이득:
- 인증, 스토리지, 데이터 상주 및 하위 프로세서 축에 대해 AI 공급업체를 평가하는 능력
- 구두에 의존하지 않고 문서와 계약 조항을 통해 보증을 검증하는 능력
- DPA 및 옵트아웃/삭제 조건을 구매 전 보안 검토에 연결하는 기능
대부분의 조직은 자체 모델을 교육하지 않습니다. 공급자의 API를 사용합니다. 이것이 위험을 제거하는 것은 아닙니다. 단지 위험을 다른 사람에게 이전할 뿐이며, 이전하는 위험을 평가하는 것은 귀하의 책임입니다. 귀하의 데이터가 전달되는 모든 제3자는 보안 경계의 확장입니다. 이 단원에서는 AI 공급업체를 평가하는 방법을 배우게 됩니다. 규정 준수 인증서, 데이터 처리 계약(DPA), 데이터 저장소, 데이터 소재지 및 하위 처리자를 통해 구매 전 보안 검토를 수행하는 방법을 알아봅니다.
왜 제3자 위험이 있나요?
감사 또는 위반이 발생한 경우 "우리는 데이터를 처리하지 않았으며 제공업체가 처리했습니다"라는 방어로는 귀하를 구할 수 없습니다. 귀하는 데이터 관리자입니다. 공급자는 데이터 처리자입니다. KVKK와 GDPR은 이렇게 구분하지만 대부분의 책임은 귀하에게 있습니다. 그렇기 때문에 공급업체를 선택하는 것은 구매 결정이 아니라 보안 결정입니다.
주의: "대규모의 잘 알려진 공급자"는 보안을 보장하지 않습니다. 보증은 서명된 계약 조항과 검증 가능한 인증서를 통해 이루어집니다. 브랜드의 명성 때문이 아닙니다.
평가축
7개 축에서 AI 벤더를 살펴보세요.
- 규정 준수 인증: SOC 2 Type II(조직의 보안 제어에 대한 독립적 감사), ISO/IEC 27001(정보 보안 관리 표준) 및 점차 증가하는 ISO/IEC 42001(인공 지능 관리 시스템 표준).
- 데이터 보존: 프롬프트/응답은 얼마나 오래 보존됩니까? ZDR(제로 데이터 보존)이 제공됩니까?
- 훈련에 사용: 모델을 훈련하는 데 데이터가 사용됩니까? (보통 기업 수준에서는 "아니요"입니다.)
- 데이터 거주지: 데이터가 처리되고 저장되는 국가/지역은 어디입니까?
- 하위 처리자: 공급자가 사용하는 다른 회사(클라우드, 모니터링)는 무엇입니까? 그것들은 또한 당신의 경계의 일부입니다.
- 보안 기능: 암호화(전송 중/휴지 중), 액세스 제어, 감사 로그, 이벤트 알림 시간.
- 계약 및 종료: DPA가 있습니까? 서비스가 종료되면 데이터가 삭제되는 것이 보장되나요? 락인의 위험은 무엇입니까?
단계별: 공급업체 검토
- 보안 설문조사를 제출하세요. 위의 축을 질문 목록으로 바꾸세요.
- 증거를 요청하세요. 문서(SOC 2 보고서, ISO 인증서, DPA 초안)를 통해 주장을 확인합니다.
- 데이터 흐름을 매핑합니다. 어떤 데이터가 어디로, 어떤 프로세스를 위해 전달되나요?
- DPA를 협상하세요. 데이터 처리 계약(공급자가 데이터를 처리하는 방법을 지정하는 법적 텍스트)에 서명하지 않고 생산을 시작하지 마십시오.
- 하위 처리자를 검토합니다. 전체 체인을 고려하십시오.
- 재평가 일정을 설정합니다. 공급업체 위험은 최소한 1년에 한 번 재검토되어야 합니다.
복사 가능한 템플릿 4개
공급업체 보안 조사 핵심:
제공자에게 문의할 사항:1. 어떤 규정 준수 인증을 보유하고 있나요? (SOC 2 Type II, ISO 27001/42001) 보고서를 공유해 주실 수 있나요?2. 얼마나 많은 요청/응답 데이터가 유지되나요? ZDR 옵션이 있나요?3. 우리 데이터가 모델 훈련에 사용되나요? 계약서에 적혀있나요?4. 데이터는 어느 지역에서 처리/저장되나요? 지역을 선택할 수 있나요?5. 귀하의 하위 처리자는 누구입니까? 변경되면 어떻게 알림을 보내나요?6. 위반시 통보기간은 어떻게 되나요?7. 계약이 종료되면 데이터는 언제 어떻게 삭제되나요?
증거 확인 확인 규칙:
각 주장에 대해 “증거가 있습니까?” 확인:- 인증 청구 -> 현재 보고서/인증 번호를 보았습니까?- ZDR/스토리지 청구 -> 계약 조항에 기록되어 있습니까?- 교육에 사용하지 않음 -> DPA에 공개 조항이 있습니까? 증거가 없는 모든 주장은 "확인되지 않음"으로 표시하십시오. 말을 받아들이지 마십시오.
데이터 흐름 매핑 프롬프트:
다음 통합을 위한 데이터 흐름을 추출합니다. {{ 시나리오 }}각 단계에서 어떤 데이터(PII가 포함되어 있는지), 어디로 이동하는지(어느 회사/지역), 어떤 목적으로 저장되는지 등을 지정합니다. 기업 경계를 넘는 각 단계와 하위 프로세서를 표시합니다.
공급업체 위험 평가표:
0~2점(0=없음, 1=부분, 2=전체)으로 각 축의 점수를 매깁니다. 인증서, ZDR/보존, 교육에 사용하지 않음, 데이터 상주, 하위 프로세서 투명성, 위반 알림, 종료/삭제. 총 < 10이거나 임의의 축이 0인 경우: "위험 높음, 생산 시작".
약한 프롬프트 / 강한 프롬프트
접근 방식이 좋지 않음
강력한 접근 방식
"대기업, 안전"을 상정
문서로 인증서 및 DPA 확인
구두 보증에 의존
모든 보증을 계약 조항에 연결
제공업체를 검토하세요.
또한 하위 프로세서 체인도 고려하십시오.
한 번 선택하고 잊어버리세요
연간 재평가 일정
미니 케이스 3개
사례 1 - DPA 없이 시작된 프로젝트가 중지되었습니다. 한 소매 회사는 신속하게 생산 보조원을 데려왔습니다. 이후 법무팀은 해당 제공업체와 서명된 DPA가 없다는 사실을 발견했습니다. 고객 데이터가 처리되는 동안 프로젝트가 중단되었으며, EU 지역에서 데이터 주소가 고정된 후 DPA가 협상되고 다시 열렸습니다.
사례 2 - 하위 프로세서 체인이 놀라움을 선사합니다. 의료 회사가 1차 제공자를 승인했습니다. 그러나 데이터 흐름 매핑을 통해 공급자가 모니터링을 위해 제3국의 회사를 활용하고 있는 것으로 나타났습니다. 이는 데이터 상주 요구 사항을 위반했습니다. 회사는 계약에 지역 내 체류를 추가했습니다.
사례 3 - 스코어카드가 저렴한 입찰을 제거했습니다. 세 가지 제안이 평가되었습니다. 가장 저렴한 공급자는 인증 축에서 0(SOC 2 없음)을 받았습니다. "축이 0이면 프로덕션에 투입"하는 스코어카드 규칙이 제거되었습니다. 22% 더 비싸지만 충분한 평가를 받은 공급자가 선택되었으며 감사를 위해 결정이 문서화되었습니다.
팁: 두 가지 다른 보증을 혼동하지 마십시오. "데이터가 저장되지 않음(ZDR)"과 "데이터가 훈련에 사용되지 않습니다"는 별도의 조항입니다. 제공자는 하나만 제공하고 다른 하나는 제공하지 않을 수 있습니다. 계약서에 두 가지를 모두 명시적으로 요구하세요.
일반적인 실수
- 보안 보증으로 공급자의 규모/브랜드를 고려합니다.
- 문서로 주장을 확인하지 않고 입소문에만 의존합니다.
- DPA에 서명하지 않고 생산에 들어갑니다.
- 하위 프로세서 체인을 무시합니다(데이터 상주가 거기에 뚫려 있음).
- ZDR과 "교육에 사용되지 않음" 보장은 동일하다고 생각합니다.
- 공급업체를 한 번 승인하고 매년 재평가하지 않습니다.
요약하면
- 귀하는 데이터 관리자입니다. 공급업체 선택은 구매 결정이 아니라 보안 결정입니다.
- 인증, 보존/ZDR, 교육용, 데이터 상주, 하위 프로세서, 보안 기능, 계약/종료 등 7개 축을 평가합니다.
- 문서 및 계약 조항을 통해 각 보증을 확인합니다. 브랜드와 입소문만으로는 충분하지 않습니다.
- 또한 하위 프로세서 체인을 고려하십시오. 데이터 거주지는 종종 거기에 뚫려 있습니다.
- DPA가 서명되기 전에 생산을 시작하지 말고 매년 공급업체를 재평가하십시오.
응용과제
귀하가 사용(또는 평가)하는 AI 벤더에 대해 위의 보안 설문조사를 작성하고 “증거가 있습니까?”라고 질문하십시오. 각 답변에 대해. 열을 선택하십시오. 그런 다음 데이터 흐름을 매핑하고 기업 경계를 넘는 각 단계를 표시합니다. 마지막으로 7개 축에 점수를 매겨 리스크 스코어카드를 제작하고 “생산에 적합한가?”라고 질문한다. 결정 이유를 적어보세요.
체크리스트
- [ ] 공급자의 규정 준수 인증(SOC 2/ISO 27001)을 문서화했습니다.
- [ ] 계약서에는 데이터 저장, ZDR 및 "교육에 사용하지 않음" 조항이 명시되어 있습니다.
- [ ] 내 데이터 거주 요구 사항(KVKK/GDPR)을 충족합니다.
- [ ] 하위 프로세서 체인을 매핑하고 평가했습니다.
- [ ] 서명된 DPA 없이 생산에 들어가지 않았습니다.
- [ ] 나는 공급업체에 대한 연간 재평가 일정을 설정했습니다.