회사 데이터를 AI에 넣어도 될까: 기업 AI 보안 판단 기준

회사 데이터는 등급을 나눠서 넣는 것이 원칙입니다. 전부 허용하는 것도, 전부 금지하는 것도 답이 아닙니다. 기업 AI 보안에서 실제로 판단해야 하는 질문은 “AI가 안전한가”가 아니라 “이 데이터를 이 도구에 넣어도 되는가”입니다. 질문의 단위가 다릅니다.

회의실에서 이런 장면이 자주 나옵니다. 누군가 “그거 그냥 챗GPT에 넣고 정리시키면 되지 않나요”라고 말합니다. 잠깐 공기가 멈추고, 대표가 묻습니다. 그거 넣어도 되나? 아무도 확실하게 대답하지 못합니다. 그래서 결론이 둘 중 하나로 굳습니다. 그냥 쓰거나, 전면 금지하거나.

둘 다 좋지 않습니다. 앞쪽은 무엇이 나갔는지 아무도 모르는 상태로 계속 나가고, 뒤쪽은 나가는 장면이 안 보이게 될 뿐 나가는 것 자체는 멈추지 않습니다.

이 글이 하려는 일은 하나입니다. 막연한 불안을 확인 가능한 항목으로 바꾸는 것. 어떤 데이터가 위험한지, 요금제에 따라 무엇이 달라지는지, 약관에서 무슨 단어를 찾아 읽어야 하는지, 사내 규칙에는 최소한 무엇이 들어가야 하는지를 순서대로 정리했습니다.

한 가지는 미리 밝혀 둡니다. 이 글은 법률 자문이 아닙니다. 개인정보나 규제 대상 정보가 얽힌 구체적인 사안은 변호사나 개인정보 보호 담당 전문가의 확인을 받으셔야 합니다. 여기서 다루는 것은 판단의 틀이지 결론이 아닙니다.

결론부터: 넣어도 되는 데이터와 안 되는 데이터가 따로 있다

넣어도 되는지는 자료의 종류가 아니라 “새어 나갔을 때 누가 다치는가”로 갈립니다. 이 기준 하나로 대부분의 판단이 정리됩니다.

회사 소개 자료를 AI에 넣는 것과 고객 명단을 넣는 것은 완전히 다른 행동입니다. 앞은 이미 홈페이지에 공개돼 있는 내용이고, 뒤는 새어 나가면 고객이 다칩니다. 그런데 실무에서는 이 둘이 같은 창에 같은 방식으로 붙여넣기 됩니다. 구분하는 습관이 없기 때문입니다.

넣어도 되는 것과 안 되는 것은 어떻게 갈리나요?

세 가지를 순서대로 물어보면 됩니다. 이미 외부에 공개된 내용인가. 특정 개인을 알아볼 수 있는 정보가 들어 있는가. 계약서에 “외부에 알리지 않겠다”고 약속한 내용인가.

첫 번째가 ‘예’면 대체로 문제가 없습니다. 두 번째나 세 번째가 ‘예’면 멈추고 등급을 확인해야 합니다. 애매한 자료라면 판단을 미루지 말고 일단 위험한 쪽으로 분류하는 편이 낫습니다. 되돌릴 수 없는 쪽은 넣은 다음이지 안 넣은 다음이 아닙니다.

여기서 자주 놓치는 게 하나 있습니다. 개별 문서는 무해한데 여러 개를 붙여 넣으면 위험해지는 경우입니다. 거래처 이름 하나, 단가표 한 장, 납기 일정 한 줄. 따로 보면 별것 아니지만 한 대화창에 다 들어가면 그 회사의 원가 구조가 그려집니다. 조각으로 보지 말고 대화 전체로 봐야 합니다.

그리고 “AI에 넣는다”는 말이 실제로는 서로 다른 세 가지 행동을 뭉뚱그리고 있다는 점도 짚고 넘어가야 합니다. 채팅창에 문장을 붙여넣는 것, 파일을 통째로 올리는 것, 사내 시스템을 AI에 연결해 두는 것. 위험의 크기도 확인할 항목도 셋이 다 다릅니다. 붙여넣기는 그 자리에서 사람이 판단할 수 있지만, 시스템 연결은 한 번 붙여 두면 이후로는 사람의 판단을 거치지 않고 자동으로 흘러갑니다. 사고가 크게 나는 쪽은 대개 후자입니다.

축① “학습에 쓰이나”는 요금제가 가른다

입력한 내용이 AI 학습에 쓰이는지는 도구 이름이 아니라 가입한 요금제가 결정합니다. 같은 서비스라도 조건이 다릅니다.

“챗GPT는 안전한가요”라는 질문에 정확히 답할 수 없는 이유가 여기 있습니다. 무료로 쓰는 개인 계정과 회사 명의로 계약한 기업용 계정은 이름만 같지 데이터를 다루는 조건이 다르게 걸려 있습니다. 사람들이 느끼는 불안의 상당 부분은 이 차이를 몰라서 생깁니다.

‘학습에 쓰인다’는 말도 오해가 많습니다. 내가 넣은 계약서가 다음 날 경쟁사 화면에 그대로 뜨는 장면을 떠올리는 분이 많은데, 학습에 쓰인다는 건 보통 모델을 다시 훈련시킬 때 그 데이터가 재료에 포함될 수 있다는 뜻입니다. 원문이 그대로 재현되느냐는 또 다른 문제고요. 그렇다고 안심할 일은 아닙니다. 재현 여부와 무관하게, 우리 회사 자료가 남의 회사 서버에 남고 우리 통제 밖으로 나갔다는 사실 자체가 이미 확인이 필요한 상태이기 때문입니다. 논점은 “유출됐나”가 아니라 “설명할 수 있나”입니다.

개인용과 기업용은 무엇이 다른가요?

크게 세 갈래로 나뉩니다.

개인용 무료·유료 요금제는 개인이 혼자 쓰라고 만든 상품입니다. 계약 상대가 회사가 아니라 그 직원 개인입니다. 그래서 회사는 그 계정에서 무슨 일이 있었는지 볼 권한이 없습니다.

기업용(팀·엔터프라이즈) 요금제는 회사가 계약 주체입니다. 관리자가 계정을 만들고 회수할 수 있고, 데이터 처리 조건이 일반 약관이 아니라 별도 계약 문서로 붙는 경우가 많습니다.

API(다른 프로그램이 AI를 불러 쓰도록 열어 둔 통로)는 개발용 경로입니다. 사내 시스템에 AI를 붙일 때 쓰며, 데이터 취급 조건이 개인용과 또 다르게 정해져 있습니다.

중요한 건 어느 쪽이 우월하다는 이야기가 아닙니다. 조건이 다르니 확인할 문서도 다르다는 뜻입니다. 참고로 유료 구독을 붙였다고 조직에 AI가 도입되는 건 아니라는 이야기는 구독만으론 회사가 바뀌지 않는 이유에서 따로 다뤘습니다. 보안 역시 같은 함정을 공유합니다. 결제했으니 알아서 안전해졌겠지, 하는 대목이요.

약관에서 무엇을 확인해야 하나요?

요금제 소개 페이지 말고 약관과 개인정보 처리방침, 그리고 기업 고객용 보안 문서를 봐야 합니다. 문서 안에서 검색할 단어는 정해져 있습니다. 학습, training, 모델 개선, improve, 보관, retention.

아래 항목을 하나씩 채워 넣는 방식으로 확인하면 빠뜨리는 것이 없습니다.

약관은 자주 바뀝니다. 작년에 확인한 내용이 지금도 같다고 가정하지 마세요. 그래서 실무에서는 가입 시점의 약관을 화면 그대로 저장해 두는 것을 권합니다. 날짜와 함께 PDF로 뽑아 담당자 폴더에 넣어 두면, 나중에 조건이 바뀌었을 때 무엇이 달라졌는지 비교할 수 있습니다. 이 글에서 특정 서비스의 현재 조건을 단정하지 않는 이유도 같습니다. 오늘 쓴 문장이 다음 달에 틀린 문장이 되기 때문입니다.

축② 데이터에 등급을 매긴다

데이터를 공개·내부·기밀·규제대상 네 등급으로 나누고, 등급마다 쓸 수 있는 도구를 미리 정해 둡니다. 이게 실무에서 가장 잘 작동하는 틀입니다.

전부 막거나 전부 열거나 하는 이분법이 실패하는 이유는 단순합니다. 회사 자료의 위험도가 실제로 균일하지 않기 때문입니다. 위험도가 다른데 규칙이 하나면, 그 규칙은 가장 위험한 자료에 맞춰 만들어지고, 결국 아무것도 못 하게 됩니다.

우리 회사 데이터는 어느 등급인가요?

기준은 “밖으로 나갔을 때 무슨 일이 벌어지는가”입니다.

이 표를 그대로 베껴 쓰기보다, 우리 회사 자료 이름으로 다시 채우는 편이 훨씬 낫습니다. ‘기밀’이라고만 적어 두면 아무도 자기 문서가 거기 해당하는지 모릅니다. “2026년 상반기 단가표”, “○○사 납품 계약서”처럼 실제 파일 이름 세 개씩만 예시로 붙여도 직원의 판단 속도가 달라집니다.

등급을 나눌 때 흔한 실수가 둘 있습니다. 하나는 등급을 너무 잘게 쪼개는 것. 여섯 단계, 일곱 단계까지 만들면 아무도 외우지 못합니다. 네 개면 충분합니다. 다른 하나는 모든 걸 기밀로 올려 두는 것. 안전해 보이지만 실제로는 규칙 전체를 무력화합니다. 전부 기밀이면 아무것도 기밀이 아닙니다.

작업 자체는 오래 걸리지 않습니다. 부서별로 실제 문서 스무 개쯤을 뽑아 회의 테이블에 올려놓고 한 장씩 어느 칸에 들어가는지 정하는 식이면 한 시간 안에 초안이 나옵니다. 이때 의견이 갈리는 문서가 반드시 나오는데, 그 문서들이야말로 규칙에 예시로 박아 둬야 할 것들입니다. 담당자끼리도 헷갈렸다면 나머지 직원은 100퍼센트 헷갈립니다. 다 정하려 하지 말고, 갈린 것만 적어 두세요.

금지하면 숨어서 쓴다 — 섀도우 AI

금지는 AI 사용을 없애지 못합니다. 회사가 볼 수 없는 개인 계정으로 옮길 뿐입니다. 이걸 섀도우 AI(회사 모르게 개인이 쓰는 AI)라고 부릅니다.

한번 생각해 보시죠. 사내 공지로 “업무에 생성형 AI 사용을 금지합니다”가 나갔습니다. 그다음 주 월요일, 보고서 초안을 만들어야 하는 직원의 마감은 그대로입니다. 도구만 사라졌습니다.

그럼 어떻게 할까요.

직원은 왜 몰래 쓰게 되나요?

나쁜 마음을 먹어서가 아닙니다. 대안 없이 도구만 없어졌기 때문입니다.

퇴근 시간은 정해져 있고, 처리해야 할 문서는 줄지 않았고, 옆자리 동료는 어떻게 해서인지 두 시간 만에 끝냅니다. 이 상황에서 개인 휴대폰으로 자료를 찍어 개인 계정에 올리는 일은 아주 자연스럽게 일어납니다.

문제는 그다음입니다.

회사는 무엇이 나갔는지 모릅니다. 언제 나갔는지도, 누가 넣었는지도, 어떤 파일이었는지도 기록이 없습니다. 개인 계정이니 관리자 화면이 없고, 로그도 없습니다. 그 직원이 퇴사하면 계정은 회사 손을 완전히 떠납니다.

금지한 회사가 오히려 상황을 더 모릅니다. 이게 핵심입니다.

“우리 직원들은 그러지 않을 겁니다.” 아마 맞을 겁니다. 대부분은 안 그럽니다. 문제는 대부분이 아니라 마감에 몰린 한 명입니다. 그리고 그 한 명이 누구인지, 어떤 파일을 넣었는지 회사는 끝까지 모릅니다.

허용한 회사는 최소한 누가 무엇을 넣었는지 봅니다. 사고가 나도 범위를 특정할 수 있습니다. 금지한 회사는 사고가 났다는 사실 자체를 모릅니다.

그래서 순서가 중요합니다. 먼저 쓸 수 있는 경로를 만들고, 그다음에 그 밖의 경로를 닫습니다. 반대로 하면 실패합니다. 닫기부터 하면 사람들은 닫히지 않은 구멍을 찾아냅니다. 늘 찾아냅니다.

통제는 차단이 아니라 경로 설계입니다. 물길을 막는 게 아니라 어디로 흐를지 정해 주는 일에 가깝습니다.

최소한의 사내 규칙 만들기

사내 AI 사용 규칙은 A4 한 장이면 충분합니다. 길면 아무도 읽지 않고, 안 읽은 규칙은 없는 규칙입니다.

두꺼운 보안 지침을 만들어 게시판에 올리는 것으로 일이 끝났다고 생각하는 회사가 많습니다. 그 문서를 끝까지 읽은 직원 수를 세어 보면 대개 만든 사람 한 명입니다.

규칙에 무엇을 적어야 하나요?

여섯 줄이면 뼈대가 섭니다.

• 등급표와 실제 예시 — 네 등급을 우리 회사 문서 이름으로 채우고, 등급마다 파일 예시를 세 개씩 붙입니다.
• 회사가 주는 도구 목록 — 어떤 계정으로 어디에 접속해서 쓰는지. 대안을 먼저 제시하지 않으면 나머지 규칙은 지켜지지 않습니다.
• 넣기 전에 지울 것 — 사람 이름, 연락처, 주민등록번호, 계좌번호, 거래처명, 단가. 목록으로 못 박아 둡니다.
• 결과물 확인 책임 — AI가 만든 문장은 초안입니다. 사람이 확인한 뒤 쓰고, 확인한 사람이 책임집니다.
• 사고 신고 창구와 면책 — 실수로 넣었을 때 어디에 알리는지, 그리고 자진 신고하면 불이익이 없다는 문장. 이 한 줄이 없으면 사고는 전부 숨겨집니다.
• 담당자와 갱신 주기 — 이름 하나와 날짜 하나. 6개월마다 다시 봅니다. 약관이 바뀌기 때문입니다.

여기에 하나만 더 붙이면 좋습니다. 예외 신청 경로입니다. 금지 목록만 있고 예외 신청 창구가 없으면, 정말로 필요한 사람은 신청하는 대신 우회합니다. “이 자료를 이렇게 쓰고 싶은데 되나요”라고 물을 곳이 있어야 규칙이 살아 있습니다.

기술로 줄이는 위험 — 계정·기록·가리기

기술로 줄일 수 있는 위험은 세 갈래입니다. 계정을 회사가 쥐는 것, 기록을 남기는 것, 넣기 전에 가리는 것.

거창한 보안 장비 이야기가 아닙니다. 대부분의 중소·중견기업은 이 세 가지만 정리해도 위험의 상당 부분이 줄어듭니다.

기술로 어디까지 막을 수 있나요?

첫째, 계정입니다.

개인 이메일로 가입한 계정에서는 회사가 할 수 있는 일이 없습니다. 회사 명의 계정으로 통일하고, 가능하면 단일 로그인(SSO, 회사 계정 하나로 여러 서비스에 로그인하는 방식)에 묶습니다. 그러면 퇴사 처리 한 번으로 접근이 함께 끊깁니다. 계정 정리가 안 된 회사에서는 퇴사자 계정이 몇 달씩 살아 있는 일이 드물지 않습니다.

둘째, 기록입니다.

관리자 화면에서 사용 내역을 볼 수 있는지 확인하고, 보관 기간을 정합니다. 감시하려는 게 아닙니다. 사고가 났을 때 “무엇이 나갔는지”를 답할 수 있게 하려는 겁니다. 이 답을 못 하면 고객에게도, 거래처에도 설명할 말이 없습니다.

셋째, 가리기입니다.

마스킹(민감한 부분을 지우거나 기호로 바꾸는 것)과 가명처리(실명을 A고객, B사처럼 바꾸는 것)는 생각보다 실전에서 강력합니다. 고객 상담 기록을 요약하고 싶다면, 이름과 연락처를 지운 뒤 넣어도 요약 품질은 거의 그대로입니다. AI가 필요로 하는 건 문맥이지 실명이 아니거든요. 넣기 전에 무엇을 무엇으로 바꿀지 치환 규칙을 정해 두면 직원이 매번 고민하지 않아도 됩니다.

파일을 통째로 올릴 때는 한 가지를 더 봐야 합니다. 문서에는 화면에 안 보이는 내용이 딸려 갑니다. 엑셀의 숨긴 시트와 지우지 않은 원본 탭, 워드의 변경 이력과 메모, 문서 속성에 남은 작성자 이름과 부서. 본문만 확인하고 올렸는데 정작 민감한 건 숨긴 시트에 있던 경우가 실무에서 종종 나옵니다. 습관을 하나 만들면 간단히 줄어듭니다. 올릴 파일은 원본을 그대로 쓰지 말고, 필요한 부분만 새 문서에 복사해 올리는 겁니다.

한 단계 더 나아가면, 사내 문서를 AI가 읽게 연결하는 구조가 나옵니다. 이때부터는 도구 설정이 아니라 시스템 설계 영역이고, 데이터가 어디에 저장되고 누가 접근하는지를 층 단위로 따져야 합니다. 그 구조는 AI 업무 자동화 시스템을 이루는 부품들에서 ‘회사 데이터 연결’ 층으로 따로 정리해 두었으니 그쪽을 참고하시면 됩니다.

회사 서버 안에서만 도는 모델을 직접 운영하는 방법도 있습니다. 외부로 데이터가 아예 나가지 않으니 가장 확실하긴 합니다. 다만 장비와 인력 비용이 만만치 않아서, 규제가 특별히 강한 업종이 아니라면 대부분의 중소기업에는 과한 선택입니다. 여기까지 가기 전에 계정·기록·가리기 세 가지가 정리됐는지부터 보는 게 순서입니다.

법과 규제가 얽히는 경우

개인정보나 계약상 비밀이 섞이면 사내 규칙만으로는 부족하고 법적 책임이 함께 걸립니다. 이때는 판단 기준이 달라집니다.

어떤 경우에 법이 걸리나요?

크게 네 가지 상황입니다.

고객이나 직원의 개인정보를 넣는 경우입니다. 이름, 연락처, 주소, 주민등록번호, 건강 정보 같은 것들이죠. 개인정보 보호법이 적용될 가능성이 있고, 수집할 때 동의받은 목적을 벗어난 이용에 해당하는지가 쟁점이 됩니다.

외부 서비스에 개인정보를 넘기는 형태가 되는 경우입니다. AI 서비스에 개인정보를 입력하는 행위가 처리 위탁(다른 회사에 개인정보 처리를 맡기는 것)이나 제3자 제공으로 평가될 여지가 있습니다. 그렇게 보게 되면 사실을 알리고 관리할 의무가 따라붙습니다.

데이터가 해외 서버에 저장되는 경우입니다. 국외 이전에는 별도의 요건이 붙는 것이 일반적이라, 저장 위치를 확인해 둘 필요가 있습니다.

계약으로 묶인 자료를 넣는 경우입니다. 거래처와 맺은 비밀유지계약(NDA)에 “제3자에게 제공하지 않는다”는 조항이 있다면, AI 서비스에 넣는 행위가 그 조항에 걸리는지 따져 봐야 합니다. 이건 법률 문제이기 전에 계약 문제라 조문을 직접 읽어야 합니다.

의료, 금융, 교육처럼 업종별 규제가 따로 있는 분야는 여기에 한 겹이 더 얹힙니다.

현실적인 대응은 의외로 단순합니다. 규제대상 등급은 원칙적으로 넣지 않는다고 정하고, 꼭 필요하면 개인을 알아볼 수 없게 처리한 뒤 별도로 검토받는 절차를 만듭니다. 그리고 그 검토를 누가 하는지 이름을 적어 둡니다.

다시 한번 말씀드립니다. 이 글은 법률 자문이 아닙니다. 위에 적은 것은 “이런 지점에서 법이 문제 될 수 있으니 확인하라”는 지도이지, 특정 사안에 대한 판단이 아닙니다. 구체적인 상황은 반드시 변호사나 개인정보 보호 전문가의 확인을 받으시기 바랍니다. 법과 지침은 개정되고, 해석도 시간이 지나면서 달라집니다.

자주 묻는 질문

실무에서 반복해서 나오는 질문들을 모았습니다.

회사 자료를 ChatGPT에 넣어도 되나요?

자료 등급에 따라 다릅니다. 이미 공개된 회사 소개나 카탈로그는 대체로 문제가 없고, 계약서·단가표·고객 개인정보는 개인 계정에 넣지 않는 것이 맞습니다. 판단 기준은 “새어 나갔을 때 누가 다치는가”입니다. 애매하면 위험한 쪽으로 분류하세요.

입력한 내용이 AI 학습에 쓰이나요?

요금제와 설정에 따라 다르며, 서비스마다 조건이 다릅니다. 개인용과 기업용의 데이터 처리 조건이 다르게 걸려 있는 경우가 많고, 학습 제외(옵트아웃) 설정을 제공하는 서비스도 있습니다. 정책은 자주 바뀌므로 가입 시점의 약관과 개인정보 처리방침을 직접 확인하고, 그 화면을 날짜와 함께 저장해 두시기 바랍니다.

개인용 요금제와 기업용은 무엇이 다른가요?

계약 주체와 관리자 권한이 다릅니다. 개인용은 직원 개인이 계약 상대라 회사가 사용 내역을 볼 수 없고, 기업용은 회사가 계약 주체라 계정 생성·회수와 사용 기록 관리가 가능합니다. 데이터 처리 조건도 별도 문서로 붙는 경우가 많으니, 두 문서를 나란히 놓고 비교해 보는 게 가장 빠릅니다.

어떤 데이터는 넣으면 안 되나요?

고객·직원의 개인정보, 건강·금융 정보, 비밀유지계약으로 묶인 거래처 자료는 원칙적으로 넣지 않습니다. 미공개 계약서, 단가·원가 자료, 소스 코드도 개인 계정에서는 다루지 않는 것이 안전합니다. 꼭 필요하다면 이름과 숫자를 가린 뒤 넣고, 그 처리 방법을 규칙에 적어 두세요.

직원이 개인 계정으로 쓰는 것은 어떻게 해야 하나요?

먼저 회사가 제공하는 대체 경로를 만든 다음 개인 계정 사용을 제한합니다. 순서를 바꾸면 실패합니다. 도구만 막으면 업무량은 그대로인데 방법이 사라지므로 섀도우 AI로 숨어들고, 그때부터 회사는 무엇이 나갔는지조차 알 수 없게 됩니다. 자진 신고 시 불이익이 없다는 문장을 규칙에 넣는 것도 효과가 큽니다.

사내 AI 사용 규칙에는 무엇을 넣어야 하나요?

여섯 가지면 뼈대가 섭니다. 데이터 등급표와 실제 파일 예시, 회사가 제공하는 도구 목록, 넣기 전에 지울 항목, 결과물 확인 책임, 사고 신고 창구와 면책, 담당자와 갱신 주기입니다. A4 한 장을 넘기지 않는 것이 좋고, 예외 신청 경로를 함께 두면 규칙을 우회하는 일이 줄어듭니다.

개인정보를 AI에 입력하면 법적으로 문제가 되나요?

문제가 될 가능성이 있습니다. 수집 당시 동의받은 목적을 벗어난 이용인지, 외부 서비스로 넘기는 것이 처리 위탁이나 제3자 제공에 해당하는지, 데이터가 국외로 이전되는지가 쟁점이 됩니다. 사안마다 판단이 달라지므로 변호사나 개인정보 보호 전문가의 확인을 받으시기 바랍니다. 이 글은 법률 자문이 아닙니다.

회사 데이터를 비교적 안전하게 쓰는 방법은 무엇인가요?

네 가지를 순서대로 하면 됩니다. 데이터를 네 등급으로 나누고, 등급별로 쓸 도구를 배정하고, 회사 명의 계정으로 통일해 기록이 남게 하고, 넣기 전에 이름·연락처·숫자를 가리는 습관을 만듭니다. 완벽한 안전은 없지만, 이 네 가지만 정리해도 “무엇이 어디로 갔는지 모르는 상태”에서는 벗어납니다.

—

기업 AI 보안에서 가장 위험한 상태는 데이터가 나가는 것이 아니라, 무엇이 나갔는지 회사가 모르는 상태입니다. 금지는 이 상태를 해결하지 못하고 오히려 만듭니다. 그래서 판단의 방향은 “막을까 말까”가 아니라 “어느 길로 흐르게 할까”가 되어야 합니다. 등급을 나누고, 도구를 배정하고, 계정과 기록을 회사가 쥐는 것. 여기까지가 오늘 시작할 수 있는 일입니다.

보안 정리가 끝났다면 그다음은 순서의 문제입니다. 무엇부터 바꾸고 무엇을 나중으로 미룰지는 DX를 넘어 AX로: 전환 로드맵에 5단계로 정리해 두었습니다.