회사 기기 안에서 먼저 확인
AI 도구 사용 확인은 외부 웹 대시보드가 아니라 회사가 관리하는 기기에서 먼저 시작합니다.
보호 대상
소스코드, 로컬 파일, 터미널 맥락, 브라우저 세션, 기기 식별 정보가 회사 경계 안에 남습니다. 정책이 허용한 기록만 밖으로 나갑니다.
증거
기기 등록, 실행 상태, 수집 경로, 명령 요약, 승인 상태가 감사 이벤트로 남습니다.
기업 보안
회사 AI 사용은 관리하고, 기기 통제권은 회사 안에 둡니다.
Crossplay는 보안팀이 회사 AI 사용을 한곳에서 확인하게 해줍니다. 승인된 도구, 부서별 정책, 기기 승인, 민감정보 차단, 감사 증거를 함께 봅니다.
보안 점검
보안 담당자가 실제로 확인하는 항목을 기준으로 설계했습니다.
회사 AI 도구 allow-list
보안팀이 어떤 AI 도구를 허용할지, 어느 부서에서 쓸 수 있을지, 어떤 수집 경로를 검토할지 정합니다.
보호 대상
그림자 AI 사용, 관리되지 않는 실행 파일, 복사된 바이너리, 지원하지 않는 AI 도구를 신뢰 활동과 분리합니다.
증거
결정마다 도구, 수집 경로, 부서 정책, 검토자, 시각, 조치 결과가 저장됩니다.
부서별 정책 차등 적용
엔지니어링, 재무, 법무, 외부 협력사에 서로 다른 AI 도구 규칙을 적용할 수 있습니다.
보호 대상
민감 부서는 업로드, 미승인 AI 도구, 위험한 실행 경로를 막고, 저위험 부서는 승인 도구를 계속 쓸 수 있습니다.
증거
각 허용, 검토, 차단 결과가 어떤 부서 정책에서 나왔는지 policy snapshot으로 확인합니다.
사람이 승인하는 기기 게이트
Crossplay는 발견과 승인을 분리합니다. 발견된 User Agent 기기는 Company Console에 연결되기 전에 승인을 요청합니다.
보호 대상
모르는 기기, 외부로 복사된 초대문, 임의 설치 User Agent가 조용히 회사 구성원으로 신뢰되는 일을 막습니다.
증거
승인 기록에는 요청자, 기기 식별 요약, 검토자, 상태, 접근 제거 경로가 남습니다.
PII와 비밀정보 fail-closed
개인정보, 자격증명, 토큰, 비공개 프롬프트처럼 보이는 기록은 기본적으로 활동 보고와 감사 내보내기에서 차단합니다.
보호 대상
활동 기록과 감사 보고서에 고객 데이터나 비밀값이 섞여 퍼지지 않게 합니다.
증거
민감 원문을 공개하지 않고, 차단 사유와 검토 결과만 기록합니다.
보안 검토용 감사 export
누가 어떤 AI 도구를, 어떤 경로와 정책 아래에서 사용했고, 시스템이 어떤 결정을 했는지 재구성할 수 있습니다.
보호 대상
사고 대응, 벤더 리스크 검토, 내부 감사, 경영진 보고가 스크린샷이나 채팅 기억에 의존하지 않게 합니다.
증거
source, tool, department, action, reviewer, timestamp, policy version 기준으로 내보낼 수 있습니다.
운영 모델
편의성보다 보안 정책이 먼저 적용됩니다.
Crossplay는 AI 사용을 신뢰만으로 승인할 수 없는 회사를 위해 설계했습니다. 보안 담당자가 활동 발견, 정책 판단, 감사 증거까지 이어지는 흐름을 직접 확인할 수 있습니다.
- 1
도구 실행 표시, 프로세스 스캔, 미승인 도구에서 AI 활동을 발견합니다.
- 2
회사 정책, 부서 정책, 수집 경로 정책과 대조합니다.
- 3
위험 이벤트는 자동 신뢰하지 않고 검토 대기 상태로 둡니다.
- 4
감사와 사고 대응에 사용할 수 있는 증거를 기록합니다.
위험 통제 맵
보안팀이 AI 활동 관리 도입 전에 확인해야 하는 항목입니다.
위험
모르는 AI 도구가 노트북에서 발견됨
대응
수집 경로를 도구 실행 표시, 프로세스 스캔, 미승인 도구로 분류합니다. 미승인 항목은 신뢰 전에 검토로 보냅니다.
결과
모든 바이너리를 승인된 것으로 가정하지 않고도 활동을 빠르게 확인합니다.
위험
팀원이 초대문을 부서 밖으로 공유함
대응
초대 이후에도 기기 발견과 콘솔 승인을 요구합니다. 초대문 자체는 보안 경계가 아닙니다.
결과
복사된 초대문만으로 회사 접근을 우회할 수 없습니다.
위험
재무나 법무가 엔지니어링 전용 도구를 사용함
대응
평가 시점에 부서 정책을 적용합니다. 같은 도구도 한 부서에서는 허용하고 다른 부서에서는 막을 수 있습니다.
결과
정책이 도구 이름만이 아니라 업무 맥락을 따릅니다.
위험
프롬프트나 결과에 고객 데이터가 포함됨
대응
재사용 지식이나 보고서가 만들어지기 전에 PII와 비밀정보를 fail-closed로 처리합니다.
결과
재사용 지식은 유용성을 유지하면서 데이터 유출 경로가 되지 않습니다.
도입 판단
보안팀은 맹신이 아니라 조건부 승인으로 시작할 수 있습니다.
Crossplay는 모든 AI 업무를 public SaaS dashboard로 옮기라고 요구하지 않습니다. 로컬 실행, 정책 검토, 보안 담당자가 검증할 수 있는 증거에서 시작합니다.
신원과 기기
모든 User Agent 기기는 회사 맥락, 기기 발견, 승인 결정을 거쳐 연결됩니다.
최소 권한
도구 접근은 부서 범위와 차단 경로가 있는 정책 규칙으로 표현됩니다.
데이터 최소화
감사 추적에 민감 원문이 필요하지 않습니다. 결정 증거와 사유 범주를 기록합니다.
검토 가능성
보안팀은 블랙박스를 믿는 대신 정책 버전, 수집 경로, 결과, 검토자를 확인합니다.