구를 쓰는지"를 구분할 수 있는지 확인하는 Fundamentals 레벨 자격증이라, 보안 실무 경험이 없어도 도전할 수 있습니다.
이 글은 SC-900 도메인별 딥다이브 8편 시리즈의 안내서입니다. 개별 주제로 들어가기 전에 시험 구조와 응시 대상, 그리고 이 자격증이 Azure 커리어에서 어디에 위치하는지 전체 지도를 먼저 그려봅니다.
---
SC-900은 누구를 위한 자격증인가?
SC-900은 침입을 직접 막아낼 수 있는지 묻지 않습니다. 대신 출입증을 확인하는 곳, CCTV를 지켜보는 곳, 문서 보관 규정을 관리하는 곳이 각각 어디인지 아는지를 봅니다. 건물 경비원이 아니어도 어느 창구에 무엇을 물어야 하는지 알면 건물을 안전하게 이용할 수 있는 것과 같습니다.
이 자격증은 특히 다음과 같은 분들에게 잘 맞습니다.
| 대상 | 이 자격증이 맞는 이유 | |------|------| | 비개발 직군(영업·기획·법무·컴플라이언스·감사) | 보안·규정 준수 요구사항을 Microsoft 서비스 이름과 연결해 논의 | | IT 입문자·학생 | 보안 분야 커리어를 시작하기 전 전체 지형 파악 | | Microsoft 365·Azure 관리자 | 이미 쓰는 Entra ID·Defender·Purview 기능을 체계적으로 정리 | | 보안 직무 전환 희망자 | SC-300·SC-200 같은 Associate 자격증으로 가기 전 단계 | | 매니저·의사결정자 | 제로 트러스트와 공유 책임 모델을 이해해 보안 투자 판단 근거 확보 |
응시에 필요한 사전 자격이나 필수 코스는 없습니다. 한국어로 응시할 수 있고, Fundamentals 자격증은 만료되지 않습니다. 다만 Microsoft는 Azure와 Microsoft 365에 익숙한 응시자를 가정하므로, 두 서비스를 한 번도 써 보지 않았다면 AZ-900 가이드로 기초 용어부터 잡는 편이 수월합니다.
---
시험 기본 정보
| 항목 | 내용 | |------|------| | 시험 코드 | SC-900 | | 정식 명칭 | Microsoft Certified: Security, Compliance, and Identity Fundamentals | | 레벨 | Fundamentals (입문) | | 합격 점수 | 700점 (1,000점 만점) | | 시험 시간 | 45분 (안내·동의 절차 포함 좌석 시간 65분) | | 문항 수 | 시험마다 다름 (Microsoft는 정확한 문항 수를 공개하지 않음) | | 응시료 | 응시 국가에 따라 다름 (미국 기준 99 USD) | | 유효 기간 | 만료 없음 (갱신 불필요) | | 응시 언어 | 한국어 포함 13개 언어 | | 응시 방식 | Pearson VUE 시험장 또는 온라인 감독 시험 | | 사전 요건 | 없음 |
시험 시간이 45분으로 짧아 한 문항에 오래 머물 여유가 없습니다. 헷갈리는 문제는 검토 표시를 해두고 넘어간 뒤 마지막에 돌아오는 방식이 안전합니다. 불합격하면 24시간 뒤에 재응시할 수 있고, 그다음부터는 매번 14일을 기다려야 하며 12개월 동안 최대 5회까지 응시할 수 있습니다.
---
시험 도메인 구성
SC-900은 4개의 도메인으로 구성되며, 각 도메인의 출제 비중은 범위로 공개됩니다. 아래는 2026년 10월 21일부터 적용되는 공식 출제 범위 기준입니다.
| 도메인 | 주제 | 비율 | 딥다이브 | |------|------|------|------| | 도메인 1 | 보안, 규정 준수, ID 개념 설명 | 10~15% | 1편 | | 도메인 2 | Microsoft Entra의 기능 설명 | 25~30% | 2편 | | 도메인 3 | Microsoft 보안 솔루션의 기능 설명 | 35~40% | 2편 | | 도메인 4 | Microsoft 규정 준수 솔루션의 기능 설명 | 20~25% | 3편 |
도메인 3이 35~40%로 가장 높은 비중을 차지합니다. Azure 네트워크 보안부터 Defender for Cloud, Microsoft Sentinel, Defender XDR까지 서비스 이름이 가장 많이 나오는 영역이라 학습 시간을 가장 많이 배정해야 합니다. 반대로 도메인 1은 10~15%로 비중이 작지만, 여기서 다루는 제로 트러스트·인증·권한 부여 개념이 나머지 세 도메인의 전제가 되므로 건너뛰면 안 됩니다.
!SC-900 시험 4개 도메인 비중
도메인 1: 보안, 규정 준수, ID 개념 설명 (10~15%)
서비스가 아니라 개념을 묻는 영역입니다. 뒤의 세 도메인이 모두 이 용어 위에 세워지므로 가장 먼저 공부합니다.
주요 내용: 공유 책임 모델, 심층 방어, 제로 트러스트, 암호화와 해싱, GRC(거버넌스·위험·규정 준수), 인증과 권한 부여, ID 공급자, 디렉터리 서비스와 Active Directory, 페더레이션.
시험 팁: "당신은 누구인가"를 확인하는 것이 인증(Authentication), "무엇을 할 수 있는가"를 정하는 것이 권한 부여(Authorization)입니다. 암호화는 키로 되돌릴 수 있고 해싱은 되돌릴 수 없다는 차이도 함께 정리하세요.
관련 글: 보안, 규정 준수, ID 핵심 개념
도메인 2: Microsoft Entra의 기능 설명 (25~30%)
Microsoft의 ID·액세스 관리 서비스인 Microsoft Entra를 다룹니다. 로그인 한 번이 통과되기까지 어떤 기능이 차례로 관여하는지 흐름으로 이해하면 쉽습니다.
주요 내용: Microsoft Entra ID, ID 유형(워크로드 ID 포함), 하이브리드 ID, 인증 방법과 MFA, 암호 보호, 조건부 액세스, Entra 역할과 RBAC, ID 거버넌스, 액세스 검토, Privileged Identity Management(PIM), ID Protection.
시험 팁: "필요한 시간에만 관리자 권한을 부여한다" → PIM. "위험한 로그인을 자동으로 탐지한다" → ID Protection. "조건에 따라 접근을 허용하거나 차단한다" → 조건부 액세스.
관련 글: Microsoft Entra ID와 인증, 액세스 관리와 ID 거버넌스
도메인 3: Microsoft 보안 솔루션의 기능 설명 (35~40%)
Azure 인프라 보안 서비스와 Microsoft의 위협 탐지·대응 제품군을 다룹니다. 제품 이름이 비슷해 가장 헷갈리는 영역입니다.
주요 내용: Azure DDoS Protection, Azure Firewall, Web Application Firewall(WAF), 네트워크 보안 그룹(NSG), Azure Bastion, Azure Key Vault, Microsoft Defender for Cloud와 CSPM, Microsoft Sentinel(SIEM·SOAR), Microsoft Defender XDR(Defender for Office 365·Endpoint·Cloud Apps·Identity), Defender 포털.
시험 팁: "여러 소스의 로그를 모아 위협을 탐지하고 대응을 자동화한다" → Microsoft Sentinel. "Azure 리소스의 보안 상태를 점수로 보여주고 권장 사항을 준다" → Defender for Cloud. "이메일·엔드포인트·ID·앱에 걸친 공격을 하나로 묶어 본다" → Defender XDR.
관련 글: Azure 보안 서비스, Microsoft Sentinel과 Defender XDR
도메인 4: Microsoft 규정 준수 솔루션의 기능 설명 (20~25%)
Microsoft Purview를 중심으로 데이터를 분류·보호하고 규정 준수 상태를 관리하는 도구를 다룹니다.
주요 내용: Service Trust Portal과 Microsoft의 개인 정보 보호 원칙, Purview 포털, Compliance Manager와 규정 준수 점수, 데이터 분류, 민감도 레이블, DLP(데이터 손실 방지), 레코드 관리와 보존 정책, 내부자 위험 관리, eDiscovery, 감사.
시험 팁: "Microsoft의 감사 보고서와 규정 준수 문서를 찾는다" → Service Trust Portal. "우리 조직의 규정 준수 상태를 점수로 평가한다" → Compliance Manager. "민감한 정보가 조직 밖으로 나가는 것을 막는다" → DLP.
관련 글: Service Trust Portal과 개인 정보 보호, Purview 규정 준수와 정보 보호, 내부자 위험, eDiscovery, 감사
---
SC-900은 Microsoft 보안 자격증 로드맵에서 어디에 있을까?
Microsoft 보안 자격증도 Fundamentals, Associate, Expert 순서로 올라갑니다. SC-900은 그 출발점입니다.
| 구분 | SC-900 | SC-300 | SC-100 | |------|------|------|------| | 레벨 | Fundamentals | Associate | Expert | | 정식 명칭 | Security, Compliance, and Identity Fundamentals | Identity and Access Administrator Associate | Cybersecurity Architect Expert | | 주요 대상 | 비개발 직군 포함 전 직군 | Microsoft Entra로 ID·액세스를 설계·운영하는 관리자 | 조직 전체의 보안 전략을 설계하는 아키텍트 | | 사전 자격 | 없음 | 없음 | Associate 보안 자격증 1개 필수 (SC-300, SC-200 등) | | 유효 기간 | 만료 없음 | 1년 (무료 온라인 갱신) | 1년 (무료 온라인 갱신) |
SC-900에서 익힌 제로 트러스트·조건부 액세스·Defender·Purview 개념은 상위 자격증에서 그대로 전제 지식으로 쓰입니다. ID와 액세스 관리 쪽으로 가려면 SC-300, 위협 탐지와 대응을 맡는 보안 운영 쪽으로 가려면 SC-200(Security Operations Analyst Associate)이 다음 단계입니다. Azure 자체의 기초가 부족하다고 느끼면 AZ-900 가이드를, Azure 운영 실무까지 넓히려면 AZ-104 가이드를 함께 보세요.
---
초보자를 위한 학습 로드맵
보안을 처음 공부하는 분을 위한 단계별 학습 순서입니다.
1단계(3~5일): 개념 잡기. 도메인 1의 제로 트러스트, 심층 방어, 인증과 권한 부여를 먼저 정리합니다. 분량은 적지만 뒤의 모든 내용이 이 용어를 씁니다.
2단계(1주): Microsoft Entra 익히기. 로그인 → MFA → 조건부 액세스 → 역할 부여 순서로 한 번의 접근이 통과되는 흐름을 그려보고, PIM·액세스 검토·ID Protection을 그 위에 얹습니다.
3단계(1~2주): 보안 솔루션 정리하기. 비중이 가장 큰 영역입니다. Azure 네트워크 보안(DDoS Protection·Firewall·NSG·Bastion), Defender for Cloud, Sentinel, Defender XDR을 "무엇을 보호하는가" 기준으로 표로 만듭니다.
4단계(1주): 규정 준수와 문제 풀이. Purview의 기능을 "분류 → 보호 → 보존 → 조사" 순서로 정리한 뒤, Microsoft Learn의 Practice Assessment로 약한 도메인을 확인합니다.
가장 흔한 실수는 Defender라는 이름이 붙은 제품을 한 덩어리로 외우는 것입니다. Defender for Cloud는 클라우드 리소스의 보안 상태를, Defender XDR은 이메일·엔드포인트·ID·앱에 대한 위협을 다룬다는 식으로 보호 대상부터 나누면 헷갈림이 크게 줄어듭니다.
---
시험 응시 체크리스트
시험은 Pearson VUE를 통해 예약하며, 시험장 방문과 온라인 감독 시험 중에서 선택할 수 있습니다. 예약 전에 Microsoft Learn의 시험 샌드박스에서 실제 시험 화면을 미리 체험해 두면 당일에 화면 조작으로 시간을 쓰지 않습니다.