SC-900 도메인 4(20~25%)의 공식 출제 범위에는 "민감도 레이블과 민감도 레이블 정책", "보존 정책, 보존 레이블, 보존 레이블 정책"처럼 이름이 거의 같은 항목이 나란히 적혀 있습니다. 문제도 이 차이를 그대로 묻습니다. 레이블과 레이블 정책이 각각 무엇을 정하는지, 보존 정책과 보존 레이블이 어떤 단위로 적용되는지 구분하지 못하면 보기 네 개가 모두 정답처럼 보입니다.
이 글은 Microsoft Purview의 정보 보호와 데이터 수명 주기 관리를 "데이터 알기 → 보호하기 → 보존하고 삭제하기" 순서로 정리합니다. 민감한 정보 유형과 학습 가능한 분류자, Content explorer와 Activity explorer, 민감도 레이블과 레이블 정책, 보존 정책과 보존 레이블, 레코드 관리, 그리고 데이터 거버넌스까지 다룹니다.
---
데이터 분류: 무엇이 민감한지부터 알아야 한다
도서관에 책이 백만 권 있어도 분류 번호가 없으면 귀중본이 어디 있는지 알 수 없습니다. 데이터도 마찬가지입니다. 보호 정책을 걸기 전에 어떤 문서와 이메일에 민감한 정보가 들어 있는지 먼저 찾아내야 하고, Purview는 이를 자동으로 분류하는 세 가지 방법을 제공합니다.
| 방법 | 찾는 방식 | 잘 맞는 데이터 | |------|------|------| | 민감한 정보 유형 (SIT) | 정규식, 키워드, 체크섬 같은 패턴으로 일치 항목을 찾음 | 신용카드 번호, 여권 번호, 은행 계좌 번호 | | 정확한 데이터 일치 (EDM) | 조직 데이터베이스에 있는 실제 값과 정확히 일치하는지 확인 | 직원 ID, 환자 기록 번호, 고객 번호 | | 학습 가능한 분류자 | AI와 머신 러닝으로 문서가 "어떤 종류인지" 판단 | 계약서, 이력서, 인보이스, 소스 코드 |
민감한 정보 유형은 어떻게 판단하나
민감한 정보 유형은 숫자 열세 자리만 보고 주민등록번호라고 단정하지 않습니다. 근처에 "주민등록번호" 같은 단어가 있는지 함께 보고 확신의 정도를 정합니다.
| 구성 요소 | 의미 | |------|------| | 기본 요소 | 주로 찾는 패턴 (정규식, 키워드 목록, 함수 등) | | 지원 요소 | 일치 가능성을 높여 주는 보강 증거 (근처의 관련 키워드 등) | | 신뢰 수준 | 낮음·중간·높음, 높을수록 오탐이 적지만 놓치는 항목이 늘 수 있음 | | 근접성 | 지원 요소가 기본 요소와 몇 글자 안에 있어야 하는지 |
Microsoft가 만들어 둔 기본 제공 유형을 그대로 쓰거나, 복사해서 조직에 맞는 사용자 지정 유형을 만들 수 있습니다. 이렇게 정의한 분류는 DLP 정책, 민감도 레이블과 보존 레이블의 자동 적용, 내부자 위험 관리, 통신 규정 준수에서 공통으로 쓰입니다.
학습 가능한 분류자
학습 가능한 분류자는 패턴이 아니라 내용의 성격으로 판단합니다. Microsoft가 미리 학습시켜 바로 쓸 수 있는 분류자(이력서, 재무 문서, 괴롭힘 표현 등)가 있고, 원하는 분류자가 없으면 "확실히 해당하는 샘플"과 "확실히 아닌 샘플"을 넣어 직접 학습시킨 뒤 정확도를 검증하고 게시합니다. 암호화된 항목에는 작동하지 않는다는 점도 기억하세요.
시험 팁: "신용카드 번호처럼 형식이 정해진 정보"는 민감한 정보 유형, "데이터베이스에 있는 실제 값과 정확히 일치"는 EDM, "계약서처럼 정해진 패턴은 없지만 문서 종류가 분명한 것"은 학습 가능한 분류자입니다.
---
Content explorer vs Activity explorer
분류가 끝나면 결과를 들여다볼 창이 필요합니다. 창고 재고 목록이 "지금 무엇이 몇 개 어디에 있는가"를 보여 준다면, 출입 기록은 "누가 무엇을 가지고 나갔는가"를 보여 줍니다. Purview의 두 탐색기가 이 역할을 나눠 맡습니다.
| 구분 | Content explorer | Activity explorer | |------|------|------| | 보여 주는 것 | 민감도 레이블·보존 레이블이 붙었거나 민감한 정보 유형으로 분류된 항목의 현재 스냅샷 | 레이블이 붙거나 발견된 콘텐츠에 사용자가 한 작업 | | 답하는 질문 | 민감한 데이터가 무엇이고, 몇 개이며, 어디에 있나? | 누가 그 데이터로 무엇을 했나? | | 대표 예 | Exchange·SharePoint·OneDrive에 있는 신용카드 번호 포함 파일 수 | 레이블을 "기밀"에서 "일반"으로 낮춤, USB로 복사, 인쇄 | | 접근 권한 | 파일 내용을 볼 수 있어 지정된 역할 그룹만 접근 | 필터로 레이블·사용자·활동별 세부 정보 확인 |
시험 팁: "무엇이 어디에 있는가"는 Content explorer, "어떤 활동이 있었는가"는 Activity explorer입니다. Activity explorer는 엔드포인트 DLP 신호도 받아 Windows·macOS 디바이스의 인쇄나 USB 복사까지 보여 줍니다.
---
민감도 레이블: 문서를 따라다니는 보호 도장
종이 문서에 찍는 "대외비" 도장을 떠올려 보세요. 도장은 문서가 어디로 가든 함께 갑니다. 민감도 레이블도 문서나 이메일의 메타데이터에 일반 텍스트로 저장되어, 파일이 복사되거나 메일에 첨부되어도 보호 설정과 함께 이동합니다. 항목 하나에는 한 번에 민감도 레이블 하나만 붙습니다.
| 레이블로 할 수 있는 일 | 예 | |------|------| | 암호화 | 지정한 사용자·그룹만 열 수 있게 하고, 가능한 작업과 기간을 정함 | | 콘텐츠 표시 | 워터마크, 머리글, 바닥글 추가 | | 자동 적용 또는 권장 | 민감한 정보 유형이 발견되면 레이블을 자동으로 붙이거나 사용자에게 권장 | | 컨테이너 보호 | Teams, Microsoft 365 그룹, SharePoint 사이트의 접근 설정을 제어 | | 타사 앱으로 확장 | Microsoft Information Protection SDK로 다른 앱도 레이블을 읽고 보호 적용 | | 보호 없이 분류만 | 암호화나 표시 없이 태그만 붙여 사용 현황을 보고 |
레이블 범위
레이블을 만들 때 어떤 종류의 콘텐츠에 쓸지 범위를 정합니다.
| 범위 | 대상 | |------|------| | 파일 및 기타 데이터 자산 | Word·Excel·PowerPoint·PDF 파일, Fabric·Power BI 항목 | | 이메일 | Outlook 메일 | | 모임 | 일정, Teams 모임 옵션, Teams 채팅 | | 그룹 및 사이트 | SharePoint 사이트, Teams 사이트, Microsoft 365 그룹 (안의 파일에 레이블이 자동으로 붙지는 않음) |
민감도 레이블 정책
레이블은 만들기만 해서는 아무도 쓸 수 없습니다. 민감도 레이블 정책으로 게시해야 해당 사용자의 Office 앱에 레이블이 나타납니다. 레이블 정책에서 정하는 것은 다음과 같습니다.
레이블을 볼 수 있는 사용자와 그룹 새 문서와 이메일에 자동으로 붙는 기본 레이블 레이블을 낮추거나 제거할 때 사유 입력 요구 저장하거나 보내기 전에 반드시 레이블을 고르게 하는 필수 레이블 레이블 의미를 설명하는 사용자 지정 도움말 링크
시험 팁: 레이블은 "무엇을 어떻게 보호할지", 레이블 정책은 "누구에게 어떤 규칙으로 보여 줄지"를 정합니다. "모든 새 문서에 기본 레이블 적용", "레이블을 낮출 때 사유 요구"는 레이블이 아니라 레이블 정책의 설정입니다.
관련 글: Purview 규정 준수와 정보 보호
---
보존 정책 vs 보존 레이블 vs 보존 레이블 정책
아파트 관리 규칙이 "모든 세대는 분리수거를 한다"처럼 단지 전체에 똑같이 적용된다면, 이삿짐 상자에 붙인 "10년 보관" 스티커는 그 상자에만 적용되고 상자를 옮겨도 따라갑니다. 보존 정책이 관리 규칙, 보존 레이블이 스티커입니다.
보존 설정은 세 가지 결과 중 하나를 정합니다. 기간 동안 또는 영원히 보존만 하거나, 기간이 지나면 삭제만 하거나, 일정 기간 보존한 뒤 삭제합니다. 보존 설정이 걸린 콘텐츠는 원래 위치에 그대로 있고, 사용자가 편집하거나 삭제하면 원본 사본이 보이지 않는 안전한 위치에 자동으로 보관됩니다. 적용 대상은 Exchange, SharePoint, OneDrive, Teams, Viva Engage입니다.
| 구분 | 보존 정책 | 보존 레이블 | |------|------|------| | 적용 단위 | 사이트·사서함 같은 컨테이너 단위 | 문서·이메일·폴더 같은 개별 항목 단위 | | 한 항목에 여러 개 | 여러 정책이 동시에 적용될 수 있음 | 한 번에 하나만 | | 항목을 옮기면 | 설정이 따라가지 않음 (원래 컨테이너 기준) | 같은 Microsoft 365 테넌트 안에서는 따라감 | | 적용 방법 | 위치(사이트·사서함·사용자)를 지정 | 사용자가 직접 적용, 조건에 따라 자동 적용, SharePoint 기본 레이블 | | 폐기 검토 | 지원하지 않음 | 삭제 전에 검토자가 확인 가능 | | 레코드 선언 | 불가 | 항목을 레코드로 표시 가능 |
보존 레이블 정책
보존 레이블도 민감도 레이블처럼 만든 뒤 게시해야 쓸 수 있습니다. 보존 레이블 정책은 어떤 위치(Exchange 사서함, SharePoint 사이트, OneDrive 계정)와 어떤 사용자가 레이블을 쓸 수 있는지 정하고, 조건에 맞는 항목에 레이블을 자동으로 붙이도록 설정할 수도 있습니다.
설정이 겹치면 무엇이 이기나
한 항목에 여러 보존 설정이 걸리면 다음 원칙으로 결과를 정합니다.
보존이 삭제보다 우선합니다. 보존 기간은 가장 긴 것이 이깁니다. 삭제 시점은 보존 레이블의 삭제 작업이 보존 정책보다 우선하고, 같은 조건이면 가장 짧은 삭제 기간이 이깁니다.
예를 들어 한 SharePoint 사이트의 모든 문서는 5년, 그중 일부 계약서는 10년 보관해야 한다면, 사이트에 5년 보존 정책을 걸고 계약서에만 10년 보존 레이블을 붙이면 됩니다.
!레이블은 무엇을 정하고, 정책은 어디에 누구에게 적용할지 정한다
시험 팁: "사이트 전체에 같은 규칙"은 보존 정책, "특정 문서만 다른 기간·레코드로 관리"는 보존 레이블, "레이블을 어느 위치와 사용자에게 쓰게 할지"는 보존 레이블 정책입니다.
---
레코드 관리: 고칠 수도 지울 수도 없게
계약서 원본을 금고에 넣고 봉인하는 것과 같습니다. 레코드 관리는 보존 레이블로 항목을 레코드로 표시해 편집과 삭제를 막고, 모든 활동을 기록하며, 보존 기간이 끝나면 폐기 증거까지 남깁니다.
| 동작 | 일반 보존 레이블 | 레코드 (잠금 상태) | 규정 레코드 | |------|------|------|------| | 내용 편집 | 가능 | 차단 | 차단 | | 삭제 | 가능 | 차단 | 차단 | | 레이블 변경·제거 | 가능 | 컨테이너 관리자만 가능 | 누구도 불가 (전역 관리자 포함) | | 사용 조건 | 기본 제공 | 기본 제공 | 관리자가 PowerShell로 옵션을 켜야 사용 가능 |
함께 알아둘 기능은 다음과 같습니다.
이벤트 기반 보존: 만든 날이 아니라 "퇴사", "계약 만료" 같은 사건이 기록된 시점부터 보존 기간을 계산 폐기 검토: 보존 기간이 끝난 항목을 지정된 검토자가 확인한 뒤 삭제를 승인하거나 보존을 연장 폐기 증명: 언제 어떻게 영구 삭제되었는지 기록을 남겨 감사인에게 제시 파일 계획: 모든 보존 레이블과 보존 일정을 한곳에서 관리하고, 다른 시스템의 보존 일정을 가져옴
시험 팁: "전역 관리자도 레이블을 제거할 수 없어야 한다"는 규정 레코드입니다. 되돌릴 수 없는 결과를 낳기 때문에 기본으로는 선택지에 나타나지 않습니다.
---
데이터 거버넌스: Data Map과 Unified Catalog
지금까지 본 기능이 Microsoft 365 안의 문서와 이메일을 보호하고 보존한다면, 데이터 거버넌스는 회사 전체 데이터의 "지도"를 만드는 일입니다. 도서관 목록이 책 내용 대신 제목과 위치를 기록하듯, Microsoft Purview Data Map은 온프레미스, 멀티클라우드, SaaS의 데이터 원본을 자동으로 스캔해 메타데이터(데이터에 대한 설명 정보)를 기록하고 민감한 데이터를 분류합니다. 실제 데이터 자체에 대한 접근 권한은 주지 않습니다.
Microsoft Purview Unified Catalog는 Data Map이 모은 메타데이터 위에서 마케팅·재무 같은 거버넌스 도메인과 데이터 제품, 용어집을 관리해, 사용자가 믿을 수 있는 데이터를 찾고 쓸 수 있게 합니다.