18. CIAM 솔루션 비교 기준: 기능보다 먼저 봐야 할 것들
CIAM 솔루션을 선택하는 미팅에서 가장 자주 듣는 말이 있습니다. "기능 목록을 비교해봤는데 다 비슷하더라고요." 맞습니다. 주요 솔루션들은 기능 체크박스 수준에서는 대부분 비슷합니다. 진짜 차이는 기능이 아닌 다른 곳에 있습니다.
이 글에서는 Build vs Buy 의사결정 프레임워크, 솔루션 유형별 비교, 진짜 차별화 포인트(유연성·지원·확장성·데이터 주권), TCO 계산 방법론, 레퍼런스 체크 질문, 그리고 클라우드형 vs On-Premise 선택 기준까지 실무에서 솔루션을 선택할 때 놓치는 핵심 요소를 완전히 정리합니다.
1. CIAM 솔루션 시장 구조
CIAM 솔루션 시장은 크게 네 가지 유형으로 나뉩니다. 어떤 유형을 선택하느냐가 이후 모든 의사결정의 출발점이 됩니다.
| 유형 | 대표 솔루션 | 주요 특성 | 주요 고객 |
|---|---|---|---|
| 전문 CIAM SaaS | Okta CIC (Auth0), Ping Identity, ForgeRock | CIAM 전용 설계, 빠른 구축, 풍부한 기능 | 중견~대기업 B2C 서비스 |
| 개발자 친화형 SaaS | Auth0, Firebase Auth, Cognito, Clerk | 쉬운 API·SDK, 개발 속도 최우선, 낮은 진입 장벽 | 스타트업, 개발자 중심 팀 |
| 엔터프라이즈 플랫폼 내장 | SAP CDC (SAP CIAM), Salesforce Identity, Microsoft Entra External ID | 기존 플랫폼과 긴밀한 연동, 복잡한 엔터프라이즈 요건 처리 | 대기업, ERP 중심 조직 |
| 오픈소스 자체 구축 | Keycloak, Ory, SuperTokens | 완전한 통제권, 라이선스 비용 없음, 높은 운영 부담 | 기술 역량 강한 팀, 데이터 주권 최우선 조직 |
2. 첫 번째 결정 — Build vs Buy vs Hybrid
솔루션 유형 선택 전에 먼저 해야 할 질문이 있습니다. "직접 만들 것인가, 사서 쓸 것인가?"
언제 선택하는가: 인증이 핵심 경쟁력이거나(금융·보안 전문 기업), 규제상 데이터가 완전히 자사 통제권 안에 있어야 하거나, 매우 특수한 비즈니스 로직을 외부 솔루션으로 처리할 수 없을 때.
현실: 인증 시스템 하나를 제대로 만들면 보안 전문가 팀이 수년을 투자해야 합니다. 비밀번호 해싱, 토큰 관리, 세션 보안, MFA, 규제 대응—이 모두를 처음부터 만드는 것의 비용을 과소평가하는 팀이 많습니다.
언제 선택하는가: 인증이 핵심 경쟁력이 아니라 인프라에 가까울 때. 빠른 출시가 중요하거나, 내부 보안 전문 인력이 부족하거나, 표준적인 인증 흐름으로 대부분의 요구를 충족할 수 있을 때.
현실: 잘 만들어진 CIAM SaaS는 수천 명의 엔지니어가 수년간 개발한 결과입니다. 이것을 연간 라이선스 비용으로 사용하는 것은 경제적으로 매우 합리적인 선택입니다.
언제 선택하는가: 핵심 인증(로그인·MFA)은 SaaS로, 특수 비즈니스 로직(한국 특수 본인확인·내부 정책 엔진·레거시 연동)은 자체 구현하는 방식. 국내 대형 서비스에서 가장 현실적인 선택지입니다.
대부분의 서비스에서 Buy 또는 Hybrid가 정답입니다. "우리만의 특수 요건"이라고 생각되는 것의 80%는 이미 주요 SaaS 솔루션이 지원합니다. 나머지 20%를 위해 전체를 직접 구축하는 것은 대부분 과잉 투자입니다.
3. 솔루션 유형별 비교
| 기준 | 전문 CIAM SaaS | 개발자 친화형 SaaS | 엔터프라이즈 플랫폼 | 오픈소스 자체 구축 |
|---|---|---|---|---|
| 구축 속도 | 빠름 (주~월) | 매우 빠름 (일~주) | 느림 (월~분기) | 매우 느림 (분기~년) |
| 커스터마이징 | 중간~높음 | 중간 | 높음 (플랫폼 범위 내) | 완전 자유 |
| 운영 부담 | 낮음 | 낮음 | 중간 | 매우 높음 |
| 데이터 주권 | 중간 (리전 선택) | 낮음 | 중간~높음 | 완전 통제 |
| 초기 비용 | 중간 | 낮음 (MAU 기반) | 높음 | 낮음 (인력 비용 제외) |
| 장기 TCO | 중간 | MAU 증가 시 급증 | 높음 | 운영 인력 비용으로 높음 |
| 한국 특수 요건 | SAP CDC 등 일부 지원 | 거의 없음 | SAP CDC 가장 강점 | 직접 구현 가능 |
4. 기능 목록보다 중요한 5가지 평가 기준
기능 체크박스 비교에서 벗어나, 장기 운영에서 진짜 차이가 나는 5가지 기준을 봐야 합니다.
우리 API 게이트웨이·기존 CRM·레거시 시스템과 얼마나 자연스럽게 연결되는가? 기본 제공 기능 외에 커스텀 로직을 어떻게, 어디까지 추가할 수 있는가? Hook·Action·Extension 같은 확장 포인트의 유연성을 직접 POC로 검증해야 합니다.
장애 발생 시 얼마나 빠르게, 어느 수준까지 지원해 주는가? 24/7 지원인지, 한국어 지원이 가능한지, SLA 응답 시간은 몇 분/시간인지를 계약 전에 반드시 확인합니다. 영업 미팅에서의 약속보다 SLA 계약서의 내용이 진실입니다.
MAU 10만일 때의 비용과 MAU 100만일 때의 비용 차이가 얼마인가? 일부 솔루션은 MAU가 10배 늘면 비용이 10배 이상 늘어납니다. 3년 후 예상 MAU 기준의 비용을 지금 계산해 두어야 나중에 충격이 없습니다.
계약 종료 시 전체 사용자 데이터를 표준 형식(JSON·CSV)으로 내보낼 수 있는가? 내보내기에 얼마나 걸리는가? 벤더 락인(Vendor Lock-in)을 피하려면 이 질문이 계약 전에 반드시 답해져야 합니다.
GDPR·국내 개인정보보호법·금융 규제에 대한 준수 기능을 얼마나 기본 제공하는가? 동의 관리·감사 로그·데이터 파기·국외 이전 제한이 코딩 없이 설정 가능한가? 규제 감사 대응을 시스템이 지원하는지 확인합니다.
5. 클라우드형 vs On-Premise 선택 기준
| 판단 기준 | 클라우드형(SaaS) 선택 | On-Premise 선택 |
|---|---|---|
| 데이터 주권 | 리전 선택으로 충분한 경우 | 모든 데이터가 자사 인프라 내에 있어야 할 때 |
| 보안 정책 | ISO 27001 인증 벤더의 클라우드 환경 수용 가능 | 내부 보안 정책상 외부 클라우드 사용 불가 |
| 운영 역량 | 인프라 운영 팀이 없거나 부족 | 전담 인프라 운영 조직이 존재 |
| 규제 요건 | GDPR 등 규제를 리전 선택으로 충족 가능 | 금융·공공 규제상 자사 데이터센터 필수 |
| 비용 구조 | 초기 비용 최소화, 운영 비용 예측 가능 | 초기 인프라 투자 비용 감수 가능 |
| 업데이트 | 자동 업데이트로 최신 보안 패치 적용 원함 | 업데이트 시점·방식을 직접 통제해야 함 |
On-Premise를 선택하면 라이선스 비용은 절감되지만, 인프라 구축·운영·보안 패치·HA 구성·재해 복구 등을 모두 자체적으로 처리해야 합니다. 실제 TCO 계산 시 이 운영 인력 비용을 포함하면 클라우드형보다 오히려 비싼 경우가 많습니다.
6. 주요 CIAM 솔루션 비교
주요 솔루션의 특성을 중립적인 관점에서 비교합니다. 최신 버전·가격·기능은 반드시 벤더에게 직접 확인해야 합니다.
| 솔루션 | 강점 | 한계 | 적합한 환경 |
|---|---|---|---|
| Okta CIC (Auth0) |
개발자 UX 최고, 방대한 문서·커뮤니티, 빠른 구축 | MAU 증가 시 비용 급증, 한국 특수 요건 지원 약함 | 글로벌 B2C 서비스, 빠른 MVP 필요한 팀 |
| Ping Identity (ForgeRock) |
엔터프라이즈 유연성, 복잡한 인가 정책, 하이브리드 배포 지원 | 구현 복잡도 높음, 전문 인력 필요, 높은 비용 | 대기업, 복잡한 B2B+B2C 혼합 환경 |
| SAP CDC (SAP CIAM) |
SAP 생태계 최강 연동, 글로벌 규제 대응, 엔터프라이즈 동의 관리 | SAP 외 시스템 연동 복잡, 구현 기간 길고 비용 높음 | SAP 중심 대기업, 글로벌 규제 복잡한 환경 |
| AWS Cognito | AWS 인프라 완벽 연동, 낮은 비용, 서버리스 친화 | UX 커스터마이징 제한, 복잡한 고급 기능 부족 | AWS 기반 서비스, 소~중규모 B2C |
| Microsoft Entra External ID | Azure/M365 완벽 연동, B2B 시나리오 강점, 기업 AD 연동 | B2C 소비자 UX 상대적 약함, Microsoft 생태계 의존 | Microsoft 중심 기업, B2B 포털 |
| Keycloak (오픈소스) |
완전 무료, 완전한 통제권, 활발한 커뮤니티 | 운영 부담 전적으로 자체 부담, 상용 지원 비용 추가 | 기술 역량 강한 팀, 데이터 주권 최우선 |
7. TCO(총 소유 비용) 계산 방법론
솔루션 선택 시 라이선스 비용만 비교하는 것은 큰 실수입니다. 진짜 비용은 TCO(Total Cost of Ownership)으로 계산해야 합니다.
| 비용 항목 | SaaS 솔루션 | 자체 구축(오픈소스) |
|---|---|---|
| 라이선스/구독료 | MAU 기반 연간 구독 (수천만~수억) | 무료 (오픈소스 라이선스) |
| 구축 비용 | 낮음 (주~월 단위) | 높음 (수개월~년, 전문 인력 필요) |
| 운영 인력 | 낮음 (1인 파트타임 가능) | 높음 (전담 엔지니어 1~3명 상시) |
| 보안 패치 | 자동 적용 포함 | 자체 모니터링·패치·테스트 필요 |
| 인프라 비용 | 포함 (일부 추가 클라우드 비용) | 서버·DB·네트워크·HA 구성 비용 전액 |
| 마이그레이션 비용 | 벤더 전환 시 발생 | 오픈소스 버전 업그레이드 시 발생 |
SaaS TCO = (연간 구독료 × 3) + 구축 비용 + 통합 커스터마이징 비용 + 운영 인력 비용(파트타임)
자체 구축 TCO = 구축 비용(개발+테스트) + (운영 전담 인력 연봉 × 3) + 인프라 비용(3년) + 보안 감사 비용
MAU 10만 미만이면 대부분 SaaS가 저렴하고, 수백만 이상이면 자체 구축이 유리해지는 경우가 있습니다. 단, 운영 인력 비용을 반드시 포함해야 합니다.
8. 레퍼런스 체크 질문 리스트
벤더가 제시한 레퍼런스 고객사 담당자와 직접 통화할 기회가 생기면, 아래 질문을 활용합니다.
- 도입 당시 가장 어려웠던 점이 무엇이었나요?
- 영업 미팅에서 약속한 기능 중 실제로 지원되지 않은 것이 있었나요?
- 장애가 발생했을 때 벤더의 대응 속도와 품질은 어떠했나요?
- MAU가 증가했을 때 비용이 어떻게 변했나요?
- 기존 CRM·마케팅·결제 시스템과의 연동이 얼마나 순조로웠나요?
- 규제 감사 대응 시 벤더가 얼마나 도움이 되었나요?
- 커스터마이징이 필요했을 때 어떻게 처리했나요?
- 지금 다시 선택한다면 같은 솔루션을 선택하시겠나요?
- 가장 불만족스러운 부분은 무엇인가요?
- 경쟁 솔루션과 비교해서 이 솔루션을 선택한 가장 중요한 이유는 무엇인가요?
9. 솔루션 선택 의사결정 트리
아래 질문을 순서대로 답하면 적합한 솔루션 유형이 도출됩니다.
| # | 질문 | Yes → 방향 | No → 다음 단계 |
|---|---|---|---|
| 1 | 모든 데이터가 자사 인프라에만 있어야 하는가? | 오픈소스 자체 구축 또는 On-Premise 상용 검토 | 2번으로 |
| 2 | 전담 인프라 운영 팀이 없는가? | 클라우드형 SaaS 필수 | 3번으로 |
| 3 | SAP ERP가 핵심 시스템이고 SAP 생태계 중심인가? | SAP CDC 우선 검토 | 4번으로 |
| 4 | 3년 후 MAU가 100만 이상으로 성장 예상되는가? | 전문 CIAM SaaS (Okta·Ping 등) 검토 | 5번으로 |
| 5 | 스타트업이고 빠른 MVP 출시가 최우선인가? | 개발자 친화형 SaaS (Auth0·Cognito 등) 검토 | 전문 CIAM SaaS 검토 |
10. 정리
CIAM 솔루션 선택은 지금 당장의 기능보다 3년 후의 비용·유연성·지원을 기준으로 해야 합니다. 오늘 가장 화려한 데모를 보여준 솔루션이 3년 후 가장 좋은 솔루션이 아닐 수 있습니다.
오늘의 기능 목록이 아니라
내일의 비즈니스 성장을 지탱할 수 있는가입니다."
오늘 당장 실행할 수 있는 세 가지입니다. 첫째, 후보 솔루션 2~3개에 대해 3년 TCO를 비교 계산하십시오. 라이선스 비용만이 아니라 운영 인력·인프라·구축 비용을 모두 포함합니다. 둘째, 각 벤더에게 레퍼런스 고객사 연락처를 요청하고 직접 통화하십시오. 셋째, POC 단계에서 반드시 실패 시나리오(장애·MAU 급증·연동 오류)를 포함하여 검증하십시오.
- Gartner. (2024). Magic Quadrant for Customer Identity and Access Management. Gartner, Inc.
- Forrester Research. (2024). The Forrester Wave™: Customer Identity And Access Management, Q4 2024. Forrester Research, Inc.
- KuppingerCole. (2024). Leadership Compass: Customer Identity and Access Management 2024. KuppingerCole Analysts AG.
- Gartner Peer Insights. (2024). Customer Identity and Access Management Reviews and Ratings. Gartner, Inc. https://www.gartner.com/reviews
- ISO/IEC. (2022). ISO/IEC 27001:2022. ISO.
- NIST. (2021). SP 800-63B: Digital Identity Guidelines. NIST.
댓글
댓글 쓰기