AI 앱을 연결하기 전: 5가지 권한 감사

메일, 파일, 일정, 고객 시스템을 AI 도구에 연결하면 작은 실험이 넓은 접근 결정이 됩니다. 신뢰해 보이는지가 아니라 각 권한이 명확한 작업과 승인된 계정, 정해진 기간에 꼭 필요한지, 완전히 해제할 수 있는지를 확인하세요.

1. 권한 화면보다 먼저 작업을 한 문장으로 정한다

작업과 필요한 최소 데이터를 한 문장으로 씁니다. ‘선택한 문서 3개 요약’은 시험할 수 있지만 ‘업무공간 지원’은 모호합니다. 작업이 흐리면 권한이 과도한지도 판단할 수 없습니다.

NIST의 최소 권한 원칙을 연결에 적용해 담당자, 승인 계정, 좁은 데이터 범위, 검토일을 정합니다.

보기, 다운로드, 생성, 전송, 삭제, 관리로 바꿔 적습니다. 읽기·쓰기·관리는 서로 다릅니다. 사용자 대신 행동하는 커넥터는 선택 폴더만 읽는 연결보다 영향이 큽니다.

버튼 이름으로 범위를 추측하지 말고 상세 승인 화면과 공식 문서를 엽니다. 공유 저장소나 관리자 역할에서 상속된 접근도 기록합니다.

시험 공간, 전용 폴더, 제한된 서비스 계정, 작은 샘플을 우선합니다. 명확한 작업이 광범위한 접근 없이는 불가능하면 연결을 보류합니다. CISA도 최소 권한을 강조합니다.

첫 실행은 합성 또는 비민감 자료로 합니다. 데모 성공은 작동 증거일 뿐 기밀·개인·규제 데이터에 적합하다는 증명은 아닙니다.

앱 이름, 게시자, 범위, 계정, 요금제, 승인자, 출처 링크, 날짜를 저장합니다. 공급사 주장과 실제 계정에서 확인한 통제, 계약 보증을 분리합니다.

무해한 동작 하나를 시험하고 감사 기록과 연결 표시 위치를 확인합니다. Google은 제3자 접근을 검토·삭제하는 연결 페이지를 제공하며 다른 플랫폼은 메뉴가 다릅니다.

AI 앱 안에서 연결을 끊어도 인증 제공자의 권한이 남을 수 있습니다. 계정이나 관리자 콘솔에서 철회한 뒤 읽기와 동작이 실패하는지 확인하고 필요하면 토큰을 교체합니다.

연결을 정기 검토하고 휴면 앱을 삭제합니다. 유지·축소·철회와 이유를 기록하세요. 이 감사는 제품 인증이나 보안·법률·개인정보·조달 검토를 대신하지 않습니다.

1차 표준과 공식 계정 안내를 2026년 9월 19일 검토했습니다.

법률·보안·개인정보·조달 조언이 아닌 편집용 업무 지침입니다.

← 랩으로 돌아가기 감사 시작 →