[신년 인터뷰] 문성준 엔시큐어 대표 “보안의 승부는 ‘차단’이 아니라 ‘복구 시간’에서 갈린다”

“작년은 정상화, 올해는 결실”…전년 대비 30% 성장

면책형 외산 솔루션 구매 늘어…브랜드가 아니라 운영 성과로 평가해야

 

 

문성준 엔시큐어 대표가 데일리시큐와 신규사옥 집무실에서 인터뷰를 진행하고 있다.

 

“공격은 100% 막을 수 없다. 결국 뚫린다는 가정 위에서 얼마나 빨리 회복하느냐가 승부를 가른다.” 문성준 엔시큐어 대표는 반복되는 대형 보안사고의 본질을 ‘최신 장비의 부재’가 아니라 ‘운영 체력의 결핍’에서 찾았다. 그는 사고를 ‘막는 기술’의 경쟁으로만 해석하면 조직은 계속 같은 장면을 반복하게 되며, 실제로 기업의 생존을 좌우하는 힘은 자산 가시성, 상시 모니터링, 즉시 실행 가능한 대응 절차, 그리고 복구·재발 방지 루프를 굴릴 수 있는 회복력이라고 강조했다.

 

 

“작년은 정상화, 올해는 결실”…전년 대비 30% 성장

 

문 대표는 2025년 성과에 대해 “전년 대비 30% 이상 성장”이라고 전했다. 지난해 사업 구조를 정리하고 정상화의 기반을 만든 뒤, 올해는 제품 확산과 사업부 전반의 균형 성장으로 결실을 만들겠다는 구상이었다. 그는 지난해를 “토대를 만든 해”, 올해를 “그 토대에서 성과를 현실로 만드는 해”로 규정했다.

 

올해의 핵심 축으로는 자사 제품군인 오네스(AUNES) 확산을 첫손에 꼽았다. 동시에 모바일 보안(짐페리움), 내부 확산 차단(마이크로세그멘테이션), API 보안, 계정·접근 관리 등 기존 사업에서도 수요가 꾸준히 이어지고 있으며, 여러 사업 라인이 서로를 보완하는 구조로 비즈니스가 안정화되고 있다고 설명했다.

 

문 대표는 최근 보안 시장 동향에 대해 대형 통신사를 포함해 산업 전반에서 실전형 보안 수요가 올라왔고, 특히 금융기관 전반에서도 보안 체계의 빈틈을 재점검하려는 움직임이 강해졌다고 설명했다. 사고가 나면 조직은 보통 네트워크·서버부터 들여다보지만, 실제 공격의 시작점은 임직원 단말과 계정, 그리고 원격 접속·업무 앱·외주 접근 같은 ‘운영 경로’에서 자주 발견된다는 문제의식이 깔려 있었다는 것이다.

 

통신사는 인프라가 방대하고 운영 구조가 복잡하다. 자산이 넓게 퍼져 있고 외부 협력사·현장 인력·다수의 운영망이 얽히면서, ‘어느 지점이 약점인지’가 한눈에 보이지 않는 경우가 많다. 금융권은 강한 규제와 통제 환경을 갖고 있지만, 디지털 채널 확장과 클라우드 활용이 늘면서 인증·접근·단말·API 같은 ‘업무의 연결부’가 새로운 공격면으로 떠올랐다. 문 대표는 이런 변화가 단기 솔루션 도입보다 운영 체력과 회복력을 묻는 방향으로 시장을 움직이고 있다고 말했다.

 

 

모바일이 ‘업무의 입구’가 된 순간, 짐페리움이 다시 주목받는 이유

 

엔시큐어가 모바일 보안 축에서 강조하는 제품이 짐페리움(Zimperium)이다. 지난해 대형 통신사에 엔시큐어 짐페리움이 도입돼 이용자 보호에 핵심적인 역할을 하고 있다.

 

문 대표는 사고 이후 고객들이 “모바일 전반을 보호하는 체계”를 적극적으로 찾는다고 했다. 모바일은 더 이상 ‘업무용 보조 기기’가 아니다. 이메일, 메신저, 협업 툴, 그룹웨어, 클라우드 콘솔 접속, 결재와 승인까지 핵심 업무 흐름이 단말을 경유한다. 단말이 뚫리면 계정이 뚫리고, 계정이 뚫리면 내부 시스템으로 들어가는 문이 열린다.

 

짐페리움 기반 모바일 위협 방어(MTD)의 강점은 ‘단말 내부에서 위협을 실시간으로 판단’하는 접근에 있다. 모바일 환경에서 실제 위협은 악성 앱 설치, 피싱 링크, 위험 네트워크 연결, 권한 오남용, 루팅·탈옥, 브라우저 기반 크리덴셜 탈취 등 다양한 형태로 나타난다. 중요한 것은 탐지 자체가 아니라 “탐지 결과가 정책 조치로 이어지느냐”다. 단말의 위험 신호가 포착되면 해당 단말의 업무 앱 접근을 제한하거나, 특정 SaaS 로그인에 추가 인증을 강제하거나, 원격 접속을 차단하는 식으로 정책이 자동으로 움직여야 한다. 모바일 보안은 기술이 아니라 운영 체계의 일부로 흡수될 때 효과가 커진다.

 

최근 대형 사고가 반복될수록 모바일은 ‘사각지대’가 아니라 공격자가 가장 좋아하는 지름길로 재평가되고 있다. 업무가 모바일로 넘어갔는데, 보안은 여전히 PC·네트워크 중심으로 설계된 조직이 많다. 짐페리움 같은 MTD가 다시 힘을 받는 이유는 새로운 유행이 아니라, 업무 현실을 따라잡는 ‘필수 조정’에 가깝다.

 

문성준 엔시큐어 대표이사

 

오네스는 모니터링 도구가 아니라 ‘인시던트 운영 엔진’

 

또 문성준 대표가 올해 가장 구체적으로 강조한 카드는 엔시큐어가 개발한 ‘오네스(AUNES)’였다. 오네스를 한 문장으로 정리하면 “운영 장애와 이상 징후를 데이터로 정의하고, 예측 기반으로 선제 대응하는 인시던트 관리 플랫폼”이다. 그는 오네스가 서비스 영역과 CCTV 영역으로 나뉘며, 공통 목표는 ‘장애가 터진 뒤 대응’이 아니라 ‘징후 단계에서 예측하고 선제 조치’로 전환하는 데 있다고 했다.

 

이어, 서비스 장애를 판단하기 위해 약 100개 수준의 지표를 적용해 놓았고, 이 지표에서 나오는 데이터를 학습해 장애 예측을 고도화하겠다는 것이다. 많은 조직이 모니터링 툴을 갖고도 장애 대응이 흔들리는 이유는, 지표는 넘치는데 “무엇이 장애의 전조인지”에 대한 조직 합의가 없기 때문이다. 알람이 쏟아지면 담당자는 어떤 알람이 진짜인지 선별하는 데 시간을 쓰고, 그 사이 장애는 커지고 피해는 확산된다.

 

오네스가 지향하는 건 이 혼란을 줄이는 방향이다. 장애의 전조를 정의하고, 기준을 일관되게 적용하고, 그 결과를 학습해 예측 정확도를 끌어올린다. CCTV도 같은 철학으로 접근한다. CCTV는 장애 이벤트가 잦고, 장애가 발생하면 현장 운영·안전·관제 공백으로 이어질 수 있어 예측 기반 운영의 체감 효용이 크다는 설명이었다. 문 대표는 CCTV 시장에서 요구가 커지고 있으며, 조달 시장에서도 의미 있는 수요가 나타날 것으로 내다봤다.

 

 

회복력은 백업이 아니라 “뚫린 뒤의 시간을 설계하는 능력”

 

한편 보안사고 대응에 대해 문성준 대표는 회복력에 대해 강조했다. 그가 말한 회복력은 단순히 “백업이 있느냐”를 묻는 수준이 아니었다. 그는 회복력을 “뚫린 뒤의 시간을 설계하는 능력”으로 정의했다. 공격을 100% 막을 수 없다는 전제하에, 피해 확산을 최소화하고 정상 상태로 돌아오는 시간을 줄이는 것이 핵심이라는 것이다. 즉 회복력은 기술이 아니라 경영 메커니즘이다. 복구 시간 단축은 곧 매출 손실, 신뢰 하락, 규제 리스크를 줄이는 문제이기 때문이다.

 

 

CISO는 책임의 방패가 아니라 ‘자산 보호’의 지휘관

 

CISO 문제에 대해서도 대화를 나눴다. 문 대표는 국내에서 CISO 역할이 “자산 보호”보다 “책임 소재”에 맞춰져 있는 구조를 우려했다. CISO가 자산 보호를 위해 권한과 책임을 함께 가져야 하는데, 현실은 책임만 커지고 권한은 부족한 경우가 많다는 지적이다. 이런 구조가 심해질수록 CISO는 보안을 강화하는 리더가 아니라 법적 리스크를 회피하는 관리자로 왜곡될 수 있다고 경고했다.

 

그는 이 문제는 조직을 위험하게 만든다고 지적했다. 책임 회피 문화는 보고 지연, 과잉 보고, 의사결정 지연으로 이어지고, 사고 대응에서 가장 치명적인 ‘늦음’을 만든다. CISO에게 필요한 건 책임을 묻는 장치만이 아니라, 결정을 할 수 있는 권한과 현업을 움직일 수 있는 위임이다. 더불어 성과를 만들어낸 CISO에게 인센티브를 부여하는 구조가 있어야 조직이 보안 강화를 ‘선택할 이유’가 생긴다고 강조했다. 

 

 

사고 대응이 문서 노동이 되면, 복구 시간만 더 늘어날 뿐

 

더불어 문성준 대표는 사고 이후 대응이 ‘문서 노동’으로 변질되는 현장을 강하게 지적했다. 사고가 나면 감독·감사·이사회·법무·대외 커뮤니케이션이 한꺼번에 작동하면서 방대한 보고서와 증빙이 요구된다. 문제는 그 과정에서 가장 숙련된 보안 인력이 보고서 생산에 투입돼, 정작 탐지·격리·분석·복구 같은 핵심 대응이 늦어지는 역설이 발생한다는 것이다.

 

그의 말에 따르면, 여기서 핵심은 보고를 줄이자는 것이 아니다. 보고는 필요하다. 다만 보고의 방식이 현장을 망가뜨리면, 조직은 매번 같은 실수를 반복한다는 것이다. 그는 사고 대응 문서는 ‘사후 설명서’가 아니라 ‘대응 실행의 부산물’이 돼야 한다. 대응 과정에서 자동으로 남는 로그, 티켓, 타임라인, 의사결정 기록이 체계적으로 정리돼 있으면 보고는 훨씬 가벼워진다. 반대로 운영 체계가 없으면 사람은 수작업으로 기억을 복원해야 하고, 이때부터 리포트는 조직을 소진시키는 괴물이 된다는 점을 강조했다.

 

 

면책형 외산 솔루션 구매 늘어…브랜드가 아니라 운영 성과로 평가해야

 

또 문 대표는 보안사고 이후 외산 도입이 ‘면책 장치’처럼 작동하는 시장 심리를 지적했다. “전 세계 최고를 썼다”는 문장 하나가 의사결정자의 부담을 덜어주는 순간, 구매는 보안 강화가 아니라 책임 회피의 도구가 될 수 있다. 이 흐름이 반복되면 국산 제품은 레퍼런스를 쌓을 기회를 잃고, 투자 여력은 줄고, 기술 격차는 더 벌어진다. 결국 시장 전체의 체력은 약해진다.

 

이 문제는 국산과 외산의 대립 구도가 아니라, 구매 기준을 바꾸는 문제다. 브랜드가 아니라 운영 성과로 평가해야 한다. 탐지율 같은 단일 지표가 아니라 복구 시간(MTTR), 확산 차단 성공률, 재발 방지 조치 이행률 같은 ‘운영 지표’가 조달과 구매의 언어가 돼야 한다. 국산이 성장하려면 실전 데이터와 환경에서 검증되고 개선되는 루프가 필요하다. 정부·공공과 대기업이 ‘첫 고객’이 되어 실전 레퍼런스를 만들어주는 역할도 중요하다. 소버린 시큐리티는 구호가 아니라 조달·평가·운용 기준에서 구현될 때 의미가 생긴다고 강조했다.

 

이번 인터뷰에서 문성준 대표의 메시지는 분명했다. 보안은 ‘막는 기술’의 경쟁으로 끝나지 않는다. 조직을 살리는 것은 사고가 없을 때의 평온이 아니라, 사고가 났을 때 무너지지 않고 정상으로 돌아오는 회복력이다. 엔시큐어가 오네스를 전면에 세우고, 모바일 방어(짐페리움)와 내부 확산 차단까지 묶어 ‘운영 보안’ 축으로 확장하는 이유도 여기에 있다.

 

공격이 고도화되는 시대일수록 기업이 가져야 할 경쟁력은 더 빠른 탐지가 아니라, 더 빠르고 더 정확한 복구다. 그리고 그 복구를 가능하게 하는 것은 장비의 수가 아니라 운영 체계와 실행력이다. 문 대표는 그 지점을 보안의 본질이라고 다시 한번 강조했다.

 

 

 

출처: 데일리시큐 길민권 기자 2026.01.25

https://www.dailysecu.com/news/articleView.html?idxno=204634