Microsoft Purview의 한계: E5 업그레이드로 해결되지 않는 문제

2025년 3월, 미국의 보안 및 IT 의사결정자 100명을 대상으로 한 MIND and Enterprise Strategy Group의 조사에서 94%가 최소 두 개의 DLP 도구를 사용하며 평균적으로 세 개 이상을 사용한다고 나타났습니다.

Microsoft 중심의 중견 기업 팀이 두 번째 DLP 도구가 필요한 이유를 묻는 경우, 일반적인 답변은 E5로 업그레이드하고 통합하는 것입니다. 그러나 업그레이드는 이를 제공하지 않습니다. 온프레미스 데이터베이스, Linux 엔드포인트, 비-Microsoft SaaS 등 E5가 변경하지 않는 Microsoft Purview의 제한 사항이 팀을 두 번째 도구로 밀어냅니다.

Microsoft는 수십 개의 별도 페이지에 그 경계를 문서화하므로, 라이선스 데이터 시트와 접촉하면 커버리지 그림이 거의 유지되지 않습니다. 그러나 자세히 읽으면 같은 형태가 반복됩니다.

커버리지는 저장소, 엔드포인트 클래스, SaaS 앱 및 컴플라이언스 프로그램이 실제로 필요한 감사 증거 연도 수에 따라 다릅니다.

갱신 논의 전에 Purview의 한계가 중요한 이유

갱신 대화는 보안 또는 컴플라이언스 책임자가 실제로 묻는 질문보다 더 좁은 질문에 답하며, 그 불일치에서 세 가지 결과가 따릅니다.

업그레이드는 라이선스 문제에 답합니다

Microsoft 중심 팀이 Purview가 어떤 것을 차단하지 않는 이유를 묻는다면, 반사적으로 다음 라이선스 등급을 권합니다. 이 답변이 틀린 것은 아니며, E5가 실제 기능을 추가하기 때문입니다. 하지만 “E5에 포함된 것”과 “환경에서 필요한 커버리지가 무엇인지”를 같은 질문으로 취급하는데, 이는 다릅니다. 팀은 업그레이드를 수락하고 1년간 비용을 지불할 수 있지만, 서명 전과 같은 온프레미스 데이터베이스나 같은 Linux 환경에 여전히 노출될 수 있습니다. 이는 경계가 사용자 수가 아닌 플랫폼과 저장소 단위로 설정되기 때문입니다.

업그레이드는 적용 범위를 매핑하는 것과 같지 않습니다

여러 DLP 도구를 사용하는 조직의 94%는 우연히 그런 것이 아니며, 대부분에게 부족한 것은 라이선스 등급이 아닙니다. 업그레이드하고 규제 대상 데이터가 실제로 어디에 있는지 묻는 것을 멈춘 팀은 한 맹점을 다른 맹점으로 바꾸는 것입니다.

E5에 무엇이 포함되어 있는지 모르는 상태를 멈추고, E5 포함이 시행을 의미한다고 가정하기 시작합니다. 두 번째는 테넌트 내에 발생 사실을 알려주는 것이 없고, 보통 라이선스 검토보다 더 나쁜 곳에서 나중에 나타나기 때문에 잡기 더 어렵습니다.

조사 중에 사각지대가 드러납니다

갱신 논의가 시작되기 전에 이러한 제한 사항을 모두 매핑할 수 있습니다. 이는 어떤 저장소에 규제 데이터가 포함되어 있는지, 어떤 엔드포인트 클래스가 커버리지가 필요한지, 어떤 SaaS 앱이 지원 목록에 없는지, 그리고 컴플라이언스 프로그램에 실제로 몇 년치 증거가 필요한지를 명확히 하는 것을 의미합니다. 너무 늦게 매핑하면 조사 시 Purview가 더 이상 보유하지 않은 기록이 필요할 때 처음 알게 될 수 있습니다.

E5 업그레이드가 해결하기 위해 만들어진 것

Microsoft 365 E3와 E5는 거의 두 가지 다른 DLP 제품과 같습니다. E3는 Exchange Online, SharePoint Online 및 OneDrive에 대한 정책 생성, 모니터링 및 보호, 수동 민감도 라벨링 및 스캔 및 보고서 발견을 포함하는 좁은 범위의 제품입니다. E5가 그 이상으로 추가하는 모든 기능은 일반적인 범위 확장이 아니라 특정 제한 사항을 하나씩 해결하기 위해 설계되었습니다.

Exchange, SharePoint 및 OneDrive를 넘어선 작업 부하 범위

E3의 DLP는 기본적으로 Exchange, SharePoint 및 OneDrive에만 적용됩니다. Teams 범위는 대화 자체가 아닌 SharePoint 및 OneDrive를 통해 공유된 파일만 검사합니다. E5는 이 세 가지 작업 부하를 넘어 두 방향으로 적용 범위를 확장합니다.

Windows 및 macOS용 Endpoint DLP는 메일 및 파일 공유 계층에서 멈추지 않고 장치에 정책을 적용하며, E5는 Teams에서 E3가 전혀 다루지 않는 채팅 및 채널 메시지 검사를 추가합니다.

수동 태깅으로 해결할 수 없는 라벨링 병목 현상

E3는 민감도 라벨링을 수동으로 유지하며, 이는 파일 양이 라벨을 적용하는 인원을 초과할 때까지 작동합니다. E5는 이 한계를 제거하기 위해 만들어졌습니다. 학습 가능한 분류기와 Exact Data Match를 포함한 자동 민감도 라벨링은 사용자가 태그를 달기를 기다리지 않고 콘텐츠에 대해 분류를 실행할 수 있게 합니다. 자동 라벨링은 E3나 Business Premium에 포함되어 있지 않으며, 수동 라벨링이 해결할 수 없는 볼륨 문제를 직접 겨냥한 유일한 E5 기능입니다.

이벤트 간 기억이 없는 DLP 규칙

DLP 규칙은 한 번에 하나의 전송만 평가하며 이전 전송을 기억하지 못합니다. Insider Risk Management와 Adaptive Protection은 이를 해결하기 위해 구축되었으며, 각 이벤트를 개별적으로 평가하는 대신 사용자의 활동 전반에 걸친 행동을 시간에 따라 상관관계 분석합니다. 이것이 임시로 전송별 정책이 구조적으로 볼 수 없는 문제입니다.

엔드포인트 에이전트가 볼 수 없는 트래픽

두 가지 E5 기능은 라이선스 외에 별도의 비용이 발생합니다. Network Data Security와 Edge for Business의 인라인 보호는 Azure 종량제 방식으로 운영되며 Microsoft 365 라이선스와 별도로 청구됩니다.

둘 다 엔드포인트 에이전트가 볼 수 없는 트래픽을 검사하므로 표준 청구서에 포함되지 않습니다. 해당 미터는 작동을 멈췄습니다 2025년 6월 30일 이후 연결된 Azure 구독이 없는 테넌트에 대해 E5 SKU만으로는 이 기능을 활성화하지 않습니다.

두 계층 모두 규제된 데이터가 Microsoft 클라우드에 있다고 가정합니다. 온프레미스 파일 서버와 데이터베이스는 완전히 다른 메커니즘을 사용하며 E5는 이를 포함하지 않습니다.

Microsoft Purview의 제한 사항

모든 E5 기능이 활성화되어 있어도 아래 경계는 라이선스 등급이 적용하는 범위를 벗어납니다. 대신 플랫폼, 저장소 또는 서비스 할당량에 의해 결정되므로 영업 대화와 커버리지 대화가 서로 다른 곳에서 이루어집니다.

온프레미스 저장소는 예약된 크롤러에 의존합니다

Purview에는 온프레미스 file servers, 네트워크 공유 및 SharePoint Server를 위한 단 하나의 메커니즘이 있습니다: Information Protection 스캐너입니다. 이 스캐너는 콘텐츠를 실시간으로 발견하거나 라벨링하지 않습니다. 지정된 데이터 저장소를 일정에 따라 크롤링하므로, 부서 공유 폴더에 복사된 환자 기록 스프레드시트는 다음 크롤링이 해당 폴더에 도달한 후에야 보호됩니다.

그 지연은 배포 자체보다 견디기 쉽고, 대부분 팀이 예상하는 것보다 무겁고, 많은 이들이 미루는 이유 중 하나입니다. 이를 구축하려면 전용 Windows Server, SQL Server 인스턴스 및 AD 서비스 계정이 필요합니다.

기본적으로 Office 및 PDF(Portable Document Format) 파일만 지원하며, 다른 모든 유형은 먼저 PowerShell을 추가해야 합니다.

구조화된 데이터는 더 심각한 문제에 직면합니다. Data Map은 온프레미스 SQL Server를 카탈로그할 수 있지만, 민감도 라벨은 자산 메타데이터에만 적용되며 실제 파일과 데이터베이스 열에는 적용되지 않아 여기에 있는 내용은 아무 것도 강제되지 않습니다.

검사하는 데이터가 매우 적다는 점을 고려하기 전입니다. 왜냐하면 classification samples 각 열에서 상위 128개 행 또는 처음 1MB 중 더 작은 쪽만 검사합니다. 의료 및 금융 서비스가 가장 엄격하게 규제하는 기록이 있는 행이나 열에는 DLP 적용이 미치지 않습니다.

Endpoint 커버리지가 Linux 및 완전한 macOS 동등성에 미치지 못합니다

Endpoint 범위는 운영 체제에 의해 결정되기 때문에 서명 전에 놓치기 쉽습니다.

Purview에는 Linux 에이전트가 없으며, Microsoft 자체 Q&A answer 2025년 2월 답변에 따르면 “Microsoft Purview의 Endpoint DLP 및 MIP [Microsoft Information Protection]는 분류 또는 DLP 모니터링을 위해 Linux 장치를 지원하지 않습니다.”

Engineering teams, research groups and manufacturing systems running Linux workstations are an endpoint population outside native enforcement entirely. The survey behind the Netwrix 2026 Data and Identity Security Report found that 69% of organizations can’t instantly and fully prevent sensitive data from leaving endpoints through external AI tools, personal email, or USB.

Windows는 Purview가 완전히 지원하는 유일한 플랫폼입니다. macOS는 2025년까지 점유율을 높였지만 두 가지 면에서 Windows에 뒤처져 있습니다. Purview는 Mac에서 Remote Desktop Protocol(RDP)을 통한 복사-이동을 차단할 수 없으며, Mac이 오프라인일 때 just-in-time 액세스를 적용할 수 없습니다.

브라우저 지원은 세 번째 변수를 추가합니다. Edge는 Windows에서 기본적으로 적용되지만 Chrome과 Firefox는 Purview 확장 프로그램이 필요하며 도메인 목록은 업로드만 포함하고 붙여넣기 작업은 포함하지 않습니다. Claude는 Edge for Business의 관리되지 않는 앱 목록 외부에 있으며, 위에서 설명한 Network Data Security 미리보기를 통해 대신 다뤄집니다.

분류 품질이 Copilot 거버넌스의 한계를 설정합니다

Purview의 Copilot 제어는 이미 올바른 항목에 적용된 레이블에서만 작동하므로 Copilot 거버넌스는 그 아래 분류만큼만 효과적입니다.

Built-in sensitive information types ship tuned for breadth, so they over-match out of the box, and since they can’t be edited directly, every tuning pass starts with copying one into a custom type.

Auto-labeling caps at 100,000 files per day per tenant, can’t replace a label a user already applied, and its trainable classifiers support English only.

The same ceiling shows up in how Purview watches Copilot. Microsoft’s own DSPM assessment reports exposure but leaves enforcement to other tools, so Copilot inherits the same blind spots, which show up directly in what it returns. Labeled items still appear in citations with only the content withheld, and DLP can’t scan a file uploaded straight into a prompt.

Even a correct fix takes time to land. A policy change takes up to four hours to reach Copilot, and until then an unlabeled file in a labeled site is still summarized in full, since it doesn’t inherit the site’s label. The same ceiling reaches oversharing remediation, where E5 tenants without SharePoint Advanced Management get no snapshot reports or remedial actions, just 28 days of activity across 10,000 sites.

Audit retention and investigation windows fall short of regulated evidence requirements

HIPAA sets a six-year documentation bar under Title 45 of the Code of Federal Regulations (CFR), section 164.316(b)(2), and Purview doesn’t clear it on the default plan. Purview Audit (Standard) keeps records for 180 days. Audit (Premium), included with E5, extends that to one year.

Longer retention requires the 10-Year Audit Log add-on, priced per user, and Microsoft doesn’t apply retention changes retroactively, so the add-on can’t produce history from before you buy it.

PCI DSS v4.0.1 requirement 10.5.1 requires 12 months of audit history, with three months immediately available. Premium clears that bar. Standard misses it.

Investigation windows run shorter than the retention tiers suggest, which matters because an investigation is exactly when that shortfall gets tested. The DLP alert dashboard and Activity Explorer each hold only 30 days, and the Defender portal holds six months.

On top of that shorter window, the count Purview displays is also an estimate, not a total. One side-by-side comparison put the Purview Audit interface at 172,951 records against the 415,406 the API returned for the same query, a discrepancy worth confirming before either number goes into an audit response.

Non-Microsoft SaaS coverage stops at visibility

Connected apps DLP is still in preview, and Slack isn’t on the supported list yet. Even where a Data Map connector does exist, it classifies without enforcing, which means visibility without protection. The one policy surface built specifically for third-party apps fares no better. Defender for Cloud Apps file policies retire January 6, 2027, landing inside a normal renewal cycle rather than safely beyond one.

Slack의 부재는 지원 목록이 시사하는 것보다 더 중요합니다. 중간 규모 시장 환경에서 비-Microsoft 협업은 여러 도구에 분산되지 않고 하나의 도구에 집중되기 때문입니다. Slack을 표준으로 사용하는 팀은 지원 목록에 전혀 포함되지 않습니다.

보완 도구에 대한 내부 근거 구축

두 번째 도구에 대한 내부 사례는 제한 사항을 한 곳에 모으고 라이선스 계산을 함께 제공해야 합니다. Microsoft 문서는 둘 다 제공하지 않으며, 정확한 수치는 본문과 마찬가지로 흩어져 있습니다:

E5 업그레이드는 자체적으로도 가치가 있지만, 위 표에서 감사 보존 기간 한 줄만 180일에서 1년으로 변경됩니다. 다른 모든 제한은 라이선스 등급이 아니라 플랫폼, 저장소 또는 서비스 할당량에 의해 정해지므로 그대로 유지됩니다.

추가 기능과 타겟 도구에 대한 향상도를 평가하면 경영진에게 기능별 비교 대신 달러당 커버리지 비교를 제공하며, 이는 National Association of Corporate Directors (NACD) cyber risk handbook에서 예산 요청 시 정량화된 위험 감소를 권장하는 프레임입니다.

Purview가 멈추는 곳에서 Netwrix가 돕는 방법

나머지를 커버하는 것은 세 가지 역할을 합니다. 스캐너가 접근할 수 없는 저장소에 도달하고, 에이전트가 실행되지 않는 엔드포인트 클래스에 적용하며, 둘 다 접근 권한을 가진 아이덴티티와 연결해야 합니다.

Netwrix는 Microsoft 중심의 하이브리드 환경을 운영하는 중견 기업을 위한 아이덴티티 중심 데이터 보안 플랫폼이며, 세 가지 제품이 이러한 업무에 적합합니다.

스캐너가 접근할 수 없는 저장소

Netwrix Access Analyzer 스캐너가 접근할 수 없는 데이터를 발견하고 분류합니다. 여기에는 온프레미스 SQL Server와 온프레미스 및 클라우드 파일 저장소가 포함됩니다. 중첩된 AD 그룹과 SharePoint 상속을 해결하여 각 결과에 파일을 열 수 있는 사용자가 표시됩니다. 아키텍처 및 통합 계획이 필요하므로 로드맵 항목으로 간주하고 적절히 시간을 예산하세요.

에이전트가 실행되지 않는 엔드포인트 클래스

Netwrix Endpoint Protector는 동일한 정책 세트를 Windows, macOS 및 Linux에서 하나의 콘솔로 적용하며, Linux 지원은 Red Hat Enterprise Linux (RHEL) 10.x 및 Ubuntu 26.04 장기 지원(LTS)까지 확장됩니다.

Alloy, 핀테크 identity-risk 플랫폼에서의 임무는 사회보장번호(SSN), 세금 ID 및 클라이언트 기록을 엔드포인트에 보관하는 것이었습니다.

Endpoint Protector는 데이터 전송 실시간 모니터링, USB 포트 차단 및 강제 USB 암호화를 통해 이를 제공했으며, Alloy의 시스템 엔지니어는 도입 이후 문제 보고가 없다고 합니다.

두 가지 모두 아래에 있는 아이덴티티 계층

Netwrix 1Secure™는 Copilot 상호작용 가시성을 추가하여 Copilot 상호작용과 Copilot이 액세스하는 민감한 데이터를 보고합니다. Copilot 동작을 강제하거나 제한하지 않습니다.

공격자는 유효한 자격 증명으로 로그인하므로 파일 수준 뷰에는 아이덴티티 컨텍스트가 필요합니다. Netwrix는 파일을 실제 접근 권한과 연결합니다 Active Directory 및 파일 서버 전반에 걸쳐, 그리고 Netwrix DSPM는 온프레미스 파일 저장소, 데이터베이스 및 지원되는 클라우드 스토리지를 포함한 하이브리드 저장소 전반에 걸쳐 해당 검색을 확장합니다.

다음의 설문 조사 Netwrix 2026 Data and Identity Security Report 에 따르면 73.6%의 조직이 민감한 데이터가 어디에 저장되어 있고 어떤 아이덴티티가 접근할 수 있는지 단일 뷰를 얻지 못하는 것으로 나타났습니다.

다음 갱신 전에 경계를 매핑하세요

다음 갱신 대화 전에 네 가지 질문을 적으세요. Exchange, SharePoint, OneDrive 및 Teams 외부에 위치한 저장소는 무엇입니까? Windows 또는 관리되는 macOS 이외의 운영 체제를 실행하는 엔드포인트 클래스는 무엇입니까? Microsoft 생태계 외부의 어떤 SaaS 앱이 규제 데이터를 보유하고 있으며, 현재 등급이 보유하는 기간에 비해 컴플라이언스 프로그램이 실제로 필요한 감사 증거 기간은 몇 년입니까?

어떤 질문에 대한 답이 “포함되지 않은” 경우, 더 큰 E5 청구서를 통해서가 아니라 두 번째 도구가 해당 경계를 직접 닫아야 합니다.

이 글 상단에서 언급된, 이미 두 개 이상의 DLP 도구를 운영 중인 조직의 94%는 구매를 덜 해서 그런 것이 아닙니다. 플랫폼과 저장소가 이러한 경계를 설정하기 때문에 그렇고, 어떤 라이선스 등급도 이를 다시 그리지 않습니다.

이 글에서 다룬 엔드포인트 블라인드 스팟을 해소하려면 Purview가 도달하지 못하는 모든 운영 체제에 대한 가시성이 필요합니다.

데모 요청하여 Netwrix Endpoint Protector가 엔드포인트 및 브라우저 세션에서 AI 도구로 민감한 데이터 업로드를 차단하는 방법을 확인하세요.