OneDrive 대 암호화 파일 전송 어느 쪽이 더 안전한가

OneDrive는 암호화되지 않은 이메일이나 FTP보다는 안전하지만 종단간 암호화는 아닙니다. Microsoft가 키를 보유하고 있어 콘텐츠 스캐닝, eDiscovery, 미국 CLOUD Act 및 저장 통신법에 따른 합법적 접근 요청에 대응하여 파일을 복호화할 수 있습니다. HexaTransfer, Tresorit Send, Proton Drive Send와 같은 전용 암호화 파일 전송 서비스는 AES-256-GCM으로 클라이언트 측 암호화를 적용하므로 제공자는 암호문만 저장합니다. 비민감 협업에는 OneDrive의 편의성이 우수하지만, HIPAA, GDPR 제32조, PCI DSS 4.0 규제 데이터에는 E2EE 전송 서비스가 구조적으로 더 안전합니다.

OneDrive의 실제 암호화 방식

OneDrive는 파일별 AES-256 키로 저장 시 암호화하며, 이 키는 Microsoft Key Store의 콘텐츠 암호화 키로 다시 암호화되고, 최종적으로 Azure Key Vault의 마스터 키로 보호됩니다. 잘 설계된 체계이며 전송 중에는 TLS 1.3과 최신 암호화 제품군을 사용합니다. Microsoft의 문서는 아키텍처에 대해 이례적으로 투명합니다.

그러나 이는 종단간 암호화가 아닙니다. Microsoft는 모든 계층에서 키를 보유합니다. OneDrive for Business의 기반인 SharePoint는 평문에 대해 콘텐츠 스캐닝, DLP 정책 평가, 악성 코드 탐지를 수행합니다. 이러한 기능은 유용하지만 E2EE와는 설계상 양립할 수 없습니다.

Microsoft의 이중 키 암호화(DKE)

Microsoft 365 E5 고객은 이중 키 암호화(Double Key Encryption)를 활성화할 수 있습니다. DKE로 보호된 파일을 복호화하려면 Microsoft의 키와 고객이 보유한 온프레미스 키가 결합되어야 합니다. Microsoft 단독으로는 복호화할 수 없습니다.

DKE는 특별히 보호하는 파일에 대한 진정한 E2EE입니다. 설정 비용이 실질적으로 발생합니다. E5 라이선싱(사용자당 약 $57/월), DKE 서비스 호스팅, 키 순환 관리, Office의 보호 버튼 사용자 교육 등이 필요합니다. 기밀 계약을 처리하는 대규모 조직에는 적절하지만, 대부분의 소규모 기업에는 과도합니다.

전용 암호화 전송 서비스의 차별점

HexaTransfer, Tresorit Send, Proton Drive Send는 모두 동일한 아키텍처 패턴을 구현합니다. 암호화는 발신자의 브라우저에서 업로드 전에 이루어집니다. 대칭 키(AES-256-GCM)는 클라이언트 측에서 생성됩니다. 서버는 암호문만 저장합니다. 키는 수신자에게 URL 프래그먼트, 비밀번호, 또는 사전 교환된 공개 키를 통해 별도로 전달됩니다.

Microsoft 키도, Azure Key Vault도, 복호화에 제공자가 참여할 필요도 없습니다. 위협 모델이 바뀝니다. 제공자를 신뢰하는 대신 엔드포인트와 키 전송 채널만 신뢰하면 됩니다. 많은 규제 시나리오에서 감사자들이 원하는 정확한 자세입니다.

OneDrive 대 전용 E2EE 전송 비교

| 항목 | OneDrive for Business | OneDrive + DKE | HexaTransfer | |---|---|---|---| | 저장 시 암호화 | AES-256(MS 관리) | AES-256(MS + 고객) | AES-256-GCM(클라이언트 측) | | 제공자가 평문 열람 가능 | 예 | 아니요 | 아니요 | | 설정 복잡도 | 없음 | 높음(E5 + DKE 서비스) | 없음 | | 사용자당 비용 | $5–22/월 | ~$57+/월 | 무료 | | 최대 파일 크기 | 250 GB | 250 GB | 10 GB | | 보존 | 영구 | 영구 | 7일 | | 관리자 감사 로그 | 예 | 예 | 최소 | | BAA 제공 | 예 | 예 | 제공자에 따라 다름 |

시나리오별 안전성 평가

온보딩 문서의 직원 공유 드라이브에는 OneDrive가 적합합니다. 내용이 민감하지 않고 협업이 중요합니다. 마케팅 자산 라이브러리에도 OneDrive가 적합합니다. OneDrive 링크를 통해 이메일로 전송되는 계약자의 SOW .pdf의 경우, 익명 링크보다 비밀번호 보호 링크가 더 좋지만 OneDrive도 대체로 괜찮습니다.

외부 법률 고문에게 보내는 침해 대응 포렌식 보고서에는 E2EE 전송 서비스가 구조적으로 더 안전합니다. 클리닉 간 DICOM 파일 전송에는 HIPAA BAA가 있는 E2EE 서비스가 방어 가능한 선택입니다. M&A 실사 문서에는 E2EE 서비스와 구획화된 접근이 표준 관행입니다.

CLOUD Act 문제

미국 해외 데이터 합법적 사용 명확화법(2018)은 미국 법 집행 기관이 데이터가 물리적으로 저장된 위치에 관계없이 미국 제공자가 보유한 데이터의 공개를 강제할 수 있게 합니다. 아일랜드에 호스팅된 OneDrive 데이터도 미국 절차의 대상입니다. 미국 수사 영장이 도착할 때 독일 회사가 EU 고객 데이터를 OneDrive에 저장하면 관할권 충돌이 발생합니다.

제공자가 복호화할 수 없는 E2EE 전송 서비스는 이 문제를 직접 우회합니다. 암호문만 저장하는 제공자에 대한 CLOUD Act 영장은 정확히 암호문만 생성합니다. PIPA(한국 개인정보 보호법)를 포함한 비미국 규정 준수를 위해서도 제공자가 데이터를 읽지 못하는 E2EE 구조는 중요한 보호 계층을 추가합니다.

실용적인 하이브리드 전략

Microsoft 365를 운영하는 대부분의 조직은 OneDrive를 포기해서는 안 됩니다. Teams, Outlook, Windows와 너무 긴밀하게 통합되어 있습니다. 대신 민감한 외부 전송을 위한 E2EE 전송 서비스를 추가하십시오. 워크플로우는 다음과 같습니다. 작업 파일을 OneDrive에 저장하여 편집하고, 최종 버전을 내보낸 다음 HexaTransfer 또는 Tresorit Send로 외부 수신자에게 전송합니다. OneDrive 사본은 Microsoft 키 관리 하에 그대로 유지되고, 외부 전달은 E2EE로 처리됩니다.

위험 평가 시 물어야 할 질문

세 가지 질문이 OneDrive 단독으로 충분한지 드러냅니다. 첫째, Microsoft 직원이 이 파일을 읽으면 규제 또는 경쟁 피해가 발생합니까? 그렇다면 DKE 또는 E2EE 서비스로 이동하십시오. 둘째, Microsoft에 대한 미국 정부 소환장이 비미국 법(GDPR, PIPA, LGPD) 하에서 법적 문제를 야기합니까? 그렇다면 E2EE가 더 안전합니다. 셋째, 이것이 일회성 전송입니까, 지속적인 협업입니까? 일회성이라면 E2EE 전송 서비스가 DKE 구성보다 운영적으로 더 간단합니다.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.