외부 협업 문서보안 | 협력사에 보낸 파일의 권한은 언제 회수될까
협력사에 보낸 문서는 회수를 요청한 시점과 수신자가 더 이상 열 수 없는 시점이 다를 수 있습니다. 외부 협업의 문서보안 정책은 수신자 인증, 허용 작업, 오프라인 접근 기간, 회수 대상 사본을 함께 정해야 합니다. 계약 종료 때 회수 버튼을 누르는 것만으로 정책이 완성되지는 않습니다.
설계서·제안서·고객 자료를 외부에 전달하는 보안 담당자와 협업 시스템 운영자라면, 먼저 문서 유형별로 ‘누가, 무엇을, 언제까지 할 수 있는가’를 작성하세요. 아래에서는 Microsoft Purview 공식 문서에서 확인한 기능과 제한을 사례로 삼아 권한 수명주기를 설계합니다. 이 조건을 다른 DRM 제품에 그대로 적용해서는 안 됩니다.
1. 공유 전에 수신자와 허용 작업부터 정한다
외부 공유 정책의 출발점은 파일에 보호를 적용하는 일이 아니라 수신자와 업무를 구체화하는 일입니다. 견적 검토자에게 필요한 열람 권한과 공동 설계 담당자에게 필요한 편집 권한을 같은 묶음으로 처리하지 않는 편이 좋습니다.
Microsoft Purview 민감도 레이블에서는 지정 사용자·그룹에 대해 미리 정의된 권한 수준을 선택하거나 사용자 지정 사용 권한을 구성할 수 있습니다. 다만 권한을 설정할 수 있다는 사실과 협력사의 앱에서 원하는 작업만 허용된다는 것은 별개의 검증 항목입니다. 열람·편집·인쇄·재공유는 실제 사용할 파일과 앱으로 각각 시험해야 합니다.
근거: Microsoft Learn의 민감도 레이블 암호화 문서, 2026년 11월 6일 확인.
- 수신자: 실제 열람 담당자를 특정할 수 있는가? 담당자 교체 시 누가 변경을 승인하는가?
- 업무: 검토만 필요한가, 수정본을 작성해야 하는가, 인쇄가 필요한가?
- 유효 기간: 계약 전체 기간 동안 필요한가, 특정 검토 단계가 끝나면 종료해도 되는가?
- 전달 경로: 공유 저장소에서만 작업하는가, 다운로드한 파일도 사용하는가?
예를 들어 제안서 검토용 정책은 열람 중심으로, 공동 작성용 정책은 편집 중심으로 요구사항을 나눌 수 있습니다. 이는 정책 설계 예시이며, 특정 권한 조합의 지원 여부를 보장하는 설정 예시는 아닙니다.
2. 협력사 계정이 없다고 인증 절차를 생략하지 않는다
외부 사용자가 우리 조직의 계정을 갖고 있지 않을 때는 어떤 신원으로 문서를 열게 할지부터 결정해야 합니다. ‘외부 이메일 주소로 보냈으니 접근할 수 있을 것’이라고 가정하지 말고, 조직의 인증 정책과 협력사 계정 환경을 함께 확인해야 합니다.
Microsoft는 Microsoft Rights Management Services를 포함하고 외부 사용자에게 적용되는 조건부 접근 정책이 있는 경우를 별도로 설명합니다. 외부 사용자가 자기 조직의 Microsoft Entra 계정을 갖고 있다면, 교차 테넌트 접근 설정으로 외부 조직의 MFA 클레임에 대한 신뢰를 구성하도록 권고합니다. 외부 Entra 계정이 없거나 해당 신뢰 설정이 구성되지 않는 등 앞선 조건에 해당하지 않는 외부 사용자에게는 내 테넌트의 게스트 계정이 필요하다고 안내합니다.
따라서 모든 외부 사용자에게 무조건 게스트 계정이 필요하다는 결론도, 외부 이메일만 있으면 충분하다는 결론도 피해야 합니다. 실제 적용되는 조건부 접근 정책과 교차 테넌트 신뢰 설정을 기준으로 판단하세요.
근거: Microsoft Learn의 암호화 콘텐츠와 Microsoft Entra 구성 문서, 2026년 11월 6일 확인.
공유 전 시험에서는 협력사 역할의 허가된 계정으로 로그인부터 문서 열기까지 진행하고, 인증에 실패했을 때의 문의 담당자도 정해 두는 것이 좋습니다. 업무가 막힐 때 보호하지 않은 사본을 다시 보내는 방식이 기본 우회로가 되지 않도록 예외 승인 절차도 함께 마련하세요.
3. 오프라인 업무를 허용할수록 회수 시점도 따로 관리한다
계약 종료와 동시에 접근을 끝내야 하는 문서라면 오프라인 사용 조건이 중요한 선택 기준입니다. Microsoft Purview의 추적·회수 문서는 오프라인 접근이 허용된 경우, 회수한 문서라도 오프라인 정책 기간이 만료될 때까지 사용자가 계속 접근할 수 있다고 명시합니다.
즉, 관리자가 회수 요청을 처리했다는 기록만으로 즉시 재열람이 차단됐다고 보고해서는 안 됩니다. 정책에는 회수 요청 시점과 오프라인 정책 기간을 반영한 차단 판단 기준을 구분해 적어야 합니다.
업무 연속성과 회수 요구를 함께 결정하세요. 현장 업무처럼 연결이 불안정한 환경에는 오프라인 사용이 필요할 수 있습니다. 반대로 계약 종료 직후 접근 차단이 중요한 문서에는 긴 오프라인 허용 기간이 요구사항과 충돌할 수 있습니다. 보안팀이 허용 가능한 잔여 접근 기간을, 업무 부서가 필요한 오프라인 작업 기간을 제시한 뒤 조율하는 방식이 적절합니다.
회수 시험의 계정도 중요합니다. Microsoft Purview에서 문서에 레이블을 적용해 암호화한 Rights Management issuer는 회수된 문서도 계속 열 수 있는 예외가 있습니다. 따라서 보호 적용자 계정으로 열어 보고 회수 실패라고 판단하지 말고, 권한을 회수할 외부 수신자 역할의 허가된 시험 계정을 사용하세요.
근거: Microsoft Learn의 문서 추적·회수 관리자 문서 및 민감도 레이블 암호화 문서, 2026년 11월 6일 확인.
4. 원본 회수와 다운로드본 회수를 같은 작업으로 보지 않는다
회수 범위를 설계할 때는 파일 형식과 전달 경로를 먼저 확인해야 합니다. Microsoft Purview의 해당 관리자 문서가 설명하는 추적·회수 기능은 Office 파일 형식만 지원합니다. 관리자가 접근 성공·거부를 추적하거나 필요할 때 회수하려면 문서가 먼저 추적 등록돼 있어야 합니다. 이 기능을 모든 형식의 파일에 적용되는 회수 수단으로 간주해서는 안 됩니다.
다운로드본에는 별도의 주의가 필요합니다. 관리자 정의 권한으로 보호된 파일을 SharePoint 또는 OneDrive에서 다운로드하면 새 ContentID가 적용됩니다. 원래 ContentID를 이용한 추적에는 그 다운로드본의 접근이 포함되지 않으며, 원래 ContentID를 기준으로 회수해도 다운로드본의 접근은 회수되지 않는다고 Microsoft는 설명합니다.
따라서 ‘공유 저장소 원본을 회수했다’는 결과를 ‘외부에 전달된 모든 사본을 회수했다’는 결과로 확대하지 마세요. 시험 계획에는 저장소에서 여는 경우와 다운로드한 파일을 여는 경우를 나눠 넣고, 각 경로에서 회수 대상을 어떻게 식별하고 처리할지 확인해야 합니다.
같은 문서에 따르면 추적 데이터에는 접근 시도자의 이메일, 허용·거부 여부, 시각, 시도 출처의 도메인과 위치가 포함됩니다. 이 정보는 기록된 접근 시도를 판단하는 근거이지, 모든 사본의 회수 완료를 증명하는 근거는 아닙니다.
근거: Microsoft Learn의 문서 추적·회수 관리자 문서, 2026년 11월 6일 확인.
5. 문서 유형별 정책표를 만들고 계약 종료 전에 시험한다
다음 표는 제품 기능표가 아니라 보안팀과 업무 부서가 함께 채울 정책 검토표입니다. ‘지원함’이라는 답 대신 실제 수신자 환경에서 확인할 결과와 책임자를 기록하는 데 사용하세요.
| 정책 항목 | 결정할 내용 | 시험·확인할 결과 |
|---|---|---|
| 수신자 인증 | 허용할 사용자와 인증 경로, 계정 변경 승인자 | 협력사 역할 계정으로 인증하고 문서를 열 수 있는지 |
| 허용 작업 | 열람·편집·인쇄·재공유 중 필요한 작업 | 실제 파일 형식과 앱에서 허용·금지 작업이 구분되는지 |
| 오프라인 사용 | 필요한 작업 기간과 허용 가능한 잔여 접근 기간 | 정책 기간을 반영해 회수 후 접근 결과를 설명할 수 있는지 |
| 만료·회수 | 종료 조건, 처리 담당자, 원본·다운로드본의 대상 구분 | 수신자 역할 계정에서 각 전달 경로의 재열람 결과가 무엇인지 |
| 기록·예외 | 결과 기록 담당자와 예외 승인자·종료일 | 로그로 판단할 범위와 별도 확인할 범위가 구분돼 있는지 |
처음부터 모든 외부 문서를 대상으로 확대하기보다, 실제 공유 중인 문서 유형 하나를 골라 시험하는 편이 좋습니다. 허가된 시험 자료로 정상 열람과 필요한 작업을 확인한 뒤, 회수를 요청하고 온라인·오프라인 조건 및 다운로드본별 결과를 기록하세요. 필수 업무가 불가능하거나 요구한 종료 시점까지 접근 차단을 설명할 수 없다면, 적용 범위를 확대하기 전에 정책이나 전달 방식을 재검토해야 합니다.
계약 종료 점검표에는 문서 권한뿐 아니라 협력사 계정과 앱 세션·토큰의 회수 항목도 별도로 두세요. 계정·세션 정리를 설계할 때는 다음 글을 이어서 참고할 수 있습니다.
외부 협업 문서보안의 완료 기준은 회수 요청 자체가 아니라, 정한 수신자가 정한 조건에서 더 이상 접근할 수 있는지 설명할 수 있는 상태입니다. 수신자 인증, 허용 작업, 오프라인 기간, 사본별 회수 범위를 한 장의 정책표에 연결하는 것부터 시작하세요.
댓글
댓글 쓰기