앞 문서들의 내용을 바로 쓸 수 있는 점검표로 정리했습니다. 평가 시 각 항목을 충족(O)/미흡(△)/미해당(N/A)으로 표시하고, 미흡 항목을 리스크로 올립니다.
I. 평가 체크리스트 (6개 영역)
1) 거버넌스·정책
| # | 점검 항목 | 근거 |
|---|
| G1 | AI 사용 정책(허용/금지 툴)이 문서화돼 있다 | AI 기본법, NIST Govern |
| G2 | AI 자산 인벤토리를 관리한다 | NIST Map |
| G3 | Shadow AI(비승인 사용) 탐지 수단이 있다 | — |
| G4 | 신규 AI 도입 시 보안 심사 절차가 있다 | ISO 42001 |
| G5 | AI 보안 책임자/조직이 지정돼 있다 | ISO 42001 |
2) 데이터
| # | 점검 항목 | 근거 |
|---|
| D1 | 입력 가능 데이터 등급이 정의돼 있다 | 개인정보위 가이드 |
| D2 | 민감정보 입력 금지가 교육·공지돼 있다 | 개인정보보호법 |
| D3 | 학습 opt-out을 설정했다 | 개인정보위 가이드 |
| D4 | 데이터 보존·삭제 정책을 확인했다 | — |
| D5 | 국외 이전 여부·대상국을 확인했다 | 개인정보보호법 |
| D6 | DLP·마스킹 등 유출 방지 통제가 있다 | LLM02 |
3) 접근통제·인증
| # | 점검 항목 | 근거 |
|---|
| A1 | AI 서비스 계정이 SSO로 통합 관리된다 | — |
| A2 | API 키가 안전하게 보관·로테이션된다 | — |
| A3 | 사용자·역할별 권한이 분리돼 있다 | 최소 권한 |
4) 모델·프롬프트
| # | 점검 항목 | 근거 |
|---|
| M1 | 사용 모델·플러그인의 출처·보안이 검증됐다 | LLM03 |
| M2 | 시스템 프롬프트·가드레일이 적용돼 있다 | LLM07 |
| M3 | 입력(인젝션) 필터링이 있다 | LLM01 |
| M4 | 출력(유해·미검증) 처리 통제가 있다 | LLM05 |
| M5 | RAG는 문서 권한을 반영한다 | LLM08 |
5) 운영·모니터링
| # | 점검 항목 | 근거 |
|---|
| O1 | 질의·응답 로그가 남고 감사 가능하다 | — |
| O2 | 토큰·요청 속도 제한이 있다 | LLM10 |
| O3 | 비용 이상 알람이 있다 | LLM10 |
| O4 | 이상징후 탐지·사고 대응 절차가 있다 | MITRE ATLAS |
6) 컴플라이언스
| # | 점검 항목 | 근거 |
|---|
| C1 | 고영향 AI 해당 여부를 검토했다 | AI 기본법 |
| C2 | 생성물 표시(워터마크) 의무 대상인지 검토했다 | AI 기본법 |
| C3 | 개인정보 처리 적법근거를 확인했다 | 개인정보보호법 |
| C4 | EU 등 역외 규제 적용 여부를 검토했다 | EU AI Act |
II. 신규 AI 도입 보안 심사 양식
새 AI 서비스/기능을 도입할 때 작성하는 1페이지 심사표입니다.
| 항목 | 내용 |
|---|
| 서비스명 / 제공사 | |
| 사용 목적 / 부서 | |
| 유형 | ☐ SaaS LLM ☐ 코파일럿 ☐ 사내 RAG ☐ 에이전트 ☐ 자체개발 |
| 입력 데이터 등급 | ☐ 공개 ☐ 내부 ☐ 기밀/개인정보 |
| 학습 opt-out | ☐ 가능(설정함) ☐ 불가 |
| 데이터 저장 위치 | ☐ 국내 ☐ 국외( ) |
| 요금제 | ☐ 무료 ☐ 엔터프라이즈 |
| 접근통제 | ☐ SSO ☐ 개별계정 / 로깅 ☐ 유 ☐ 무 |
| 고영향 AI 해당 | ☐ 예 ☐ 아니오 |
| 생성물 표시 의무 | ☐ 해당 ☐ 비해당 |
| 식별된 리스크 | |
| 승인 여부 | ☐ 승인 ☐ 조건부 ☐ 반려 / 승인자: |
:::tip 엑셀로도 쓸 수 있어요
이 체크리스트·심사 양식을 엑셀 파일로 따로 만들어 드릴 수 있습니다. 평가 건별로 기록·집계하기 편합니다. 필요하면 요청해 주세요.
:::
III. 참고 — 근거 코드