Microsoft Compliance Manager

Microsoft Compliance Manager는 Microsoft Purview compliance 포털에 포함된 도구로, 조직이 규제 프레임워크에 따라 compliance 상태를 평가하고 모니터링하며 개선하도록 지원합니다. 이 도구는 조직의 제어 항목이 선택한 표준의 요구 사항에 얼마나 부합하는지를 수치로 나타내는 compliance score를 제공합니다. Compliance Manager는 Microsoft 365 또는 Azure 구독이 있는 조직에서 사용할 수 있습니다.

Compliance Manager는 Microsoft Purview compliance 포털의 compliance.microsoft.com을 통해 액세스합니다. 홈 대시보드에는 전체 compliance score, 범주별 분석(데이터 보호, 액세스 제어, 인시던트 관리), 평가 목록이 표시됩니다. 이 도구를 사용하기 위해 compliance 전문가일 필요는 없습니다. 각 표준의 요구 사항을 단계별로 안내해 줍니다.

Compliance Manager에서 assessment는 특정 규제 프레임워크(예: ISO 27001, GDPR, HIPAA)에 따라 조직을 평가하는 작업을 의미합니다. 각 평가에는 해당 규정에서 도출된 controls와 함께 Microsoft-managed actions(Microsoft가 대신 처리하는 제어 항목) 및 customer-managed actions(직접 구현해야 하는 제어 항목)가 포함됩니다. 여러 규정에 대한 평가를 동시에 만들 수 있습니다.

compliance score는 생성한 평가를 기준으로 조직의 제어 항목이 얼마나 잘 구현되었는지를 나타내는 백분율(0~100%)입니다. 다음과 같은 경우에 점수가 부여됩니다.

• Microsoft-managed actions — Microsoft의 제어 항목이 적용되면 자동으로 점수가 부여됩니다.
• Customer-managed actions — 작업을 구현됨으로 표시하고 필요한 경우 증거를 업로드하면 점수가 부여됩니다.

점수가 높을수록 제어 범위가 더 넓다는 의미이지만, 실제 규제 준수를 보장하지는 않습니다.

Improvement actions는 compliance score를 높이기 위해 수행할 수 있는 구체적인 단계입니다. 각 작업에는 구현할 내용에 대한 설명, 해당 작업이 연결된 규정, 부여되는 점수, 구현 지침(대개 Microsoft 설명서 링크 포함), 구현 상태를 기록하는 필드가 포함됩니다. 작업은 정보 보호, 디바이스 관리, 액세스 제어와 같은 범주별로 그룹화됩니다.

고객 관리 작업의 경우 Compliance Manager에서 제어 항목이 구현되었음을 입증하는 evidence documents를 업로드할 수 있습니다. 증거 문서에는 스크린샷, 감사 보고서, 정책 문서 또는 테스트 결과가 포함될 수 있습니다. 이를 통해 감사자나 검사관과 공유할 수 있는 compliance evidence trail이 만들어집니다. 증거 문서는 Compliance Manager 포털에 저장되며 언제든지 다운로드할 수 있습니다.

Compliance Manager에는 평가를 만들 때 사용할 수 있는 300개 이상의 규정 템플릿이 포함되어 있습니다. 템플릿에는 국제 표준(ISO 27001, NIST CSF), 업계별 규정(PCI DSS, HIPAA), 지역별 법률(GDPR, LGPD, CCPA)이 포함됩니다. Microsoft 365를 벗어나는 규정을 다루는 프리미엄 템플릿을 사용하려면 추가 라이선스가 필요합니다(예: Microsoft 365 E5 Compliance 또는 Compliance Manager 추가 기능).

각 개선 작업에 대해 Compliance Manager는 다음 항목을 추적합니다.

• 구현 상태 — 구현되지 않음, 구현됨, 대체 구현, 계획됨
• 테스트 상태 — 테스트하지 않음, 통과, 실패, 평가 없음
• 테스트 날짜 — 마지막 테스트가 수행된 날짜

증거를 업로드하지 않고 작업을 '구현됨'으로 표시하면 점수는 부여되지만, 공식 감사에서 문제로 제기될 수 있습니다. 항상 실제 증거로 상태를 뒷받침하세요.

Compliance Manager는 역할 기반 위임을 지원하므로 특정 개선 작업을 개별 팀 구성원이나 그룹에 할당할 수 있습니다. 이는 서로 다른 팀이 서로 다른 제어 영역을 담당하는 대규모 조직에서 유용합니다. 예를 들어 보안 팀은 액세스 제어를, HR 팀은 정책 교육을, IT 운영 팀은 인프라 제어를 담당할 수 있습니다. 작업을 할당받은 사용자는 알림을 받고 자신의 작업 상태를 직접 업데이트할 수 있습니다.

Compliance Manager와 Azure Policy는 compliance의 서로 다른 측면을 다룹니다.

• Compliance Manager — 규제 프레임워크에 따른 조직의 제어 항목을 추적하며, 기술적 제어뿐 아니라 사람과 프로세스에 대한 제어에도 중점을 둡니다. Purview compliance 포털에서 운영됩니다.
• Azure Policy — Azure 리소스의 기술적 구성을 적용하고 감사하며, 인프라에 대한 compliance를 자동화합니다. Azure 포털에서 운영됩니다.

완전한 compliance 프로그램을 운영하려면 두 도구가 모두 필요합니다.

Compliance Manager를 사용하면 평가 결과를 Excel로 내보내 감사자, 경영진 또는 규제 기관과 공유할 수 있습니다. 내보낸 파일에는 모든 제어 항목의 전체 목록, 상태, 테스트 결과 및 증거 링크가 포함됩니다. 많은 조직에서 이 내보내기 파일을 Statement of Applicability (SoA)의 기초로 사용합니다. SoA는 ISO 27001에서 요구하는 문서로, 모든 제어 항목과 구현 상태를 나열합니다.

이 수업에서 다룬 Microsoft Azure Fundamentals (AZ-900) 개념을 얼마나 이해했는지 확인해 보세요.

이 수업에서는 다음을 배웠습니다. Compliance Manager는 300개 이상의 규제 프레임워크에 매핑된 compliance score와 개선 작업을 제공합니다. Microsoft-managed actions에는 자동으로 점수가 부여되지만, customer-managed actions는 직접 제어 항목을 구현하고 문서화해야 합니다. 또한 evidence documents를 업로드하여 감사 추적을 만들 수 있습니다. 다음으로는 GDPR 관련 요구 사항과 Azure에서 이를 구현하는 방법을 살펴보겠습니다.