[그게 뭔가요] 보안 기술 도입 효과, 돈으로 따져보는 ‘RoM’
“작년에 보안에 이렇게 많이 투자했는데 우리가 얻은 게 뭡니까? 숫자로 보여줄 수 있나요?”
한 기업의 최고경영자(CEO)가 최고정보보호책임자(CISO)에게 이런 질문을 던졌다고 가정해보자.
이 질문에 CISO가 선뜻 답하기란 쉽지 않을 것이다. 기업의 보안 조직은 취약점 조치율이나 사고 발생 건수, 탐지·대응 시간 등 여러 지표로 보안 수준과 활동 성과를 측정한다. 하지만 이런 지표만으로 보안 투자로 기업이 입을 수 있었던 손실을 얼마나 줄였는지 금액으로 보여주기는 어렵다.
이유는 보안 투자의 성과가 상당 부분 ‘사고가 발생하지 않는 것’으로 나타나기 때문이다. 공장을 자동화해 생산량이 늘거나 광고비를 투입해 상품 매출을 증가시키는 것과 달리, 보안은 직접적인 수익보다 사고 가능성과 피해를 줄이는 데 목적이 있다. 사고가 발생하지 않았다면 실제로 얼마의 손실을 막았는지도 확인하기 어렵다.
일반적인 기업 투자는 ‘투자수익률(Return on Investment·ROI)’을 통해 투자한 비용에 비해 얼마의 수익을 얻었는지를 따진다. 반면 보안은 이런 방식만으로 투자 효과를 설명하기 어렵다. 이때 ‘얼마를 벌었느냐’가 아니라 ‘얼마의 예상 손실을 줄였느냐’를 따져보는 개념이 ‘완화 효과(Return on Mitigation·RoM)’다.
RoM은 최근 생긴 개념은 아니다. 위험관리 분야에서 이전부터 논의돼 왔으며, 2016년 출간된 ‘How to Measure Anything in Cybersecurity Risk’에서도 보안 조치로 줄이는 위험과 비용을 비교하는 방식으로 소개됐다.
이 RoM 개념을 솔루션에 적극적으로 활용하는 기업으로는 버그바운티 기업 ‘해커원(HackerOne)’이 있다. 해커원은 RoM을 자사 보안 프로그램의 효과를 측정하는 방식으로 구체화했다.
해커원은 지난해 RoM 프레임워크를 공개한 데 이어 현재 에이치원 플랫폼(H1 Platform)의 대시보드에서 취약점을 해결해 줄인 것으로 추정되는 손실과 실제 프로그램 투자비를 비교해 보여주고 있다.
‘사고가 났다면 얼마였을까’를 계산
해커원의 RoM 계산은 크게 ‘예상되는 손실’과 ‘실제로 쓴 비용’을 비교하는 구조다.
먼저 특정 사고가 한 번 발생했을 때 기업이 입을 것으로 예상되는 금전적 피해인 ‘단일 손실 예상액(Single Loss Expectancy·SLE)’을 정한다. 여기에 해당 사고가 1년 동안 발생할 것으로 예상되는 빈도인 ‘연간 발생률(Annual Rate of Occurrence·ARO)’과 발견한 취약점 수를 곱해 연간 예상 손실 감소액을 산출한다.
RoM = (연간 예상 손실 감소액 – 투자비) ÷ 투자비 × 100
연간 예산 손실 감소액 = 단일 손실 예상액(SLE) × 연간 예상 발생률(ARO) × 발견된 취약점 수
해커원이 공개한 계산식은 ‘연간 예상 손실 감소액에서 투자비를 뺀 금액’을 다시 투자비로 나누는 방식이다. 투자비에는 해커원 플랫폼 이용료와 버그바운티 포상금 등이 포함된다.
쉽게 말하면 “이 취약점을 그대로 뒀다면 얼마의 피해가 발생할 가능성이 있었고, 이를 찾아 고치는 데 얼마를 썼는가”를 비교하는 것이다. 취약점을 몇 건 발견했는지에 그치지 않고, 이를 해결하면서 줄였다고 보는 위험을 금액으로 바꿔보는 셈이다.
해커원은 SLE의 기본값을 IBM이 발간하는 ‘데이터 유출 비용(Cost of a Data Breach)’ 보고서를 토대로 정한다. 기업은 자신의 산업과 매출 규모 등에 따라 이 값을 조정할 수 있다. 반면 ARO의 기본값은 버라이즌의 ‘데이터 침해 조사 보고서(Data Breach Investigations Report·DBIR)’를 이용하며, 개별 취약점의 CVSS·CVE 정보와 해커원의 산업별 기준도 함께 반영하고 있다. IBM과 포네몬연구소(Ponemon Institute)가 올해 발표한 ‘2026 데이터 유출 비용 보고서’에 따르면 전 세계 데이터 유출 사고 한 건의 평균 비용은 499만달러로 전년보다 12% 증가했다. 탐지·대응 비용과 사업 손실 등이 증가한 영향이다.
이제 예를 들어 한 번 계산해보자. 한 기업에서 발견된 취약점이 실제 침해사고로 이어질 경우 예상 피해액(SLE)을 10억원, 해당 사고가 1년 안에 발생할 가능성(ARO)을 20%, 발견된 취약점 수를 1개로 잡았다고 가정해보자. 이 경우 해당 취약점을 방치했을 때의 연간 예상 손실은 2억원이다.
만약 이 취약점을 발견하고 대응하는 보안 프로그램에 5000만원을 투입했다면, 해커원의 계산식에 따른 RoM은 (2억원-5000만원)÷5000만원=3, 즉 300%, 3배의 효과를 냈다는 말이 된다. 실제로 1억5000만원의 수익을 냈다는 게 아니라, 5000만원을 투자해 2억원으로 추정되는 잠재적 손실을 줄였다는 것이다.
RoM = (2억원 – 5000만원[보안 투자액]) ÷ 5000만원 × 100 = 300%
다만 SLE와 ARO 모두 실제 발생한 사고의 확정값이 아니라 통계와 기업 환경을 토대로 한 추정치다. 따라서 RoM 역시 실제 수익률이라기보다 보안 투자로 줄인 위험을 금액으로 가늠하기 위한 지표로 봐야 한다.
보안 투자 효과 설명의 한 방법으로 활용 가능
RoM은 최고정보보호책임자(CISO)가 경영진에게 보안 투자 효과를 설명할 때 활용할 수 있는 지표 중 하나다.
보안 조직에서는 취약점 발견 건수와 심각도, 조치율, 대응 시간 등을 성과 지표로 활용한다. 이런 지표는 보안 활동의 수준을 보여주는 데 유용하지만, 특정 보안 투자가 기업의 사업 위험을 어느 정도 줄였는지까지 금액으로 설명하기는 쉽지 않다.
RoM은 이 부분을 보완한다. “고위험 취약점 20건을 해결했다”는 설명 뿐아니라 “이 보안 프로그램에 얼마를 투자했고, 이를 통해 어느 정도의 잠재적 손실을 줄였는가”를 수치로 함께 보여줄 수 있다. 해커원도 RoM을 이사회나 경영진에게 보안 프로그램의 재무적 효과를 설명하는 지표로 제시하고 있다. 에이치원 플랫폼의 경영진용 대시보드에는 RoM과 예상 손실 감소액, 실제 투자액 등이 포함돼 있다.
다만 RoM으로 계산한 금액은 실제로 벌어들인 수익이나 확정된 손실액은 아니다. 취약점을 방치했다고 반드시 공격으로 이어지는 것은 아니며, 실제 사고 피해도 기업의 사업과 자산에 따라 달라질 수 있다. 해커원 역시 모든 조직에 공통으로 적용되는 적정 RoM 수치는 없다고 설명하며 기업이 SLE와 ARO 등의 값을 자신의 환경에 맞게 조정하도록 하고 있다.
따라서 RoM은 기존 보안 지표를 대체하는 개념이라기보다, 보안 활동으로 줄인 위험을 재무적 관점에서 함께 보여주는 보조 지표에 가깝다. CISO가 취약점 조치율이나 대응 시간 등 다른 지표와 함께 활용하면 경영진이 보안 투자 효과를 판단하는 데 참고할 수 있다.
글. 바이라인네트워크
<곽중희 기자>god8889@byline.network
