법무·보안

만드는 일이 전부이던 시절에는 법과 보안이 나중 일이었습니다. 약관은 비슷한 서비스에서 복사해 이름만 바꿔 넣었고, 고객 데이터는 개발하기 편한 곳에 모아 두었고, 사내 권한은 일단 다 열어 두고 불편해지면 그때 줄였습니다. 아무 일도 없는 동안에는 이 방식이 가장 빨랐습니다.

구조가 흔들린 데는 두 가지가 겹쳤습니다. 하나는 소프트웨어를 인터넷 너머로 빌려 쓰는 방식이 퍼진 것입니다. 예전에는 고객이 자기 회사 서버에 프로그램을 깔아 썼으니 데이터도 고객이 관리했는데, 지금은 남의 회사 계약서와 인사 자료가 만든 쪽 데이터베이스에 들어옵니다. 다른 하나는 그 데이터를 다루는 규칙이 법으로 촘촘해진 것입니다. 개인정보를 잘못 다루면 매출을 기준으로 과징금이 매겨지고, 유출이 생기면 정해진 시간 안에 신고하고 당사자에게 알려야 합니다.

바뀐 것은 벌금만이 아니었습니다. 고객이 먼저 묻기 시작했습니다. 페이지덱이 처음 큰 계약을 눈앞에 뒀을 때 수아가 들고 온 것은 계약서가 아니라 고객사 보안팀이 보낸 점검 질문지였습니다. 권한 관리, 퇴사자 계정 회수, 데이터 보관 기간을 묻는 문항이 200개였습니다. 태오가 추측으로 채우다가 회수 절차 문서를 첨부하라는 항목에서 멈췄습니다. 절차가 없어서가 아니라 절차를 적어 둔 문서가 없었기 때문입니다. 그 계약은 두 달 밀렸습니다.

법무·보안은 이 일이 터진 뒤 수습하는 자리에서 터지기 전에 설계하는 자리로 옮겨 온 결과입니다.

이 이름 아래 묶인 일은 여덟 갈래로 나뉩니다. 누가 책임을 지는지(역할), 사람에 관한 정보를 어떻게 다루는지(개인정보), 잘 다룬다는 것을 밖에 어떻게 증명하는지(인증), 약속을 어떤 문장으로 적는지(계약), 만든 것에 어떤 권리가 붙는지(지식재산), 무엇을 신고하고 지켜야 하는지(규제), 보안을 어떤 절차로 굴리는지(보안 운영), AI 를 쓰며 생긴 질문을 어떻게 다루는지(AI)입니다.

역할은 이 분야의 사람을 가르는 갈래입니다. 네 자리가 있고, 기준은 무엇을 책임지느냐와 그 자리를 두라고 요구하는 쪽이 회사냐 법이냐입니다.

1. 사내 변호사 — 계약서를 읽고 고치고, 분쟁이 생기면 회사를 대리합니다. 로펌에 맡길 수도 있는 일을 굳이 안에 두는 이유는 속도입니다. 영업이 오늘 답해야 하는 조항 하나를 로펌에 보내면 사흘이 걸립니다.
2. 개인정보 보호책임자 — 회사가 모은 개인정보를 어디에 어떻게 쓰는지 총괄하고, 유출이 생기면 신고와 통지를 책임집니다. 일정 규모를 넘으면 법이 이 자리를 지정하고 이름을 개인정보 처리방침에 공개하라고 요구합니다.
3. 최고 정보보호 책임자 — 시스템과 조직 전체의 보안 체계를 총괄하는 경영진 자리입니다. 개인정보 보호책임자가 정보의 내용을 본다면 이쪽은 그 정보가 담긴 시스템과 그것을 만지는 사람을 봅니다. 구성원이 적으면 두 자리를 한 사람이 겸합니다.
4. 컴플라이언스 담당자 — 앞의 세 자리가 규칙을 정한다면 이 자리는 법과 사내 규정이 현장에서 지켜지는지 점검합니다. 분기마다 권한 목록을 뽑아 필요 없는 권한을 찾아내고, 고치기로 한 항목이 고쳐질 때까지 따라다니는 식입니다.

개인정보는 사람에 관한 정보를 다루는 규칙을 모은 갈래입니다. 개인정보 보호는 이름·연락처·접속 기록처럼 누구인지 알아볼 수 있는 정보를 모으고 쓰고 보관하고 지우는 각 단계에 조건을 답니다. 질문은 대개 둘입니다. 이 정보를 왜 받았는지, 목적이 끝났는데 왜 아직 갖고 있는지. 가입 화면에서 생년월일을 받는데 그 값을 쓰는 기능이 제품에 하나도 없으면 그 칸은 빼는 것이 맞습니다. 지우는 일은 만드는 쪽 눈에 기능이 아니라 손실로 보이기 때문에, 보관 기한은 제품을 설계할 때 정해 두지 않으면 영영 정해지지 않습니다.

인증은 지키고 있다는 사실을 밖에서 확인받는 갈래입니다. 보안 인증은 정해진 기준표에 따라 외부 심사원이 회사의 보안 체계를 점검하고 증명서를 내주는 제도입니다. 손님이 주방을 직접 볼 수 없으니 위생 등급을 문에 붙여 두는 것과 같은 구조입니다. 기업 고객은 도구를 하나하나 실사할 수 없고 파는 쪽도 고객사마다 다른 질문지에 답할 수 없으니, 둘 사이에 공통 기준을 놓은 겁니다. 먼저 체감되는 것은 속도입니다. 증명서가 없으면 질문지를 채우고 되묻고 다시 답하는 왕복에 두세 달이 들어갑니다.

계약은 상대와의 약속을 문장으로 고정하는 갈래입니다. 계약 실무는 이용약관과 개별 계약서에 들어가는 조항을 다룹니다. 서비스가 멈췄을 때 얼마까지 물어 주는지, 언제 어떻게 끝낼 수 있는지 같은 것들입니다. 평소에는 아무도 읽지 않다가 사이가 틀어진 날에만 읽히는 문서입니다. 물어 줄 금액의 상한을 적지 않은 계약은 장애 한 번에 그 고객에게 받은 한 해 금액의 몇 배를 토해 낼 수 있고, 자동 갱신 조항을 확인하지 않은 계약은 쓰지도 않는 도구의 값을 일 년 더 내게 합니다.

지식재산은 회사가 만든 것에 붙는 권리를 다루는 갈래입니다. 지식재산권은 제품 이름과 로고, 코드와 문서와 디자인, 기술적 발명을 각각 다른 제도로 지킵니다. 우리 것을 남이 함부로 못 쓰게 하는 쪽과 남의 것을 잘못 쓰지 않는 쪽으로 갈리는데, 사고는 뒤쪽에서 더 자주 납니다. 공개된 코드를 가져다 썼는데 그 조건이 이 코드를 쓴 제품도 함께 공개하라는 것이었다면, 이미 팔고 있는 서비스의 일부를 들어내고 다시 만들어야 합니다. 이름도 그렇습니다. 로고와 도메인까지 만든 다음에 같은 이름의 상표가 먼저 등록돼 있다는 것을 알면, 바꾸는 비용이 미리 확인하는 비용의 백 배가 됩니다.

규제는 사업 자체에 걸린 법을 다루는 갈래입니다. 사업 규제는 이 업을 하려면 무엇을 신고하고 화면에 무엇을 적어야 하는지를 정합니다. 온라인으로 돈을 받으면 판매업 신고가 필요하고, 사업자 정보와 환불 조건은 고객이 찾을 수 있는 자리에 놓아야 하며, 업종이 금융이나 의료에 걸치면 시작 전에 받아야 하는 허가가 따로 생깁니다. 작은 회사가 가장 자주 걸리는 곳은 결제와 광고입니다. 무료 체험이 끝나고 자동 결제되는 구조는 언제 얼마가 빠져나가는지 미리 알리지 않으면 그 자체로 문제가 되고, 업계 1위 같은 문구는 근거 없이 쓰면 광고 규제에 걸립니다.

보안 운영은 보안을 사람과 절차로 굴리는 갈래입니다. 보안 관리 체계는 누가 무엇에 접근할 수 있는지, 그 권한을 언제 회수하는지, 사고가 나면 몇 시간 안에 누구에게 알리는지를 문서로 정해 두고 그대로 돌아가는지 확인합니다. 기술이 아니라 운영이라는 점이 이 갈래의 성격입니다. 좋은 금고를 샀는지보다 열쇠를 몇 개 만들었고 그중 몇 개가 이미 나간 사람 손에 있는지가 실제 사고를 가릅니다. 페이지덱이 질문지에서 막힌 항목도 이 자리였습니다. 석 달 전 퇴사자의 계정이 살아 있었고, 회수를 확인할 사람이 정해져 있지 않았기 때문입니다.

AI 는 가장 나중에 생긴 갈래입니다. AI 규제 대응은 제품에 AI 를 넣을 때 따라오는 질문을 다룹니다. 고객이 올린 문서를 요약 기능에 넣으면 그 문서가 어디로 가는지, 모델을 만든 외부 회사가 그 내용을 다음 학습에 쓰는지, 고객에게 그래도 되는지 물어봤는지 같은 것들입니다. 사람 대신 모델이 판단하는 자리도 문제가 됩니다. 채용 서류를 거르거나 대출 여부를 정하는 것처럼 한 사람의 생활을 흔드는 판단을 자동으로 돌리면, 그 사실을 알리고 결과를 설명할 수 있어야 한다는 쪽으로 여러 나라의 법이 움직이고 있습니다. 여기는 기준이 아직 자리를 잡는 중이라, 지금 할 수 있는 일은 무엇을 하지 않기로 했는지를 적어 두고 그 선을 지키는 것입니다.

여덟 갈래는 따로 돌지 않고 한 줄로 이어집니다. 규제가 하한선을 긋고, 계약이 고객과의 약속을 그 위에 얹고, 개인정보와 보안 운영이 그 약속을 지키는 절차를 만들고, 인증이 지켰다는 것을 밖에 보이고, 역할이 각 단계의 책임자를 정합니다. 지식재산은 이 줄 옆에서 회사가 만든 것 자체를 지키고, AI 는 앞의 여섯 갈래에 같은 질문을 처음부터 다시 던집니다.

"고객사 보안 질문지 왔는데요, 인증서가 있으면 스무 문항으로 줄어든답니다."

인증 취득을 이번 분기 일정에 올려 달라는 세일즈의 요청입니다.

"이 기능 켜려면 동의 항목을 하나 더 받아야 해요. 이미 가입한 분들한테도 다시 받아야 하고요."

모아 둔 정보를 새 목적에 쓰려면 처음 받은 동의로는 부족하다는 지적입니다.

"약관에는 우리가 고객 데이터를 학습에 쓰지 않는다고 적혀 있습니다."

제품이 하려는 일이 회사가 공개해 둔 약속과 어긋난다는 제동입니다.

페이지덱에는 전담 법무 인력이 없어 규원이 이 분야를 들고 외부 로펌 자문을 붙여 씁니다. 지난달 회의에는 수아가 들고 온 기업 고객 두 곳의 보안 질문지, 권한을 정리하려면 개발 일정을 일주일 비워야 한다는 태오의 요청, 문서 요약 기능에 외부 모델을 붙이겠다는 지현의 계획이 나란히 올라왔습니다.

셋은 한 줄로 이어져 있었습니다. 요약 기능을 켜면 고객 문서가 밖으로 나가고, 그러면 질문지의 데이터 처리 항목 답이 바뀌고, 바뀐 답은 약관에 적힌 문장과 맞지 않았습니다. 규원은 순서를 바꿨습니다. 권한 정리를 먼저 하고, 약관과 처리방침을 고쳐 알린 뒤에 요약 기능을 켜기로 했습니다. 기능은 한 달 밀렸고 계약 두 건은 살았습니다.

법무·보안을 다 만든 뒤에 도장을 받는 절차로 여기는 경우가 가장 많습니다. 검토 요청이 출시 직전에 몰리고 그때 돌아오는 답이 대개 안 된다는 말이니, 관문처럼 보이는 것도 무리는 아닙니다. 하지만 무엇을 모을지, 어디에 둘지, 누구에게 보여 줄지는 설계 단계의 결정입니다. 그 시점에 물으면 답이 되느냐 마느냐가 아니라 세 가지 방법 중 어느 쪽이냐가 됩니다. 순서를 뒤집어 두면 기능을 접거나 일정을 미루는 두 선택만 남고, 그런 일을 두어 번 겪은 팀은 다음부터 아예 묻지 않는 쪽을 배웁니다.

보안 인증을 받으면 보안이 끝났다고 보는 것도 자주 보입니다. 증명서는 눈에 보이는 결과물이고 준비에 돈과 시간이 크게 드니 한 단계를 통과했다는 느낌을 줍니다. 인증은 심사한 날에 기준표의 항목이 갖춰져 있었다는 확인이지 앞으로도 안전하다는 보증이 아닙니다. 심사 한 달 전에만 권한을 정리하고 문서를 맞추는 식으로 굴리면 서류상 통과한 회사와 실제로 지키는 회사가 갈라집니다. 한 번 뚫리고 나면 증명서는 방패가 아니라 인증까지 받아 놓고 왜 이랬냐는 질문의 근거가 됩니다.