[자료] 바이든, 사이버보안 행정명령과 소프트웨어 공급망 강화 - 대신證

[한국금융신문 장태민 기자] ■ 바이든 행정부 사이버보안 행정명령 소프트웨어 공급망 취약점 부각

바이든 행정부는 보안체계 강화 위한 행정명령 서명. 연초 솔라윈즈 해킹, 미 동부 송유관 파이프라인 공격 등 잇따른 사건에서 정부가 내린 결론은 그 어떤 민간 업체도 정교한 사이버공격으로부터 안전하지 않다는 것. 특히 정부는 ‘소프트웨어 공급망 취약점’에 주목. 내가 직접 공격을 받는 것보다 무서운 것은 ‘내가 사서 쓰는 소프트웨어에 이미 멀웨어가 설치되어 있는’ 경우. 솔라웨어 사건이 바로 이에 해당. 전세계 수십만 기관이 IT 인프라 모니터링에 사용하는 솔라윈즈 오리온 소프트웨어는 2019년말 해커로부터 공격을 받아 악성코드/멀웨어가 삽입되었고, 이렇게 오염된 소프트웨어 패치를 2020년 3월~6월에 걸쳐 업그레이드한 1만 8천여 개 기업/정부기관의 서버에 백도어가 설치. 이 백도어는 합법적인 트래픽으로 위장하며 설치 2주후부터 내부 데이터 파일을 전송하거나 시스템을 비활성화하는 등 명령을 수행.

이번 행정명령의 골자는 소프트웨어 공급망 보안체계 강화. 소프트웨어 보안 표준인 FedRAMP, JAPP-ATO 인증을 강화할 것이며 9개월 후부터는 보안 표준을 충족한 회사들로부터만 제품을 매입할 계획. 또한 SBOM(Software Bills of Materials)를 도입해 소프트웨어 개발에 사용된 오픈소스나 보안 업데이트 사항을 일일이 명시하도록 할 것. 마치 포장음식에 성분재료가 명시되어 있듯, 정부에서 쓰는 소프트웨어가 보안 업데이트 최신 버전이며 누락된 사항 및 취약점이 없도록 하기 위함.
행정명령 중 보안산업에 긍정적인 부분은 1) 멀티팩터 인증 및 암호화 의무화, 2) 제로 트러스트 아키텍처 강화. 멀티팩터인증(Multi-factor authentification, MFA)은 사용자 인증에 있어 최소 두 가지 증거를 이용해 해킹 위험을 현저히 낮추며, 마이크로소프트는 계정 해킹 사례의 99.9%가 멀티팩터인증을 사용하지 않은 경우라 밝힌 바. 제로 트러스트 아키텍처는 기업 방화벽 외부/내부 모두 믿지 않는다는 전제하, 사용자들의 접근 권한을 필요한 부분 외 최소화하고 공격 발생시 피해를 제한하도록 보안 시스템을 자동화. 이와 같은 보안 트렌드로 수혜가 예상되는 기업은 다음과 같음.

① 멀티팩터인증: 옥타(OKTA), 마이크로소프트(MSFT)
② 제로 트러스트 네트워크 액세스(ZTNA): 지스케일러(ZS), 팔로알토 네트웍스(PANW), 클라우드플레어(NET)
③ 보안 자동화: Rapid7(RPD), 팔로알토 네트웍스(PANW)
④ 매니지드 보안서비스(Managed Detection and Response): 크라우드스트라이크(CRWD)
⑤ 이메일 보안: Proofpoint(PFPT)

■ 트윌리오(TWLO_ 인수합병 ; SMS 커뮤니케이션 기업 Zipwhip $850 M에 인수 
Zipwhip은 기업들이 문자메시지(SMS)로 고객과 소통할 수 있도록 API 소프트웨어를 제공하는 기업. 수신자부담(Toll-Free) 문자메시지를 각자 비즈니스에 맞게 커스터마이징 가능. 트윌리오와 마찬가지로 클라우드 커뮤니케이션 플랫폼(UCaaS)에 해당하며, 트윌리오는 경쟁사를 인수해 사업확장에 나선 것으로 볼 수 있음.

현재 3만개 기업이 Zipwhip을 이용해 고객과 소통하고 있으며 3월 기준으로 미국인의 66%는 Zipwhip 네트워크에서 적어도 하나의 문자메시지를 받음. 캐나다 진출로 북미지역 입지 강화. Zipwhip 직원은 300여명에 연매출은 $100~$150M로 추정, 연말 인수합병 마무리시 내년 트윌리오 매출 성장률에 높은 한자릿수대 기여 예상.

트윌리오는 최근 1년간 공격적인 사업확장 중. Syniverse 투자($750M)로 안정적인 통신채널 확보, 인도 커뮤니케이션 플랫폼 ValueFirst 인수로 글로벌 지역 확장, 고객데이터플랫폼 Segment 인수($3.2B)로 사업모델 다각화, Zipwhip 인수로 북미 점유율 확대 등. 이를 위해 주식 공모발행(~$1.54B), 채권발행(시니어론 $1B) 등 연초들어 대규모 자금조달 진행

■ 서비스나우(NOW) 2 년만의 애널리스트 데이: non core 비즈니스에서 높은 성장 기대 직원 고객경험을 아우르는 플랫폼으로 확장 
서비스나우 TAM(총도달가능시장)은 2020년 $110B에서 2024년 $175B을 넘어설 것이며, 특히 ITSM보다는 non-core 사업부에서 시장 기회가 확장 기대. 서비스나우 사업부는 ①IT 워크플로우(헬프데스크), ②고객/직원 워크플로우, ③크리에이터 워크플로우로 구분. 연계약가치(ACV) 비중은 현재 각각 63%, 24%, 13%에서 2024년 45%, 35%, 20%로 고객/직원 워크플로우, 개발플랫폼 중심으로 무게중심 변화 예상. 즉 IT 헬프데스크보다도 인사, 재무, 법무, 고객서비스, 필드(현장) 서비스 등 비즈니스의 전 부문을 아우르는 워크플로우 플랫폼 성격이 강해질 것.

유기적 성장(Organic growth)에 대한 자신감. Bill McDermott CEO는 투자자들이 우려했던 큰 규모의 M&A 계획은 당분간 없다고 언급. 기존 고객(Installed base) Cross-selling만으로도 ACV 5배 성장이 가능하며, Up-selling 측면에서는 프리미엄 SKU 비중이 현재 20%에서 향후 75%까지 증가 예상.

프리미엄 기능은 주로 AI/ML, 프로세스 자동화 & RPA, 보안에 해당. 또한 APM, 로그관리 등 모니터링 서비스(ITOM) 영역으로 확장하고 있으며 여기에 보안기능을 추가해 Up-selling 가능.

실적 목표: FY26까지 구독매출 $15B(FY21 $5.5B대비 5년 CAGR +22%). FY24까지 영업이익률 26.5%, FCF 33%(각각 연 100bp씩 개선)

■ 시스코(CSCO) 금주 3 개 M&A 진행: 사이버보안 Kenna Security, 네트워크 자동화 S edonasys, 이벤트 솔루션 Socio

시스코는 금주 3개 기업을 인수했으며 모두 소프트웨어 역량 강화에 초점. 미국 IT 지출내 소프트웨어가 하드웨어 장비를 능가하면서 고성장하는 소프트웨어 중심으로 사업부를 재편. 4Q20 기준 시스코 소프트웨어 매출 비중 30%.

① Kenna Security: 취약점관리 사이버보안 업체. 오늘날 보안 소프트웨어는 하루에도 수천개의 보안 시그널/알람을 생성하는데 이를 일일이 파악하는 것은 불가능하므로 고도의 위협 인텔리전스, 비즈니스 영향 분석으로 가장 중요한 취약점 우선순위를 설정하고 사이버보안 결정을 자동화. 이는 2018년 Duo Security 인수($3.2B) 이후 처음으로 인수한 보안 업체. 참고로 Duo Security는 멀티팩터 인증 보안 솔루션 및 네트워크 모니터링 업체. 이들은 모두 시스코 보안 플랫폼 ‘SecureX’에 통합되어 기업 전체 보안 현황 및 제3자 프로바이더에 대한 가시성 제공. 4Q20 기준 시스코 사이버보안 매출은 전년대비 10% 성장한 $822M(매출비중 7%).

② Sedona Systems: 이스라엘 소재의 네트워킹 소프트웨어 및 하드웨어 제조사. 여러 개의 네트워크 소스로부터 데이터를 자동으로 취합해분석. 클라우드 사업자들은 Sedona의 계층화된 컨트롤러(HCO, Hierarchical Controller)를 통해 통해 멀티 벤더/도메인에 걸쳐 복잡하게 얽혀있는 광네트워크와 IP를 심리스(seamless)하게 통합해 운영할 수 있음.
시스코는 연초 광모듈 업체인 아카시아 커뮤니케이션스를 $4.5B에 인수한 바 있으며, 이는 Sedona와 함께 클라우드 데이터센터 광네트워킹 포트폴리오 강화

③ Socio Lab: 이벤트 관련 기술 스타트업. WebEx 이벤트 기능(라이브 스트리밍, 스폰서십, 참여자 네트워킹 등)에 사용될 예정

■ 애플 엔터프라이즈 매니지먼트 Jamf, 모바일 보안업체 Wandera $400 M 에 인수

Jamf 플랫폼은 아이폰, 맥, 아이패드 등 애플기기 전반에 걸쳐 소프트웨어를 배포하고 라이프사이클을 관리하는 기업. 모바일 보안 솔루션 위해 Wandera 인수. 주요 기능은 다음과 같음.
① 엔드포인트 취약점관리: 애플리케이션 멀웨어 탐지, 운영체제(OS) 보안버전 및 권한(privilege) 관리, VPN
② 네트워크 보안: 실시간 보안 액세스 레이어, 제3자 애플리케이션 보안위협 탐지, 데이터 유출(data loss) 모니터링

■ 포드(F) 아마존과 파트너십, 2028 년까지 3천만개 OTA 차량 생산

알렉사 음성비서 기능 지원되는 OTA 차량. 알렉사에게 시동 켜기, 가까운 주유소 알림, 음악 재생, 교통정보 등을 요청할 수 있으며 각종 제반 기능들이 소프트웨어로 업데이트 가능. 우선 F-150, Mustang Mach-E 두 모델을 시작으로 연말까지 70만개 차량에 적용 예정. 최소 3년간은 OTA 기능 및 소프트웨어 업데이트를 무료로 제공할 것.

■ 아마존(AMZN) 엣지컴퓨팅 확장 보스턴 휴스턴 마이애미에 A WS Local Zone 신규 오픈

AWS Local Zone은 분산형 엣지컴퓨팅 위한 로컬 데이터센터. LA 2개에 이어 보스턴, 휴스턴, 마이애미까지 총 5개 Local Zone을 열었으며 북동부 버지니아 중앙 리전이 Control plane 역할. 연말까지 12개 새로운 도시에 Local Zone 출시 계획.

아마존은 지난 re:Invent 2019에서 세 가지 분산컴퓨팅 서비스 AWS Outpost, Local Zone, Wavelength 발표했으며, 최근 동향을 보면 Outpost보다는 Local Zone에 주력하는 모습. Outpost는 AWS에서 물리적 서버 배달/설치/유지보수까지 모두 제공하는 만큼 비용부담이 큰 반면, Local Zone은 퍼블릭 클라우드의 확장버전으로 비용상 이점이 있을 것으로 예상. Local Zone 지역적 확장에 따른 사용자층 확대 기대.

■ 아마존(AMZN) 사업 다각화 진단키트 / 비디오 스트리밍 / 음원서비스

진단키트 사업 진출: COVID-19 진단키트를 아마존 프라임데이(5~6월중 개최)에 맞춰 판매 시작. 그 외 호흡기 질환, 성병 검사 등 다양한 홈 메디컬 진단키트 판매 예정

인도서 무료 스트리밍 서비스 출시: 아마존 쇼핑앱에 비디오 스트리밍을 추가함으로써 광고 효과와 쇼핑판매를 늘리고자 함. 시리즈물, 코미디 등은 물론 뷰티/패션 전문가들의 최신 제품 트렌드 관련 콘텐츠 제공. 이커머스 기업들은 쇼핑앱에 비디오 스트리밍을 추가하는 추세. 인도 상위 이커머스 플랫폼인 월마트 Flipkart는 2019년 앱내 비디오 스트리밍 추가, Zomato, Paytm 등 다른 인도 업체들도 마찬가지. 아마존도 2년전 북미서 광고기반(ad-supported) 스트리밍 서비스(IMDb TV)를 출시한 이후 쇼핑판매가 늘어남을 목격, 이를 인도 지역으로 확장하고자.

Amazon Music HD(고품질 음원 스트리밍) 서비스 정책변경 통한 가격 인하: Amazon Music Unlimited 구독자(월 $9.99)는 추가비용 없이 제공, 아마존 프라임 멤버는 월 $7.99 구독료에 제공. Non-prime member는 이미 기존 $19.99에서 14.99로 인하한 상태

애플뮤직 또한 Hi-Fidelity(고품질) 스트리밍을 기존 구독자에게 추가비용 없이 제공한다고 발표(애플뮤직 기본 구독료 월 $9.99)
(작성자: 허지수 대신증권 연구원)

장태민 기자 chang@fntimes.com