요즘은 선생님이 AI로 직접 만드는 것이 부쩍 많아졌습니다. 반 아이들 이름을 뽑아 주는 작은 도구부터 학부모 설문, 학습 기록 앱까지, 개발을 배우지 않고도 필요한 것을 스스로 만들어 씁니다. 반가운 변화지만, 빠르게 만든 앱일수록 보안과 개인정보를 놓치기 쉽습니다. 도름스는 선생님이 만든 앱을 공개된 앱 주소로 직접 열어 점검해 드리고, 기준을 충족하면 눈에 보이는 인증마크를 붙여 드립니다. 앱에서 ‘마크 신청’ 버튼을 누르면 되고, 접근 권한을 드릴 필요는 없습니다.
01왜 만들었나
AI로 앱을 직접 만드는 흐름은 반갑지만, 빠르게 만든 앱일수록 놓치기 쉬운 것이 보안과 개인정보입니다. 로그인하지 않아도 남의 글이 지워지거나, 주소만 알면 학생 정보가 그대로 보이거나, 비밀 키가 화면 소스에 노출되는 일이 실제로 자주 일어납니다.
더 큰 문제는 이런 허점을 스스로 알아채기 어렵다는 데 있습니다. AI에게 ‘안전하냐’고 물으면 대부분 ‘문제 없다’고 답하기 때문입니다. 그래서 도름스는 사람이나 AI의 말에 기대지 않고, 기계가 실제로 앱을 열어 찔러 보고 그 결과로만 판정하는 점검 도구를 만들었습니다. 커뮤니티에 올라온 앱을 안심하고 쓸 수 있도록, 점검을 마친 앱에는 눈에 보이는 표시를 답니다.
02무엇을 해 주나
도름스의 점검 도구(dorms-check)를 내 프로젝트에 적용하면 세 가지를 할 수 있습니다.
- 기본 보안 검토. 내 앱이 학생·동료 교사의 정보를 안전하게 다루는지, 배포된 웹에서 흔히 뚫리는 곳을 점검합니다.
- 학운위 심사 기준 추적·확인. 학교가 소프트웨어를 고를 때 보는 에듀집 「학습지원 소프트웨어 필수기준」 9개 세부 항목을 하나하나 짚어, 무엇이 갖춰졌고 무엇이 남았는지 알려 줍니다.
- 제출용 증빙 준비. 통과한 항목을 정리한 증빙 자료와, 필요하면 개인정보 처리방침 초안·학운위 제출 문서 초안까지 함께 만들어 줍니다.
점검 결과에 따라 두 가지 마크를 받을 수 있습니다. 하나만 받아도 되고 둘 다 받아도 됩니다.
| 마크 | 무엇을 확인하나 |
|---|---|
| 도름스 보안 체크리스트 충족 | 공개된 앱 주소를 도름스가 직접 열어 기계로 찔러 보고 그 결과로만 판정합니다. 보안 응답 헤더가 켜져 있는지, 접속이 암호화(HTTPS)로 이뤄지는지, 비밀 키나 설정 파일이 새어 나오지 않는지, 아무 사이트나 데이터를 가져가도록 열려 있지(CORS) 않은지, 데이터베이스가 로그인 없이 남의 정보를 내주지 않는지(수퍼베이스는 RLS, 파이어베이스는 보안 규칙을 실제로 찔러 확인)를 확인합니다. |
| 학운위 심사 준비 완료 | 학교에 정식으로 들일 때 갖춰야 하는 서류 쪽을 봅니다. 에듀집 「학습지원 소프트웨어 필수기준」 5대 영역 9개 세부 항목과 개인정보 처리방침 공개 여부를 하나하나 확인합니다. 이 마크가 붙으면 학교운영위원회 심의에 낼 증빙을 대부분 갖춘 셈입니다. |
03마크 받는 법
인증마크는 도름스가 공개된 앱 주소를 직접 검사해 기준 충족을 확인했다는, 앱 카드에 붙는 눈에 보이는 표시입니다. 받는 법은 두 가지로 간단합니다.
- 앱을 새로 게시할 때 게시 화면에서 함께 신청하거나,
- 이미 올린 앱은 그 앱에 들어가 ‘마크 신청’ 버튼을 눌러 확인받으면 됩니다.
개발을 몰라도 괜찮습니다. 흐름은 한 방향이고, 신청 버튼이 입구입니다.
- 도름스에서 신청하기. 위 두 가지 방법 중 하나로 ‘마크 신청’을 누르면, 도름스가 누구나 접속할 수 있는 공개된 앱 주소를 직접 열어 확인합니다. 확인하는 것은 앱 주소와 공개 접속 키뿐이라, 선생님 프로젝트에 대한 접근 권한을 드릴 필요가 없습니다.
- 통과하면 그 자리에서 마크, 설치할 것 없음. 앱이 이미 기준을 충족하면 앱 카드에 바로 마크가 붙습니다. 이때는 따로 내려받거나 설치할 것이 전혀 없습니다. 신청 버튼 한 번이면 끝입니다.
- 부족하면 고칠 항목 안내. 아직 부족한 곳이 있으면 무엇을 고쳐야 하는지 항목으로 알려 드립니다. 고칠 것이 있을 때만 다음 단계로 갑니다.
- 고칠 때만 점검 도구(dorms-check). 실제 검사와 수정은 코딩에 쓰는 AI 도구(클로드 코드·코덱스·커서 등 터미널에서 명령을 실행하는 코딩 에이전트)가 맡습니다. 아래 프롬프트를 붙여넣으면 그 도구가 점검 도구를 자동으로 받아(npx) 검사하고 고칠 곳을 함께 잡아 줍니다. 따로 설치할 것은 없습니다.
- 고친 뒤 다시 신청하기. 다 고쳤으면 도름스에서 다시 ‘마크 신청’을 누릅니다. 도름스가 한 번 더 확인해 통과하면 마크가 붙습니다.
고칠 항목이 나왔을 때, 아래 프롬프트를 코딩에 쓰는 AI 도구에 그대로 붙여넣으세요.
내 앱의 보안과 개인정보를 dorms-check 로 검사하고, 도름스 인증마크를 받을 수 있는 상태까지 함께 고쳐줘. 설치는 npx 가 자동으로 받아 주니 따로 안 해도 돼. 1. npx -y dorms-check@latest detect 로 내 앱 스택을 확인해줘. 2. npx -y dorms-check@latest init --name "내 앱 이름" --url "내 배포 주소" --track security,edzip --confirm-ownership 로 설정을 만들어줘. 학운위(에듀집) 준비까지 하려면 학생 개인정보를 다루는지 3문항을 나한테 물어봐줘. 3. npx -y dorms-check@latest scan --url "내 배포 주소" 로 검사해줘. 4. 검사가 "AI가 판단해야 할 항목"을 남기면, 내 코드와 개인정보 처리방침을 직접 읽고 증거(파일:라인)와 함께 판정해줘. 증거 없이 통과시키지 마. 5. npx -y dorms-check@latest status 로 남은 항목을 보고, 각 항목을 왜 고쳐야 하는지 나한테 쉬운 말로 설명한 다음 내 동의를 받고 고쳐줘. 6. 고친 뒤 다시 배포하고 3~5 를 보안과 학운위 준비가 모두 통과할 때까지 반복해줘. 7. 다 통과하면 npx -y dorms-check@latest submit 으로 증빙팩을 만들고, 도름스에서 마크 신청하는 법을 알려줘. 읽기 검사만 하고(비파괴) 내 앱만 검사해. "대충 통과" 말고 실제로 확인된 것만 통과로 처리해줘.
점검 도구와 사용법은 누구나 열어 볼 수 있게 공개해 두었습니다: github.com/shinnanchanguk/dorms-check.
04무엇을 근거로, 어떻게 검사하나
판정이 믿을 만하려면 ‘무엇을 근거로 무엇을 검사하는지’가 분명해야 합니다. 이 점검 도구는 다음 세 가지 근거 목록을 기준으로 삼습니다.
- 웹 보안 점검 표준 · 웹 서비스라면 배포 단계에서 공통으로 갖춰야 하는 보안 표면(보안 응답 헤더·전송 보안·정보 유출·CORS)을 OWASP 계열의 널리 쓰이는 권고를 바탕으로 항목화했습니다.
- 개인정보 보호법 · 방침 공개·안전조치·정보주체 권리·제3자 제공·처리 위탁·아동 보호 같은 항목을 제30조·제29조·제17조·제26조·제22조의2 등 실제 조문에 하나하나 매핑했습니다. 조문 원문은 아래 근거·출처에서 바로 확인할 수 있습니다.
- 교육부 학습지원 소프트웨어 필수기준과 에듀집 체크리스트 · 학교가 학습지원 소프트웨어를 고를 때 확인하는 5대 영역 9개 세부 항목을 그대로 점검 항목으로 옮겼습니다.
검사는 세 방식으로 나뉘고, 사람이나 AI의 말이 아니라 실제 실행 결과로 판정합니다.
| 검사 방식 | 어떻게 판정하나 |
|---|---|
| 결정적 스캐너(실측) | 공개된 앱 주소로 실제 요청을 보내 응답을 관측합니다. 보안 응답 헤더·SSL/전송 보안·정보 유출 경로·CORS는 라이브 응답에서 그대로 읽어 판정하고, 데이터 접근은 수퍼베이스면 공개 anon 키로, 파이어베이스면 실시간 DB 주소로 실제 미인증 요청을 보내 개인정보가 새어 나오는지 직접 확인합니다. 추측이 아니라 관측이라 ‘대충 통과’가 되지 않습니다. (수퍼베이스·파이어베이스가 아닌 자체 백엔드는 API 인증을 확인하고, 자동으로 못 잡는 부분은 코드 점검과 자기점검으로 다룹니다.) |
| 정적 코드 검사 | 배포 전이거나 소스가 있으면 코드를 읽어 하드코딩된 비밀 키, 브라우저로 내려가는 코드에 섞인 서버 전용 시크릿, eval·innerHTML 같은 위험 패턴을 찾아냅니다. |
| AI 판단(증거 필수) | 기계로 확정하기 어려운 항목(개인정보 처리방침이 실제 수집 항목을 담고 있는지 등)만 AI가 코드와 방침을 직접 읽고 판단합니다. 이때도 증거(파일:라인 또는 실측 요약) 없이 통과 처리하는 것은 도구가 거부합니다. |
보안 마크가 실제로 검사하는 것
통과하지 못한 항목마다 ‘왜 문제인지’ 쉬운 설명과 ‘코딩 AI가 그대로 받아 고칠 수 있는 수정 지시’를 함께 내어 줍니다.
- 보안 응답 헤더 · 악성 스크립트 삽입(XSS)을 막는 기본 규칙(Content-Security-Policy), 접속을 늘 암호화로 강제하는 설정(HSTS), 남의 사이트가 내 화면을 몰래 끼워 클릭을 가로채는 공격을 막는 설정(클릭재킹 방어), 파일 종류 오인 공격 차단(nosniff), 주소 정보 과다 노출 방지, 브라우저 권한 제한.
- 전송 보안 · http로 들어와도 암호화된 https로 자동 전환되는지, 보안 인증서(SSL)가 유효한지, 오래되고 취약한 암호화 방식이 꺼져 있는지, 로그인 쿠키에 보안 플래그가 붙어 있는지.
- 정보 유출 · .env·.git 같은 비밀 파일이 인터넷에 노출됐는지, 설정 파일·소스맵이 열려 있는지, 오류 화면에 서버 내부 경로가 그대로 보이는지.
- 아무 사이트나 접근 차단(CORS) · 남의 사이트가 내 API를 마음대로 호출해 사용자 데이터를 가져가도록 열려 있지 않은지.
- 데이터 접근 권한 · 로그인하지 않은 사람이 데이터베이스의 개인정보를 그냥 읽을 수 있는지 실제로 찔러 확인합니다. 수퍼베이스는 RLS를, 파이어베이스는 실시간 DB 보안 규칙을 실측하고, 자체 백엔드는 API 인증을 봅니다. 학생·회원 정보가 새는 가장 위험한 문제라 특히 무겁게 봅니다.
- 코드 속 비밀 키 · 코드에 API 키·비밀번호가 직접 적혀 있는지, 브라우저로 내려가는 코드에 서버 전용 시크릿이 섞여 누구나 볼 수 있게 됐는지.
보안 마크는 심각(critical)·높음(high) 등급 항목이 하나도 남지 않아야 받을 수 있습니다. 참고용 점수(0~100)·등급(A~F)도 함께 보여 주지만, 마크 자격은 위험한 항목이 모두 해결됐는지로 정합니다.
학운위 마크는 학교 심사 기준을 어떻게 닮았나
학생 개인정보나 교과 학습콘텐츠를 다루는 앱을 학교가 교육자료로 선정하려면 「초·중등교육법」 제29조의2(교육 자료) 제2항(2026.3.1. 시행)에 따라 교육부장관이 개인정보 보호위원회와 협의해 정하는 기준을 따르고, 제32조제1항제4호에 따라 학교운영위원회 심의를 거쳐 학교장이 선정합니다. 이때 확인하는 개인정보 보호 필수기준이 곧 에듀집 「학습지원 소프트웨어 필수기준」의 5대 영역 9개 세부 항목입니다. ‘학운위 심사 준비 완료’ 마크는 그 9개 세부 항목을 아래처럼 하나하나 점검합니다.
| 필수기준(5대) | 스킬이 확인하는 것(9세부) | 근거 조문 |
|---|---|---|
| 1. 최소처리 원칙 | 꼭 필요한 개인정보만 모으는지, 수집·이용 목적이 방침에 적혀 있는지, 수집 항목과 보유기간·파기 방법을 고지하는지. | 개인정보 보호법 제3조·제15조·제21조·제30조 |
| 2. 안전조치 의무 | 암호화·접근통제 같은 안전조치를 갖추고 방침에 밝혔는지(보안 마크의 RLS·헤더 점검과 이어집니다). | 개인정보 보호법 제29조 |
| 3. 정보주체 권리 | 사용자가 자기 정보를 열람·정정·삭제·처리정지 요청하는 방법을 안내하는지. | 개인정보 보호법 제35조~제37조 |
| 4. 만 14세 미만 보호 | 아동 개인정보를 특별히 보호하는지(이용자를 교사로 한정하거나, 학생 식별정보를 외부로 안 보내거나 가명처리하는지). | 개인정보 보호법 제22조의2 |
| 5. 책임자·제공·위탁 | 개인정보 보호책임자와 연락처를 밝혔는지, 제3자 제공 여부를 적었는지, 호스팅·외부 AI 같은 처리 위탁과 해외 서버(국외이전)를 방침에 공개했는지. | 개인정보 보호법 제31조·제17조·제26조·제28조의8 |
시작할 때 ‘학생 개인정보를 다루는지’를 묻는 세 문항으로 앱의 상황(단순 도구·로컬 학습지원·마스킹 외부전송·식별정보 외부전송)을 먼저 가려, 앱에 맞는 항목만 요구합니다. 방침이 아직 없으면 처리방침 초안을 만들어 실제 수집 항목에 맞게 채우도록 돕고, 다 갖춰지면 학운위 제출 문서 초안까지 만들어 줍니다. 근거 조문의 원문 링크는 아래 근거·출처에 모아 두었습니다.
05마크를 받으면 얻는 것
- 학교 도입과 학운위 심의 준비. 위 04에서 본 학교운영위원회 심의에 낼 개인정보 보호 필수기준과 처리방침을 마크 점검 과정에서 미리 갖추게 되어, 심의에 낼 서류로 바로 쓸 수 있습니다. 다만 이 마크는 심의에 낼 준비가 됐다는 커뮤니티 확인이고, 실제 심의는 각 학교에서 따로 받습니다.
- 커뮤니티에서 안전하다는 표시. 도름스에 공유된 앱 중 점검을 마친 앱에는 마크가 붙어, 다른 선생님이 믿고 써 볼 수 있습니다.
더 알아보기
학교에 소프트웨어를 정식으로 들이는 절차와 실제 도입 사례는 아래 공지에서 이어서 볼 수 있습니다.
에듀집 등록도 함께 준비됩니다
에듀집(edzip.kr)은 교육부와 한국교육학술정보원(KERIS)이 주관하는 에듀테크 플랫폼으로, 학교가 학습지원 소프트웨어를 선정할 때 공급자가 올린 개인정보 보호 필수기준 체크리스트를 확인하는 창구입니다. ‘학운위 심사 준비 완료’ 마크가 점검하는 필수기준이 곧 에듀집 등록에서 요구하는 기준과 같아서, 마크를 준비하면 에듀집에 등록할 자료도 함께 갖추게 됩니다. 등록은 에듀집에서 직접 신청하면 되고, 필수기준 충족이 등록과 학교 심의의 근거가 됩니다.
06무엇을 보장하지 않나
- 공식 인증이 아닙니다. 도름스가 커뮤니티 차원에서 체크리스트 충족을 확인해 주는 표시이며, 정부나 기관이 발급하는 공인 인증과는 다릅니다.
- 심의와 최종 결정은 학교가 합니다. 마크는 심의에 낼 서류가 갖춰졌다는 뜻이고, 도입 여부는 학교운영위원회 심의와 학교장 선정으로 정해집니다.
- ‘절대 안전’을 보증하지 않습니다. 점검은 확인할 수 있는 항목을 실측할 뿐이고, 세상의 모든 공격을 막았다는 뜻은 아닙니다. 새로운 위험은 언제든 생길 수 있습니다.
- 그래서 매달 다시 확인합니다. 앱은 계속 바뀌므로 한 번 통과했다고 끝이 아니라, 도름스가 한 달에 한 번 자동으로 다시 확인해 마크를 갱신합니다. 통과하지 못하게 되면 changukbot이 알려 드립니다.
07근거·출처
아래 링크를 누르면 원문을 바로 확인할 수 있습니다.
- 「초·중등교육법」 제29조의2(교육 자료) · 제32조(학교운영위원회의 기능) 제1항제4호 (학습지원 소프트웨어 선정·학운위 심의 근거, 제29조의2 제2항 2026.3.1. 시행)
- 「개인정보 보호법」, 에듀집 필수기준 9개 세부 항목의 근거 조문 (항목별로 짝지어 확인)
- 최소 수집·목적·보유기간·처리방침: 제3조(보호 원칙) · 제15조(수집·이용) · 제21조(파기) · 제30조(처리방침 수립·공개)
- 안전조치: 제29조(안전조치의무)
- 정보주체 권리(열람·정정·삭제·처리정지): 제35조 · 제36조 · 제37조
- 만 14세 미만 아동: 제22조의2
- 개인정보 보호책임자: 제31조
- 제3자 제공: 제17조
- 처리 위탁·국외이전: 제26조(위탁) · 제28조의8(국외이전)
- 에듀집 edzip.kr (교육부·KERIS 주관, 학습지원 소프트웨어 필수기준 체크리스트 등록·확인 창구)
- 도름스 점검 도구(dorms-check) 공개 저장소 (점검 항목·사용법 원문)