IAM이란: 계정·접근관리 솔루션 방식과 도입 판단 5가지

IAM은 계정 생성부터 접근 권한 부여·회수까지 조직 내 신원(Identity)과 접근(Access)을 하나의 정책으로 관리하는 체계입니다. 국내 백오피스 환경에서는 다수의 SaaS와 온프레미스가 섞여 있어 계정이 흩어지고 퇴사자 권한이 잔존하는 문제가 커집니다. IAM의 구성요소와 도입 판단 기준을 아래에서 순서대로 정리합니다.

IAM이란

IAM(Identity and Access Management, 계정 및 접근 관리)은 조직 구성원이 어떤 시스템에 언제 접근할 수 있고 무엇을 할 수 있는지 정의·집행·감사하는 통합 관리 체계입니다. 사람뿐 아니라 협력사, 서비스 계정, 애플리케이션까지 포함한 모든 신원 주체가 대상입니다.

기술적으로는 신원 저장소(Directory), 인증(Authentication), 인가(Authorization), 프로비저닝(Provisioning), 감사(Audit) 다섯 축을 하나의 정책으로 묶습니다. 국내 백오피스 관점에서 IAM은 근태·급여·전자결재·CRM·그룹웨어 등 여러 SaaS와 사내 서버가 뒤섞인 환경에서 ‘누가 언제 무엇에 접근했는가’를 단일 창구에서 통제하는 것이 핵심입니다.

임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 IAM 솔루션을 연결합니다. 온프레미스 위주인지, 클라우드 SaaS 위주인지, 규제 요건이 있는지에 따라 적합한 방식이 달라지므로 판단 축을 먼저 정리하는 것이 중요합니다.

왜 지금 필요한가 — 계정 폭증과 퇴사자 권한 잔존

2020년 이후 국내 기업의 SaaS 도입이 빠르게 늘면서 한 명의 임직원이 사용하는 업무 시스템 수도 함께 증가했습니다. 한국인터넷진흥원(KISA)의 2023년 정보보호실태조사에 따르면 국내 기업의 클라우드 서비스 이용률은 2020년 22.6%에서 2023년 33.7% 수준으로 상승한 것으로 알려져 있습니다. 개별 임직원 기준으로는 근태, 급여, 전자결재, 메신저, 문서, CRM, 세무회계, 협업 도구까지 일반적으로 8~15개 수준의 시스템 계정을 보유하는 것으로 추정됩니다.

계정 수가 늘면서 두 가지 문제가 함께 커집니다.

• 계정 폭증: 신입 입사 시 시스템별로 계정을 하나씩 생성해야 하므로 IT 담당자가 일반적으로 8~15회 수준의 반복 작업을 수행합니다. 부서 이동 시에도 권한을 시스템별로 재조정해야 합니다.
• 퇴사자 권한 잔존: 퇴사 처리 후에도 일부 시스템에서 계정이 남아 있는 경우가 발생합니다. 특히 협력사 도구, 클라우드 스토리지, 서드파티 SaaS는 인사 시스템과 별개로 관리되어 회수가 누락되기 쉽습니다.

보안 사고의 상당수가 이 잔존 권한에서 시작합니다. IBM이 발간한 Cost of a Data Breach Report 2024에 따르면 유출 원인 중 도난·손상된 자격 증명(Compromised Credentials)이 약 16% 수준으로 가장 큰 초기 침투 경로로 알려져 있으며, 이 유형의 평균 대응 기간도 약 292일로 다른 유형보다 길게 보고된 것으로 알려져 있습니다.

IAM 솔루션의 4가지 구성요소 (SSO·MFA·프로비저닝·PAM)

IAM 솔루션은 통상 다음 네 가지 기능을 결합해 제공합니다. 벤더에 따라 이 중 일부만 제공하기도 하고, 통합형으로 전부 제공하기도 합니다.

SSO는 사용자 경험(UX) 관점, MFA는 인증 강화 관점, 프로비저닝은 라이프사이클 관점, PAM은 특권 계정 통제 관점입니다. 네 축은 서로 다른 문제를 풉니다. 조직 상황에 맞춰 우선순위를 정한 뒤 단계적으로 확장하는 것이 일반적입니다.

SSO·EAM·PAM과 무엇이 다른가

IAM은 상위 개념이고, SSO·EAM·PAM은 그 안의 특정 영역을 담당하는 하위 카테고리입니다. 실무에서 자주 혼용되므로 구분해서 이해해야 합니다.

일반적으로 IAM은 우산(Umbrella) 개념이고, SSO는 사용자 접근 편의 축, EAM은 국내 대기업이 2000년대부터 도입해 온 사내 접근 관제 축, PAM은 특권 계정 축입니다. 조직마다 이미 도입한 축이 다르므로 기존 시스템과의 중복·공백 지점을 먼저 파악해야 합니다.

도입 전 확인할 5가지

IAM 도입은 단순한 제품 선택이 아니라 조직의 인사 프로세스, 시스템 지형, 규제 요건과 맞물립니다. 도입 검토 단계에서 다음 다섯 가지를 먼저 확인해야 결과가 어긋나지 않습니다.

1. 인사 시스템과의 연동 방식

IAM의 프로비저닝이 의미 있게 작동하려면 입/퇴사·부서이동·직급변경이 인사 시스템에서 발생한 즉시 IAM으로 전달되어야 합니다. HRIS 또는 근태·급여 시스템이 이벤트를 발행하는지, SCIM(System for Cross-domain Identity Management) 표준을 지원하는지, 배치 동기화(예: 1일 1회)만 가능한지 확인이 필요합니다. 이벤트 실시간 연동이 어려우면 퇴사 후 권한 회수까지 몇 시간에서 하루가 걸릴 수 있습니다.

2. 온프레미스와 SaaS 비중

사내 서버(온프레미스)와 클라우드 SaaS의 비중이 어떤가에 따라 적합한 IAM이 달라집니다. 온프레미스 위주 조직은 국내 EAM 계열 벤더가 유리하고, SaaS 위주 조직은 SAML·OIDC 표준을 폭넓게 지원하는 글로벌 IDP(Identity Provider)가 유리합니다. 대부분 조직은 두 유형이 섞여 있으므로 일반적으로 주요 시스템 10~20개 수준을 목록화해 어느 쪽 지원이 넓은지 판단해야 합니다.

3. 규제 대상 여부

금융·의료·공공·개인정보 취급 조직은 접근 통제·로그 보관 요건이 강합니다. 개인정보보호법 제29조는 접근 권한 관리와 접근 통제, 접속 기록의 보관·점검을 안전조치 의무로 규정하고 있으며, 「개인정보의 안전성 확보조치 기준」 고시에 따라 접속 기록은 최소 1년(개인정보처리자) 또는 2년(민감정보·5만명 이상) 이상 보관해야 합니다. 규제 대상이라면 감사 로그 보관 기간, 세션 녹화, 특권 계정 승인 워크플로가 요건을 충족하는지 확인해야 합니다.

4. 사용자 수와 시스템 수

임직원 수와 연결할 시스템 수가 라이선스 비용과 구현 난이도를 결정합니다. 일반적으로 임직원 50명 이하·SaaS 3~5개 수준 조직은 SSO 중심 경량 솔루션이 적합하고, 500명 이상·시스템 30개 이상 규모에서는 통합 IAM 플랫폼이 총소유비용(TCO) 관점에서 유리한 것으로 알려져 있습니다. 연간 신규 입/퇴사자 수도 프로비저닝 자동화의 ROI 판단 근거입니다.

5. 도입 이후 운영 주체

IAM은 도입보다 운영이 더 어렵습니다. 정책 갱신, 예외 승인, 계정 소명, 감사 대응이 지속됩니다. 사내 IT 인력이 몇 명인지, 매니지드 서비스(MSP)를 활용할지, 정보보안 담당자가 별도로 있는지에 따라 벤더 지원 수준과 계약 조건을 다르게 잡아야 합니다.

어떤 조직에 어떤 방식이 맞는가

조직 규모와 지형에 따라 실무에서 자주 채택되는 조합이 다릅니다. 아래는 대표적인 패턴이며, 실제 선택은 위의 다섯 가지 확인 항목을 함께 반영해야 합니다.

• 임직원 20~100명 수준, SaaS 위주: 일반적으로 SSO + MFA 우선. 프로비저닝은 인사 시스템 API가 열려 있으면 부분 자동화. 국내·글로벌 IDP 중 SAML/OIDC 지원이 넓은 제품이 유리합니다.
• 임직원 100~500명 수준, 온프레미스와 SaaS 혼재: 일반적으로 통합 IAM 도입 검토. SSO·MFA·프로비저닝을 하나의 플랫폼에서 관리하고, EAM으로 사내 시스템을 커버합니다.
• 임직원 500명 이상 규모, 다사업장·자회사 보유: 일반적으로 IAM + PAM 병행. 사업장·자회사별 권한 정책을 분기하되 전사 통합 리포팅이 가능한 아키텍처가 필요합니다.
• 해외 법인·다지역 근무: 글로벌 IDP 우선 검토. 다지역 프로비저닝·SSO와 국내 규제(개인정보보호법 등) 대응 양쪽을 지원하는 벤더인지 확인해야 합니다.
• 규제 대상(금융·의료·공공): PAM과 감사 로그 요건이 우선. 접근 승인 워크플로, 세션 녹화, 이상 행위 탐지가 반드시 포함되어야 합니다.

임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 IAM 솔루션을 연결합니다. 조직 규모, 시스템 지형, 규제 요건을 정리해 두면 후보군을 좁히는 데 걸리는 시간이 크게 줄어듭니다.

자주 묻는 질문

아닙니다. SSO는 IAM의 한 기능입니다. IAM은 신원 저장소·인증·인가·프로비저닝·감사 전반을 포괄하는 상위 개념이고, SSO는 그중 사용자 로그인 편의를 담당하는 축입니다. SSO만 도입하면 계정 라이프사이클 자동화나 특권 계정 통제는 별개로 남습니다.

사용 중인 SaaS가 대체로 5개 이상이거나, 협력사와 자료를 공유하거나, 개인정보를 취급한다면 필요합니다. 다만 통합 IAM 플랫폼보다 SSO + MFA 중심의 경량 솔루션이 비용과 운영 부담 측면에서 적합합니다.

범위에 따라 다릅니다. SSO 중심의 도입은 대상 시스템이 SAML/OIDC를 표준 지원할 경우 1~3개월, 인사 시스템 연동과 프로비저닝까지 포함하면 3~6개월, PAM과 규제 대응까지 통합하면 6~12개월이 일반적입니다.

클라우드 IAM은 해당 클라우드 리소스(서버·스토리지·DB) 접근을 통제하는 개발자·운영자용 도구입니다. 조직용 IAM은 임직원이 사용하는 업무 시스템(근태·급여·전자결재·CRM·SaaS)의 계정과 접근을 통제합니다. 대상과 사용자 층이 다르므로 별개로 관리하거나, 상위 IAM 아래 통합합니다.

초기에는 조직도·직급·역할 매핑 작업이 필요하지만, 안정화 이후에는 오히려 줄어듭니다. 입/퇴사 시 시스템별 계정을 개별 처리하던 반복 작업이 인사 이벤트 하나로 자동화되기 때문입니다. 프로비저닝이 잘 설계된 조직에서는 IT 담당자 개입 없이 인사 프로세스만으로 접근 권한이 정리됩니다.