SSO를 도입했다면 무엇을 측정해야 할까? SaaS 보안 지표 5가지

SSO를 연결한 뒤 프로젝트가 끝났다고 생각하기 쉽습니다. 하지만 실제 보안 효과는 “SSO 앱이 몇 개인가”보다 “업무 접근이 얼마나 중앙 통제되는가”에서 드러납니다. AI 기능이 내장된 SaaS와 원격 업무 도구가 빠르게 늘면서, 일부 핵심 앱만 SSO로 묶고 나머지는 개인 비밀번호에 맡기는 운영 공백도 커지고 있습니다.

SSO 지표는 속도계와 같습니다. 설치 자체가 목적이 아니라 어디에서 통제가 빠져나가는지 발견하는 장치입니다. 다음 다섯 가지를 테넌트와 앱 단위로 추적하면 보안팀과 고객사에 도입 성과를 더 명확하게 설명할 수 있습니다.

측정해야 할 다섯 가지 지표

1. SSO 앱 수보다 접근 커버리지를 보세요

SSO 커버리지는 전체 업무 앱 중 중앙 인증을 거치는 앱의 비율입니다. 단순 앱 개수뿐 아니라 사용자 수와 중요도를 함께 반영해야 합니다. 전 직원이 쓰는 협업 도구와 민감한 고객 데이터를 다루는 관리 도구는 우선순위가 높습니다.

OIDC와 SAML을 지원하는 앱은 표준 SSO로 연결하고, 표준 연동이 어려운 웹 앱은 SWA로 접근 경로를 관리할 수 있습니다. 두 방식의 역할은 SSO가 없는 앱의 자동 로그인에서 확인해 보세요. 단, SWA는 SSO 프로토콜을 대체하는 것이 아니라 커버리지 공백을 줄이는 보완 수단으로 구분해야 합니다.

2. MFA 적용률과 예외를 함께 측정하세요

“전사 MFA 활성화”라는 문구만으로는 충분하지 않습니다. 실제 로그인 중 MFA 정책이 적용된 비율, 관리자·고위험 그룹의 적용률, 면제 계정 수와 만료일을 함께 봐야 합니다. 특히 복구 계정이나 비상 계정이 상시 예외로 남지 않도록 소유자와 사용 기록을 점검하세요. MFA의 기본 구조는 TOTP 기반 MFA 가이드에서 살펴볼 수 있습니다.

3. 계정 회수 시간을 분 단위로 확인하세요

퇴사 또는 계약 종료가 등록된 시점부터 앱 접근이 차단될 때까지의 시간을 측정합니다. 평균만 보면 느린 예외가 숨을 수 있으므로 중앙값과 최대값, 기준 시간 초과 건수를 함께 보세요. SCIM으로 비활성화를 자동화하고 그룹 권한을 회수하면 수작업 티켓보다 지연과 누락을 줄일 수 있습니다. 자세한 흐름은 퇴사자 계정 회수 자동화를 참고하세요.

4. 비관리 계정과 장기 예외를 줄이세요

공용 계정, 로컬 관리자, SSO 우회 계정처럼 IdP 밖에서 인증되는 계정을 목록화합니다. 각 계정에는 업무상 이유, 소유자, 마지막 검토일, 종료일이 있어야 합니다. 예외 수뿐 아니라 기한을 넘긴 예외의 비율을 추적해야 개선 여부가 보입니다.

5. 인증 실패율을 보안과 가용성으로 나눠 보세요

로그인 실패가 늘었다고 모두 공격은 아닙니다. 잘못된 비밀번호, MFA 실패, 비활성 사용자, SAML 서명 오류, 정책 거부를 구분하면 공격 신호와 설정 장애를 빠르게 가를 수 있습니다. 변경 전후 실패율과 영향을 받은 테넌트를 감사 로그로 확인하고, 갑작스러운 증가는 대응 절차와 연결하세요.

지표는 한 화면보다 반복 가능한 운영이 중요합니다

매월 같은 기준으로 앱 커버리지, MFA, 회수 시간, 예외, 실패율을 검토하고 담당자와 목표치를 정하세요. AxiPass는 SaaS 기업이 고객사별 OIDC/SAML SSO, SCIM 프로비저닝, MFA, SWA, 그룹 정책과 감사 로그를 한곳에서 운영하도록 돕습니다. 연결 개수를 넘어 실제 통제 범위를 측정하는 IdP 운영을 시작해 보세요.

무료로 시작