# 보안 수준은 의사결정 구조에서 갈린다

> 5단계 risk loop, 점수·appetite·RACI와 P0~P3 데이터 분류

- Canonical: https://learning.reopt.ai/courses/ai-security-compliance/lessons/as-m1-concept
- Language: ko-KR
- HTML: https://learning.reopt.ai/courses/ai-security-compliance/lessons/as-m1-concept

---

[AI 보안·컴플라이언스](/courses/ai-security-compliance) 1. 리스크·데이터 거버넌스 1 / 9

# 보안 수준은 의사결정 구조에서 갈린다

5단계 risk loop, 점수·appetite·RACI와 P0~P3 데이터 분류
개념 학습 45 XP 9분

보안은 위험을 모두 없애는 일이 아니라 누가 어떤 위험을 어떤 근거로 수용했는지 재현 가능하게 만드는 일입니다. 식별→분석→통제→승인→추적의 5단계와 데이터 수집→저장→추론→보관→파기 수명주기를 연결합니다.
데이터 경계가 모델보다 먼저 P0(규제·민감)부터 P3(공개)까지 분류하고 등급별 저장·전송·접근·보관·파기 통제를 강제합니다. 필수 필드÷수집 필드가 0.6 미만이면 과수집을 우선 정리합니다.

| 등급 | 예시 | 최소 통제 |
| P0 | 민감·규제·인증정보 | 2인 승인·강한 암호화·최소 보관 |
| P1 | 개인·계약·고객 데이터 | 목적 제한·접근 로그·파기 SLA |
| P2 | 내부 업무 데이터 | 역할 기반 접근·retention |
| P3 | 공개 정보 | 출처·무결성·라이선스 확인 |

- 1 자산·흐름 식별 데이터와 tool side effect가 어디로 흐르는지 그립니다.

- 2 점수·appetite Likelihood×Impact×Exploitability와 허용 한계를 정합니다.

- 3 수명주기 통제 수집·저장·추론·보관·파기에 최소 통제를 배치합니다.

- 4 승인·추적 RACI, 잔여 위험, 재검토 날짜를 기록합니다.

실무에 남길 기준

- 리스크 수용에는 owner·근거·만료가 필요하다
- 데이터 최소화는 수집 단계뿐 아니라 추론·보관·파기까지 이어진다
- Critical risk는 임원 승인 전 배포하지 않는 식의 명시적 appetite가 필요하다

이해했어요 · 계속

---

에이전트용 사이트 안내: https://learning.reopt.ai/llms.txt · 사이트맵: https://learning.reopt.ai/sitemap.xml · 문의: https://learning.reopt.ai/contact