"이 자료 넣어도 될까?" 엄격한 보안 환경에서 도구를 만드는 일

내가 일하는 자리의 PC는 회사 보안 환경 안에 있다. 외부 프로그램을 함부로 설치할 수 없고, 파일을 올려 처리하는 온라인 서비스도 쓸 수 없다. 첫 글에서 서명 검사 도구를 만들 때 이 제약을 잠깐 적었는데, 그때는 도구 이야기가 먼저라 제약은 배경으로만 지나갔다.

이번 글은 그 배경을 앞으로 꺼낸다. 넉 달 넘게 AI로 도구를 만들고 그 도구 이야기를 글로 쓰는 동안, 나는 매번 같은 질문 앞에 섰다. 이 자료를 AI 도구에 넣어도 되는가? 처음부터 원칙이 있었던 건 아니다. 부딪힌 지점에서 그때그때 선을 그었다. 그래서 이 글은 원칙 목록으로 시작하지 않는다. 선이 어떻게 그어졌는지 그 장면을 순서대로 적고, 마지막에는 그 선들을 모아 정리해 보았다.

우선 이 글에 적는 기준은 내가 처한 환경에서 나온 기준이라는 점을 먼저 밝힌다. 조직마다 규정이 다르고, 규정이 있으면 규정이 개인의 판단보다 먼저이기 때문이다. 이 글은 그 규정 위에서 실무자 한 사람이 어디에 선을 그었는지에 대한 기록이다.

미리 요점만 콕 집어보면?

• 외부 프로그램 설치가 제한되고 온라인 서비스를 쓸 수 없는 보안 환경에서 넉 달 넘게 자동화 도구를 만들었다. 원칙을 먼저 세우고 시작하지 않았다. 부딪힌 장면마다 선을 하나씩 그었다.
• 인터넷 없이 도는 검사기를 만들면서는 선을 지키는 데도 비용이 든다는 것을 배웠고, 결국 그 비용 때문에 두 달 만에 손을 놓았다. 강의 자리에서 개인정보를 걱정하는 질문을 받고서야 내 기준에 빠진 자리를 봤다. 자료를 고르는 기준은 있었는데, 그 자료를 받는 도구의 설정은 한 번도 열어 본 적이 없었다.
• 선이 늘 같은 자리에 있었던 것도 아니다. 어떤 문서는 온라인 서비스에 한 번도 올리지 않았고, 어떤 문서는 이미지로 바꿔 AI에게 읽혔다. 그 둘의 차이를 설명할 수 있게 되는 것이 내가 말하는 선이다.

첫 도구에서 그어둔 선

내가 만든 첫 도구는 매달 마감 때 올라오는 400페이지가 넘는 점검 문서에서 서명 누락을 찾는 것이었다. 그 도구를 어떻게 만들었는지는 첫 번째글에 자세히 나와있으니 다시 다루진 않는다. 대신 이 글에서 필요한 건 한 가지다. 그 도구는 인터넷 없이 돌도록 만들었고, 원본 점검 문서를 온라인 서비스에 올린 적은 한 번도 없다는 것이다.

처음부터 그럴 생각은 아니었다. 파일을 열어 몇 번 부딪히고 나서야 길이 하나로 좁아졌다. 글자를 검색할 수 없었고, 글자를 읽어 주는 프로그램은 함부로 설치할 수 없었다. 파일을 올려 처리하는 서비스 역시 쓸 수 없었다. 세 번째가 특히 분명했다. 그 문서에는 시스템마다 표지가 한 장씩 있고, 그 표지마다 두 사람의 서명과 날인이 들어 있었다. 결국 개인정보다.

그때 알게 된 게 하나 있다. 나중에 결과물에서 이름을 지우겠다는 다짐은 방어가 되지 못한다. 지우는 일은 자료가 이미 나간 다음에 하는 일이기 때문이다. 그래서 두 번째 도구부터는 순서를 바꿨다. 무엇을 넣을지 고르기 전에, 이 작업에서 자료가 회사 밖으로 나가는 지점이 어디인지부터 봤다. 첫 선은 그렇게 그어졌다.

인터넷 없이 돌게 만든 검사기, 그리고 선의 비용

지난 6월에는 오타 검사기를 만들었다. 회의록과 보고서를 제출하기 전에 오타와 띄어쓰기를 처음부터 끝까지 눈으로 훑는 일이 매주 있었다. 밖에서라면 온라인 맞춤법 검사에 붙여 넣으면 끝나는데, 내 자리에서는 그 화면이 열리지 않는다. 그래서 인터넷 없이 도는 것을 직접 만들었다.

띄어쓰기는 한국어 형태소 분석기 Kiwi로 처리했고, 오타는 내가 관리하는 사전으로 잡았다. 도구가 도는 동안 바깥과 통신하는 곳은 한 군데도 없게 만들었다. 사전은 자주 틀리는 표기 94개로 시작했다. 그중 86개는 자동으로 고치고, 로서와 로써, 결재와 결제처럼 문맥에 따라 답이 갈리는 8개는 자동으로 고치지 않고 확인 필요로만 표시하게 했다. 도구가 멋대로 고쳐서 생기는 사고가 더 무서웠기 때문이다.

처음 돌렸을 때는 잘 됐다. 오타를 넣은 문장은 잡아냈고, 정상 문장에서 잘못 잡는 게 없는지도 확인했다. 그런데 지난 글에 쓴 도구 전체 실사에서, 이 검사기는 안 쓰는 도구로 분류됐다. 만든 지 두 달이 채 되지 않았을 때다.

이유를 되짚어 보니 도구가 틀려서가 아니었다. 온라인 검사기는 사전을 남이 갱신해 준다. 검사기를 선 안쪽에 두려니 그 94개를 내가 들고 있어야 했다. 회의록에 자주 나오는 시스템 이름을 도구가 띄어쓰기 오류로 고쳐 놓곤 했다. 그때마다 교정본에서 그 자리를 되돌리고, 사전에 손을 댔다. 문서가 바뀌면 손볼 곳도 늘었다. 그 손질이 검사로 아끼는 시간보다 커지는 순간부터 열지 않게 됐다.

이 도구를 이 글에서 성공 사례로 쓸지 실패 사례로 쓸지 정해야 했다. 실패 사례로 쓴다. 다만 무엇이 실패했는지는 정확히 적어 두고 싶다. 선은 지켜졌다. 검사기 때문에 제출 문서가 밖으로 나간 일은 없었다. 실패한 것은 선을 지키는 비용을 계산에 넣지 않은 것이다. 밖에서 공짜로 받던 사전 갱신을 안에서는 내가 직접 해야 했는데, 만들 때 그 손이 얼마나 가는지를 세지 않았다. 그래서 두 번째 선은 이렇다. 선 안쪽에 두기로 했다면, 밖에서 받던 것 중 무엇을 내가 대신 들어야 하는지를 만들기 전에 센다.

남이 물어봐 주기 전까지

지난 8월에는 옆 프로젝트의 두 사람에게 한 시간짜리 강의를 했다. 그날 한 분이 개인정보 이야기를 꺼냈다. 영화에 나오는 것처럼 AI가 자기 정보를 가져가면 어떻게 되느냐는 것이었다. 그날 받은 질문은 그 강의를 다룬 글에 적었으니 여기서 되풀이하지 않는다. 이 글에 적을 것은 그 질문이 내게 남긴 자리다. 답을 하고 돌아와서야 알았다. 나는 자료를 넣을지 말지를 넉 달 동안 매번 판단해 왔는데, 그 자료를 받는 도구가 자료를 어떻게 다루는지는 확인한 적이 없었다. 계정에 그런 설정 화면이 있다는 것을 알면서도 한 번을 열어 보지 않았다.

두 사람이 물은 것과 내가 판단해 온 것이 다른 질문이라는 것도 그때 알았다. 두 사람이 물은 것은 이 도구가 안전한가였다. 내가 판단해 온 것은 이 자료를 넣어도 되는가였다. 앞의 질문은 설정을 열어 확인하면 답이 나오고, 뒤의 질문은 설정 어디에도 답이 없어 넣기 전에 내가 정해야 한다. 둘 다 필요한데 나는 뒤쪽만 하고 있었다.

혼자 쓸 때는 그 자리가 비어 있는 줄도 몰랐다. 내 손이 지키는 기준은 매번 작동했으니 완결돼 있다고 느꼈고, 빠진 쪽은 물어보는 사람이 없으니 드러날 일이 없었다. 남이 묻고 내가 답하는 자리가 아니었으면 아마 지금도 몰랐을 것이다. 그날 나는 내 설정을 열어 보지 않은 채로 그 자리에 앉아 있었다.

선이 늘 같은 자리에 있진 않았다

여기서 솔직하게 적어야 할 것이 하나 있다. 앞에서 점검 문서는 온라인 서비스에 올린 적이 없다고 썼는데, 모든 문서를 그렇게 다룬 것은 아니다.

출근 기록과 휴가 신청서를 대조하는 도구를 다룬 글에서 나는 두 스캔 문서를 이미지로 바꿔 AI에게 읽혔다고 썼다. 손으로 쓴 오전반차와 연차를 구분해 읽는 일은 코드로는 안 되는 일이었기 때문이다. 그 문서에도 사람 이름이 들어 있다. 같은 사람이 같은 몇 달 안에 한 문서는 넣지 않았고 다른 문서는 넣었다.

점검 문서는 따질 것도 없었다. 종이에 서명하고 날인해 통째로 스캔한 400페이지 넘는 원본을 그대로 넘겨야 했다. 대조 도구 쪽에서 내가 따진 것은 범위와 뒤처리였다. 그달 두 문서만 넣었고, 대조가 끝나면 만들어 둔 이미지 파일을 지웠다. 남긴 것은 어긋난 건을 표시한 결과 화면뿐이다. 다만 지운 것은 내 PC 쪽이고, 받은 쪽에 무엇이 얼마나 남는지는 앞 절에 적은 그 확인을 하지 않은 상태였다.

사실 이 문단을 쓸까 말까 오래 고민했다. 빼고 나면 글은 더 깔끔해진다. 그런데 도구가 지켜야 할 선에 대한 글인데, 애매한 구간을 빼고 쓰면 읽는 사람에게는 지킬 수 없는 기준만 남는다. 물론 아직 이 구간의 답은 확신하지 못한다. 다만 그때마다 넣기 전에 범위를 정하고, 끝나고 지울 것을 정했다는 것. 그리고 그 둘을 말로 설명할 수 없으면 넣지 않았다는 것만은 분명하다.

글에 넣지 않은 것들

글을 쓸 때 그은 선은 도구를 만들 때와는 달랐다. 연재를 시작하고 나서 새로 결정할 것이 생겼다. 도구의 실제 화면을 글에 싣는가.

첫 글에는 결과 화면을 마스킹해서 넣었다. 그런데 담당 매니저가 이미지 자료를 더 넣어 달라고 했다. 경험기는 관련 자료가 많을수록 독자가 맥락을 잡기 쉽다는 이유였고, 맞는 말이었다. 그래서 넉 장을 더 만들었는데, 그중 셋은 실제 화면 대신 형식만 본떠 새로 그린 것이었다. 도구 폴더와 실행 화면, 그리고 도구를 만들 때 오간 대화. 마지막 한 장만 실물을 그대로 썼다. 개인정보가 없는 사용안내 문서였다. 이때 캡션에 재구성이라고 적기 시작했다.

두 번째 글에서는 이미지 여섯 장을 전부 정제본으로 만들었다. 결과 화면을 본뜬 넉 장은 이름을 가명으로 바꾸고, 금액은 예시로 줄이고, 사업명은 가렸다. 출근 기록을 대조하는 도구를 다룬 글에서는 실제 화면의 이름을 홍길동으로 바꿔 그렸다. 지울 것을 정하다 보니 남길 것도 정해졌다. 판정 흐름과 색 구분, 건수, 어긋난 한 건이 화면 어디에 뜨는지는 남겨야 글이 된다.

그러면서 기준이 두 개 생겼다. 하나, 이 화면에서 원본이 유추되는가. 둘, 이 화면 속 사람이 자기 것이라고 알아볼 수 있는가. 둘 중 하나라도 걸리면 지우거나 바꿨다. 그렇게 걸린 것이 실명, 사업명과 기관명, 금액, 시스템 화면 원본이었다. 글 여섯 편의 이미지를 만들며 이 네 가지는 예외 없이 뺐다.

최근에는 한 가지가 더 붙었다. 그전까지는 캡션에 재구성이라고만 적었는데, 이번 연재 기획안을 검토한 매니저가 실제 화면이 아니라는 점까지 캡션에 분명히 적어 달라고 했다. 나는 독자가 실제 화면으로 오인하지 않게 하려는 뜻으로 읽었다. 처음에는 보안과 별개라고 생각했는데, 따져 보니 같은 판단의 마지막 단계였다. 지우는 것만으로는 끝나지 않는다. 지웠다는 사실까지 밝혀야 읽는 쪽의 오해가 없다. 아래 이미지가 그 판단을 그대로 보여 주는 예시다.

장면들이 남긴 여섯 줄

장면을 다 적고 나서 선을 모아 봤다. 원칙으로 시작했다면 더 그럴듯한 목록이 나왔겠지만, 실제로 지킨 것은 아래 다섯 줄이다. 마지막 한 줄은 이 글을 쓰면서 새로 보탰다. 넣기 전에 판단한다. 자료가 회사 밖으로 나가는 지점이 어디인지를 먼저 보고, 그 앞에서 결정한다. 나간 뒤에 결과물에서 무엇을 지워도 자료는 이미 나가 있다.

글에 실을 때는 실명, 사업명과 기관명, 금액, 시스템 화면 원본을 예외 없이 뺀다. 도구에 넣을 때는 그 일에 필요한 범위를 넣기 전에 정하고, 끝나면 지운다. 매달 도는 대조 도구에는 그달 두 문서만 넣었고 끝나면 지웠다. 반대로 오래 두고 참고할 자료를 옮길 때는 지우는 대신 처음부터 뺐다. 개인정보가 든 문서와 암호가 걸린 문서는 아예 옮기지 않았다. 애매하면 뺀다.

사내 시스템에 붙는 도구는 회사 PC 안에서만 돈다. 회사 PC 안에서만 돌게 만든 도구가 여덟 개이고, 그중 사내 시스템에 접속해 등록과 수집을 대신하는 것이 여섯 개다. 첫 도구를 그렇게 만든 뒤로 같은 방식을 지켰다.

선을 지키는 비용을 센다. 오프라인으로 두기로 했다면 밖에서 받던 갱신을 내가 대신해야 한다. 그 비용이 아끼는 시간보다 크면, 도구는 만들어 놓고도 열지 않게 된다. 밖으로 내보낼 때는 재구성하고, 재구성했다고 쓴다. 지울 것과 남길 것을 정하고, 그 화면이 실제 화면이 아님을 밝힌다.

그리고 그 질문을 받고서야 알게 된 한 줄을 여기 적어 둔다. 쓰는 도구의 데이터 설정을 한 번은 직접 열어 본다. 자료를 고르는 일만 내 몫인 줄 알았는데, 받는 쪽이 그것을 어떻게 다루는지 확인하는 것도 내 몫이었다.

앞의 다섯 줄은 회사 규정이 허용하는 범위 안에서, 규정이 정해 주지 않는 세부를 내가 정해 지켜 왔다. 마지막 한 줄은 이번에 빠뜨린 것을 알고 적어 둔다.

마치며: 불편함이 경계심으로 바뀌기까지

처음 도구를 만들던 때의 나는 회사 자료를 AI에 넣는다는 말 자체를 불편해했다. 그때는 무엇이 되고 무엇이 안 되는지 몰랐다. 선이 보이자 그 불편함은 경계심으로 바뀌었고, 경계심은 막연한 두려움보다 쓸모가 있었다.

도구를 만들 때마다 선을 하나씩 확인했고, 글을 쓸 때마다 그 선을 한 번씩 시험했다. 앞으로 도구가 늘면 선도 늘 것이고, 검사기처럼 선의 비용을 잘못 계산한 사례도, 남이 물어봐 주기 전까지 모르고 지나는 자리도 또 있을 것이다. 4절에 적은 애매한 구간처럼 아직 답을 못 정한 자리도 남아 있다. 그때마다 이 목록을 고칠 생각이다.

만약 나처럼 엄격한 보안 환경에서 AI 도구를 쓰는 일이 막연히 불안하다면, 원칙부터 세우지 말고 자료 하나를 앞에 놓고 물어보길 권한다. “이게 밖으로 나가면 누가 곤란해지는가.” 그 질문에 답이 나오는 자료부터 선을 그으면 된다. 나는 400페이지가 넘는 점검 문서 한 권에서 시작했고, 그 한 권 앞에서 그은 선을 도구 열다섯 개와 글 여섯 편에서 지켜왔다. 그리고 이 글을 쓰면서 지키기는커녕 적어 두지도 않았던 선이 하나 더 있었다는 걸 깨달았다.

이 글은 AI의 도움을 받아 작성했습니다.

현재 FDE로 일하시거나, 최근 1년 내 일하셨던 분들은

“국내 FDE 현황 조사 2026” 참여하고, 리포트 & 네이버페이 포인트 받아가세요!

ⓒ요즘IT의 모든 콘텐츠는 저작권법의 보호를 받는 바, 무단 전재와 복사, 배포 등을 금합니다.