[대한민국 밸류체인] IT보안 — 아늑한 것과 강한 것은 다르다

보안이라는 산업은 이상한 자리에 서 있다. 잘 돌아갈 때는 아무도 그 값을 궁금해하지 않다가, 무언가 뚫렸다는 뉴스가 나오는 날에만 갑자기 온 나라가 그 이름을 부른다. 며칠 지나면 다시 잊는다.

공공기관 홈페이지에 들어갈 때 뜨는 그 파란 자물쇠를 떠올려 보자. 보안 프로그램을 깔라는 창, 그 위에 또 뜨는 인증 프로그램, 키보드 입력을 지킨다는 자물쇠. 우리는 별생각 없이 몇 번 눌러 지나간다. 존재하는 줄도 모르고. 이번 여행은 그 잊힌 자물쇠들의 이력서를 거꾸로 읽는 일이다. 로그인 창의 파란 자물쇠에서 시작해, 그 자물쇠가 태어난 자리까지 거슬러 오른다.

그리고 이 사슬에도, 앞서 반도체와 제약에서 봤던 그림이 한 번 더 나타난다. 지킬 줄은 아는데, 무엇으로 지킬지의 가장 깊은 원천은 남의 손에 있다는 그림. 다만 이번에는 결이 조금 다르다. 이 산업의 벽을 세운 것은 실력이 아니라 규제였다.

자물쇠 스무 개의 지도

사이버보안이라는 이름 아래에는 스무 개 남짓의 고리가 있다. 크게 보면 네 덩어리다.

맨 앞은 무언가를 직접 막아 내는 제품들이다. 바이러스를 잡는 백신, 네트워크의 문턱을 지키는 방화벽과 침입방지시스템, 단말기 하나하나를 감시하는 엔드포인트 보안. 그 뒤로 만들어 파는 물건이 아니라 빌려주는 서비스가 있다. 남의 회사를 대신 밤새 지켜보는 보안관제, 이른바 MSSP다. 세 번째는 사람과 문서를 확인하고 잠그는 자리다. 신원을 증명하는 인증, 데이터를 뒤섞어 감추는 암호. 마지막이 이 모든 걸 사 주는 수요처다. 공공, 금융, 그리고 기업.

돈은 이 고리들에 고르게 흩어지지 않는다. 한쪽으로 쏠린다. 많이 남는 곳은 남이 쉽게 흉내 낼 수 없는 원천 기술을 쥔 제품, 곧 좁고 깊은 자리다. 통신사 회선을 그대로 감당하는 초고속 침입방지 장비, 암호화된 트래픽을 열어 들여다보는 미들박스, 회사 안 모든 기기의 접속을 통제하는 접근제어 엔진 같은 것들이다.

반대로 남의 신원을 확인해 주는 인증은 규격이 정해져 있어 여럿이 나눠 서고, 남의 회사를 대신 지켜 주는 관제는 결국 사람이 밤을 새우는 일이라 남는 게 얇다.

그렇다면 한국은 이 스무 고리 중 어디에 서 있을까. 답을 먼저 말하면 이렇다. 우리는 국내라는 울타리 안에서는 웬만한 고리를 다 쥐고 있고, 그 울타리 밖으로 나가는 순간 거의 아무것도 쥐지 못한다. 그 울타리가 이 산업의 전부를 설명한다. 숫자로 보면 분명해진다.

자물쇠마다 다른 몫

같은 보안회사라는 이름표를 달고 있어도, 사슬 어느 고리에 서 있느냐에 따라 남기는 몫이 전혀 다르다. 2025년 성적표를 영업이익률이 높은 순서로 세워 보면, 돈이 어디에 남는지가 한눈에 드러난다.

※ 매출·영업이익은 FY2025 연결 기준(DART). 안랩은 별도로 보면 매출 2,365억 원·영업이익 406억 원(영업이익률 17.2%)으로, 연결 숫자는 자회사가 눌러 낮아진 값이다. 안랩 당기순이익은 515억 원(+59%)으로 영업이익보다 큰데, 쌓아 둔 현금의 이자수익이 두텁기 때문이다. 이글루코퍼레이션은 영업이익 160억 원을 냈지만 순이익은 36억 원에 그쳤다. 비상장인 SK쉴더스(2025년 매출 2조 원대)와 시큐아이(약 1,200억 원)는 이 표에서 뺐다.

이 사다리를 위에서 아래로 훑으면, 숫자가 24%에서 손실까지 미끄러진다. 같은 산업, 같은 나라, 같은 방패의 세계인데 왜 이렇게 벌어질까. 자리 때문이다.

사다리 위쪽의 윈스는 침입방지시스템을 만든다. 통신사 회선을 그대로 통과시키면서 그 안의 악성 트래픽만 골라 걸러 내는, 초고속 하드웨어와 탐지 엔진이 한 몸이 된 물건이다. 이런 장비는 아무나 만들지 못한다. 회선 속도를 따라가는 성능을 몇 해에 걸쳐 다듬어야 하고, 통신사가 한번 믿고 깔면 좀처럼 갈아치우지 않는다. 좁고 깊은 고리다. 그래서 500명이 채 안 되는 회사가 21.5%를 남긴다.

바로 아래 수산아이앤티도 결이 같다. 암호화되어 오가는 트래픽을 열어 그 안을 들여다보는 SSL 가시성 미들박스라는, 역시 좁은 자리를 쥐고 16.6%를 남긴다. 세 번째 지니언스는 회사 안의 모든 기기가 네트워크에 붙는 길목을 지키는 접근제어 장비로 14.5%다. 셋 다 공통점이 있다. 남들이 흉내 내기 어려운 원천 엔진 하나를 좁게 쥐었다는 것.

아래쪽으로 내려가면 이야기가 달라진다. 라온시큐어는 생체인증과 전자서명을 만든다. 좋은 기술이지만 인증이라는 고리는 국제 규격이 정해져 있어 여러 회사가 같은 표준 위에서 경쟁한다. 넓은 고리다. 그래서 638억 원을 팔고도 4.4%만 남긴다. 파이오링크의 웹방화벽과 보안스위치도 하드웨어라 값을 세게 부르기 어렵다.

그리고 이글루코퍼레이션. 이 회사는 매출로만 보면 표에서 안랩 다음으로 크다. 보안관제, 그러니까 남의 회사 전산망을 대신 밤새 지켜보는 일이 주력이기 때문이다. 하지만 관제는 결국 사람이 하는 일이라, 매출이 커도 남는 몫은 얇다. 돈이 제품의 특허에 남지 않고, 사람의 야근에 흩어진다.

울타리를 쳐 준 것은 법이었다

그런데 여기서 이 산업의 진짜 얼굴이 드러난다. 앞의 사다리에서 21%를 남긴 윈스도, 16%의 수산아이앤티도, 사실은 한 겹의 보호막 안에 서 있다. 그 보호막의 이름은 규제다.

한국의 공공기관은 보안 제품을 아무거나 살 수 없다. 방화벽이든 침입방지시스템이든, 국가정보원이 정한 보안적합성 검증을 통과하고 국내 CC인증이나 보안기능확인서를 받은 제품만 들일 수 있다. 스무 종이 넘는 품목이 이 관문에 묶여 있다.

겉으로는 안전을 위한 절차지만, 결과만 놓고 보면 외국 제품이 한국 공공시장에 들어오는 문턱을 아주 높이 세운 장벽이다. 그래서 공공 부문의 방화벽과 관제는 사실상 국산이 90% 넘게 차지한다. 윈스와 안랩과 시큐아이가 서 있는 그 좁고 마진 높은 자리는, 실력이 세계를 눌러서가 아니라 법이 울타리를 쳐 줘서 지켜지는 자리다.

이 울타리는 공공만 두른 게 아니다. 오랫동안 금융도 똑같았다. 은행과 카드사는 규제상 내부망을 바깥과 물리적으로 갈라놓는 망분리를 지켜야 했고, 그 안에 들어가는 보안 제품도 사실상 국산 장비로 한정돼 있었다. 이 나라에서 가장 크고 안정적인 두 고객, 공공과 금융이 규제의 힘으로 국산에게 묶여 있었던 셈이다. 잡은 물고기였다.

그런데 이 울타리가 열리기 시작한 게 얼마 되지 않았다. 2024년 8월 금융위원회가 망분리 개선 로드맵을 내놓으며 금융회사의 생성형 AI 활용과 클라우드 이용을 대폭 허용했다. 오래 잠겨 있던 문이 이제 막 열린 것이다. 문이 열리면 그 안으로 아마존과 마이크로소프트와 글로벌 보안기업이 함께 걸어 들어온다. 잡은 물고기만 관리하던 시절이 끝나 가고, 국산 보안은 처음으로 열린 물에서 헤엄쳐야 하는 상황을 맞고 있다.

울타리 밖의 풍경

울타리 밖으로 한 걸음만 나가 보면 풍경이 완전히 뒤집힌다. 이 산업에서 정말 대체 불가능한 목줄, 그러니까 차세대 방화벽과 클라우드 워크로드를 감시하는 엔드포인트 탐지, 클라우드 전체를 하나로 지키는 통합 플랫폼은 거의 다 밖에 있다.

차세대 방화벽의 팔로알토네트웍스는 연 매출이 우리 돈으로 9조 원을 넘고, 클라우드 엔드포인트의 크라우드스트라이크, 방화벽의 포티넷이 그 뒤를 잇는다. 안랩의 연결 매출 2,677억 원과 견주면 자릿수가 다르다. 클라우드 보안의 신흥 강자 위즈는 회사 하나가 구글에 32조 원에 팔렸다. 안랩 같은 국내 1위 기업의 전체 가치를 몇 곱절 넘는 값이다.

그런데 왜 이렇게까지 밖과 벌어졌을까. 규제가 만든 온실이 역설적으로 발목을 잡았다. 국산 보안은 국가정보원 인증에 맞춘 국내 규격의 온프레미스 장비, 곧 고객의 전산실에 직접 설치하는 장비를 파는 데 익숙해졌다. 그런데 세계 시장은 이미 클라우드 위에서 돌아가는 구독형 플랫폼으로 넘어가 버렸다. 파는 물건의 문법 자체가 달라진 것이다.

여기에 연구개발에 쏟는 돈의 자릿수까지 다르니, 같은 링에서 겨루기가 어렵다. 국내 시장은 해마다 커지는데 수출은 거꾸로 2년째 줄어드는 이상한 그림도 그래서 나온다. 안에서 팔리는 방식과 밖에서 팔리는 방식이 다른데, 안에서만 오래 팔아 왔기 때문이다.

그러니 국산이 해외에 나갈 수 있느냐는 물음에는, 아직은 솔직히 어렵다고 답할 수밖에 없다. 안랩이 사우디 국부펀드 계열사 SITE와 합작법인 라킨을 세우는 식의 시도가 없지는 않지만, 세계 표준을 쥔 자리로 올라선 국산 원천 제품은 아직 보이지 않는다. 온실에서 오래 자란 힘이 온실 밖에서도 힘일지는, 전혀 다른 문제다.

그러니 이 산업의 시금석 질문, 곧 값을 스스로 부를 수 있는가에 한국 보안기업은 이렇게 답할 수밖에 없다. 국내에서는 부를 수 있다. 다만 그 값을 부를 수 있게 해 준 것은 나의 대체 불가능한 실력이 아니라, 나를 위해 세워진 규제의 벽이다.

돈이 남는 곳은 국내의 좁은 고리인데, 목줄을 쥔 곳은 글로벌 원천 기술이다. 제약에서 분자는 우리가 만들고 밸브는 빅파마가 쥐었듯, 보안에서 국내 시장은 우리가 지키고 세계 표준은 밖이 쥐고 있다. 2025년 한국의 정보보안 수출이 1,242억 원으로 오히려 전년보다 15.9% 줄어든 숫자가, 그 울타리의 높이를 조용히 증언한다. 벽이 높을수록 안은 아늑하고, 밖은 멀다.

실력의 벽, 규제의 벽

이쯤에서 앞선 여행들이 겹쳐 온다. 반도체에서 한국은 메모리를 세계에서 가장 잘 만들지만, 그 칩을 설계하는 근본 도구와 가장 미세한 회로를 새기는 노광 장비는 밖에 있었다. 제약에서 우리는 분자를 발견하고 약을 세계 최고 수준으로 찍어 냈지만, 그 약을 세계에 파는 밸브는 빅파마가 쥐었다. 보안도 같은 문장으로 요약된다. 지키는 일은 국내에서 정상, 세계 원천은 문 앞.

다만 결이 다른 데가 하나 있다. 그 어긋남을 만든 원인이 다르다. 반도체와 제약에서 우리를 문 앞에 세운 것은 실력의 격차였다. 노광 장비도, 세계 규모의 임상도, 몇 해 안에 따라잡기 어려운 시간의 벽이었다. 그런데 보안에서 우리를 안에 머물게 하는 것은 실력이 아니라 규제다. 국가정보원의 검증과 CC인증이 만든 울타리가 국내 회사들을 지켜 주는 대신, 그 아늑함 안에 눌러앉게 만들었다.

두 벽의 운명은 다르다. 실력의 벽은 무너뜨리기 어렵지만, 한번 넘어서면 세계 어디서나 통한다. 규제의 벽은 세우기는 쉬워도 위태롭다. 규제가 완화되거나 빅테크가 무료로 방패를 끼워 팔기 시작하면, 그 안의 아늑함은 순식간에 얇아진다.

마이크로소프트가 윈도에 보안 기능을 통째로 끼워 넣고, 구글이 위즈를 삼켜 클라우드 보안을 번들로 밀어붙이는 지금, 국내의 벽은 안에서 보면 여전히 튼튼하지만 밖에서 보면 조금씩 그늘이 진다. 아늑한 것과 강한 것은 다르다.

그런데, 실제로 막았는가

여기까지 읽으면 한 가지 질문이 남는다. 규제가 울타리를 쳐 줘서 국내에서 값을 부른다는 건 알겠다. 그런데 이 회사들은, 실제로 막아 내기는 하는가. 아늑한 벽 안에서 값만 지킨 게 아니라, 정말 우리를 지켜 왔는가.

2025년이 그 답을 대신 내놓았다. 이 해는 한국 사이버보안 역사에서 가장 많이 뚫린 해로 기록됐다. 4월 SK텔레콤에서 가입자 2,500만 명의 유심 정보가 새어 나갔는데, 원인은 오래 탐지되지 않은 채 핵심 서버에 잠복해 있던 은닉형 악성코드였다. 8월엔 롯데카드에서 297만 명의 신용정보 200기가바이트가 통째로 빠져나갔고, 6월엔 예스24가 랜섬웨어에 걸려 전사 시스템이 며칠간 멈췄다. 유통과 금융과 통신을 가리지 않았다. 그해 한국 인구의 절반이 넘는 사람이, 최소 한 번은 자기 정보가 어딘가로 새어 나가는 경험을 했다.

이 사고들에는 서늘한 공통점이 하나 있다. 대부분이 번뜩이는 새 수법이 아니라, 오래전부터 알려져 있던 허점을 그대로 방치하다 뚫렸다는 것이다. 그 악성코드는 방화벽이 손쓰기도 전에 패킷을 가로채는 자리에 오래 숨어 있었다. 인증서를 받고 검증을 통과한 제품과 절차는 빼곡했지만, 정작 공격은 그 종이 울타리를 지나 안방까지 걸어 들어왔다.

규제의 벽은 외국 경쟁자를 문 앞에서 돌려보내는 데는 유효했으나, 진짜 공격자를 돌려보내는 데는 그만큼 유효하지 않았다. 인증서 한 장은 방어가 아니다. 규격을 갖추는 일과 실제로 막아 내는 일은, 생각보다 멀리 떨어져 있다.

그러니 아프지만 정당한 질문이 여기서 나온다. 이 산업은 그동안 발전해 온 것인가, 아니면 아늑한 울타리 안에서 유지만 해 온 것인가. 해마다 인증을 갱신하고 공공 발주를 받으며 국내 보안회사들은 조용히 이어져 왔다. 그러나 바깥세상의 공격 기술이 몇 곱절로 진화하는 동안, 그 이어짐이 곧 발전이었는지는 2025년의 성적표가 의심하게 만든다. 한자리에 오래 머물면 돈만이 아니라 기술도 사람도 함께 머문다.

그렇다면 이 유출들은, 보안회사가 잘했으면 없었을 일이었을까. 반은 맞고 반은 틀리다. 뚫린 1차 책임은 대개 그 문을 잠그지 않은 회사 자신에게 있다. SK텔레콤도 롯데카드도, 저마다 오래 미뤄 둔 관리의 빈틈을 파고들린 것이었다. 은닉된 악성코드를 뒤늦게 알아챘든, 접근 권한을 제때 회수하지 않았든, 그 빈틈을 방치한 것은 결국 그 기업들 자신이었다.

보안을 매출로 이어지지 않는 비용으로만 여기면, 최소한의 규제 요건만 맞추고 나머지는 미뤄 두게 된다. 뚫리기 전까지는 그 미룸의 대가가 보이지 않으니까. 그런데 그 미룸을 눈감아 준 것이 이 산업의 구조이기도 하다. 사고가 나야 예산이 열리고, 잔잔할 때는 아무도 그 값을 궁금해하지 않는다. 파는 쪽도 사는 쪽도 터지지 않으면 그만이라는 암묵의 합의 위에 오래 서 있었다. 그러니 이 유출들은 어느 한 보안회사의 실패라기보다, 보안을 사고가 난 뒤에만 찾는 세상 전체가 뒤늦게 받아 든 청구서에 가깝다.

AI가 여는 새 전장

그런데 이 아늑한 울타리 안팎으로, 판을 통째로 흔드는 새 바람이 분다. 인공지능이다.

2026년 4월, 그 바람의 세기를 먼저 보여 준 사건이 밖에서 터졌다. 이른바 미토스 쇼크다. 앤트로픽이 최신 모델 클로드 미토스 프리뷰를 발표하면서 함께 나온 보고 때문이었다. 이 모델은 격리된 실험 공간을 스스로 빠져나왔고, 27년 동안 아무도 발견하지 못한 결함을 찾아냈다. 그것도 보안이 철저하기로 이름난 시스템에서였다.

주목할 것은 그다음이다. 앤트로픽은 이 모델을 일반에 공개하지 않기로 했다. 대신 소수의 기관에만 제한적으로 여는 프로젝트 글래스윙이라는 방식을 택했다. 너무 강해서 내놓지 못한 물건인 셈이다. 공격하는 쪽이 사람의 손과 속도를 떠나 인공지능의 속도로 움직이기 시작했다는 신호였다.

오래된 허점을 뒤늦게야 알아차리던 세계와, 인공지능이 그런 허점을 몇 시간 만에 헤집어 내는 세계는 같은 링에 설 수가 없다. 앞의 2025년이 사람 해커에게 뚫린 기록이라면, 미토스가 여는 것은 그다음 장이다.

AI는 보안에서 양날의 검이다. 공격하는 쪽은 AI로 훨씬 정교해졌다. 2024년에는 어느 회사의 재무책임자 얼굴과 목소리를 AI로 흉내 낸 딥페이크 영상통화로 직원을 속여 우리 돈 340억 원가량을 빼돌린 사건까지 벌어졌다. 이제 가짜 메일과 가짜 얼굴을 사람 눈으로 가려내기가 어려워졌다.

막는 쪽도 그래서 AI를 든다. 사람이 밤새 보던 로그를 AI가 대신 훑고 수상한 낌새를 미리 잡아낸다. 앞서 본 보안관제 회사들의 얇은 마진, 곧 사람의 야근에 흩어지던 몫이 AI로 조금은 두꺼워질 여지가 여기 있다.

게다가 이제는 지켜야 할 대상 자체에 AI가 들어왔다. 기업이 쓰는 거대 언어모델이 엉뚱한 답을 내거나 기밀을 흘리지 않게 막는 일, 이른바 AI 보안이라는 새 자리가 통째로 생겨난 것이다.

한국 보안업계에는 이 AI라는 새 전장이 기회이자 시험대다. 규제가 쳐 준 울타리 안에서는 아늑했지만, AI 대 AI로 겨루는 이 새 마당에는 울타리가 없다. 여기서도 강한지는, 이제부터 증명해야 한다.

219명과 1,157명

이 사슬을 사람 단위로 쪼개 보면, 회사의 성적표만으로는 안 보이던 결이 하나 더 드러난다. 한 사람이 얼마를 굴려 얼마를 남기는지, 그리고 그 사람이 얼마나 오래 그 자리에 머무는지.

※ 직원수·평균 연봉·근속은 각 사 2025년 사업보고서(별도, 남녀 가중평균). 1인당 수치는 연결 실적을 별도 인원으로 나눈 어림값이다. 샌즈랩과 한싹은 2025년 영업손실을 냈으므로 1인당 영업이익은 계산하지 않았다. 평균 근속을 공시하지 않은 곳은 빈칸으로 둔다.

이 표에서 가장 먼저 눈에 들어오는 건 지니언스다. 219명이 한 사람당 7,800만 원을 받는다. 국내 상장 보안회사 가운데 손에 꼽는 연봉이다. 접근제어라는 좁은 고리를 국내에서 홀로 앞서 쥔 회사가, 소수의 사람에게 두둑이 값을 치른다. 돈이 좁은 고리에 남는다는 말은, 그 고리를 지키는 사람 수가 적을수록 한 사람 몫이 커진다는 뜻이기도 하다. 수산아이앤티도 142명이 한 사람당 3,600만 원의 이익을 만들어, 몸집에 비해 야무진 숫자를 낸다.

반대편에는 이글루코퍼레이션이 있다. 1,157명이나 되는 사람이 한 명당 1억 2천만 원어치를 파는데, 남기는 이익은 1,400만 원이다. 관제라는 일의 숙명이다. 남의 회사를 대신 지키는 일은 결국 사람이 밤을 새우는 노동이라, 매출은 커도 한 사람 몫이 얇게 흩어진다. 파는 물건이 특허가 아니라 시간이기 때문이다. 이글루가 이 표에서 가장 낮은 축의 연봉을 주는 것도 같은 이유일 것이다.

근속연수도 벽의 종류를 증언한다. 가장 오래된 건 안랩이다. 8.0년. 국내 백신의 대명사로 이십 년 넘게 자리를 지켜 온 이 회사의 사람들은 좀처럼 떠나지 않는다. 규제의 울타리 안에서 회사가 흔들리지 않는, 습관처럼 견고한 자리이기 때문일 것이다. 지니언스도 6.1년으로 길다.

반면 샌즈랩은 2.6년으로 유독 짧다. 이 회사는 2025년에 이익을 내지 못했다. 그런데도 41명뿐인 젊은 조직에 6,730만 원의 연봉을 준다. 이익을 내는 회사들과 맞먹는 값이다. 악성코드를 인공지능으로 분석하는 위협 인텔리전스라는, 아직 돈이 어디에도 남지 않은 자리에 미래를 걸고 있기 때문이다. 벌이가 나기도 전에 앞으로 남을 몫을 미리 당겨 사람에게 치른다. 제약 편의 리가켐바이오에서 봤던 것과 같은, 좁은 고리를 새로 만들어 내려는 자의 조금 무모한 셈법이다.

여기까지가 로그인 창 파란 자물쇠의 이력서다. 거슬러 올라 보니, 우리는 우리 집 안을 지키는 일에는 웬만큼 능한 나라였다. 방화벽도 만들고, 관제도 하고, 트래픽도 들여다본다. 다만 그 능함이 세계를 눌러서가 아니라, 우리를 위해 세워진 규제의 벽 안에서 자란 능함이라는 게 마음에 남는다.

벽 밖의 원천 기술, 곧 세계가 함께 쓰는 방패의 표준은 아직 온전히 우리 것이 아니다. 반도체와 제약에서 봤던 그 어긋남이, 방패의 세계에서는 조금 다른 얼굴로 되풀이되고 있었다. 실력이 아니라 법이 세운 벽. 아늑하지만 위태로운 벽. 공공기관 홈페이지 앞에서 오늘도 별생각 없이 눌러 지나가는 그 파란 자물쇠 뒤에, 이런 사정이 접혀 있었다. 이 벽이 언제까지 아늑할지, 나는 그 판단을 조금 더 미뤄 두기로 한다.

규제가 세운 아늑한 벽 뒤에서, 보안은 그래도 값을 부를 자리를 지켰다. 다음 사슬은 정반대다. 벽도 규제도 없이 오직 값으로만 겨루는 곳, 그래서 세계에서 가장 많이 만들고도 정작 값을 못 부르는 거인의 이야기다. 다음 여행은, 석유화학으로 향한다.