Microsoft 보안 혁신, 출시 속도보다 책임성을 우선하다

Microsoft는 반복된 침해 사고가 출시 속도와 충분한 보호 사이의 충돌을 드러낸 이후, 약 3년에 걸쳐 Microsoft 보안 혁신을 측정 가능한 체계로 만들고 있다. 이제 보안은 직원 평가, 임원 보상, 제품 설계 승인, 엔지니어링 파이프라인, 기본 고객 설정에 영향을 미친다.

회사는 이 프로그램을 Secure Future Initiative, 즉 SFI라고 부른다. Microsoft는 2023년 11월 이를 시작했으며, 연방 검토가 보안 문화를 강하게 비판한 뒤 확대했다. 이제 문제는 Microsoft가 보안 약속을 더 많이 내놓을 수 있느냐가 아니다. 과거에 알려진 위험과 노후 시스템이 지속되도록 했던 인센티브를 회사가 바꿨는지가 핵심이다.

이 구분은 Microsoft가 AI 사업을 가속하는 지금 특히 중요하다. AI는 취약점을 찾아내고, 탐지 규칙을 작성하며, 여러 시스템에 걸친 위험을 연결할 수 있다. 동시에 개발 속도를 높이고 예측 가능성이 낮은 소프트웨어를 도입할 수도 있다. 따라서 Microsoft는 하나의 결정적인 시험에 직면해 있다. 제품 팀이 새로운 AI 기능을 서둘러 출시해야 한다는 압박을 느낄 때도 보증 체계가 권한을 유지해야 한다.

Microsoft 보안 혁신, 모든 성과 평가에 반영되다

Microsoft는 보안을 직원이 전문가에게 넘길 수 있는 책임이 아니라 경력 성공의 조건으로 만들려 하고 있다.

이제 모든 Microsoft 성과 평가는 해당 직원이 회사와 고객의 보안에 기여한 내용을 논의한다. Cybersecurity Dive가 공개한 인터뷰에 따르면 이 요건은 엔지니어링, 마케팅, 영업, 사고 대응 전반에 적용된다.

이 변화는 SFI에 또 하나의 내부 인식 제고 캠페인보다 더 큰 비중을 부여한다. 승진, 보상, 경력 발전은 대규모 조직 전체의 행동을 형성한다. 이제 직원이 보안 우려를 무시하면, 제품이 납기 일정을 맞췄더라도 개인적인 결과에 직면한다.

Microsoft는 과거 기능 완성을 보상하는 엔지니어링 워크플로 내에 많은 보안 결정을 배치했다. 개발자는 자동화된 검사를 실행하고, 출시 직전에 보안 팀에 접근해 최종 승인을 요청할 수 있었다. 이 과정은 보안을 설계 제약 조건이 아니라 늦은 단계의 점검 절차로 취급했다.

Windows Security 담당 Microsoft 기업 부사장인 Dana Huang은 기존 방식을 출시 직전 체크박스를 얻으려는 접근이라고 설명했다. 이제 그의 팀은 일부 핵심 영역에 더 일찍 참여한다. 보안 엔지니어는 팀이 제품 작동 방식을 여전히 결정하는 시점에 참여할 수 있다.

이 관행은 흔히 시프트 레프트라고 불린다. 이 용어는 팀이 완성된 제품을 다시 구축하지 않고도 아키텍처를 바꿀 수 있는 소프트웨어 개발 초기 단계로 보안 검토를 옮기는 것을 의미한다.

조기 참여는 논의되는 질문도 바꾼다. 최종 스캐너는 특정 코딩 오류를 탐지할 수 있지만, 안전하지 않은 제품 가정을 항상 문제 삼을 수는 없다. 설계 단계에 참여하는 보안 전문가는 신뢰 경계, ID 요구 사항, 데이터 흐름, 복구 메커니즘, 오용 사례를 검토할 수 있다.

Microsoft는 Cybersecurity Governance Council도 만들었다. 부최고정보보호책임자들은 Windows, Azure, Microsoft 365를 포함한 주요 사업 부문을 대표한다. 이들은 해당 조직 전반의 우선순위와 보안 상충 관계를 정기적으로 검토한다.

이 위원회는 납품 목표가 해결되지 않은 위험과 충돌할 때의 에스컬레이션 경로를 마련한다. Microsoft는 CEO Satya Nadella가 리더들에게 다른 모든 것보다 보안을 우선하라고 지시했다고 밝혔다. SFI 책임자인 Hammad Rajjoub은 Cybersecurity Dive에 팀들이 한 항목을 지연해 다른 항목을 수정하는 방안을 일상적으로 논의한다고 말했다.

이 거버넌스 구조는 Microsoft 제품들이 ID, 인프라, 개발 도구, 종속성을 공유하기 때문에 중요하다. 한 서비스 내부의 약점은 다른 곳에 노출을 만들 수 있다. 사업 부문 수준의 보안 리더는 고립된 제품 팀보다 이러한 연결고리를 더 효과적으로 식별할 수 있다.

회사는 보안 강화에 대한 직원 인식이 평균 88%라고 보고했다. 이 수치는 Microsoft의 2026년 7월 SFI 보고서에서 나온 것이므로 독립 감사가 아닌 내부 측정치를 나타낸다. 그럼에도 이 프로그램이 직원들 사이에서 보편적인 저항을 낳지는 않았음을 시사한다.

인식은 시스템의 안전성을 측정하지 않는다. 이는 근로자들이 이 혁신이 유용하거나 실행 가능하다고 믿는지를 측정한다. 보안 프로그램은 직원들이 통제를 장애물로 여기고 이를 우회하는 비공식적 방법을 찾을 때 흔히 약화되기 때문에 이는 관련성이 있다.

Microsoft는 책임성, 거버넌스, 직원 수용성이 서로를 강화할 것이라고 보고 있다. 평가는 개인적 인센티브를 만든다. 부CISO들은 감독을 제공한다. 임원 지시는 보안 팀이 출시 계획에 이의를 제기할 때 권한을 부여한다.

이 조합은 핵심적인 조직 변화에 해당한다. Microsoft는 더 이상 보안을 제품 개발 옆에서 작동하는 전문 기능으로 제시하지 않는다. 보안 결정을 모든 직원이 일상 업무를 얼마나 잘 수행하는지 보여주는 증거로 취급하고 있다.

수년간의 침해 사고가 문화 변화를 피할 수 없게 만들었다

Microsoft의 새로운 통제는 단순한 보안 도구 부족이 아니라 문화, 판단, 투명성의 문서화된 실패에 대응한다.

SFI는 여러 차례의 심각한 침입 사고 뒤에 나왔다. LAPSUS$ 사이버범죄 그룹은 2022년 Microsoft를 침해했다. 2023년에는 별개의 러시아 및 중국 작전이 Microsoft 시스템과 민감한 정보에 접근했다.

Storm-0558로 추적되는 중국 국가 연계 그룹은 Microsoft 서명 키를 확보해 Exchange Online 계정에 접근했다. 피해 대상에는 중국과의 관계에 관여한 미국 고위 정부 관리와 기관이 포함됐다.

연방 Cyber Safety Review Board는 이 사고를 조사하고 예방 가능했다는 결론을 내렸다. 이 위원회의 Exchange Online 검토는 피할 수 있었던 오류의 연쇄를 설명하며 Microsoft의 보안 문화가 부적절하다고 지적했다.

위원회는 키 관리, 로깅, 탐지, 사고 대응, 대외 커뮤니케이션과 관련된 취약점을 확인했다. 또한 이후 부정확한 것으로 드러난 사고 관련 발언을 한 Microsoft를 비판했다.

이러한 조사 결과는 일반적인 소프트웨어 취약점 이상의 위험을 제기했다. Microsoft는 정부와 주요 기업에 운영 체제, 클라우드 인프라, 생산성 애플리케이션, ID 서비스, 보안 제품을 제공한다. 고객들은 이런 서비스 중 여러 개에 동시에 의존하는 경우가 많다.

이러한 집중은 Microsoft에 탁월한 가시성과 자원을 제공한다. 동시에 상관된 위험도 만든다. 공유 ID 또는 클라우드 구성 요소와 관련된 보안 실패는 노출을 서로 다른 애플리케이션에 분산했다고 믿었던 조직들에도 영향을 미칠 수 있다.

따라서 검토 위원회는 Microsoft의 고위 경영진과 이사회에 신속한 문화 변화를 이끌 것을 요청했다. 또한 회사 제품 포트폴리오 전반에 걸친 구체적인 일정과 개혁안을 담은 계획을 공개할 것을 권고했다.

Microsoft는 2024년 5월 SFI를 확대하고 위원회의 권고안을 이행하겠다고 약속했다. 회사는 ID, 테넌트, 네트워크, 개발 시스템, 위협 탐지, 취약점 완화를 중심으로 엔지니어링 작업을 조직했다.

또한 고위 경영진 보상의 일부를 보안 성과와 연계했다. 이 결정은 기본적인 거버넌스 문제를 인정한 것이다. 경영진은 리더를 주로 성장과 출시 성과로 측정하면서 보안이 최우선이라고 설득력 있게 말할 수는 없다.

Microsoft 보안 혁신은 이제 이러한 불균형을 바로잡으려 한다. 기능과 보안 수리 사이에서 결정을 내려야 하는 관리자는 공식 보안 목표, 직원 평가, 거버넌스 검토, 임원 보상을 고려해야 한다.

외부 관찰자들도 조심스럽게 변화를 인정했다. Futurum의 Fernando Montenegro는 Cybersecurity Dive에 SFI가 성과를 내는 것으로 보인다고 말했다. Forrester 분석가 Merritt Maxim과 Allie Mellen 역시 이 개혁을 가치 있는 조치로 평가했다.

이들의 지지는 여전히 조건부다. Mellen은 변화가 조직에 정착한 채 시간이 지나면서 개선돼야 한다고 말했다. Maxim은 AI를 둘러싼 긴박감이 대중의 관심이 사라진 뒤 보안 규율을 조용히 약화시킬 수 있다고 경고했다.

이 경고는 실제 압박의 대상을 지목한다. Microsoft의 보안 조직은 주로 다른 공급업체의 프로그램과 경쟁하는 것이 아니다. 특히 AI 분야에서 더 빠른 제품 개발을 향한 Microsoft 자체의 욕구와 경쟁하고 있다.

회사는 이미 이 갈등을 공개적으로 경험했다. Copilot+ PCs용 Recall 기능은 사용자가 과거 정보를 검색할 수 있도록 활동을 기록하도록 설계됐다. 연구자들은 이 기록의 저장과 보호에 우려를 제기했고, Microsoft는 기능 출시를 지연하고 경험을 재설계했다.

Recall은 AI 관련 기능이 개인정보, ID, 저장소, 접근 위험을 얼마나 빠르게 결합할 수 있는지 보여줬다. 또한 제품이 공개 미리보기 단계에 이르기 전에 보안 검토가 시작돼야 하는 이유를 입증했다.

Microsoft의 과거 실패는 모든 새로운 지표를 잠정적인 것으로 만든다. 고객은 통제가 레거시 서비스와 신규 제품 전반에서 일관되게 작동한다는 증거를 필요로 한다. 또한 그 통제가 실패할 때 신속한 공개도 필요하다.

SFI는 누가 보안을 논의하는지, 그리고 그러한 논의가 언제 이루어지는지를 바꿨다. 침해 사고들은 이제 Microsoft가 왜 그 대화가 다른 엔지니어링 결정으로 이어진다는 점을 입증해야 하는지 설명한다.

감독 체계는 12명의 전문가를 넘어 확장돼야 한다

새로운 거버넌스 모델은 소규모 보안 팀이 모든 코드를 직접 검토하지 않고도 수천 건의 엔지니어링 결정에 영향을 줄 수 있을 때만 성공할 것이다.

Windows는 확장성 과제를 보여준다. Huang은 Cybersecurity Dive에 해당 부문에 약 7,000명의 직원이 있으며, 이 중 약 5,000명이 엔지니어라고 말했다. 그의 Windows 보안 엔지니어링 팀은 약 12명으로 구성돼 있다.

12명의 전문가는 5,000명의 엔지니어가 만든 모든 것을 수동으로 검사할 수 없다. 이 모델을 시도하면 지연이 발생하는 동시에 제품 팀은 보안을 다른 사람의 일로 취급하게 될 것이다.

Montenegro는 보안 팀이 대신 개발 팀이 상속하는 표준, 도구, 안전한 기본값을 구축해야 한다고 주장했다. 이 모델은 모든 엔지니어가 사용하는 시스템을 통해 소규모 그룹의 전문성을 확산한다.

안전한 기본값은 사용자나 개발자가 보호 기능을 활성화하지 않아도 더 안전한 동작을 제공하는 설정이다. 이는 배포 과정에서 완벽한 결정에 대한 의존도를 낮춘다.

Microsoft는 이 원칙을 내부 개발 파이프라인에 적용했다. 2026년 7월 SFI 진행 보고서는 이제 엔지니어링 기본값이 파이프라인의 83%가 승인되지 않은 패키지 엔드포인트에 접근하는 것을 차단한다고 밝혔다.

이 통제는 소프트웨어 공급망 위험에 대응한다. 침해되었거나 실수로 선택된 외부 패키지는 신뢰받는 제품에 악성 코드를 도입할 수 있다. 패키지 소스를 제한하면 이러한 실패가 발생할 기회가 줄어든다.

같은 보고서는 피싱 저항형 다중 인증이 Microsoft 사용자 및 디바이스 쌍의 99.97%를 보호한다고 밝혔다. 피싱 저항형 인증은 공격자가 사기 사이트에서 자격 증명을 재사용하지 못하도록 설계된 방식을 사용한다.

Microsoft는 또한 732,000개가 넘는 리소스의 공개 액세스를 철회했다고 밝혔다. 네트워크 격리는 100만 개의 리소스로 확대됐으며, 회사는 사용되지 않는 애플리케이션 140만 개를 폐기했다.

사용되지 않는 애플리케이션과 노출된 리소스는 공격자가 겨냥할 수 있는 시스템의 집합인 공격 표면을 확장한다. 이를 제거하면 탈취된 자격 증명, 잊힌 권한, 취약한 서비스가 침입 지점을 제공할 기회가 줄어든다.

Microsoft에 따르면 경계 간 자격 증명 격리는 98.7%에 도달했다. 이 통제는 한 환경 또는 신뢰 영역의 자격 증명이 다른 환경에서 유용해지는 것을 막는 데 목적이 있다.

이러한 측정치는 문화를 개선하겠다는 일반적인 약속보다 더 많은 정보를 제공한다. 구체적인 통제 대상 집단을 식별하고 Microsoft가 보호 조치를 얼마나 광범위하게 배포했다고 말하는지를 보여준다.

그러나 이 비율은 미완의 작업도 드러낸다. 매우 큰 환경에서 99%에 적용된 통제라도 여전히 상당한 노출을 남길 수 있다. 공격자는 예외를 찾는다. 간과된 하나의 ID나 레거시 시스템이 발판을 제공할 수 있기 때문이다.

이 지표만으로는 Microsoft가 적절한 분모를 선택했는지 독립적으로 입증되지 않는다. 또한 통제가 얼마나 자주 실패하는지, 예외가 얼마나 빨리 해소되는지, 공격자가 이를 얼마나 효과적으로 우회하는지도 보여주지 않는다.

따라서 독립적인 검증은 여전히 필수적이다. 고객은 사고 빈도, 악용 가능성, 공개 품질, 완화 속도를 주시해야 한다. 이러한 결과는 내부 적용 범위 통계가 외부 위험 감소로 이어지는지를 보여준다.

Microsoft는 취약점이 발견되는 단계도 측정할 수 있다. 더 심각한 결함을 출시 전에 더 많이 찾아낸다면 시프트 레프트 전략을 뒷받침할 수 있다. 반대로 이러한 결함이 프로덕션 환경에서 반복적으로 발견된다면 설계 검토와 자동화 게이트가 여전히 불완전하다는 의미일 수 있다.

평균 완화 시간도 또 하나의 유용한 척도다. 이는 팀이 확인된 문제를 격리하거나 수정하는 데 걸리는 시간을 추적한다. 평균만으로는 심각한 이상치를 가릴 수 있으므로 Microsoft는 최고 위험 사례의 성과도 공개해야 한다.

대규모 감독은 궁극적으로 제품 팀이 자신의 위험을 책임지는 것을 요구한다. 보안 전문가는 아키텍처를 정의하고, 게이트를 유지하며, 예외적인 사례를 검토할 수 있다. 그러나 Windows, Azure 또는 Microsoft 365를 개발하는 모든 엔지니어의 판단을 대신할 수는 없다.

성과 평가 요건은 이 모델을 뒷받침한다. 이는 개발자에게 중앙 보안 통제를 사용하는 일이 업무의 일부임을 알린다. 또한 이러한 통제를 우회하는 일은 검토 대상이 되는 리더십 결정이라는 점을 관리자에게 알린다.

바로 이 지점에서 책임성과 엔지니어링이 만난다. 문화적 변화는 팀이 표준을 채택할 이유를 제공한다. 기술적 기본값은 더 안전한 결정을 대규모 조직 전반에서 반복하기 쉽게 만든다.

AI 스캐닝, 성숙한 코드 검토가 놓친 위험 발견

Microsoft는 AI를 활용해 보안 적용 범위를 넓히고 있지만, 이 기술은 전문가 검토를 대체하는 수단이 아니라 이를 증폭하는 도구로 작동한다.

Microsoft는 소스 코드에서 취약점을 검사하는 멀티모델 에이전틱 스캐너 MDASH를 도입했다. 에이전틱 시스템은 하나의 고립된 모델 응답을 생성하는 대신, 연결된 여러 분석 단계를 계획하고 수행할 수 있다.

Microsoft는 MDASH가 TCP/IP 네트워킹 스택을 포함한 Windows 구성 요소에서 심각한 원격 코드 실행 취약점을 발견했다고 밝혔다. 원격 코드 실행은 취약한 조건에서 공격자가 다른 시스템에서 소프트웨어를 실행할 수 있게 한다.

이 발견은 성숙한 엔지니어링 조직에서 흔히 나타나는 가정에 도전했다. 개발자들은 해당 코드가 수년간 팀의 감사와 운영을 거쳤기 때문에 안정적이라고 믿었다.

Microsoft 보안 연구 부문 부사장인 Taesoo Kim은 개발자들이 처음에는 이 발견을 의심했다고 말했다. 회사에 따르면 Microsoft는 이후 해당 취약점을 조사하고 해결했다.

MDASH는 Microsoft가 개발 중인 코드뿐 아니라 출시를 앞둔 소프트웨어도 검사한다. Rajjoub은 코드가 요구되는 보안 기준을 충족할 때까지 출하를 차단할 수 있는 강제 메커니즘이 있다고 말했다.

Microsoft는 Linux kernel과 FFmpeg를 포함한 오픈 소스 종속성에도 이 스캐너를 적용한다. 이 프로젝트들은 광범위한 공개 검증을 받지만, 규모와 복잡성 탓에 미묘한 결함이 남을 여지는 여전히 있다.

회사는 이 스캐닝 기술을 고객에게 제공하기 시작했다. 이러한 상용화 조치는 추가적인 시험대를 만든다. Microsoft는 MDASH가 자사 환경을 넘어선 코드베이스에서도 유용한 발견을 만들어낸다는 점을 보여야 한다.

7월 보고서는 더 광범위한 멀티 에이전트 평가 시스템을 설명한다. Microsoft는 소스 코드, ID 구성, 네트워크 토폴로지, 런타임 상태를 분석해 복합 취약점을 식별한다고 밝혔다.

복합 취약점은 각각으로는 심각하지 않은 여러 약점이 결합해 위험한 공격 경로를 형성할 때 발생한다. 허용적인 ID, 접근 가능한 네트워크 엔드포인트, 코딩 실수는 함께 검토될 때에만 심각한 문제가 될 수 있다.

기존 스캐너는 대개 한 번에 하나의 계층을 분석한다. 아키텍처와 런타임 맥락을 연결하면 팀이 공격자가 현실적으로 결합할 수 있는 발견 사항의 우선순위를 정하는 데 도움이 될 수 있다.

Microsoft는 보안 엔지니어들이 시스템의 발견 사항 중 90% 이상을 확인했다고 밝혔다. 이는 유망한 내부 결과지만, 회사는 독립적인 재현에 충분한 공개 세부 정보를 제공하지 않았다.

독자는 이 수치를 보편적인 정확도 비율로 해석해서는 안 된다. 결과는 시험한 서비스, 확인의 정의, 계산에 포함된 발견 사항에 따라 달라진다.

AI 지원 스캐닝은 새로운 운영상의 과제도 만든다. 더 많은 취약점을 찾는 일은 팀이 이를 검증하고 수정할 수 있을 때에만 가치를 창출한다. 빠르게 늘어나는 대기열은 엔지니어를 압도하거나 피상적인 완화를 부추길 수 있다.

오탐은 전문가가 조사해야 하므로 여전히 비용이 크다. 미탐은 팀이 스캔이 안전하지 않은 코드를 정리했다고 가정할 수 있기 때문에 더 위험하다.

따라서 사람의 검토는 여전히 핵심이다. 보안 엔지니어는 악용 가능성을 검증하고, 아키텍처상 결과를 이해하며, 수정이 또 다른 문제를 야기하는지 판단해야 한다. AI는 최종 위험 결정을 맡지 않으면서도 이들의 탐색 역량을 확장할 수 있다.

Microsoft는 2026년 동안 100개가 넘는 탐지를 추가해 총수가 350개를 넘었다고 밝혔다. 회사는 시그니처 기반 탐지에서 행위 및 기준선 분석으로 이동하고 있다.

시그니처 탐지는 알려진 악성 패턴을 찾는다. 행위 기반 탐지는 예상된 운영과 다른 의심스러운 활동을 찾아내며, 익숙하지 않은 공격을 발견하는 데 도움이 될 수 있다.

Microsoft의 보안 전환은 개발 수명 주기의 양쪽에서 AI를 활용한다. 모델은 출시 전에 코드를 탐색하고, 탐지는 배포 후 시스템을 모니터링한다. 그 결과 발생하는 신호에 어떻게 대응할지는 사람이 결정한다.

이러한 구성은 실용적인 절충을 반영한다. 수동 검토만으로는 Microsoft의 코드 규모를 따라갈 수 없다. AI만으로는 책임성, 맥락적 판단, 신뢰할 수 있는 보증을 제공할 수 없다.

MDASH의 가장 강력한 증거는 생성하는 발견 사항의 수가 아닐 것이다. 고객이 마주치기 전에 Microsoft가 심각한 취약점을 제거하는 비율이 될 것이다.

보안 기본값, 일부 비용을 고객에게 이전

더 안전한 기본값은 예방 가능한 노출을 줄이지만, 기존 워크플로를 방해하고 구현 작업을 Microsoft 고객에게 이전할 수 있다.

Microsoft는 이전에는 고객이 건너뛸 수 있었던 보호 조치를 의무화했다. Azure는 2024년 10월부터 단계적으로 다중 인증을 요구하기 시작했다.

다중 인증은 액세스를 허용하기 전에 두 가지 이상의 증거 형식을 요구한다. 탈취된 비밀번호의 가치를 낮추지만, 보호 수준은 인증 방식에 따라 달라진다.

Microsoft는 즉각적인 의무화가 고객 워크플로를 중단시킬 수 있었기 때문에 Azure 도입을 단계적으로 진행했다. 신규 계정이 먼저 요건을 적용받았고, 기존 환경에는 전환 시간이 주어졌다.

이 결정은 보안과 속도 간 충돌의 두 번째 층위를 드러낸다. Microsoft는 때때로 안전하지 않은 구성을 제거하기 위해 고객에게 불편을 감수하게 해야 한다. 요건을 늦추면 연속성은 유지되지만 취약한 관행이 계속 가능한 기간도 연장된다.

회사는 일부 위험한 기능도 기본적으로 비활성화했다. 고객은 구체적인 필요와 적절한 보호 장치가 있을 때 선택된 기능을 활성화할 수 있다.

이 접근 방식은 오랜 소프트웨어 관행을 뒤집는다. 공급업체는 흔히 제품을 완전하고 쉽게 도입할 수 있게 보이도록 기능을 활성화한다. 활성화된 각 서비스, 프로토콜 또는 통합은 보호가 필요한 또 다른 경로를 만들 수 있다.

기본적으로 안전한 제품은 관리자가 어떤 선택을 하기 전부터 이러한 노출을 줄인다. 또한 모든 기술 설정을 평가할 수 있는 전문가가 부족한 소규모 조직에도 도움이 된다.

그러나 기본값이 고객의 책임을 없애지는 않는다. 조직은 예외, 과도한 권한, 관리되지 않는 장치 또는 부실한 복구 절차를 통해 보호를 약화시킬 수 있다.

엔터프라이즈 기술에서 Microsoft가 차지하는 비중은 이러한 기본값의 설계를 특히 중대하게 만든다. 더 안전한 Azure 또는 Microsoft 365 설정은 많은 조직의 위험을 한꺼번에 낮출 수 있다. 결함 있는 설정은 그만큼 광범위하게 노출을 확산시킬 수 있다.

고객은 새 기본값이 신규 배포뿐 아니라 기존 테넌트에도 적용되는지 물어야 한다. 또한 면제가 만료되는지, 관리자가 편차를 중앙에서 식별할 수 있는지도 살펴봐야 한다.

Microsoft가 통제를 변경할 때 투명성은 중요하다. 관리자는 자동화를 업데이트하고, 종속성을 테스트하며, 운영상 영향을 설명할 수 있도록 충분한 사전 통지가 필요하다. 부실한 커뮤니케이션은 건전한 보안 요건을 가용성 사고로 바꿀 수 있다.

Microsoft는 Customer Security Management Office가 이제 정의된 플레이북을 사용해 주요 사고 중 커뮤니케이션을 조율한다고 밝혔다. 업데이트된 SFI 자료는 업계 표준을 통한 클라우드 취약점 공개도 설명한다.

회사의 SFI expansion은 Microsoft가 더 빠른 완화와 더 명확한 공개 메시지를 제공하겠다고 약속했다. 이러한 약속은 Storm-0558 침해 이후 제기된 비판을 직접적으로 다룬다.

그러나 공개는 내부적으로 판단하기 가장 어려운 결과 중 하나로 남는다. 기업은 사고를 발표하는 시점, 범위를 설명하는 방식, 공개할 기술적 세부 정보 등을 통제한다.

Cyber Safety Review Board는 조사 과정에서 중요한 설명이 바뀌었다는 이유로 Microsoft의 이전 공개 성명을 비판했다. 이러한 이력은 향후 사고 커뮤니케이션의 기준을 높인다.

따라서 고객은 예방 지표와 신뢰 지표를 구분해야 한다. 인증 적용 범위와 리소스 격리는 배포된 통제를 측정한다. 빠르고 정확하며 완전한 공개는 그러한 통제가 실패한 뒤 Microsoft가 어떻게 행동하는지를 측정한다.

심각한 취약점이 계속 발견된다는 사실은 어떤 승리 선언도 막는다. Cybersecurity Dive는 2026년 9월 기사 이전 5개월 동안 최소 5개의 심각한 SharePoint 취약점이 공개됐다고 보도했다.

빈번한 공개는 연구자와 내부 도구가 문제를 더 효과적으로 발견하고 있다는 뜻일 수 있다. 또한 지속적인 엔지니어링 약점을 나타낼 수도 있다. 맥락, 악용 상태, 영향받는 구성, 완화 시간에 따라 어느 해석이 더 설득력 있는지가 결정된다.

Microsoft의 규모는 취약점 보고가 계속 나올 것임을 보장한다. 신뢰할 수 있는 어떤 전환도 결함의 완전한 제거를 약속할 수 없다. 중요한 시험은 심각한 실패가 덜 예방 가능해지고, 덜 큰 피해를 일으키며, 더 투명하게 처리되는지 여부다.

보안 기본값은 일반적인 실수를 억제하는 데 도움이 된다. 그러나 규율 있는 설계, 정확한 자산 목록, 통제된 ID, 효과적인 사고 대응을 대체할 수는 없다.

엔터프라이즈 구매자에게 실질적인 질문은 Microsoft의 통제가 숨은 종속성을 만들지 않으면서 전체 노출 위험을 줄이는지 여부다. 그 답은 레거시 시스템, 클라우드 서비스, 규제 환경에 따라 달라질 것이다.

다음 증거는 결과에서 나와야 한다

Microsoft 보안 혁신의 다음 단계에는 더 많은 내부 진행률이 아니라 독립적으로 관찰 가능한 결과가 필요하다.

가장 먼저 주목할 신호는 출시 전 발견이다. Microsoft는 AI 스캐닝과 초기 설계 검토를 통해 제품이 고객에게 도달하기 전에 치명적 취약점의 발견 비중이 증가하고 있음을 보여야 한다.

이 측정치는 MDASH와 초기 단계로 이동한 감독 체계를 직접적인 엔지니어링 결과와 연결할 수 있다. 감소세가 나타난다면, 새로운 도구와 거버넌스가 실패를 더 이른 단계에서 예방한다는 Microsoft의 주장은 약화될 것이다.

두 번째 신호는 심각도가 높은 클라우드 취약점의 완화 성과다. Microsoft의 현재 자료는 하루도 되지 않아 조치된 한 건의 적극적으로 악용되던 클라이언트 측 문제를 포함해, 더 빠른 완화를 설명한다.

한 사례만으로 일관된 운영 표준이 입증되지는 않는다. 구매자에게는 분포, 심각도 범주, 예외 건수가 필요하다. 완화 시간의 지속적인 단축은 책임성이 실행 방식을 바꿨다는 주장을 뒷받침할 것이다.

세 번째 신호는 다음 대형 사고를 Microsoft가 어떻게 처리하는지다. 회사는 이를 신속히 탐지하고, 영향을 받은 시스템을 정확히 규정하며, 고객에게 빠르게 알리고, 반복적인 정정 없이 근본 원인을 설명해야 한다.

어떤 내부 인식 점수도 이 시험을 대체할 수 없다. 명확한 대응은 Microsoft의 거버넌스 개혁에 대한 신뢰를 강화할 것이다. 반면, 피할 수 있었던 또 다른 침해 사고 뒤에 불완전한 설명이 이어진다면 프로그램의 핵심 약속은 훼손될 것이다.

AI는 이 세 가지 신호 모두에 압박을 가할 것이다. AI는 Microsoft가 더 많은 코드를 검토하고 더 많은 텔레메트리를 연계하도록 돕는다. 동시에 제품팀의 개발 속도를 높이고, 공격자에게는 약점을 찾아 결합할 도구를 제공한다.

Forrester의 경고는 여기서 주목할 가치가 있다. 특히 경쟁 마감일이 다시 다가오고 대중의 감시가 다른 곳으로 옮겨갈 때, AI를 둘러싼 긴급성은 조용히 보안 규율을 약화시킬 수 있다.

Microsoft의 보안 위원회와 성과 인센티브는 이러한 순환에 저항하도록 설계됐다. 보안 리더의 반대로 인해 고위 제품팀이 출시 지연, 재설계 또는 기능 범위 축소를 수용할 때 그 효과가 드러날 것이다.

고객은 모든 내부 의사결정을 볼 수 있는 경우가 드물다. 그럼에도 릴리스 노트, 사고 보고서, 취약점 기록, 기본 구성, 악용된 결함을 해결하는 데 걸리는 시간을 통해 결과를 평가할 수 있다.

Microsoft 서비스를 구매하는 보안팀도 독립적인 통제를 유지해야 한다. 자체적인 ID 모니터링, 자산 인벤토리, 복구 계획, 세분화, 공급업체 위험 평가를 계속 유지해야 한다.

공급업체가 개선한다고 해서 집중 위험이 사라지는 것은 아니다. 조직은 여전히 어떤 핵심 프로세스가 하나의 ID 제공업체, 클라우드 플랫폼 또는 관리 인터페이스에 의존하는지 이해해야 한다.

그럼에도 Microsoft의 SFI는 다른 대기업에 유용한 모델을 제공한다. 검토, 보상, 제품 아키텍처, 개발 게이트, 고객 기본 설정이 같은 목표를 향할 때 보안은 더 신뢰할 수 있게 된다.

이 모델은 또한 AI 보안이 왜 조직적 문제인지를 보여준다. 스캐너는 의심스러운 코드를 식별할 수 있지만, 어떤 임원이 지연을 수용할지 결정할 수는 없다. 직원이 우려를 제기하도록 보장하거나 정확한 공개 발표를 담보할 수도 없다.

책임성은 그 빠진 층을 제공한다. AI가 의사결정에 필요한 증거를 만들어도, 인간은 의사결정의 소유권을 유지한다.

Microsoft의 보안 혁신은 회사가 인센티브를 바꾸고 측정 가능한 통제를 배포했기 때문에 구호를 넘어섰다. 그러나 아직 영구적인 평가를 받을 만큼 입증되지는 않았다.

결정적인 증거는 일상 운영을 통해 나타날 것이다. 예방 가능한 실패의 감소, 더 빠른 복구, 더 명확한 공개, 그리고 AI 출시 경쟁 중에도 드러나는 자제가 그것이다.

기술 리더에게 다음 단계는 Microsoft가 보고한 통제를 자체 환경의 조건과 비교하는 일이다. 어떤 예외가 남아 있는가, 누가 이를 책임지는가, 어떤 증거가 경영진에게 전달되는가? 이러한 질문은 정보 업데이트를 실질적인 위험 검토로 전환한다.

취약점 결과, 완화 시간, 사고 투명성을 통해 Microsoft의 보안 혁신을 계속 지켜봐야 한다. 이 지표들이 함께 개선된다면 Microsoft의 거버넌스 변화는 유지되고 있는 것이다. 출시 압박이 그중 하나라도 약화시킨다면, 오래된 갈등은 단지 재편됐을 뿐이다.