회사에서 Claude Code 도입하려는데 보안팀이 걸어달래요

Question

팀에서 Claude Code 사용 허가를 받기 위해 보안팀과 협의 중입니다. "외부에 코드가 무제한으로 흘러나갈 수 있다"는 우려가 있는데요, 어떤 설정이나 가드레일을 걸면 보안팀을 설득할 수 있을까요? 사내 정책상 OpenAI 계열은 이미 다 막혀있는 상태입니다.

김영삼 · Accepted Answer

실제로 사내 보안팀이 가장 걱정하는 게 (1) 코드 유출, (2) 의도치 않은 명령 실행, (3) 감사 추적 부재 — 이 세 가지입니다. Anthropic이 엔터프라이즈 도입을 위해 만들어둔 가드가 충분히 강합니다.1. 학습 데이터 사용 — 명시적 차단Claude for Work / Enterprise 구독: API 입력은 학습에 사용되지 않음 (DPA로 계약상 보장)Bedrock·Vertex 경유 사용 시: AWS·GCP 데이터 처리 정책이 추가로 적용2. 권한 모델 — settings.json으로 화이트리스트// .claude/settings.json (프로젝트 루트, Git 커밋) { "permissions": { "allow": [ "Read(src/**)", "Read(tests/**)", "Write(src/**)", "Bash(npm test*)", "Bash(git status*)", "Bash(git diff*)" ], "deny": [ "Read(.env*)", "

문성민 · Answer

혹시 위 설정을 모두 적용한 상태로 동작 가능한 데모 레포가 있을까요? 보안팀에 직접 보여주려고요.

김영삼 · Answer

공식 예시는 Anthropic의 Claude Code Settings 문서와 github.com/anthropics/claude-code-action 레포가 가장 잘 정리돼 있습니다. 데모용으로는 다음 구조를 추천드립니다:my-claude-demo/ ├── .claude/ │ ├── settings.json # 권한 화이트리스트 │ └── hooks/ │ └── audit.sh # 감사 로그 ├── CLAUDE.md # 프로젝트 컨텍스트 ├── src/ ├── .env.example # .env 자체는 deny에 └── README.md # 보안팀에 보일 설명서실제로 보안팀에 가져가실 때는 아래 4점만 명확히 보여주시면 거의 통과됩니다:학습 데이터 미사용 — Anthropic Enterprise DPA 발췌권한 화이트리스트 — settings.json 직접 시연감사 로그 — 사용 흔적 남는다는 증거네트워크 경로 — Bedrock(서울)이면 한국 밖으로 안 나감OpenAI를 막아두신

송민지 · Answer

관리자님 답변이 항상 빠르고 정확해서 자주 옵니다.

댓글 0