바이브코딩으로 만든 CRM, 보안은 안전한가요?
AI 도구를 활용한 바이브코딩(Vibe Coding)이 빠르게 확산되면서, 개발 경험이 없는 스타트업 창업자나 소상공인도 CRM 시스템을 직접 만들어 운영하는 사례가 늘고 있습니다. 문제는 기능 구현에는 성공했지만, 개인정보보호법(PIPA) 준수 여부를 전혀 검토하지 않은 경우가 대부분이라는 점입니다.
고객 이름, 연락처, 구매 이력을 저장하는 순간 해당 서비스는 개인정보처리자가 됩니다. 과태료 최대 5,000만 원, 형사처벌까지 이어질 수 있습니다. 아래 7가지 체크리스트로 지금 당장 점검해 보세요.
PIPA 체크리스트 7개
PIPA-01. 개인정보 수집·이용 동의를 받고 있는가?
고객 정보를 입력받는 폼에 수집 목적, 항목, 보유 기간, 동의 여부가 명시되어야 합니다. 단순히 "동의합니다" 체크박스만 넣는 것은 부족합니다. 동의 없이 수집하면 5년 이하 징역 또는 5,000만 원 이하 벌금 대상입니다.
- 체크: 회원가입/고객 등록 폼에 동의 항목이 있는가?
- 체크: 동의 없이 필수 항목으로 강제하지 않는가?
PIPA-02. 개인정보처리방침이 공개되어 있는가?
개인정보를 처리하는 모든 서비스는 개인정보처리방침을 웹사이트에 공개해야 합니다. AI가 만든 코드에는 이 페이지가 포함되지 않는 경우가 많습니다.
- 체크: /privacy 또는 /privacy-policy 페이지가 존재하는가?
- 체크: 처리방침에 개인정보 보호책임자 연락처가 포함되었는가?
PIPA-03. 비밀번호가 암호화되어 저장되는가?
바이브코딩으로 생성된 코드에서 가장 흔한 취약점입니다. 평문(plaintext) 비밀번호 저장은 법적 의무 위반이며, 해킹 시 고객 피해와 손해배상 책임이 따릅니다.
- 체크: 비밀번호가 bcrypt, SHA-256 이상의 알고리즘으로 해시 저장되는가?
- 체크: 데이터베이스에서 직접 비밀번호를 조회할 수 없는가?
PIPA-04. 개인정보 접근 권한이 최소화되어 있는가?
CRM에 접근하는 직원이 여럿이라면, 각자 필요한 정보만 볼 수 있도록 역할 기반 접근 제어(RBAC)가 필요합니다. 영업팀이 인사 데이터를, 인사팀이 결제 데이터를 볼 필요는 없습니다.
- 체크: 관리자/일반 사용자 권한이 분리되어 있는가?
- 체크: 개인정보 접근 로그가 기록되는가?
PIPA-05. 개인정보 보유 기간이 설정되어 있는가?
목적이 달성된 개인정보는 즉시 파기해야 합니다. CRM에서 탈퇴한 고객의 정보를 무기한 보관하는 것은 위법입니다.
- 체크: 탈퇴/계약 종료 시 개인정보가 자동 삭제되거나 마스킹되는가?
- 체크: 보유 기간이 처리방침에 명시되어 있는가?
PIPA-06. SQL Injection 등 기술적 보호조치가 적용되었는가?
AI 생성 코드의 45%에서 보안 결함이 발견된다는 Veracode 연구 결과가 있습니다. CRM은 고객 정보를 대량으로 보유하므로 SQL Injection, XSS 공격에 특히 취약합니다.
- 체크: ORM 또는 파라미터화 쿼리를 사용하는가?
- 체크: 사용자 입력이 HTML에 직접 출력되지 않는가?
PIPA-07. HTTPS가 적용되어 있는가?
개인정보를 전송하는 구간은 반드시 암호화해야 합니다. HTTP로 운영 중인 CRM은 네트워크 구간에서 데이터가 탈취될 수 있으며, 이는 기술적 보호조치 미적용으로 과태료 대상입니다.
- 체크: SSL/TLS 인증서가 설치되어 있는가?
- 체크: HTTP 접속 시 HTTPS로 자동 리다이렉트되는가?
체크리스트 통과 후에도 놓치는 것들
위 7가지를 모두 통과했더라도, 실제 서비스에서는 설정 오류나 코드 배포 이후 생긴 취약점으로 인해 문제가 발생하는 경우가 많습니다. 특히 바이브코딩으로 만든 코드는 AI가 보안 설정을 기본값으로 처리하거나 아예 누락시키는 경우가 잦습니다.
직접 코드를 리뷰하기 어렵다면, 외부 스캐너를 통해 실제 서비스 환경에서 취약점을 탐지하는 것이 가장 빠른 방법입니다.
지금 바로 무료 CRM 보안 진단을 받아보세요: codescan.kr/security/crm-scan/