Microsoft 365 / 다단계 인증 설정: 보안 기본값과 조건부 액세스 중 무엇을 선택할까요?

Microsoft 365에서 다단계 인증(MFA)을 적용할 때 단순한 조직 전체 기본 보호가 필요하다면 보안 기본값을, 사용자·앱·위치·기기 등 조건별 정책이 필요하다면 조건부 액세스를 검토합니다. 두 방식을 겹쳐 켜는 방식은 아닙니다. 조건부 액세스에는 적절한 Microsoft Entra 라이선스와 정책 설계가 필요합니다.

보안 기본값과 조건부 액세스의 차이

Microsoft의 보안 기본값 안내와 조건부 액세스 배포 계획에 따르면 보안 기본값과 조건부 액세스는 동시에 사용하는 방식이 아닙니다. 제품별 라이선스는 Microsoft Entra 라이선스 설명에서 최신 조건을 확인하세요.

MFA 등록과 로그인 요구는 다른 상태입니다

MFA(Multifactor Authentication, 다단계 인증)는 암호 외에 추가 인증 수단으로 본인을 확인하는 방식입니다. 인증 앱을 등록했다는 사실, 특정 로그인에서 MFA가 요구된 사실, 그 요구가 실제로 충족된 사실을 나누어 확인해야 합니다. 등록만 해 놓고 정책을 적용하지 않았다면 의도한 보호가 이루어지지 않을 수 있습니다.

반대로 매번 인증 알림이 오지 않는다고 MFA가 꺼진 것은 아닙니다. 기존 세션이나 토큰의 인증 상태가 인정되었을 수 있으므로 로그인 기록에서 판단합니다. 예전 사용자별 MFA 화면에 “사용 안 함”으로 표시되더라도 보안 기본값이나 조건부 액세스로 MFA가 적용될 수 있습니다. 이 표시만 보고 예전 방식의 사용자별 MFA를 추가로 켜지 마세요.

결정하기 전에 확인할 질문

• 현재 테넌트에서 어떤 인증 정책이 이미 켜져 있나요? 새 테넌트는 보안 기본값이 활성화되어 있을 수 있습니다.
• 관리자와 일반 사용자가 어떤 인증 방법을 등록했나요? 배포 전 준비 안내가 필요합니다.
• 레거시 인증을 쓰는 오래된 앱이나 장비가 있나요? 차단 시 업무 중단 가능성을 확인해야 합니다.
• 비상용 관리자 계정과 복구 절차가 준비되어 있나요? 잘못된 조건부 액세스 정책으로 모든 관리자가 잠길 수 있습니다.
• 필요한 기능을 사용할 라이선스가 해당 사용자에게 있나요?

보안 기본값을 검토하는 절차

1. Microsoft Entra 관리 센터에 필요한 권한으로 로그인합니다.
2. [Entra ID] → [개요] → [속성]에서 보안 기본값 관리 위치를 찾습니다. 메뉴 구조가 바뀌었다면 관리 센터 검색에서 “보안 기본값”을 찾습니다.

3. 현재 상태를 기록하고 영향을 받는 관리자·사용자·앱을 조사합니다. 조직에 공지하고 인증 등록을 준비한 뒤 적용 여부를 결정합니다.
4. 보안 기본값을 선택했다면 보안 기본값 관리 → 사용 → 저장으로 적용합니다. 설정에는 조건부 액세스 관리자 등 해당 권한이 필요합니다. 사용자에게 지원되는 인증 방법의 등록 절차를 안내합니다.
5. 관리자와 일반 사용자로 새 로그인 흐름을 확인하고 인증 등록·로그인 로그를 점검합니다. 기존 로그인 세션의 유지 여부도 배포 계획에 넣습니다. 전체 세션 해제는 사용자 업무에 영향을 주므로 공지와 지원 준비 후 승인된 범위에서 수행합니다.

보안 기본값에는 사용자별 예외를 넣는 방식이 제공되지 않습니다. 특정 구형 장비만 보호를 우회해야 한다는 이유로 전체 기본 보호를 끄기 전에, 해당 장비의 인증 방식을 바꾸거나 조건부 액세스 설계로 전환할 필요가 있는지 검토하세요. 과거 문서의 MFA 등록 유예 기간을 전제로 사용자 안내 일정을 잡지 않습니다.

조건부 액세스를 도입할 때

Microsoft Entra 관리 센터에서 조건부 액세스 → 정책을 엽니다. 화면 구조에 따라 Entra ID의 보호 메뉴 아래에 있거나 관리 센터 검색으로 찾을 수 있습니다. 정책을 만들고 수정할 역할과 적용 대상의 라이선스를 확인하세요. 일반적인 조건부 액세스에는 Entra ID P1이, 사용자·로그인 위험에 따른 조건에는 P2 등이 필요합니다.

보안 기본값에서 전환하는 경우에는 대체 정책을 설계·검증하고 전환 시간을 정해야 합니다. 보안 기본값을 끈 뒤 보고 전용 정책만 만들어 두면 동등한 보호가 이어지는 것이 아닙니다. Microsoft는 기본값 해제 후 보호 정책을 즉시 활성화하도록 안내합니다. 따라서 아래 보고 전용 실습은 기존 보호가 유지되는 시험 환경이나 전환 계획에 따라 진행하며, 운영 조직의 보호를 먼저 끄는 준비 단계로 사용하지 않습니다.

1. 새 정책에서 목적과 대상을 알 수 있는 이름을 입력합니다. 예를 들어 “파일럿 사용자 MFA 요구”처럼 작성합니다.
2. 사용자에 시험 그룹을 포함하고 대상 계정을 대조합니다. 비상 계정은 비상 액세스 계정 설계에 따라 로그인을 차단·제한하는 정책에서 제외하고 별도 강력한 인증과 감시를 준비합니다.
3. 대상 리소스에서 보호할 앱·리소스를 정합니다. 한 앱만 대상으로 시험한 결과를 전체 서비스에 자동 적용된 것으로 해석하지 않습니다.
4. 허용 제어에 MFA 요구를 선택하고 정책 상태를 보고 전용으로 저장합니다. 처음부터 차단·준수 기기·위험 조건을 모두 섞지 말고 한 요구가 어떤 결과를 만드는지 확인합니다.
5. 시험 계정으로 해당 리소스에 로그인하고 로그인 이벤트의 보고 전용 결과에서 정책의 적용 대상, 요구 조건과 예상 실패 원인을 확인합니다. 보고 전용은 이 정책의 접근 제어를 실제로 강제하지 않습니다.

활성화 전후 검증과 되돌리기

기대 결과를 먼저 표로 기록하세요. 예를 들어 시험 사용자는 지정 앱에서 MFA 요구가 충족되어야 하고, 대상 밖의 사용자는 새 정책의 영향을 받지 않아야 합니다. 다만 다른 정책이나 Microsoft가 의무화한 인증 요구는 별도로 적용될 수 있으므로 한 정책의 제외가 모든 MFA 면제를 의미하지는 않습니다.

보고 전용 결과와 실제 시험을 검토한 뒤 승인된 파일럿부터 정책을 켜기로 전환합니다. 이후 새 로그인에서 인증 요구와 접근 결과를 확인하고 적용 대상을 늘립니다. Microsoft의 배포 계획은 정책을 강제하기 전에 최소 일주일 동안 보고 전용으로 영향을 검토하도록 권장합니다. 기간을 채우는 것보다 주요 직무·앱의 실제 로그인 사례를 확보하는 것이 필요합니다.

장애가 생기면 실패 이벤트의 조건부 액세스 탭에서 적용된 정책을 확인합니다. 새 정책이 원인이라면 준비된 관리 경로로 해당 정책을 보고 전용 또는 사용 안 함으로 돌리고, 기존 보호가 유지되는지 확인합니다. 모든 정책을 한꺼번에 끄거나 장기 예외로 방치하지 않습니다. 복구 후 대상·조건·인증 방법을 바로잡고 같은 시험을 다시 통과한 뒤 재적용하세요.