에스에스알 사업보고서 (2021.12)
1. 사업의 개요

가. 산업의 특성(1) 개요

정보보호산업은 정보보호제품을 개발/생산 또는 유통하거나 정보보호에 관한 컨설팅, 보안관제 등 서비스를 수행하는 산업으로서 기술의 적용영역, 제품의 특성 등에 따라 정보보안, 물리보안, 융합보안(정보보안+물리보안, 정보보안+他산업)으로 분류됩니다. 이는 크게 컴퓨터 또는 네트워크상 정보 유출/훼손 등을 방지하기 위한 정보보안, 재난/재해, 범죄 등을 방지하기 위한 물리보안, 자동차나 항공해상 보안 등의 융합보안으로 구분됩니다.정보보호산업의 특성상 제품과 서비스의 통합화 및 융합화가 매우 빠르게 진행되고 있어 정보보호산업을 분류할 때, 예전의 하드웨어, 소프트웨어, 서비스3분야 구분이 점차 모호해지고 있습니다.

정보보안	물리보안	융합보안

해킹/침입탐지,
개인정보유출방지
컴퓨터포렌식 등	영상감시,
바이오인식,
무인전자경비 등	운송보안(자동차/항공 등)
/의료/건설/국방 보안
방법보안로봇 등

정보보안(클린인터넷경제)	물리보안(안전안심생활)	융합보안(안전성강화)

당사의 제품은 보안관리 제품에 속하는 취약점 분석 시스템, 보안컨설팅 서비스에 속하는 진단 및 모의해킹 서비스입니다.

대분류	소분류	세부 항목

정보보안
제품	네트워크 보안	웹방화벽

네트워크(시스템) 방화벽

침입방지시스템(IPS)

DDoS 차단 시스템

통합보안시스템(UTM)

가상사설망(VPN)

네트워크접근제어(NAC)

무선 네크워크 보안

망분리(가상화)

정보보안
제품	시스템(단말) 보안	시스템접근통제(PC방화벽 포함)

Anti 멀웨어

스팸차단 SW

보안운영체제(Secure OS)

APT대응

모바일 보안

콘텐츠(데이터)/
정보유출방지보안	DB보안(접근통제)

DB암호

보안 USB

디지털저작권관리(DRM)

네트워크 DLP

단말 DLP(개인정보보호솔루션포함)

암호/인증	보안스마트카드

HW토큰(HSM)

일회용비밀번호(OTP)

공개키기반구조(PKI)

통합접근관리(EAM)/싱글사인온(SSO)

통합계정관리(IM/IAM)

정보보안
제품	보안관리	통합보안관리(ESM)

위협관리시스템(TMS)

패치관리시스템(PMS)

자산관리시스템(RMS)

백업/복구 관리 시스템

로그 관리/분석 시스템

취약점 분석 시스템

디지털 포렌식 시스템

기타	기타

정보보안
서비스	보안컨설팅	진단 및 모의해킹

기반보호

인증(ISO, ISMS)

개인정보보호컨설팅

정보감사(내부정보유출방지컨설팅 등)

기타보안컨설팅(보안SI 포함)

유지/보안성지속	유지관리

보안성지속 서비스

보안관제	원격관제 서비스

파견관제 서비스

교육/훈련	교육훈련 서비스

인증서비스	인증서발급서비스(공인/사설)

CC평가인증(컨설팅 포함)

(2) 산업의 특성

정보보호산업은 성장발전 가능성이 높은 신성장 산업으로 보안 위협이 다양한 산업으로 확대되면서 더욱 주목 받고 있는 산업입니다. 또한 차세대 고부가가치 미래지향산업으로 스마트 디바이스를 넘어 IoT(Internet of Things), 클라우드 컴퓨팅, 빅데이터, 인공지능 등 IT 기술의 발전과 함께 다양한 융합으로 가치를 창출할 것으로 기대되고 있습니다. 최근 사이버 위협이 국가의 안보에 직접적으로 영향을 미치는 사건들이 증가하면서 국가적인 차원에서 사이버 안보 강화를 위한 다양한 육성 정책을 확대해나가는 움직임 역시 국내 정보보호산업의 성장에 큰 기여를 하고 있습니다.또한, 규모와 상관없이 대다수의 기업체가 IT 인프라 기반으로 운영되고 있는 만큼 기업의 중요한 인프라 자산 및 자산에 포함된 다양한 정보를 보호하기 위한 투자가 계속해서 증가하고 있습니다. (3) 산업의 성장성

국내 정보보안시장은 기업의 취약점 등의 위협으로 인해 공공기관 및 금융기관 등 공격당하는 사례가 지속적으로 발생하면서 취약점 진단관리 시장과 관련된 평균 성장률 예년만큼 성장할 것으로 전망되며, 코로나19로 인하여 비대면 환경에 필요한 네트워크 및 문서 보안, 그리고 엔드포인트 보안 등과 2021년 하반기 Log4j 취약점을 이용한 위협이 확산되고 있어 정보보안사업 구축 및 보안 솔루션 도입에 대한 시장 확대를 예상하고 있습니다. 또한 코로나19 백신 보급이 끝나고 본격적인 위드 코로나 시대를 맞는 2022년에는 물리보안과 사이버보안의 융합과 더불어 스마트시티의 안정적인 운영과 발전을 위한 통합관제센터의 고도화 등으로 인해 보안시장 성장세가 보다 가속화될 것으로 기대되고 있습니다.(4) 경기변동과의 관계 당사의 주요사업인 IT인프라 취약점 진단관리 및 실시간 웹쉘 탐지 및 위변조 방지 솔루션이 속한 정보보호 제품 관련 수요는 크게 IT 환경의 변화, 정보보호 관련 법적 의무사항, 보안사고의 발생 여부에 따라 변동될 수 있습니다.서버에 대한 취약점 점검은 대다수의 기업체가 IT 인프라를 기반으로 사업을 영위하는 데 있어 가장 중요한 부분으로 자리매김하고 있습니다. 특히 제4차 산업혁명이 진행되면서 주요 요인으로 인식되고 있는 사물인터넷(IoT)은 개인의 생활과 밀접하게 연관 지어져 이를 노리는 해킹과 유사 불법행위가 점차 늘어날 것으로 예측되기 때문에 이에 대한 취약점 점검이 매우 활발하게 이루어질 것입니다. 또한, 기업체에서 많이 사용하는 웹 방화벽으로 막지 못하는 웹쉘 및 URL위변조 등으로 인한 피해도 급증하여 이를 막기 위한 수요도 증가할 것으로 예측됩니다.국내는 보안대책 및 취약점 점검에 대한 정보보호 관련 법적 의무사항이 구체적으로 제시되어 있습니다. 주요정보통신 기반시설 및 전자금융 기반시설, 정보보호관리체계 의무 대상자는 1년 1~2회 취약점 점검을 실시하고 보고해야 하며, 그 대상은 매년 증가하고 있습니다. 특히 개인정보보호법, 신용정보보호법, 정보통신망법이 규정 및 개정되며 법적 의무사항에 해당되는 기관 및 기업이 상당 수 증가하였으며, 이는 당사 솔루션 수요로 이어질 것입니다.또한, 정보보호 제품, 서비스의 주고객인 공공기관 및 대기업 등은 일반적으로 운영계획을 금전적으로 표현하여 지출 및 운영을 통제하는 예산 기반의 운영활동을 진행중에 있으며, 당해년도에 책정된 정보보호 관련 예산을 연말에 집중적으로 소진하고, 정보보호컨설팅과 ISMS 등 인증 취득 전후 미비하거나 노후화 된 보안솔루션에 대한 신규/교체 사업이 연말에 다수 진행되기 때문입니다. 나. 시장현황 (1) 경쟁상황 [정보보호 컨설팅 주요 경쟁현황] 금융기관 정부기관과 같이 주요 핵심 기관의 정보보안 컨설팅 수행 시에는 반드시 일정수준 이상의 인력(고급이상 등), 컨설팅 방법론 등을 요구하고 있습니다. 전자금융거래법 행정규칙인 전자금융감독규정에서는 취약점 분석, 평가 전문기관으로 정보보호전문서비스기업을 명시하고 있으며 (전자금융감독규정 제 37조의 3) 또한 고급 기술 인력 이상의 자격을 갖춘자에 한하여 취약점 분석, 평가가 가능하도록 자격조건을 명시하는 등 정보보호 컨설팅을 수행할 수 있는 자격조건을 부여하고 있어, 일반 정보보호 컨설팅 업체 대비 인력에 대한 지식서비스 교육, 방법론연구, 관리체계확립 과 같은 무형적 인프라의 구축이 반드시 필요하여 그 진입장벽은 매우 높다 할 수 있습니다. ① IT 인프라 취약점 진단 국내 IT 인프라 취약점 진단은 5개 미만의 솔루션이 시장점유를 하고 있습니다. 최근 신규 사업체들의 저가 경쟁을 통한 수주 건이 늘어나고 있지만 , 보안 시장의 주요성과 시장 규모가 커짐에 따라 당사의 매출 규모도 성장할 것으로 예상되며, 기술 트렌드와 솔루션 결정에 대한 영업력, 지원에 대한 이슈를 당사가 선점하고 있기 때문에 향후에도 취약점 진단 소프트웨어 시장 규모의 절반 이상을 차지할 것으로 예상하고 있습니다. ② 실시간 웹서버 방어 및 탐지 국내 실시간 웹 서버 방어 및 탐지 분야는 크게 5개의 솔루션이 시장 규모의 대다수를 차지하고 있습니다. 5개의 회사가 경쟁하고 있지만, 과점의 형태가 아닌 경쟁형태로 시장이 형성되어 있습니다. 최근 발생하는 BMT, POC 와 같은 객관적인 평가를 통해 당사 MetiEye가 기술력에 대해서는 국내 최고수준임을 증명하고 있습니다. 다만, 조달 및 기존 레퍼런스를 중요시하는 국내 정보보안 산업환경 상 꾸준한 고객과의 신뢰도 상승 및 커뮤니케이션 기반으로 시장점유율 확보하는 것을 영업 목표로 삼고 있습니다. (2) 시장점유율 [정보보호 제품] 당사의 주요 제품인 SolidStep의 경우, 컨설팅으로 진행되던 취약점 진단을 빠른 시간 내에 자동화 전수진단이 가능하다는 장점을 통해 시장점유율을 확보해나갔으며, 2019년까지 약 450 여개의 고객사에 제품을 구축함으로써 독보적인 IT 인프라 취약점 진단관리 솔루션 공급기업의 입지 유지하고 있습니다. 최근 해당 시장의 저가제품 진입으로 인해 일부 고객이탈과 함께 조달 점유율이 53%로 소폭 감소하였지만, 해당 점유율 또한 절대적인 수치이며, 저가제품 기술력의 문제로 1년이후 이탈되었던 고객이 다시 돌아오는 사례가 증가하고 있어, 시장의 냉정한 평가를 통해 더욱더 시장입지를 확고히 하고 있습니다.

또 다른 제품인 MetiEye의 경우 시장의 성장기로, 여러 웹쉘 차단 및 웹서버 방어솔루션 시장 중 약 5%의 조달 실적 점유율을 확보 하고 있습니다. 제품 라이프 사이클 주기에 따르면 도입기를 지나 성장기에 국면하였으며, 한 기업이 과점하고 있는 시장이 아닌 경쟁시장입니다. 웹쉘 탐지 관련 경쟁입찰에서 BMT, POC 와 같은 객관적인 평가를 통해 대부분의 고객들로부터 MetiEye가 기술 1위의 평가를 받고 있으며, 추가로 가격 경쟁력을 통해 국내 절대적인 웹쉘 탐지 솔루션으로 거듭나고 있습니다. 이러한 기술력과 고객과의 높은 신뢰도 및 커뮤니케이션 기반으로 시장점유율 확보하는 것을 영업 목표로 삼고 있습니다.

[정보보호 서비스] ADT캡스 SK쉴더스, 안랩과 같은 주요 정보보안 업체에서는 일정한 프레임워크를 기반으로 컨설턴트를 운영하는 등, 운영적인 측면이 강조된 반면 당사에서는 자체 컨설팅 방법론 개발은 물론, 구성원들이 프로젝트에 참여하여 직접 진행함에 따라 타사 대비 수준 높은 컨설팅을 제공하고 있습니다. 또한 최고의 전문가들로 구성된 컨설팅 팀을 통해 지속적인 고객 확보에 노력하고 있으며, 이 결과 약 10년간 500건 이상의 컨설팅을 진행해왔습니다. 이렇게 오랜기간 쌓은 컨설팅 경험을 통하여 컨설팅 수준의 척도라 할 수 있는 금융, 정부기관, IT대기업 등을 대상으로 지속적인 컨설팅을 수행하고 있으며 주요 업체와의 연간계약을 진행하는 등 수요처 대상 높은 신뢰도 뿐만 아니라 협상력을 보유하고 있습니다

다. 회사의 경쟁력 (1) 정보보호 제품 및 컨설팅 경쟁 우위 확보

당사는 취약점 진단 및 컨설팅의 핵심 기술을 자체적으로 보유함으로써, 타사의 제품보다 우수한 성능 및 품질을 갖고 있으며 원가경쟁력을 위한 Know-How를 보유하고 있습니다. 이를 토대로 컨설팅 분야에서의 가장 많은 실적을 갖고 있는 당사가 시장을 주도해 나갈 것으로 예상됩니다. 전후방 산업간의 연관 효과가 높은 특성과 함께 원가 경쟁력으로 인해 향후 신규 업체의 시장 진입이 어려운 상황이며, 시장 진입에 성공했다 하더라도 규모의 경제, 안정적인 매출처 확보, 핵심 기술 확보한 연구원 보유 등의 여부가 최적화된 보안 솔루션을 공급하는 당사의 중요한 진입 장벽이라고 할 수 있습니다.

국내 IT 인프라 취약점 진단은 소수의 솔루션이 대부분의 시장점유율을 차지하고 있습니다. 사실상 기술 트렌드와 솔루션 결정에 대한 영업력, 지원에 대한 이슈를 당사가 선점하고 있는 과점 시장이라고 볼 수 있습니다. 컨설팅을 통해 쌓은 노하우로 만들어낸 솔루션으로 타 경쟁업체와 차별화된 솔루션입니다. (2) 안정적인 기술 개발 인프라의 존재 당사 기술연구소는 개발1팀, 개발2팀, 개발3팀, 플랫폼개발팀, R 구성하고 있으며, 유기적 관리체계 하에서 우수한 제품 개발을 위한 협력 체계가 이루어지고 있습니다. 이러한 협력 업무에는 자체 개발한 각종 툴, 시제품, 프로세스 등이 공유되며 이에 따라 관련 업무를 보다 효율적으로 진행하고 있습니다. 또한 활성화된 지식관리시스템을 통해서 다양한 연구개발 활동의 전문적 지식과 경험을 축적하고 이를 구성원들에게 공유하여 활용될 수 있도록 하고 있으며, 연구소 설립 후 다양한 연구 개발 도구 및 경험 등이 축적되어 검증된 기술력을 기반으로한 제품들을 빠르고 안정적으로 개발할 수 있는 환경을 구축하고 있습니다. 라. 신규사업에 관한 사항2015년도에 출시된 솔리드스텝은 시대에 변화하는 기술과 시장의 요구사항을 유연하게 대응하기 위해 지속적으로 신규 버전을 출시하고 있습니다. 최근 고객사의 정보자산 운영 환경이 온-프레미스(On-premise)에서 클라우드(Cloud)로 전환되는 추이에 따라 솔리드스텝 CCE 제품을 출시하였으며, 클라우드 정보자산을 대상으로 하는 취약점 점검 분야의 독자적인 기술력을 보유하고 있습니다. 또한, CCE 뿐만 아니라 새로운 분야의 진출을 위해 솔리드스텝 CVE 제품을 21년말 출시하였습니다. 최근 이슈되는 Log4j와 같은 CVE 취약점 분야의 시장은 외산 제품이 주를 이루고 있으나, 솔리드스텝 CVE는 국내 인프라 환경에 최적화하여 다양한 고객의 니즈를 반영함으로써 성공적인 서비스를 제공하며 시장을 선도하고 있습니다.

[SolidStep CVE, 취약점 점검 솔루션]

CVE(Common Vulnerabilities and Exposures)는 공개적으로 알려진 컴퓨터 보안 결함 목록입니다. 보안 결함에 할당된 CVE ID 번호로 관리되며, CVE ID는 CVE 넘버링 기관(CVE Numbering Authority, CNA)에서 할당합니다. 주요 IT 벤더는 물론 보안 기업 및 리서치 조직을 대표하는 약 100개의 CNA가 있으며, 이러한 체계는 미국의 비영리 회사인 MITRE에서 관리하고 있습니다.

CVE 취약점 체계는 오랜기간 글로벌 수준의 취약점 점검 기준으로 이용되고 있으며, 국내는 외산 제품에 의해 해당 제품의 시장이 형성되어 있습니다.

당사는 CVE 취약점 점검 솔루션을 자체 기술로 개발하여 SolidStep 인프라 취약점 점검 솔루션의 제품군에 편입할 계획입니다.

국내 CVE 취약점 점검 시장의 1위 제품은 Rapid7 사의 넥스포즈(Nexpose) 제품입니다. 글로벌 2위 제품으로 오랜 기간 이 분야의 강자로 여겨지는 제품입니다.

2019년 이후 넥스포즈는 국내 시장에서 위기를 맞이하고 있습니다. 이는 라이선스 정책 변경에 따른 것인데, 2018년 2월부터 전세계 공통으로 Subscription 방식의 판매만 가능하도록 변경이 되었고, 국내 시장에서는 이러한 방식의 솔루션 구매를 아직 선호하지 않고 있어 넥스포즈의 매출은 급감하고 있으며, 급기야 2019년 Rapid7 한국지사는 철수하게 되는 상황에 이르렀습니다.

기존 넥스포즈 구매 고객에 대한 제품의 유지보수는 당장 문제없이 이루어 질 것으로 보이나, 넥스포즈 사업은 위축될 것이 분명하며, SolidStep CVE는 넥스포즈의 대안 제품으로 시장을 확보할 것이라 예측됩니다. 기존 구매 고객 중 공공기관 위주로 WinBack 전략은 유용할 것으로 예상되며, 취약점 점검 시장은 Compliance 시장이므로 지속적인 매출이 기대됩니다.