Claude Enterprise 보안 센터·개인 계정 차단 베타, 보안 담당자 점검 순서

회사 PC에 설치한 Claude Desktop에 직원이 개인 계정으로 로그인하면, 관리자가 조직 설정에서 정한 Desktop 설정은 그 계정에 적용되지 않습니다. Claude 도움말은 이 설정이 계정을 따라가므로 개인 계정에는 적용되지 않는다고 적었습니다. 회사가 승인하지 않은 계정이나 도구로 일하는 섀도 IT(shadow IT)를 막으려면 회사 PC의 앱부터 회사 조직 계정으로만 쓰게 해야 합니다.

Anthropic은 2026년 11월 5일 발표문에서 Claude Enterprise 보안 담당자용 기능을 소개했습니다. 설정을 권장 구성과 비교하는 보안 센터, Claude Desktop의 개인 계정 차단, 여러 조직을 한 콘솔에서 다루는 중앙 관리가 중심이고, 앞서 공개한 Cowork 가상 머신 안의 EDR(엔드포인트 탐지·대응) 센서 연동도 함께 다룹니다. 이 글에서 다루는 기능은 모두 베타입니다. 이 글은 발표문과 Claude 도움말, Anthropic 지원 국가 목록만 근거로 썼습니다. 저는 관리자 화면을 직접 보지 않았으므로 메뉴 이름은 영어 도움말 표기를 그대로 씁니다.

1. 기능별 제공 상태와 한국 조직에서 확인할 것

기능	제공 상태와 대상	관리 위치(도움말 영어 표기)
보안 센터	베타, Enterprise	Organization settings > Security posture
Desktop 설정·개인 계정 차단	베타, Enterprise(Desktop 설정은 Owner가 관리)	Organization settings > Organization and access > Security
Cowork EDR 연동	베타, Team·Enterprise, macOS·Windows	macOS는 MDM, Windows는 레지스트리 정책
중앙 관리	베타, Enterprise	admin.claude.com 상위 조직 콘솔

같은 발표의 추론 훅 정식 제공, Admin API 구성원 로그아웃, IP 허용 목록 베타는 이 글에서 다루지 않습니다.

Anthropic 지원 국가 목록에는 South Korea가 있습니다. 발표문은 베타 기간에 도움말에 적힌 일부 예외가 있다고만 밝혔고, 그 예외 목록과 베타를 켤 수 있는 조직 조건, 한국어 화면의 메뉴 표기는 확인하지 못했습니다. 회사 계약에서 베타 기능을 쓸 수 있는지는 Anthropic 담당 창구에 먼저 물어보시는 편이 안전합니다.

Anthropic 2026년 11월 5일 발표문과 Claude 도움말의 기능 설명과 한계를 옮겼습니다. 상자 배치와 화살표는 작성자가 구성했습니다.

2. 보안 센터로 현재 설정을 권장 구성과 비교하기

발표문에 따르면 보안 센터는 Organization settings의 새 페이지로, 채팅·Cowork·Claude Code 보안 설정을 Anthropic 권장 구성과 비교합니다. 항목마다 현재 값, 권장 값(있는 경우), 바꾸는 페이지 링크가 나오고 페이지를 열 때마다 다시 확인합니다. 도움말은 상태를 Passed(권장과 일치), Failed(불일치, 이유와 변경 위치 안내), Not attested(사람 확인 필요), Shown for information(판정 없이 표시)으로 나눕니다. MDM이나 네트워크 프록시처럼 Claude가 읽지 못하는 설정은 담당자가 현재 상태를 직접 기록(attestation)하고, 누가 언제 기록했는지 표시됩니다.

이 페이지는 보기 전용이라 설정은 각 페이지에서 따로 바꾸고, Owner와 Primary Owner만 열 수 있습니다. 보고서로 내려받아 감사인과 공유할 수 있고, 보고서에는 자동 확인 항목과 Owner가 확인한 항목이 구분됩니다. 발표문은 보안 센터가 Anthropic 권장 사항에 근거한 안내이며 인증서나 법률·표준 준수를 보장하지 않는다고 적었습니다. 그래서 Failed 항목을 일괄로 권장값에 맞추기보다 회사 보안 정책과 대조해 바꿀 항목과 예외를 정하시기를 권합니다.

3. 회사 PC의 Claude Desktop에서 개인 계정 막기

Claude 도움말에 따르면 Organization and access의 Security에서 "Limit Claude Desktop to allowed organizations (shadow IT)"를 켜면, 구성원이 그 컴퓨터에서 회사 조직으로 로그인한 뒤 다음 실행부터 개인 계정과 허용하지 않은 조직이 막힙니다.

도움말은 한계도 적었습니다. 이 차단은 영구적이지 않아 그 컴퓨터에서 30일 동안 회사 조직을 쓰지 않으면 풀리고, 그 컴퓨터를 쓰는 누구나 해제할 수 있습니다. 로그인 전부터 막으려면 MDM으로 forceLoginOrgUUID를 설정합니다. 컴퓨터 정책에 같은 키가 있으면 더 느슨해도 정책이 우선하고, Claude Desktop 4.29.0 이상이 필요합니다.

작업 폴더는 허용 목록으로 제한하고 Read only로 지정할 수 있습니다. 다만 Read only는 Claude 파일 도구에만 적용되고 Code 탭의 명령·MCP 서버·훅은 여전히 폴더를 바꿀 수 있다고 도움말은 적었습니다. 로컬 MCP 서버를 막으려면 "Allow local MCP servers"를 끄고 "Block all desktop extensions"도 함께 선택해야 합니다. MDM을 쓰는 회사라면 forceLoginOrgUUID까지 배포해야 개인 계정을 확실히 막을 수 있다고 봅니다.

4. Cowork 가상 머신 안에서 EDR 센서 실행하기

발표문에 따르면 Cowork는 로컬 작업 때 사용자 컴퓨터의 격리된 가상 머신에서 명령과 코드를 실행합니다. 이 가상 머신 안에서 회사 EDR 센서를 실행해 보안팀이 이미 보는 콘솔로 활동을 보고할 수 있고, Claude는 가상 머신이 시작될 때마다 센서 패키지 서명을 확인합니다. 센서는 탐지 모드라 차단하지 않으며, 클라우드 Cowork 세션은 대상이 아닙니다.

도움말의 지원 업체는 CrowdStrike, Evoke Security, Neo, Palo Alto Networks, Pluto Security, SentinelOne, Tanium이고, 회사 EDR이 목록에 없으면 그 업체에 문의해야 합니다. Claude Desktop 4.4212.0 이상이 필요하고 Windows는 Windows 10 또는 11에서 .msix 빌드, 하드웨어 가상화, Virtual Machine Platform 기능이 필요합니다. 센서는 프롬프트·파일·Claude 응답을 볼 수 있고 그 데이터는 EDR 업체로 가며 Anthropic은 받지 않습니다. 베타 중 Anthropic 추가 요금은 없지만 EDR 업체 요금은 따로 있을 수 있고, 배포 전과 업데이트 후 테스트는 회사 책임입니다. 직원 프롬프트가 EDR 업체로 넘어가는 범위는 내부 정책과 법무 검토로 먼저 정해 두시기를 권합니다.

5. 중앙 관리 등록 전에 정할 것

중앙 관리는 회사 조직들을 대표하는 상위 조직에 admin.claude.com 콘솔을 주고, 여기서 SSO·SCIM·도메인 인증·그룹·Compliance API 키를 관리합니다. 하위 조직은 합쳐지지 않고 데이터 경계를 유지하며, 상위 역할로 하위 조직에 로그인할 수 없습니다. 다만 상위에서 만든 Compliance API 키는 여러 조직의 데이터를 읽을 수 있어 발급 대상을 좁게 정해야 합니다.

도움말은 등록을 되돌릴 수 없고 누군가 시작하면 바로 끝날 수 있다고 경고합니다. 시작 전에 상위 조직 관리자를 정하고, 테넌트 제한을 쓴다면 anthropic-allowed-org-ids 헤더에 상위 조직 ID를 먼저 추가합니다. HIPAA가 켜진 하위 조직이 있거나 하위 조직이 Team뿐이면 등록할 수 없고, AWS·Azure 마켓플레이스 구매 Platform 조직도 들어갈 수 없습니다. 청구는 바뀌지 않으며, 마지막 변경 후 7일이 지나도 승인하지 않은 조직은 다른 하위 조직 Owner가 대신 승인할 수 있습니다. 그룹 공개 범위 설정은 아직 없어 모든 Enterprise 하위 조직 관리자가 상위 조직의 그룹을 전부 볼 수 있습니다.

Restrict organization creation은 인증한 도메인에서 개인 계정을 포함한 새 조직 생성을 막습니다. 도메인 클레임을 하면 그 도메인의 Free·Pro·Max·Ultra 계정이 대상이 되고, 이후 로그인하려면 회사 조직 좌석이 필요합니다. 회사 이메일로 개인 유료 계정을 쓰는 직원이 있다면 좌석부터 준비하시기를 권합니다.

6. 이번 주에 보안 담당자가 할 일

여기부터는 제 제안입니다. 보안 센터에서 Failed와 Not attested 항목 목록을 만들고 항목별 담당자를 정합니다. 회사 PC에 개인 계정 차단을 켤지, forceLoginOrgUUID까지 배포할지 정합니다. 중앙 관리는 등록 전에 상위 조직 관리자와 테넌트 제한 헤더를 정리합니다. EDR은 지원 업체와 Desktop 버전을 확인한 뒤 시범 PC에서 테스트합니다.

직원 교육에서는 회사 PC에서 개인 계정이 막히는 이유와 허용된 작업 폴더만 쓸 수 있다는 점을 안내하시면 됩니다. 이 순서로 사고를 막는다고 약속할 수는 없지만, 무엇을 확인하고 무엇을 예외로 두었는지는 보안 센터 보고서로 기록해 둘 수 있습니다.