SSO가 없는 인사책의 로그인 보안 실제 — 2단계 인증·휴대폰 인증·데이터 위치

한눈에 보는 답

인사책에는 SAML·OIDC 방식의 SSO(통합 로그인)가 없습니다.
대신 인증 앱 6자리 숫자를 쓰는 2단계 인증,
관리자에게만 강제하는 필수 스위치,
로그인 시도 횟수 제한으로 계정을 지킵니다.
데이터는 국내에 고정 저장되지 않아 개인정보 국외 이전으로 고지하고 있으며,
외부 보안 인증 심사도 아직 받지 않았습니다.

이 글은 보안 점검 질문지를 받은 인사 담당자가 「있다 / 없다 / 일부」를 정확히 답하도록 돕습니다.
없는 것은 없다고 먼저 적고,
있는 것은 화면 경로와 숫자로 확인합니다.

먼저 확인할 질문 6가지

계약서나 보안 점검표를 받으면 아래 여섯 가지부터 답을 정리하세요.
답이 정해지면 인사책이 맞는지 대부분 결론이 납니다.

① SSO나 외부 IdP 연동이 계약상 필수인가요? 필수라면 인사책은 맞지 않습니다.

② 2단계 인증을 관리자에게만 강제해도 되나요,
직원 전원에게 강제해야 하나요? 인사책은 관리자 대상까지만 강제합니다.

③ 입사·퇴사 계정 처리를 외부 시스템이 자동으로 해야 하나요? 아니면 담당자가 인사책에서 한 번 처리해도 되나요?

④ 데이터 국내 저장이 필수인가요,
국외 이전 고지로 충분한가요?

⑤ ISMS 같은 외부 인증이 계약 조건인가요?

⑥ AI나 API를 연결한다면 그 토큰을 누가 관리하나요? 인사책은 개인 토큰 화면과 퇴사 시 회수 기능이 있습니다. AI 연결 권한 확인과 연결 해제에서 자세히 다룹니다.

숫자로 보기

계산은 단순합니다.
회사메일 접근 토큰은 240초 동안 유효하고 시계 오차로 60초를 더 봅니다.
240초에 60초를 더하면 300초,
즉 5분입니다.
퇴사 처리를 한 직원의 메일 접근은 늦어도 5분 안에 막힌다고 설명하면 됩니다.

단계 인증의 300초도 같은 5분입니다.
계좌번호 전체를 보려고 비밀번호를 다시 입력하면 그 확인은 길어야 5분 동안만 유효합니다.
또 같은 계정이 15분에 5번 실패하면 잠기므로,
비밀번호를 무작위로 대입하는 공격은 한 계정에 오래 걸려도 몇 번 시도하지 못합니다.

인사책에서 하는 법

SSO 지원

왜 묻나 직원 계정을 회사 IdP 한 곳에서 관리하고 싶거나,
보안 점검표에 SAML·OIDC 항목이 있기 때문입니다.

인사책의 실제 없습니다.
인사책의 SSO 지원은 「없음」이며,
SAML·OIDC 같은 기업 통합 로그인 표준으로 외부 IdP와 연결하는 길을 제공하지 않습니다.
로그인 방법은 비밀번호와 카카오·네이버·구글·애플 소셜 로그인입니다.

헷갈리기 쉬운 점이 있습니다.
회사메일·드라이브·메신저는 인사책에 로그인한 상태를 이어받아 들어가므로 별도 비밀번호가 없습니다.
이것은 인사책 안에서 연결 제품끼리 세션을 넘기는 방식이지,
외부 IdP와 맞물리는 기업용 SSO가 아닙니다.
위키,
업무·프로젝트,
고객·영업 관리,
업무 자동화 화면은 인사책의 제품 영역 밖입니다.

활용 소셜 로그인과 2단계 인증을 함께 쓰면 소셜 로그인에도 2단계가 적용됩니다.

맞지 않는 경우 외부 IdP 연동이 계약 필수라면 인사책은 맞지 않습니다.

계정 자동 프로비저닝

왜 묻나 입사자 계정 생성과 퇴사자 계정 회수를 사람이 빼먹지 않게 하려는 것입니다.

인사책의 실제 일부만 있습니다.
인사책의 계정 자동 프로비저닝은 SCIM 같은 표준 연동 없이,
인사책 안의 일괄 동기화와 퇴사 처리로 계정을 만들고 회수하는 방식입니다.
외부 인사·계정 시스템이 계정을 만들고 지우는 표준 길은 없습니다.
대신 세 가지가 있습니다.

첫째,
직원 정보 일괄 동기화입니다.
「직원 정보 일괄 동기화」 화면(/admin/enterprise/hr-sync)에서 엑셀 양식을 내려받아 흰 열을 채우고 올리면 되고,
한 파일에 500행까지 처리합니다.
자세한 방법은 엑셀 인사·급여 명단 500행 한 번에 옮기기를 보세요.

둘째,
여러 회사에 소속된 같은 사람은 새 회사 소속이 활성이고 계정이 이어져 있으면 그 회사 멤버십이 자동으로 만들어집니다.

셋째,
퇴사 처리입니다.
톱니 ⚙ → 설정 → 사람·권한 → 직원 명단 묶음 → 직원 명단 → 직원 이름에서 「재직 상태」를 「퇴사 처리」로 바꾸면 열린 출퇴근이 닫히고 퇴사일이 기록됩니다.
다른 회사 소속이 없으면 계정이 사용 중지되고,
회사 접근 정지와 AI 연결 토큰 회수가 함께 이뤄집니다.
회사메일 접근도 막힙니다.
순서는 퇴사자 처리 원스톱 세팅에 있습니다.

활용 입사·퇴사 담당자 한 명이 인사책에서 처리하면 끝나도록 업무 순서를 정하세요.

맞지 않는 경우 외부 시스템의 변경이 자동으로 인사책에 반영되어야 한다면 맞지 않습니다.

국내 보안 인증

왜 묻나 계약이나 거래처 심사에서 ISMS 같은 외부 인증서를 요구하는 경우가 있기 때문입니다.

인사책의 실제 없습니다.
인사책의 국내 보안 인증은 「받은 것 없음」이며,
ISMS·ISMS-P를 포함한 어떤 외부 정보보호 인증도 받았다고 주장하지 않습니다.
보안 페이지에 「외부 인증 심사는 아직 받지 않았습니다」라고 적혀 있고,
가동률 약속(SLA)도 공개하지 않습니다.

활용 인증서 대신 확인할 수 있는 것은 이 글의 로그인 횟수 제한,
2단계 인증,
근태·급여 변경 이력 같은 기능 근거입니다.
인증과 기능 근거를 구분하는 법은 그룹웨어 보안 검토 — 인증·감사로그·복구 근거 구분에 정리했습니다.

맞지 않는 경우 인증서 제출이 계약 조건이면 맞지 않습니다.

국내 데이터 저장

왜 묻나 직원 개인정보가 어느 나라에 있는지 알아야 처리방침과 고지 의무를 맞출 수 있습니다.

인사책의 실제 인사책 본체는 국내 고정 저장이 없고,
회사메일은 일부만 국내(서울 리전)입니다.
인사책의 국내 데이터 저장은 「고정 없음」이며,
저장소 세 곳 모두 대한민국 밖에 있어 국외 이전으로 고지합니다.
계정·출퇴근·휴가·급여·결재 같은 서비스 기록은 Cloudflare D1에 있고,
주 데이터베이스는 북미 서부(WNAM)이며 읽기 복제본이 다른 국가·지역에 있을 수 있습니다.
올린 파일(사업자등록증,
결재·문의 첨부,
증명서,
회사 도장·로고)은 Cloudflare R2 아시아·태평양에 있고 대한민국 고정이 아닙니다.
로그인과 요청 횟수 제한,
휴대폰 인증 기록은 Cloudflare KV,
즉 전역 네트워크에 있습니다.
세 저장소가 모두 국외이므로 개인정보 처리방침 제5조의2에 국외 이전으로 고지합니다.
근거 법령은 개인정보 보호법 제28조의8입니다.
저장 위치를 고정하는 설정은 없습니다.

AI 기능은 Anthropic과 OpenAI가 처리하며 이것도 미국 국외 이전으로 고지되어 있습니다.

회사메일은 다릅니다.
메일 계정,
메일함 목록,
검색 색인,
발송 기록은 AWS 서울 리전이고 발송은 Amazon SES 서울 리전입니다.
다만 메일 본문과 첨부 파일은 Cloudflare R2 아시아·태평양입니다.

활용 거래처에는 「국내 고정 저장은 아니며 국외 이전으로 고지한다」고 정직하게 답하고 처리방침 제5조의2를 첨부하세요.

맞지 않는 경우 모든 데이터가 국내 데이터센터에 있어야 한다면 맞지 않습니다.

2단계 인증 켜기와 관리자 필수 스위치

각자 내 정보 › 보안에서 켭니다.
인증 앱의 6자리 숫자를 로그인 때마다 한 번 더 확인하며,
확인 화면은 로그인 직후 나타납니다.
문자(SMS) 방식은 없습니다.

회사 단위 스위치는 톱니 ⚙ → 설정 → 우리회사 → 보안에 있습니다.
대표와 전체 회사관리자만 볼 수 있고,
기본은 꺼짐입니다.
켜면 2단계를 안 켠 관리자는 다음 로그인 때 등록부터 하게 됩니다.
같은 화면에서 쉬면 잠그기를 켜고 최근 2단계 기록 20줄을 볼 수 있습니다.
직원 인사카드와 부관리자 화면에서는 2단계 초기화 버튼으로 분실 상황을 풀 수 있습니다.
메일 쪽 설정은 회사메일 보안 3단계 점검표를 보세요.

휴대폰 인증과 단계 인증은 무엇이 다른가

세 가지는 이름이 비슷하지만 역할이 다릅니다.
2단계 인증은 로그인할 때마다 인증 앱 숫자를 확인하는 장치입니다.
휴대폰 인증은 가입 때 인증번호 6자리로 같은 사람의 소셜 로그인 계정을 한 계정으로 잇는 단계로,
로그인 2단계가 아닙니다.
단계 인증은 경비 지급 계좌번호 전체를 보기 전에 비밀번호를 다시 입력하는 확인이며,
AI 연결 동의 화면에도 2단계 확인이 붙습니다.

업종별 활용 예시

카페 가상의 예입니다.
2개 매장에 직원 23명이 있고 대부분 개인 휴대폰을 씁니다.
직원은 카카오나 네이버 소셜 로그인으로 들어오고,
가입할 때 휴대폰 인증으로 같은 사람의 소셜 계정을 한 계정으로 잇습니다.
직원별 비밀번호를 따로 나눠 줄 일이 없습니다.
점장 계정에는 인증 앱 2단계 인증을 켜 두었습니다.

건설 현장 가상의 예입니다.
직원 40명에 관리자 3명입니다.
현장 사무실 PC를 여럿이 번갈아 쓰기 때문에 우리회사 → 보안에서 「관리자는 2단계 인증 필수」를 켜고,
쉬면 잠그기도 켰습니다.
자리를 비우고 30분이 지나면 관리자 화면이 자동으로 로그아웃됩니다.
현장 직원의 출퇴근 앱은 끊기지 않습니다.

병원 가상의 예입니다.
직원 60명에 관리자 4명입니다.
거래처에서 보안 점검 질문지가 왔습니다.
SSO는 없다,
외부 인증은 없다,
데이터는 국내 고정이 아니며 국외 이전으로 고지한다고 사실대로 적고 개인정보 처리방침 제5조의2를 첨부했습니다.
대신 관리자 2단계 필수,
로그인 횟수 제한,
근태·급여 변경 이력을 근거로 제시했습니다.
변경 이력 보는 법은 근태·급여 변경 이력 어디서 보나에 있습니다.

인사책이 맞지 않는 경우

• SAML·OIDC 통합 로그인(SSO) 은 없습니다.
  외부 IdP 한 곳에서 모든 계정을 관리해야 하는 회사에는 맞지 않습니다.
• SCIM 계정 자동 동기화 도 없습니다.
  외부 시스템이 인사책 계정을 자동으로 만들고 지우는 길이 없습니다.
• 외부 정보보호 인증 을 받지 않았습니다.
  인증서 제출이 계약 조건이면 맞지 않습니다.
• 국내 데이터센터 고정 저장 을 하지 않습니다.
  인사책 본체의 데이터는 국외 이전으로 고지됩니다.
• 직원 전원 2단계 인증 강제 는 없습니다.
  강제 스위치는 관리자 대상입니다.
• 로그인 IP·기기 기록 화면 은 없습니다.
  마지막 로그인 시각만 저장하고,
  직원이 모든 기기에서 로그아웃하는 화면도 없습니다.
• 관리자 접속 허용 IP 목록 도 없습니다.
  IP 목록은 출퇴근 확인과 웹훅용으로만 있습니다.

반대로 소셜 로그인과 인증 앱 2단계 인증으로 충분하고,
관리자만 강제해도 되며,
입사·퇴사를 담당자 한 명이 인사책에서 처리해도 되는 회사에는 잘 맞습니다.
화면은 톱니 ⚙ → 설정 → 우리회사 → 보안과 내 정보 › 보안,
명단 동기화는 「직원 정보 일괄 동기화」(/admin/enterprise/hr-sync)에서 확인하세요.

다른 서비스와 비교할 때

특정 서비스 이름 없이 아래 기준으로 물어보면 공정하게 비교됩니다.

근거와 확인일

• 인사책 보안 페이지 「외부 인증 심사는 아직 받지 않았습니다」
• 개인정보 처리방침 제5조의2(국외 이전)
• 개인정보 보호법 제28조의8(국외 이전)
• 화면 경로는 서비스 화면 기준이며,
  가상 시드 회사 3곳에서 따라가 확인했습니다.
• 확인일 2026-11-09
• 검토자 역할 운영 관제

자주 묻는 질문

Q.
인사책에서 SAML이나 OIDC로 로그인할 수 있나요? 없습니다.
비밀번호와 카카오·네이버·구글·애플 로그인만 쓰고,
보안은 인증 앱 2단계 인증과 로그인 횟수 제한으로 지킵니다.

Q.
직원 전원에게 2단계 인증을 강제할 수 있나요? 전원 강제 스위치는 없습니다.
「관리자는 2단계 인증 필수」 스위치만 있어 관리자에게만 강제할 수 있습니다.

Q.
퇴사자 계정은 자동으로 막히나요? 외부 시스템이 자동으로 지우는 길은 없지만,
인사책에서 퇴사 처리를 한 번 하면 계정 중지,
회사 접근 정지,
AI 토큰 회수가 함께 처리됩니다.
회사메일 접근도 최대 5분 안에 막힙니다.

Q.
데이터가 국내에 저장되나요? 인사책 본체는 국내에 고정 저장되지 않습니다.
주 데이터베이스는 북미 서부에 있고,
이 내용은 개인정보 처리방침 제5조의2에 국외 이전으로 고지되어 있습니다.

Q.
ISMS 같은 인증이 있나요? 없습니다.
보안 페이지에 「외부 인증 심사는 아직 받지 않았습니다」라고 적혀 있습니다.

Q.
휴대폰 인증은 로그인 2단계 인증인가요? 아닙니다.
가입할 때 같은 사람의 소셜 계정을 한 계정으로 잇는 확인 단계이며,
로그인 때의 2단계 인증은 인증 앱 6자리 숫자입니다.

관련 가이드

• 퇴사자 처리 원스톱 세팅
• 그룹웨어 보안 검토 — 인증·감사로그·복구 근거 구분
• 회사메일 보안 3단계 점검표
• AI 연결 권한 확인과 연결 해제
• 관리 권한 메뉴별 위임
• 엑셀 인사·급여 명단 500행 한 번에 옮기기
• 근태·급여 변경 이력 어디서 보나