한국에서 SSO 솔루션 선택하는 방법: 실전 구매 가이드

한국에서 SSO 도입은 더 이상 틈새 IT 프로젝트가 아닙니다. 평균적인 미드마켓 환경이 수십 개 SaaS를 다루는 시대에 SSO가 메우는 오프보딩 공백은 개인정보보호법 사고 처리에서 깔끔한 결과와 신고 대상 사고를 가르는 결정적 변수가 됩니다. 본 가이드는 한국 구매자가 1일 차에 효과를 내고 3년 차에도 견디는 SSO 프로그램을 만들기 위한 실질적 의사결정 — 프로젝트 프레이밍, 신원 원천 선택, MFA 설계, 라이프사이클 자동화, 벤더 선정, PoC, 예산 — 을 안내합니다.

이 가이드의 구성

• 프로젝트 프레임: SSO가 실제로 해결하는 문제
• 신원 원천(Source of Truth) 결정
• 벤더 선정 전에 MFA 설계
• 조이너부터 리버까지 라이프사이클 자동화
• 통합 계획: SAML·OIDC·SCIM·롱테일
• 개인정보보호법·금융보안원·ISMS-P 사전 매핑
• 현실을 반영한 PoC 설계
• 3년 TCO 모델링
• 롤아웃·거버넌스·운영 계획
• 흔한 함정과 회피 방법

프로젝트 프레임: SSO가 실제로 해결하는 문제

플랫폼을 선택하기 전에, SSO가 조직에서 해결할 세 가지 문제를 명시합니다. 한국 미드마켓에서 흔한 목록은 ① 퇴직자의 잔여 권한, ② 앱별 MFA 일관성 부족, ③ 개인정보보호법 사고 검토 시 감사 로그 파편화입니다. SSO는 인증·신원 결정을 한 곳에 집중시켜 세 문제를 동시에 다룹니다. 이 목록이 현실과 다르면 이후 모든 결정이 어긋납니다.

다음은 범위입니다. 한국 팀이 1일 차에 모든 SaaS를 SSO에 묶으려 시도하면 거의 항상 일정을 초과합니다. 지속 가능한 방법은 SaaS를 필수·중요·선택의 세 등급으로 나누는 것입니다. 필수는 개인정보·고객 데이터·운영 자격증명을 보유한 앱으로 출시 전 통합, 중요는 90일 내, 선택은 그 이후입니다. 이 등급화는 개인정보보호위원회의 위험 기반 접근과도 일치합니다.

마지막으로 임원 스폰서와 운영위원회를 지정합니다. SSO는 HR·IT·보안·재무를 동시에 건드리는 통제입니다. 보안팀만 소유하면 HRIS 통합 자원이 부족하고, IT만 소유하면 감사 의무를 놓치기 쉽습니다. RFP 전에 보안·IT·HR·DPO가 함께 들어간 스티어링 위원회를 세운 조직이 일정 안에 끝맺는 비율이 가장 높습니다.

신원 원천(Source of Truth) 결정

모든 SSO 프로그램은 하나의 결정 위에 서 있습니다 — 조직에 누가 존재하는지에 대한 진실의 원천은 어떤 시스템인가? 한국 미드마켓에서 후보는 HRIS(Workday, BambooHR, 사람인 HRD, 자비스, 한국 ERP), Microsoft 365 / Entra ID, Google Workspace 디렉터리입니다. 이 선택이 통합 비용, 오프보딩 지연, 감사 완전성에 미치는 영향은 어떤 결정보다 큽니다.

HRIS-driven 구성은 개인정보보호법 수준의 오프보딩에 가장 강합니다. Workday나 사람인의 퇴사 이벤트가 SaaS 디프로비저닝을 분 단위로 일으키고, HRIS가 감사 앵커가 됩니다. Okta·OneLogin이 이 모델에 강하고, Entra ID는 Workday 커넥터나 제3자 IGA를 통해 같은 효과를 만듭니다. 단점은 HR 데이터 위생에 강하게 의존한다는 점입니다 — 인사 마스터가 일관되지 않으면 SSO도 그 문제를 그대로 가져갑니다.

M365/Entra ID-driven 구성은 대부분 앱이 Microsoft 생태계에 있고 HRIS가 국내 또는 부재일 때 효율적입니다. 운영은 단순하지만 HR 이벤트가 일일 sync로 Entra에 흘러들면서 오프보딩 지연이 생깁니다. 금융보안원 검사 대상이라면 보다 견고한 HRIS 연결이 필요합니다.

Google Workspace-driven 구성은 스타트업·디지털 SMB에 흔합니다. JumpCloud·Okta는 모두 깔끔하게 연동되지만 Workspace는 본질적으로 디렉터리 원천을 의도한 도구가 아닙니다. 외부 인력·비정규직 ID 관리가 어색해지므로 직원 100명 이상이 되면 HRIS-driven 또는 Entra ID-driven 모델로 이전하는 경우가 많습니다.

벤더 선정 전에 MFA 설계

MFA 설계는 한국 팀이 가장 자주 과소투자하는 영역입니다. TOTP 일괄 등록으로 마무리하기 쉽지만, 개인정보보호법·금융보안원·ISMS-P 환경에서는 더 층위가 필요합니다. 관리자·재무 결재자·개인정보 접근자 등 특권 계정은 FIDO2 하드웨어 키 또는 플랫폼 인증기(Windows Hello, Touch ID)를 사용합니다. 일반 직원은 위험 신호 기반 푸시 MFA로 충분합니다. SMS는 명시적인 단계적 폐지 일정이 필요한 fallback일 뿐 기본 수단이 아닙니다.

적응형 MFA는 디바이스 상태·위치·위험 점수에 따라 챌린지 여부를 동적으로 결정합니다. 사무실·재택·고객사를 오가는 하이브리드 워크포스에 마찰을 줄여 줍니다. Entra ID는 P2의 Identity Protection, Okta는 Identity Threat Protection 또는 Adaptive MFA, JumpCloud는 Conditional Policies로 동일한 기능을 제공합니다 — 견적 단계에서 어느 SKU에 포함되는지 명확히 합니다.

마지막으로 복구 절차를 설계합니다. 2차 인증 분실은 SSO를 깨뜨리는 가장 빠른 길입니다. 복구는 백업 코드(금고 보관) + 비상 관리자 절차 + 신원 재확인 단계로 구성합니다. 임원·관리자 복구에는 본인 신원 재확인 강화를 권장합니다. 첫 사고 후가 아니라 롤아웃 전에 설계합니다.

조이너부터 리버까지 라이프사이클 자동화

라이프사이클 자동화가 SSO를 개인정보보호법의 약속을 지키는 통제로 만듭니다. 자동화할 흐름은 세 가지: 조이너(계정 생성, 그룹·앱 부여), 무버(직무·부서·근무지 변경), 리버(전체 디프로비저닝, 아카이브, 감사 로그). 각 흐름에 도달 지연 목표를 명시합니다.

조이너 흐름의 한국 미드마켓 표준 목표는 HRIS 이벤트 후 30분 내 tier-1 앱 프로비저닝, 4시간 내 tier-2 앱 프로비저닝입니다. 30분 이하로 줄이는 데 드는 복잡성 대비 효익은 보통 미미합니다. 리버 흐름은 더 엄격합니다 — 30분 내 활성 세션 회수까지 포함해야 하며, PoC에서 실측합니다. 단순히 다음 로그인 차단만 되는 SCIM 통합은 진행 중 세션을 끊지 못해 위험 노출이 길어집니다.

무버 흐름은 직무·부서 변경에 따른 권한 재정렬을 자동화합니다. Finance→Marketing 이동 시 재무 보고 도구 권한 회수와 마케팅 멤버십 부여가 동시에 일어나야 합니다. 이 흐름이 수동으로 남으면 ISMS-P 감사에서 잔여 권한이 반복적으로 지적됩니다. HR 직책·부서를 키로 한 RBAC 규칙을 SSO 플랫폼에 정의하고 HRIS 업데이트로 트리거합니다.

통합 계획: SAML·OIDC·SCIM·롱테일

한국 미드마켓 SSO 도입은 통상 통합 앱 30~80개로 안정되며 그중 5~15개가 커스텀 작업입니다. Salesforce·GitHub·Atlassian·Slack·Notion 등은 카탈로그(OIN, Entra Gallery, JumpCloud)에서 매끄럽게 통합됩니다. 사람인 HRD·두레이·자비스·국내 ERP 같은 한국 SaaS는 커스텀 SAML/OIDC 커넥터가 필요한 경우가 많습니다.

SCIM은 라이프사이클을 결정짓는 두 번째 통합 계층입니다. Top 20 앱에 대한 SCIM 지원을 계약 전에 확인하고, 부재 시 수동 또는 스크립트 우회를 임시 운영합니다. 통합 빌드는 커스텀 1건당 5~15 인일이 일반적입니다 — 10건이면 50~150 인일, 파트너와 병렬로 6~12주가 걸립니다. 이를 프로젝트 일정에 명시합니다.

개인정보보호법·금융보안원·ISMS-P 사전 매핑

RFP 단계에서 컴플라이언스 매핑을 포함한 한국 프로젝트는 검토 단계에서 손실 시간이 적습니다. 개인정보보호법은 고유 식별·적정 접근 통제·MFA·감사 로그를 요구하고, ISMS-P 인증은 통제 항목별 증적을 요구합니다. 다섯 플랫폼 모두 정확한 SKU에서 요건을 만족할 수 있지만, P2·Governance·Adaptive MFA 같은 옵션 포함 여부가 결정적입니다.

금융기관(은행·증권·보험)은 금융보안원의 전자금융감독규정·정보처리시스템 가이드라인을 따라야 하며, 강한 고객 인증, 특권 접근 관리, end-to-end 로깅이 기본선입니다. Ping과 Okta는 한국 금융권 레퍼런스가 풍부합니다. 공공·통신은 정보통신망법과 자체 감사 가이드라인을 함께 고려하고, 데이터 위치는 서면으로 확정합니다.

현실을 반영한 PoC 설계

한국 미드마켓 SSO 선정의 PoC 기간은 4~6주가 표준입니다. 통합 3종(쉬운 SaaS·커스텀·HRIS), 전체 리버 흐름, 대표 그룹의 MFA 등록, DPO 검토용 감사 export를 포함합니다. 리버 흐름은 절대 생략하지 않습니다 — 실제 조건에서만 드러나는 엣지 케이스가 모이는 지점입니다.

PoC 대상은 10명 단위가 아닌 2~3개 부서 30~50명, 특권 1명·외부 인력 1명 포함이 좋습니다. 가능하면 PoC 도중 부서 이동(mover) 시나리오를 실행해 라이프사이클 자동화의 가장 흔한 빈틈을 검증합니다. 평가는 통합 폭, 오프보딩 지연, 관리자 UX, 감사 완전성, 한국 지원 응답 시간 다섯 축으로 1~5점 점수화하고 평가자 3인 이상의 합산을 사용합니다.

3년 TCO 모델링

한국 SSO는 3년 TCO를 4개 라인으로 비교합니다 — 플랫폼(SKU 정규화), 도입, 통합 빌드, 운영. Okta·Ping은 파트너 주도(연 1.5~5억)가 일반적이고, Entra ID·JumpCloud는 사내 도입(연 0.5~1.5억)이 가능합니다. 통합 빌드는 5~15 인일/커스텀으로 잡고, 운영은 전담 ID 엔지니어(연 1.2~1.8억) 또는 매니지드 서비스(연 0.8~1.5억)로 두 시나리오를 평행 비교합니다. 1년 차 견적이 가장 싸 보여도 3년 합계가 가장 비싼 경우가 흔합니다.

롤아웃·거버넌스·운영 계획

롤아웃은 계약 전에 4단계로 정렬합니다 — Foundation(HRIS 연동·핵심 디렉터리·관리자 MFA·파일럿 2앱), Wave 1(상위 20 SaaS·라이프사이클·MFA 등록), Wave 2(롱테일·외부 인력·감사 설정), Steady-state(운영 인수·거버넌스 캐덴스·정기 검토). 각 단계의 출구 기준을 명시하고 다음 단계로 넘어가지 않습니다. 거버넌스는 분기 권한 검토, 연간 entitlement 재인증, 월간 인증 실패·MFA 등록률·오프보딩 지연 리뷰의 3중 캐덴스로 운영합니다. 운영은 사내 ID 엔지니어 또는 파트너 매니지드, 또는 평일 사내·야간/주말 파트너 온콜의 하이브리드 모델 중 선택합니다.

제품 자세히 보기

흔한 함정과 회피 방법

① 신원 원천 결정 전에 플랫폼을 정하면 통합을 두 번 짓는 비용이 발생합니다 — 첫 2주에 결정합니다. ② MFA 등록 예산을 빠뜨리면 첫 6주가 헬프데스크 폭주로 끝납니다 — 등록 캠페인·임원 에스컬레이션·강제 차단 기한을 함께 계획합니다. ③ 오프보딩 지연을 실측하지 않으면 영업 자료를 그대로 믿게 됩니다 — Top 10 앱에 대해 사례 측정 후 격차를 문서화합니다. ④ 외주·감사·외부 개발자 등 비정직원 ID를 빠뜨리면 entitlement review가 무력화됩니다. ⑤ 사용자당 가격으로 비교하면 SKU 누락분이 보이지 않습니다 — 실제 사용 기능과 운영 비용까지 포함한 3년 정규화 시트로 의사결정합니다.