AI 보안·컴플라이언스 운영

핵심 자산 목록 작성

AI 시스템이 접근하는 데이터를 P0~P3로 분류하고, 각 데이터의 소유자를 지정합니다. → Ch2. 데이터 보호 체계

고위험 도구 승인 체계 확인

에이전트가 실행할 수 있는 도구 목록을 점검하고, sql_write, shell_exec 등 고위험 도구에 Human-in-the-loop 승인이 걸려 있는지 확인합니다. → Ch4. 프롬프트 인젝션 방어

비밀정보 만료일 점검

API 키, 서비스 토큰 등 비밀정보에 만료일이 설정되어 있는지 확인합니다. 만료일이 없는 키는 즉시 로테이션 일정을 잡습니다. → Ch5. 접근제어·비밀관리

감사 로그 범위 확인

권한 변경, 도구 실행, 데이터 접근에 대한 감사 로그가 생성되고 있는지 확인합니다. 로그가 없는 영역을 식별합니다. → Ch6. 감사 준비도

사고 대응 연락망 갱신

SEV-1 발생 시 15분 내 연락 가능한 담당자 목록이 최신인지 확인합니다. 연락이 안 되는 담당자는 교체합니다. → Ch7. 사고 대응

1~30일: 기준선 수립

• 핵심 자산·리스크·통제 현황을 한 문서로 통합합니다.
• P0/P1 데이터 경계와 접근권한 표준을 정의합니다.

31~60일: 통제 집행 강화

• 프롬프트 인젝션 방어, 고위험 툴 승인, 비밀정보 로테이션을 운영 기본값으로 고정합니다.
• 감사 증빙 수집 경로(로그/티켓/승인)를 연결합니다.

61~90일: 경영 연계

• MTTD/MTTR/잔여 리스크를 경영 지표로 보고합니다.
• 리스크 허용한계(Risk appetite) 초과 항목의 투자 우선순위를 확정합니다.