블로그 | TeamKai

상담 AI는 고객의 주문·결제·연락처를 다룹니다. 그래서 도입의 마지막 관문은 대부분 보안 검토입니다. 검토가 길어지는 이유는 질문이 늦게 나오기 때문입니다. 아래 7가지를 처음부터 확인하면 일정이 크게 줄어듭니다.

1. 고객사 간 데이터는 어떻게 격리되나요

여러 고객사가 같은 플랫폼을 쓰는 구조라면, 격리가 애플리케이션 코드가 아니라 데이터베이스 계층에서 강제되는지 확인하세요. 코드의 실수 하나로 다른 회사의 데이터가 보이지 않으려면 DB 수준의 격리가 필요합니다.

대화 기록·케이스·첨부파일 같은 지속 저장 데이터가 어느 국가, 어느 리전에 있는지 묻습니다. 국내 리전(예: AWS 서울)에 저장되는지가 사내 보안 기준의 첫 질문인 경우가 많습니다.

DB가 외부 인터넷에서 직접 접근할 수 없는 프라이빗 서브넷(VPC)에 배치되어 있는지, 저장·전송 구간이 암호화되고 WAF·TLS가 적용되어 있는지 확인합니다.

고객 데이터가 모델 학습에 사용되지 않는다는 것이 정책뿐 아니라 계약서에도 명시되어 있는지 확인하세요. 구두 답변이 아니라 문서로 받아야 보안 검토를 통과할 수 있습니다.

외부 LLM을 쓴다면 응답 생성에 필요한 정보만, 요청 단위로, 암호화된 채널로 전송되는지 묻습니다. 대화 전체나 고객 DB가 통째로 넘어가는 구조라면 다시 검토해야 합니다.

! 국내에서 추론까지 처리해야 하는 요건이라면, 국내 리전의 모델 호스팅 구성이 가능한지도 함께 물어보세요.

역할 기반 권한으로 직원마다 볼 수 있는 범위가 나뉘는지, 설정 변경·접속 이력이 기록되는지, 일정 시간이 지나면 세션이 자동으로 만료되는지 확인합니다. 승인 권한이 화면이 아니라 DB 수준에서 강제되는지도 중요합니다.

상담 중 오가는 개인정보가 단계별로 통제되는지 봅니다. 대화 단계에서 불필요한 수집을 막는 가드레일, 저장 단계의 암호화, 조회 단계의 권한별 마스킹까지 세 겹으로 막혀 있는지가 기준입니다.

ISMS 같은 인증은 통제 체계를 갖췄다는 기준선입니다. 실제로 중요한 것은 그 통제가 문서가 아니라 시스템 구조로 강제되는지입니다. 팀카이는 ISMS 기준의 통제 체계를 갖췄으며, ISMS 인증을 획득할 예정입니다.

믿으라고 말하지 않습니다. 구조로 강제합니다.

보안개인정보도입 체크리스트