Google Workspace가 모든 SAML 애플리케이션에 공통 Context-Aware Access(CAA) 정책을 걸 수 있는 기본 할당 기능을 추가했다. 새 SAML 앱이 들어올 때마다 보안 정책 누락을 따로 찾아내는 대신, 조직 차원의 기준선을 먼저 만들고 필요한 앱만 세부 정책으로 덮어쓰는 방식이다.
핵심 요약
- 관리자는 Google Admin console의 Security > Context-aware Access > General settings에서 모든 SAML 앱에 적용할 기본 CAA 정책을 설정할 수 있다.
- 앱별로 이미 지정한 정책이 있으면 그 정책이 우선하고, 기본 정책은 별도 정책이 없는 SAML 앱의 안전망으로 동작한다.
- 정책은 Monitor와 Active 모드를 지원한다. 바로 차단하기보다 로그로 영향 범위를 먼저 볼 수 있다는 점이 중요하다.
- 적용 대상은 Enterprise Standard/Plus, Education Standard/Plus, Frontline Standard/Plus, Enterprise Essentials Plus, Cloud Identity Premium 등으로 제한된다.
무엇이 바뀌었나
기존 Context-Aware Access는 사용자, 기기, 위치, IP, 보안 상태 같은 조건을 기준으로 Workspace와 연결 앱 접근을 제어하는 기능이다. 이번 업데이트의 핵심은 SAML 기반 서드파티 앱 전체에 걸 수 있는 기본 배정(default assignment)이다. 조직이 새로운 SaaS를 SAML로 연결했지만 앱별 CAA 정책을 아직 만들지 않은 경우에도, 전역 기본 정책이 먼저 적용되어 보안 공백을 줄인다.
Google은 이 기능을 “secure-by-default” 자세로 설명한다. 특히 SaaS가 빠르게 늘어나는 조직에서는 앱 온보딩 속도보다 보안 검토가 늦어질 수 있다. 기본 CAA는 모든 앱을 동일하게 잠그라는 의미가 아니라, 정책이 빠진 앱을 감지하고 최소한의 접근 기준을 자동으로 붙이는 장치에 가깝다.
왜 중요한가
SAML 앱은 인사, 재무, 개발, 고객지원 도구처럼 민감 데이터가 모이는 경우가 많다. 계정이 정상이어도 비관리 기기, 위험한 네트워크, 특정 위치에서 접근하는 상황은 별도로 통제해야 한다. 기본 CAA가 없으면 새 앱을 추가할 때마다 보안팀이 앱별 정책 생성을 놓치지 않아야 한다. 반대로 기본 정책을 두면 앱별 예외를 나중에 조정하더라도 최소 기준은 유지된다.
다만 전역 정책은 강력한 만큼 오탐과 업무 중단도 만들 수 있다. 현장 직원, 외주 파트너, 공유 기기, 모바일 브라우저처럼 조건이 다양한 집단이 있다면 바로 Active 모드로 차단하기보다 Monitor 모드에서 감사 로그를 확인해야 한다. Google은 enforcement event가 audit log에 남고, 사용자에게 remediation message를 보여 줄 수 있다고 설명한다.
관리자 체크포인트
- 범위: OU나 그룹 단위로 켤 수 있으므로 전사 적용 전에 보안 민감도가 높고 사용자 패턴이 명확한 그룹부터 시작한다.
- 우선순위: 앱별 정책이 기본 정책보다 우선한다. 이미 예외가 많은 핵심 앱은 기존 정책과 충돌하지 않는지 먼저 확인한다.
- 모드: Monitor 모드로 차단 예상 이벤트를 모은 뒤, 반복되는 정상 업무 흐름을 예외 또는 기기 정책으로 정리하고 Active 전환을 검토한다.
- 사용자 안내: 차단 메시지가 “왜 막혔는지, 어떤 기기/브라우저/네트워크 조건을 맞춰야 하는지” 설명하는지 확인한다.
- 감사 로그: SAML 앱명, 사용자, 조건, 정책명, 허용/차단 결과를 보안 관제나 SIEM으로 보낼 수 있는지 점검한다.
작게 테스트하는 방법
- 현재 SAML 앱 목록을 뽑고 앱별 CAA 정책이 없는 항목을 분류한다.
- 파일 저장소, HR, 재무처럼 데이터 민감도가 높은 앱과 일반 협업 앱을 나눠 다른 기준선을 설계한다.
- 소수 관리자·보안팀 그룹에 기본 정책을 Monitor 모드로 적용한다.
- 일주일 이상 감사 로그를 보고 정상 접근이 차단될 가능성이 높은 조건을 수정한다.
- Active 전환 뒤에는 헬프데스크 티켓, 우회 요청, 차단 이벤트 증가를 함께 추적한다.
ActualStack 관점
이번 기능은 “새 도구를 빠르게 붙이되 기본 보안 기준은 잃지 않는” 운영 패턴에 가깝다. AI SaaS와 내부 도구가 계속 SAML로 늘어나는 조직이라면 앱별 심사만으로는 누락을 막기 어렵다. 기본 CAA를 기준선으로 두고, 예외는 앱별 정책·그룹·OU로 좁히는 방식이 더 재현 가능하다. 단, 모든 조건 기반 접근 제어가 그렇듯 첫 목표는 강한 차단이 아니라 측정 가능한 정책 전환이어야 한다.
결론
Google Workspace의 SAML 기본 CAA는 대규모 조직만을 위한 기능이 아니다. SAML 앱이 몇 개만 있어도 정책 누락은 생긴다. 관리자는 Monitor 모드, 감사 로그, 사용자 안내, 앱별 예외를 함께 준비한 뒤 Active 모드로 옮겨야 한다. 보안 기준선은 자동화할수록 좋지만, 사용자 영향 검증과 롤백 경로까지 자동화되어 있을 때 안전하다.