통제
기능 상세
자료 접근에 일부 제한이 있음을 알려드립니다.
파일 통제 기능에 대한 상세 내용은 다음에서 확인하실 수 있습니다.
개요
외부 저장소(OneDrive, SharePoint, Google Drive 등)로의 업로드 및 다운로드 시점에 문서에 대한 암호화 및 보안 처리를 자동으로 수행하여 조직의 정보 보안 정책을 준수하도록 합니다. Google Drive 의 지원 범위와 판정 방식에는 다른 저장소와 다른 제약이 있습니다. 9 항을 함께 참고하십시오.
1. 문서 상태 표시
문서의 보안 상태는 파일 아이콘을 통해 시각적으로 표시됩니다. 레이블을 발급한 조직도 함께 구분되어, 자사 정책으로 관리되는 문서와 타 조직(계열사·협력사 등)이 발급한 문서를 아이콘만으로 가릴 수 있습니다.
| 사용자 화면 | 내용 | 비고 |
|---|---|---|
| 분류(Label)+보호(Protect) | 파워포인트 문서는 미리보기로 표기됨 | |
| 분류(Label) | 파워포인트 문서는 미리보기로 표기됨 | |
| 타 조직 발급 분류(Label)+보호(Protect) | 자사 정책으로 관리되지 않는 문서 | |
| 타 조직 발급 분류(Label) | 아이콘으로만 구분하며, 열람·변환 등 처리는 일반 문서와 동일합니다 |
1.1 제약 사항
특정 아이콘 크기에서 MIP 레이블(보안) 아이콘이 표시되지 않음: Windows 탐색기의 아이콘 보기를 "중간 아이콘" 이상 크기로 설정하면, 일부 MIP 문서에서 문서보안이 지정한 MIP 레이블 아이콘이 표시되지 않습니다. (작은 아이콘·목록·자세히 보기에서는 정상 표시됩니다.) 이 크기에서는 아이콘 대신 문서 첫 페이지 미리보기가 그려집니다.
원인 (문서보안 제어 밖): Windows 탐색기는 아이콘이 일정 크기 이상이면 문서에 저장된 미리보기 그림을 아이콘보다 우선 표시합니다. 미리보기 그림이 저장된 세 자리 확장자 포맷(예: .ppt)은 MIP 보호를 적용해도 미리보기 이미지가 문서 안에 평문으로 남기 때문에, 이 크기에서는 탐색기가 미리보기를 그리고 문서보안의 MIP 레이블 아이콘은 표시될 수 없습니다. 같은 Microsoft Office 문서 형식이라도 비밀번호 암호화 방식에서는 미리보기가 함께 암호화되어 제거되지 만, MIP/IRM 보호는 문서 본문만 암호화하도록 규정되어 미리보기가 평문으로 남습니다. 문서보안은 파일 아이콘만 지정하며, 이 미리보기 표시 동작은 Microsoft Office 문서 형식과 Windows 탐색기 특성에 따른 것으로 문서보안이 제어할 수 없는 영역입니다.
적용 범위: 미리보기 그림이 저장된 세 자리 확장자 포맷 .ppt 에서 확인되었으며, 같은 세 자리 확장자 포맷인 .doc·.xls 도 미리보기가 저장되면 동일하게 나타날 수 있습니다. 네 자리 확장자 포맷(.pptx·.docx·.xlsx)은 문서 전체가 암호화되어 미리보기가 남지 않으므로 MIP 레이블 아이콘이 정상 표시됩니다.
타 조직 발급 아이콘도 동일: 위 미리보기 관련 제약은 타 조직이 발급한 문서의 아이콘에도 같이 적용됩니다.
참고 (기술 사양)
- Windows 탐색기 썸네일 처리 — 아이콘 크기별 우선순위 (Microsoft Learn)
- MS-OFFCRYPTO §1.3.2: IRM 데이터 스페이스 — 보호는 문서 본문(content)만 암호화 대상으로 정의 (Microsoft Learn)
- MS-OFFCRYPTO §2.3.5.4: (대조) 비밀번호(RC4) 암호화는 문서 속성·미리보기를 함께 암호화·제거 (Microsoft Learn)
2. 외부 저장소 업로드 시
2.1 개요
로컬 경로의 문서를 OneDrive/SharePoint/Google Drive 등 외부 저장소로 업로드할 때, 시스템은 자동으로 보안 정책을 적용하여 문서를 암호화 및 변환 처리합니다.
2.2 보안 처리 과정
- 업로드 감지: 파일 이동/복사 이벤트 감지
- 정책 확인: 원본 파일에 대한 ZTCAP 정책 확인
- 문서 변환: 정책에 따라 보안 문서로 변환 (MIP 레이블 적용 또는 DRM 변환)
- 업로드 실행: 변환된 문서를 외부 저장소에 업로드
- 백업 저장: (정책 설정 시) 원본 문서 백업 저장
2.3 지원 시나리오
| 구분 | Document Security 6 | 비고 |
|---|---|---|
| 일반 경로 → OneDrive/SharePoint | 변환 후 업로드 | ZTCAP fileEvent - CopyFileTo_OneDrive - CopyFileTo_Sharepoint |
| 일반 경로 → Google Drive | 변환 후 업로드 | ZTCAP fileEvent - CopyFileTo_GoogleDrive |
| 일반 경로 → 일반 경로 | 미지원 | 내부 이동이므로 통제 미적용 |
| 동일 저장소 내부 이동 | 미지원 | 원본과 대상이 같은 저장소면 통제 미적용. Google Drive 내부 이동도 동일합니다 |
저장소 판정 순서: 원본과 대상 경로는 OneDrive → Google Drive → SharePoint 순으로 평가되며, 먼저 일치한 저장소의 이벤트가 사용됩니다. 따라서 OneDrive 와 Google Drive 사이를 오가는 이동·복사는 OneDrive 이벤트로 분류됩니다 (CopyFileFrom_OneDrive 또는 CopyFileTo_OneDrive).
2.4 인증 상태별 동작
- DS6 로그인 상태: 원본 파일에 대한 ZTCAP 정책에 따라 변환된 파일을 업로드합니다.
- DS6 로그아웃 상태: 외부 저장소로의 파일 업로드가 차단됩니다.
통합 로그인 상태와 SHIELD 자격증명이 모두 확인되어야 업로드가 진행되며, 어느 하나라도 충족되지 않으면 로그인 안내를 표시하고 복사·이동을 중단합니다. 위 동작은 OneDrive·SharePoint·Google Drive 에 동일하게 적용됩니다. 인증 확인은 저장소 판정 직후 수행되므로 저장소 종류에 따른 차이가 없습니다.
3. 업로드 시 경고창 기능
3.1 기능 개요
외부 저장소(OneDrive·SharePoint·Google Drive) 경로로 파일 또는 폴더를 업로드하는 경우, 문서 변환 작업이 진행 중임을 알리는 안내창을 표시합니다.
3.2 리소스 적용 정보
리소스 key: ① Title ② MainMsg ③ SubMsg1 ④ SubMsg2 ⑤ HelpUrl
리소스 파일 정보: c:\Windows\softcamp\sdk\Res\DS\ResUIKOR.rc, 버전 6.0.0.13
....
[CloudCopyMoveWarning]
Title = OneDrive 이동 / 복사 진행중
MainMsg = 작업 완료 전까지는 대상 파일(또는 폴더)을\r\n사용하지 마세요.
SubMsg1 = *대량의 파일은 시간이 오래 걸릴 수 있습니다.
SubMsg2 = *이동 / 복사가 완료되기 전 파일을 열거나 수정하면\r\n오류가 발생할 수 있습니다.
HelpUrl = (안내 사이트 주소)
....
안내창 문구와 저장소명: 위 Title 값은 OneDrive 를 지칭하고 있으나, 같은 안내창이 SharePoint·Google Drive 업로드에도 사용됩니다. 안내창 문구는 프로그램에 고정된 값이 아니라 위 리소스 파일에서 읽어오는 값이므로, 제품 수정 없이 리소스 문구 교체만으로 저장소 중립 표현으로 변경할 수 있습니다.
3.4 제약 사항
- 해당 복사가 종료 전에 다른 복사를 시작하면 중복 창이 발생합니다. (최대 10개 창)
- 기본적으로는 복사가 완료되면 창도 자동으로 닫히나, 사용자가 확인을 눌러 창을 닫아버릴 수도 있습니다.
- Google Drive 내부에서만 파일을 이동·복사하는 경우에는 통제 대상이 아니므로 안내창도 표시되지 않습니다.
4. 업로드 시 백업 파일 저장 기능
4.1 기능 개요
외부 저장소로 업로드되는 문서의 원본을 백업하여 보관하는 기능입니다.
4.2 제약 사항
백업 경로는 정책으로 지정한 경로, 혹은 기본경로(내 문서)에 "CloudDrv_Backup" 폴더가 생성되고 그 하위에 날짜별로 폴더가 생성된 후 그 폴더에 백업파일이 저장됩니다. 폴더 복사시 폴더 구조는 유지되지 않고 변환된 파일이 모두 날짜 폴더 하위에 저장됩니다.
5. 외부 저장소 다운로드 시
5.1 개요
OneDrive/SharePoint/Google Drive 등 외부 저장소에서 로컬 경로로 문서를 다운로드할 때, 시스템은 자동으로 보안 정책을 적용하여 문서를 변환 처리합니다.
5.2 보안 처리 과정
- 다운로드 감지: 파일 이동/복사 이벤트 감지
- 정책 확인: 다운로드 대상 파일의 보안 상태 확인
- 문서 변환: 정책에 따라 적절한 보안 문서로 변환
- 다운로드 실행: 변환된 문서를 로컬 경로에 저장
5.3 지원 시나리오
| 구분 | Document Security 6 | 비고 |
|---|---|---|
| OneDrive/SharePoint → 일반 경로 | 변환 후 다운로드 | ZTCAP fileEvent - CopyFileFrom_OneDrive - CopyFileFrom_Sharepoint |
| Google Drive → 일반 경로 | 변환 후 다운로드 | ZTCAP fileEvent - CopyFileFrom_GoogleDrive |
| OneDrive/SharePoint → OneDrive/SharePoint | 미지원 | 클라우드 간 이동이므로 통제 미적용 |
| Google Drive → Google Drive | 미지원 | 동일 저장소 내부 이동이므로 통제 미적용 |
본 절의 저장소 판정 순서는 2.3 항과 동일합니다. OneDrive 와 Google Drive 사이의 이동·복사는 OneDrive 이벤트로 분류됩니다.
5.4 인증 상태별 동작
- DS6 로그인 상태: 외부 저장소의 파일을 다운로드할 때 정책에 따라 변환된 파일을 저장합니다.
- DS6 로그아웃 상태: 외부 저장소로부터의 파일 다운로드가 차단됩니다.
2.4 항과 동일하게 통합 로그인 상태와 SHIELD 자격증명이 모두 확인되어야 하며, OneDrive·SharePoint·Google Drive 에 동일하게 적용됩니다.
6. 문서 열람 시 보안 통제
6.1 개요
문서를 열람할 때 시스템은 자동으로 보안 정책을 확인하고, 필요시 문서를 변환하여 안전하게 열람할 수 있도록 합니다.
6.2 보안 처리 과정
- 열람 요청 감지: 문서 열람 이벤트 감지
- 정책 확인: 문서 경로 및 보안 상태에 따른 정책 확인
- 문서 변환: 정책에 따라 보안 문서로 변환 (필요시)
- 열람 허용: 변환된 문서를 안전하게 열람
6.3 경로별 열람 정책
| 구분 | Document Security 6 | 비고 |
|---|---|---|
| 일반 경로 문서 | 변환 후 열람 | ZTCAP fileEvent - ApplicationFileOpen, 커스텀 정책 - DS_MIP_SHELL : open |
| OneDrive 경로 문서 | 일반문서: 미지원 / 보안문서: 열람 차단 / MIP문서: 미지원 | 보안문서는 MIP 변환 후 열람 필요 |
| SharePoint 경로 문서 | 일반문서: 변환 후 열람 / 보안문서: 변환 후 열람 / MIP문서: 변환 후 열람 | 모든 문서 타입 변환 지원 |
6.4 정 책 적용 메커니즘
- 문서 열람 시점 ZTCAP 정책 적용: 문서이벤트-문서 열람시 변환 정책으로 지정하여 열람 시점에 집행정책에 등록된 문서로 변환 지원
- 보안문서 열람 제한: 원드라이브 경로의 보안문서(DRM) 열람은 SHILDRM 서비스에서 MIP 문서로 변환 후 열람 가능 (또는 사용자 우클릭 매뉴로 MIP/일반문서 전환 후 열람)
문서 열람 시 변환을 지원하지 않는 케이스
- 통합로그인 전 시점
- 로컬 onedrive 경로의 문서 파일
- 문서 파일 크기가 0byte 인 파일
- MIP 지원 확장자 중 오피스 확장자가 아닌 경우
7. 문서 변환 및 보안 레이블 관리
7.1 개요
사용자가 수동으로 문서의 보안 레벨을 변경하거나 MIP 레이블을 관리할 수 있는 기능입니다.
7.2 지원 기능
- 일반문서 → MIP 레이블 생성
- 보안문서(DRM) → MIP 문서로 변환
- MIP 문서 → MIP 삭제, DRM문서로 변환
7.3 경로별 지원 기능
| 구분 | Document Security 6 | 비고 |
|---|---|---|
| 일반 경로 문서 | 일반문서: MIP 레이블 생성 / 보안문서: MIP 문서로 변환 / MIP 문서: MIP 삭제, DRM문서로 변환 | 다중 파일/폴더 지원, 커스텀 정책 - DS_MIP_SHELL_MENU, DS6: ZTCAP 정책으로 변환 |
| OneDrive 경로 문서 | 일반문서: MIP 레이블 생성 / 보안문서: MIP 문서로 변환 / MIP 문서: MIP 삭제 | 다중 파일/폴더 지원, OneDrive 경로 특성상 DRM 변환 제한 |
| SharePoint 경로 문서 | 일반문서: MIP 레이블 생성 / 보안문서: MIP 문서로 변환 / MIP 문서: MIP 삭제, DRM문서로 변환 | 다중 파일/폴더 지원, 모든 변환 기능 지원 |
8. 외부 저장소 업로드 차단 (선별 차단 · 안내문 대체)
8.1 개요
OneDrive·SharePoint·Google Drive 같은 클라우드 저장소로 문서를 올릴 때(복사·이동), 회사 보안 정책이 "반출 금지"로 정한 등급의 문서는 원본 대신 안내문 파일로 바꿔 올려 민감 문서가 클라우드로 빠져나가지 못하게 막는 기능입니다. 허용 등급 문서는 그대로 올라갑니다. 차단되더라도 작업은 "성공"처럼 끝나기 때문에, 여러 파일을 한꺼번에 올리는 작업이 중간에 멈추거나 오류창이 뜨지 않습니다.
요약: 민감 등급 문서의 클라우드 업로드를 조용히 선별 차단하고, 원본 대신 안내문을 올립니다. 작업이 끝나면 파일별 결과(이동/차단/오류)를 한 창으로 알립니다.
본 기능이 필요한 이유: 기존에는 클라우드로 문서를 올릴 때 정책에 따라 변환(암호화·보안 등급 적용)만 이뤄졌고, "특정 등급은 아예 올리지 못하게" 막는 수단이 없었습니다. 그래서 기밀·대외비 같은 민감 문서가 클라우드로 반출될 위험이 있었습니다. 본 기능은 문서 등급에 따라 업로드를 선별 차단하여 이 공백을 메웁니다.
동작 방식 (한 줄 메커니즘): 서버 정책이 차단 대상으로 판정한 문서는 원본 대신 안내문(원본명_차단됨.txt)이 클라우드에 올라가고(조용한 차단), 허용 문서는 정상 업로드됩니다. 작업이 끝나면 파일별 결과를 한 창에 표시합니다(차단·오류가 하나라도 있을 때만 — 전부 정상이면 알림 없음).
8.2 적용 범위 / 진입점
| 진입점 | 지원 여부 |
|---|---|
| 로컬 탐색기 → OneDrive/SharePoint 복사 (Ctrl+C/V) | 지원 |
| 로컬 탐색기 → OneDrive/SharePoint 이동·드래그 | 지원 |
| 로컬 탐색기 → Google Drive 복사 (Ctrl+C/V) | 지원 |
| 로컬 탐색기 → Google Drive 이동·드래그 | 지원 |
| 폴더 단위 이동 | 지원 (폴더 안 차단 문서도 대체) |
| Teams 코파일럿 업로드 | 연동 방식이 달라 본 문서 범위 외 |
| 클라우드→클라우드 이동, 다운로드 | 비대상 |
8.3 사용자 시나리오
| 사용자가 하는 일 | 어떻게 되나 |
|---|---|
| 일반(허용) 문서를 OneDrive/SharePoint/Google Drive로 복사·이동 | 평소처럼 정상 업로드됩니다. |
| 차단 등급(예: 기밀) 문서를 복사·이동 | 원본은 올라가지 않고, 원본명_차단됨.txt 안내 파일이 대신 올라갑니다. |
| 여러 문서를 한꺼번에 올림 | 차단 대상만 안내 파일로 바뀌고 나머지는 정상 업로드됩니다. 작업이 끝나면 결과 창으로 한눈에 보여줍니다. |
| 폴더째 올림(이동) | 폴더 안 차단 문서만 안내 파일로 바뀌고, 원본 폴더는 내 PC에 그대로 남습니다. |
| 차단된 문서가 하나도 없음(전부 허용) | 결과 창을 띄우지 않고 조용히 완료됩니다. |
8.4 제약사항
- 폴더 이동 차단 시 로컬 중복: 차단 문서가 포함된 폴더를 이동하면 원본 폴더 전체가 로컬에 보존됩니다. 이때 허용 문서는 로컬과 클라우드에 모두 존재(중복)합니다 — 데이터 손실을 막기 위한 의도된 동작입니다.
- 지원 확장자 한정: 클라우드 업로드 차단 대상은 Office(docx/xlsx/pptx 등)·PDF입니다. HWP/HWPX 등은 차단 대상이 아니며, 차단이 필요하면 지원 확장자 확장이 별도로 필요합니다.
- 안내문 보호 수준: 안내문은 보안 레이블이 없는 평문 텍스트입니다. 민감 정보를 담지 않으며, 보안 목표(민감 원본의 클라우드 미반출)는 원본을 올리지 않음으로써 달성됩니다.
- 서버 정책 의존: 차단 등급 판정은 서버 조건부 정책에 의존합니다. 정책이 등록되지 않으면 기존 변환·업로드 흐름이 그대로 유지됩니다.
- appAuth 모드 제외: appAuth 모드는 조건부 정책을 사용하지 않아 본 차단 대상이 아닙니다.
- Teams 코파일럿 업로드: 탐색기와 연동 방식이 달라 본 기능 범위 밖입니다.
- 레거시 파일 복사 방식 경유 업로드: 일부 응용 프로그램이 사용하는 구형 파일 복사 방식(SHFileOperation)을 통한 업로드는 OneDrive 경로만 인식합니다. 이 경로로 Google Drive 에 올리는 경우 업로드 차단이 적용되지 않습니다. Windows 탐색기의 복사·이동·드래그는 해당하지 않습니다.
8.5 사용자 화면 (UX)
작업이 끝나면 결과창이 나타납니다(차단·오류가 있을 때만).
┌──────────────────────────────────────────────┐
│ Document Security │
│ 업로드 차단 │
│ ┌────────────────────────────────────────┐ │
│ │ 대상 파일 │ │
│ │ 보고서.docx ✓ 이동됨 │ │
│ │ 기밀문서.docx ! 차단됨 │ │
│ │ 매출.xlsx ! 차단됨 │ │
│ └────────────────────────────────────────┘ │
│ [ 확인 ] │
└──────────────────────────────────────────────┘
차단된 문서는 클라우드에 원본명_차단됨.txt(안내문)로 올라갑니다. 결과창은 그 작업의 모든 파일을 상태와 함께 보여줍니다(이동됨/차단됨/오류). 전부 정상 업로드된 작업은 결과창을 띄우지 않습니다(불필요한 알림 방지).
8.6 정책 / 설정
차단 여부는 서버 조건부 정책(ZTCAP)의 "업로드 차단"(uploadBlock) 집행 카드로 제어됩니다. 어떤 등급을 차단할지(예: C·S 등급)는 정책의 "대상 문서 보안 레이블 조건"에서 지정합니다. 클라이언트는 응답에 차단 카드가 있는지만 확인합니다.
8.7 지원 범위 (확장자)
지원: Microsoft Office(docx/xlsx/pptx 등)·PDF. 미 지원: HWP/HWPX 등 그 외 확장자는 업로드 차단 대상 자체가 아닙니다(8.4 제약사항).
8.8 주요 흐름
- 관리자: 조건부 정책 등록(업로드 차단 카드 ON + 차단 등급 지정).
- 사용자: 문서를 OneDrive/SharePoint/Google Drive로 복사·이동 → (차단 등급) 안내문 대체 / (허용) 정상 업로드 → 작업 종료 시 결과창.
9. Google Drive 지원 범위 및 제약
Google Drive 는 OneDrive·SharePoint 와 같은 통제 흐름을 사용하지만, 경로를 인식하는 방식이 달라 아래 제약이 함께 적용됩니다.
⚠️ 정책 서버 사전 등록 필수 (선행 조건): Google Drive 지원은 정책 서버(ZTCAP)에
CopyFileTo_GoogleDrive·CopyFileFrom_GoogleDrive이벤트,DrmRemove집행 속성,%GOOGLEDRIVE%경로 예약어 4개 항목이 사전 등록되어 있어야 동작합니다. 미등록 시 클라이언트 로그는 정상으로 보이는데 아무 변환도 일어나지 않는 무동작 상태가 됩니다. 상세 등록 방법은 「Google Drive 문서 보안 제어 — 적용 안내서」 §4-1 참고.
9.1 지원 모드 — 가상 드라이브(스트리밍) 전용
Google Drive for Desktop 의 가상 드라이브(스트리밍) 모드만 지원합니다. 드라이브 문자로 마운트된 볼륨 중 파일 시스템이 DriveFS 이거나 볼륨 이름에 Google Drive 가 포함된 드라이브를 Google Drive 로 판정합니다.
미러링(로컬 폴더 동기화) 모드는 범위 밖입니다. 이 모드는 드라이브 문자가 부여되지 않아 판정 대상 자체가 되지 않으며, 일반 로컬 폴더로 취급됩니다.
9.2 마운트 시점 제약
드라이브 목록은 프로그램이 시작될 때 한 번만 조회합니다. 따라서 탐색기나 에이전트가 이미 실행 중인 상태에서 Google Drive 를 새로 연결하면, 재시작하기 전까지 인식되지 않습니다. OneDrive 에도 동일하게 적용되는 제약입니다.
9.3 조건부 정책 지정 방법
Google Drive 를 대상으로 하는 조건부 정책은 관리콘솔 「조건부 정책 › Endpoint」에서 아래 항목으로 지정합니다.
| 지정 항목 | 값 |
|---|---|
| 문서 이벤트 (업로드) | Google Drive로 파일 이동/복사 |
| 문서 이벤트 (다운로드) | Google Drive에서 파일 이동/복사 |
| 문서 경로 지정 | 지정된 경로 › %GOOGLEDRIVE% |
Google Drive 의 드라이브 문자는 PC 마다 다르게 잡히므로, 경로는 드라이브 문자 대신 %GOOGLEDRIVE% 예약어로 지정합니다. 예약어는 내 드라이브·공유 드라이브를 구분하지 않는 단일 값입니다.
9.4 저장소 판정 우선순위
원본·대상 경로는 OneDrive → Google Drive → SharePoint 순으로 평가되며, 먼저 일치한 저장소의 이벤트가 사용됩니다. 이 순서로 인해 OneDrive 와 Google Drive 사이를 오가는 이동·복사는 Google Drive 이벤트가 아니라 OneDrive 이벤트로 분류됩니다. 두 저장소를 함께 운영하는 환경에서 정책을 구성할 때 유의해야 합니다.