직원이 50명을 넘으면 세 가지가 동시에 옵니다. 투자사나 대기업 고객이 보안 점검표를 보내오고, 퇴사자가 생기기 시작하고, 누군가 피싱 메일을 클릭합니다. 그런데 보안 담당자를 뽑기엔 이릅니다. IT는 개발자 한 명이 겸직으로 보고 있습니다.

좋은 소식은, 이미 쓰고 있는 Microsoft 365(Business Premium이면 더 좋고, E3여도 대부분) 안에 필요한 기능이 거의 다 들어 있다는 것입니다. 나쁜 소식은 그 기능들이 기본값으로 꺼져 있다는 것입니다. 아래 10가지는 저희가 스타트업·중소기업 세팅을 할 때 항상 첫 주에 끝내는 순서입니다. 추가 솔루션 구매 없이, 관리자 계정 하나로 이번 주에 끝낼 수 있습니다.

1전 직원 2단계 인증 강제 Business Premium부터

비밀번호 하나로 뚫리는 사고가 전체의 대부분입니다. "보안 기본값"을 켜면 2단계 인증이 켜지지만, 예외 관리가 안 되고 공용 계정에서 문제가 생깁니다. 조건부 액세스 정책으로 강제하는 것이 정답입니다.

2구식 로그인(레거시 인증) 차단 Business Premium부터

2단계 인증을 켜도 옛날 방식(POP·IMAP·SMTP 기본 인증)으로 들어오면 우회됩니다. 공격자가 제일 먼저 시도하는 문입니다. 복합기 스캔-투-메일 같은 장비가 걸릴 수 있으니 먼저 목록을 확인하세요.

3메일 외부 자동 전달 차단 Business Premium부터

계정이 털리면 공격자가 제일 먼저 하는 일이 "받는 메일 전부 내 지메일로 자동 전달"입니다. 피해자는 몇 달 동안 모릅니다. 조직 전체에서 외부 자동 전달을 막아두면 이 시나리오가 사라집니다.

4대표·임원 사칭 메일 차단 Business Premium부터

"김대표입니다, 급하게 송금 부탁"으로 시작하는 메일은 두 종류입니다. 우리 도메인을 그대로 위조한 것과, 비슷한 도메인이나 이름만 흉내 낸 것. 첫 번째는 발신자 인증 3종(SPF·DKIM·DMARC)으로 막고, 두 번째는 사칭 보호 대상에 대표·임원 이름을 등록해 잡습니다.

5"[외부]" 메일 표시 Business Premium부터

가장 싸고 효과 좋은 조치입니다. 외부에서 온 메일 제목이나 본문 상단에 "[외부]"가 붙으면, 대표 이름으로 온 송금 요청이 외부 발신이라는 걸 직원이 눈으로 봅니다.

6외부 공유 링크 정리와 만료 정책 Business Premium부터

SharePoint·OneDrive에서 "링크가 있는 모든 사용자"로 만든 공유 링크는 회사를 나간 사람도, 링크를 전달받은 누구도 열 수 있습니다. 50명 회사에서 전수 조사하면 보통 수십 개가 나옵니다. 정리한 뒤 기본값을 바꾸고 만료를 강제하세요.

7회사 PC 등록과 디스크 암호화 Business Premium부터

노트북을 잃어버렸을 때 "암호화돼 있었나요?"에 답할 수 있어야 합니다. Intune에 PC를 등록하고 BitLocker(맥은 FileVault)를 강제하면 복구 키가 회사에 보관되고, 분실 시 원격으로 지울 수 있습니다. 이걸 해두면 1번의 "회사 기기가 아니면 접속 제한" 규칙도 걸 수 있습니다.

8관리자 권한 정리와 비상 계정 Business Premium부터

초기 세팅을 한 개발자, 전 IT 담당자, 외주 업체 계정이 전역 관리자로 남아 있는 경우가 대부분입니다. 전역 관리자는 2개 이하로 줄이고, 일상 업무 계정과 분리하고, 2단계 인증 장애 때 쓸 비상 계정 하나를 만들어 비밀번호를 오프라인에 보관하세요.

9퇴사 처리 절차 문서화 Business Premium부터

기술이 아니라 절차입니다. 퇴사 당일에 누가 무엇을 하는지 한 장으로 적어두면 됩니다: 계정 차단 → 모든 세션 강제 종료 → 기기 초기화 → 메일함 30일 보존 후 삭제 → 문서 소유권 이전 → 공유 링크 회수 → 라이선스 회수. 이 한 장이 나중에 인증 심사에서 "증적"이 됩니다.

10보안 점수 기록과 알림 수신자 지정 Business Premium부터

Microsoft Secure Score는 우리 테넌트 설정을 100점 기준으로 채점해 주는 무료 기능입니다. 지금 점수를 적어두고, 위 9개를 끝낸 뒤 다시 보면 보통 20~30점이 오릅니다. 그리고 보안 알림이 아무도 안 보는 관리자 메일함으로만 가고 있다면, 실제 사람에게 가도록 바꾸세요.

이 다음은?

여기까지가 "이번 주"입니다. 그다음 달에는 문서 등급(민감도 레이블) 체계, 민감정보 유출 방지 규칙, 피싱 모의훈련, 팀즈·SharePoint 구조 정리로 넘어갑니다. E5에서만 되는 것(퇴사 예정자 대량 반출 감지, USB 통제, 위험 로그인 자동 차단)은 그 뒤에 인원 일부에게만 붙여도 됩니다.

어디까지 켜져 있는지 모르겠다면 2분 라이선스 진단에서 필요한 것을 체크해 보세요. 지금 라이선스로 되는 것과 안 되는 것이 바로 나옵니다.