보안관제란? 자체 운영·위탁 관제가 갈리는 지점

보안관제는 방화벽·EDR 같은 보안 장비가 올리는 이벤트를 사람이 상시로 지켜보고, 실제 위협인지 판단해 대응까지 잇는 운영 활동입니다. 장비를 사는 일과는 확보 방법도 비용 구조도 다릅니다.

보안관제란 무엇을 하는 일인가

보안관제는 조직의 정보 자산에서 발생하는 로그와 이벤트를 한곳에 모아 상시로 감시하고, 침해 시도로 판단되는 신호를 가려내 대응 절차로 넘기는 운영 체계를 뜻합니다. 영문으로는 이 기능을 수행하는 조직을 SOC(Security Operations Center)라고 부르며, 국내에서는 보안관제 또는 보안 모니터링이라는 말이 같은 뜻으로 쓰입니다.

관제가 실제로 수행하는 일은 네 단계로 나뉩니다. 첫째는 수집입니다. 방화벽·서버·네트워크 장비·단말·클라우드 서비스가 남기는 로그를 한 저장소로 모읍니다. 둘째는 탐지입니다. 모아둔 로그에 규칙과 임계치를 적용해 의심스러운 패턴을 골라냅니다. 셋째는 분석과 판단입니다. 걸러진 이벤트가 실제 공격인지 정상 업무인지를 사람이 확인합니다. 넷째는 대응입니다. 위협으로 확정되면 차단·격리·통보 가운데 정해진 조치를 실행합니다.

이 네 단계 가운데 자동화가 대신할 수 있는 구간은 수집과 탐지까지입니다. 판단과 대응은 업무 맥락을 아는 사람이 개입해야 하는 구간이라, 관제 수요는 대개 도구가 부족해서가 아니라 그 도구가 올리는 알람을 볼 사람이 없어서 생깁니다. 보안 장비를 이미 도입한 조직이 "장비는 들여놨는데 경고창을 아무도 확인하지 않는다"는 상태에 도달하는 지점이 관제 검토의 실제 출발점입니다.

또 하나의 특징은 상시성입니다. 공격은 업무 시간에 맞춰 발생하지 않고, 오히려 대응 인력이 자리를 비우는 야간과 연휴에 시도가 몰릴 수 있습니다. 그래서 관제는 기능의 문제가 아니라 24시간 365일 동안 사람이 자리를 지키는 운영의 문제로 정의됩니다.

방화벽·EDR과 보안관제가 갈리는 지점

보안 예산을 논의할 때 자주 뒤섞이는 세 가지가 있습니다. 보안 솔루션, 보안관제, 침해사고 대응입니다. 셋은 대체재가 아니라 서로 다른 층에 있으며, 하나를 갖췄다고 다른 하나가 채워지지 않습니다. 아래 표는 세 가지를 같은 축에 놓고 비교한 것입니다.

표를 세로로 읽으면 관제 예산이 왜 별도로 잡히는지가 드러납니다. 보안 솔루션 항목은 구매하면 자산으로 남지만, 관제 항목은 사람이 자리를 지키는 시간을 사는 계약이라 도입 첫해와 이듬해의 비용이 거의 같습니다. 반대로 관제만 있고 탐지할 장비가 없으면 모을 로그 자체가 없습니다. 그래서 두 층은 순서의 문제이지 선택의 문제가 아닙니다.

탐지 기능을 담당하는 제품을 아직 고르는 단계라면 그 판단은 이 글의 범위 밖입니다. 단말에서 발생하는 위협을 잡는 제품군의 선택 기준은 EDR 솔루션 비교에서, 네트워크 경계를 지키는 장비의 유형 구분은 기업용 방화벽 종류 가이드에서 따로 다룹니다. 관제는 그 제품들을 이미 갖췄다는 전제에서 "그 알람을 누가 보는가"를 정하는 단계입니다.

관제를 확보하는 세 가지 방식

알람을 볼 사람을 확보하는 방법은 크게 세 가지입니다. 사내에 전담 조직을 두는 자체 운영, 관제 전문 기업에 감시를 맡기는 위탁 관제, 탐지 도구와 분석 인력을 묶어 서비스로 제공받는 탐지대응 서비스입니다. 업계에서는 각각 사내 SOC, MSSP(Managed Security Service Provider), MDR(Managed Detection and Response)이라는 표기를 씁니다.

세 방식을 가르는 첫 번째 현실적 변수는 인력 산술입니다. 한 주는 168시간이고, 근로기준법 제50조가 정한 1주 근로시간 상한은 40시간입니다. 감시 자리 하나를 휴일 없이 24시간 메우려면 산술상 주 168시간을 법정 근로시간 주 40시간(근로기준법 제50조)으로 나눈 4.2명분, 즉 휴가와 교육 시간을 빼면 일반적으로 다섯 명 안팎의 인원이 그 자리 하나에 필요한 것으로 봅니다. 자체 운영이 대기업과 공공기관 중심으로 형성돼 있는 이유가 여기에 있습니다. 중소·중견 조직에서 자체 운영을 검토한다면, 24시간 전면 감시 대신 업무 시간만 자체로 보고 야간·휴일만 외부에 넘기는 혼합 형태가 현실적인 선택지가 됩니다.

두 번째 변수는 비용이 무엇에 연동되는가입니다. 위탁 관제는 대체로 수집하는 로그의 양과 감시 대상 장비 대수, 감시 시간대에 따라 견적이 움직입니다. 탐지대응 서비스는 보호 대상 단말과 서버의 수를 단위로 삼는 경우가 많습니다. 같은 조직이라도 서버는 적은데 단말이 많으면 두 방식의 견적 순서가 뒤바뀔 수 있으므로, 비교할 때는 금액이 아니라 무엇을 세어 값을 매기는지를 먼저 맞춰야 합니다.

계약서에서 갈리는 것은 탐지까지인가 대응까지인가

관제 계약에서 가장 늦게 발견되고 가장 크게 갈리는 항목은 서비스 범위가 탐지에서 끝나는지 대응까지 포함하는지입니다. 탐지·통보형 계약은 위협으로 판단된 이벤트를 정해진 경로로 알리는 데까지가 의무입니다. 알림을 받은 뒤 서버를 격리하고 계정을 잠그는 일은 고객사 담당자의 몫입니다. 대응 위임형 계약은 사전에 합의한 범위 안에서 서비스 제공자가 직접 조치를 실행합니다.

이 구분이 중요한 이유는 야간에 드러납니다. 새벽 3시에 통보를 받아도 그 시각에 조치할 사람이 사내에 없다면, 탐지·통보형 계약의 실질 효과는 아침에 읽는 보고서와 크게 다르지 않습니다. 반대로 대응 위임형은 외부 인력이 우리 시스템을 멈출 수 있다는 뜻이므로, 어떤 자산까지 손댈 수 있고 어떤 자산은 반드시 승인을 받아야 하는지를 계약 시점에 문서로 남겨야 합니다.

범위 외에 계약서에서 함께 확인할 항목은 다음과 같습니다.

• 통보 기준 시간 — 위협 확정부터 담당자 연락까지 몇 분 이내인지, 그 시계가 야간·휴일에도 같은지
• 통보 경로 — 메일만인지 유선 연락이 포함되는지, 1차 수신자가 응답하지 않을 때의 다음 순번이 정해져 있는지
• 오탐 처리 절차 — 정상 업무가 반복해서 위협으로 잡힐 때 규칙을 조정하는 주체와 소요 기간
• 보고 주기와 형식 — 월간 보고서에 담기는 항목이 이벤트 건수인지, 조치 결과와 개선 권고까지인지
• 감시 대상 목록의 변경 절차 — 서버나 클라우드 자원이 늘었을 때 추가 비용과 반영 시점

어떤 로그를 넘길지도 같은 자리에서 정해집니다. 방화벽과 서버 로그는 기본으로 들어가지만, 문서 반출 이력이나 계정 권한 변경 이력까지 포함할지는 조직마다 다릅니다. 데이터 반출 통제 도구가 남기는 기록을 감시 대상에 넣을지는 DLP 솔루션 가이드에서 다루는 통제 범위와 함께 결정해야 하고, 계정 이상 행위를 탐지 대상으로 삼으려면 계정·접근 관리(IAM) 가이드 수준의 권한 체계가 먼저 정리돼 있어야 합니다. 권한 부여와 회수 이력이 정돈되지 않은 상태에서는 비정상 로그인을 가려낼 기준선 자체가 서지 않습니다.

규정·인증이 요구하는 관제 수준

관제 도입이 예산 심의를 통과하는 계기는 사고보다 규정 대응인 경우가 많습니다. 다만 법령이 "보안관제를 도입하라"고 직접 명시하지는 않습니다. 법령이 요구하는 것은 로그를 남기고 정기적으로 점검하라는 의무이고, 관제는 그 의무를 이행하는 수단 가운데 하나입니다. 그래서 확인해야 할 질문은 "관제가 의무인가"가 아니라 "우리에게 적용되는 점검 의무를 지금 누가 어떻게 이행하고 있는가"입니다.

가장 넓게 적용되는 근거는 개인정보를 처리하는 조직에 적용되는 접속기록 규정입니다. 개인정보의 안전성 확보조치 기준 제8조는 개인정보처리시스템 접속기록을 1년 이상 보관·관리하도록 하고, 5만 명 이상의 정보주체에 관한 개인정보를 처리하거나 고유식별정보·민감정보를 처리하는 시스템이라면 2년 이상으로 정하고 있습니다. 같은 조 제2항(개인정보의 안전성 확보조치 기준 제8조 제2항)은 그 접속기록 등을 월 1회 이상 점검하도록 요구합니다. 즉 로그를 쌓아두기만 하는 상태는 규정이 요구하는 수준이 아니며, 점검 주체와 주기가 기록으로 남아야 합니다.

인증 축에서는 ISMS-P가 기준점이 됩니다. 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시가 정한 인증기준 가운데 로그 및 접속기록 점검 항목은 검토 주기·대상·방법을 포함한 절차를 수립해 주기적으로 이행하도록 하고, 이상행위 분석 및 모니터링 항목은 정보시스템·보안시스템·네트워크 장비에서 발생한 트래픽과 이벤트 로그를 수집해 분석·모니터링하며 판단 기준과 임계치를 정의하도록 합니다. 관제 서비스를 검토할 때 이 두 항목의 요구 사항을 견적서 항목과 나란히 놓아 보면, 계약이 인증 준비까지 덮는지 아니면 로그 수집까지만 덮는지가 드러납니다.

인증 취득 자체가 법적 의무인 경우도 있습니다. 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조 제2항은 일정 요건에 해당하는 정보통신서비스 제공자에게 정보보호 관리체계 인증을 의무화하고 있으며, 그 기준에는 전년도 매출액 또는 세입이 1,500억 원 이상인 경우, 정보통신서비스 부문 전년도 매출액이 100억 원 이상인 경우, 3개월간 일일 평균 이용자 수가 100만 명 이상인 경우가 포함됩니다. 다만 세부 요건은 대통령령에 위임돼 있고 업종별 예외가 있으므로, 우리 조직이 의무 대상인지는 조문과 시행령을 직접 대조해 확인해야 할 사항입니다. 의무 대상이 아니라면 인증은 선택이지만, 접속기록 점검 의무는 그와 무관하게 개인정보를 처리하는 시점부터 적용됩니다.

도입 전 우리 회사에서 먼저 확인할 것

견적을 받기 전에 사내에서 먼저 답을 정해두면 방식 선택과 계약 범위가 빠르게 좁혀집니다. 아래 여섯 가지는 관제 서비스 제공자가 첫 미팅에서 되묻는 항목과 대체로 일치합니다.

• 수집 대상 로그 소스가 몇 개인가 — 방화벽·서버·단말·클라우드 서비스를 각각 세어 목록으로 만듭니다. 이 숫자가 위탁 관제 견적의 기준 단위가 됩니다.
• 야간과 휴일에 알람을 볼 사람이 있는가 — 없다면 탐지·통보형 계약의 실효가 떨어지므로 대응 위임 범위를 함께 설계해야 합니다.
• 대응까지 위임할 것인가, 탐지 통보까지인가 — 위임한다면 외부가 조치할 수 있는 자산과 반드시 승인을 받아야 하는 자산을 미리 나눕니다.
• 기존 장비·클라우드와 연동되는가 — 이미 쓰는 보안 장비의 로그 형식이 지원 목록에 있는지, 클라우드 환경의 감사 로그를 수집할 수 있는지 확인합니다.
• 적용되는 규정과 인증 요구가 무엇인가 — 접속기록 보관 기간과 점검 주기 의무를 현재 누가 이행하고 있는지 먼저 확인합니다.
• 사업장·지점이 여럿이면 통합 모니터링 범위는 어디까지인가 — 지점별 네트워크와 로그를 한 계약으로 볼 수 있는지, 사업장이 늘어날 때의 추가 조건이 무엇인지 계약 시점에 정합니다.

여섯 항목의 답을 적어두면 방식은 대체로 저절로 좁혀집니다. 인력을 직접 보유할 조건이 되지 않고 야간 대응 주체도 없다면 대응 위임이 가능한 방식이 남고, 로그 소스가 많고 규정 대응 보고서가 필요하다면 로그량 기준 계약이 맞습니다. 임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 위협 탐지·대응 솔루션을 연결합니다.

한편 앞의 목록을 적다가 감시할 로그를 만들어낼 장비 자체가 부족하다는 사실이 드러나기도 합니다. 그렇다면 순서는 관제 계약이 아니라 탐지 도구 선정이 먼저입니다. 단말에서 발생하는 위협을 어떤 제품군으로 잡을지 정하는 단계는 EDR 솔루션 비교에서 기준별로 정리했습니다. 도구 선정과 운영 확보는 다른 단계이지만 견적 시점은 겹치므로, 두 축의 예산을 함께 놓고 보는 편이 낫습니다.

다른 영역이기는 하지만 선택 과정 자체가 어떻게 진행되는지는 근태·휴가 관리 솔루션을 매칭으로 선정한 사례에서 볼 수 있습니다. 업종과 솔루션 영역은 다르지만, 요구 조건을 목록으로 정리한 뒤 후보를 좁혀간 순서는 관제 검토에도 그대로 적용됩니다.

자주 묻는 질문

필요 여부는 장비 보유가 아니라 그 장비가 올리는 경고를 누가 언제 보는지로 갈립니다. 방화벽과 백신은 알려진 패턴을 자동으로 막지만, 차단 규칙에 걸리지 않은 채 정상 접속처럼 보이는 시도는 사람이 로그를 놓고 판단해야 걸러집니다. 사내에 그 판단을 상시로 수행할 인력이 있고 점검 이력이 기록으로 남고 있다면 별도 계약 없이도 관제 기능은 충족된 상태입니다. 반대로 경고 메일이 쌓이기만 하고 열어보는 주기가 정해져 있지 않다면, 장비 추가보다 감시 주체를 정하는 편이 먼저입니다.

과금 단위와 대응 권한에서 갈립니다. 위탁 관제는 수집하는 로그의 양과 감시 대상 장비를 기준으로 값이 매겨지고, 서비스 범위가 위협 통보에서 끝나는 계약이 상대적으로 많습니다. 탐지대응 서비스는 보호할 단말과 서버 수를 단위로 삼고, 사전에 합의한 범위 안에서 격리·차단 같은 조치를 서비스 제공자가 직접 실행하는 형태를 포함합니다. 서버가 적고 단말이 많은 조직과 그 반대인 조직에서 견적 순서가 달라지므로, 두 방식을 비교할 때는 금액보다 무엇을 세어 값을 매기는지를 먼저 맞추는 편이 정확합니다.

금액을 움직이는 변수는 대체로 네 가지입니다. 수집하는 로그의 양, 감시 대상 장비와 단말의 수, 감시 시간대가 업무 시간인지 24시간 전면인지, 그리고 서비스 범위가 통보까지인지 대응까지인지입니다. 같은 조직이라도 이 네 변수의 조합에 따라 견적이 크게 달라지므로, 여러 제공자를 비교할 때는 네 항목의 전제를 동일하게 맞춘 조건표를 만들어 같은 기준으로 받아보는 편이 비교 가능한 값이 나옵니다.

규모보다 노출된 자산과 적용되는 규정이 기준이 됩니다. 외부에 공개된 서비스가 없고 개인정보 처리량도 적다면 업무 시간 감시로 시작해 범위를 넓히는 방식이 무리가 없습니다. 반면 온라인으로 고객 데이터를 다루거나 24시간 운영되는 시스템이 있다면 야간에 비어 있는 시간대가 곧 위험 구간이 됩니다. 자체 인력으로 24시간을 메우려면 감시 자리 하나에 일반적으로 다섯 명 안팎이 필요하다는 산술이 나오므로, 중소·중견 조직에서는 야간과 휴일만 외부에 넘기는 혼합 형태가 자주 검토됩니다.

넘어가지 않습니다. 개인정보를 처리하는 주체로서의 법적 책임은 위탁 여부와 관계없이 조직에 남고, 서비스 제공자가 지는 것은 계약에 명시된 범위의 의무입니다. 그래서 계약서에서 확인할 항목은 책임의 이전이 아니라 의무의 경계입니다. 통보 기준 시간, 대응 가능한 자산 범위, 미이행 시 처리 방식이 문서에 적혀 있는지를 보고, 위탁하더라도 점검 이력과 보고서를 조직이 직접 보관하는 절차를 함께 마련해야 합니다.

보안관제는 도구를 하나 더 사는 결정이 아니라 24시간 운영을 어떻게 메울지 정하는 결정입니다. 자산 목록과 야간 대응 주체, 적용 규정을 먼저 정리한 다음 보안·원격접속·VPN 솔루션 목록에서 우리 조건에 닿는 후보를 좁혀갈 수 있고, 위협 탐지·대응 영역의 세부 유형은 위협 탐지·대응(TDR) 솔루션 페이지에서 확인할 수 있습니다. 임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 위협 탐지·대응 솔루션을 연결합니다.