안랩이 버틴 자리와 팔로알토가 벌린 격차, 한국 IT보안의 현실은 여기 있다
보안 업계에서 가끔 이런 착각이 있습니다. 국내 업체가 IPS, DDoS 방어, NAC, 백신 쪽에서 이름값이 있으니 전체 판도도 비슷할 거라는 착각이죠. 그건 절반만 맞습니다. 한국 IT보안의 본진은 여전히 안랩이 지키고 있지만, 시장의 무게중심은 이미 Palo Alto Networks가 강한 영역으로 옮겨갔습니다.
이 차이는 제품 카탈로그에서 바로 보입니다. 윈스, 시큐아이, 안랩은 침입방지시스템에서 존재감이 있고, 파이오링크와 나임네트웍스는 DDoS 방어에서 분명한 자리가 있습니다. 지니언스와 유넷시스템은 NAC에서 잘합니다. 그런데 클라우드 보안, SASE, ZTNA, 컨테이너·DevSecOps 보안, AI 기반 위협탐지 쪽으로 가면 분위기가 확 달라집니다. 여기서부터는 솔직히 말해 국내가 따라가는 그림입니다.
장비 팔아선 끝나지 않는다, 돈은 뒤에서 더 붙는다
이 산업의 돈 흐름은 생각보다 단순합니다. 보안인프라와 보안솔루션이 눈에 먼저 띄고, 보안플랫폼이 고객을 묶고, 보안서비스가 반복 매출을 만들고, 유통/구축과 운영/교육이 현장을 굴립니다. 진짜 차이는 제품 한 번 파는 데 있지 않습니다. 보안플랫폼과 보안서비스로 얼마나 오래 고객을 붙드느냐가 수익의 질을 가릅니다.
그래서 글로벌솔루션/로컬지사 모델이 강합니다. 본사는 플랫폼과 로드맵을 쥐고, 로컬지사는 유통/구축과 운영/교육을 통해 계정을 깊게 파고듭니다. 반대로 국내 업체는 특정 솔루션에서 강해도 전체 밸류체인을 넓게 먹지 못하면 고객당 매출이 제한됩니다. 보안은 설치로 끝나는 산업이 아니니까요. 운영과 정책, 교육, 연동이 붙는 순간 판이 달라집니다.
| 단계 | 설명 | 세부 분야 |
|---|---|---|
| 보안인프라 | 보안 시스템의 기반이 되는 하드웨어 및 핵심 기술 (PQC·기밀 컴퓨팅 포함) | 보안칩/HSM, 암호모듈/PQC, 보안OS/펌웨어, 보안어플라이언스, 네트워크장비 |
| 보안솔루션 | 각종 보안 소프트웨어 및 솔루션 (AI 보안·LLM 가드·패스키 포함) | 네트워크보안, 엔드포인트보안(EDR/XDR), 데이터보안, 인증/접근제어(IAM·패스키), 클라우드보안(CNAPP), 웹/앱/API보안 등 |
| 보안플랫폼 | 통합 보안 관리·분석 플랫폼 (AI SOC·OT·DSPM) | SIEM/SOAR, AI SOC/자동화, XDR/MDR플랫폼, 제로트러스트(ZTNA), 위협인텔리전스, 취약점관리/ASM 등 |
| 보안서비스 | 보안 관제, 컨설팅, 진단 서비스 (MDR/AI Red Team) | 보안관제(MSS), MDR/관리형탐지, 침해대응(CERT), 모의해킹/AI Red Team, 보안컨설팅, 보안감사 등 |
| 유통/구축 | 보안 솔루션 유통 및 시스템 구축 | 보안SI/구축, 총판/딜러, 클라우드마켓, 공공조달 |
| 운영/교육 | 보안 시스템 운영, 교육, 인증 | 유지보수, 보안교육, 인증/심사, 버그바운티, 보안인력 |
| 글로벌솔루션/로컬지사 | 글로벌 보안 솔루션의 한국 지사 및 리셀러 (국내 원천 기술 기업과 구분) | 글로벌HSM/암호, 글로벌네트워크보안, 글로벌엔드포인트, 글로벌데이터보안, 글로벌클라우드보안, 글로벌플랫폼 등 |
우리가 잘하는 건 분명한데, 돈 되는 다음 판은 딴 데 있다
국산화 얘기를 할 때 가장 먼저 해야 할 일은 감상부터 버리는 겁니다. 잘하는 건 확실히 잘합니다. 못하는 것도 꽤 선명합니다. 국내 강점은 격차≤1인 전통 보안영역에 몰려 있고, 취약한 곳은 격차4~5의 차세대 운영환경 보안입니다.
앞선 쪽부터 보죠. 침입방지시스템은 윈스, 시큐아이, 안랩이 버티고 있고, DDoS 방어는 윈스, 파이오링크, 나임네트웍스가 존재감을 보여줍니다. 백신·안티멀웨어는 안랩(V3), 이스트시큐리티(알약)가 여전히 이름이 통합니다. NAC는 지니언스, 유넷시스템, 안랩이 강하고, 모바일·문서보안(DLP)은 소프트캠프, 지란지교시큐리티, 마크애니가 포진해 있죠. 이건 그냥 애국 마케팅이 아닙니다. 실제로 현장 적합성과 구축 경험이 쌓인 결과입니다.
문제는 다음입니다. 클라우드 보안(CSPM/CWPP)은 격차5, VPN·보안 원격접속(SASE)는 격차4, ZTNA도 격차4, 컨테이너·DevSecOps 보안도 격차4, AI 기반 위협탐지·생성형AI보안도 격차4입니다. 이건 단순한 제품 공백이 아닙니다. 고객의 워크로드가 이동하는 방향과 국내 공급 역량이 엇박자라는 뜻입니다. 예전처럼 네트워크 경계와 단말 통제만 잘해선 안 됩니다. 보안 예산의 질문 자체가 바뀌었는데, 답안지가 예전 과목에 머물러 있으면 위험합니다. 이 대목, 업계 분들이면 더 아프게 느끼실 겁니다.
아래 표: 기술별 국내·글로벌 TRL(기술성숙도 1~9)과 주요 기업
| 기술 | 국내 | 글로벌 | 수준 | 주요 기업 |
|---|---|---|---|---|
| 네트워크보안 | ||||
| 차세대 방화벽(NGFW) | 7 | 9 | 추격·격차2 | 시큐아이, 파이오링크, 안랩 |
| 회사 네트워크의 '출입문 검문소'입니다. 1세대 방화벽이 출입증(IP 주소·포트 번호)만 확인했다면, 차세대 방화벽은 패킷의 헤더가 아니라 실제 내용까지 들여다보는 'DPI(심층 패킷 검사)' 기술로 누가 어떤 앱을 쓰는지, 가방 속에 악성코드가 숨었는지까지 검사합니다. 즉 7계층(애플리케이션 계층)에서 트래픽을 식별해 '카카오톡은 되고 토렌트는 차단' 같은 세밀한 정책을 적용하고, 침입방지·악성코드 분석 기능까지 한 장비에 통합한 것이 핵심입니다. 한국은 시큐아이·파이오링크가 내수 시장 점유율 1·2위를 다투지만, 글로벌 시장은 미국 팔로알토네트웍스가 주도합니다. 2025년 현재 관전 포인트는 하드웨어 장비형 방화벽이 클라우드에서 동작하는 'FWaaS(서비스형 방화벽)'와 SASE로 빠르게 흡수되고 있다는 점입니다. | ||||
| 침입방지시스템(IPS/IDS) | 7 | 8 | 양호·격차1 | 윈스, 시큐아이, 안랩 |
| 네트워크를 흐르는 데이터를 실시간으로 들여다보며, 알려진 공격 패턴(시그니처)과 일치하면 즉시 차단하는 'CCTV 겸 경비원'입니다. IDS(탐지시스템)는 수상한 트래픽을 발견하면 경보만 울리는 반면, IPS(방지시스템)는 회선 한가운데(인라인)에 자리 잡아 탐지 즉시 자동 차단까지 합니다. 작동 원리는 두 갈래로, 알려진 공격의 지문을 모은 '시그니처 매칭'과 평소 트래픽 패턴에서 벗어나는 정도를 보는 '이상행위 탐지'를 함께 씁니다. 윈스는 100Gbps급 고성능 IPS로 국내 1위이며 일본 NTT 등 통신사에도 수출하는, 국산 보안 장비의 대표 수출 사례입니다. 최근에는 단순 시그니처를 넘어 머신러닝으로 신종·변종 공격을 잡아내는 방향으로 고도화되고 있습니다. | ||||
| VPN·보안 원격접속(SASE) | 5 | 9 | 취약·격차4 | 안랩, 지니언스, 파이오링크 |
| 외부에서 사내망에 안전하게 접속하는 '암호화된 비밀 터널'(VPN)이 출발점입니다. 원리는 인터넷 위에 가상의 전용선을 만들어 데이터를 암호로 포장(터널링)해 주고받는 것으로, 도청을 당해도 내용을 알 수 없게 합니다. 최근에는 네트워크 기능(SD-WAN)과 방화벽·접속제어·웹보안을 클라우드에서 하나로 묶어 제공하는 SASE(보안접속서비스엣지)로 진화 중입니다. 재택·지사·모바일 어디서 접속하든 '사용자가 본사에 있든 카페에 있든 동일한 보안 정책'을 클라우드 엣지에서 적용하는 방식입니다. 글로벌은 지스케일러·넷스코프 같은 클라우드 네이티브 강자가 선점했고, 국내는 망분리 규제 완화(2024년 국가망보안체계 N2SF 전환) 흐름에 맞춰 SASE 전환이 본격 과제로 떠올랐습니다. | ||||
| DDoS 방어 | 7 | 8 | 양호·격차1 | 윈스, 파이오링크, 나임네트웍스 |
| 수많은 좀비 PC(공격자가 악성코드로 장악한 단말)가 한꺼번에 접속을 퍼부어 서버를 마비시키는 공격(DDoS, 분산서비스거부)을 막는 기술입니다. 정상 처리 용량을 초과하는 트래픽을 일부러 쏟아부어 서비스를 다운시키는 것이 공격 원리라, 방어 쪽은 갑자기 몰린 비정상 트래픽의 특징(출발지·패턴·프로토콜)을 분석해 걸러내고 정상 이용자만 통과시키는 '교통정리'를 합니다. 공격 규모가 수백Gbps~수Tbps로 커지면서, 자체 장비로 막던 방식에서 트래픽을 전 세계 클라우드로 분산 흡수하는 'CDN 기반 방어'로 무게중심이 옮겨가고 있습니다. 국내는 윈스·파이오링크가 통신사·금융권에 장비를 안정 공급하며, 대형 공격은 클라우드 방어와 병행하는 하이브리드 구조가 일반적입니다. | ||||
| 엔드포인트보안 | ||||
| EDR(엔드포인트 탐지·대응) | 6 | 9 | 주의·격차3 | 안랩, 지니언스, 이스트시큐리티 |
| EDR은 PC·서버 같은 '단말기(엔드포인트)에서 벌어지는 모든 행동을 계속 지켜보다가 수상한 움직임을 잡아내는' 보안입니다. 기존 백신이 '알려진 범인 수배전단(시그니처)'으로만 막는다면, EDR은 프로세스 실행·파일 변경·네트워크 연결·레지스트리 수정 같은 행위 로그를 끊임없이 기록해 '평소와 다른 짓'을 이상행위로 포착하고, 침해가 일어난 뒤에도 '어디로 어떻게 퍼졌는지' 역추적·격리하는 사후 대응까지 합니다. 즉 시그니처가 없는 신종 공격이나 정상 프로그램을 악용하는 공격도 '행동의 맥락'으로 잡아내는 것이 핵심 원리입니다. 글로벌은 크라우드스트라이크가 사실상 표준이고(2024년 7월 업데이트 장애로 전 세계 850만 대 윈도가 멈춘 사건이 역설적으로 영향력을 보여줌), 국내는 안랩이 클라우드 분석 기반으로 추격 중입니다. 최근에는 단말·네트워크·클라우드·메일 로그를 통합 분석하는 XDR(확장 탐지대응)로 범위가 넓어지고 있습니다. | ||||
| 백신·안티멀웨어 | 8 | 8 | 양호·격차0 | 안랩(V3), 이스트시큐리티(알약) |
| PC·모바일에 들어온 악성코드(바이러스·랜섬웨어·트로이목마)를 찾아내 격리·치료하는, 가장 친숙한 보안 SW입니다. 1차로 알려진 악성코드의 고유 특징(시그니처·해시값)을 데이터베이스와 대조하고, 2차로 의심 파일을 격리된 가상공간(샌드박스)에서 실행해 보거나 코드의 행동을 분석하는 '휴리스틱·행위기반 탐지'로 변종까지 잡아냅니다. 최근에는 하루에도 수십만 개씩 쏟아지는 신종 악성코드를 사람이 다 분석할 수 없어, AI(머신러닝)로 파일의 악성 여부를 확률로 판정하는 기술이 표준이 됐습니다. 안랩 V3와 이스트시큐리티 알약이 국내 시장을 양분하며, 공공·기업 단체계약 기반이 견고합니다. | ||||
| 단말 접근제어(NAC) | 8 | 7 | 양호·격차-1 | 지니언스, 유넷시스템, 안랩 |
| 회사 네트워크에 접속하려는 기기가 '허가된 단말인지, 보안 규칙(백신 설치·최신 패치)을 지켰는지' 검사한 뒤 출입을 허용하는 기술입니다. 원리는 단말이 네트워크에 붙으려는 순간 신원과 보안 상태를 점검(인증·무결성 검사)하고, 합격이면 통과, 불합격이면 격리망으로 보내 백신 설치 같은 '치료'를 강제한 뒤 다시 검사하는 것입니다. 즉 보안에 구멍 난 PC가 사내망에 들어와 다른 PC를 감염시키는 일을 입구에서 차단하는 '입장 심사관'입니다. 지니언스가 국내 1위로 미국·일본 등 글로벌 시장에도 진출했고, 사물인터넷(IoT)·운영기술(OT) 기기까지 식별·통제하는 방향으로 영역을 넓히고 있습니다. | ||||
| 모바일·문서보안(DLP) | 7 | 7 | 양호·격차0 | 소프트캠프, 지란지교시큐리티, 마크애니 |
| 중요한 사내 문서나 개인정보가 외부로 새어나가지 못하게 막는 기술입니다(DLP, 정보유출방지). 원리는 두 가지로, 파일 자체에 암호 자물쇠와 권한을 입혀 '권한 없는 사람은 열어도 내용을 못 보게' 만드는 문서보안(DRM)과, 메일·메신저·USB·웹업로드로 빠져나가는 데이터를 실시간 감시해 기밀(주민번호·카드번호·설계도)이 포함되면 자동 차단하는 채널 통제입니다. 즉 데이터가 '저장될 때·이동할 때·사용될 때' 각 길목을 지켜 유출 경로를 봉쇄합니다. 소프트캠프·지란지교시큐리티 등이 망분리·문서중앙화 규제를 기반으로 내수에서 강점을 가집니다. 최근에는 직원이 챗GPT 같은 생성형 AI에 사내 기밀을 입력해 유출되는 새 위험을 막는 '생성형 AI DLP'가 주목받고 있습니다. | ||||
| 클라우드·제로트러스트 | ||||
| 클라우드 보안(CSPM/CWPP) | 4 | 9 | 취약·격차5 | SGA솔루션즈, 안랩, 모니터랩 |
| 회사 자산이 AWS·애저 같은 클라우드로 옮겨가면서, 그 위에서 새로 생기는 위험을 점검하는 보안입니다. CSPM(클라우드 보안형상관리)은 '저장소(S3 버킷)가 실수로 전체 공개로 열려 있는지', '과도한 권한이 부여됐는지' 같은 설정 오류를 자동으로 찾아 경고하고, CWPP(클라우드 워크로드 보호)는 그 위에서 돌아가는 가상서버·컨테이너 내부의 취약점·악성코드를 지킵니다. 클라우드 침해 사고의 대부분이 해킹이 아니라 '설정 실수'에서 비롯된다는 점을 겨냥한 것이 핵심입니다. 글로벌은 위즈(Wiz)가 폭발적으로 성장해 2025년 구글이 320억 달러에 인수하기로 하는 등 격전지이지만, 국내는 아직 초기 단계로 외산 의존도가 높습니다. 공공 클라우드 보안인증(CSAP) 제도가 국산 솔루션의 발판이 되고 있습니다. | ||||
| 제로트러스트 아키텍처(ZTNA) | 5 | 9 | 취약·격차4 | 안랩, 지니언스, 프라이빗테크놀로지 |
| '아무도 믿지 말고 매번 검증하라(Never Trust, Always Verify)'는 새 보안 원칙이자 설계 사상입니다. 과거엔 '성벽(사내망) 안에 들어오면 신뢰'하는 경계 보안이었지만, 재택·클라우드로 경계가 사라지면서 한 번 뚫리면 내부를 휘젓는 약점이 드러났습니다. 제로트러스트는 접속할 때마다 사용자 신원·기기 상태·접근 맥락(시간·위치·행동)을 계속 재확인하고, 꼭 필요한 자원에만 최소 권한으로 연결해 줍니다. 성문 안이라고 통과시키지 않고 방마다 신분증을 검사하며, 신뢰 점수가 떨어지면 즉시 접속을 끊는 셈입니다. 미국은 2022년 행정명령·M-22-09 메모로 연방기관에 의무화했고, 한국도 KISA가 '제로트러스트 가이드라인 2.0'(2024)을 내놓고 실증사업을 추진하며 시장이 형성되는 중입니다. | ||||
| 컨테이너·DevSecOps 보안 | 4 | 8 | 취약·격차4 | 스패로우, SGA솔루션즈, 틸론 |
| 요즘 소프트웨어는 '컨테이너'라는 표준 조립 블록(앱과 실행환경을 통째로 포장한 단위)으로 빠르게 만들고 배포됩니다. 이 블록을 찍어내는 설계도(이미지)와 개발 과정에 취약점이나 악성코드가 숨어들지 않았는지 개발 단계부터 자동 검사하는 것이 DevSecOps(개발·보안·운영 통합)입니다. 집을 다 짓고 나서 점검하면 비용이 크니, 벽돌 한 장 쌓을 때마다(코드 작성·빌드·배포 각 단계) 자동으로 보안 검사를 끼워 넣어 '왼쪽으로 보안을 당긴다(Shift-Left)'는 개념입니다. 특히 외부 오픈소스 부품을 가져다 쓰는 경우가 많아, 그 부품 목록(SBOM, 소프트웨어 자재명세서)을 관리해 알려진 취약점을 추적하는 공급망 보안이 핵심입니다. 국내는 스패로우(소스코드 분석) 등이 있으나 SW 공급망 보안 인식이 이제 막 확산되는 단계입니다. | ||||
| 웹 애플리케이션 보안(WAF) | 7 | 8 | 양호·격차1 | 펜타시큐리티, 파이오링크, 모니터랩 |
| 홈페이지·앱 같은 웹 서비스를 노린 공격을 막는 전용 방패입니다(WAF, 웹방화벽). 일반 방화벽은 네트워크 출입증만 보기 때문에 정상 포트(80·443)로 들어오는 'SQL 인젝션(DB를 속이는 입력)'이나 'XSS(악성 스크립트 삽입)' 같은 웹 언어로 위장한 공격은 못 거릅니다. WAF는 웹 요청의 내용을 한 줄 한 줄 분석해, 정해진 규칙에서 벗어나거나 공격 패턴이 보이면 차단하는 'HTTP 전문 검문소'입니다. OWASP가 정리한 10대 웹 취약점이 사실상 표준 방어 대상이며, 최근에는 자동 봇·API를 노린 공격 방어와 AI 기반 오탐 감소가 화두입니다. 펜타시큐리티는 WAF 분야에서 국내를 넘어 일본·중동에도 진출한 대표 국산 강자입니다. | ||||
| 데이터·인증 | ||||
| 데이터 암호화·키관리(KMS) | 7 | 8 | 양호·격차1 | 펜타시큐리티, 케이사인, 이니텍 |
| 중요한 데이터를 '아무도 못 읽는 암호문'으로 바꿔(암호화) 저장하고, 그 암호를 푸는 '열쇠(키)'를 안전하게 보관·교체·폐기하는 기술입니다. 암호 알고리즘 자체는 공개돼 있어도, 열쇠만 안전하면 내용이 지켜진다는 것이 현대 암호의 원리(케르크호프스 원칙)라, 결국 '열쇠 관리(KMS)'가 보안의 급소입니다. 그래서 열쇠를 일반 서버가 아니라 물리적으로 분리된 전용 암호장비(HSM)에 보관하고, 데이터를 다루는 앱은 열쇠를 직접 갖지 않고 빌려 쓰는 방식으로 위험을 줄입니다. 도둑이 금고(데이터)를 통째로 훔쳐도 열쇠가 없으면 못 여는 셈입니다. 국내는 국가 암호모듈 검증제도(KCMVP)가 공공·금융 시장의 진입 기준이 되어 펜타시큐리티·케이사인 등 국산 솔루션을 떠받칩니다. | ||||
| 통합인증·계정관리(IAM) | 6 | 9 | 주의·격차3 | 드림시큐리티, 라온시큐어, SGA솔루션즈 |
| 수많은 시스템마다 따로 로그인하지 않고 한 번 인증으로 여러 서비스를 쓰게 해 주고(SSO, 통합로그인), 누가 어디까지 접근할 수 있는지 권한을 부여·회수·점검하는 기술입니다(IAM, 식별·접근관리). 원리는 인증(너 누구냐)과 인가(무엇을 할 수 있냐)를 분리하고, SAML·OAuth·OIDC 같은 표준 토큰을 주고받아 각 시스템이 비밀번호를 직접 보관하지 않고도 신원을 신뢰하게 만드는 것입니다. '회사 출입증 하나로 허가된 방만 들어가게' 관리하는 셈이며, 특히 권한이 막강한 관리자 계정을 따로 통제하는 PAM(특권접근관리)이 사고 예방의 핵심입니다. IAM은 '모든 접속을 신원 기준으로 검증'하는 제로트러스트의 중심 축이기도 합니다. 글로벌은 옥타·MS 엔트라가 클라우드 IAM을 장악했고, 국내는 공공·금융 특화 영역에서 입지를 지키며 클라우드형으로 전환 중입니다. | ||||
| 본인인증·전자서명(FIDO) | 8 | 8 | 양호·격차0 | 라온시큐어, 드림시큐리티, 한국정보인증 |
| 비밀번호 대신 지문·얼굴·기기로 본인임을 증명하는 기술입니다(FIDO·생체인증). 핵심 원리는 공개키 암호로, 인증할 때 한 쌍의 열쇠 중 '개인키'는 절대 내 기기 밖으로 나가지 않고 기기 안 보안영역에만 머물며, 서버에는 짝이 되는 '공개키'만 둡니다. 따라서 서버가 해킹당해도 훔칠 비밀번호 자체가 없어 대규모 유출과 피싱에 근본적으로 강합니다. 최근에는 기기 간에 안전하게 동기화되는 '패스키(Passkey)'가 애플·구글·MS 주도로 확산되며 비밀번호 없는(passwordless) 시대를 앞당기고 있습니다. 한국은 2020년 공인인증서 독점 폐지 이후 모바일 신분증·간편인증에서 세계적으로 앞선 사례를 만들었고, 라온시큐어·드림시큐리티 등이 표준 기술을 보유합니다. | ||||
| 양자내성암호(PQC) | 4 | 7 | 주의·격차3 | 크립토랩, 노르마, 드림시큐리티 |
| 지금 인터넷을 지키는 공개키 암호(RSA)는 '아주 큰 수를 소인수분해하기가 사실상 불가능하다'는 수학적 난제에 기대고 있습니다. 그런데 미래의 양자컴퓨터가 '쇼어 알고리즘'을 돌리면 이 분해를 순식간에 풀어버려, 오늘의 암호가 한꺼번에 무력화됩니다. 그래서 소인수분해가 아니라 '격자(lattice) 위의 최단벡터 찾기'처럼 양자컴퓨터로도 어려운 다른 수학 문제에 기반한 새 암호로 갈아타는 것이 양자내성암호(PQC)입니다. '더 튼튼한 자물쇠로 미리 교체'하는 국가적 대비책으로, 미국 NIST가 2024년 8월 격자기반 암호 등을 FIPS 203/204/205 표준으로 확정했고 전 세계가 전환을 시작했습니다. 한국도 KISA·국정원이 'KpqC(한국형 양자내성암호) 공모'를 진행하며, 동형암호로 유명한 크립토랩 등이 기술을 개발 중이나 글로벌 대비 추격 단계입니다. | ||||
| 보안관제·AI | ||||
| 보안정보·이벤트관리(SIEM) | 6 | 9 | 주의·격차3 | 이글루코퍼레이션, 안랩, LG CNS |
| 회사 곳곳의 방화벽·서버·단말이 쏟아내는 수많은 로그(접속·이벤트 기록)를 한곳에 모아 표준 형식으로 정규화하고, 서로 연관 지어 분석해 위협 징후를 찾아내는 '보안 관제 종합상황실'입니다. 핵심은 '상관분석(correlation)'으로, 따로 보면 평범한 사건들 — 예컨대 '새벽에 해외에서 로그인 성공' + '평소 안 쓰던 관리자 명령 실행' + '대량 데이터 외부 전송' — 을 시간순으로 엮어 '연쇄적인 침해 시나리오'를 한눈에 드러냅니다. 다만 하루 수억 건씩 쏟아지는 로그에서 진짜 위협을 가려내기 어려워 오탐과 분석가 피로가 고질적 문제였고, 그래서 AI·머신러닝으로 평소 행동 기준선(UEBA)을 학습해 이상치를 자동 선별하는 방향으로 진화 중입니다. 이글루코퍼레이션이 국내 관제·SIEM의 대표 기업입니다. | ||||
| 보안자동화·대응(SOAR) | 5 | 8 | 주의·격차3 | 이글루코퍼레이션, 안랩, 샌즈랩 |
| 보안 위협이 탐지되면 사람이 일일이 손으로 대응하지 않고, 미리 짜둔 시나리오(플레이북)대로 차단·격리·계정잠금·통보까지 자동으로 처리하는 기술입니다(SOAR, 보안오케스트레이션·자동화·대응). 여러 보안 장비를 API로 연결해 '악성 IP 발견 → 방화벽에 차단 등록 → 해당 단말 격리 → 담당자 알림'을 사람 개입 없이 한 번에 흐르게 만드는 것이 원리입니다. 똑같이 반복되는 단순·대량 경보를 로봇이 처리해 평균 대응시간을 수 시간에서 수 분으로 단축하고, 부족한 보안 인력이 진짜 중요한 위협에 집중하게 합니다. 만성적인 보안 인력난과 경보 폭증의 해법으로 주목받으며, 국내는 SIEM과 묶은 통합 플랫폼 형태로 발전하고 있습니다. | ||||
| AI 기반 위협탐지·생성형AI보안 | 5 | 9 | 취약·격차4 | 안랩, 샌즈랩, 에스투더블유(S2W) |
| 두 방향의 보안을 아우릅니다. 첫째는 'AI를 활용한 방어'로, 방대한 트래픽·로그에서 사람이 놓치는 미세한 공격 징후나 신종 악성코드를 머신러닝으로 찾아내고, 다크웹·위협 정보를 분석해 공격을 예측합니다(에스투더블유·샌즈랩이 강점). 둘째는 'AI 자체를 지키는 보안'으로, 생성형 AI가 업무에 쓰이면서 등장한 새 위협 — 교묘한 질문으로 안전장치를 풀어 기밀을 빼내는 '프롬프트 인젝션', 학습 데이터에 독을 타 모델을 망가뜨리는 '데이터 오염', AI가 그럴듯한 거짓을 내놓는 '환각' 악용 — 을 막습니다. 즉 'AI로 지키기'와 'AI를 지키기'가 동시에 진행되는 신생 영역입니다. 글로벌이 빠르게 앞서가는 가운데 국내도 위협 인텔리전스 기업들이 진입하고 있습니다. | ||||
| OT/ICS·산업제어 보안 | 5 | 8 | 주의·격차3 | 안랩, 나온웍스, 페스카로 |
| 발전소·공장·상수도·교통망처럼 물리 설비를 제어하는 산업 시스템(OT 운영기술/ICS 산업제어시스템)을 해킹으로부터 지키는 보안입니다. 일반 IT는 데이터의 기밀성이 1순위지만, OT는 '멈추면 곧 사고·인명피해'라 가용성과 안전이 최우선이고, 수십 년 된 낡은 장비가 많아 함부로 패치·재부팅을 못 한다는 특수성이 있습니다. 그래서 보안 장비를 끼워 넣어 운영을 방해하기보다, 통신을 가만히 들여다보며 비정상 명령을 탐지하는 '수동 모니터링'과 IT망과 OT망을 분리·통제하는 방식을 주로 씁니다. 이란 원심분리기를 망가뜨린 스턱스넷, 우크라이나 정전 사태처럼 실제 물리 피해로 이어진 사건들이 경각심을 키웠습니다. 차량 전자제어장치를 노린 해킹을 막는 자동차 사이버보안(UN R155 규제)도 페스카로 등을 중심으로 빠르게 떠오르는 분야입니다. | ||||
기술 로드맵
| 단기 (~2027) |
|
| 중기 (2028~2030) |
|
| 장기 (2031~2035) |
|
왜 1등은 안 바뀌었고, 왜 판은 이미 바뀌었나
시대별 1위 변천은 꽤 많은 걸 말해줍니다. 글로벌은 1990s~2008에 Symantec, 그 뒤 2009~현재까지는 Palo Alto Networks입니다. 국내는 1990s~2008부터 2025~현재까지 계속 안랩입니다.
| 시대 | 글로벌 1위 | 국내 1위 | 핵심 본질 |
|---|---|---|---|
| 1990s~2008 | Symantec | 안랩 (AhnLab) | 엔드포인트(백신·안티바이러스) 시대. PC 보급 확산과 함께 바이러스·웜·트로이 대응이 핵심. '백신=보안' |
| 2009~2016 | Palo Alto Networks | 안랩 | 차세대 방화벽(NGFW) 혁명 + APT 위협 부상. Palo Alto가 체크포인트·시스코를 추월. 클라우드 전환 시작 |
| 2017~2019 | Palo Alto Networks | 안랩 | 클라우드 보안(CASB·CWPP) + EDR 주류화. CrowdStrike IPO. 랜섬웨어(WannaCry)가 보안 투자 가속 |
| 2020~2024 | Palo Alto Networks | 안랩 | 제로트러스트·XDR·AI 보안 시대. 원격근무 확산 + 랜섬웨어 폭증으로 보안 투자 사상 최대. AI 보안 위협과 AI 보안 솔루션 동시 부상 |
| 2025~현재 | Palo Alto Networks | 안랩 | AI 에이전트 보안·LLM 프롬프트 인젝션이 새 카테고리. 플랫폼화 경쟁 심화. 글로벌 보안 시장 $300B+ 돌파 |
국내 1등이 계속 안랩이라는 사실은 안정의 신호이기도 하지만, 동시에 시장 재편의 속도가 글로벌만큼 거칠지 않았다는 뜻이기도 합니다. 글로벌은 Symantec에서 Palo Alto Networks로 중심축이 넘어가며 판이 바뀌었습니다. 엔드포인트 중심에서 더 넓은 플랫폼과 현대적 네트워크·클라우드 보안으로 무게가 이동했다는 얘기죠.
한국은 안랩이 긴 시간 1위를 지켰습니다. 이건 브랜드, 공공·기업 현장 신뢰, 제품 포트폴리오, 파트너 생태계가 받쳐준 결과입니다. 좋습니다. 다만 냉정하게 보면, 글로벌처럼 새 판의 규칙을 바꾼 사업자가 아직 국내에서 뚜렷하게 올라오지 못했다는 의미도 됩니다. 다시 말해 한국은 강한 로컬 챔피언은 있는데, 차세대 보안 아키텍처의 표준을 밀어붙이는 패권 기업 그림은 약합니다.
다음 승부는 클라우드와 ZTNA에서 난다, 여기서 밀리면 답답해진다
앞으로 볼 포인트는 화려하지 않습니다. 오히려 아주 실무적입니다. 국내 업체가 클라우드 보안(CSPM/CWPP), SASE, ZTNA에서 고객의 운영환경 안으로 얼마나 깊게 들어가느냐가 진짜 시험대입니다. IPS, DDoS, NAC, 백신, DLP에서 쌓은 레퍼런스는 분명 자산입니다. 하지만 그 자산이 다음 매출로 이어지려면 보안플랫폼과 운영모델로 확장돼야 합니다. 제품 하나 잘 만드는 것과 고객 아키텍처를 장악하는 건 다른 게임이니까요.
리스크도 명확합니다. 글로벌솔루션/로컬지사 구조가 더 세지면 국내 업체는 특정 기능의 대체재로 남을 수 있습니다. 반대로 기회도 있습니다. 국내 업체들은 유통/구축, 운영/교육, 현장 대응에서 여전히 강합니다. 이 강점을 클라우드, DevSecOps, AI 기반 위협탐지 쪽으로 옮기는 데 성공하면 얘기가 달라집니다. 못 옮기면요? 솔직히 말해, 잘하는 옛 영역은 남아도 시장의 중심에서는 멀어질 수 있습니다.
※ 본 글은 공개 데이터·업계 자료를 바탕으로 정리한 분석이며, 일부 수치·평가는 추정치입니다. 투자 판단의 직접 근거가 아닙니다.
작성: 2026. 6. 이알렉산드로
댓글
댓글 쓰기