[디지털투데이 석대건 기자] “현재로는 공급망 공격, 제대로 대응 못 해”
“다양한 디바이스, 다양한 솔루션, 클라우드까지 사용하면 너무 복잡해…무엇이 문제인지도 파악할 수 없어”
“5G가 열리고 기회와 실증이 동시에 찾아올 것. 우리 보안기업들은 어떻게 살아남을 수 있을까?”

지난달 28일 열린 글로벌 정보보호 트렌드 세미나 현장에서는 보안에 대한 “우려와 불신”이 쏟아졌다.

기술 격차가 없지는 않는데...

난처한 상황에 처한 국내 보안 기업들이다.

보안 기업 관계자는 “홍보하면 건방지다고 공격받고, 가만히 있으면 아무것도 안 한다고 욕먹는 게 보안의 숙명인가 싶다”고 전했다.

물론 기술 격차가 없는 것은 아니다. 

다른 보안 기업 관계자는 “대개 기술 수준을 비교할 때, 가트너 등의 시장조사기관의 자료가 근거”라며, “글로벌 기준에서 보면 국내 보안 솔루션 시장이 한발 늦은 건 사실”이라고 전했다. 

이어 “MDR 같은 서비스는 이미 5~6년 전에 미국 등에서 이슈가 됐고, 글로벌기업은 서비스를 제공하고 있는데, 국내 기업은 지난해부터 준비 중”이라고 설명했다.

MDR(Managed Detection & Response, 매니지드 탐지·대응) 솔루션은 위협의 고도화, 복잡화되면서 사용되는 보안 솔루션도 증가하자, 이를 관리하기 위해 인텔리전스(위협 정보)·빅데이터·AI 등을 이용해 위협에 대응하는 시스템이다. 이를 통해 오탐(False Positive, 위협이 아닌데도 탐지)과 미탐(False Negative, 위협인데 탐지 못함)를 줄여 효율적인 대응을 가능케 한다.

팔로알토네트웍스, 체크포인트, 시스코 등 빅벤더들은 이미 방화벽 및 네트워크 보안은 물론 클라우드와 엔트포인트 보안까지 포함하는 통합 보안 솔루션을  내세워 시장을 공략했다.

시스코가 네트워크, 클라우드, 엔트포인트를 아우르는 통합 보안 솔루션을 발표한 시기가 2015년이다. 팔로알토네트웍스 역시 지난해 AI 기반 클라우드 보안 기업 레드록(RedLock)과 퍼블릭 클라우드 인프라 보안 기업 에비던트(Evident.io)를 인수해 통합 보안 관제를 강화하겠다고 밝혔다.

이런 상황에서 금융, 대기업 등이 외국계 보안 기업 솔루션을 도입하다 보니 국내 보안 기업이 더욱 뒤처져 보이는 것.

오진영 KISA 보안산업단장은 '글로벌 정보보호 트렌드 세미나'에서 "글로벌 보안 트렌드는 토탈 솔루션”이라며, “토탈 솔루션을 공급할 수 있는 국산 대형 벤더 육성 방안을 논의해야 한다”고 말하기도 했다.

김석환 KISA 원장 “미국에서 정보보호는 비용이 아닌 투자”...우리는?

정부도 우리 정보보호 수준을 올리기 위해 노력하고 있다.

오용수 과학기술정보통신부 정보보호정책관은 세미나에서 “6월부터 시행되는 CISO 겸직 금지 제도 등 제도의 큰 틀이 바뀐다”며, “곧 발표될 5G 플러스 전략에 정보 보호가 추가될 것”이라고 전했다. 

5G 플러스 전략은 과기정통부가 주도하는 5G 종합계획으로, 5G 인프라를 통한 새로운 융합산업 생태계를 선도하는 것을 목표한다. 5G 상용화 일정이 확정되면 함께 발표될 것으로 보인다. 

오용수 정보보호정책관은 오는 2026년까지 국내 보안기술 경쟁력을 G2(미국·중국) 수준으로 높이겠다고 밝히기도 했다. 이어 “그만큼 정부가 정보보호 산업을 중요하게 보고 있다”고 덧붙였다.

하지만 김석환 KISA 원장의 세미나 개회사는 정부의 정보보호 산업 정책에 대한 아쉬움이 그대로 드러난다. 김석환 원장은 “정부가 자율운항 선박 사업에 대해 예타 신청 시 약 3천500억원 규모로 책정했는데, 그중에 보안 예산은 겨우 10억 원”이라며, "이게 국내 보안 산업의 현실”이라고 말했다.

또 지난 3월 열린 KISA 2019년 전략 설명회에서 “스마트팩토리 3만개 보급 계획에도, 세종과 부산에 구축할 스마트시티 국가시범도시 계획에도 보안 개념은 없다”고 지적했다. 이렇게 보안 정책 실행기관에서조차 볼멘소리가 나오고 있는 상황.

정보 보호 파트너일까? 그저 용역 업체일까?

문제는 또 있다. 바로 국내 보안 기업 소외 현상이다. 정부는 국내 보안 시장을 키우겠다면서도 파트너로는 받아들이지 않고 있다.

5G 상용화와 5G플러스 전략 관련, 국내 보안 기업과 접촉이 있느냐는 질문에, 한 보안 기업 관계자는 “5G 정책 정부에서 의견을 묻거나 상황을 묻는 협의는 전혀 없었다”고 밝혔다.

해당 기업은 2000년 이전에 설립된 1세대 정보보안 기업으로, 공공기관에도 수차례 보안 솔루션을 공급했으며, 해외 시장에도 보안 솔루션을 공급하고 있는 중견기업이다. 

다른 보안 기업 관계자는 “과기정통부에서 정책 간담회를 통해 의견을 받는 수준”이라고 전했다. 세미나에서도 지적된 “정부부터 국내 보안 기업에 제값을 주지 않고 일을 시킨다”는 용역 업체 인식의 연장선상이다. 

“우리의 인텔리전스 활용할 수 있는 방법 찾아야”

그렇다면 방법은 없을까?

보안 기관 관계자는 “문제도, 해결책도 애매한 상황”이라고 전했다. 그는 “여전히 정부는 SI에 저가 수주가 많고 위협 정보에 제값이 매겨지지 않는 현실”이라고 설명했다. 국내 기업이 기술 투자를 통해 다가올 보안 위협에 맞춰 새로운 솔루션을 개발하기는커녕 시장 대응하기도 급급하다는 지적이었다.

그러면서도 가능성이라면 “파이어아이 등 글로벌 보안업체를 보면 위협 정보, 즉 인텔리전스를 기반으로 미래 보안 시장에 적합한 제품을 선점한다”며, “빠른 인터넷 환경과 북한 관련 정보 등 국내 기업이 앞서갈 수 있는 환경은 충분하다”고 설명했다.