07c · Microsoft Purview 에이전트

데이터 보안팀은 하루 평균 66건의 경보를 받지만 실제로는 63%만 검토합니다. Purview의 Security Copilot 에이전트는 경보 분류와 민감 데이터 발견을 자율 자동화해, 가장 중요한 위험을 먼저 다루도록 돕습니다.

#1. Data Security Triage Agent — 경보 분류·우선순위 자동화

DLP와 IRM 각각에 제공되는 분류 에이전트로, 가장 위험이 큰 경보를 먼저 처리하도록 에이전트 관리형 경보 큐를 만듭니다. 경보를 네 가지 범주(All / Needs attention / Less Urgent / Not categorized)로 분류합니다.

#Data Security Triage Agent in Data Loss Prevention (DLP) — (GA)

Data Security Triage Agent in DLP 데모 — DLP 경보를 위험 기준으로 자동 분류·우선순위화

• 콘텐츠 위험 중심 판정: 정책에 정의된 SIT(민감 정보 유형)·학습 가능 분류자·민감도 레이블을 1차 기준으로 봅니다. 이어 외부 공유(반출) 위험, 정책 위험(모드·규칙 액션), 레이블 제거/강등을 평가합니다.
• 자연어 사용자 지정 지침: "세금·재무·법무 관련 경보는 우선순위 높게", "PDF/JPG 자산은 낮게" 같은 지침을 구조화된 분류 로직으로 번역해 우선순위를 올리거나 내립니다. (DLP 전용)
• 자동 개선: 문서 소유자에게 Teams로 연락해 파일 내 민감 정보 제거를 유도하는 등, 경보 개선까지 자동화할 수 있습니다.

#Data Security Triage Agent in Insider Risk Management (IRM) — (GA)

Data Security Triage Agent in IRM 데모 — 사용자 활동 위험을 분석해 IRM 경보를 분류

• 행위·사용자 위험 중심 판정: 반출 위험이 높은 활동과 과거 경보 이력(활동 위험), 우선 사용자 그룹 소속·활성 케이스 수(사용자 위험)를 평가합니다.
• 심층 분석: 경보에 연관된 사용자의 최근 활동 이벤트 3만 건을 분석하며, 정책에 매칭된 활동뿐 아니라 모든 활동을 평가합니다.
• 풍부한 근거: 위험 패턴·관련 민감 데이터·행위자·타임프레임을 담은 에이전트 요약을 제공합니다.

#2. Data Security Posture Agent — 민감 데이터 발견·태세 자동화

키워드·정규식이 아니라 LLM 기반 자연어(의도) 로 민감 데이터와 노출된 시크릿을 대규모로 발견합니다. 현재 데이터 발견과 자격 증명 스캔 두 기능을 제공합니다.

Data Security Posture Agent 데모 — 자연어 의도로 민감 데이터를 발견하고 위험을 요약

#데이터 발견 — DSPM(Data Security Posture Management) (Preview)

DSPM의 Asset explorer에서 시작합니다. 명시적 키워드가 없어도 의도에 맞는 콘텐츠(문서·이메일·메시지·Copilot 채팅)를 M365 전반에서 매칭하고, 적용된 레이블·경로·최종 수정 시각과 함께 위험을 요약합니다.

#자격 증명 스캔 — DSI(Data Security Investigations) (Preview)

Data Security Investigations에서 자격 증명 스캔 작업을 만들어, 특정 사이트를 스코프로 파일 속 비밀번호·API 키·시크릿을 탐지합니다. 자연어로 맥락을 좁혀("이 사용자가 숨긴 자격 증명을 찾아줘") 대규모로 노출 자격 증명을 발견합니다.

#참고 링크

• Purview 에이전트 개요
• DLP 분류 에이전트 시작
• IRM 분류 에이전트 시작
• Purview의 Security Copilot