숙련된 사이버보안 인력 부족과 예산 삭감이 맞물려 매니지드 보안 서비스 시장의 성장세에 불을 붙이고 있다.

추정치에는 다소 차이가 있지만, 매니지드 보안 서비스 시장은 연평균 11~16%의 성장률을 기록하며 2030년까지 최대 875억 달러(약 120조 원) 규모에 이를 것으로 전망된다.

많은 기업이 빠르게 벌어지는 역량 격차와 예산 제약으로 인해 자체 보안팀을 채용하거나 유지하는 데 어려움을 겪고 있다. 과도한 업무 부담은 기존 인력을 위협 환경이 변화하는 속도에 맞춰 신속하게 교육하는 데 큰 걸림돌이 되고 있다.

한편 CISO는 단순한 기술 감독을 넘어 규제 준수, 서드파티 위험 관리, 비즈니스 지원까지 책임 범위가 확장되면서 점점 더 큰 압박에 시달리고 있다. 이런 구조적인 한계를 해소하기 위해 점점 더 많은 CISO가 매니지드 보안 서비스 제공업체(Managed Security Service Provider, MSSP)를 활용해 보안 역량을 보완하고 인력·기술 격차를 메우고 있다.

클라우드 기반 디렉토리 플랫폼 업체 점프클라우드(JumpCloud)의 CISO 로버트 판은 “사이버보안 인력 격차는 단순히 공석의 문제가 아니다. 진화하는 위협, 규제 요건, 비즈니스 요구에 대응하려다 번아웃에 시달리는 과중한 팀의 문제이기도 하다”라고 지적했다.

이어 “이런 상황이 더 많은 CISO로 하여금 MSSP에 눈을 돌리게 만든다. 내부에서 확보하고 유지하기 어려운 전문성을 외부에서 확보하고 24시간 보안 대응 체계를 구축하며, 인력 격차를 메우는 해법으로 MSSP를 선택하는 사례가 늘고 있다”라고 설명했다.

이 같은 부담은 중소기업에서 더욱 뚜렷하게 나타난다. 세계경제포럼(The World Economic Forum)이 최근 발표한 ‘글로벌 사이버보안 전망 보고서(Global Cybersecurity Outlook)’에 따르면, 전체 중소기업의 41%가 지난해 실질적인 사이버 사고를 겪은 것으로 나타났다.

판은 “공격 표면이 점점 넓어지고 IT 인력이 부족해지면서, 더 이상 자체 대응만으로는 감당하기 어려운 기업이 많다. MSSP와 최신 클라우드 네이티브 플랫폼은 제로 트러스트 보안 전략을 지원하는 동시에, 아이덴티티·접근권한·디바이스 관리를 통합해 보안 역량의 격차를 줄여주는 역할을 한다”라고 설명했다.

영국 MSP 액시언스 UK(Axians UK)의 CTO 크리스 길모어는 “자체 보안팀만으로는 고도화되는 위협을 따라잡기 어렵다는 사실을 많은 기업이 인식하고 있다. MSP는 특화된 전문성과 검증된 운영 역량을 즉시 제공함으로써 CISO가 인력 채용이나 재교육에 드는 시간 없이도 필요한 기술과 인력을 유연하게 확장할 수 있도록 돕는다”라고 전했다.

이어 “MSSP는 CISO가 보안 역량을 확장하고 내부 부담을 줄이며, 점점 더 복잡해지는 공격 표면 전반에 걸쳐 지속적인 보호 체계를 유지할 수 있도록 지원한다”라고 설명했다.

아웃소싱에 적합한 영역과 아닌 것

필자가 인터뷰한 전문가들은 대부분의 보안 기능을 외부 위탁할 수 있지만, 전반적인 보안 전략 수립처럼 핵심적인 역할은 내부에서 수행해야 한다고 조언했다.

일반적으로 운영 중심이고 반복적이며, 전문 도구나 24시간 상시 대응이 필요한 보안 업무는 MSSP에 위탁하는 것이 가장 효과적이다. 대표적인 영역은 다음과 같다.

• SOC(Security Operations Centers)
• 클라우드 플랫폼 관리
• SIEM(Security Information and Event Management) 및 로그 모니터링
• 보안 프레임워크 기반의 관리 기능
• 위협 인텔리전스 수집 및 분석
• 취약점 스캔 및 패치 관리
• EDR(Endpoint Detection and Response)
• 방화벽 및 네트워크 보안 관리
• 컴플라이언스 모니터링 및 감사 대응 지원

MSP 커뮤니티 플랫폼인 텁블로그(Tubblog)를 운영하는 리처드 텁은 인터뷰에서 “MSP는 이미 이런 서비스를 효율적으로, 대규모로 제공하는 인프라와 인력을 갖추고 있다. 모든 것을 처음부터 구축하지 않고도 빠른 성과가 필요한 CISO에게는 매우 큰 이점이 된다”라고 말했다.

IT 컨설팅 기업 엑스포넨셜-e(Exponential-e)의 퍼블릭 부문 디렉터 압신 아타리는 “일상적인 보안 운영을 MSP에 맡기는 만큼 안심하고 전략, 아키텍처, 거버넌스에 더 집중할 수 있다”라고 언급했다.

아타리는 “MSSP는 내부에서 구축하기에는 비용이 많이 드는 전문 역량, 24시간 모니터링 체계, 첨단 보안 도구를 갖추고 있다. 위협 탐지 및 대응, 네트워크 모니터링, 취약점 스캔, 침투 테스트 같은 서비스는 아웃소싱에 특히 적합하다. 이런 기능은 전문 지식과 지속적인 모니터링이 필수적인 영역이며, MSP는 이를 안정적으로 제공할 수 있다”라고 설명했다.

어떤 보안 기능을 MSSP에 아웃소싱할지는 기업의 비즈니스 목표, 위험 수용 수준, 규제 요건 등을 종합적으로 고려해 신중하게 결정해야 한다. 다만 보안 거버넌스와 전략 수립, 위험에 대한 소유권과 책임, 경영진 보고 및 이사회 커뮤니케이션, 비즈니스와 연계된 의사결정, 사이버 인식 교육 등은 외부에 맡기지 않고 내부에서 직접 관리해야 할 영역으로 꼽힌다.

텁은 “CISO와 보안팀은 항상 보안 전략의 전반적인 방향을 주도해야 한다. MSP가 인사이트와 실행 역량을 제공할 수는 있지만, 기업의 전체적인 비즈니스 맥락을 제대로 이해하고 있는 건 내부 팀뿐이다”라고 강조했다.

IT 컨설팅 및 MSP 업체 인피니티 그룹(Infinity Group)의 인프라 및 모던 워크플레이스 수석 컨설턴트 톰 러벨도 같은 입장을 보였다. 러벨은 “전략적 감독, 비즈니스 맞춤형 위험 평가, 규제 준수를 고려한 의사결정은 조직 고유의 구조, 프로세스, 위험 수용력에 대한 깊은 이해를 전제로 한다. 외부 업체가 단독으로 재현하기 어렵다”라고 말했다.

하이브리드 및 공동 관리 보안 모델

MSSP 모델을 도입하는 CISO는 아웃소싱과 내부 역량 구축 간 균형을 찾는 하이브리드 보안 전략을 수립해야 한다.

엑스포넨셜-e의 아타리는 “CISO는 공동 관리 기반의 하이브리드 모델을 통해 핵심 역량 격차를 메우고, 과도한 부담 없이 내부 인력을 보호하면서도 지속적인 보안 체계를 유지할 수 있다. 이런 접근 방식은 보다 탄력적인 보안 체계를 구축하는 데도 도움이 된다”라고 조언했다.

사이버보안 업체 블루보이언트(BlueVoyant)의 EMEA 보안 엔지니어링 매니저 스티브 밀러는 “많은 기업이 공동 관리 보안 모델을 도입하고 있다”라고 말했다.

밀러는 “전통적인 매니지드 서비스는 전체 기능을 외부에 일괄 위탁하는 경우가 많지만, 공동 관리 모델은 내부 팀과 협력하는 형태다. 내부 인력을 대체하는 것이 아니라, 그들의 역량을 보완하는 데 초점이 맞춰져 있다”라고 부연했다.

밀러에 따르면, 공동 관리 모델은 다음과 같은 이점을 제공한다.

• 지식 이전 및 역량 향상 : 내부 팀은 외부 전문가와 직접 협업함으로써 학습 속도를 높이고, 장기적인 의존도를 줄인다.
• 운영 통제 : 기업은 보안 운영에 대한 주도권을 유지함으로써 내부 정책 및 위험 수용 수준과의 정합성을 확보하는 데 도움이 된다.
• 지속적인 최적화 : 보안 도구를 주기적으로 점검하고 조정함으로써 변화하는 위협 환경과 비즈니스 요구에 유연하게 대응하고 투자 수익률을 극대화할 수 있다.
• 비용 효율성 : 공동 관리 서비스는 오늘날처럼 복잡한 플랫폼 환경에서 기존 투자를 최대한 활용하도록 돕는다. 최적의 데이터 수집 구조를 통해 라이선스 활용도를 높이고 비용을 절감한다.

사이버보안 업체 배리어 네트워크스(Barrier Networks)의 매니징 CISO 조던 슈뢰더는 “프로세스가 성숙하고 명확하게 정의돼 있으며, 결과와 책임이 분명한 기능이 아웃소싱에 가장 적합하다. 다만 이외의 영역에서도 공동 관리 모델은 충분한 효과를 발휘할 수 있다”라고 덧붙였다.

슈뢰더는 “사이버보안 기능이 아직 체계적으로 정립되지 않았거나 임시방편 수준에 머무른 기업이라면 MSP가 조직 역량 강화를 유도하는 역할까지 수행한다는 전제 하에, 아웃소싱은 보안 체계 정립과 성숙도를 빠르게 끌어올리는 데 도움이 될 수 있다”라고 조언했다.

매니지드 보안 서비스 업체 아벨라 시큐리티(Avella Security)의 파트너이자 사이버보안 전문가 대릴 플랙은 “MSSP를 통해 일부 보안 기능을 아웃소싱하는 방식은 중소기업뿐 아니라 대기업에도 효과적인 선택지가 될 수 있다”라고 주장했다.

플랙은 “모든 규모의 기업이 고도화된 기술 전문 인력을 확보하고 유지하는 데 어려움을 겪는다. 첨단 보안 도구를 효과적으로 배치하고 규제 준수·서드파티 계약·견고한 보안 체계 유지를 위한 각종 인증 및 자격을 지속적으로 관리해야 한다는 부담을 안고 있다”라고 말했다.

이어 “MSSP와 협력하면 CISO는 고급 전문 인력과 최신 보안 기술을 즉시 활용하게 된다. 이를 통해 내부 리소스 부족으로 인한 보안 위험을 효과적으로 줄일 수 있다”라고 강조했다.
dl-itworldkorea@foundryco.com