70명쯤 되는 스타트업 CTO가 아직도 계정 생성과 퇴사를 직접 챙긴다는 댓글을 봤다. 새 사람이 오면 Google 로그인 되는 SaaS마다 초대장을 보내고, 떠난 사람은 Slack에서 요청받아 하나씩 권한을 빼는 식. ISO나 SOC2를 준비하는 팀이면 이게 그냥 잡무가 아니라 증빙으로 남겨야 하는 일이 된다. 재밌는 건 다들 이미 임시 해법을 갖고 있다는 점이다. Slack 채널, Notion 체크리스트, 스프레드시트, 가끔 Zapier 같은 자동화. 그런데 댓글 흐름을 보면 “우리도 고객이 어제 이 문제를 말했다”, “70명 규모에서도 CTO가 한다”는 말이 반복된다. 비싼 SSO/엔터프라이즈 플랜을 사기 전 구간에 구멍이 있는 느낌이다. 거창한 IAM을 다시 만들기보다, 팀이 쓰는 앱 목록을 읽고 입사/퇴사 요청을 작은 워크플로로 묶어주는 가벼운 권한 정리 도구가 먼저 먹힐 것 같다. 핵심은 자동화보다 “누가 언제 어떤 앱 권한을 받았고 빠졌는지”를 부담 없이 남기는 쪽. 보안팀이 생기기 전 회사들의 조용한 반복 업무라서 더 제품 냄새가 난다.