98단계보안과 거버넌스

걸리는 시간 · 읽기 약 10분 · 따라 하기 약 45분 · 난이도 ★★★ 심화

이 단계를 마치면

• 회사의 데이터 등급과 Claude 기능을 가로세로로 놓은 등급표를 만들 수 있습니다.
• 등급과 기능이 만나는 곳마다 허용·조건부·금지를 적고, 조건부에는 조건을 짧게 붙일 수 있습니다.
• 승인 창구와 사고 보고 창구를 정해, 직원이 누구에게 물어야 할지 알게 할 수 있습니다.

한 직원은 고객 명단을 올려도 괜찮다고 생각합니다. 옆 팀 동료는 회의록조차 올리면 안 된다고 믿습니다. 둘 중 누가 맞을까요? 규칙이 없는 회사라면 그 답은 아무도 모릅니다. 7단계에서 올려도 되는 것과 안 되는 것의 선을 그었습니다. 그때는 한 사람의 원칙이었지만, 이제는 조직의 규칙이 되어야 합니다. 사람마다 선이 다르면 가장 느슨한 사람의 선이 곧 회사의 선이 되기 때문입니다.

왜 등급표인가

규칙을 문장으로만 쓰면 해석이 갈립니다. "민감한 자료는 조심해서 올린다"는 문장은 사람마다 다르게 읽힙니다. 누구에게는 회의록이 민감하고, 누구에게는 그렇지 않습니다. "조심해서"가 무엇을 하라는 말인지도 알 수 없습니다. 결과는 둘 중 하나입니다. 겁 많은 사람은 아무것도 올리지 않아 도구를 못 쓰고, 겁 없는 사람은 뭐든 다 올립니다.

등급표는 이런 해석을 미리 끝내 둡니다. 자료의 등급만 알면 표에서 해당 기능을 찾아 확인하면 됩니다. 판단할 것이 "이 자료가 어느 등급인가" 하나로 줄어듭니다. 그 판단은 회사에 이미 있는 정보보안 규정이 대신해 줍니다.

등급을 나누는 법

가장 쉬운 방법부터 봅시다. 데이터를 등급으로 나누고, 등급마다 쓸 수 있는 기능을 정합니다. 예를 들어 세 등급으로 나눠 봅시다. 공개 자료(보도자료, 홈페이지 문구)는 어떤 기능이든 쓸 수 있습니다. 사내 일반 자료(회의록, 내부 안내문)는 회사가 승인한 계정과 프로젝트에서만 씁니다. 기밀 자료(개인정보, 계약 조건, 미공개 재무)는 올리지 않거나, 회사가 따로 정한 방식으로만 다룹니다. 등급 이름과 개수는 회사에 이미 있는 정보보안 규정을 따르고, 새로 만들지 않습니다. 규정이 두 개가 되면 사람들은 편한 쪽을 고릅니다.

기능마다 위험한 곳이 다르다

같은 등급의 자료라도 어떤 기능으로 다루느냐에 따라 위험이 달라집니다.

그래서 등급과 기능을 가로세로로 놓은 표를 만들고, 둘이 만나는 곳마다 허용·조건부·금지를 적습니다. 예를 들면 이렇습니다.

이 표는 어디까지나 예시입니다. 우리 회사의 표는 보안 담당자와 함께 채웁니다.

거버넌스는 창구를 정하는 일

거버넌스란 누가 정하고, 누가 승인하고, 사고가 나면 누구에게 알리는지를 적어 두는 일입니다. 새 연결자를 붙이고 싶은 직원이 누구에게 물어야 할지 모르면, 묻지 않고 붙이거나 아예 포기합니다. 어느 쪽이든 회사에 손해입니다. 승인 창구 한 곳만 정해 두어도 절반은 해결됩니다.

사고 보고 창구도 마찬가지입니다. 기밀을 잘못 올린 직원이 혼날까 봐 숨기면 회사는 대응할 시간을 잃습니다. 그러니 알린 사람을 탓하지 않는다는 원칙을 규칙에 적어 둡시다. 알리는 편이 낫다는 신호를 회사가 먼저 보내야 합니다.

그리고 모든 등급 위에 원칙 하나를 둡니다. 메일 발송, 결제, 삭제처럼 밖으로 나가거나 되돌릴 수 없는 일은 사람이 마지막에 확인합니다. 공개 자료라도, 표 전체가 허용으로 채워져 있어도 이 원칙은 변하지 않습니다.

현장 장면

직원 백오십 명 규모의 물류회사에서 경영지원본부를 이끄는 오 본부장은 전 직원 대상 Claude 도입을 앞두고 있습니다. 정보보안 담당 과장은 이미 "공개·내부·대외비" 세 등급 규정을 갖고 있습니다. 오 본부장은 처음에 이렇게 씁니다. "Claude 사용 보안 규칙 써 줘." 돌아온 답은 일반론 열 줄입니다. "민감한 정보를 입력하지 마십시오", "정기적으로 교육을 실시하십시오". 우리 회사의 등급도, 우리가 쓰는 기능도 보이지 않습니다.

오 본부장은 아래 프롬프트로 다시 맡깁니다. 등급은 회사 규정의 세 등급을 그대로 쓰고, 등급마다 예시를 두세 개씩 적습니다. 기능은 이번에 도입할 것만 적습니다. 초안 표가 옵니다. 스물한 곳 가운데 네 곳에 [보안 담당 확인]이 붙어 있습니다. 오 본부장은 그 표를 보안 과장에게 넘깁니다.

보안 과장은 세 군데를 고칩니다. 먼저 "내부 등급 × 연결자"를 허용에서 "읽기만, 승인된 드라이브 폴더만"으로 좁힙니다. "내부 등급 × 아티팩트 게시"는 초안에 허용으로 되어 있었지만, 링크가 밖으로 퍼질 수 있어 "사내 공유만"으로 바꿉니다. 그리고 표에 없던 줄을 하나 더합니다. "고객사 운송장 번호는 대외비로 본다." 현장에서 가장 자주 붙여 넣을 자료가 바로 운송장이었기 때문입니다.

승인 창구는 보안 과장 한 사람으로, 사고 보고 창구는 보안 과장과 오 본부장 두 사람으로 정합니다. 표 아래에는 "잘못 올렸으면 바로 알린다. 알린 사람을 탓하지 않는다"라고 적습니다.

한 달 뒤, 현장 직원 한 명이 운송장 목록을 붙여 넣었다가 곧바로 알려 왔습니다. 규칙이 처음으로 제 역할을 한 순간입니다. 보안 과장은 그 대화를 지우게 하고, 운송장 번호를 가린 샘플 양식을 만들어 전 직원에게 나눠 줍니다.

따라 하기

1. 우리 회사 정보보안 규정의 데이터 등급을 그대로 가져옵니다. 규정이 없다면 공개·사내·기밀 셋으로 임시로 나누고, 임시라고 표시합니다. 성공 기준: 등급마다 우리 회사 자료 예시가 두세 개씩 붙어 있습니다.
2. 가로에 기능(채팅, 파일 업로드, 프로젝트, 연결자, Cowork, Claude Code, 아티팩트 게시, 자동화, API)을, 세로에 등급을 둔 표를 만듭니다. 쓰지 않는 기능은 빼도 됩니다. 성공 기준: 이번에 도입할 기능이 하나도 빠지지 않았습니다.
3. 아래 프롬프트로 표를 채운 초안을 받습니다. 조건부에는 조건을 짧게 적습니다. 성공 기준: 표 전체가 허용·조건부·금지 중 하나로 채워져 있고, 확신이 없는 곳에는 [보안 담당 확인]이 붙어 있습니다.
4. 현장에서 가장 자주 다룰 자료 세 가지를 떠올려 표에서 등급을 찾아봅니다. 성공 기준: 세 자료 모두 망설임 없이 등급이 찾아집니다. 망설인 자료는 등급 예시에 더합니다.
5. 승인 창구와 사고 보고 창구를 한 사람(또는 한 팀)씩 적고, "알린 사람을 탓하지 않는다"는 문장을 넣습니다. 성공 기준: 직원이 "누구에게 물어요?"라고 물으면 이름 하나로 답할 수 있습니다.
6. 보안 담당자에게 표를 보여 주고 고칠 곳을 받습니다. 성공 기준: 보안 담당자의 확인 날짜가 표에 적혀 있습니다.

복사해 쓰는 프롬프트

우리 회사 Claude 사용 등급표 초안을 만들어 줘.

데이터 등급: [예: 공개 / 사내 일반 / 기밀]
등급별 예시: [등급마다 우리 회사 자료 예시 두세 가지]
쓰는 기능: 채팅, 파일 업로드, 프로젝트, 연결자, Cowork, Claude Code, 아티팩트 게시, 외부 자동화, API

표의 각 칸에 허용 / 조건부 / 금지 중 하나를 넣고, 조건부는 조건을 한 줄로 적어 줘.
표 아래에 다음을 적어 줘.
- 모든 등급 위에 두는 원칙: 발송·결제·삭제·외부 공개는 사람이 마지막에 확인한다
- 빈칸: 승인 창구, 사고 보고 창구, 검토 주기
확신이 없는 칸은 [보안 담당 확인]이라고 표시해 줘. 일반론은 쓰지 말고 표에 있는 칸만 채워.
이 초안은 보안 담당자가 최종 확정한다.

막히면 이렇게

스스로 점검

• ☐ 우리 등급표의 등급이 회사 정보보안 규정의 등급과 같습니까
• ☐ 현장에서 가장 자주 다루는 자료 세 가지의 등급을 표에서 바로 찾을 수 있습니까
• ☐ 새 연결자를 붙이고 싶은 직원이 누구에게 물어야 하는지 이름 하나로 답할 수 있습니까

기억할 것

• 등급은 새로 만들지 말고 회사에 이미 있는 보안 규정에서 가져옵니다.
• 같은 자료라도 기능에 따라 위험이 다릅니다. 등급과 기능을 가로세로로 놓고 봅니다.
• 승인 창구와 사고 보고 창구는 한 곳씩. 알린 사람은 탓하지 않습니다.
• 밖으로 나가거나 되돌릴 수 없는 일은 어떤 등급이든 사람이 마지막에 누릅니다.

더 알아보기 · Claude Code 보안