보안정보
전문화된 보안 관련 자료, 보안 트렌드를 엿볼 수 있는
차세대 통합보안관리 기업 이글루코퍼레이션 보안정보입니다.
가트너의 2026년 보안 운영 하이프 사이클
2026.08.05
259
01. 보안 운영(SecOps) 시장의 재편
사이버보안 분야의 기술 동향을 대표적으로 보여주는 자료 중 하나가 리서치 기관 가트너(Gartner)의 ‘보안 운영 하이프 사이클(Hype Cycle for Security Operations)’이다. 매년 발표되는 이 보고서는 보안 운영(Security Operations) 기술과 서비스의 성숙도와 시장 기대 수준을 분석하고, 보안 및 위험 관리(Security and Risk Management, 이하 SRM) 리더들이 향후 어떤 기술과 운영 전략에 집중해야 하는지에 대한 방향을 제시한다.
가트너는 기술이 등장해 시장에 안착하기까지의 과정을 발생기(Innovation Trigger), 버블기(Peak of Inflated Expectations), 환멸기(Trough of Disillusionment), 계몽기(Slope of Enlightenment), 안정기(Plateau of Productivity)의 다섯 단계로 구분한다. 이를 통해 기술의 현재 위치뿐만 아니라 향후 시장 확산 가능성과 투자 우선순위를 함께 제시하며, 기업들이 중장기 보안 전략을 수립하는 데 활용할 수 있도록 지원한다.
올해 보고서에서 가장 주목할 점은 개별 기술의 등장보다 보안 운영(Security Operations) 시장 자체가 빠르게 재편되고 있다는 점이다. 가트너는 AI 확산과 복잡해지는 위협 환경에 대응하기 위해 기존 보안 운영 체계의 구조적 변화가 진행되고 있다고 분석하며, 이러한 변화를 △위협 탐지, 조사, 대응(Threat Detection, Investigation and Response, 이하 TDIR) 아키텍처의 재편 △지속적 위협 노출 관리(Continuous Threat Exposure Management, 이하 CTEM) 중심의 운영 확대 △위협 인텔리전스(Threat Intelligence)의 진화라는 3가지 흐름으로 설명하고 있다. 또한 기존 레거시 아키텍처를 유지하는 것만으로는 변화하는 공격 환경에 대응하기 어렵기 때문에, 확장 가능한 플랫폼 기반 운영과 지속적인 위협 검증 체계 구축이 필요하다고 강조했다.
또한 이번 보고서는 지난해와 달리 새로운 기술을 단순히 소개하는 데 그치지 않고, 보안 운영의 패러다임이 ‘탐지 중심(Security Detection)’에서 ‘위험 기반의 지속적인 검증과 운영(Security Validation & Operations)’으로 이동하고 있음을 보여준다. 특히 AI는 보안 분석을 지원하는 기능을 넘어 보안 운영 전반의 자동화와 의사결정을 지원하는 핵심 요소로 자리 잡고 있으며, 이에 따라 보안 플랫폼 역시 AI와 데이터 중심으로 빠르게 진화하고 있다.
이에 따라 본 기고에서는 가트너의 보안 운영 하이프 사이클을 기반으로 신규·제외된 기술과 주요 시장 변화를 분석하고, 차세대 보안 운영 시장의 발전 방향과 대응 전략에 대해 살펴보고자 한다.
02. 보안 운영(SecOps) 분야의 3가지 핵심
AI 확산과 디지털 전환이 가속화되면서 다뤄야 할 데이터와 관리 대상은 지속적으로 증가하고 있다. 동시에 공격자는 생성형 AI(Generative AI)를 활용해 공격 속도와 정교함을 높이고 있으며, 조직의 IT 환경 역시 멀티클라우드, SaaS, AI 서비스 등으로 빠르게 확장되면서 기존 보안 운영 체계만으로는 변화하는 위협 환경에 효과적으로 대응하기 어려워지고 있다.
이러한 변화는 기존 보안 운영의 한계를 드러내고 있다. 탐지 중심의 운영만으로는 실제 공격 위험을 충분히 평가하기 어렵고, 증가하는 보안 데이터를 기존 아키텍처로 처리하는 데에도 비용과 운영 부담이 커지고 있다. 또한 위협 인텔리전스 역시 단순한 침해 지표(Indicator of Compromise, 이하 IOC) 제공을 넘어 조직의 실제 위험도를 반영한 의사결정을 지원해야 한다는 요구가 확대되고 있다. 이러한 변화에 따라 사이버 보안 분야 역시 빠르게 재편되고 있으며, 가트너는 주목해야 할 핵심 변화로 ①TDIR 아키텍처의 재편 ②CTEM 중심 운영 확대 ③위협 인텔리전스의 진화를 제시한 것이다.
① TDIR 아키텍처 재편
올해 보고서에서 가장 큰 변화는 TDIR 시장이 새로운 전환점에 들어섰다는 점이다. 지금까지 대부분의 조직은 SIEM을 중심으로 EDR, SOAR, XDR 등을 연계-구축하는 구조였다. 그러나 AI 활용 확대와 데이터 증가, 운영 복잡성 심화로 인해 기존 구조만으로는 비용과 확장성 측면에서 한계가 나타나기 시작했다. 이에 가트너는 TDIR 기반 시장이 새로운 형태의 플랫폼 중심 구조로 빠르게 재편되고 있다고 분석했다.
대표적인 변화는 보안 데이터 레이크(Security Data Lake)와 통합 보안 운영 센터 시스템(Integrated Security Operations Center)의 부상이다. 보안 데이터 레이크는 기존 SIEM 대비 데이터 저장과 분석 구조를 유연하게 구성할 수 있어 대용량 로그 처리 비용을 절감하고 다양한 데이터를 효율적으로 활용할 수 있도록 지원한다. 통합 보안 운영 센터 시스템은 SIEM, SOAR, Case Management 등 개별적으로 운영되던 기능을 하나의 플랫폼으로 통합하여 운영 복잡성을 줄이고 빠른 구축과 운영을 지원하는 새로운 운영 모델이다. 또한 기존 독립 시장으로 성장하던 XDR 역시 플랫폼 내 기능으로 흡수되는 방향으로 변화하고 있다. 가트너는 앞으로 개별 기술을 추가하는 방식보다 데이터와 AI를 중심으로 통합된 보안 운영 플랫폼을 구축하는 것이 중요한 경쟁력이 될 것으로 전망했다.
② CTEM 중심 운영 확대
보안 운영 분야의 또 다른 큰 변화는 취약점 관리 중심의 운영에서 CTEM 중심으로 운영 범위가 확대되고 있다는 점이다. 기존에는 자산을 식별하고 취약점을 발견하는 활동이 중심이었다면, 최근에는 실제 공격자의 관점에서 공격 가능성을 지속적으로 검증하고 대응 우선순위를 결정하는 것이 더욱 중요해지고 있다. 이에 따라 단순히 취약점을 많이 발견하는 것보다 실제 악용 가능성과 비즈니스 영향을 고려하여 위험을 평가하고 지속적으로 관리하는 운영 방식으로 전환되고 있다.
이러한 변화와 함께 △서비스형 레드팀(Red Teaming as a Service) △서비스형 버그바운티(Bug Bounty as a Service) △사이버 훈련장(Cyber Range)과 같은 서비스형 검증(Security Validation) 기술이 빠르게 확산되고 있다. 기존에는 일부 대규모 조직을 중심으로 수행되던 레드팀 훈련이나 버그바운티 프로그램이 클라우드 기반 서비스 형태로 제공되면서 보다 많은 조직이 실제 공격 시나리오를 기반으로 보안 통제의 효과를 지속적으로 검증할 수 있게 되었다. 가트너는 이러한 기술들이 CTEM 운영을 실질적으로 구현하는 핵심 요소로 자리 잡고 있다고 설명했다.
③ 위협 인텔리전스(Threat Intelligence)의 진화
가트너가 선정한 마지막 큰 변화는 위협 인텔리전스(Threat Intelligence)가 단순한 위협정보 제공에서 위험 기반 의사결정을 지원하는 방향으로 발전하고 있다는 것이다. 기존 위협 인텔리전스는 악성 IP, 도메인, 해시(Hash) 등 침해 지표(IOC)를 수집하고 탐지 룰에 반영하는 역할이 중심이었다. 그러나 공격 기법이 복잡해지고 다단계 공격이 증가하면서 단일 위협정보만으로는 실제 위험을 정확하게 판단하기 어려워졌으며, 다양한 내부·외부 데이터를 종합적으로 분석하여 조직의 실제 위험도를 평가해야 한다는 요구가 확대되고 있다.
이에 따라 가트너는 △사이버 위협 인텔리전스 관리 시스템(Cyberthreat Intelligence Management Systems) △통합 사이버 위험 인텔리전스(Unified Cyber Risk Intelligence)를 차세대 위협 인텔리전스의 핵심 기술로 제시했다.
이는 다양한 내부·외부 위협정보를 통합 관리하고 AI 기반 분석을 통해 조직의 실제 위험도를 평가함으로써, 단순한 IOC 제공을 넘어 위험 기반의 의사결정을 지원하는 방향으로 발전하고 있음을 의미한다. 가트너는 이러한 위협 인텔리전스가 향후 SIEM, CTEM 등과 연계되어 보안 운영 전반의 핵심 의사결정 체계로 자리 잡을 것으로 전망했다.
03. 기술 변화에 따른 시장 변화 분석
올해 하이프 사이클에서는 신규 기술의 추가와 기존 기술의 제외가 동시에 이뤄졌다. 그러나 이러한 변화는 단순히 기술 목록이 바뀐 것이 아니라, 보안 운영 시장의 관심사가 어디로 이동하고 있는지를 보여주는 중요한 변화라는 점에서 의미가 있다. 새롭게 등재된 기술들은 AI 기반 자동화와 데이터 중심 운영, 위험 기반 의사결정 체계를 강화하기 위한 기술이 대부분을 차지했으며, 반대로 제외된 기술들은 독립적인 시장으로서의 의미가 감소하거나 다른 플랫폼에 흡수되면서 하이프 사이클에서 제외됐다.
① XDR은 왜 ‘안정기에 도달하기 전에 구식이 됨(Obsolete before Plateau)'가 되었는가
올해 하이프 사이클에서 가장 눈에 띄는 변화는 ‘확장 탐지 및 대응(eXtended Detection and Response, 이하 XDR)’이 ‘안정기에 도달하기 전에 구식이 됨(Obsolete before Plateau)’로 분류됐다는 점이다.
이는 XDR이 시장에서 실패하거나 기술적 가치가 낮아졌다는 의미가 아니다. 가트너는 XDR이 독립적인 보안 제품으로 성장하기보다 TDIR을 구성하는 핵심 기능으로 흡수되고 있기 때문이라고 설명한다.
실제로 크라우드스트라이크(CrowdStrike), 팔로알토 네트웍스(Palo Alto Networks) 등 주요 벤더들은 XDR을 별도의 제품으로 판매하기보다 자사 보안 운영 플랫폼의 핵심 기능으로 제공하고 있다. 이는 TDIR에 대한 시장 요구가 변화하면서 XDR이 독립적인 제품이 아닌 통합 보안 운영 플랫폼을 구성하는 기능으로 흡수되고 있기 때문이다. 이에 XDR은 개별 제품군으로 경쟁하기보다 TDIR의 핵심 기능으로 자리잡고 있으며, 가트너는 이러한 시장 변화를 반영해 XDR을 하이프 사이클에서 제외한 것으로 분석된다.
② 신규 등재 기술이 의미하는 시장 변화
올해 신규 등재된 11개 기술을 살펴보면 △AI 활용 △운영 자동화 △보안 운영 및 통합 플랫폼 △위험(Risk) 기반 보안 운영 △위협 인텔리전스라는 방향성을 확인할 수 있다.
먼저 AI 활용 및 운영 자동화 측면에서는 자율형 노출 대응(Autonomous Exposure Remediation), 탐지 엔지니어링 자동화(Detection Engineering Automation Solutions) 등이 새롭게 추가되며 AI를 활용한 취약점 대응과 탐지 규칙 관리 자동화가 본격화되고 있다. 또한 기존 AI 기반 분석 지원을 넘어 보안 운영 전반을 자동화하는 방향으로 시장이 확대되고 있음을 보여준다.
보안 운영 및 통합 플랫폼 측면에서는 보안 데이터 레이크(Security Data Lake), 통합 보안 운영 센터 시스템(Integrated Security Operations Center Systems)이 새롭게 등재되며 기존 SIEM 중심 운영 구조에서 데이터 레이크 기반 아키텍처와 통합 SOC 플랫폼으로 시장이 재편되고 있음을 시사한다. 이는 단순 기능 추가보다 운영 복잡성 감소와 비용 효율성 향상을 중시하는 시장 요구가 반영된 결과로 분석된다.
위험 기반 보안 운영 분야도 확대되고 있다. 위협 노출 관리 서비스(Exposure Management Services), 서비스형 버그 바운티(Bug Bounty as a Service), 사이버 훈련장(Cyber Range) 등은 지속적인 위협 노출 검증과 공격 시뮬레이션을 지원하는 기술로, 기존 취약점 관리 중심에서 실제 공격 가능성을 지속적으로 검증하는 CTEM 기반 운영 체계로의 전환을 보여준다.
마지막으로 위협 인텔리전스 분야에서는 통합 사이버 위험 인텔리전스(Unified Cyber Risk Intelligence), 사이버 위협 인텔리전스 데이터 & 분석(Cyberthreat Intelligence Data & Analytics), 사이버 위협 인텔리전스 관리 시스템(Cyberthreat Intelligence Management Systems)이 신규 등재되며 단순 IOC 제공에서 벗어나 내부 보안 데이터와 외부 위협 정보를 통합·분석하여 위험 기반 의사결정을 지원하는 방향으로 발전하고 있다.
종합하면 가트너는 올해 하이프 사이클을 통해 △AI 기반 운영 자동화 △통합 보안 플랫폼 △CTEM 기반 선제적 보안 △위험 중심 위협 인텔리전스를 향후 보안 운영 시장을 주도할 핵심으로 제시한 것이다.
③ 제외된 기술이 의미하는 시장 변화
XDR 외에 올해 하이프 사이클에서 제외된 기술들을 살펴보면, 가트너는 기술의 쇠퇴보다 시장 재편과 기능 통합이 이뤄지고 있음을 보여준다.
먼저 원격 측정 데이터 파이프라인(Telemetry Pipelines)의 경우, 사이버 보안에 국한된 기술이라기 보다 다양한 시스템의 로그와 이벤트 데이터를 처리하는 공통 데이터 파이프라인 기술로 자리잡으면서, ‘모니터링 & 옵저버빌리티(Monitoring & Observability) 분야로 재분류됐다. 또한 디지털 포렌식 및 침해사고 대응(Digital Forensics and Incident Response)도 제외됐다. 이는 침해사고 발생 이후 포렌식 중심의 대응보다 사고 대응 준비, 대응 체계 구축, 전문 대응 서비스 활용 등 보다 포괄적인 사고 대응 체계로 시장의 관심이 확대되고 있음을 보여준다.
결과적으로 가트너는 보안 운영 시장이 개별 보안 솔루션 중심에서 벗어나, 통합 플랫폼과 지속적인 운영·관리 서비스를 중심으로 재편되고 있음을 시사했다.
04. 기술 성숙도와 투자 우선 순위
가트너는 단순히 기술을 소개하는 데 그치지 않고, 각 기술별 시장 영향력(Benefit Rating)과 성숙 예상 시기(Time to Plateau)를 함께 제시하여 보안 조직이 기술 도입 우선순위를 수립할 수 있도록 했다. 특히 단기적으로 운영 효율을 높일 수 있는 기술과 장기적으로 보안 운영 체계를 변화시킬 기술을 구분해 제시함으로써 기술 투자 시기를 함께 고려할 것을 권고했다.
우선 2~5년 내 성숙이 예상되는 기술은 현재 보안 운영 환경에 빠르게 적용할 수 있는 기술이다. 탐지 엔지니어링 자동화 솔루션(Detection Engineering Automation Solutions), 노출 관리 서비스(Exposure Management Services), 사이버 위협 인텔리전스 관리 시스템(Cyberthreat Intelligence Management Systems) 등 기술은 기존 보안 운영 체계에 적용 가능성이 높으며, 탐지 규칙 자동화, CTEM 기반 노출 관리, 위협 인텔리전스 운영 효율 향상 등 즉각적인 운영 개선 효과를 기대할 수 있는 분야로 평가했다.
반면 5~10년 이상의 기간이 예상되는 기술은 향후 보안 운영 시장 구조 자체를 변화시킬 기술로 제시됐다. 자동 노출 대응(Autonomous Exposure Remediation), 통합 보안 운영 센터 시스템(Integrated Security Operations Center Systems), 통합 사이버 위험 인텔리전스(Unified Cyber Risk Intelligence) 등은 AI 기반 자동화와 통합 플랫폼을 중심으로 기존 보안 운영 방식을 재편할 것으로 전망했으며, 단기 도입보다는 중장기 관점에서 기술 확보와 서비스 전략을 준비할 필요가 있다고 분석했다.
아울러 새로운 기술을 개별적으로 도입하기보다 기존 보안 운영 체계와 유기적으로 연계하여 활용하는 것이 중요하다고 설명했다. 탐지·분석·대응 프로세스가 정립되지 않은 상태에서 AI나 자동화 기술만 추가할 경우 기대한 효과를 얻기 어렵기 때문에, 기존 운영 체계를 고도화하면서 단계적으로 신기술을 적용하는 접근이 필요하다고 권고한 것이다.
결과적으로 가트너는 단기적으로는 운영 효율을 높일 수 있는 자동화 기술을 우선 도입하고, 중장기적으로는 AI 기반 통합 보안 운영 플랫폼으로 전환을 준비하는 것이 보안 운영 시장의 바람직한 발전 방향이라고 제시했다.
05. 마무리
지금까지의 보안 운영 하이프 사이클은 새로운 기술의 등장과 기존 기술의 성숙도를 중심으로 변화가 이뤄졌으나, 올해는 신규 기술 대거 등재와 기존 기술의 통합·재편이 동시에 나타나면서 변화 폭이 크게 확대된 것이 특징이다. 특히 XDR을 비롯한 기존 핵심 기술이 독립 시장에서 통합 플랫폼의 기능으로 재편되고, 보안 데이터 레이크(Security Data Lake), 통합 보안 운영 센터 시스템(Integrated Security Operations Center), 통합 사이버 위험 인텔리전스(Unified Cyber Risk Intelligence) 등 차세대 보안 운영 기술이 새롭게 부상한 것은 보안 운영 시장이 새로운 전환기에 진입하고 있음을 보여준다.
또한 올해 하이프 사이클은 AI 기능 추가나 개별 솔루션 경쟁보다 보안 운영 체계 자체를 재구성하는 방향으로 시장이 변화하고 있음을 시사한다. AI 기반 운영 자동화, 통합 플랫폼, CTEM 기반 선제적 보안 운영, 위험 기반 위협 인텔리전스가 차세대 보안 운영의 핵심 축으로 제시되면서, 향후 보안 운영 경쟁은 개별 제품이 아닌 운영 체계와 플랫폼 경쟁으로 확대될 것으로 전망된다.
이에 따라 향후에는 AI 기반 보안 운영 자동화 역량 확보, 통합 보안 운영 플랫폼을 고려한 아키텍처 전환, CTEM 기반 선제적 보안 운영 체계 구축, 위험 기반 CTI 운영 체계 고도화 등을 중심으로 기술 및 서비스 전략을 검토할 필요가 있을 것으로 판단된다.
06. 참고자료
Hype Cycle for Security Operations, 2026, Gartner:
https://www.gartner.com/doc/reprints?id=1-2NICF3PQ&ct=260608&st=sb&submissionGuid=707f7b2e-3c9d-4851-bf67-aaf85fad3aa8
