파일 공유 솔루션 for Startups on a Budget

개인정보보호위원회(PIPC)가 2023년 발표한 실태조사에 따르면, 국내 스타트업의 34%가 직원 개인 이메일로 사업 기밀을 주고받은 경험이 있다. 월 3만 원 이하로 암호화 전송 도구, 경량 클라우드 드라이브, 패스워드 매니저를 조합하면 투자자 덱부터 디자인 파일, 외주 납품물까지 안전하게 관리할 수 있다. HexaTransfer처럼 계정 없이 10 GB까지 무료로 사용할 수 있는 종단간 암호화 전송 서비스를 핵심 스택에 넣으면 초기 비용 없이 시작할 수 있다.

이메일 첨부를 조기에 포기해야 하는 이유

Gmail의 첨부 파일 한도는 25 MB다. 랜딩 페이지 목업 하나만 내보내도 40 MB를 넘고, 영상 클립이 포함된 투자 덱은 100 MB를 훌쩍 초과한다. 창업 초기 3개월이면 대부분의 팀이 ZIP으로 분할하거나 개인 Dropbox에 올리고 계약 만료 후에도 접근 권한을 회수하지 않는 상황에 빠진다.

개인정보 보호법(PIPA) 제29조는 개인정보 처리자에게 기술적·관리적 보호조치를 요구한다. EU 이용자가 단 한 명이라도 있으면 GDPR 제32조도 함께 적용된다. "이메일로 주고받았다"는 답변은 투자자 실사(due diligence) 과정에서 치명적인 약점이 된다.

무료 티어로 운영 가능한 초기 스택

2~5인 팀이 처음 6개월을 무료에 가깝게 운영할 수 있는 조합:

임시 전송: HexaTransfer(10 GB, E2EE, 계정 불필요) 또는 SwissTransfer(50 GB, 스위스 관할권)
팀 드라이브: Google Drive 무료(계정당 15 GB)
대용량 아카이브: Proton Drive 무료(5 GB, 클라이언트측 암호화)
시크릿 공유: Bitwarden 무료(패스워드 무제한, 2인 공유)
코드·디자인 자산: GitHub 무료(비공개 저장소 무제한, LFS 1 GB)

약점은 무료 Google Drive의 공유 모델이다. 링크를 가진 누구에게나 영구 접근이 열린다. 파일이 낯선 사람의 다운로드 폴더에 무기한 남아 있는 것을 원하지 않는다면 임시 전송 도구를 반드시 병행해야 한다.

시드에서 시리즈 A까지 도구 교체 없이 성장하는 법

직원 10명 전후로 무료 티어의 한계에 부딪힌다. 가장 경제적인 업그레이드 경로:

Google Workspace Business Starter: 사용자당 월 $7.20, 공유 드라이브와 관리 콘솔 포함
Dropbox Business Standard: 사용자당 월 $15, 5 TB 풀 스토리지와 세밀한 권한 설정
Proton Business: 사용자당 월 $12.99, E2EE 메일·드라이브, 스위스 관할권

디자인 중심 팀은 Dropbox, Google Docs·Sheets 중심 팀은 Workspace, 의료·법률·금융 민감 데이터를 다루는 팀은 Proton이 적합하다. 유료 스토리지를 사용하더라도 임시 전송 도구는 계속 유지하는 것이 낫다. 투자자에게 2 GB 데이터 익스포트를 보낼 때마다 외부 협업자로 추가할 필요가 없어진다.

투자자 덱과 텀시트 보호

공개 링크로 배포된 피치덱이 Scribd나 SlideShare에 인덱싱된 사례는 수백 건에 달한다. 세 가지 통제로 위험을 줄일 수 있다.

비밀번호 보호 전송 사용: HexaTransfer, SwissTransfer, Tresorit Send 모두 패스프레이즈 설정과 별도 채널 전달을 지원한다.
만료일 설정: 투자자 검토에는 7일이면 충분하다.
PDF 워터마킹: 수신자 이름이 포함된 워터마크를 삽입하면 유출 경로 추적이 가능하다.

텀시트와 서명 문서는 Docusign 또는 Dropbox Sign 같은 전자 서명 플랫폼으로 처리한다. 스캔한 NDA를 이메일로 보내지 않는다.

외주·프리랜서 파일 인수인계

수신 측 표준화가 핵심이다. 브랜드 업로드 페이지를 만들어 외주자가 선호하는 클라우드를 마음대로 사용하지 못하게 한다. 아웃바운드 브리핑은 브랜드 자산, 작업 범위서, 서명된 NDA를 단일 ZIP으로 묶어 하나의 전송 링크, 하나의 비밀번호, 하나의 만료일로 전달한다. 6개월 뒤 상표 출원이나 DMCA 처리 시 납품물을 빠르게 찾을 수 있도록 프로젝트 코드와 외주자 이름으로 태그를 붙인다.

엔터프라이즈 비용 없이 컴플라이언스 달성하기

의료 데이터를 취급하면 BAA(사업 제휴 계약)를 체결한 벤더가 필요하다. Google Workspace와 Dropbox Business는 유료 플랜에서 BAA를 제공한다. 결제 데이터를 처리하면 PCI DSS 4.0이 적용되며, 카드 소지자 데이터를 이메일이나 채팅으로 전송하는 것은 명백한 위반이다. GDPR 제30조는 250인 이상 또는 고위험 처리에서 기록 의무를 부과하지만, 5인 스타트업이 EU 가입자를 처리하는 경우 Notion에 작성한 한 페이지짜리 처리 활동 기록(ROPA)으로 충분하다.

시리즈 A 이후 도구 증식 방지

시리즈 B 무렵이면 영업팀은 Dropbox, 엔지니어링팀은 Box, 마케팅팀은 Google Drive를 각각 쓰는 상황이 된다. 분기마다 스택을 감사하고, 미사용 계정을 삭제하며, 오래된 공유 링크를 회수한다. Cloudsploit이나 Scoutsuite 같은 무료 도구로 공개 S3 버킷이나 과잉 권한 Drive 폴더를 주기적으로 점검해야 한다.

https://hexatransfer.com — 무료, 계정 불필요, 최대 10 GB.