1Password냐 Bitwarden이냐…쉬운 관리와 자체 호스팅이 선택을 가른다

직원과 외부 협력자의 공유 계정 접근을 간편하게 관리하려면 1Password Business를 우선 검토할 만하다. 1Password Business 관리 기능에는 그룹별 금고 권한, ID 공급자를 통한 사용자 생성·중지, 사용 보고서와 감사 기록이 포함된다. 비밀번호 관리 서버를 조직이 직접 운영해야 한다면 Bitwarden의 기업용 기능표에 자체 호스팅 옵션이 명시된 Enterprise가 비교 대상이다.

두 제품 모두 팀의 공유 자격증명과 접근권한을 관리한다. 따라서 선택의 기준은 입사·부서 이동·협력 종료·퇴사 때 관리자가 어떤 권한을 바꾸고 어떤 비밀번호를 교체해야 하는지다. SSO가 필요한 조직이라면 로그인 연동과 사용자 프로비저닝을 구분하고, 자체 호스팅이 필수라면 서버 운영 책임까지 포함해 판단해야 한다.

10명과 30명 팀의 도입표

다음은 실제 도입 사례가 아닌 조건부 예시다. 구성원 10명인 팀과 30명인 조직 모두 외부 협력자에게 일부 업무 계정 접근을 줘야 한다고 가정했다. 인원보다 먼저 정할 것은 공동 계정의 소유자, 공유 범위, 계약이 끝났을 때 권한을 회수할 담당자다. 이 기준이 없으면 초대가 간편해도 나중에 어떤 자격증명을 바꿔야 하는지 파악하기 어렵다.

• 입사와 계정 생성: 10명 팀은 관리자가 구성원을 직접 초대하는 절차를 선택할 수 있다. 30명 조직은 ID 공급자의 사용자·그룹 변경이 비밀번호 관리 도구에 어떻게 반영되는지 살핀다. 두 경우 모두 업무용 계정을 개인 금고에만 두지 않고 조직이 관리하는 공유 영역에 배치할지 정한다.
• 협력자 공유: 한 번 전달할 정보와 프로젝트 기간 내내 사용할 공동 계정을 구분한다. 전자에는 만료되는 항목 공유, 후자에는 접근 범위를 제한한 금고나 컬렉션이 더 적합할 수 있다. 협력자를 직원과 같은 그룹에 넣으면 계약 종료 시 회수 범위가 불필요하게 넓어진다.
• 부서 이동과 퇴사: 기존 그룹에서 제외하고 새 그룹에 추가하는 절차, 조직 계정을 중지하는 절차, 이미 열람했을 수 있는 공동 계정의 비밀번호를 교체하는 절차를 각각 적는다. 계정 중지만으로 과거에 알게 된 비밀번호가 무효가 되지는 않는다.
• 감사 기록: 구성원과 협력자가 어떤 공유 영역에 접근할 수 있었는지, 권한이 언제 바뀌었는지 확인할 담당자를 정한다. 기록을 볼 수 있는 기능과 기록을 검토해 후속 조치를 하는 업무는 별개다.
• 호스팅 조건: 자체 서버 운영이 계약이나 내부 규정상 필수인지 먼저 확정한다. 선택 사항이라면 구독료와 함께 배포, 업데이트, 백업 복구, 장애 대응에 필요한 인력도 고려한다.

입사와 부서 이동은 그룹 설계에서 갈린다

새 구성원에게 필요한 것은 비밀번호 관리 앱의 계정뿐 아니라 담당 업무에 맞는 공유 자격증명이다. 1Password Business는 그룹에 금고 접근권한을 연결할 수 있고, Bitwarden은 그룹에 컬렉션 권한을 부여할 수 있다. 개인별 예외 권한을 계속 추가하는 방식보다 역할별로 공유 범위를 정해 두면 부서가 바뀔 때 수정할 지점이 분명해진다. 여러 부서가 같은 계정을 쓴다면 어느 쪽이 그 계정의 소유자인지도 정해야 한다.

SSO와 프로비저닝은 서로 다른 업무다. SSO는 구성원의 로그인 인증을 ID 공급자와 연결하고, 프로비저닝은 사용자를 만들거나 그룹 소속을 바꾸고 접근을 해제하는 과정을 다룬다. Bitwarden Teams에도 디렉터리 동기화와 SCIM 프로비저닝이 포함되지만, Bitwarden의 Enterprise 기능 설명에 따르면 SSO, 사용자 지정 관리 역할과 기업 정책은 Enterprise에서 제공된다. 따라서 자동 계정 생성만 필요한 조직과 SSO까지 요구하는 조직은 같은 플랜을 전제로 비교해서는 안 된다.

10명 팀이라도 부서 이동이 잦고 공동 계정이 여러 업무에 걸쳐 있다면 초기에 그룹을 나누는 편이 관리하기 쉽다. 반대로 30명 조직이라도 공유 대상이 적고 인사 이동이 드물다면 모든 권한 변경을 자동화할 필요는 없다. 인원수 자체보다 변경이 발생할 때 관리자가 손봐야 할 사용자, 그룹, 공유 영역의 수가 운영 부담을 좌우한다. ID 공급자에서 사용자를 중지한 뒤에도 공유 영역의 소속과 기존 공유 링크가 어떻게 처리되는지는 도입 절차에 포함해야 한다.

외부 협력자는 한 항목과 지속적 접근을 구분한다

외부 협력자에게 일회성 정보를 전달하는 일과 프로젝트 기간 내내 공동 계정을 사용하게 하는 일은 다르다. 1Password Business에는 특정 금고에만 접근하는 게스트 계정과 만료 시간을 설정할 수 있는 항목 공유가 있다. 1Password Business 요금표에는 연간 결제 기준 사용자당 월 8.99달러와 제한된 금고에 접근하는 게스트 20명, 임시 공유 및 공유 이력이 제시돼 있다. 좌석 가격만 비교하면 협력자를 직원 계정으로 초대해야 하는지, 제한된 게스트 접근으로 처리할 수 있는지의 차이를 놓치기 쉽다.

Bitwarden도 조직의 컬렉션을 통해 반복적으로 쓰는 자격증명을 공유하고, Bitwarden Send로 조직 밖 사람에게 텍스트나 파일을 전달할 수 있다. 협력자가 매일 같은 운영 계정을 써야 한다면 개별 전송을 반복하는 방식보다 지속적인 접근권한과 종료 시점을 관리하는 편이 명확하다. 반대로 한 번 전달할 정보에 계속 유지되는 조직 권한을 부여하면 회수할 대상이 늘어난다. 전송된 정보 자체가 이후에도 유효한 자격증명이라면 링크의 만료와 계정의 비밀번호 교체 역시 구분해야 한다.

협력자에게 제공할 계정이 다른 내부 서비스까지 열어 주는지도 살펴야 한다. 하나의 공동 계정을 여러 업무에서 재사용한다면 금고나 컬렉션을 세분화해도 실제 서비스의 접근 범위는 그대로일 수 있다. 이 경우 서비스 계정을 업무별로 분리해야 협력 종료 때 무엇을 회수할지 명확해진다. 개인 사용까지 포함한 기능을 함께 고르는 조직이라면 두 제품의 복구·공유 방식도 판단에 영향을 줄 수 있다.

퇴사자 회수에는 감사 기록과 비밀번호 교체가 모두 필요하다

퇴사 처리의 첫 단계는 조직 계정과 공유 영역 접근을 끊는 것이다. 다음에는 퇴사자가 열람했을 가능성이 있는 공동 계정을 찾아 비밀번호와 추가 인증 수단을 점검해야 한다. 그룹에서 사용자를 제거해도 이미 본 비밀번호를 머릿속이나 별도 저장소에서 지울 수는 없다. 그래서 계정 비활성화와 공동 계정 교체를 각각 완료해야 할 업무로 다루는 편이 정확하다.

감사 기록과 사용 보고서는 교체 대상을 정하는 데 도움이 된다. 1Password Business에서는 금고에 사용자를 추가하거나 권한을 바꾼 기록을 확인할 수 있고, Bitwarden에서는 조직의 사용자·컬렉션 활동에 관한 이벤트 기록을 볼 수 있다. 다만 로그가 있다는 이유만으로 퇴사자가 실제로 무엇을 기억하거나 따로 저장했는지 알 수는 없다. 그 사람이 맡았던 서비스, 참여 그룹, 외부 공유 여부를 함께 검토해야 교체 범위를 정할 수 있다.

30명 조직이라면 인사 담당자의 퇴사 통보가 ID 공급자 변경, 공유 영역 권한 회수, 공동 계정 교체로 이어지는 순서를 정할 필요가 있다. 10명 팀에서는 한 사람이 여러 단계를 맡아도 되지만, 단계 자체를 생략할 수는 없다. 외부 협력자 계약 종료도 같은 흐름에 넣어야 한다. 초대할 때 종료일과 회수 담당자를 기록해 두면 직원 퇴사 절차에서 빠지기 쉬운 협력자 권한을 별도로 추적할 수 있다.

자체 호스팅이 필수라면 운영 책임까지 비교한다

비밀번호 관리 서버의 배치와 운영을 조직이 직접 통제해야 한다면 Bitwarden Enterprise가 분명한 선택지다. 자체 호스팅은 서버를 원하는 환경에 배포할 수 있게 하지만, 업데이트와 보안 설정, 백업 및 복구, 장애 대응도 조직의 업무가 된다. 이 조건이 필수라면 관리 화면의 편의성이나 좌석당 요금을 따지기 전에 충족 여부를 판단해야 한다. 반면 자체 운영이 선택 사항인 팀에는 그에 필요한 인력이 있는지가 실제 비용 차이를 바꾼다.

eSecurity Planet의 비교는 Bitwarden의 오픈소스·자체 호스팅 선택과 1Password의 기업 관리 및 사용 경험을 서로 다른 강점으로 평가한다. 이는 어느 제품이 모든 조직에 더 쉽거나 더 안전하다는 시험 결과는 아니다. 이미 서버 운영 체계를 갖춘 조직은 Bitwarden Enterprise의 배포 통제를 활용할 수 있고, 협력자 초대와 잦은 권한 변경을 관리형 서비스 안에서 처리하려는 조직은 1Password Business의 금고·게스트·보고 기능에 무게를 둘 수 있다. 자체 호스팅을 선택한 조직은 배포 뒤에도 계정 회수와 공동 비밀번호 교체 절차를 계속 운영해야 한다.

함께 읽기:

• Bitwarden과 1Password, 무료 여부보다 복구·공유 방식이 더 중요하다
• HubSpot이냐 Salesforce냐…무료 좌석 뒤 온보딩 비용이 갈린다
• Crunchbase냐 PitchBook이냐…투자 발굴과 심사는 다른 도구다