인원 임계와 내부 IT 통제 — 50명, 150명, 500명의 분기점

비IT 업종이거나 소규모 인원으로 운영되는 조직이라면 카카오톡과 단일 포털, 스프레드시트 몇 개만으로도 회사가 충분히 돌아갑니다. 굳이 파편화된 소프트웨어 스택이나 거창한 IT 거버넌스를 고민할 이유도 없습니다.

하지만 소프트웨어와 데이터를 기반으로 비즈니스를 영위하거나, 지식 노동 중심으로 조직이 스케일업하기 시작하면 사정이 달라집니다. 생산성과 협업을 위해 다음과 같은 도구들이 하나둘 조직의 기본 인프라로 자리 잡게 됩니다:

• 생산성 및 계정 기반 (Identity의 뿌리): Google Workspace, Microsoft 365 (글로벌 표준) / 네이버웍스(NAVER WORKS) (국내)
• 사내 커뮤니케이션: Slack, Microsoft Teams, Zoom
• 인사 관리(HRIS) 및 채용(ATS): Workday, BambooHR, Greenhouse, Rippling (글로벌) / flex(플렉스), 레몬베이스, 시프티, 그리팅 (국내)
• 전사 자원 관리(ERP) 및 회계 원장: SAP, Oracle NetSuite, QuickBooks, Xero (글로벌) / 더존비즈온(더존), 이카운트(ECOUNT) (국내)
• 법인카드 및 비용·지출 관리(Spend Management): Ramp, Brex, Expensify, Concur (글로벌) / 스팬딧(Spendit), 고위드(Gowid) (국내)
• 업무 기록 및 문서 협업: Notion, Confluence, Jira, Figma
• 코드 및 클라우드 엔지니어링: GitHub, GitLab, AWS, GCP
• 생성형 AI 구독: ChatGPT(OpenAI), Claude(Anthropic), GitHub Copilot, Cursor
• 정보 접근 및 보안 통제 (IdP / IAM / MDM): Okta, Microsoft Entra ID, Jamf, Iru, 1Password

문제는 조직이 성장할수록 이 영역들에 대한 도구 도입과 라이선스 비용이 눈덩이처럼 불어나지만, 이를 전담해서 제대로 설계하고 운영할 수 있는 사내 IT 담당자는 어디에도 없다는 점입니다. 인원이 늘고 입퇴사가 잦아질수록 회사의 백오피스는 매일 보이지 않는 고통에 시달립니다.

입퇴사가 늘어날수록 증가하는 현실의 고통

초기 10~20명 규모에서는 통제 시스템이 없어도 회사가 잘 돌아갑니다. 누가 무슨 일을 하고 어떤 도구를 쓰는지 눈에 보이기 때문입니다. 하지만 인원이 50명을 넘고 150명 던바의 수에 가까워지면 백오피스 운영은 한계에 부딪힙니다.

자산 관리보다 더 고통스러운 소프트웨어 라이선스와 데이터 유실

노트북 시리얼 넘버를 엑셀에 적고 모니터를 불하하는 물리적 자산 관리도 번거롭지만, 진짜 지옥은 눈에 보이지 않는 소프트웨어 라이선스(SaaS)와 계정 데이터 관리 입니다.

직원이 한 명 입퇴사할 때마다 관리자는 끝없는 불안에 휩싸입니다.

• Google Workspace / Microsoft 365: 퇴사자의 계정을 제때 비활성화하거나 보관(Archive) 처리하지 않으면 매달 라이선스 비용이 청구될 뿐만 아니라, 퇴사자가 드라이브에 생성해 둔 핵심 업무 문서의 소유권이 꼬이거나 유실됩니다.
• GitHub: 개인 계정(Personal Account)을 회사의 조직(Organization)에 초대하는 구조가 많아, 퇴사 시 조직에서 명시적으로 제외하지 않으면 개인 계정에 회사 핵심 소스코드 접근권이 영구히 남습니다. Personal Access Token(PAT)과 SSH Key 역시 사각지대입니다.
• 협업 도구 (Slack, Notion, Figma): 슬랙 워크스페이스 계정 비활성화(누락 시 모바일 기기 사내 대화 유출 및 연동 봇 깨짐), 노션 비공개 페이지의 업무 문서 소유권 이관, 피그마의 비싼 에디터(Editor) 유료 시트 회수를 서비스마다 일일이 수동으로 챙겨야 합니다.
• 인사 및 채용 도구 (flex, Greenhouse 등): 면접관 권한이나 인사 평가, 연봉 등 민감한 개인정보가 담긴 HRIS 및 ATS 계정의 권한 회수가 누락되면 심각한 보안·컴플라이언스 사고로 이어집니다.
• ERP 및 지출 관리 (더존, 이카운트, Ramp, 스팬딧 등): 퇴사자의 전자결재 전결권, 법인카드 한도, ERP 회계 원장 접근권이 제때 회수되지 않으면 비용 통제 실패와 재무 데이터 왜곡 리스크가 발생합니다.
• 생성형 AI 구독 (ChatGPT, Claude, Cursor 등): 최근 폭발적으로 늘어난 AI 도구들은 팀원들이 개인 계정으로 각자 구독을 결제하고 사후 경비 청구하는 ‘섀도우 AI(Shadow AI)‘가 되기 십상입니다. 퇴사 후에도 매달 20~40달러씩 자동 결제되는 ‘좀비 라이선스’로 돈이 새고, 회사의 소스코드나 기밀이 개인 AI 계정으로 유출되는 거버넌스 구멍이 뚫립니다.

수십 개로 파편화된 SaaS마다 사람이 일일이 로그인해서 계정을 지우다 보면 필연적으로 누락이 발생합니다.

교과서의 함정: Okta 딜레마

이 문제를 해결하려는 교과서적인 처방은 Okta, Jamf나 Iru 같은 MDM, 전문 ITAM(IT 자산 관리) 솔루션을 도입하는 것입니다. 하지만 대다수 성장기 기업에게 이 해법은 현실성이 떨어집니다.

1. 비용의 벽: Okta나 엔터프라이즈 SAML 기능을 쓰려면 각 SaaS(GitHub, Slack, Notion 등)마다 ‘엔터프라이즈 요금제(일반 요금제의 2~4배)‘를 결제해야 합니다. 인당 월 수십 달러가 추가되어, 수십~수백 명 규모에서도 연간 수천만 원에서 억 단위의 비용이 순식간에 발생합니다.
2. 복잡성의 벽: SAML 연동, SCIM 속성 매핑, JSON 기반 조건부 정책 작성은 일반 총무나 인사 담당자는 물론, 일반 백엔드 개발자에게도 낯설고 복잡합니다.
3. 전담 인력의 부재: 회사의 엔지니어링 리소스는 고객 대상 제품(Product)을 만드는 데 100% 투입됩니다. 사내 IT 거버넌스는 늘 ‘중요하지만 아무도 전담하지 않는 회색 지대’로 남아, 결국 총무 담당자나 개발팀 리더의 야근으로 땜질됩니다.

결국 현실의 IT 통제는 “이상적인 엔터프라이즈 도구를 사는 것”이 아니라, “인원 임계 단계마다 감당 가능한 수준의 명시적 규칙과 최소한의 시스템을 구축하는 것” 이어야 합니다.

인원 임계별 IT 통제의 현실적 진화

50명 미만: 암묵적 신뢰와 중앙 계정 1개로의 집중

이 단계에서는 복잡한 도구를 도입할 필요도 없고, 도입해서도 안 됩니다. 대신 하나의 원칙만 지키면 됩니다.

• Google Workspace / Microsoft 365 단일 집중: 모든 SaaS의 가입과 로그인을 반드시 회사 구글/MS 계정으로만 강제합니다. 이 계정 하나가 모든 서드파티 서비스의 열쇠가 되도록 만듭니다.
• 공용 비밀번호의 격리: 1Password 등 패스워드 매니저를 도입하여 슬랙이나 메신저로 계정 정보를 평문 공유하는 관행을 완전히 없앱니다.
• 팀 단위 워크스페이스 및 결제 일원화: 개인 계정(Personal Plan)으로 제각각 결제하고 사후 경비 청구하는 관행을 없앱니다. 회사 공식 관리자 계정으로 GitHub Organization과 AI(ChatGPT Team, Cursor) 워크스페이스를 개설해 시트를 중앙에서 배포·회수하고, 구독 결제 수단을 공식 채널로 일원화합니다.
• 퇴사 체크리스트의 명문화: 시스템 연동이 안 되더라도, 입퇴사 시 확인해야 하는 사내 도구(Google/MS, GitHub, AI, 메신저, 클라우드) 목록을 단일 문서로 만들어 체크리스트를 강제합니다.

50명에서 150명: 중앙 IdP와 기본 MDM의 쥐어짜기

비싼 독립 IdP(Okta)를 새로 도입하기 어렵다면, 이미 쓰고 있는 Google Workspace Enterprise나 Microsoft 365(Entra ID)의 상위 티어 기능을 200% 활용하는 것이 실용적입니다.

• 내장 IdP의 SAML SSO 활용: Google Workspace나 Microsoft 365의 기본 SSO 기능을 활용해 주요 핵심 도구(Slack, Notion, GitHub)의 계정을 중앙으로 묶습니다. 퇴사 시 구글/MS 계정 1개를 정지하면 핵심 도구 접근이 한 번에 끊기도록 만듭니다.
• 기본 엔드포인트 관리(MDM) 적용: 기기 분실 시 데이터 유출을 막기 위해 전사 노트북의 디스크 암호화(FileVault, BitLocker)를 강제하고, 최소한 화면 잠금 시간과 OS 업데이트 규정을 시스템적으로 배포합니다.
• GitHub 조직 보안 강화: 2단계 인증(2FA)을 강제하고, 개인 PAT 만료 기한 설정 및 불필요한 서드파티 OAuth 앱 연동을 차단합니다.
• 지출 관리(Spend Management) 도구 도입: 인원이 늘어나면 실물 공용 카드 1장을 돌려쓰는 방식은 완전히 한계에 달합니다. Ramp, 스팬딧, 고위드 같은 지출 관리 솔루션을 연동해 개인형 법인카드나 용도별 가상 카드를 발급하고, SaaS 결제 전용 한도와 사전 승인 룰을 걸어 섀도우 IT의 팽창을 통제합니다.

150명에서 500명: Zero Trust와 역할 기반 분리(RBAC)

150명을 넘어서면 내부망(VPN, 사내 Wi-Fi)을 맹신하는 경계 보안이 무력화됩니다.

• Zero Trust 아키텍처 도입: 사내망 접속 여부와 상관없이 Cloudflare Access나 Google BeyondCorp 같은 리버스 프록시를 앞에 두고, [사용자 신원 + 보안 검증된 기기] 조건이 맞을 때만 내부 개발/어드민 시스템에 접근을 허용합니다.
• 상시 권한의 회수와 JIT(Just-In-Time) 승인: 상시 DB 어드민 권한을 박탈하고, 작업이 필요할 때만 사유를 남기고 1~2시간 임시 권한을 발급받는 승인 루프를 구축합니다.
• GitHub Enterprise Managed Users(EMU) 및 AI 거버넌스: 사내 IdP 계정과 연동된 기업용 GitHub 계정만 사용하도록 강제하고, 기업 데이터 학습이 차단된 엔터프라이즈 AI 환경을 표준으로 제공합니다.
• 라이선스 감사 루프: 매 분기마다 비활성 계정(최근 30일간 로그인 없는 계정)을 자동으로 색출하여 라이선스를 회수하는 비용 절감 루틴을 가동합니다.

500명 이상: 인사 시스템(HRIS) 연동과 자동화 거버넌스

사람이 티켓을 보고 권한을 수동으로 넣어주는 운영 자체가 멈추는 시점입니다.

• HRIS → IdP → SaaS 자동 프로비저닝(SCIM): 인사 시스템에 입사/부서이동/퇴사 데이터가 입력되면, 사람이 개입하지 않아도 역할에 맞는 소프트웨어 라이선스와 Google/MS/GitHub/AI 권한이 자동으로 지급되고 즉시 회수됩니다.
• 컴플라이언스 제도화: ISMS-P, SOC 2, ISO 27001 등 외부 보안 표준에 맞춰 모든 접근 기록(Audit Log)을 1년 이상 안전하게 보관하고 정기 감사 보고서를 생성합니다.

통제는 감시가 아니라 자율을 지키는 인프라다

사내 IT 통제와 거버넌스가 어려운 이유는 도구가 없어서가 아니라, “비싼 엔터프라이즈 도구의 이상과 자원 부족에 시달리는 현실의 괴리” 때문입니다.

하지만 완벽한 도구가 없다고 해서 통제를 포기할 수는 없습니다. 계정 하나를 잠그는 일, 기기를 암호화하는 일, 입퇴사 체크리스트를 시스템화하는 일은 회사가 커질 때 구성원들을 보안 사고의 공포로부터 보호하고 본업에 몰입할 수 있게 만들어주는 가장 필수적인 기초 체력입니다.