분기마다 접근권한 리뷰를 돌리는 팀 이야기를 봤는데, 너무 현실적이라 웃기보다 찜찜했다. 라인 매니저에게 “이 사람 권한 계속 필요해요?” 하고 보내면 대부분 그냥 전부 승인한다. SoD 충돌이나 오래된 관리자 권한을 표시해줘도, 리뷰를 빨리 끝내는 게 더 급해서 체크박스가 지나간다. 문제는 이게 보안팀만의 게으름이 아니라는 점이다. 매니저는 왜 위험한지 맥락을 모르고, 보안팀은 승인 뒤에 다시 스프레드시트로 예외를 추적하고, 감사 시즌이 오면 “그때 누가 어떤 근거로 승인했지?”를 또 뒤진다. 분기마다 반복되는 일인데도 실제로 줄어드는 위험은 작고, 모두가 증거 보관용 PDF와 캡처만 늘린다. 작게 만들 수 있는 제품은 거창한 IAM 교체가 아니라, 접근권한 리뷰의 ‘판단 보조 레이어’에 가까울 것 같다. 매니저에게는 최근 사용 여부·역할 변화·충돌 이유를 한 문장으로 보여주고, 보안팀에는 고위험 승인만 다시 묶어주는 식. 이미 있는 권한 시스템 위에 얹혀서 “전부 승인” 버튼을 누르기 전에 10초만 멈추게 만드는 도구면, 꽤 많은 회사가 바로 이해할 pain 아닐까.