더블에이엠 기술팀
외부 제작업체에 3D 데이터를 맡기는 상황을 설명하기 위한 이미지입니다.
견적을 받으려고 협력업체에 STEP 파일을 보냅니다. 그런데 그 파일에는 견적 대상 부품뿐 아니라 전체 장비의 조립 구조와 주변 부품까지 들어 있습니다.
가격은 확인했지만 다른 질문이 남습니다. 누가 파일을 열어 보는지, 후처리를 다른 업체에 맡기는지, 제작이 끝난 뒤 언제 삭제하는지는 알기 어렵습니다.
NDA만 체결했다고 모든 관리 범위가 정해지는 것은 아닙니다. 파일이 어디로 이동하고 언제 없어지는지까지 확인해야 합니다.
1. 견적에 필요한 파일만 보냅니다
가장 먼저 줄일 것은 업체 수가 아니라 보내는 데이터의 범위입니다.
출력할 부품이 1개라면 전체 조립 파일을 보낼 필요가 없는 경우가 많습니다. 견적 대상 부품만 분리하고, 상대 부품은 간섭을 확인할 부분만 남깁니다. 내부 구조나 특허 검토 중인 형상처럼 제작에 필요하지 않은 정보도 제외합니다.
견적에 필요한 데이터만 분리하는 과정을 설명하기 위한 이미지입니다.
| 단계 | 보내도 되는 자료 | 먼저 빼거나 확인할 자료 |
|---|---|---|
| 가능 여부 확인 | 화면 캡처, 외형 치수, 소재·수량 | 원본 CAD, 전체 조립도 |
| 정식 견적 | 출력 대상 STL·STEP, 필수 치수 | 관련 없는 주변 부품, 사내 메모 |
| 제작 승인 | 최종 파일, 도면, 검사 기준 | 이전 개정본, 검토용 임시 파일 |
STL도 안전한 파일은 아닙니다. 설계 이력은 없지만 형상과 크기를 읽을 수 있습니다. STEP은 형상뿐 아니라 조립과 제품 제조 정보가 포함될 수 있습니다. NIST도 STEP을 CAD·CAM·검사 시스템 사이에서 부품, 조립체, 치수와 공차 정보를 교환하는 형식으로 설명합니다. NIST STEP File Analyzer
2. 이메일 첨부인지 전용 업로드인지 확인합니다
파일을 보내는 경로를 확인합니다. 담당자 개인 메일이나 메신저로 전달하면 복사본이 여러 곳에 남기 쉽습니다.
전용 업로드 페이지를 쓴다고 자동으로 안전해지는 것도 아닙니다. 아래 항목을 업체에 물어야 합니다.
- 전송 구간을 암호화하는지
- 업로드한 파일을 어느 서버에 저장하는지
- 링크 만료와 내려받기 제한을 설정하는지
- 담당자가 바뀌면 접근 권한을 회수하는지
- 접속 기록을 확인할 수 있는지
파일 전송 경로와 접근 권한을 확인하는 상황을 설명하기 위한 이미지입니다.
ISO는 접근 통제를 ‘누가 어떤 자원에 어느 수준까지 접근할 수 있는지 정하는 일’로 설명합니다. 인증서 보유 여부보다 실제 파일에 접근하는 인원과 권한 회수 절차를 묻는 편이 구체적입니다. ISO 접근 통제 안내
3. 파일을 열어 보는 사람을 확인합니다
영업 담당자에게 파일을 보냈더라도 실제로는 견적, 장비 운영, 후처리, 검사 담당자가 차례로 열 수 있습니다. 모든 직원이 모든 고객 파일을 볼 수 있는지, 작업에 필요한 담당자만 접근하는지 확인합니다.
확인할 질문은 3가지면 충분합니다.
- 견적 단계에서 파일을 열 수 있는 직무는 누구입니까?
- 제작이 확정된 뒤 장비 담당자에게 어떤 방식으로 전달합니까?
- 퇴사·부서 이동·프로젝트 종료 때 권한을 언제 회수합니까?
보안 인증이 있다면 인증 범위도 봅니다. 본사 사무실만 포함되고 출력 공장이나 파일 저장 서비스가 빠져 있을 수 있습니다.
4. 재위탁 범위를 발주 전에 묻습니다
출력업체가 모든 공정을 직접 수행하지 않을 수 있습니다. 도색, 도금, 열처리, 정밀 측정, 배송을 외부 업체에 맡기는 경우가 있습니다.
제작 과정에서 데이터와 부품이 여러 담당자에게 전달되는 상황을 설명하기 위한 이미지입니다.
재위탁 자체가 문제는 아닙니다. 어떤 업체에 어떤 자료가 넘어가는지 모르는 상태가 문제입니다.
| 확인 항목 | 업체에 물을 내용 |
|---|---|
| 공정 | 출력·후처리·검사 중 외부에서 수행하는 공정 |
| 전달 자료 | 3D 파일 전체인지, 작업 지시서와 부품만 전달하는지 |
| 계약 | 재위탁 업체에도 같은 비밀유지 조건이 적용되는지 |
| 종료 | 남은 파일, 사진, 시험편과 불량품을 어떻게 처리하는지 |
NIST의 사이버보안 프레임워크 2.0은 공급망 보안을 별도 항목으로 다룹니다. 협력 관계가 끝난 뒤 접근 권한을 해제하고, 조직의 데이터가 담긴 자산을 반환하거나 적절히 처리하는 절차도 포함합니다. NIST CSF 2.0
5. 보관 기간과 삭제 방법을 정합니다
“제작이 끝나면 삭제합니다”만으로는 시점을 알 수 없습니다. 납품 직후인지, 재주문을 위해 1년간 보관하는지 날짜를 정해야 합니다.
삭제 대상도 구분합니다.
- 업로드한 원본 파일
- 견적 과정에서 만든 변환 파일과 화면 캡처
- 장비에 저장된 작업 파일
- 백업 서버의 복사본
- 검사 사진과 작업 기록
- 출력 실패품, 시험편, 서포트와 폐기 부품
NIST CSF 2.0의 구현 예시는 보관 정책에 따라 저장 데이터를 안전하게 폐기하고 그 기록을 관리하도록 안내합니다. 백업에서 바로 지우기 어렵다면 백업 보존 기간과 자동 삭제 시점을 확인합니다. NIST CSF 2.0 Reference Tool
6. NDA에는 파일 밖의 자료도 넣습니다
NDA에서 비밀정보의 범위를 확인합니다. STL·STEP 파일만 적으면 견적서, 출력 방향, 소재 조건, 검사 결과, 공정 사진과 실물 샘플이 빠질 수 있습니다.
아래 항목을 계약 범위에 맞춰 검토합니다.
- 도면과 3D 파일
- 견적서와 제작 조건
- 공정 중 촬영한 사진과 영상
- 시제품, 실패품과 검사 결과
- 재위탁 업체의 비밀유지 의무
- 홍보 자료와 포트폴리오 사용 여부
- 계약 종료 뒤 반환·삭제 방법
법무 검토가 필요한 프로젝트라면 표준 NDA를 그대로 쓰지 말고 회사의 보안 등급과 납품 조건에 맞춥니다.
7. 발주 파일과 승인본을 따로 관리합니다
보안은 유출만 막는 일이 아닙니다. 오래된 파일로 제작되는 것도 막아야 합니다.
파일명 뒤에 최종, 진짜최종, 수정2를 붙이는 방식은 개정본을 구분하기 어렵습니다. 부품 번호, 개정 번호, 승인일을 정하고 발주서에도 같은 정보를 적습니다.
발주 파일과 승인본을 구분해 확인하는 과정을 설명하기 위한 이미지입니다.
| 구분 | 남길 정보 |
|---|---|
| 발주 파일 | 파일명, 개정 번호, 보낸 날짜, 보낸 사람 |
| 제작 승인 | 업체가 받은 파일명, 승인한 사람, 승인 시각 |
| 납품 기록 | 실제 제작에 쓴 개정본, 소재, 수량 |
| 변경 기록 | 바뀐 치수와 변경 사유, 이전 파일의 사용 중지 여부 |
반복 주문할 부품이라면 승인된 파일과 제작 조건을 함께 보관합니다. 자세한 등록 항목은 3D프린팅 디지털 재고, 단종 부품을 파일로 보관하고 다시 출력하는 방법에서 확인할 수 있습니다.
발주 전에 보낼 질문 7개
- 파일은 어떤 경로로 보내야 합니까?
- 견적과 제작 단계에서 누가 파일을 열 수 있습니까?
- 파일과 작업 기록은 어느 서버에 저장합니까?
- 출력·후처리·검사 중 외부 업체에 맡기는 공정이 있습니까?
- 재위탁 업체에는 어떤 자료를 전달합니까?
- 납품 뒤 파일과 실패품을 얼마 동안 보관합니까?
- 삭제를 요청하면 대상과 완료 시점을 확인할 수 있습니까?
제작 종료 뒤 파일과 실물 자료를 정리하는 상황을 설명하기 위한 이미지입니다.
파일 형식을 정하기 어렵다면 3D프린팅, 어떤 파일을 보내야 하나를 먼저 확인하십시오. 발주 절차 전체는 3D프린팅 출력대행, 견적부터 납품까지 5단계에 정리했습니다.
