코로나가 진행되는 기간 동안 왕성했던 M&A 활동이 크게 줄어들었다. 하지만 1년 반이 지나고 다시 발동이 걸리기 시작했다. 물론 트렌드가 조금 바뀐 측면이 있긴 있다. 시장 전문가들에게 최근 M&A 시장에서 벌어지는 일들을 해석해 달라고 부탁했다.

[보안뉴스 문가용 기자] 지난 1년 반의 시간은 보안 산업 종사자들에게 꽤나 흥미로운 때였다. 특히 M&A에 관심이 많은 사람들이라면 더 그랬을 것이다. 2019년부터 2020년 1사분기까지 보안 업계에서는 수천만 달러의 M&A가 계속해서 이뤄졌으나, 코로나로 인해 소식이 뚝 끊겼으니까 말이다. 그러다가 2021년이 시작되면서 M&A 소식이 하나 둘 추가되기 시작했다. 코로나를 겪은 후 새롭게 형성된 M&A 트렌드를 진단해 본다.


[이미지 = pixabay]

1. M&A, 아예 죽지는 않았다
코로나 기간 동안 M&A 활동이 줄어든 것은 사실이지만 아예 없었던 것은 아니다. 2020년 3월 보안 업체 소포스(Sophos)를 토마브라보(Thoma Bravo)라는 대형 사모펀드가 사들였다. 그러더니 그해 여름 토마브라보는 엑소스타(Exostar)라는 보안 업체를 인수했고, 올해 초에는 또 다른 보안 업체인 프루프포인트(Proofpoint)를 123억 달러에 인수했다. STG라는 사모펀드도 RSA와 맥아피(McAfee)의 기업 사업부, 파이어아이(FireEye)의 제품 사업부를 인수했다. 인사이트 파트너즈(Insight Partners)가 작년 아르미스(Armis)를 11억 달러에 매입하기도 했다.

보안 업계 내부에서의 인수인계도 제법 있었다. 액센추어(Accenture)는 시만텍(Symantec)의 사이버 보안 서비스 사업부를, 크라우드스트라이크(CrowdStrike)는 프리엠트 시큐리티(Preempt Security)와 휴미오(Humio)를, 시스코(Cisco)는 앞으로 켄나 시큐리티(Kenna Security)를, 스플렁크(Splunk)는 트루스타(TruSTAR)를, 임퍼바(Imperva)는 클라우드벡터(CloudVector)를, 이반티(Ivanti)는 모바일아이언(MobileIron)과 펄스 시큐어(Pulse Secure)를 인수했으니 말이다.

2. 보안 업계 M&A, 사업 전략 바뀌며 줄어들어
보안 업체 굴라 테크 어드벤처(Gula Tech Adventures)의 회장이자 창립자인 론 굴라(Ron Gula)는 “코로나 때문에 기업들의 사업 전략이 바뀌었다”며 “꼭 필요한 것과, 있으면 좋은 것들에 대한 생각들이 바뀌었다고 정리할 수 있다”고 설명한다. “원격 근무가 활성화 되면서 꼭 필요한 것들과 있어도 그만, 없어도 그만인 것들이 명확히 구분됐습니다. 사실 대부분의 IT 기술과 혁신이라는 것들의 발전 속도가 코로나를 맞아 크게 떨어진 것은, 그것들이 소문만큼 꼭 필요한 것이 아니었다는 것을 방증하는 것이라고 봅니다.”

가트너(Gartner)의 수석 분석가인 마크 해리스(Mark Harris)도 여기에 동의한다. “보안 업계 내에서도 정말 필요한 기술들은 여전히 주목을 받았고, 대형 M&A가 이뤄졌습니다. 예를 들어 원격 근무를 통해 제로트러스트라는 개념이 필수처럼 굳어지기 시작하니, 크라우드스트라이크가 제로트러스트 전문 기술을 보유한 프리엠트 시큐리티를 인수하게 된 것이죠. 거기에 더해 로그 관리 스타트업인 휴미오도 4억 달러에 사들였습니다. 꼭 필요한 것들이 무엇인지 고민해 보는 기간이 길어지니 M&A가 줄어든 것입니다.”

3. 플랫폼 구축을 위한 M&A
투자 회사 레인 캐피탈(Rain Capital)의 총괄인 첸시 왕(Chenxi Wang)은 “큰 기업들이 플랫폼 구축을 위해 보안 기업들을 사들이는 경우가 많아지고 있다”고 말한다. “대기업들은 플랫폼 기술을 통해 보안 문제를 해결하려고 합니다. 직접 관계를 맺고 있는 파트너사가 많아지면 많아질수록 ‘파트너사 관리’ 문제가 불거지기 때문이죠. 이를 최소화 하고자 하는 게 최근 대기업들의 트렌드이고, 한동안 이어질 것으로 보입니다.”

이런 트렌드를 보여주는 대표적 기업이 팔로알토 네트웍스(Palo Alto Networks)다. “2020년 초반부터 자동화 클라우드 보안 회사인 브리지크류(Bridgecrew), 공격 표면 관리 기업인 엑스펜스(Expanse), 사건 대응과 위기 관리 전문 업체인 크립시스(Crypsis), SD-WAN 전문 기업인 클라우드제닉스(CloudGenix)를 매입해 왔죠. 팔로알토는 커다란 비전을 가지고, 그걸 구성해 가고 있습니다. 그러면서 필요한 기술들을 그 때 그 때 보완하고 있죠.”

옴디아(Omdia)의 수석 분석가인 에렉 파리조(Eric Parizo)는 VM웨어의 카본 블랙(Carbon Black) 및 라스트라인(Lastline) 인수도 이 경우에 해당한다고 말한다. “카본 블랙은 엔드포인트 탐지와 대응(EDR)에 특화된 기업이고 라스트라인은 네트워크 탐지 및 대응(NDR)에 특화된 회사죠. VM웨어가 자사 플랫폼에 이 두 가지 기술을 전부 녹여낸다면 시장 반응이 꽤나 클 것으로 예상됩니다.”

4. 사모펀드 기업들, 보안 기술 기업들을 사들인다
대단히 강력하게 나타나는 트렌드 중 하나는 사모펀드가 보안 기업들에 쏟는 관심이다. 왕은 “최근 몇 년 동안 보안 업계에서 일어난 모든 굵직한 M&A에 사모펀드 회사의 이름이 같이 올라간 경우가 대단히 많다”고 말한다. “돈 버는 데 도가 튼 회사가 보안 업계에 이토록 큰 관심을 장기적으로 보인다? 보안이 돈 되는 분야라는 뜻입니다.”

가트너의 해리스는 “사모펀드의 움직임을 이해한다는 건 대단히 어려운 일”이라며 “사모펀드가 최근 몇 년 동안 보안 업체들을 인수한 것을 자산 수탈로 보기는 힘들다”고 설명한다. “보안 기업을 인수한 사모펀드들은 일종의 보안 상품을 리패키징 함으로써 자신들만의 보안 포트폴리오를 구성해 회사를 키워가려는 것이 아닐까 생각합니다.”

5. 기술에 대한 수요 높아
그렇다면 M&A 시장에서 가장 인기기 높은 보안 기술은 무엇일까? 해리스는 “아이덴티티와 아이덴티티 관리 기술이 가장 먼저 떠오른다”고 말한다. “현대의 보안은 랩톱과 모바일 장비가 아니라, 그 장비를 사용하는 사람들에 집중하고 있습니다. 그 사용자들의 크리덴셜과 계정 역시 보안의 큰 관심사죠.”

그 다음은 클라우드 기반의 데이터 분석이 꼽힌다. “보안 도구들에서 수집되는 방대한 데이터를 분석함으로써 더 나은 방어 결정을 내리는 것이 가장 이상적인 형태의 보안입니다. 하지만 데이터는 쌓여 가는데 그걸 분석해 통찰할 사람이 없어요. 이게 지금 모든 조직들이 겪고 있는 딜레마입니다. 따라서 기술에 의존할 수밖에 없는데, 그런 의미에서 클라우드 기반 데이터 분석 기술에 사람들의 관심이 쏠리고 있죠.” 해리스의 설명이다.

왕 역시 클라우드 분석 시장이 최근 대단히 많은 관심을 받고 있다고 말한다. 그러면서 ‘공급망 보안 기술’에 대한 관심도 높아지고 있다고 추가한다. “솔라윈즈 사태가 발생한 후 공급망 공격이라는 보안 전문 용어가 널리 알려지게 되었습니다. 바이든 대통령까지 행정명령을 내려 공급망 공격에 대한 대책을 마련하라고 했을 정도니까요. 앞으로 이 공급망 공격과 관련된 M&A가 줄지어 발생할 겁니다.”

6. 또 하나의 트렌드, 보안 엔지니어링
5년 전 론 굴라는 “결국 모든 보안의 문제는 개개인의 ‘사이버 위생’과 ‘능동적 사냥’으로 해결해야 할 것”이라고 예언한 바 있다. 사이버 위생이란 규정 준수, 패치, 비밀번호 변경 등을 말하고 능동적 사냥이란 위협 연구와 위험 요소의 선제적 제거를 말한다. 물론 5년이 지난 지금의 보안이 이 두 가지로만 이뤄지는 건 아니지만, 이 두 가지 주제에 대한 이야기가 상당히 많이 나오고 있는 건 사실이다.

“그 두 가지에 이어져 부각되기 시작한 것이 ‘보안 엔지니어링(security engineering)’입니다. 네트워크든 애플리케이션이든 처음 기획과 구성 단계에서 보안의 각종 기능과 요소들을 넣는 것을 의미하죠. 지금 우리가 지키고자 하는 네트워크와 앱들은 거의 대부분 보안에 대한 고려 없이 만들어졌습니다. 마치 진흙탕 속에서 개인 위생을 논하는 것과 같은 상태라는 겁니다. 먼저는 진흙탕부터 해결하고 손을 씻어야죠.” 굴라의 설명이다.

“마치 마법가루와 같은 보안 솔루션과 전문가들을 네트워크에 뿌려대면 보안이 해결된다는 식의 생각은 다행히 많이 사라진 상태입니다. 위험을 관리함으로써 얼마든지 다른 결과를 만들어낼 수 있다는 걸 어렴풋이라도 알게 되었다는 것이죠. 그런 깨달음이 점점 ‘보안을 시작 단계에서부터 추가해야 한다’는 생각으로 이어질 것입니다. 그런 맥락에서의 M&A가 눈에 띄기 시작할 것으로 예상합니다.”

7. 2차 기술이 주력 분야다
어떤 시장이든 초기 단계에서는 특정 문제를 직접 해결하려는 원시 기술들이 유행하다가 시장이 완숙해짐으로써 그런 문제들을 조금 다른 시각에서 해결하려는 부차적 기술들이 모습을 드러낸다고 왕은 설명한다. “보안도 처음에는 백신 제품이 나오다가, 이제는 데이터 분석 기술이 주목을 받기 시작하죠. 보안 분야가 지금 그러한 단계를 지나고 있습니다. 부차적 기술에 대한 관심도가 높아지는 그런 시점 말이죠.”

그러면서 왕은 “보안이라는 것이 바이러스 퇴치만을 말하는 게 아니라는 걸 많은 사람들이 이해하기 시작했다는 증거가 나타나기 시작할 것”이라고 예상한다. “보안 책임자는 사업적 위기 관리, 규정 준수, 감사와 같은 일들까지도 맡게 되었죠. 그러니 관리와 관련된 기술이나 데이터 분석 관련 기술에 대한 관심도가 높아지고 있습니다. 관리를 편리하게 해 주는 인터페이스 기술도 각광을 받기 시작했고요. 보안 솔루션들에 더해 관리 기술 분야의 M&A가 종종 나타날 것입니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>