사이버보안 인사이트 · 시리즈 ④
[사이버보안 시리즈 ④] 보안주 수주잔고로 보는 안정성 : 공공·금융 캡티브 수요
사이버보안 시리즈 ④ — 규제가 만드는 보안주의 고정 수요
🔑 한눈에 보기 : ISMS-P 개편, 전자금융감독규정 등 공공·금융 보안 규제가 보안기업에 '캡티브 수요'를 만들어주는 구조를 안랩·이글루코퍼레이션 사례로 짚어보고, 수주잔고가 가진 안정성과 남은 리스크를 함께 살펴봅니다.
규제·의무 인증이 반복 지출을 만들고, 이것이 보안기업의 수주잔고와 매출 가시성으로 이어지는 구조
규제가 만드는 캡티브 수요 — 2026년 ISMS-P 개편이 바꾸는 것
공공기관과 금융회사의 보안 투자는 경기나 유행과 무관하게 매년 반복됩니다. 그 이유는 간단합니다 — 법과 감독 규정이 보안 투자를 의무로 못 박아두기 때문입니다. 공공·금융 보안주를 실전주식·공시 관점에서 분석할 때 "수주잔고"와 "이익 안정성"을 먼저 보는 것도 이 구조 때문입니다.
2026년 4월 과학기술정보통신부와 개인정보보호위원회는 ISMS·ISMS-P(정보보호 및 개인정보보호 관리체계) 인증제도를 전면 개편하겠다고 발표했습니다. 개인정보가 대규모로 유출된 기업은 인증이 취소될 수 있고, 과징금 수준도 매출액 기준으로 크게 강화하는 내용이 핵심입니다.
같은 해 6월에는 이동통신 3사에 ISMS-P 인증이 의무화되는 방향으로 범위가 넓어졌고, 10월에는 일부 농협·저축은행 등 금융권에서 AI를 활용한 해킹이 확산되는 와중에도 ISMS-P 인증 자체가 비어 있는 사각지대가 있다는 점이 언론 보도로 드러나기도 했습니다.
이런 흐름은 방향이 한 곳을 가리킵니다 — 공공·금융 영역의 보안 의무는 줄어드는 게 아니라 계속 넓어지고 까다로워지는 쪽으로 가고 있다는 것입니다. 이번 편에서는 이 규제가 어떻게 보안기업의 "캡티브(고정) 수요"로 이어지는지, 그리고 그 구조가 투자자 입장에서 어떤 의미를 가지는지를 짚어보겠습니다.
공공 보안 시장: CC인증과 보안적합성검증이라는 진입장벽
공공부문 보안 시장의 가장 큰 특징은 진입장벽이 법으로 정해져 있다는 점입니다. 국가·공공기관에 보안 제품을 납품하려면 국가정보원이 운영하는 보안적합성 검증, 흔히 CC인증(국제공통평가기준)이라 불리는 절차를 통과해야 합니다.
이 절차는 심사 기간이 길고 비용 부담도 상당해서, 해외 대형 보안업체라도 한국 공공시장에 진입하려면 별도의 인증 절차를 다시 밟아야 합니다. 그 결과 국내 공공 보안관제·백신·방화벽 시장은 오랫동안 국내 기업들이 사실상 나눠 가지는 구조를 유지해 왔습니다.
업계에서 공공 보안관제 시장을 두고 "관제는 국산 천하"라는 표현이 쓰이는 것도 이 때문입니다. 이는 특정 한 기업의 독점이 아니라, 안랩·이글루코퍼레이션을 비롯한 다수의 국내 보안기업이 공공기관별로 장기 계약을 맺고 번갈아 수주하는 구조에 가깝습니다.
다만 이 진입장벽이 매출의 "양"을 보장하지는 않습니다. 공공기관의 보안 예산은 매년 국회·지자체 예산 심의를 거치기 때문에, 특정 연도에 예산이 삭감되거나 사업이 이연되면 개별 기업의 분기 실적이 흔들릴 수 있다는 점은 그대로 리스크로 남아 있습니다.
금융 보안 시장: 전자금융감독규정과 반복되는 보안 투자
금융권의 보안 투자는 전자금융거래법과 그 하위 규정인 전자금융감독규정에 뿌리를 두고 있습니다. 이 규정은 은행·카드사·증권사 등 전자금융업자에게 일정 수준 이상의 정보기술 부문 인력과 예산을 정보보호에 배정하도록 요구합니다.
여기에 금융보안원이 금융권 공통의 보안 가이드라인과 망분리·이상거래탐지시스템(FDS) 등 구체적 기준을 제시하면서, 금융회사 입장에서는 "하지 않으면 감독 리스크가 생기는" 지출이 만들어집니다. 신규 규제뿐 아니라 ISMS-P 정기 심사(3년 주기 갱신)도 반복적인 보안 지출을 발생시키는 요인입니다.
2026년에 강화된 정보보호 공시의무도 같은 방향입니다. 일정 규모 이상의 금융·보험사와 ISMS 인증 기업은 정보보호 투자 현황을 공시해야 하는 범위가 넓어졌는데, 이는 역설적으로 각 금융회사가 보안 투자를 줄이기 어렵게 만드는 외부 압력으로 작동합니다.
결과적으로 금융 보안 시장은 경기 사이클보다 규제 사이클에 더 민감하게 움직입니다. 경기가 나빠져도 감독 규정이 요구하는 최소한의 보안 투자는 유지되는 경향이 있고, 이것이 이 섹터가 흔히 "경기방어적"이라고 불리는 이유입니다.
기업 사례 비교: 안랩과 이글루코퍼레이션의 매출 구조
공공·금융 캡티브 수요의 수혜를 직접 받는 국내 보안기업은 한둘이 아니지만, 사업 구조가 조금씩 다른 두 회사를 통해 이 수요가 실제로 어떻게 매출로 연결되는지 살펴보겠습니다.
① 안랩
사업 축 — 백신·엔드포인트 보안에서 출발해 공공·금융 보안관제, 최근에는 AI 보안·글로벌 사업으로 영역을 넓히고 있습니다.
최근 흐름 — 2026년 상반기 영업이익이 전년 동기 대비 60%대 증가했다고 밝혔고, 회사 측은 AI·글로벌 보안 사업 성장을 주요 요인으로 꼽았습니다.
투자 포인트 — 공공·금융이라는 안정적 기반 위에 AI 보안이라는 성장 축이 더해지는 구조인지, 성장 축의 변동성이 안정적 기반을 압도하지는 않는지를 함께 봐야 합니다.
② 이글루코퍼레이션
사업 축 — 보안관제(SOC) 서비스가 주력이며, 공공기관·금융권을 포함한 다수 고객과 장기 관제 계약을 맺는 구조입니다.
최근 흐름 — 2026년 상반기 매출이 전년 대비 늘어난 수준을 기록했다고 밝혔고, 네이버클라우드·NHN 클라우드 마켓플레이스 입점 등 클라우드 보안 채널도 확장하고 있습니다.
투자 포인트 — 관제 계약은 보통 1년 단위로 갱신되는 반복 매출 구조라 가시성은 높지만, 경쟁 심화에 따른 단가 하락 압력이 있는지는 공시와 IR 자료로 확인이 필요합니다.
두 회사 모두 최근 실적 관련 수치는 회사 발표·보도자료 기준이며, 분기별 상세 수치와 수주잔고는 DART 전자공시시스템의 분기·반기보고서를 통해 직접 확인하는 것이 정확합니다. 이 글에서 특정 종목의 매수·매도를 권하는 것은 아닙니다.
✍️ 필자 노트
이번 편을 준비하면서 가장 흥미로웠던 지점은 ISMS-P 제도가 '폐지' 방향이 아니라 오히려 '강화' 방향으로 가고 있다는 사실이었습니다. 몇 해 전 기사까지 섞여서 검색되다 보니 처음에는 방향을 헷갈릴 뻔했는데, 2026년 발표 시점 기준으로는 확실히 범위 확대·처벌 강화 쪽입니다. 다음 편에서는 반대로 보안 테마가 단기 급등했다가 꺼지는 경우, 즉 해킹 이슈가 터졌을 때 옥석을 가리는 방법을 다뤄보겠습니다.
투자자가 봐야 할 것: 수주잔고의 의미와 남은 리스크
여기까지 정리한 내용을 한 문장으로 요약하면, 공공·금융 보안주의 안정성은 기업의 영업력보다 규제의 지속성에서 나온다는 것입니다. ISMS-P 개편과 전자금융감독규정은 당분간 느슨해질 가능성이 낮아 보이는 흐름입니다.
다만 여기서 한 가지 질문을 남겨두고 싶습니다. 규제가 만드는 수요는 분명 안정적이지만, 동시에 '규제가 바뀌면 수요도 바뀐다'는 뜻이기도 합니다.
만약 정부가 특정 보안 의무를 간소화하거나 심사 주기를 늘리는 방향으로 제도를 다시 바꾼다면, 지금 안정적으로 보이는 보안기업의 수주잔고는 어느 정도까지 버틸 수 있을까요. 이 질문에 대한 답은 각 기업의 매출에서 공공·금융 비중이 얼마나 되는지, 그리고 AI·클라우드 보안처럼 규제와 무관하게 커지는 사업 축을 얼마나 함께 키우고 있는지에 달려 있다고 생각합니다.
🔎 1차 자료로 직접 확인하기
이 글에서 다룬 수치와 내용은 아래 공식 기관 자료에서 직접 확인하실 수 있습니다.
⚖️ 투자 참고 및 면책 조항
본 글은 투자 판단을 위한 정보 제공 목적으로 작성되었으며, 특정 종목에 대한 매수·매도 추천이 아닙니다. 정확한 수치는 반드시 DART 전자공시시스템 등 1차 자료로 직접 확인하시기 바라며, 투자의 최종 책임은 투자자 본인에게 있습니다.
