“올해는 그동안 공들여 왔던 SW공급망 보안 시장에서 괄목 할 만한 성과를 거두겠습니다. 또 생성형 AI가 만들어내는 수많은 SW에 대한 보안취약점을 해결해 주는 전문 기업으로 자리매김하겠습니다.”

​

장일수 스패로우 대표는 26일 지디넷코리아와의 신년인터뷰에서 이 같은 올해 포부를 밝혔다. 스패로우는 애플리케이션 보안 전문기업이다. 소프트웨어(SW) 취약점을 분석하는 도구 3종을 개발, 기업과 기관에 공급하고 있다. 특히 이들 ‘3총사’ 솔루션은 공공조달 시장에서 각자 1위를 달리고 있다. 장 대표는 서강대학교에서 경영학 석사를 했고, 현대정보기술에서 직장생활을 시작했다. 국내 보안 1세대 기업인 파수의 사업본부장을 역임한 후 2018년 파수에서 분사된 스패로우 대표를 맡아 현재에 이르고 있다. 아래는 장 대표와 일문일답

“2026년에도 SW 공급망 공격이 가장 큰 위협 요인 중 하나로 이어질 가능성이 크다. 작년 12월 업계를 뜨겁게 달군 ‘리액트투쉘(React2shell)’ 취약점은 오픈소스 공급망 리스크가 얼마나 빠르게 번질 수 있는지를 단적으로 보여준 사례다.

소프트웨어 구성 요소나 개발 파이프라인 내 취약점을 악용해 연쇄적인 피해를 일으키는 공격이 늘어나는 만큼, SBOM(Software Bill of Materials, 소프트웨어 자재명세서, 어떤 소프트웨어를 만들 때 그 안에 들어간 모든 구성요소를 정리한 목록, S봄이라 발음)을 활용해 취약한 구성요소를 즉시 검색하고 선제적으로 조치하는 체계가 필수적이다.

또 생성형 AI 코딩 도구 확산은 기회이자 위험이다. AI가 코드를 빠르고 효율적으로 생성하는 과정에서 학습 데이터에 포함된 오래된 코드나 보안 문제가 있는 오픈소스 구성 요소를 그대로 재사용해 취약점을 내포할 수 있다.”

– 올해 주력할 보안 시장은?

“자동차와 의료는 모두 안전과 직결된 산업군이다. 보안 수요가 더욱 빠르게 확대할 것으로 생각한다. 특히 자동차는 소프트웨어 의존도가 높아지면서 SW 안전 확보를 위한 취약점 관리 체계가 핵심으로 자리 잡고 있다. 의료는 디지털 의료기기가 해킹·악성코드 등 전자적 침해행위에 노출될 경우 오작동·서비스 장애·환자 안전 문제로 이어질 수 있어 보안 취약점 점검이 필수다. 이를 예방 및 대응하기 위한 SBOM 관리 체계 구축이 요구된다.

또 정부가 범부처 정보보호 종합대책을 발표, 공공 분야 IT 시스템 및 제품에 대해 SBOM 제출을 오는 2027년까지 제도화하겠다고 예고했다. 이에 따라 공공기관에 소프트웨어를 납품하는 IT·SW 기업들은 SBOM을 생성하고 관리하는 체계를 선제적으로 갖춰야 하고, 이에 따른 수요가 증가할 것이다.”

“개발 및 배포 주기가 빨라지고 사이버 위협이 고도화하면서 자산을 가시화하고, 취약점이 악용되기 전에 선제적으로 점검 및 조치하는 것이 중요해졌다. 스패로우는 2026년에도 자산 식별부터 SW 취약점 분석 및 관리까지 한 흐름에서 운영할 수 있는 ‘스패로우 엔터프라이즈(Sparrow Enterprise)’를 주력 제품으로 삼아, 고객이 개발 생명주기 전반에서 취약점을 사전 점검하고 조치할 수 있도록 지원할 예정이다.

‘Sparrow Enterprise’는 애플리케이션 보안 태세(ASPM)를 관리하는 애플리케이션 보안 테스팅 통합 솔루션이다. 소스코드·오픈소스·웹 취약점을 하나의 플랫폼에서 분석 및 통합 관리하고, 형상관리 시스템과 CI(Continuous Integration) 및 CD(Continuous Delivery) 도구 연동으로 분석을 자동화, 상태를 실시간으로 확인할 수 있다. 또 검출 규칙 관리, 담당자 배정, 결재 프로세스 설정 등 관리 기능을 통해 조직의 정책·프로세스에 자연스럽게 통합, 개발 단계부터 보안 리스크를 줄여가는 지속 가능한 애플리케이션 보안 체계를 구축할 수 있다.

이 외에 S-BOM을 안전하게 공유하고 관리할 수 있는 플랫폼인 ‘스패로우 시큐어허브(Sparrow SecureHub)’를 고도화할 예정이다. S-BOM 제출 요구가 커지는 환경에서 수요사와 공급사는 SecureHub를 통해 위·변조되지 않은 SBOM을 안전하게 공유·관리할 수 있고, SBOM 유통 과정 시각화로 공급망 전반의 흐름을 투명하게 확인할 수 있다. 스패로우는 이를 통해 공급망 참여자 모두가 안전하고 믿을 수 있는 SBOM 공유 환경을 구현하고, 나아가 신속한 취약점 대응과 지속적인 취약점 모니터링 체계까지 구축할 수 있게 지원하겠다.

마지막으로, 생성형 AI 확산 속에서 바이브 코딩 환경에 맞는 보안 방식을 제공하기 위해 ‘스패로우 MCP(Sparrow MCP)’를 출시할 예정이다. ‘Sparrow MCP’는 프롬프트 입력 이후 LLM이 코드를 생성하는 과정에서 소스코드와 오픈소스 취약점을 자동 분석, 개발 단계서부터 안전한 코드 생성을 지원하는 MCP 서버다. 스패로우는 이를 통해 개발자가 AI로 코드를 작성하는 흐름 안에서 보안 점검과 조치가 자연스럽게 이어지도록 해, 속도와 보안을 함께 확보할 수 있는 개발보안 환경을 제시하겠다.”

​

“그렇다. AI를 악용한 해킹은 2026년에 더 늘어날 가능성이 크다. 이른바 ‘바이브 해킹’처럼 생성형 AI의 자동화 기능으로 초보자도 손쉽게 공격을 실행할 수 있는 환경이 마련됐다. 새로운 공격만 경계할 것이 아니라, 이미 알려진 취약점에 대한 점검도 강화하면서 지속적인 취약점 점검 체계를 갖춰야 한다.

이런 변화에 대응하기 위해 스패로우는 바이브 코딩 흐름 안에 보안을 내재화할 수 있게 ‘Sparrow MCP’를 1분기 내 출시할 예정이다. 또 ‘Sparrow Enterprise‘ 전반에 AI 기반 취약점 분석 및 관리 기술을 적용, 사용자가 취약점 조치 효율을 높일 수 있게 지속적으로 고도화할 예정이다. 자산과 취약점 정보를 단일 환경에서 관리하고, 실제 위험과 영향도를 기준으로 취약점 조치 우선순위를 제안, 제한된 인력과 시간에서도 보안 리스크를 최소화할 수 있게 하겠다.”

“과거 일본과 중국에 한정적이었던 해외 시장을 작년에는 동남아, 중동시장으로 확대한 원년이었다. 다수 국가에서 PoC(시험테스트)를 진행했고, 일부는 사업화 단계로 넘어가 해외 매출 확대의 기반을 마련했다. 일례로 일본 디지털 마케팅 기업과 중국 자동차 인텔리전스 기업의 시큐어 코딩 사업을 연이어 수주했고, 중동에서는 현지 보안 서비스 기업 ‘라스인포텍(RAS Infotech)’과 MOU를 체결하며 파트너 기반 진출을 본격화했다.

올해는 의미 있는 레퍼런스 확보를 최우선 목표로 두고, 현지 파트너와 함께 글로벌 시장을 본격 개척하겠다. 동시에 전시 행사와 컨퍼런스 참여로 글로벌 접점을 꾸준히 확대해 신규 기회 발굴을 이어가겠다.”

“2026년에도 대형 보안 사고는 끊이지 않을 가능성이 크고, 공격 방식 역시 더 빠르고 정교해질 것으로 보인다. 이에 따라 사고 발생 이후 대응하는 방식이 아니라, 위험 요소를 사전에 식별하고 선제적으로 차단하는 보안 체계 구축이 무엇보다 중요하다.

올해는 전년대비 30% 성장을 목표로 잡았다. 스패로우는 SW 공급망 보안 리더로 산업별 특성에 맞춘 공급망 보안 체계 구축에 앞장서고, 공급망 참여자들이 SW 구성요소 변화와 취약점 이슈를 신속히 파악해 선제적으로 조치할 수 있도록 제품을 더욱 고도화할 계획이다. 또 취약점 진단 전문 인력을 기반으로 소스코드 진단, 웹 취약점 진단, 오픈소스 진단, 모의해킹을 아우르는 통합 컨설팅 서비스와 제품을 함께 제공해 고객의 실질적인 페인포인트 해소에 앞장서겠다.”

“올해는 품질 강화와 서비스 수준 향상을 통해 고객만족도를 높이겠다. 제품 분석 정확도와 안정성을 더욱 끌어올리고, 도입부터 운영 및 기술지원 전 과정의 고객 경험 만족도를 높여 단 한 명의 고객도 불편을 겪지 않도록 하겠다. 또다른 목표는 IPO다. 성공적인 상장이 이뤄질 수 있게 기업가치를 견고히 다지고, IPO 이후에는 확보한 자금을 활용해 우수 인재를 확보하고 AI 관련 연구 개발을 한층 더 강화할 예정이다.”

“2025년은 생활 밀착형 서비스까지 대형 침해사고가 잇따르며 보안 불확실성이 커진 한 해였다. 동시에 SW 공급망 보안(Supply Chain Security), 제로트러스트(Zero Trust), 국가망보안체계(N2SF) 등 보안 이슈가 늘어나면서 시장 전반이 ‘무엇을 우선순위로, 어떤 수준까지 준비해야 하는가’ 하는 혼란을 겪었다. 스패로우는 급변하는 사이버 위협 속에서 고객에게 실질적이고 효율적인 보안 제품과 서비스를 제공한 결과, 크게 아래와 같은 세 가지 성과를 거뒀다.

첫째, 수년간 축적해 온 소프트웨어 공급망 보안 역량을 성과로 구체화했다. SW 공급망 공격이 고도화하면서 공공·금융·제조 등 각 산업군에서 공급망 보안 체계를 갖추려는 니즈가 커졌다. 스패로우는 SBOM 실증사업 참여 경험을 기반으로 산업별 환경과 요구 수준에 맞춘 SW 공급망 보안 체계 구축(Sparrow SCA)을 지원했다. 나아가 공급망 전반의 투명성과 신뢰를 확보할 수 있게 수요사와 공급사가 SBOM을 안전하고 투명하게 주고받고, 운영 과정에서 편리하게 관리할 수 있는 SBOM 공유 및 관리 플랫폼(Sparrow SecureHub)을 출시했다.

둘째, 클라우드 전환 흐름 속에서 ‘Sparrow Cloud’ 매출이 큰 폭으로 성장했다. 공공 시장의 클라우드 전환 수요가 본격화하면서 공공기관용과 중소기업을 타깃으로 한 Sparrow Cloud가 일반과 기업용 모두 세자릿수 성장을 기록했다. 또 해외 클라우드 사용도 증가 하고 있다.

셋째, 생성형 AI 확산 속에서 바이브 코딩 환경에 맞는 보안 방식을 제공하기 위해 MCP 서버를 연구·개발했다. 프롬프트 입력 이후 LLM이 코드를 생성하는 과정에서 소스코드와 오픈소스 취약점을 자동 분석해 개발 단계부터 안전한 코드 생성을 지원하는 기술 개발을 마쳤고, 올 1분기 출시(Sparrow MCP)를 앞두고 있다.”

“사이버강국 코리아로 나아가기 위해 가장 중요한 것은 ‘사후 대응’이 아닌 ‘사전 예방’ 중심의 보안 전략으로 전환해야 한다고 생각한다. 스패로우가 지속적으로 주장하고 있는 제안이다. 애플리케이션을 개발할 때부터 보안취약점을 점검하고 해결해야 한다.

실제로 개인정보보호위원회가 사전 예방 중심으로 개인정보 보호 체계를 전환하겠다는 방향을 분명히 했고, 가트너가 선정한 ‘2026년 전략 기술 트렌드’에서도 선제적 보안이 강조되는 등 정부와 글로벌 흐름 모두가 예방 중심으로 움직이고 있다.

이제 핵심은 현장에서 실행이 가능하도록 만드는 유인책이다. 기업이 보안 인재를 확보하고 상시 취약점 점검 프로세스를 갖춰 예방 중심 체계를 운영한다면, 정부도 보안 투자 지원과 사이버 위협 대응 훈련 같은 실질적 지원으로 이를 뒷받침할 필요가 있다. 더불어 개발자와 보안 전문가가 함께 성장할 수 있는 중·장기적인 사이버 보안 인재 양성 정책이 꾸준히 이어질 때, 대한민국은 진정한 사이버 보안 강국으로 도약할 수 있을 것이다.”