SaaS 보안 체크리스트: 스타트업이 반드시 지켜야 할 필수 보안 설정 가이드

보안 점검 요청이 또 들어왔어요. “우리 SaaS 보안 괜찮은 거 맞죠?”

사실 이 질문이 나올 때쯤이면 이미 늦은 경우가 많아요. 스타트업이 보안 사고를 당하는 데 걸리는 시간, 평균 2시간 12분이에요. Verizon의 2025 Data Breach Investigations Report에 따르면 전체 침해 사고의 68%는 클라우드 설정 실수에서 시작했어요. SaaS를 쓰는 스타트업이라면 지금 당장 확인해야 해요.

핵심 요약

• 스타트업 보안 침해의 68%는 잘못된 클라우드 접근 권한 설정에서 시작돼요 (Verizon DBIR 2025).
• MFA를 도입한 조직은 계정 탈취 공격의 99.9%를 차단할 수 있어요 (Microsoft Security 연구).
• 스타트업이 평균적으로 쓰는 SaaS 앱은 73개인데, 정기 감사를 하는 곳은 전체의 21%뿐이에요 (BetterCloud 2025).
• 소규모 팀일수록 ‘나중에 고치면 되지’라고 미루다가 시리즈 A 이후 기술 부채로 돌아오는 경우가 많아요.

SaaS 보안이 지금 문제가 되는 이유

스타트업 팀은 빠르게 움직여요. Notion, Slack, GitHub, Figma, Google Workspace, AWS를 거의 동시에 켜고, 누가 어디에 접근할 수 있는지 제대로 관리하지 않는 경우가 많아요.

BetterCloud의 2025 State of SaaS 보고서를 보면, 직원 100명 미만 스타트업이 평균적으로 쓰는 SaaS 앱은 73개예요. 그런데 IT 담당자가 실제로 파악하고 있는 앱은 절반도 안 돼요. 나머지는 섀도 IT(Shadow IT) 영역이에요.

섀도 IT가 위험한 이유는 단순해요. 누군가 퇴사했을 때 그 사람이 Trello 보드에 아직도 접근할 수 있거나, 전 직원이 만든 Zapier 자동화가 고객 데이터를 어딘가로 내보내고 있어도 아무도 모르는 거예요. Odaseva의 2025 SaaS Data Risk Report에서 퇴사자 계정이 30일 이상 활성 상태로 방치된 비율이 소규모 기업에서 42%에 달했어요.

규제 환경도 달라졌어요. EU의 NIS2 지침이 SaaS 공급망까지 적용 범위를 넓혔고, 국내에서도 개인정보보호법 개정안이 클라우드 서비스 위탁 처리 기준을 강화했어요. 투자 실사(Due Diligence) 과정에서 보안 체계가 없으면 딜이 깨지는 사례도 늘고 있어요.

SaaS 보안은 더 이상 “나중에 할 일"이 아니에요. 지금 당장 체크리스트가 필요해요.

스타트업이 자주 놓치는 세 가지 설정

1. 접근 권한 관리 (IAM): 가장 흔한 구멍

“팀원이니까 다 줘도 돼"라는 생각이 문제예요.

SentinelOne의 SaaS Security 가이드에 따르면, 과도한 접근 권한 부여는 내부자 위협과 계정 탈취 시 피해 범위를 기하급수적으로 늘려요. 최소 권한 원칙(Principle of Least Privilege), 쉽게 말하면 필요한 만큼만 주는 거예요.

체크해야 할 것들:

• 역할 기반 접근 제어(RBAC) 적용 여부: GitHub에서 모든 팀원이 Admin 권한을 갖고 있진 않나요?
• 온보딩/오프보딩 프로세스: 퇴사 당일 계정이 비활성화되는 자동화가 있나요?
• 외부 협력사 계정: 외주 개발자나 에이전시에게 준 권한이 프로젝트 종료 후에도 살아있진 않나요?

Google Workspace의 Admin Console이나 Okta 같은 IdP(Identity Provider)를 도입하면 이 문제를 한 곳에서 관리할 수 있어요. 초기엔 Okta Free Tier로 시작해도 충분해요.

2. MFA 설정: 99.9%를 막는 단 하나의 설정

Microsoft Security의 2024 연간 보안 보고서는 명확해요. MFA(다중 인증)를 켜면 자동화된 공격의 99.9%를 차단할 수 있어요.

그런데 BetterCloud 조사에서 스타트업의 31%는 아직도 핵심 SaaS 앱에 MFA를 강제 적용하지 않고 있어요. “불편하다"는 이유로요.

MFA 방식에도 수준 차이가 있어요.

SMS OTP는 SIM Swapping 공격에 취약해요. Google과 Apple 모두 Passkey 전환을 강하게 밀고 있으니 신규 서비스라면 처음부터 Passkey 도입을 검토하는 게 나아요.

3. SaaS 앱 감사 (App Audit): 아무도 안 하는 그것

직원들이 업무 편의를 위해 허가받지 않고 연동한 서드파티 앱이 치명적인 취약점이 돼요.

예를 들어, 인턴이 “편하다"고 Google Drive를 어떤 생산성 앱에 연동해놨는데, 그 앱이 나중에 인수되거나 해킹당하면 연결된 Drive 파일 전체가 위험해져요. 실제로 있었던 일이에요.

분기마다 해야 할 앱 감사 체크리스트:

• Google Workspace Admin → 서드파티 앱 권한 확인
• GitHub → OAuth Apps에서 불필요한 연동 해제
• Slack → Connected Apps 목록 검토
• 90일 이상 사용하지 않은 앱은 즉시 연결 해제

SaaS 보안 성숙도: 단계별로 뭘 해야 하나요?

시나리오 1: 팀원 5명 이하, 막 시작하는 단계

핵심은 딱 셋이에요. Google Workspace에서 MFA 강제 적용, GitHub에서 관리자 계정 분리, 퇴사자 계정 삭제 프로세스 문서화. 도구보다 습관이 먼저예요.

시나리오 2: 시리즈 A 전후, 팀 30-50명 규모

이 시점에서 Okta나 JumpCloud 같은 SSO(Single Sign-On) 도입을 진지하게 고려해야 해요. SSO가 없으면 사람이 늘수록 계정 관리가 수동 작업의 늪이 돼요. Vanta나 Drata 같은 컴플라이언스 자동화 도구도 이때 세팅하면 SOC 2 감사 준비를 6개월 앞당길 수 있어요.

시나리오 3: 고객 데이터 다루는 B2B SaaS

데이터 분류(Data Classification) 체계가 없으면 어떤 정보를 어디에 어떻게 저장해야 하는지 기준 자체가 없는 거예요. 최소한 “공개/내부/기밀/극비” 4단계로 나누고, 각 등급별 저장 위치와 접근 권한을 문서화하세요.

지금 당장 할 수 있는 행동 목록

한 문장으로 요약하면 이래요. “설정 한 번으로 막을 수 있는 것들을 미루지 말 것.”

다음 주 안에 할 수 있는 것들:

• Google Workspace / Microsoft 365 MFA 강제 적용 켜기
• GitHub 팀 권한 감사 (Admin이 몇 명인지 확인)
• 서드파티 앱 연동 목록 뽑아서 90일 미사용 해제
• 퇴사 체크리스트에 “SaaS 계정 비활성화” 항목 추가
• 외부 협력사 계정 현황 파악

6-12개월 뒤를 보면, SSO + Passwordless 조합이 스타트업 보안의 기본값이 될 거예요. Google, Microsoft, Apple이 동시에 밀고 있는 방향이니까요. 지금 SMS OTP에 의존하고 있다면, 올해 안에 전환 계획을 세우는 게 나아요.

SaaS 보안 체크리스트는 한 번 만들고 끝나는 문서가 아니에요. 팀이 쓰는 앱이 바뀔 때마다, 사람이 들어오고 나갈 때마다 업데이트돼야 해요. 그게 진짜 보안이에요.

여러분 팀에서 오늘 당장 확인하면 가장 먼저 뭐가 걸릴 것 같나요?

참고 자료

• Verizon, Data Breach Investigations Report 2025
• BetterCloud, State of SaaS 2025
• Microsoft Security, Annual Digital Defense Report 2024
• SentinelOne, What is SaaS Security? (sentinelone.com)
• Odaseva, SaaS Data Risk Report 2025
• 엑소스피어 블로그, 중소기업 기술보호 시작 가이드 (exosp.com)
• bomz, SaaS의 보안: 클라우드 환경에서 지켜야 할 보안 기본 원칙 (bomz.tistory.com)

참고자료

1. SaaS의 보안 : 클라우드 환경에서 지켜야 할 보안 기본 원칙
2. 중소기업 기술보호 시작 가이드 - B2B SaaS 보안, 엑소스피어 블로그
3. What is SaaS Security?

Photo by airfocus on Unsplash