2026년 기업 제로 트러스트 도입률 조사: VPN 대체는 어디까지 왔나

우리가 그 시절 쫓던 VPN, 지금 누가 대체하고 있나?

작년 연말 베이징 순이구의 한 자동차 부품 공장에서 보안 평가를 지원하던 날이었습니다. 베테랑 엔지니어가 장비실에서 7년째 쓰고 있는 Cisco ASA를 열었을 때, 그의 눈빛에서 뭐라 형언하기 어려운 감정이 느껴졌습니다. 싫증이라기보다는 오랜 전우를 배웅하는 듯한 표정이었습니다. ‘이 녀석 설정하는 데 사흘 밤낮을 꼬박 새웠다’는 그 한마디를 듣고, VPN이라는 것이 많은 베이징 기업에게 단순한 도구가 아니라 기억이고 비용이며 역사적 짐이라는 사실을 깨달았습니다.

하지만 시장 데이터는 옛 정을 그리워하지 않습니다. IDC 2025Q4 글로벌 보안 지출 가이드에 따르면 ZTNA(제로 트러스트 네트워크 액세스) 시장 규모는 이미 47억 달러에 달했고, 연평균 복합성장률은 26%를 넘습니다. Gartner는 더 나아가 2027년까지 60% 이상의 기업이 전통적인 VPN을 ZTNA로 대체할 것이라고 예측했는데, 이는 2024년의 18%에서 세 배 이상 늘어난 수치입니다. 늑대가 온다고 외치는 게 아니라, 이미 마을에 들어와 있는 셈입니다.

‘있느냐’에서 ‘어떻게 쓰느냐’로: ZTNA 도입은 어디까지 왔나

제가 접해 온 기업들의 ZTNA 도입 상황은 세 단계로 나눌 수 있습니다. 첫째는 POC 단계로, 기업이 규제나 벤더에 떠밀려 움직이는 경우가 많습니다. 작년에 MLPS 2.0(중국 등급보호제도) 3급 개선을 진행한 한 고객은 벤더가 IPSec VPN을 아직 쓴다는 말을 듣자마자 곧바로 ZTNA로 신원 경계를 구축하라고 권했습니다. 고객이 기존 화웨이 방화벽으로 버틸 수 있느냐고 조심스럽게 물었지만, 저희는 ‘돌아가긴 하지만 오래 못 간다’고 답할 수밖에 없었습니다. 둘째는 시나리오 확장 단계로, POC를 통과한 기업들이 ZTNA를 심수구역으로 밀어 넣기 시작합니다. 내부 애플리케이션, SaaS, 크로스 클라우드 환경까지 포함됩니다. 베이징 퉁저우구의 한 의료기기 제조사는 ERP, 연구개발 환경, 대리점 포털을 모두 ZTNA 관리 범위에 넣었습니다. 셋째는 전면 대체 단계로, 이 단계의 기업들은 ‘쓸 수 있다’에 만족하지 않고 ‘잘 쓴다’를 추구합니다. SDP와 마이크로 세그멘테이션 연동, 동적 위험 평가, 종단간 암호화 같은 것들입니다. 순이구의 한 스마트 제조 고객은 ZTNA와 산업제어망 격리를 연동해, 장비가 망에 접속하려면 반드시 신원 인증을 먼저 통과하도록 했습니다.

흥미로운 점은 이 세 단계의 분포가 거의 정규분포를 따른다는 것입니다. IDC 조사에 따르면 42%의 기업이 아직 POC 단계이거나 POC를 막 통과한 수준이고, 35%가 시나리오 확장 단계이며, 실제로 전면 대체를 완료한 기업은 23%에 불과합니다. 이는 대다수 기업이 아직 갈 길이 멀다는 뜻이자, 이 시장이 아직 포화되지 않았다는 뜻이기도 합니다.

중소기업의 셈법: ZTNA의 ROI는 과연 값어치가 있나

‘이게 VPN보다 얼마나 비싸요’라는 질문을 받을 때마다 저는 먼저 되묻습니다. 구매 비용을 계산하시는 건가요, 아니면 총소유비용(TCO)을 계산하시는 건가요?

구매 비용은 확실히 높습니다. 주요 ZTNA 제품은 사용자 수 기준 구독제로, 연회비가 연 300위안/인(기본 버전)부터 연 1,200위안/인(엔터프라이즈 버전)까지 다양하며, 100인 기업이면 1년에 3만~12만 위안입니다. VPN 장비의 일회성 투자(좋은 엔터프라이즈급 VPN 게이트웨이면 2만~5만 위안이면 끝)와 비교하면 첫 3년은 확실히 조금 더 비쌉니다.

하지만 계산은 이렇게 해야 합니다. VPN의 유지보수 비용은 기업 IT의 보이지 않는 블랙홀입니다. 저희는 너무 많은 사례를 봤습니다. VPN 장비 장애로 전 직원이 업무를 못 하게 되어 새벽 2시에 IT 총괄이 전화로 깨어나는 일, 팬데믹 기간 VPN 동시접속 병목 때문에 급하게 증설해야 했던 일, 직원 퇴사 후 계정 회수가 늦어 보안 위험이 남는 일까지. 이런 숨은 비용에 시간 손실까지 더하면, 중소기업에는 구매 비용보다 더 치명적일 수 있습니다.

ZTNA의 강점은 바로 ‘속 편함’에 있습니다. 신원 기반 접근 제어는 IP 주소 대역을 잔뜩 관리할 필요가 없다는 뜻이고, 동적 정책은 직원이 퇴사하면 곧바로 권한이 사라지게 하며, 세밀한 로그는 감사 근거를 남깁니다. IDC 조사 데이터에 따르면 ZTNA 사용자의 평균 보안 사고 대응 시간은 67% 단축되었습니다. 제 경험 공식은 이렇습니다. 50인 이상 기업이라면 18개월이면 대체로 VPN의 총소유비용을 따라잡고, 그 이후 매년 절약되는 운영 인력과 낮아진 위험 비용이 순이익이 됩니다.

도입 경로: 전면 교체가 아니라 점진적 대체

많은 기업이 VPN 교체라고 하면 판을 완전히 뒤엎어야 한다고 생각하지만, 사실 그럴 필요는 없습니다. 제 조언은 늘 같습니다. PPT가 이끄는 제로 트러스트가 아니라 비즈니스가 이끄는 제로 트러스트를 하십시오. 실무 경로는 4단계로 참고할 수 있습니다.

1. 1단계: 자산 정리. 현재 VPN이 담당하는 애플리케이션을 중요도와 사용자 그룹별로 분류하고, 어떤 것이 고빈도 핵심이고 어떤 것이 저빈도 주변부인지 파악합니다. 이 단계는 기술 선정보다 시간이 더 걸리는 경우가 많지만, 이후 의사결정에 결정적입니다.
2. 2단계: ‘못 박을 시나리오’ 하나를 골라 진입. 원격 근무가 가장 흔한 출발점인데, VPN의 문제점이 가장 뚜렷하고 증분 도입 리스크도 가장 낮기 때문입니다. 먼저 하나의 업무 라인에서 성공시킨 뒤 횡적 확장을 고려합니다.
3. 3단계: 점진적 이전. 신규 애플리케이션은 곧바로 ZTNA로, 기존 애플리케이션은 한동안 VPN에서 운영하며 게이트웨이로 하이브리드 접속을 구성하고, 서서히 트래픽을 VPN 쪽에서 빼냅니다. 이 단계는 인내심이 가장 필요하지만 성과도 가장 잘 보입니다.
4. 4단계: VPN 거둬들이기. ZTNA 커버리지가 80% 이상이 되면 VPN을 ‘은퇴’시킬 때를 고려할 수 있습니다. 물론 핵심 장비는 예비용으로 남겨둘 수 있고, 신중한 편이 나쁠 건 없습니다.

전체 과정은 중소기업 기준으로 보통 6~12개월이 걸립니다. 조급해도 안 되고 질질 끌어도 안 됩니다. 너무 급하면 함정을 밟기 쉽고, 너무 느리면 투자 대비 성과가 초라해집니다. 예전에 소프트웨어 아웃소싱 고객 한 곳을 서비스한 적이 있는데, 원격 근무 시나리오에서 시작해 8개월 만에 전면 전환을 마쳤고, 그 기간에 전환 때문에 업무가 중단된 적이 한 번도 없었습니다.

하지만 기술 장벽이 낮아진다고 해서 도입 장벽이 낮아지는 것은 아닙니다. ZTNA 도입은 결코 제품을 사는 것만이 아니라, 신원 체계를 다시 정리하고, 네트워크 아키텍처를 조정하고, 보안 관리 발상을 바꾸는 일입니다. 이 점을 분명히 하는 것이 어느 벤더를 고르는지보다 중요합니다.