전사 MFA 의무화, 로그인 대란 없이 도입하는 체크리스트
SaaS 기업이 MFA 의무화를 단계적으로 적용하고 예외·복구·감사 절차까지 안전하게 운영하는 방법을 정리합니다.
SSO를 도입해 로그인 창구를 하나로 모았더라도 비밀번호 하나만으로 모든 앱에 들어갈 수 있다면, 탈취된 계정의 피해 반경도 커집니다. MFA는 이 위험을 낮추는 중요한 방어선입니다. 하지만 어느 날 전 직원에게 즉시 강제하면 휴대전화 교체, 시간 오차, 등록 누락이 한꺼번에 헬프데스크로 몰릴 수 있습니다. 전사 MFA 의무화는 스위치를 켜는 일이 아니라 등록, 시행, 복구를 나누어 설계하는 변화 관리에 가깝습니다.
강제 적용 전에 기준부터 정합니다
대상과 예외의 소유자를 명확히 합니다
관리자와 민감정보 접근자는 우선 적용하고, 일반 사용자는 부서나 그룹 단위로 확대합니다. 서비스 계정처럼 대화형 로그인이 불필요한 계정은 사람 계정과 분리하고, MFA 예외가 필요하다면 사유·승인자·만료일을 기록하세요. 영구 예외는 시간이 지나면서 보안의 뒷문이 됩니다.
현재 계정 수, MFA 등록률, 최근 로그인 사용자, 휴면 계정을 먼저 파악하면 시행일의 실제 영향을 예측할 수 있습니다. 장기 미사용 계정은 무작정 등록을 독촉하기보다 휴면 계정 접근 정책에 따라 중지 여부를 먼저 판단하는 편이 안전합니다.
성공 조건을 숫자로 합의합니다
“대부분 등록” 대신 시행 전 등록률, 미등록 관리자 수, 주간 재설정 요청 수처럼 확인 가능한 기준을 둡니다. 로그인 실패율과 문의량의 평상시 기준도 남겨야 적용 후 이상 증가를 구분할 수 있습니다.
등록 기간과 강제 기간을 분리합니다
1단계: 안내와 자율 등록
시행일 2~4주 전부터 로그인 후 등록 안내를 제공하고, TOTP 앱 설치와 복구 절차를 함께 설명합니다. TOTP의 동작과 한계는 MFA·TOTP 기초 가이드처럼 짧은 자료로 공유하세요. TOTP는 비밀번호 단독 인증보다 안전하지만 피싱 자체를 없애지는 않으므로, 승인되지 않은 로그인 페이지에 코드를 입력하지 말라는 교육도 필요합니다.
2단계: 고위험 그룹부터 강제
관리자, 운영, 재무 그룹에 먼저 적용한 뒤 오류와 문의 유형을 확인합니다. 이후 소규모 그룹을 순차 확대하면 전사 장애를 피하면서 정책을 검증할 수 있습니다. 각 단계에서 등록 성공, 인증 실패, 예외 부여와 해제를 감사 로그로 남기세요.
3단계: 전사 적용과 예외 만료
시행일에는 미등록 사용자의 다음 로그인을 등록 화면으로 유도하되, 우회 링크를 제공하지 않습니다. 임시 예외는 자동 또는 정기 검토로 만료시키고, 그룹 이동과 신규 입사자에게도 같은 정책이 적용되는지 확인합니다.
복구 절차가 약하면 MFA도 약해집니다
휴대전화 분실이나 기기 교체는 반드시 발생합니다. 헬프데스크가 이메일이나 이름만 확인하고 MFA를 초기화하면 공격자는 로그인 대신 복구 절차를 노립니다. 요청자 확인, 2인 승인, 기존 세션 종료, 재등록 기한, 모든 변경 기록을 표준 절차로 만드세요. 자세한 통제 항목은 MFA 재설정 헬프데스크 보안에서 확인할 수 있습니다.
IdP 장애나 관리자 잠금에 대비한 비상 계정도 필요하지만, 일상적인 MFA 우회 수단이 되어서는 안 됩니다. 별도 보관, 사용 알림, 정기 점검 원칙은 비상 계정 운영 가이드를 참고하세요.
AxiPass로 정책과 기록을 한 흐름에
AxiPass는 SaaS 기업용 멀티 테넌트 IdP로 고객사별 테넌트를 분리하고, OIDC·SAML 앱 로그인에 TOTP MFA 정책을 연결합니다. SCIM 계정 수명주기, 그룹 기반 앱 접근, 비SSO 앱의 SWA, 감사 로그까지 함께 관리하면 등록부터 권한 회수까지 끊기지 않는 운영 기준을 만들 수 있습니다.