Claude Security 프로젝트 공유: View 검토자와 수정 권한을 나누는 법

TL;DR

핵심 3줄 요약

이 글에서 다룰 내용

기능 정의

언제 점검하면 좋은가

검토자에게 기존 Finding을 읽고 의견을 전달하는 일만 맡기려는 상황에 적합합니다. 상태를 정리하거나 수정을 시작할 담당자를 정하는 작업과는 목적이 다릅니다.

검토에 필요한 읽기 범위를 먼저 정합니다. 읽기만 맡길 사람과 상태 변경까지 맡길 사람을 구분하면 점검 기준도 분명해집니다.

시작 전 범위 확인

현재 Claude Security는 Enterprise public beta입니다. 공식 이용 조건은 활성 Enterprise 플랜, 사용자별 premium seat, 소비 기반 과금을 위한 usage credits이며 소유자가 Organization settings > Claude Security에서 활성화합니다.

아래 절차는 조직 승인을 받은 새 프로젝트 경험을 사용하는 기존 프로젝트가 준비되어 있고 현재 화면에서 Share와 역할을 확인할 수 있는 경우만 대상으로 합니다. 새 활성화·요금 승인·프로젝트 생성·스캔은 진행하지 않습니다.

개인 무료·Pro·Max·Team에서 같은 기능을 제공한다고 가정하지 않습니다. 기존 구프로젝트는 계속 동작하지만 새 프로젝트 경험과 같다고 보지 않으며 역할이 보이지 않으면 확인 필요로 중단합니다.

P-A는 승인된 비민감 기존 프로젝트, REVIEW-A는 내부 검토자, KEEP-B는 실제로 존재하는 기존 협업자의 수동 별칭입니다. 제품 ID가 아니며 코드 권리·데이터 분류·처리 승인이 완료된 자료만 사용합니다.

국가·언어·OS·버전별 조건은 현재 화면과 조직 정책으로 확인합니다. 과거 안내의 Extra Usage나 GitHub 한정 조건을 이번 공유 절차에 그대로 옮기지 않습니다.

프로젝트 공유를 점검하는 순서

1. 기존 상태와 읽기 목표를 기록합니다

승인된 로컬 장소에 P-A의 실제 대상, 기존 멤버와 역할, 변경 승인 범위를 기록합니다. KEEP-B가 있다면 기존 열람 업무와 유지해야 할 항목도 적습니다.

기존 Finding의 읽기 가능 여부와 비교할 가림 자료를 준비합니다. 이는 사람이 만드는 재고이며 제품의 자동 백업이나 감사표 생성 기능을 뜻하지 않습니다.

읽기 목표는 검토자가 어떤 Finding을 열어 무엇을 대조할지 정하는 데서 시작합니다. 자료가 부족하다는 이유만으로 다른 프로젝트의 정보를 임의로 함께 보여 주지 않습니다. 검토자에게 전달할 의견 요청도 승인된 대상 안에서 작성합니다.

재고에는 사람이 확인한 상태와 아직 확인하지 않은 상태를 구분해 적습니다. 예를 들어 기존 협업자의 역할을 확인하지 못했다면 그대로 확인 필요로 둡니다. 빈칸을 채우려고 멤버나 역할을 임의로 추가하지 않습니다.

2. 담당 관리자에게 누적 권한을 확인받습니다

REVIEW-A의 전체 프로젝트 RBAC, 그룹 중복, custom role 연결 관계와 Cloud sessions 조건을 확인만 요청합니다. 관리자는 프로젝트 생성 및 모든 프로젝트의 열람·트리아지·관리 권한을 별도로 구성할 수 있습니다.

여러 그룹의 custom role 권한은 합집합으로 누적되므로 한 역할로 다른 역할의 허용을 제거할 수 없습니다. 프로젝트에 View를 지정했다고 모든 프로젝트 권한이 낮아지는 것은 아닙니다.

넓은 권한이 없다고 확인된 사람만 진행합니다. 이미 넓은 권한이 있거나 확인하지 못했다면 부적격 또는 확인 필요로 종료합니다. 현장에서 그룹이나 역할을 바꾸지 않습니다.

3. 한 명에게만 공유할 계획을 승인받습니다

P-A의 Share를 열어 REVIEW-A 한 명에게 View를 지정할 계획과 공유 범위를 사람에게 승인받습니다. whole organization은 선택하지 않습니다.

현재 UI에서 확인되는 동작만 따릅니다. 확인하지 않은 확정 버튼 이름이나 프로젝트별 권한 충돌의 우선순위를 추정하지 않습니다.

공유 전 승인에는 대상 별칭, 실제 사용자와의 로컬 대응, 필요한 열람 범위, 유지할 기존 협업을 포함합니다. 검토자가 누구인지 불분명하면 지정부터 진행하지 않습니다. 승인은 역할을 넓혀도 된다는 포괄 허가가 아닙니다.

4. View를 부여한 뒤 같은 Share를 재조회합니다

승인된 REVIEW-A 한 명에게만 View를 부여합니다. 이후 같은 Share를 다시 열어 대상·표시 역할·공유 범위를 승인 내용과 대조합니다.

다른 멤버의 권한 추가, 공유 해제, 그룹 변경은 하지 않습니다. 화면에서 확인한 결과를 기록합니다. 즉시 반영이나 특정 처리 시간을 가정하지 않습니다.

5. 검토자 본인 계정에서 열람을 관측합니다

본인 인증을 마친 REVIEW-A가 P-A의 기존 승인 Finding을 읽고 사전에 정한 원문 표시 범위와 대조합니다. 작성자가 대신 접속하거나 계정 정보를 전달받는 방식은 사용하지 않습니다.

상태 변경·수정 시작·설정·재공유 기능은 실행하지 않고 노출 여부만 기록합니다. 버튼 미노출은 서버 차단의 증명이 아니며 기대와 다르면 조작을 더 하지 않고 담당자 확인과 확대 중단으로 전환합니다.

검토 메모에는 열람한 자료가 사전에 정한 대상과 맞았는지도 적습니다. 접속만 성공하고 다른 Finding을 확인했다면 필요한 열람 검토를 마친 것이 아닙니다. 자료가 부족하면 새 저장소를 연결하는 대신 담당자가 입력 범위를 다시 검토하도록 남깁니다.

6. 기존 협업자와 비대상 권한을 대조합니다

KEEP-B가 실제로 있다면 기존 열람 업무가 유지되는지 양측에서 확인합니다. 없다면 가상의 확인 결과를 만들지 않고 해당 없음으로 남깁니다.

같은 Share를 최종 재조회해 비대상 멤버와 권한이 기존 상태로 보존되어 있는지 대조합니다. 보기 성공·변경 기능 관측·미확인 사항·승인을 분리한 내부 메모로 종료합니다.

책임자와 재검토일, 문제 발생 시 대응 승인도 기록합니다. API 차단 검증은 미실행으로 남깁니다. 별도 승인 없이 추가하지 않습니다.

복사해서 쓰는 검토 프롬프트

다음 문안은 선택적으로 일반 Claude 채팅에서 익명 관측 메모를 정리할 때 사용합니다. 공유를 실행하거나 보안을 판정하는 지시가 아닙니다.

실전 인사이트

주의할 점

자주 묻는 질문

출처

마무리

Claude Security 프로젝트 공유는 읽기 검토와 변경 업무를 구분하는 기준부터 세워야 합니다. 승인된 한 명에게 View를 부여하더라도 누적 권한과 실제 관측을 분리해 확인하고 미확인 항목은 그대로 남깁니다.

한 줄 요약: View 검토자는 한 명부터 승인해 공유하고 열람 성공과 수정 통제의 확인 수준을 따로 기록합니다.