중소기업 보안 솔루션·AI 구축 컨설팅 조직으로의 전환 제언

1. 한 장 그림 노트

2. 왜 중소기업인가

• 랜섬웨어 신고의 대부분이 중소기업에서 나옵니다. 2025년 랜섬웨어(파일을 잠그고 돈을 요구하는 악성 프로그램) 침해사고 신고 274건 중 중소기업이 194건(약 71%, 작성자 계산)입니다. 원문 다만 국내 기업 대부분이 중소기업이므로, 중소기업이 유독 더 잘 당한다는 증거는 아닙니다.
• 갖춘 곳이 많지 않습니다. 10인 이상 사업체 조사에서 정보보호 정책 보유 52.6%, 교육 실시 32.7%이고, 정보보호 업무를 하는 기업 중 전담 조직을 둔 곳은 35.3%입니다. 가장 큰 어려움은 예산 확보(49.1%)입니다. 인용 대기업을 포함한 평균이며, 중소기업만의 수치는 찾지 못했습니다.
• 정부 지원 통로는 있으나 좁습니다. 2026년 중소기업 정보보호 지원사업은 585곳 안팎에 보안 묶음 공급가의 80%를 지원합니다. 원문 그러나 공급은 권역마다 연합체(여러 회사가 함께 지원하는 공동 수급체) 한 곳에만 맡기고, 올해분 공급기업 모집은 끝났습니다. 첫 고객을 만나는 여러 길 가운데 하나로 보아야 합니다.

수치의 출처와 단서는 붙임 1에 있습니다.

3. 영상 사례에서 가져올 것과 가져오지 않을 것

항목별 설명은 붙임 2에 있습니다.

4. 무엇을 제공하고, AI를 어디에 쓰는가

• 제품은 만들지 않고 묶습니다. 우리 몫은 고르기·설치·운영·판단입니다. 우리 강점은 ③(금융권·기반시설 기준으로 다듬은 점검 스크립트와 판정 기준)에 있고, 나머지는 제휴 제품으로 채웁니다. 이 강점에 중소기업이 값을 치를지는 가설이며 시범에서 확인해야 합니다.
• 24시간 감시는 제휴를 전제로 했습니다. ②의 24시간 감시는 관제(보안 경보를 지켜보다 대응하는 일) 전문 업체와의 제휴로 채우며, 우리가 직접 24시간 조직을 꾸리는 안은 넣지 않았습니다.

• AI를 믿는 정도를 낮게 잡았습니다. AI 도우미의 효과를 보인 시험 논문 두 편은 모두 그 제품을 파는 회사의 연구입니다. 원문(업체 자료) 공격 한 건의 기록으로 한 심사 전 평가에서는 기존 AI 분류 방식이 공격 관련 경보의 40% 이상을 놓쳤고, 닫기 전에 한 번 더 따지게 하자 놓침이 3.1%로 줄었습니다. 원문 속임수 지시를 완전히 막지 못할 수 있다는 영국 국가사이버보안센터의 경고도 있습니다. 원문 그래서 업체 수치를 고객 약속에 쓰지 않고, 시범에서 우리 수치를 직접 잽니다.
• 고객 자료를 어디서 처리할지 먼저 정합니다. 보안 기록에는 계정·설정·취약점 정보가 들어 있어, 외부 AI 서비스에 보낼지 여부가 상품 설계의 첫 결정입니다.

여덟 항목별 ‘우리·AI·사람이 맡는 일’은 붙임 3, AI에 대한 근거는 붙임 4에 있습니다.

5. 조직과 수익은 어떻게 바뀌는가

• 수익은 구축비와 월 구독이 기본입니다. 정부 지원사업으로 첫 구축 부담을 낮추고, 보증·보험 연계는 재원과 법무 확인 뒤에 붙입니다. 묶음 값의 기준점은 지원사업 공급가(사용자 10명 기준 450만~600만 원, 제품값 포함, 적용 기간은 미확인)뿐이며, 실제 가격은 시범에서 정해야 합니다. 원문
• 지금 하는 과제가 밑바탕이 됩니다. 점검 스크립트 관리 체계, 진단 자동화, 공수·견적 산정 체계는 ‘담당 한 사람이 맡는 고객 수’를 늘리는 데 그대로 쓰입니다. 새로 필요한 것은 구축·운영 역량, 제휴 제품, 고객 통로입니다.
• 이해 충돌을 미리 막습니다. 진단한 조직이 제품을 파는 문제, 우리가 운영하는 곳을 우리가 점검하게 되는 문제에 대한 원칙을 처음부터 정해 둡니다.

세부는 붙임 5(조직)와 붙임 6(수익 구조)에 있습니다.

6. 추진 일정(안)

1. 준비 1 — 2026년 11~12월. 임원의 판단 기준과 핵심 묶음 구성을 정하고, 실제 인건비로 손익을 어림해 관문(넓힐지 접을지 정하는 시점) 통과 기준 숫자를 정합니다. 점검 스크립트 관리 과제 마감(12월)과 겹치므로 일을 줄였습니다.
2. 준비 2 — 2027년 1~2월. 제휴 제품 선별, 약관 초안, 시범 고객 3~5곳 확보. 2027년 지원사업 공모가 올해처럼 4~5월에 열린다면(미확인 가정) 연합체 참여 여부도 이때, 시범 수치 없이 판단해야 합니다.
3. 시범 — 2027년 3~8월. ‘수준 진단 → 구축 → 월 운영’을 실제로 돌리며 지표를 잽니다.
4. 관문 판단 — 2027년 3분기. 담당 한 사람이 맡는 고객 수, 고객당 손익, 고객이 돈을 내고 계속 쓰겠다는지, AI 판정 실측치를 보고 넓힐지·고칠지·접을지 정합니다. 고객 3~5곳, 여섯 달의 수치라 방향을 확인하는 수준입니다.
5. 확대 — 2027년 4분기 이후. 넘으면 시범을 맡던 작은 조를 전담 조로 바꾸고 통로를 넓히며, 넘지 못하면 얻은 것을 기존 진단 사업의 생산성 도구로 돌립니다.

단계별 내용과 단서는 붙임 7에 있습니다.

7. 큰 위험

위험 전체는 붙임 8에 있습니다.

8. 임원께 여쭙는 결정

• ① 방향. 기존 진단 사업을 유지하면서 중소기업 대상 시범을 시작할지.
• ② 범위. 운영 대행까지 할지, 구축과 자문까지만 할지.
• ③ 대상. 어떤 중소기업부터 볼지(지역, 업종, 규모, 기존 고객과의 연결).
• ④ 통로. 지원사업 연합체, 업무 프로그램 사업자 제휴, 보험사 제휴 가운데 무엇을 먼저 두드릴지.
• ⑤ 책임 범위. 운영 대행에서 지는 책임의 한도와, 고객 자료를 외부 AI 서비스로 처리해도 되는지.
• ⑥ 사람과 기간. 준비 단계(2026년 11월~2027년 2월)에 누구를 얼마나 쓸지, 관문 판단 시점과 통과 기준.

항목별 설명은 붙임 10에 있습니다.

9. 한계와 아직 답하지 못한 것

• 투자와 손익을 계산하지 못했습니다. 시범에 쓸 사람 수·기간, 도구·AI 비용, 손익이 맞는 고객 수는 준비 1단계에서 실제 인건비로 계산해야 합니다.
• 우리 조직의 실제 현황을 반영하지 못했습니다. 인력·매출 구성, 정보보호 전문서비스 기업 지정 같은 자격 보유 여부는 작성자가 알지 못합니다. ‘지금’ 칸은 아는 범위에서 적었습니다.
• 확인하지 못한 사실이 있습니다. 국내 구독형 보안 상품의 요금, 지원사업 공급가의 적용 기간, 2027년 지원사업의 일정과 조건, 정책·예산 보유율의 기업 규모별 수치입니다.
• 의뢰를 넓게 풀었습니다. ‘구축 및 컨설팅’에 운영 대행까지 넣은 것은 작성자의 해석입니다(결정 요청 ②).
• 검토 범위. 붙임의 내용은 작성자가 아닌 검토자가 근거 주소를 다시 열어 대조하고 그 지적을 반영한 것입니다. 앞쪽 요약(1~9절)은 붙임을 줄여 새로 쓴 것으로, 붙임과 어긋나는 곳이 없는지 따로 검토받아 그 지적을 반영했습니다. 반영한 뒤의 판은 다시 검토받지 않았습니다.

아직 답하지 못한 물음은 붙임 9, 근거 자료 목록은 붙임 11에 있습니다.

의뢰를 이렇게 풀었습니다. ‘AI 기반으로 이용할 수 있도록 구축 및 컨설팅’을, ① 핵심 보안을 갖춰 주고(구축) ② 그 운영을 AI와 함께 대신 맡으며(운영 대행) ③ 수준 진단과 자문을 곁들이는(컨설팅) 세 가지로 보았습니다. 운영 대행까지 넣은 것은 작성자의 해석이므로, 구축과 자문까지만 뜻하신 것이라면 붙임 3의 ‘자문 상품’을 중심에 두고 붙임 7의 시범 범위를 그만큼 줄이면 됩니다.

용어. KISA는 한국인터넷진흥원, 랜섬웨어는 파일을 잠그고 돈을 요구하는 악성 프로그램, 관제는 보안 경보를 지켜보다 대응하는 일, 단말은 직원 PC·서버 같은 기기, 오탐은 문제가 아닌데 문제로 잡은 것, 미탐(놓침)은 문제인데 잡지 못한 것입니다. 이 문서에서 ‘통로’는 중소기업 여러 곳을 한 번에 만날 수 있는 길, ‘연합체’는 여러 회사가 함께 지원하는 공동 수급체(컨소시엄), ‘관문 판단’은 숫자를 보고 넓힐지 접을지 정하는 시점을 뜻합니다.

붙임 1. 왜 중소기업인가 — 확인한 사실

• 읽는 법. 랜섬웨어 피해 신고의 대부분이 중소기업에서 나오는데, 정책·교육·예산·전담 조직을 갖춘 곳은 절반 안팎이거나 그보다 적습니다. 영상의 회사가 고른 ‘지방·중소기업·자영업자’와 겹치는 자리입니다.
• 정부 지원 통로는 있으나 좁습니다. 전국 585곳 안팎이고, 공급은 네 권역마다 연합체 한 곳에만 맡기며, 2026년분 공급기업 모집은 이미 끝났습니다. 최대 지원금으로 어림하면 정부 지원 총액은 전국 20억 원대 후반이고 대부분 제품값입니다(작성자·검토자 계산). 이 사업 하나로 사업이 서지는 않으며, 첫 고객을 만나는 여러 길 가운데 하나로 보아야 합니다.
• 유의. 전체 침해사고 가운데 중소기업 비중을 보여 주는 정부 공식 표는 찾지 못했습니다. “KISA에 따르면 2022~2024년 침해사고 4,306건 중 중소기업이 3,563건(82.7%)”이라는 보도가 있으나 원자료는 확인하지 못했습니다. 인용(보안뉴스 138073)

붙임 2. 영상 사례에서 가져올 것과 가져오지 않을 것

붙임 3. 무엇을 제공할 것인가 — 중소기업 핵심 보안 묶음(안)

항목을 새로 지어내지 않고, 여러 나라의 소기업용 기준이 공통으로 꼽는 것을 골랐습니다. 원문

• 영국 ‘사이버 에센셜’. 다섯 가지입니다. 방화벽, 안전한 설정, 보안 업데이트, 사용자 접근 통제, 악성코드 방지.
• 미국 표준기술연구소(NIST)의 소기업 안내서. 다중 인증(비밀번호에 한 가지를 더 확인), 기본 비밀번호 변경, 정기 업데이트, 백업과 복구 시험, 디스크 암호화를 꼽고, 감시는 외부 업체에 맡기는 방법도 안내합니다.
• 미국 비영리 단체 CIS의 통제 항목. 모든 조직이 갖출 ‘필수 사이버 위생’으로 56개 조치를 제시합니다.
• 우리 정부 지원사업의 묶음. 원격 관제, 관리형 방화벽, 단말 탐지·대응, 이메일 보안, 다중 인증, 가상 사설망(밖에서 회사 망에 안전하게 접속하는 길)으로 구성됩니다.

아래 여덟 가지는 이 넷을 겹쳐 본 것입니다. ‘AI가 맡는 일’은 모두 초안과 1차 분류까지이며, 확정과 실행은 ‘사람이 맡는 일’ 칸에 있습니다.

• 제품은 만들지 않고 묶습니다. 정부 지원사업은 국내 제품·서비스만 인정하고, 인증받은 제품에 가점을 줍니다. 원문 탐지 도구나 방화벽을 새로 만드는 것은 영상이 경고한 ‘쓰는 사람 없는 제품’이 되기 쉽습니다. 우리 몫은 고르기·설치·운영·판단입니다.
• 우리 강점이 닿는 곳은 ③입니다. 금융권·기반시설 기준으로 다듬어 온 점검 스크립트와 판정 기준을 중소기업에 맞게 줄여 쓰는 것이 다른 구독형 보안 사업자와 구별되는 지점이 될 수 있습니다. 다만 중소기업이 그 차이에 값을 치를지는 가설이며, 시범에서 확인해야 합니다. 나머지 항목은 제휴 제품으로 채웁니다.
• 단계 구성(안). 기본 묶음(①②③④⑥) → 표준 묶음(+⑤⑧) → 전체 묶음(+⑦과 전담 담당자)으로 나눕니다. 기본 묶음은 영국 사이버 에센셜의 다섯 가지에 백업을 더한 것입니다. 랜섬웨어 대비가 출발점이므로 단말 보호(②)와 백업(④)은 기본에서 빼지 않습니다. 사고가 났을 때 어디에 언제까지 신고하는지 알려 주는 안내 창구는 기본 묶음에도 넣고, 신고서 작성과 수습 지원(⑦)은 전체 묶음에서 맡습니다.
• 자문 상품(안). 묶음과 따로 팔 수 있는 컨설팅입니다. ① 핵심 여덟 항목 기준의 간이 수준 진단(묶음의 입구) ② 직원이 AI 도구를 쓸 때의 보안 자문(무엇을 넣어도 되는지, 권한을 어떻게 나눌지) ③ 납품처·인증이 요구하는 보안 요건 대응. 정부 지원사업의 컨설팅(등급별 330만~770만 원)이 값의 기준점이 됩니다.

붙임 4. ‘AI 기반으로 쓸 수 있게’ 만든다는 것 — 세 층 구조(안)

영상이 말한 AI 네이티브 회사의 세 가지 조건(영상 보고서 6절)을 보안 운영에 그대로 대응시켰습니다.

• 고객 자료를 어디서 처리할지 먼저 정합니다. 영상도 권한과 개인정보는 원칙만 말했습니다(영상 보고서 7·8절). 보안 기록에는 계정·설정·취약점 정보가 들어 있어 유출되면 그 자체가 사고입니다. 고객 자료를 외부 AI 서비스에 보낼지, 국내 또는 고객 환경 안에서만 처리할지를 상품 설계 첫 단계에서 정해야 합니다.
• 참고할 기준. 금융보안원이 2026년 10월 초 발표한 「금융분야 AI 에이전트 보안 평가기준」(안)은 도구 권한 제어, 사람 승인 체계, 강제 정지 장치 등을 점검 항목으로 듭니다. 금융권 대상 기준이지만, 우리 운영 도우미를 설계할 때 점검표로 쓸 만합니다. 원문(보도자료, 최종 기준은 미공개)

붙임 5. 조직은 어떻게 바뀌는가

• 가장 큰 숫자는 ‘담당 한 사람이 맡는 고객 수’입니다. 중소기업 한 곳에서 받는 돈은 작습니다. 사람이 고객 수만큼 늘어나면 손익이 맞지 않으므로, AI와 기록 창고가 그 수를 얼마나 늘려 주는지가 사업 성립의 조건입니다. 영상에서 ‘절약한 시간’이 아니라 손익을 지표로 삼는다고 한 것(영상 보고서 5절)과 같은 기준입니다.
• 지금 하는 과제가 밑바탕이 됩니다. 점검 스크립트를 AI가 제작·시험하고 사람이 승인하는 체계, 한 사람이 장비 한 대로 기술 진단을 끝내는 진단 자동화, 공수·견적 산정 체계는 모두 붙임 3의 핵심 항목 ③(업데이트·취약점 관리)과 ‘담당 한 사람이 맡는 고객 수’를 늘리는 데 그대로 쓰입니다. 새로 필요한 것은 구축·운영 역량과 제휴 제품, 고객 통로입니다.
• 진단하는 쪽과 파는 쪽의 이해 충돌. 진단한 조직이 곧바로 제품을 파는 구조는 진단의 객관성을 의심받을 수 있습니다. 진단 기준과 결과를 고객에게 그대로 공개하고, 제품 선택지는 둘 이상 제시하는 원칙을 처음부터 정해 둘 것을 권합니다.
• 우리가 운영하는 곳을 우리가 점검하는 문제. 금융회사의 의뢰로 그 협력사를 점검하는데, 그 협력사의 보안을 우리가 운영하고 있다면 자기 점검이 됩니다. 운영 고객과 점검 대상이 겹칠 때는 점검을 맡지 않거나 다른 조가 맡는다는 원칙이 필요합니다.

붙임 6. 수익 구조(안)

붙임 7. 단계별 추진(안)

1. 준비 1 — 2026년 11~12월. 이 기간에는 같은 인력의 점검 스크립트 관리 과제 마감(12월)이 겹치므로 일을 줄입니다. 임원이 판단 기준을 글로 정하고(받을 고객, 책임 범위, AI가 승인 없이 할 수 있는 일), 핵심 묶음의 구성을 정하고, 실제 인건비로 손익을 어림해 관문 통과 기준 숫자를 정하는 데까지만 합니다.
2. 준비 2 — 2027년 1~2월. 제휴할 국내 제품을 항목별로 두세 개씩 추리고, 약관 초안을 만들고, 시범 고객 3~5곳을 찾습니다. 2027년 지원사업 공급기업 공모가 2026년처럼 4~5월에 열린다면(미확인 가정) 연합체 참여 여부도 이때, 시범 수치 없이 판단해야 합니다.
3. 시범 — 2027년 3~8월. 시범 고객에 ‘수준 진단 → 구축 → 월 운영’을 실제로 돌립니다. 고객사 기록 창고와 운영 도우미를 가장 작은 형태로 만들고, 붙임 5의 지표를 처음부터 잽니다.
4. 관문 판단 — 2027년 3분기. 아래 네 가지를 미리 정한 통과 기준에 비춰 보고 넓힐지, 고칠지, 접을지 정합니다. ① 담당 한 사람이 맡을 수 있는 고객 수 ② 고객당 손익 ③ 시범 고객이 돈을 내고 계속 쓰겠다는지 ④ AI 판정의 놓침·잘못 잡음 실측치. 고객 3~5곳, 여섯 달로는 믿을 만한 통계가 나오지 않으므로, 이 판단은 방향을 확인하는 수준입니다.
5. 확대 — 2027년 4분기 이후. 관문을 넘으면 시범을 맡던 작은 조(겸임)를 전담 조로 바꾸고 묶음 통로(제휴·협회·보험)를 넓힙니다. 넘지 못하면 얻은 것(기록 창고, 운영 도우미, 줄인 점검 기준)을 기존 진단 사업의 생산성 도구로 돌립니다.

시기는 현재 추진 중인 과제의 계획(점검 스크립트 관리 2026년 12월, 진단 자동화 시험판 2027년 상반기)에 맞춰 잡은 제안입니다.

붙임 8. 위험과 먼저 풀어야 할 것

붙임 9. 임원이 물으실 텐데 아직 답하지 못한 것

붙임 10. 임원께 여쭙는 결정(안)

• ① 방향. 기존 진단 사업을 유지하면서 중소기업 대상 ‘핵심 보안 묶음 + AI 운영’ 시범을 시작할지.
• ② 범위. 운영 대행까지 할지, 구축과 자문까지만 할지(붙임 머리의 ‘의뢰를 이렇게 풀었습니다’ 참고).
• ③ 대상. 어떤 중소기업부터 볼지(지역, 업종, 규모). 금융권 협력사·위탁사처럼 기존 고객과 이어지는 곳부터 시작하는 안도 있으나, 그 경우 우리가 운영하는 곳을 우리가 점검하게 되는 문제(붙임 5)를 먼저 풀어야 합니다.
• ④ 통로. 정부 지원사업 연합체 참여, 업무 프로그램 사업자 제휴, 보험사 제휴 가운데 무엇을 먼저 두드릴지.
• ⑤ 책임 범위. 운영 대행에서 우리가 지는 책임의 한도와, 고객 자료를 외부 AI 서비스로 처리해도 되는지.
• ⑥ 사람과 기간. 준비 단계(2026년 11월~2027년 2월)에 누구를 얼마나 쓸지, 관문 판단 시점과 통과 기준을 어떻게 둘지.

붙임 11. 근거 자료

• 확인하지 못한 것. 정보보호 정책·예산·전담 인력 보유율의 기업 규모별 수치, 국내 구독형 보안 상품의 요금, 지원사업 공급가의 적용 기간, 보안 서비스의 성과 배분 계약 사례, 보안 서비스 시장 규모(조사 기관마다 차이가 커서 넣지 않았습니다), 2027년 지원사업의 일정과 조건, 「개인정보의 안전성 확보조치 기준」의 조문별 내용.
• 검토. 붙임은 작성자가 아닌 검토자가 근거 주소를 다시 열어 대조했고, 그 지적(보증 제외 대상 오기, 통계 해석의 과장, 지원사업 단서 누락, 일정 무리 등)을 반영한 판입니다. 반영한 뒤의 판은 다시 검토받지 않았습니다.
• 우리 조직에 대한 서술. ‘지금’ 칸과 추진 중인 과제는 작성자가 아는 범위에서 적었습니다. 실제 인력·매출 구성은 반영하지 못했으므로 임원 검토에서 바로잡아 주시기 바랍니다.