국내 RMS(Risk Management System, 위험관리시스템) 시장이 조금씩 형성되고 있다. 단, 활성화까지는 아직 상당 시간이 필요할 것으로 보인다.

RMS란 기업내 IT 위험 요소들을 파악해 보안사고를 사전 차단하는 능동형 솔루션이다. 주로 비교되는 ESM(Enterprise Security Management)이 병을 고치기 위한 처방이라면, RMS는 예방접종의 의미가 강하다.

구체적으로 단순 보안뿐 아니라 관련된 운영/법적 위험 요소를 식별하고, 도출된 시나리오에 따른 전략을 세운다. 이 과정에는 ISO1335, ISO1779, KISA ISMS 등 국내외 정보보호 기준에서 제시하는 방법론이 적용된다. 미국이나 유럽에서는 보안의 영역을 기업 전체 프로세스로 넓혀갈 첨병으로 꼽히기도 한다.

국내에서는 지난해 맥아피와 이글루시큐리티가 첫 제품을 출시했고, 안랩코코넛, 인포섹 등이 뛰어든 올해를 시장형성 원년으로 보고 있다. 이들은 ‘샤베인-옥슬리’와 ‘HIPPA’ 등 금융기관의 IT 규정준수 부분과 맞물려 시장 성장을 기대하고 있다.

하지만 막상 영업에 나서보니 수요개척이 생각보다 힘든 상황이다. 아직 RMS에 대해 고객사들이 잘 모르고, 대신 ‘포인트 보안 솔루션만 도입하면 끝’이라는 개념이 만연해 있기 때문이다.

안랩 코코넛 최홍진 부장은 “기술 관점에서만 접근하는 현 시장에서 고객사가 RMS 개념을 이해하기에는 꽤 시간이 걸릴 것”이라며 “RMS가 주류로 성장하려면 지금 같은 시장 초기에 고객들의 정보보호 마인드를 올리는 것이 중요하다”고 밝혔다.

특히 이런 문제가 구체적으로 발현된 것이 ROI 부문이다. 상당수 고객사들이 RMS는 예방의 차원인 만큼 ROI를 산출할 수 없고, 따라서 투자도 힘들다는 입장이 많다. 그러나 공급사들은 ‘보안정책만 분명하면 ROI를 도출할 수 있다’고 강조하고 있다.

이글루시큐리티 이용균 연구소장은 “RMS를 어떻게 어디에 써야할지 안다면 ROI는 쉽게 볼 수 있다”며 “현 시장을 보면 기대와 우려가 반반인 것이 기업들의 정보보호 의지가 아직은 애매한 경우가 많기 때문”이라고 말했다.

ESM과 연계해 영업 시너지 모색
이같은 시장상황 개선을 위해 공급사들은 RMS 알리기에 한창이다. 이중 한 방법이 상대적으로 잘 알려진 ESM과의 연계에서 나오는 효과를 부각시키는 것.

이글루시큐리티의 경우 RMS 제품 ‘스파이더-X’와 기존 ESM ‘스파이더-TM’간 연동을 중시한다. 그동안 산발적으로 관리해온 다양한 보안관리 정보를 통합해 전체/자산별/조직별 관리수준을 단일 지표로 만들도록 하는 것. 특히 ‘스파이더-TM’이 2001년부터 국내 EMS 시장 1위를 지켜오고 있어, 영업 효과가 RMS까지 미치고 있다.

이 결과 범정부통합전산센터, 롯데정보통신, 국민은행 등을 수주했으며, 이미 기능과 안정성에서 검증됐다는 평이다.

안랩 코코넛도 ESM에 RMS 기능을 탑재해 시너지효과를 내고 있다. 최홍진 부장은 “ESM과 RMS를 연동하며 단순 보안관리를 전사적 리스크 관리로 업그레이드 했다”고 밝혔다.

대표 제품은 ‘eTrinity v2.0’으로 기업의 자산과 이에 존재하는 취약점 등을 지속 관리할 수 있다. 이는 보안을 넘어 전사 차원의 포괄적 관리를 지향하는 RMS 기능에 충실한 결과이다. 3분기 이후 출시 예정이라 아직 수주실적은 없으나, 모기업인 안철수연구소 고객사들을 집중 공략할 예정이어서 귀추가 주목되고 있다.

한편, 국내에 처음으로 RMS를 선보인 맥아피는 방대한 글로벌 DB가 강점으로 꼽힌다. 대표제품 ‘파운드스톤5.0’은 세계 1,000대 기업 시스템을 모니터링한 결과를 기반하며, 네트워크 점검만으로 3,400개 이상의 취약성을 바로 식별한다.

특히 ‘파운드OS’라는 운영체제 식별 기술을 탑재, 윈도우 외에도 솔라리스, AIX, 레드햇 등에서도 구동이 가능하다. 현재 하나로텔레콤과 네오위즈 등을 고객사로 두고 있으며, 다음 버전인 ‘파운드스톤6.0’도 조만간 선보일 계획이라 사업이 더욱 탄력 받을 것으로 보인다. @