98단계보안과 거버넌스

걸리는 시간 · 읽기 약 10분 · 따라 하기 약 45분 · 난이도 ★★★ 심화

이 단계를 마치면

• 회사의 데이터 등급과 Claude 기능을 가로세로로 놓은 등급표를 만들 수 있다.
• 등급과 기능이 만나는 곳마다 허용·조건부·금지를 적고, 조건부에는 조건을 짧게 붙일 수 있다.
• 승인 창구와 사고 보고 창구를 정해, 직원이 누구에게 물어야 할지 알게 할 수 있다.

한 직원은 고객 명단을 올려도 괜찮다고 생각한다. 옆 팀 동료는 회의록조차 올리면 안 된다고 믿는다. 둘 중 누가 맞을까? 규칙이 없는 회사라면 그 답은 아무도 모른다. 8단계에서 올려도 되는 것과 안 되는 것의 선을 그었다. 그때는 한 사람의 원칙이었지만, 이제는 조직의 규칙이 되어야 한다. 사람마다 선이 다르면 가장 느슨한 사람의 선이 곧 회사의 선이 되기 때문이다.

왜 등급표인가

규칙을 문장으로만 쓰면 해석이 갈린다. "민감한 자료는 조심해서 올린다"는 문장은 사람마다 다르게 읽힌다. 누구에게는 회의록이 민감하고, 누구에게는 그렇지 않다. "조심해서"가 무엇을 하라는 말인지도 알 수 없다. 결과는 둘 중 하나다. 겁 많은 사람은 아무것도 올리지 않아 도구를 못 쓰고, 겁 없는 사람은 뭐든 다 올린다.

등급표는 이런 해석을 미리 끝내 둔다. 자료의 등급만 알면 표에서 해당 기능을 찾아 확인하면 된다. 판단할 것이 "이 자료가 어느 등급인가" 하나로 줄어든다. 그 판단은 회사에 이미 있는 정보보안 규정이 대신해 준다.

등급을 나누는 법

가장 쉬운 방법부터 보자. 데이터를 등급으로 나누고, 등급마다 쓸 수 있는 기능을 정한다. 예를 들어 세 등급으로 나눠 보자. 공개 자료(보도자료, 홈페이지 문구)는 어떤 기능이든 쓸 수 있다. 사내 일반 자료(회의록, 내부 안내문)는 회사가 승인한 계정과 프로젝트에서만 쓴다. 기밀 자료(개인정보, 계약 조건, 미공개 재무)는 올리지 않거나, 회사가 따로 정한 방식으로만 다룬다. 등급 이름과 개수는 회사에 이미 있는 정보보안 규정을 따르고, 새로 만들지 않는다. 규정이 두 개가 되면 사람들은 편한 쪽을 고른다.

기능마다 위험한 곳이 다르다

같은 등급의 자료라도 어떤 기능으로 다루느냐에 따라 위험이 달라진다.

그래서 등급과 기능을 가로세로로 놓은 표를 만들고, 둘이 만나는 곳마다 허용·조건부·금지를 적는다. 예를 들면 이렇다.

이 표는 어디까지나 예시다. 우리 회사의 표는 보안 담당자와 함께 채운다.

거버넌스는 창구를 정하는 일

거버넌스란 누가 정하고, 누가 승인하고, 사고가 나면 누구에게 알리는지를 적어 두는 일이다. 새 연결자를 붙이고 싶은 직원이 누구에게 물어야 할지 모르면, 묻지 않고 붙이거나 아예 포기한다. 어느 쪽이든 회사에 손해다. 승인 창구 한 곳만 정해 두어도 절반은 해결된다.

사고 보고 창구도 마찬가지다. 기밀을 잘못 올린 직원이 혼날까 봐 숨기면 회사는 대응할 시간을 잃는다. 그러니 알린 사람을 탓하지 않는다는 원칙을 규칙에 적어 두자. 알리는 편이 낫다는 신호를 회사가 먼저 보내야 한다.

그리고 모든 등급 위에 원칙 하나를 둔다. 메일 발송, 결제, 삭제처럼 밖으로 나가거나 되돌릴 수 없는 일은 사람이 마지막에 확인한다. 공개 자료라도, 표 전체가 허용으로 채워져 있어도 이 원칙은 변하지 않는다.

현장 장면

직원 백오십 명 규모의 물류회사에서 경영지원본부를 이끄는 오 본부장은 전 직원 대상 Claude 도입을 앞두고 있다. 정보보안 담당 과장은 이미 "공개·내부·대외비" 세 등급 규정을 갖고 있다. 오 본부장은 처음에 이렇게 쓴다. "Claude 사용 보안 규칙 써 줘." 돌아온 답은 일반론 열 줄이다. "민감한 정보를 입력하지 마십시오", "정기적으로 교육을 실시하십시오". 우리 회사의 등급도, 우리가 쓰는 기능도 보이지 않는다.

오 본부장은 아래 프롬프트로 다시 맡긴다. 등급은 회사 규정의 세 등급을 그대로 쓰고, 등급마다 예시를 두세 개씩 적는다. 기능은 이번에 도입할 것만 적는다. 초안 표가 온다. 스물한 곳 가운데 네 곳에 [보안 담당 확인]이 붙어 있다. 오 본부장은 그 표를 보안 과장에게 넘긴다.

보안 과장은 세 군데를 고친다. 먼저 "내부 등급 × 연결자"를 허용에서 "읽기만, 승인된 드라이브 폴더만"으로 좁힌다. "내부 등급 × 아티팩트 게시"는 초안에 허용으로 되어 있었지만, 링크가 밖으로 퍼질 수 있어 "사내 공유만"으로 바꾼다. 그리고 표에 없던 줄을 하나 더한다. "고객사 운송장 번호는 대외비로 본다." 현장에서 가장 자주 붙여 넣을 자료가 바로 운송장이었기 때문이다.

승인 창구는 보안 과장 한 사람으로, 사고 보고 창구는 보안 과장과 오 본부장 두 사람으로 정한다. 표 아래에는 "잘못 올렸으면 바로 알린다. 알린 사람을 탓하지 않는다"라고 적는다.

한 달 뒤, 현장 직원 한 명이 운송장 목록을 붙여 넣었다가 곧바로 알려 왔다. 규칙이 처음으로 제 역할을 한 순간이다. 보안 과장은 그 대화를 지우게 하고, 운송장 번호를 가린 샘플 양식을 만들어 전 직원에게 나눠 준다.

따라 하기

1. 우리 회사 정보보안 규정의 데이터 등급을 그대로 가져온다. 규정이 없다면 공개·사내·기밀 셋으로 임시로 나누고, 임시라고 표시한다. 성공 기준: 등급마다 우리 회사 자료 예시가 두세 개씩 붙어 있다.
2. 가로에 기능(채팅, 파일 업로드, 프로젝트, 연결자, Cowork, Claude Code, 아티팩트 게시, 자동화, API)을, 세로에 등급을 둔 표를 만든다. 쓰지 않는 기능은 빼도 된다. 성공 기준: 이번에 도입할 기능이 하나도 빠지지 않았다.
3. 아래 프롬프트로 표를 채운 초안을 받는다. 조건부에는 조건을 짧게 적는다. 성공 기준: 표 전체가 허용·조건부·금지 중 하나로 채워져 있고, 확신이 없는 곳에는 [보안 담당 확인]이 붙어 있다.
4. 현장에서 가장 자주 다룰 자료 세 가지를 떠올려 표에서 등급을 찾아본다. 성공 기준: 세 자료 모두 망설임 없이 등급이 찾아진다. 망설인 자료는 등급 예시에 더한다.
5. 승인 창구와 사고 보고 창구를 한 사람(또는 한 팀)씩 적고, "알린 사람을 탓하지 않는다"는 문장을 넣는다. 성공 기준: 직원이 "누구에게 물어요?"라고 물으면 이름 하나로 답할 수 있다.
6. 보안 담당자에게 표를 보여 주고 고칠 곳을 받는다. 성공 기준: 보안 담당자의 확인 날짜가 표에 적혀 있다.

복사해 쓰는 프롬프트

우리 회사 Claude 사용 등급표 초안을 만들어 줘.

데이터 등급: [예: 공개 / 사내 일반 / 기밀]
등급별 예시: [등급마다 우리 회사 자료 예시 두세 가지]
쓰는 기능: 채팅, 파일 업로드, 프로젝트, 연결자, Cowork, Claude Code, 아티팩트 게시, 외부 자동화, API

표의 각 칸에 허용 / 조건부 / 금지 중 하나를 넣고, 조건부는 조건을 한 줄로 적어 줘.
표 아래에 다음을 적어 줘.
- 모든 등급 위에 두는 원칙: 발송·결제·삭제·외부 공개는 사람이 마지막에 확인한다
- 빈칸: 승인 창구, 사고 보고 창구, 검토 주기
확신이 없는 칸은 [보안 담당 확인]이라고 표시해 줘. 일반론은 쓰지 말고 표에 있는 칸만 채워.
이 초안은 보안 담당자가 최종 확정한다.

막히면 이렇게

스스로 점검

• ☐ 우리 등급표의 등급이 회사 정보보안 규정의 등급과 같은가
• ☐ 현장에서 가장 자주 다루는 자료 세 가지의 등급을 표에서 바로 찾을 수 있는가
• ☐ 새 연결자를 붙이고 싶은 직원이 누구에게 물어야 하는지 이름 하나로 답할 수 있는가

기억할 것

• 등급은 새로 만들지 말고 회사에 이미 있는 보안 규정에서 가져온다.
• 같은 자료라도 기능에 따라 위험이 다르다. 등급과 기능을 가로세로로 놓고 본다.
• 승인 창구와 사고 보고 창구는 한 곳씩. 알린 사람은 탓하지 않는다.
• 밖으로 나가거나 되돌릴 수 없는 일은 어떤 등급이든 사람이 마지막에 누른다.

더 알아보기 · Claude Code 보안