제로트러스트 단계별 전환·위험감소 ROI 계산기

제로트러스트 ROI 계산기가 필요한 이유

제로트러스트 전환은 한 제품을 구매해 끝나는 프로젝트가 아니라 식별자·신원, 기기·엔드포인트, 애플리케이션·데이터, 네트워크·가시성을 단계적으로 연결하는 운영 변화입니다.
같은 조직도 사용자 수, 관리 기기, 애플리케이션, 사이트, 기존 IAM·MFA·EDR·분할 수준과 로그 품질에 따라 필요한 순서와 비용이 달라집니다.

투자안을 만들 때 흔한 오류는 성숙도 단계가 올라가면 사고가 정해진 비율만큼 줄어든다고 가정하거나, 네 통제의 효과를 단순히 더하는 것입니다.
그러면 같은 사고를 여러 통제가 각각 전부 막는 것처럼 계산되어 편익이 부풀 수 있습니다.
이 계산기는 앞 단계 적용 뒤 남은 위험에 다음 단계 효과를 곱하고, 각 단계까지의 현금흐름을 따로 계산해 한계 NPV와 라이선스 상한을 보여 줍니다.

공식 성숙도와 경제성 효과를 분리하는 법

KISA의 2025년 제로트러스트 성숙도 모델 해설서는 성숙도를 기존, 초기, 향상, 최적화의 네 단계로 설명합니다.
또한 식별자·신원, 기기·엔드포인트, 네트워크, 시스템, 애플리케이션·워크로드, 데이터의 여섯 핵심 요소와 가시성·분석, 자동화·통합의 두 교차 기능을 제시합니다.
조직은 모든 항목을 무조건 최적화할 필요가 없으며 평가 범위, 규제, 자산, 예산, 인력과 실행 가능성을 고려해 단기·장기 목표를 정해야 합니다.

입력값을 같은 범위로 맞추는 방법

잔존위험 방식의 단계별 계산식

예를 들어 네 단계의 고유 유효효과가 모두 20%이면 단순합은 80%지만 계산 결과는 59.04%입니다.
1단계가 20%를 줄인 뒤 2단계는 남은 80%의 20%인 16%를 추가로 줄이고, 3단계는 12.8%, 4단계는 10.24%를 추가합니다.
이 방식은 통제가 완전히 독립이라는 보장이 아니라 단순합보다 보수적으로 중복을 제한하는 예산 모델입니다.
공통원인 실패와 통제 간 상관은 별도 정성 검토가 필요합니다.

초기비는 단계 착수월에 배치하고 반복비와 위험감소는 완료월부터 시작합니다.
효과는 입력한 램프업 기간 동안 선형으로 정상값에 도달하며 위험손실과 반복비 성장률은 월 지수로 적용합니다.
최초 회수 뒤 대규모 후속 단계 비용으로 다시 음수가 될 수 있어 최초 회수와 지속 회수를 분리하고, 할인 누적값의 지속 회수도 따로 표시합니다.

계산 예시로 보는 단계별 한계 NPV

산식을 확인하기 위한 단순 예시로 연 사고빈도 2건, 사고당 손실 600을 사용하면 기준 연 기대손실은 1,200입니다.
네 단계는 1·2·3·4월에 차례로 완료되고 각 초기비는 100, 연 라이선스는 12, 램프업·성장·할인은 0으로 둡니다.
각 단계의 보호범위 50%, 조건부 위험감소 40%, 실현률 100%를 곱하면 고유효과는 20%입니다.

12개월 총 편익은 636.16, 총비용은 442, NPV는 194.16, PV ROI는 약 43.93%, 지속 회수는 약 8.47개월입니다.
이 예시에서는 3단계까지의 누적 NPV 211이 가장 크고 4단계 한계 NPV가 음수입니다.
이는 4단계가 불필요하다는 판정이 아니라 현재 위험·효과·비용·기간 가정에서 추가 경제편익이 추가비용보다 작다는 뜻입니다.
규제, 중요 자산, 공격경로 의존성, 위험수용한도와 선행조건은 별도로 판단해야 합니다.

보수·기준·상향 시나리오 해석

효과 시나리오 폭이 20%이면 각 단계 고유효과에 보수 0.8배, 기준 1배, 상향 1.2배를 적용하고 100%에서 제한합니다.
위 단순 예시에서 보수 NPV는 96.085376, 기준 NPV는 194.16, 상향 NPV는 280.082816입니다.
이 값은 확률구간이나 예측 오차가 아니라 사용자가 정한 결정론적 민감도입니다.

실무 활용 시나리오

1. 연차별 예산 승인: 1년 안에 완료할 식별자·기기 단계와 3~5년 목표인 앱·네트워크 단계를 분리하고 착수월의 현금 집중을 확인합니다
2. 공급사 제안 비교: 모든 제안서에 같은 사용자·기기·앱·사이트 범위와 같은 내부 운영비를 적용해 라이선스만 싼 제안을 과대평가하지 않습니다
3. 파일럿 설계: 각 단계의 보호범위·조건부 감소·실현률을 따로 측정하고 앞 단계 뒤 남은 사고경로를 후속 단계의 분모로 정의합니다
4. 투자심의 문턱: 단계별 NPV 0 연 라이선스 상한을 견적 협상 기준으로 사용하되 보안 의무와 위험수용 기준은 별도 결재 항목으로 둡니다
5. 분기 재평가: 실제 완료월, 반복비, 경보처리시간, 예외율과 사고 데이터를 반영해 NPV·회수·경제 순위를 다시 계산합니다

정확도를 높이는 팁과 주의사항

자주 묻는 질문