해커 커뮤니터서 활동했던 고등학생 코스닥 CEO 됐다…

김기홍 샌즈랩 대표 “구독모델로 사이버보안업계 ‘넷플릭스’ 목표”

국내 사이버보안업계는 ‘따상(상장 첫날 공모가 대비 두 배의 상한가에 도달)’과는 거리가 먼 곳이었다. 시장 규모가 절대적으로 작기 때문이다. 한국정보보호산업협회(KISIA)에 따르면, 2020년 국내 사이버보안 시장 매출액은 3조9214억원으로 글로벌 시장 매출(171조1601억원)의 3%에도 못 미친다.

사이버보안업체 대표주자격인 안랩은 정치 테마주로 분류된다. 사이버보안 사업의 성장성을 강조했던 SK쉴더스 역시 기업공개(IPO)에 실패하고 해외 사모펀드에 팔려 ‘보안 대장주’를 기대했던 시장에 아쉬움을 남겼다. SK쉴더스가 IPO를 포기하면서 한싹, ICTK홀딩스 등 주요 보안업체 역시 IPO를 미뤘다.

2004년 설립된 보안 스타트업 샌즈랩은 국내 보안시장에 최근 IPO로 혜성처럼 등장했다. 지난달 15일 코스닥에 입성한 이 회사는 직원수가 40명 이하지만 장중 따상을 기록하며 투자자와 업계의 관심을 모았다. 2021년 매출 54억원, 영업이익 4억8900만원을 기록한 샌즈랩은 2025년까지 매출 309억원, 영업이익 139억400만원 달성에 도전한다.

샌즈랩은 랜섬웨어 등 각종 사이버보안 위협 데이터를 수집, 보안분석가가 보기 쉽게 분석해주는 CTI 서비스를 제공한다. 자동화된 AI가 다크웹 등 온라인에 산재한 방대한 데이터를 수집해 어느 국가에서, 어떤 수법으로 해킹 시도를 하고 있는지 분석한다.

샌즈랩은 고등학생 때부터 해커 커뮤니티에서 활동했던 당시 연세대 컴퓨터공학과 1학년 김기홍 대표가 2003년 교내 학생 벤처로 창업해 2004년 법인으로 전환했다. 지난 9일 서울 역삼동 사무실에서 만난 김 대표는 이력서 한 장 써본 적이 없고 회사 키우기에만 매진하는 ‘해커 너드’였다며 웃었다. 그는 “백신 등 솔루션을 팔고 유지보수 비용을 받으며 수익을 내는 방식이 국내 보안업계에서 흔하다”라며 “이 경우 안정적이지만 폭발적인 성장은 어렵기에 AI 기술을 기반으로 무한 확장할 수 있는 플랫폼을 만들고 성장하고자 IPO까지 나섰다”라고 했다. 다음은 김 대표와의 일문일답.

ㅡ기존에 다수의 사이버보안업체가 상장했지만 높은 시장가치를 평가받지 못했고, 보안 스타트업 중 상장을 엄두도 내지 못하는 곳이 많다. 이유가 무엇일까.

“국내 보안시장의 규모가 작고 열악한 것도 아쉽지만 더 근본적인 문제가 있다. 보안업계 자체가 기본적으로 하나의 솔루션을 만들어 공공시장 등에 납품하고 적은 유지보수 비용을 벌어들이는 식으로 수익구조가 굳어져 버렸다. 가늘고 길게 일정한 수입원을 유지하기엔 좋지만 크게 성장하기엔 매우 불리한 구조다. 솔루션을 계속 더 많이 판매하기 위해 사람을 더 뽑아야 하는데, 이는 비용이 많이 발생하며 유지보수로 얻는 수익도 적다. 백신 등 하나의 솔루션에만 기대게 된 업계가 시장의 성장을 저해하고 있는 것이다.

ㅡ수익구조 말고는 어떤 문제가 있을까.

“전반적인 스타트업의 문제이기도 하지만 특정인의 역량에 회사가 너무 의존하는 경우가 많다. 예컨대 이름이 업계에 널리 알려진 특출난 한 해커에 의존하는 경우처럼 말이다. 그러나 회사가 IPO를 하고 더 성장하려면 특정인에게 역량이 집중될 것이 아니라 경쟁력 있는 서비스를 만들 수 있는 시스템을 구축해야 한다. 조직과 체계가 그 회사의 가치를 만들어내는데 샌즈랩처럼 학생이 만든 스타트업 등은 초기 조직 운영에서 어려움을 많이 겪는다.”

ㅡ이러한 문제를 샌즈랩은 어떻게 극복했나.

“수익구조의 경우 기존 보안업계에서 잘 시도하지 않았던 ‘구독경제’를 도입했다. 보안 관련 유용한 정보를 AI가 정리해주는 샌즈랩의 멀웨어즈닷컴 이용자는 월단위로 계약해 구독하게 된다. 백신 서비스처럼 한번에 솔루션을 팔아서 유지보수하는 것이 아니라 마치 넷플릭스를 월 단위로 구독하듯이 정보를 얻기 위해 연 단위로 계약하는 것이다. 플랫폼이 커지면 커질수록 자동화된 AI가 더 많은 데이터를 수집하고 고도화되면서 플랫폼은 정교해지고 수익은 늘어난다. 인력을 더 뽑을 필요도 없다. 안정적인 수익구조를 만들 수 있다는 것이다.”

ㅡ스타트업의 한계를 넘어 체계를 구축하는 문제는 어떻게 해결했나.

“더 규모가 크고 체계를 갖춘 조직과 한 팀으로 움직이며 노하우를 터득하는 방법을 택했다. 국내 보안 솔루션 전문기업 케이사인에 2017년 자회사로 편입됐다. 학생끼리 만들었던 작은 기업이었으나 큰 회사에 편입되면서 체계를 갖추기 시작했다.

당시 5곳 정도의 보안업체에서 샌즈랩을 인수하고자 했는데 그중 큰 금액을 제시하는 곳도 있었다. 대표 개인으로는 좋은 조건을 수락해 일을 하지 않아도 되는 수준이었다. 그러나 케이사인은 샌즈랩을 더 키워 ‘상장까지 하자’라는 비전을 제시했다. 그래서 미래를 고려해 케이사인을 선택했다.”

ㅡ미래 가치로 지금의 가치를 인정받는 것이 기술특례상장이다. 샌즈랩이 안랩 등 규모가 큰 회사에 준하는 가치를 인정받으면서 아직 실체는 없는데 허황한 평가 아니냐는 논란도 있었다. 어떻게 생각하나.

“기술로 증명할 수밖에 없다. ‘챗GPT’에 모두가 관심을 가지고 있지 않나. 우리도 결국 본질은 같다. 챗GPT는 사람들이 질문을 던지면 방대한 데이터를 기반으로 누구나 이해하기 쉬운 언어로 답변을 준다. 샌즈랩의 AI는 보안담당자가 질문을 던질만한 내용과 관련 데이터를 수집해 이해하기 쉬운 방식으로 정보를 제공한다. 우리가 샌즈랩의 AI에 던지는 질문은 ‘이 임의의 파일이 악성인가’ 등이고 AI는 ‘악성이다 정상이다’, 악성일 경우 ‘공격 기법은 무엇인지 어떤 파일 유형으로 하는지’ 등 답변을 제시한다. 챗GPT가 사람들에게 혁신을 가져온 것처럼 우리의 AI는 보안담당자의 일을 획기적으로 줄여주며 변화를 일으킬 것이다.”

ㅡ현재 AI는 어느 정도 수준까지 구현됐나.

“보안전문가가 알아야 할 모든 사이버상 위협 정보는 다 제공할 수 있다. 정보는 모두 제공 가능하고 아직 미숙한 부분은 ‘의무부여’다. 인과관계에 대한 학습데이터가 아직 부족하기 때문이다. 예컨대 기본적인 정보를 나열하고 현상을 정리하는 기사는 AI도 충분히 쓸 수 있다. 그러나 그 정보로부터 어떤 인사이트를 도출하는 것은 인간이 더 잘할 수 있지 않나. 샌즈랩의 AI도 그렇다.

샌즈랩의 목표는 챗GPT처럼 범용성을 띤 형태로, 보안전문가가 아닌 일반인도 이해할 수 있는 수준으로 AI를 발전시키는 것이다.”