Microsoft 365 Copilot 도입 상담에서 첫 질문은 대개 가격입니다. 그런데 결제 직전에 확인해야 할 것은 요금표가 아니라, 사내 파일이 지금 누구에게 열려 있는지입니다.
"Copilot을 켜면 직원이 볼 수 없던 파일까지 보게 되나요?" 답부터 말하면 아닙니다. 그렇다고 안심할 일도 아닙니다. 볼 수 없던 파일이 아니라, 볼 수 있었는데 아무도 찾지 않던 파일이 문제이기 때문입니다.
Copilot은 직원에게 없던 권한을 새로 주지 않습니다
Microsoft 공식 문서는 "Copilot은 개별 사용자가 최소한 보기 권한을 가진 조직 데이터만 표시한다"고 명시합니다. 답변 근거를 찾는 색인 단계에서도 사용자 ID 기반 접근 경계를 그대로 지킵니다.
Purview 정보 보호로 암호화된 문서는 한 겹 더 막힙니다. 사용자에게 보기 사용 권한이 없으면 Copilot은 그 문서를 근거로 답하지 않습니다. 민감도 레이블이나 IRM으로 걸어둔 제한이 그대로 적용됩니다.
진짜 질문은 "누가 이미 볼 수 있었는가"입니다
권한이 그대로 유지된다는 말은, 지금의 권한 상태가 그대로 드러난다는 말이기도 합니다. 예전에는 파일 이름이나 저장 위치를 알아야 찾을 수 있었습니다. 몰라서 못 찾은 것이 사실상 보안 역할을 해온 셈입니다.
Copilot은 그 조건을 없앱니다. "작년 팀장급 연봉 인상률을 표로 정리해줘" 한 문장이면, 권한이 닿는 범위 안에서 흩어진 파일을 모아 요약합니다. 파일명을 몰라도, 어느 사이트에 있는지 몰라도 됩니다.
Copilot은 권한을 바꾸지 않습니다. 다만 그동안 아무도 쓰지 않던 권한을 실제로 쓰게 만듭니다.
링크를 만든 것만으로는 검색에 뜨지 않습니다
여기서 많이 오해합니다. Microsoft 문서 기준으로 '조직 내 모든 사용자' 링크를 만드는 행위 자체는 해당 파일을 검색 결과에 노출시키지도, Copilot이 접근하게 만들지도 않습니다. '링크가 있는 모든 사용자' 링크도 마찬가지입니다.
두 링크 모두 누군가가 링크를 눌러 사용(리딤)해야 그 사람에게만 검색 대상이 됩니다. 반면 '특정 사용자' 링크는 추가된 사용자와 보안 그룹 구성원에게 곧바로 검색과 Copilot 대상이 됩니다.
그런데 링크를 보내는 순간 자동으로 사용 처리됩니다
문제는 다음 문장입니다. SharePoint나 OneDrive 웹 화면, Outlook 메일, Teams 채팅으로 링크를 보내면 개별 수신자에 대해 최대 100명까지 자동으로 사용 처리됩니다. 실무에서 링크를 공유하는 방식이 대부분 여기에 해당합니다.
게다가 '조직 내 모든 사용자' 링크는 사내에서 그대로 전달됩니다. 전달받은 사람이 한 번만 눌러도 그 사람 역시 대상이 됩니다. 몇 년 치 메일과 채팅에 쌓인 전달 이력이 곧 Copilot의 검색 범위가 됩니다.
'모든 사람' 권한은 클릭조차 필요 없습니다
가장 짧고 위험한 경로는 링크가 아니라 권한입니다. '외부 사용자를 제외한 모든 사람(EEEU)'이나 '모든 사람' 권한은 직접 부여된 권한이라, 전 직원이 즉시 접근할 수 있고 그대로 Copilot 답변 근거가 됩니다.
전형적인 사고는 이렇게 납니다. 인사팀이 급여대장을 공개 팀 사이트에 잠깐 올려두고, 그 사이트가 EEEU로 열려 있고, 누군가 "부서별 인건비를 요약해줘"라고 묻습니다. 상속이 끊긴 폴더 하나만 열려 있어도 같은 결과가 나옵니다.
결제 전에 관리센터에서 이 항목부터 확인하세요
SharePoint 관리센터의 데이터 액세스 거버넌스 보고서로 대부분 확인됩니다. 기본 공유 설정이 가장 관대한 옵션으로 되어 있다는 점은 Microsoft 문서도 그대로 인정하고 있으니, 설정 화면부터 열어보세요.
- 사이트 권한 기준 보고서: 사이트별 총 권한 사용자 수, EEEU·모든 사람 권한 수, 상속이 끊긴 항목 수
- 공유 링크 활동 보고서: 최근 28일간 링크가 가장 많이 생성된 상위 100개 사이트
- EEEU 보고서: 최근 28일간 전사 공유가 일어난 상위 100개 사이트
- 사용자별 사이트 권한 보고서: 특정 직원 한 명이 접근 가능한 사이트 전체 목록
- 테넌트 공유 정책: 기본 링크 종류, 링크 만료 기간, 외부 공유 허용 범위
특히 사용자별 보고서가 유용합니다. 신입사원 계정 하나를 골라 접근 가능한 사이트 목록을 뽑아보면, 도입 후 무엇이 튀어나올지 미리 보입니다.
라이선스는 두 겹으로 계산하세요
Copilot은 단독 상품이 아니라 부가 라이선스입니다. Microsoft 365 E3·E5, Business Standard·Premium, Office 365 E1·E3·E5 같은 적격 기반 플랜이 별도로 있어야 합니다. 기반 플랜 비용은 Copilot 금액에 포함되지 않습니다.
한국 공식 가격 페이지 기준 엔터프라이즈용 Microsoft 365 Copilot은 사용자당 월 ₩40,500, 연간 약정입니다. 참고로 문서상 제품명은 Microsoft Copilot으로 바뀌는 중이라, 자료마다 이름이 섞여 나옵니다.
점검 도구를 쓰려면 기반 구독 조건이 따로 붙습니다
위 보고서들은 SharePoint Advanced Management(SAM) 기능입니다. 조직 안에 Copilot 라이선스가 한 개라도 할당되어 있으면 별도 구매 없이 쓸 수 있고, 그 사용자가 관리자일 필요도 없습니다.
단서가 있습니다. 기반 구독이 Office 365 E3·E5·A5 또는 Microsoft 365 E1·E3·E5·A5여야 합니다. Business Standard나 Business Premium만 쓰는 회사는 Copilot을 사도 이 점검 보고서를 못 씁니다. 중소기업에서 가장 자주 걸리는 지점입니다.
권한 정리 공수는 보고서 주기가 결정합니다
사람 손이 느린 게 아니라 도구가 느립니다. 첫 사이트 권한 보고서는 조직 규모와 무관하게 생성에 최대 5일이 걸리고, 이후 보고서는 24시간 이내에 나옵니다. 재실행은 30일마다 가능합니다.
고위험 사이트를 Copilot 검색에서 임시로 빼는 콘텐츠 검색 제한(RCD)은 최대 20,000개 사이트에 적용할 수 있지만, 항목이 50만 개를 넘는 사이트는 반영에 일주일 이상 걸릴 수 있습니다.
정리하면 조사 5일, 검토와 소유자 확인, 적용 대기까지 최소 한 달을 잡아야 합니다. Microsoft도 스냅샷 보고서는 분기마다, 활동 보고서는 매달 돌리라고 권고합니다. 한 번 치우고 끝나는 일이 아닙니다.
이럴 때는 전면 도입을 미루세요
RCD는 임시 통제 수단으로 설계된 기능입니다. 공식 문서도 과하게 쓰면 Copilot이 참조할 콘텐츠가 줄어 답변의 완성도와 관련성이 떨어진다고 경고합니다. 게다가 RCD는 권한을 바꾸지 않아서, 링크를 이미 가진 사람은 그대로 접근합니다.
소유자 없는 사이트가 많고 사이트 소유자들이 권한 검토 요청에 응답하지 않는 조직이라면, 관리자 혼자서는 정리를 끝낼 수 없습니다. 이럴 때는 전사 배포 대신 인사·재무를 제외한 소수 부서 파일럿으로 시작하는 편이 낫습니다.
점검 절차는 Copilot 도입 준비 가이드와 공유 링크 동작 문서에 정리되어 있습니다. 도입 판단이나 사내 정리가 막히면 Codeforest로 문의하시고, 비슷한 글은 AI 도구 카테고리에 모여 있습니다.
결론: 라이선스보다 권한 보고서를 먼저 여세요
Copilot은 직원에게 없던 권한을 주지 않습니다. 대신 이미 열려 있던 권한을 한 문장으로 꺼내 쓸 수 있게 만듭니다. 급여·인사 파일이 요약으로 튀어나온다면 원인은 Copilot이 아니라 EEEU 권한, 사내에서 전달된 조직 내 링크, 상속이 끊긴 폴더입니다.
순서를 바꾸세요. 결제가 아니라 사이트 권한 기준 보고서와 공유 링크 활동 보고서가 먼저입니다. 첫 보고서에만 최대 5일이 걸리고 전체 정리에는 최소 한 달이 필요하니, 도입 일정을 잡을 때 이 기간을 처음부터 빼두시면 됩니다.
