Azure Rights Management 암호화 서비스에 대해 알아보기

Azure RMS로 약어되는 Azure Rights Management는 Microsoft Purview Information Protection 기본 클라우드 기반 암호화 서비스입니다.

Azure Rights Management는 암호화, ID 및 권한 부여 정책을 사용하여 휴대폰, 태블릿 및 PC를 포함하는 여러 디바이스에서 파일 및 이메일과 같은 항목을 보호하는 데 도움이 됩니다.

예를 들어 직원이 파트너 회사에 문서를 전자 메일로 보내거나 클라우드 드라이브에 문서를 저장하는 경우 Azure Rights Management의 영구 암호화를 통해 데이터를 보호할 수 있습니다.

• 암호화 설정은 organization 경계를 벗어나더라도 데이터와 함께 유지되며 organization 내부 및 외부에서 콘텐츠를 보호합니다.

• 규정 준수, 법적 검색 요구 사항 또는 정보 관리에 대한 모범 사례에는 암호화가 법적으로 필요할 수 있습니다.

• Microsoft Purview Information Protection Microsoft 365 구독 또는 구독에서 Azure Rights Management를 사용합니다. 자세한 내용은 보안 & 규정 준수에 대한 Microsoft 365 라이선스 지침을 참조하세요.

Azure Rights Management를 사용하면 검색 및 인덱싱과 같은 권한이 있는 사용자와 서비스가 암호화된 데이터를 계속 읽고 검사할 수 있습니다.

"데이터에 대한 추론"이라고도 하는 권한 있는 사용자 및 서비스에 대한 지속적인 액세스를 보장하는 것은 organization 데이터를 제어하는 데 중요한 요소입니다. 피어 투 피어 암호화를 사용하는 다른 정보 보호 솔루션에서는 이 기능을 쉽게 수행할 수 없습니다.

보호 기능

공동 작업 기능

플랫폼 지원 기능

Azure Rights Management 서비스는 다음을 비롯한 광범위한 플랫폼 및 애플리케이션을 지원합니다.

인프라 기능

Azure Rights Management 서비스는 IT 부서 및 인프라 조직을 지원하는 다음 기능을 제공합니다.

• 간단하고 유연한 정책 만들기
• 간편한 활성화
• 감사 및 모니터링 서비스
• organization 확장할 수 있는 기능
• 데이터에 대한 IT 제어 유지 관리

간단하고 유연한 정책 만들기

민감도 레이블로 적용되는 암호화 설정은 관리자가 정보 보호 정책을 적용하고 사용자가 필요에 따라 각 항목에 대해 올바른 수준의 보호를 적용할 수 있는 빠르고 쉬운 방법을 제공합니다.

예를 들어 회사 차원의 전략 문서를 모든 직원과 공유하려면 모든 내부 직원에게 읽기 전용 정책을 적용합니다. 재무 보고서와 같은 더 중요한 문서의 경우 임원에 대한 액세스만 제한합니다.

자세한 내용은 민감도 레이블을 사용하여 암호화를 적용하여 콘텐츠에 대한 액세스 제한을 참조하세요.

간편한 활성화

새 구독의 경우 정품 인증은 자동입니다. 기존 구독의 경우 Rights Management 서비스를 활성화 하려면 두 개의 PowerShell 명령만 필요합니다.

감사 및 모니터링 서비스

이러한 파일이 organization 경계를 벗어나더라도 암호화된 파일의 사용량을 감사하고 모니터링합니다.

예를 들어 Contoso, Ltd 직원이 Fabrikam, Inc.의 3명과 공동 프로젝트를 진행하는 경우 Fabrikam 파트너에게 암호화되고 읽기 전용으로 제한된 문서를 보낼 수 있습니다.

Azure Rights Management 감사는 다음 정보를 제공할 수 있습니다.

• Fabrikam 파트너가 문서를 열었는지 여부와 시기.

• 문서를 지정하지 않은 다른 사용자가 문서를 열지 않았는지 여부입니다. 이 문제는 전자 메일이 전달되었거나 공유 위치에 저장된 경우에 발생할 수 있습니다.

관리자는 문서 사용량을 추적하고 Office 파일에 대한 액세스를 취소할 수 있습니다. 사용자는 필요에 따라 레이블이 지정되고 암호화된 문서에 대한 액세스를 취소 할 수 있습니다.

organization 확장할 수 있는 기능

Azure Rights Management는 확장 및 확장하기 위해 Azure 탄력성이 있는 클라우드 서비스로 실행되므로 추가 온-프레미스 서버를 프로비전하거나 배포할 필요가 없습니다.

데이터에 대한 IT 제어 유지 관리

조직은 다음과 같은 IT 제어 기능을 활용할 수 있습니다.

보안, 규정 준수 및 규정 요구 사항

Azure Rights Management는 다음과 같은 보안, 규정 준수 및 규정 요구 사항을 지원합니다.

• 업계 표준 암호화를 사용하고 FIPS 140-2를 지원합니다. 자세한 내용은 암호화 컨트롤: 알고리즘 및 키 길이 정보를 참조하세요.

• nCipher nShield HSM(하드웨어 보안 모듈)을 지원 하여 Microsoft Azure 데이터 센터에 테넌트 키를 저장합니다.

  Azure Rights Management는 북아메리카, EMEA(유럽, 중동 및 아프리카) 및 아시아의 데이터 센터에 별도의 보안 세계를 사용하므로 해당 지역에서만 키를 사용할 수 있습니다.

• 다음 표준에 대한 인증:

  • ISO/IEC 27001:2013(./includes ISO/IEC 27018)
  • SOC 2 SSAE 16/ISAE 3402 증명
  • HIPAA BAA
  • EU 모델 절
  • FedRAMP는 Office 365 인증의 Microsoft Entra ID의 일부로, HHS에 의해 운영하기 위해 FedRAMP 기관 기관을 발행했습니다.
  • PCI DSS 수준 1

이러한 외부 인증에 대한 자세한 내용은 Microsoft 보안 센터를 참조하세요.

질문과 대답

Microsoft Purview Information Protection Azure Rights Management 암호화 서비스에 대한 질문과 대답 중 일부는 다음과 같습니다.

Azure Rights Management 서비스에서 파일을 암호화하려면 클라우드에 있어야 합니까?

아니요, 이것은 일반적인 오해입니다. Azure Rights Management 서비스(및 Microsoft)는 암호화 프로세스의 일부로 데이터를 보거나 저장하지 않습니다. 암호화하는 정보는 Azure에 명시적으로 저장하거나 Azure에 저장하는 다른 클라우드 서비스를 사용하지 않는 한 Azure에 전송되거나 저장되지 않습니다.

자세한 내용은 Azure Rights Management 서비스의 작동 방식: 온-프레미스에서 만들어지고 저장된 비밀 수식이 Azure Rights Management 서비스에서 암호화되지만 온-프레미스로 유지되는 방식을 이해하는 기술 세부 정보를 참조하세요.

다른 Microsoft 클라우드 서비스의 Azure Rights Management 암호화와 암호화의 차이점은 무엇인가요?

Microsoft는 다양한 보완 시나리오를 위해 데이터를 보호할 수 있는 여러 암호화 기술을 제공합니다. 예를 들어 Microsoft 365는 Microsoft 365에 저장된 데이터에 대해 미사용 데이터 암호화를 제공하지만, Microsoft Purview Information Protection Azure Rights Management 서비스는 데이터가 있는 위치 또는 전송 방법에 관계없이 보호되도록 데이터를 독립적으로 암호화합니다.

이러한 암호화 기술은 상호 보완적이며 이를 사용하려면 독립적으로 사용하도록 설정하고 구성해야 합니다. 이렇게 하면 "BYOK"라고도 하는 시나리오인 암호화에 대한 고유한 키를 가져오는 옵션이 있을 수 있습니다. 이러한 기술 중 하나에 BYOK를 사용하도록 설정해도 다른 기술에는 영향을 주지 않습니다. 예를 들어 Azure Rights Management 서비스에 BYOK를 사용하고 다른 암호화 기술에 BYOK를 사용하지 않고 그 반대의 경우도 마찬가지입니다. 이러한 다양한 기술에서 사용하는 키는 각 서비스에 대한 암호화 옵션을 구성하는 방법에 따라 동일하거나 다를 수 있습니다.

Microsoft Rights Management Services가 조건부 액세스를 위해 사용 가능한 클라우드 앱으로 나열된 것을 볼 수 있습니다. 어떻게 작동하나요?

예, Azure Rights Management 서비스에 대한 Microsoft Entra 조건부 액세스를 구성할 수 있습니다.

사용자가 Azure Rights Management 서비스에서 암호화된 문서를 열면 관리자는 표준 조건부 액세스 제어에 따라 테넌트의 사용자에 대한 액세스를 차단하거나 부여할 수 있습니다. MFA(다단계 인증)를 요구하는 것은 가장 일반적으로 요청되는 조건 중 하나입니다. 또 다른 하나는 모바일 디바이스가 암호 요구 사항 및 최소 운영 체제 버전을 충족하고 컴퓨터가 도메인에 가입되어야 하므로 디바이스가 Intune 정책을 준수 해야 한다는 것입니다.

자세한 내용은 조건부 액세스 정책 및 암호화된 문서를 참조하세요.

추가 정보:

문서를 암호화했고 이제 사용 권한을 변경하거나 사용자를 추가하려고 합니다. 문서를 다시 암호화해야 하나요?

민감도 레이블 또는 권한 관리 템플릿을 사용하여 문서를 암호화한 경우 문서를 다시 암호화할 필요가 없습니다. 사용 권한을 변경하여 민감도 레이블 또는 권한 관리 템플릿을 수정하거나 새 그룹(또는 사용자)을 추가한 다음, 다음 변경 내용을 저장합니다.

• 사용자가 변경하기 전에 문서에 액세스하지 않은 경우 사용자가 문서를 여는 즉시 변경 내용이 적용됩니다.

• 사용자가 문서에 이미 액세스한 경우 이러한 변경 내용은 사용 라이선스 가 만료될 때 적용됩니다. 사용 라이선스가 만료될 때까지 기다릴 수 없는 경우에만 문서를 다시 암호화합니다. 예를 들어 암호화를 적용한 민감도 레이블을 제거하고 레이블을 다시 저장하고 적용합니다. 다시 암호화하면 문서의 새 버전이 만들어지므로 사용자에 대한 새 사용 라이선스가 만들어집니다.

또는 필요한 권한에 대한 그룹을 이미 구성한 경우 사용자를 포함하거나 제외하도록 그룹 멤버 자격을 변경할 수 있으며 민감도 레이블 또는 권한 관리 템플릿을 변경할 필요가 없습니다. Azure Rights Management 서비스에서 그룹 멤버 자격을 캐시 하므로 변경 내용이 적용되기까지 약간의 지연이 있을 수 있습니다.

사용자가 민감도 레이블에 대한 권한 암호화 허용 설정과 같이 사용자 정의 권한을 사용하여 문서를 암호화한 경우 기존 문서에 대한 사용 권한을 변경할 수 없습니다. 문서를 다시 암호화하고 모든 사용자와 이 새 버전의 문서에 필요한 모든 사용 권한을 지정해야 합니다. 암호화된 문서를 다시 암호화하려면 모든 권한 사용 권한이 있어야 합니다.

프로덕션 환경에 이 암호화 솔루션을 사용하는 경우 회사가 솔루션에 잠겨 있나요?

아니요, Azure Rights Management 서비스를 더 이상 사용하지 않는 경우에도 항상 데이터를 제어하고 계속 액세스할 수 있습니다. 자세한 내용은 Azure Rights Management 서비스 서비스 해제 및 비활성화를 참조하세요.

Azure Rights Management 서비스를 사용하여 콘텐츠를 암호화할 수 있는 사용자를 제어할 수 있나요?

예, 민감도 레이블을 사용하여 콘텐츠를 암호화하는 경우 레이블 게시 정책은 앱에서 레이블을 보는 사용자를 정의합니다. 일부 사용자가 콘텐츠를 암호화하지 않도록 하려면 별도의 레이블 게시 정책을 만들고 정책에 암호화를 적용하지 않는 레이블만 포함합니다. 자세한 내용은 민감도 레이블 및 해당 정책 생성 및 구성을 참조하세요.

회사 외부의 사용자와 암호화된 문서를 공유하는 경우 해당 사용자는 어떻게 인증되나요?

기본적으로 Azure Rights Management 서비스는 사용자 인증을 위해 Microsoft Entra 계정 및 연결된 이메일 주소를 사용하므로 관리자가 비즈니스-비즈니스 협업을 원활하게 수행할 수 있습니다. 다른 organization Azure 서비스를 사용하는 경우 이러한 계정이 온-프레미스에서 만들어지고 관리된 다음 Azure와 동기화되더라도 사용자는 이미 Microsoft Entra ID의 계정을 가지고 있습니다. organization Microsoft 365가 있는 경우 이 서비스는 사용자 계정에 Microsoft Entra ID도 사용합니다. 사용자의 organization Azure에 관리되는 계정이 없는 경우 게스트 계정으로 인증할 수 있습니다. 자세한 내용은 암호화된 문서를 외부 사용자와 공유하기를 참조하세요.

이러한 계정에 대한 인증 방법은 다른 organization 관리자가 Microsoft Entra 계정을 구성한 방법에 따라 달라질 수 있습니다. 예를 들어 Active Directory Domain Services 만든 다음 Microsoft Entra ID에 동기화된 이러한 계정, 페더레이션 또는 암호에 대해 만들어진 암호를 사용할 수 있습니다.

기타 인증 방법:

• Microsoft Entra ID에 계정이 없는 사용자에게 Office 문서 첨부 파일을 사용하여 전자 메일을 암호화하면 인증 방법이 변경됩니다. Azure Rights Management 서비스는 Gmail과 같은 일부 인기 있는 소셜 ID 공급자와 페더레이션됩니다. 사용자의 전자 메일 공급자가 지원되는 경우 사용자는 해당 서비스에 로그인할 수 있으며 해당 전자 메일 공급자는 인증을 담당합니다. 사용자의 전자 메일 공급자가 지원되지 않거나 기본 설정으로 지원되지 않는 경우 사용자는 인증하고 웹 브라우저에서 암호화된 문서로 전자 메일을 표시하는 일회성 암호를 신청할 수 있습니다.

• Azure Rights Management 서비스는 지원되는 애플리케이션에 Microsoft 계정을 사용할 수 있습니다. 그러나 Microsoft 계정을 인증에 사용할 때 모든 애플리케이션이 암호화된 콘텐츠를 열 수 있는 것은 아닙니다.

Azure Rights Management 서비스에서 사용할 수 있는 그룹 유형은 무엇인가요?

대부분의 시나리오에서는 이메일 주소가 있는 Microsoft Entra ID의 모든 그룹 유형을 사용할 수 있습니다. 이 엄지 손가락 규칙은 사용 권한을 할당할 때 항상 적용되지만 Azure Rights Management 서비스 관리에 대한 몇 가지 예외가 있습니다. 자세한 내용은 그룹 계정에 대한 Azure Rights Management 서비스 요구 사항을 참조하세요.

암호화된 전자 메일을 Gmail 또는 Hotmail 계정으로 보낼 어떻게 할까요? 있나요?

Exchange Online 및 Azure Rights Management 서비스를 사용하는 경우 사용자에게 전자 메일을 암호화된 메시지로 보내기만 하면 됩니다. 예를 들어 전달 금지가 자동으로 적용되는 민감도 레이블을 선택할 수 있습니다.

받는 사람은 Gmail, Yahoo 또는 Microsoft 계정에 로그인하는 옵션을 보고 암호화된 전자 메일을 읽을 수 있습니다. 또는 일회성 암호가 브라우저에서 전자 메일을 읽는 옵션을 선택할 수 있습니다.

이 시나리오를 지원하려면 Azure Rights Management 서비스 및 Microsoft Purview 메시지 암호화 대해 Exchange Online 사용하도록 설정해야 합니다.

모든 디바이스에서 모든 전자 메일 계정을 지원하는 기능을 포함하는 기능에 대한 자세한 내용은 다음 블로그 게시물: Office 365 메시지 암호화에서 사용할 수 있는 새로운 기능 발표를 참조하세요.

Azure Rights Management 서비스에서 지원하는 파일 형식은 무엇입니까?

Azure Rights Management 서비스는 모든 파일 형식을 지원할 수 있습니다. 텍스트, 이미지, Microsoft Office(Word, Excel, PowerPoint) 파일, PDF 파일 및 기타 애플리케이션 파일 형식의 경우 Azure Rights Management 서비스는 사용 권한(권한) 적용을 포함하는 네이티브 암호화를 지원합니다. 다른 모든 애플리케이션 및 파일 형식의 경우 일반 암호화는 사용자가 파일을 열 수 있는 권한이 있는지 확인하기 위해 파일 캡슐화 및 인증을 제공합니다.

Office 앱 및 서비스에 지원되는 파일 형식 목록은 민감도 레이블 지정 설명서에서 지원되는 Office 파일 형식 을 참조하세요.

Microsoft Purview Information Protection 클라이언트에서 지원하는 추가 파일 형식 목록은 정보 보호 클라이언트 설명서에서 지원되는 파일 형식을 참조하세요.

Azure Rights Management 서비스에서 암호화된 Office 문서를 열면 연결된 임시 파일도 이 서비스에서 암호화되나요?

아니요. 이 시나리오에서 연결된 임시 파일에는 원본 문서의 데이터가 포함되지 않고 파일이 열려 있는 동안 사용자가 입력하는 데이터만 포함됩니다. 원래 파일과 달리 임시 파일은 공유하도록 설계되지 않았으며 BitLocker 및 EFS와 같은 로컬 보안 컨트롤로 보호되는 디바이스에 유지됩니다.

이제 organization 떠난 직원이 암호화한 파일에 대한 액세스 권한을 다시 얻으려면 어떻게 해야 할까요?

테넌트가 암호화한 모든 항목에 대해 권한 있는 사용자에게 모든 권한을 부여하는 슈퍼 사용자 기능을 사용합니다. 슈퍼 사용자는 항상 이 암호화된 콘텐츠를 읽을 수 있으며, 필요한 경우 암호화를 제거하거나 다른 사용자에 대한 항목을 다시 암호화할 수 있습니다. 이 동일한 기능을 사용하면 권한 있는 서비스가 필요에 따라 항목을 인덱싱하고 검사할 수 있습니다.

콘텐츠가 SharePoint 또는 OneDrive에 저장된 경우 관리자는 Unlock-SensitivityLabelEncryptedFile cmdlet을 실행하여 민감도 레이블과 암호화를 모두 제거할 수 있습니다. 자세한 내용은 레이블이 지정된 문서에 대한 암호화 제거를 참조하세요.

Rights Management에서 화면 캡처를 방지할 수 있나요?

사용 권한복사 권한을 부여하지 않으면 Rights Management는 Windows 플랫폼에서 일반적으로 사용되는 많은 화면 캡처 도구에서 화면 캡처를 방지할 수 있습니다. Mac용 Office Mac용 Office Word, Excel 및 PowerPoint의 경우 화면 캡처를 방지할 수 있지만 Outlook에서는 방지할 수 없습니다.

그러나 iOS 및 Android의 다른 앱의 경우 이러한 운영 체제에서는 앱이 화면 캡처를 방지할 수 없습니다. 또한 Edge 이외의 브라우저는 화면 캡처를 방지할 수 없습니다. 브라우저 사용에는 웹용 Outlook 및 웹용 Office 포함됩니다.

화면 캡처를 방지하면 기밀 또는 중요한 정보의 우발적이거나 부주의한 공개를 방지하는 데 도움이 될 수 있습니다. 그러나 사용자가 화면에 표시되는 데이터를 공유할 수 있는 여러 가지 방법이 있으며 스크린샷을 만드는 것은 하나의 방법일 뿐입니다. 예를 들어 표시된 정보를 공유하려는 사용자 의도는 카메라 폰을 사용하여 사진을 찍거나, 데이터를 다시 입력하거나, 단순히 누군가에게 구두로 릴레이할 수 있습니다.

이러한 예제에서 알 수 있듯이 모든 플랫폼과 모든 소프트웨어가 화면 캡처를 차단하기 위해 Rights Management API를 지원하더라도 기술만으로는 사용자가 항상 공유해서는 안 되는 데이터를 공유할 수 없습니다. 권한 관리는 권한 부여 및 사용 정책을 사용하여 중요한 데이터를 보호하는 데 도움이 될 수 있지만 이 엔터프라이즈 권한 관리 솔루션은 다른 컨트롤과 함께 사용해야 합니다. 예를 들어 물리적 보안을 구현하고, organization 데이터에 대한 액세스 권한이 있는 사용자를 신중하게 선별 및 모니터링하고, 사용자가 공유해서는 안 되는 데이터를 이해할 수 있도록 사용자 교육에 투자합니다.

전달 금지 권한으로 전자 메일을 암호화하는 사용자와 전달 권한이 포함되지 않은 사용 권한의 차이점은 무엇인가요?

이름에도 불구하고 전달 금지 는 전달 사용 권한 또는 템플릿과 반대가 아닙니다. 실제로 전자 메일 전달을 제한하는 것 외에도 사서함 외부의 전자 메일 복사, 인쇄 및 저장을 제한하는 것을 포함하는 일련의 권한입니다. 권한은 선택한 받는 사람을 통해 사용자에게 동적으로 적용되며 관리자가 정적으로 할당하지 않습니다. 자세한 내용은 Azure Rights Management 서비스에 대한 사용 권한 구성의 전자 메일 전달 금지 옵션을 참조하세요.

다음 단계

Azure Rights Management 서비스의 작동 방식에 대한 자세한 기술 정보는 Azure Rights Management 서비스의 작동 방식: 기술 세부 정보를 참조하세요.

Azure Rights Management 암호화를 정보 보호 솔루션의 통합 부분으로 만들 준비가 되었으면 Microsoft Purview를 사용하여 정보 보호 솔루션 배포를 참조하세요.