중요 문서를 USB에 복사하거나 인쇄할 때도 확인할 수 있을까요?

연구원이 협력사 회의에 가져갈 자료를 준비하고 있습니다.

회사 PC에 있는 연구 결과 파일을 USB에 복사하고, 회의용으로 몇 장 인쇄하려 합니다.

메일로 보내거나 공유 링크를 만든 것은 아닙니다. 그렇다면 회사의 문서 보안과는 상관없는 일일까요?

그렇지 않습니다. 중요한 문서가 회사 PC에서 USB나 종이로 옮겨지는 것도 문서가 움직이는 길입니다.

이번 글에서는 이 길을 확인하는 Microsoft Purview Endpoint DLP를 쉽게 살펴보겠습니다.

PC 밖으로 나가는 문도 살펴봐야 합니다

앞선 글에서는 중요한 문서가 외부 메일이나 SharePoint·OneDrive 공유 링크로 나가는 상황을 살펴봤습니다.

하지만 문서가 움직이는 길은 인터넷에만 있지 않습니다.

• USB 저장장치로 복사하기
• 프린터로 인쇄하기
• 네트워크 공유 폴더로 옮기기
• 허용되지 않은 웹사이트에 업로드하기

Endpoint DLP는 이처럼 직원이 사용하는 PC에서 일어나는 문서 이동을 회사의 규칙에 따라 확인하는 기능입니다.¹

Microsoft 문서 기준으로 Endpoint DLP는 관리 대상으로 등록한 Windows 10·11과 최신 세 개 주요 버전의 macOS 등에서 사용할 수 있습니다.¹ 이 글에서는 회사가 관리하는 Windows PC를 기준으로 설명하겠습니다.

모든 USB와 인쇄를 막는 기능은 아닙니다

USB와 프린터는 업무에도 필요한 도구입니다. 무조건 막으면 중요한 자료는 지킬 수 있어도 정상적인 업무까지 멈출 수 있습니다.

그래서 회사가 먼저 약속을 정해야 합니다.

“‘기밀-연구자료’ 명찰이 붙은 문서를 USB에 복사하거나 인쇄할 때 확인한다.”

이 약속에는 세 가지 기준이 들어 있습니다.

1. 어떤 문서를 중요한 문서로 볼 것인가
2. USB 복사와 인쇄 중 어떤 행동을 확인할 것인가
3. 그 행동을 기록만 할 것인가, 경고할 것인가, 막을 것인가

Endpoint DLP는 이 기준에 맞는 행동이 일어날 때 회사가 정한 방식으로 반응합니다.

처음에는 기록하고, 다음에는 알리고, 꼭 필요할 때 막습니다

처음부터 빨간불로 모두 막을 필요는 없습니다.

Microsoft Purview에서는 규칙에 따라 감사, 재정의 허용 차단, 차단 같은 단계를 정할 수 있습니다.²

쉽게 말하면 먼저 실제 업무를 보고, 직원에게 한 번 더 생각할 기회를 주고, 반드시 지켜야 할 상황만 막는 순서입니다.

관리자는 관리 대상 장치와 정책 범위에서 기록이 정상적으로 들어오는지, 장치의 설정 상태와 정책 동기화 상태가 정상인지 함께 확인해야 합니다. 이렇게 확인된 기록을 기준으로 보호 범위를 꾸준히 점검하고 보완할 수 있습니다.

허용된 USB와 프린터는 따로 정할 수 있습니다

연구소에서 승인한 보안 USB나 지정된 사내 프린터는 업무에 꼭 필요할 수 있습니다.

Endpoint DLP는 USB 장치 그룹과 프린터 그룹을 만들어, 승인된 장치에는 다른 기준을 적용하도록 구성할 수 있습니다.³⁴

예를 들어 일반 USB로의 복사는 막되 회사가 관리하는 특정 USB에는 허용하거나, 외부 프린터 인쇄는 막고 지정된 사내 프린터만 허용하는 방식입니다.

중요한 것은 “USB를 막을까, 열어 둘까”의 두 가지 선택만 있는 것이 아니라는 점입니다. 회사가 허용한 업무 경로를 남기면서 위험한 경로를 줄이는 방식으로 설계할 수 있습니다.

문서 보호와 장치 관리는 역할이 다릅니다

Endpoint DLP는 회사가 중요하다고 정한 문서가 USB로 복사되거나 인쇄되는 행동을 확인합니다.

반면 회사가 승인한 USB만 사용하도록 장치 자체의 읽기·쓰기 기준을 관리해야 한다면, Microsoft Defender for Endpoint의 Device Control이나 Intune의 장치 정책을 함께 검토할 수 있습니다.⁷

쉽게 구분하면 다음과 같습니다.

두 기능은 경쟁하는 방식이 아닙니다. 중요 문서의 이동 기준과 회사 장치의 사용 기준을 함께 세우는 다층 보호로 볼 수 있습니다.

문서 형식도 실제 업무 기준으로 점검해야 합니다. Office와 PDF뿐 아니라 HWP·HWPX, 연구 장비에서 생성되는 파일처럼 회사에서 사용하는 주요 형식을 시험 목록에 넣고, 기록·경고·차단이 의도한 대로 이어지는지 확인해야 합니다.

목적은 특정 형식을 제외하는 것이 아니라, 회사가 사용하는 모든 중요 문서 형식에 맞는 보호 방법을 빠짐없이 마련하는 것입니다.

Business Premium만으로는 Endpoint DLP가 포함되지 않습니다

여기서 라이선스 구분이 중요합니다.

Microsoft 365 Business Premium에는 Exchange Online, SharePoint Online, OneDrive for Business의 핵심 DLP 기능이 포함됩니다.

하지만 PC에서 USB 복사와 인쇄 같은 행동을 확인하는 Endpoint DLP는 고급 Purview 기능입니다. Business Premium 환경에서는 Microsoft Purview Suite for Business Premium 또는 해당 기능이 포함된 상위 라이선스를 추가로 검토해야 합니다.⁵

정책의 보호 대상이 되는 사용자에게 필요한 라이선스가 배정되어 있는지도 함께 확인해야 합니다.

따라서 앞 글의 메일·공유 링크 DLP가 가능하다고 해서, 같은 라이선스로 PC의 USB와 인쇄까지 바로 통제할 수 있다고 보면 안 됩니다.

라이선스만 추가한다고 바로 작동하지는 않습니다

Endpoint DLP가 회사 PC에서 작동하려면 보호할 장치를 Microsoft Purview에 등록해야 합니다. Microsoft 문서에서는 이 과정을 장치 온보딩이라고 부릅니다.⁶

쉽게 말하면 회사가 이 PC를 문서 보안 규칙을 적용할 관리 대상 장치로 등록하는 것입니다.

이미 Microsoft Defender for Endpoint에 온보딩된 장치는 Purview의 관리 장치 목록에도 표시되므로 같은 장치를 다시 온보딩할 필요는 없습니다. 이 경우 장치 모니터링과 정책 적용 상태가 정상인지 확인하면 됩니다.⁶

정책이 적용되려면 사용자와 장치가 모두 정책의 대상에 포함되어야 하며, 장치의 설정 상태와 정책 동기화 상태도 정상인지 확인해야 합니다.¹⁶

그래서 Endpoint DLP는 관리자 화면에서 규칙 하나를 켜는 것만으로 끝나는 기능이 아닙니다.

라이선스 → 장치 등록 → 문서 기준 → 행동 규칙 → 실제 PC 시험이 함께 준비되어야 합니다.

한 대의 시험 PC에서 시작합니다

처음부터 전 직원의 USB와 인쇄를 제한하면 업무에 예상하지 못한 문제가 생길 수 있습니다.

작게 시작하면 확인할 것이 분명해집니다.

1. 시험 사용자와 시험 PC 한 대를 정합니다.
2. 실제 고객 정보가 없는 시험용 기밀-연구자료 문서를 준비합니다.
3. 회사에서 사용하는 주요 문서 형식을 시험 목록에 넣습니다.
4. 먼저 USB 복사와 인쇄 활동을 기록만 합니다.
5. 기록이 정상적으로 보이면 경고를 적용합니다.
6. 업무상 허용해야 할 USB와 프린터를 확인한 뒤 필요한 상황만 차단합니다.

Microsoft도 정책을 바로 강제하기 전에 시뮬레이션과 정책 팁을 활용해 시험하도록 안내합니다.³

오늘은 이것만 기억해 주세요

중요 문서가 회사 밖으로 나가는 길은 메일과 공유 링크만이 아닙니다.

USB 복사와 인쇄처럼 PC에서 일어나는 행동도 문서 보안의 범위에 들어갑니다.

Microsoft Purview Endpoint DLP는 중요한 문서가 이런 길로 움직일 때 회사의 기준에 따라 기록하고, 한 번 더 알리고, 필요하면 멈추도록 도울 수 있습니다. 장치 자체의 사용 기준이 필요하다면 Device Control과 Intune을 함께 설계할 수 있습니다.

다만 Business Premium의 기본 DLP와 Endpoint DLP는 라이선스 범위가 다르고, 보호할 PC의 온보딩과 실제 업무 시험이 필요합니다.

다음 글에서는 중요한 문서를 외부 웹사이트나 생성형 AI 서비스에 올리려 할 때 어떤 기준을 세울 수 있는지 살펴보겠습니다.

우리 회사의 중요 문서가 USB·인쇄를 통해 이동하는 상황까지 점검하고 싶으신가요?

카이온아이티가 현재 라이선스와 PC 관리 상태를 확인하고, 업무를 불필요하게 막지 않는 Endpoint DLP 시험 범위부터 함께 설계해 드립니다.

Microsoft 365 문서 보안 상담하기

참고 자료

1. Learn about Endpoint data loss prevention — Microsoft Learn
2. Data Loss Prevention policy reference — Microsoft Learn
3. Create policy to manage printer access using authorization groups — Microsoft Learn
4. Configure endpoint DLP settings — Microsoft Learn
5. Microsoft Purview Licensing Guidance — Microsoft
6. Onboard Windows devices into Microsoft 365 overview — Microsoft Learn
7. Device control in Microsoft Defender for Endpoint — Microsoft Learn