정부지원 R&D 과제에서 보안 문제는 사고가 난 뒤에만 등장하지 않습니다. 실제로는 과제 착수 직후 누가 어떤 폴더에 들어가도 되는지, 시제품 사진을 어느 채널로 보내도 되는지, 외부 분석기관이 원자료를 내려받아도 되는지, 클라우드 저장소가 과제 종료 후에도 남아 있어도 되는지 같은 작은 결정에서 시작됩니다. 이 글은 제안서 문구, 연구비 증빙, 데이터관리계획, 최종보고서, 인증·규제 판단을 다시 설명하지 않습니다. 이미 선정되었거나 수행 중인 과제팀이 민감기술과 민감데이터를 다룰 때, 보안·컴플라이언스를 운영표로 잠그는 방법만 다룹니다.

핵심은 “보안과제인지 아닌지” 하나로 끝내지 않는 것입니다. 국가연구개발사업 보안대책은 보안과제 분류와 연구기관 보안대책, 참여연구자 관리 같은 틀을 둡니다[S2]. 연구보안 현장 매뉴얼은 국가 R&D를 추진하는 연구기관이 연구자산 유출 방지를 위한 보안대책을 강구해야 한다는 흐름을 안내합니다[S1]. 여기에 국가핵심기술, 개인정보, 클라우드 저장소, 무형 기술이전, 파트너 비밀유지까지 붙으면 과제팀의 질문은 더 구체적이어야 합니다. “이 자료는 공개해도 되나”보다 “이 자료는 어떤 등급이며, 누가, 어느 기간, 어느 저장소에서, 어떤 로그를 남기고, 어떤 검토 후 공유하나”가 먼저입니다.

빠른 결론

R&D 보안·컴플라이언스 체크리스트는 법무팀에 넘기는 문서가 아니라 과제 폴더의 운영 규칙입니다. 민감기술·민감데이터를 먼저 분류하고, 참여자 접근권한을 역할·기간·퇴장 조건으로 나눈 뒤, 클라우드 저장소와 반출 경로를 제한합니다. 자료 공유 전에는 수출통제·연구보안 검토를 남기고, 파트너와는 비밀정보 범위·제3자 공유·보관 방식을 문서화합니다. 마지막으로 접근권한 변경, 반출 승인, 보안교육, 저장소 로그, 사고 없음 확인까지 증거로 남겨야 합니다.

R&D 보안·컴플라이언스 체크리스트는 데이터 분류표에서 시작합니다

과제팀이 가장 먼저 만들 것은 길고 어려운 보안 규정이 아니라 한 장짜리 분류표입니다. 이 표에는 공개 가능, 과제 내부, 파트너 제한공유, 민감기술, 개인정보·가명정보, 수출·보안 검토 필요 같은 실무 등급을 둡니다. 등급 이름은 기관 규정에 맞추되, 각 등급마다 허용 저장소, 허용 공유 채널, 승인자, 로그 보관 위치, 종료 후 처리 기준을 붙여야 합니다. 등급만 있고 행동 기준이 없으면 과제원이 실제로 무엇을 멈춰야 하는지 알 수 없습니다.

국가핵심기술은 국내외 시장 가치나 성장잠재력이 높고 해외 유출 시 국가안전보장과 국민경제에 중대한 악영향을 줄 우려가 있어 지정된 산업기술로 설명됩니다[S3]. 한국산업기술보호협회는 산업통상자원부 고시 기준으로 2024년 7월 5일 현재 13개 분야 76개 국가핵심기술이 지정되어 있다고 안내합니다[S3]. 따라서 반도체, 이차전지, 바이오, 정보통신, 로봇, 수소 등 민감 분야 과제라면 “우리는 스타트업이라 해당이 없다”가 아니라 “해당 여부가 불확실한 자료를 어떤 보류 등급으로 둘 것인가”부터 정해야 합니다.

개인정보가 섞인 연구데이터도 같은 표에 올립니다. 개인정보의 안전성 확보조치 기준은 2025년 10월 31일 시행 기준으로 접근 권한, 접속기록, 암호화 같은 안전조치의 이행을 관리하도록 하는 고시입니다[S5]. 과제팀 입장에서는 주민등록번호 같은 전형적 개인정보만 찾으면 부족합니다. 인터뷰 원문, 참여자 연락처, 임상·사용성 테스트 영상, 장비 로그에 들어간 사용자 식별자, 외부 패널의 응답 데이터처럼 재식별이나 영업비밀 노출이 가능한 자료를 함께 표시해야 합니다.

분류 질문통과 기준보류 신호
기술 민감도국가핵심기술·첨단전략기술·보안과제 가능성을 검토했고 판단 근거가 남아 있다해당 여부가 불확실한데 외부 공유 폴더에 올린다
데이터 민감도개인정보·가명정보·영업비밀·미공개 성능값이 표시되어 있다원자료와 요약본이 같은 권한으로 저장된다
공유 가능성공개 가능 자료와 제한공유 자료가 파일명·폴더·권한으로 분리되어 있다“파트너용” 폴더에 내부 원자료가 섞여 있다
검토 필요성수출통제, 연구보안, 개인정보, 계약 검토 중 필요한 게 표시되어 있다이메일 발송 후에야 검토 여부를 묻는다

이 표는 R&D 데이터 관리계획과 연구기록 체크리스트의 DMP를 대체하지 않습니다. DMP가 데이터의 생산·보존·재현성을 다룬다면, 여기서는 같은 데이터가 민감기술·보안·수출·접근권한 측면에서 어떤 취급 등급을 가져야 하는지 결정합니다.

참여자 접근권한은 이름이 아니라 역할·기간·퇴장 조건으로 잠급니다

보안 사고는 악의적인 외부 침입보다 내부 권한 정리가 늦어서 생기는 경우가 많습니다. 참여연구자, 학생연구원, 외부 자문위원, 파트너 연구원, 시험기관 담당자, 클라우드 관리자, 개발 외주사가 모두 같은 링크를 받으면 과제 폴더는 곧 공용창고가 됩니다. 접근권한 표에는 사람 이름만 적지 말고 역할, 접근 가능한 자료 등급, 시작일, 종료일, 승인자, 변경 사유, 회수 확인자를 적습니다.

국가연구개발사업 보안대책은 보안과제의 참여연구자 관리와 외국인 참여 승인, 보안심의 같은 절차를 두고 있습니다[S2]. 연구보안 현장 매뉴얼도 해외출장·해외접촉, 연구자산 유출 방지, 참여연구자 관리 같은 상황을 현장 단위로 다룹니다[S1]. 이를 과제 운영으로 바꾸면 “참여자 명단 제출”보다 “자료 등급별 최소 권한 부여”가 더 중요해집니다. 연구책임자는 전체 폴더를 볼 수 있지만, 외부 시험기관은 시험에 필요한 샘플 번호와 조건만 볼 수 있어야 합니다. 분석 외주사는 원본 개인정보가 아니라 가공된 입력값과 분석 스크립트만 보는 방식도 가능합니다.

권한 회수 조건은 착수 때부터 적어야 합니다. 중도 퇴사, 역할 변경, 계약 종료, 공동연구 범위 축소, 보안등급 변경, 사고 의심, 장기 미접속이 발생하면 누가 언제 권한을 끊는지 미리 정합니다. 개인정보 안전성 기준이 접근권한과 접속기록 관리를 중요하게 보는 이유도 여기에 있습니다[S5]. 과제 종료 후에도 협업툴 초대가 살아 있거나, 전임 담당자 계정이 클라우드 관리자 권한으로 남아 있으면 최종보고가 끝나도 위험은 끝나지 않습니다.

접근권한 표에서 바로 보류해야 할 신호

  • 개인 계정이 아니라 공용 계정으로 연구데이터 저장소에 접속한다.
  • 과제 참여 종료일은 있는데 폴더 권한 회수일이 없다.
  • 외부 파트너가 원자료, 분석본, 보고서 초안을 모두 같은 권한으로 본다.
  • 클라우드 관리자와 연구책임자의 승인 권한이 분리되어 있지 않다.
  • 권한 변경 로그가 협업툴 알림에만 남고 과제 증거 폴더에는 남지 않는다.

클라우드와 저장소 통제는 편의 기능보다 로그와 반출 경로가 먼저입니다

과제팀은 보통 드라이브, 협업툴, 코드 저장소, 실험장비 PC, 외장하드, 분석 서버를 함께 씁니다. 이때 “어느 클라우드가 편한가”보다 “어느 저장소가 민감자료의 접근통제와 로그를 남길 수 있는가”가 우선입니다. KISA의 클라우드 보안인증제도는 클라우드컴퓨팅서비스가 정보보호 기준을 준수하는지를 평가·인증하는 제도이며, 클라우드컴퓨팅법 제23조의2를 시행근거로 둔다고 설명합니다[S6]. 국가핵심기술이나 공공성 높은 과제라면 일반 상용 저장소 사용 전에 기관 규정과 과제 협약, 보안등급에 맞는지 확인해야 합니다.

NIST SP 800-171 Rev.3은 미국 맥락의 통제되지 않은 비기밀정보(CUI)를 비연방 시스템에서 보호하기 위한 보안 요구사항을 제시합니다[S7]. 한국 국가 R&D 과제에 그대로 적용되는 법은 아니지만, 접근통제, 교육, 감사와 책임추적, 식별·인증, 사고대응, 매체보호, 인력보안, 시스템·통신보호, 공급망 위험관리 같은 통제군은 민감기술 과제의 저장소 점검표를 만들 때 유용한 비교 기준이 됩니다[S7]. 즉 “비밀번호가 있다”는 말보다 MFA, 권한 최소화, 다운로드 제한, 외부공유 만료일, 접속기록, 삭제·복구 정책, 키 관리, 관리자 계정 분리가 증거로 남아야 합니다.

클라우드 통제표에는 최소한 다섯 가지를 둡니다. 첫째, 저장소별 허용 등급입니다. 공개자료, 내부자료, 제한공유, 민감기술, 개인정보가 같은 공간에 있으면 안 됩니다. 둘째, 외부 공유 정책입니다. 링크 공유 금지, 도메인 제한, 만료일, 다운로드 금지, 워터마크, 승인자 기록을 정합니다. 셋째, 관리자 권한입니다. 연구책임자가 모든 기술설정을 직접 관리하기 어렵다면 보안담당자와 관리자 권한을 분리합니다. 넷째, 반출 경로입니다. 이메일, USB, 메신저, 코드 저장소, API, 화상회의 화면공유까지 기록 범위에 넣습니다. 다섯째, 로그 보관입니다. 누가 언제 어떤 파일을 열고 내려받고 삭제했는지 확인할 수 있어야 합니다.

저장소·채널허용할 수 있는 자료꼭 남길 증거
과제 내부 드라이브내부 회의자료, 제한공유 전 초안권한표, 공유 만료일, 다운로드 로그
분석 서버가공 데이터, 분석 코드, 모델 산출물계정 목록, 실행 로그, 코드 버전, 반출 승인
코드 저장소소스코드, 테스트 스크립트, 이슈 기록브랜치 권한, 커밋 로그, 외부 collaborator 목록
이메일·메신저승인된 요약본, 비민감 일정 조율발송 승인, 첨부파일명, 수신자 검토
외장매체예외적 반출 자료반출 사유, 암호화, 회수일, 파기 확인

이 부분은 R&D 연구비 집행 증빙 체크리스트의 영수증·승인 로그와 다릅니다. 연구비 증빙이 지출의 타당성을 묻는다면, 저장소 통제는 민감자료가 어디로 이동했고 누가 접근했는지를 묻습니다.

수출·연구보안 검토는 자료를 보내기 전에 남기는 중단 게이트입니다

수출통제 검토는 해외 송장이나 기술이전 계약서가 있을 때만 필요한 것이 아닙니다. YESTRADE는 전략물자 기술의 무형이전(ITT)을 이메일 등 전자적 매체를 통한 기술자료 전송과 구두 전달, 교육, 실연 같은 기술지원 행위로 설명합니다[S8]. 따라서 외부 파트너가 국내에 있더라도 외국인 연구자에게 민감 알고리즘을 설명하거나, 클라우드 링크로 설계도와 성능 조건을 넘기거나, 온라인 회의에서 실험 재현 절차를 시연한다면 “자료 공유”가 아니라 “기술 이전 가능성”을 먼저 검토해야 합니다.

국제공동연구 연구보안 길잡이는 NDA 주요 조항 예시와 보안과제 분류 가능성 사전 검토, 연구제안서·연구개요서의 연구보안 계획 항목 등을 제시합니다[S9]. 이 글은 해외 공동연구 자체를 다루지는 않지만, 그 자료의 교훈은 일반 과제팀에도 적용됩니다. 보안·수출 검토는 공유 후 면책 문구를 붙이는 절차가 아니라, 공유 전 자료 등급과 상대방, 목적, 채널, 회수 가능성을 판단하는 중단 게이트입니다.

검토 메모에는 네 줄이면 충분합니다. 보낼 자료, 받는 사람, 전달 방식, 검토 결과입니다. 예를 들어 “시제품 성능표 v0.8, 국내 시험기관 담당자 2명, 과제 드라이브 제한공유, 개인정보 없음·국가핵심기술 해당 불확실로 원자료 제외”처럼 적습니다. “알고리즘 파라미터 전체, 해외 파트너 연구원, 이메일 첨부, 전략기술·국가핵심기술 해당 가능성 검토 전이라 보류”처럼 보류도 명확히 남깁니다. 보류 기록은 실패가 아니라 나중에 자료 공유를 합법적이고 안전하게 재개하기 위한 증거입니다.

파트너 비밀유지는 NDA 문구보다 공유 범위와 제3자 제한을 확인합니다

NDA를 체결했다고 해서 모든 자료가 안전해지는 것은 아닙니다. NDA는 출발점이고, 실제 운영에서는 비밀정보의 정의, 보관 방식, 열람 제한, 제3자 공유 제한, 위반 시 통지, 유효기간, 종료 후 반환·파기 조건이 과제 자료 흐름과 맞아야 합니다. 국제공동연구 연구보안 길잡이는 NDA 주요 조항 예시로 비밀정보의 정의와 범위, 보관 방식 및 열람 제한, 유효기간, 제3자 공유 제한과 통지 절차 등을 제시합니다[S9]. WIPO도 협력 혁신에서 영업비밀과 배경 IP, 공동 개발 성과의 경계가 중요하다는 맥락을 다룹니다[S10].

과제팀은 파트너를 한 덩어리로 보지 말아야 합니다. 주관기관, 공동기관, 위탁기관, 시험기관, 자문위원, 클라우드 운영사, 외부 개발사, 해외 분석기관은 모두 다른 권한을 가져야 합니다. 특히 파트너 내부의 제3자 공유가 중요합니다. 파트너 회사의 임직원 전체가 볼 수 있는지, 특정 프로젝트팀만 볼 수 있는지, 재위탁사가 볼 수 있는지, 클라우드 운영자가 접근할 수 있는지, 회의 녹화 파일을 내부 교육자료로 쓸 수 있는지까지 나눠야 합니다.

파트너 비밀유지 표에는 “공유 금지 자료”도 넣습니다. 민감 설계 원본, 개인정보 원자료, 공개 전 특허 아이디어, 시험 실패 로그, 보안취약점, 수출통제 검토 전 기술자료, 파트너가 다시 배포하면 회수가 불가능한 데이터셋은 기본적으로 보류 등급으로 둡니다. 필요한 경우 가공본, 요약본, 화면공유, 샘플 수 제한, 기간 제한, 워터마크, 열람 전용 저장소 같은 대체 경로를 선택합니다. 비밀유지는 협업을 늦추는 장치가 아니라 공유 가능한 범위를 빠르게 보이게 하는 장치입니다.

파트너 유형허용 전 확인할 질문증거로 남길 항목
공동연구기관배경기술과 공동성과의 경계가 분리되어 있는가NDA, 역할표, 공유자료 목록, 권한 만료일
시험·분석기관원자료 전체가 필요한가, 가공본으로 충분한가시험의뢰서, 샘플번호, 반출 승인, 결과 회수
외부 개발사코드·데이터·모델 중 무엇을 볼 수 있는가저장소 권한, 커밋 로그, 개발환경 분리
클라우드·SaaS민감자료 저장이 기관 규정과 맞는가서비스 보안자료, 관리자 목록, 접속기록
자문위원구두 설명만으로 충분한가, 파일 제공이 필요한가회의 안건, 제공자료, 녹화·녹음 여부

과제 수행 중 증거 기록은 보안사고가 없었다는 설명까지 남겨야 합니다

보안 증거는 사고가 났을 때만 만드는 것이 아닙니다. 오히려 사고가 없었다는 사실을 설명하려면 평소 기록이 필요합니다. 접근권한 부여와 회수, 보안교육, 저장소 권한 점검, 외부 공유 승인, 반출·반입, 파트너 NDA, 수출통제 검토, 개인정보 처리, 클라우드 설정, 보안사고 의심 검토, 취약점 조치 결과를 같은 위치에 모읍니다. 기록이 분산되어 있으면 실제 보안 수준보다 대응력이 낮아 보입니다.

좋은 증거 기록은 파일을 많이 모으는 방식이 아닙니다. 각 기록이 어떤 의사결정을 설명하는지 붙어 있어야 합니다. 예를 들어 권한표는 “누가 볼 수 있었나”를 설명하고, 접속로그는 “실제로 접근했나”를 설명하며, 반출승인서는 “왜 밖으로 나갔나”를 설명합니다. 보안교육 기록은 “참여자가 취급 기준을 알고 있었나”를 설명하고, 검토 메모는 “공유 전 멈춰서 봤나”를 설명합니다. 이 구조가 있으면 중간점검, 내부감사, 파트너 분쟁, 보안사고 의심 상황에서도 과제팀이 기억에 의존하지 않아도 됩니다.

과제 보안 증거 폴더 최소 구성

  • 00_classification: 민감기술·민감데이터 분류표, 보안과제 가능성 검토, 국가핵심기술 해당 여부 메모
  • 01_access: 참여자 권한표, 계정 생성·변경·회수 기록, 관리자 권한 승인
  • 02_storage: 클라우드·서버·코드 저장소 설정, 외부공유 정책, 로그 보관 위치
  • 03_transfer_review: 자료 반출 승인, 수출통제·연구보안 검토, 이메일·회의 공유 기록
  • 04_partner_confidentiality: NDA, 제3자 공유 제한, 파트너별 제공자료 목록
  • 05_incident_and_check: 보안교육, 월간 점검표, 사고 의심 검토, 조치 완료 기록

이 증거 폴더는 R&D 최종보고서 증거 패키지 체크리스트의 성과 증거와 구분됩니다. 최종보고서 증거가 성과와 수치를 설명한다면, 보안 증거는 그 성과를 만드는 동안 민감자료를 어떻게 제한하고 확인했는지를 설명합니다.

30분 R&D 보안·컴플라이언스 최종 점검표

과제 착수 직후 또는 민감자료 공유 전에는 30분만 따로 잡아도 위험을 크게 줄일 수 있습니다. 처음 5분은 분류표를 봅니다. 국가핵심기술, 산업기술, 개인정보, 영업비밀, 수출통제 검토 필요 자료가 표시되어 있는지 확인합니다. 다음 5분은 접근권한을 봅니다. 현재 참여자와 실제 폴더 권한이 맞는지, 종료자와 외부 자문위원 권한이 남아 있지 않은지 확인합니다.

다음 7분은 저장소와 반출 경로를 봅니다. 민감자료가 개인 드라이브, 개인 메신저, 이메일 첨부, 공용 외장하드에 흩어져 있지 않은지 확인합니다. 클라우드 저장소는 관리자 계정, 외부 공유, 다운로드 제한, 접속로그가 확인 가능한지 봅니다. 그 다음 5분은 수출·보안 검토를 봅니다. 이메일, 화상회의, 교육, 실연, 코드 저장소 초대처럼 기술 무형이전이 될 수 있는 경로가 있는지 확인하고, 보류가 필요한 자료를 표시합니다[S8].

마지막 8분은 파트너와 증거 기록을 봅니다. 파트너별 NDA와 제공자료 목록이 맞는지, 제3자 공유 제한이 있는지, 권한 만료일이 들어 있는지 확인합니다. 증거 폴더에는 분류표, 권한표, 저장소 설정, 검토 메모, 보안교육, 점검표가 들어 있어야 합니다. 하나라도 비어 있으면 과제가 멈춘 것이 아니라 아직 공유할 준비가 덜 된 것입니다.

점검 순서질문바로 할 조치
1. 분류민감기술·민감데이터·검토 필요 자료가 표시되어 있는가불확실 자료는 제한공유 또는 보류 등급으로 이동
2. 권한역할·기간·퇴장 조건이 권한표에 있는가외부자·종료자·공용계정 권한 회수
3. 저장소클라우드·서버·코드 저장소 로그가 남는가링크 공유 중지, 만료일과 관리자 승인 추가
4. 공유 전 검토수출통제·연구보안·개인정보 검토가 필요한가발송 전 검토 메모 작성, 불확실하면 보류
5. 파트너NDA와 실제 제공자료 범위가 일치하는가제3자 공유 제한과 반환·파기 조건 확인
6. 증거사고가 없었다는 설명까지 가능한가월간 점검표와 권한 변경 로그를 증거 폴더에 저장

R&D 보안·컴플라이언스에서 자주 놓치는 질문

보안과제가 아니면 이 체크리스트가 필요 없을까요? 그렇지 않습니다. 보안과제 여부는 중요한 출발점이지만, 과제 수행 중에는 개인정보, 영업비밀, 국가핵심기술 해당 가능성, 파트너 비밀유지, 클라우드 저장소, 수출통제 검토가 별도로 등장할 수 있습니다. 일반과제라도 민감자료를 다루면 등급·권한·로그·반출 기준을 가져야 합니다.

파트너가 이미 신뢰할 수 있는 기관이면 권한을 넓게 줘도 될까요? 신뢰와 권한은 다릅니다. 신뢰할 수 있는 파트너라도 이번 과제에서 볼 필요가 없는 원자료까지 볼 이유는 없습니다. 파트너 평판은 R&D 컨소시엄 파트너 선정 체크리스트에서 따로 판단하고, 이 글에서는 실제 자료 접근 범위와 증거 기록만 판단합니다.

수출통제 검토는 해외 공동연구 때만 필요한가요? 아닙니다. 기술 무형이전은 이메일, 전자매체, 구두 전달, 교육, 실연 같은 경로로도 발생할 수 있다는 점을 YESTRADE가 설명합니다[S8]. 해외 협력 전체 구조는 해외 공동 R&D 협력 체크리스트에서 분리해 보되, 여기서는 자료를 보내기 전 검토 게이트만 챙기면 됩니다.

클라우드에 올리지 않고 내부 PC에만 저장하면 안전할까요? 저장 위치가 내부라는 이유만으로 안전해지지 않습니다. 내부 PC라도 공용 계정, 백업 누락, 외장하드 복사, 퇴사자 접근, 로그 부재가 있으면 설명력이 낮습니다. 반대로 승인된 클라우드라도 외부 링크가 무기한 열려 있거나 관리자 계정이 공유되면 위험합니다. 저장소 선택보다 권한·로그·반출·암호화·삭제 기준이 먼저입니다.

마지막 기준은 단순합니다. 과제팀이 오늘 만든 민감자료를 6개월 뒤 다시 보았을 때, 그 자료의 등급, 접근자, 저장소, 공유 여부, 검토 결과, 파트너 제한, 권한 회수 기록을 설명할 수 있어야 합니다. 설명할 수 없다면 보안이 없는 것이 아니라 보안 증거가 없는 상태입니다. 오늘 할 일은 모든 자료를 잠그는 것이 아니라, 잠글 자료와 공유할 자료를 구분하고 그 판단을 남기는 것입니다.

R&D 보안·컴플라이언스 체크리스트 작성에 참고한 공식·1차 출처