조직의 65%가 1년 내에 VPN을 교체할 계획이며, 이는 같은 조사의 이전 판보다 23% 늘어난 수치이고, 81%는 제로 트러스트 전략을 도입 중이거나 계획하고 있다(Zscaler ThreatLabz 2025 VPN Risk Report). 이러한 움직임을 이끄는 것은 설계자만큼이나 공격자이기도 하다. Verizon의 2025년 DBIR은 엣지 장치와 VPN이 취약점 악용 활동에서 차지하는 비중이 3%에서 22%로 뛰었다고 밝혔고, Mandiant의 M-Trends 2026은 취약점 악용이 네트워크 침투의 1순위 경로라는 점을 6년 연속 확인했다. 자금도 그 뒤를 따르고 있다. Dell’Oro Group은 2026년 2분기 SASE 매출을 35억 달러로 집계했으며, 이는 20%를 넘는 성장이 5분기 연속 이어진 것이다. 시장의 소비자 쪽 이야기는 저희 VPN 이용 통계를 참고하세요. 저희는 Zscaler ThreatLabz와 Cybersecurity Insiders, Dell’Oro Group, Verizon, Google Mandiant, CISA, Gartner, Okta, Gallup, 그리고 방법론에 정리한 그 밖의 1차 출처의 데이터를 종합했다.
요약
- 조직의 65%가 1년 내에 VPN 서비스를 교체할 계획이며, 이전 조사보다 23% 증가 (Zscaler ThreatLabz 2025 VPN Risk Report).
- 조직의 56%가 지난 1년간 VPN이 악용된 침해를 겪었다고 보고 (Zscaler ThreatLabz 2025 VPN Risk Report).
- VPN CVE는 2020년부터 2025년까지 82.5% 증가, 분석 대상 취약점은 411건 (Zscaler ThreatLabz, 2025년).
- 엣지 장치와 VPN이 취약점 악용 활동에서 차지하는 비중은 3%에서 22%로 거의 8배 상승 (Verizon DBIR 2025).
- 침해의 31%가 이제 소프트웨어 취약점에서 시작되어, 탈취된 비밀번호를 앞질렀다 (Verizon DBIR 2026).
- 취약점 악용은 초기 침투 경로 1위를 6년 연속 차지했으며 비중은 32% (Mandiant M-Trends 2026).
- CISA는 연방 기관에 2024년 2월 2일까지 모든 Ivanti VPN 어플라이언스의 연결을 끊도록 명령 (CISA ED 24-01).
- SASE 매출은 2026년 2분기에 35억 달러에 도달했고, 20% 넘는 성장이 5분기 연속 이어짐 (Dell’Oro Group, 2026년 9월).
- SASE는 2030년까지 240억 달러, CAGR 15%에 이를 전망 (Dell’Oro Group, 2026년 8월).
- Gartner는 2025년까지 신규 원격 접근 도입의 최소 70%가 VPN 대신 ZTNA를 사용할 것이라고 예측했으며, 2021년에는 10% 미만이었다 (Gartner, Data Center Knowledge 경유).
- 고보증 MFA 도입률은 41%에서 58%로 상승 (Okta Businesses at Work 2026).
- 원격 근무가 가능한 미국 직원의 52%는 하이브리드로, 26%는 완전 원격으로 근무 (Gallup, 2026년 5월).
1. VPN 교체 의향: 대부분의 기업은 결정했지만 실행에 옮긴 곳은 적다
의사 결정 단계는 끝났고, 남은 질문은 기업이 얼마나 빨리 실행할 수 있느냐다. 2025년 초 IT 및 보안 전문가 632명을 대상으로 한 조사를 바탕으로 Cybersecurity Insiders와 함께 작성된 Zscaler ThreatLabz 2025 VPN Risk Report에서 조직의 65%는 1년 내에 VPN 서비스를 교체할 계획이라고 답했으며, 이는 이전 보고서보다 23% 늘어난 수치다. 56%는 보안과 규정 준수 위험 때문에 기존 VPN이 시대에 뒤떨어졌다고 답했고, 96%는 제로 트러스트 접근 방식을 도입했거나 계획했거나 지지한다.
이 분야에서는 의향이 현실보다 앞서 나가는 경우가 오래 이어져 왔다. Gartner는 2025년까지 신규 원격 접근 도입의 최소 70%가 VPN이 아닌 ZTNA에 의존할 것이라고 예측했는데, 이는 2021년 말의 10% 미만에서 늘어난 수치이며, 2023년 ZTNA 지출이 31% 성장할 것으로 전망했다(Data Center Knowledge, 2022년 10월). 핵심 단어는 ‘신규’다. 이미 설치된 VPN 집중 장치는 계약, 장애, 침해 중 하나가 변화를 강제할 때까지 계속 가동되며, 그래서 2025년에도 세 곳 중 두 곳에 가까운 기업(65%)이 교체를 계획하는 단계에 머물러 있었다.
| 지표 | 값 | 출처 |
|---|---|---|
| 1년 내 VPN 교체를 계획하는 조직 | 65% (이전 보고서 대비 23% 증가) | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 VPN Risk Report |
| 12개월 내 제로 트러스트 도입 중 또는 계획 / 제로 트러스트를 전반적으로 지지 | 81% / 96% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 보안과 규정 준수 위험 때문에 VPN이 시대에 뒤떨어졌다고 응답 | 56% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 2025년 ZTNA를 사용하는 신규 원격 접근 도입 (예측) | 최소 70%, 2021년에는 10% 미만 | Gartner, Data Center Knowledge 경유, 2022년 |
| ZTNA 지출 성장 전망, 2023년 | 31% | Gartner, Data Center Knowledge 경유, 2022년 |
| 제로 트러스트 모델에 대한 관심 (AFCOM 조사) | 56% (2021년)에서 79% (2022년) | AFCOM, Data Center Knowledge 경유, 2022년 |
| 제로 트러스트 프로젝트를 진행 중인 북미 조직 | 60% (전 세계 40%), 2019년에는 16% | Okta State of Zero Trust Security, 2020년 |
참고: Gartner와 Okta의 수치는 입수 가능한 가장 최근 데이터(2020년부터 2022년)이며 기준선으로 포함했다. Zscaler 보고서는 ZTNA 공급업체가 의뢰한 것이므로, 교체 의향 수치는 시장 전수 조사가 아니라 흐름의 방향으로 읽어야 한다. 원격 접근을 넘어서는 더 넓은 프레임워크는 저희 제로 트러스트 보안 통계에서 다룬다.
2. 기업의 실제 현주소: 레거시 환경과 도입 단계
헤드라인 아래를 들여다보면, 대부분의 네트워크는 여전히 2015년과 비슷하다. 조직의 24%는 여전히 인증된 모든 사용자에게 네트워크에 대한 개방형 접근을 허용하고 있으며, 다른 28%는 정적인 네트워크 방화벽 규칙에 의존한다(Cybersecurity Insiders, Zscaler ThreatLabz 2025 VPN Risk Report). 이는 ZTNA가 없애도록 설계된 바로 그 패턴이다. VPN 세션이 일단 연결되면 평면적인 네트워크에서는 공격자가 자유롭게 돌아다닐 수 있다. 당연하게도 응답자의 71%가 수평 이동을 가장 큰 우려 사항 중 하나로 꼽았고, Zscaler 자체의 조사 요약은 수평 이동을 우려하는 비율을 89%로 제시한다.
제로 트러스트 도입은 실제로 진행 중이지만 속도는 제각각이다. 이미 제로 트러스트를 구현 중인 조직은 35%에 불과하고, 24%는 6개월 내 도입을 계획하며, 22%는 이듬해를 위한 전략을 갖고 있다. 방화벽은 여전히 기본 통제 수단으로 84%가 사용한다. 신원은 네트워크보다 빠르게 움직이고 있다. Okta의 Businesses at Work 2026은 고보증 MFA 도입률이 41%에서 58%로 올랐지만, 위협은 고보증 인증 도입보다 6.3배 빠르게 늘었다고 보고한다.
| 지표 | 값 | 출처 |
|---|---|---|
| 접근 모델: 인증된 사용자에게 개방형 접근 / 정적 방화벽 규칙 | 24% / 28% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 제로 트러스트 현황: 현재 구현 중 / 6개월 내 / 내년 | 35% / 24% / 22% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 도입된 방어 도구: 방화벽 / WAF / NAC / VPN | 84% / 58% / 54% / 43% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 수평 이동을 가장 큰 우려 사항 중 하나로 꼽음 | 71% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 고보증 MFA 도입률 | 41%에서 58% | Okta Businesses at Work 2026 |
| 고보증 인증 도입 대비 위협 증가 속도 | 6.3배 빠름 | Okta Businesses at Work 2026 |
| 네트워크를 접근 결정의 최우선 요소로 꼽은 비율 | 55% (2019년)에서 20% (2020년) | Okta State of Zero Trust Security, 2020년 |
참고: ‘VPN에 의존한다’는 43%라는 수치는 사용 중인 방어 도구에 관한 질문에서 나온 것으로, 응답자의 57%가 VPN을 쓰지 않는다는 뜻이 아니다. 이 조사는 VPN을 사용하는 조직을 대상으로 했다. Okta의 2020년 네트워크 요소 데이터는 3년이 넘은 것이다(입수 가능한 가장 최근 데이터).
3. VPN 공격 표면: CVE는 계속 늘고 있다
VPN 교체가 IT 로드맵에서 이사회 안건으로 옮겨 간 이유는 취약점 건수에 있다. Zscaler ThreatLabz는 2020년부터 2025년까지 공개된 VPN 관련 CVE 411건을 분석했으며, 이 기간 동안 VPN CVE가 82.5% 증가했고 2024년 취약점의 약 60%가 높음 또는 치명적 등급으로 평가되었음을 확인했다(Zscaler ThreatLabz 블로그, 2025년). 가장 흔한 영향은 원격 코드 실행으로, 5년 동안 149건의 CVE가 있었고 그중 2024년에만 32건이었다.
건수보다 구성이 더 중요하다. VPN 게이트웨이는 설계상 인터넷에 노출되어 있으므로, 그곳의 원격 코드 실행 결함은 로컬 버그가 아니라 인증 이전 단계에서 기업 네트워크로 들어가는 문이다. 서비스 거부 CVE는 2020년 9건에서 2024년 27건으로 세 배가 되었고, 권한 상승 CVE는 66.7% 늘었다. 한편 CISA의 알려진 악용 취약점 목록에는 2026년 10월 확인 시점에 1,733건이 올라 있었고, ThreatLabz 블로그는 그중 하나인 치명적인 Ivanti 결함 CVE-2025-22457을 기관들이 패치하도록 지시받은 알려진 악용 VPN 버그로 지목한다. 침해 측면의 결과는 저희 데이터 침해 통계에서 추적한다.
| 지표 | 값 | 출처 |
|---|---|---|
| 분석된 VPN CVE, 2020년부터 2025년 | 411 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| VPN CVE 증가, 2020년부터 2025년 | +82.5% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 높음 또는 치명적으로 평가된 2024년 VPN CVE | 약 60% (83건); 높음/치명적 CVE는 2020년 대비 +38.9% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 원격 코드 실행 VPN CVE | 총 149건, 2024년 32건 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 서비스 거부 VPN CVE | 9건 (2020년)에서 27건 (2024년), +200% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 권한 상승 VPN CVE | +66.7% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CISA 알려진 악용 취약점(KEV) 목록의 등재 건수 | 1,733건 (2026년 10월) | CISA KEV 목록 |
참고: 이 CVE 행들은 ThreatLabz의 단일 분석에 기반하며 하나의 출처로 간주한다. Zscaler는 VPN을 대체하는 ZTNA 제품을 판매하므로 이 분석은 중립적이지 않지만, CVE 건수 자체는 공개되어 있어 검증할 수 있다.
4. 취약점에서 침해로: 사고 데이터가 보여주는 것
CVE 추세는 이론이 아니라 침해 조사에서 실제로 나타난다. Verizon의 2025년 데이터 침해 조사 보고서는 엣지 장치와 VPN이 취약점 악용 활동에서 차지하는 비중이 3%에서 22%로, 1년 만에 거의 여덟 배 뛰었다고 밝혔으며, 이러한 엣지 취약점 중 완전히 조치된 것은 54%에 불과했고 중앙값은 32일이 걸렸다(Verizon DBIR 2025에 대한 Eclypsium 분석). Verizon의 2025년 발표 자료는 또한 초기 경로로서의 취약점 악용이 34% 늘어 확인된 침해 12,195건 중 20%를 차지했고, 자격 증명 악용은 22%였다고 집계한다.
2026년 판에서는 역전이 완료되었다. Verizon DBIR 2026은 침해의 31%가 이제 소프트웨어 취약점에서 시작되어 탈취된 비밀번호를 제치고 최대 침입 경로가 되었다고 밝힌다. Mandiant의 사고 대응 데이터도 같은 결론이다. M-Trends 2026은 취약점 악용이 초기 침투 경로 1위를 6년 연속 차지했으며 32%라고 밝히고, 네트워크 장비에 숨어 있는 스파이 활동용 백도어 BRICKSTORM이 평균 400일 가까이 탐지되지 않았다고 보고한다. 엔드포인트 에이전트가 없는 장비야말로 공격자가 가장 오래 숨는 곳이다.
| 지표 | 값 | 출처 |
|---|---|---|
| 취약점 악용에서 엣지 장치와 VPN이 차지하는 비중 | 3%에서 22% (거의 8배) | Verizon DBIR 2025, Eclypsium 경유 |
| 완전히 조치된 엣지 취약점 / 조치까지 걸린 시간의 중앙값 | 54% / 32일 | Verizon DBIR 2025, Eclypsium 경유 |
| 초기 경로: 자격 증명 악용 대 취약점 악용 | 22% 대 20% (취약점 악용 +34%) | Verizon DBIR 2025 |
| 소프트웨어 취약점에서 시작되는 침해 | 31% (최대 침입 경로) | Verizon DBIR 2026 |
| 제3자가 관여한 침해 | 30% (15%에서 두 배) | Verizon DBIR 2025 |
| 초기 침투 경로로서의 취약점 악용 | 33% (2024년 조사), 32% (2025년) | Mandiant M-Trends 2025 및 2026 |
| 전 세계 체류 기간 중앙값 | 11일 (2024년)에서 14일 (2025년) | Mandiant M-Trends 2025 및 2026 |
| 네트워크 장비에서 BRICKSTORM 백도어의 체류 기간 | 400일 가까이 | Mandiant M-Trends 2026 |
참고: Verizon의 엣지 장치와 VPN 수치는 DBIR 전문이 가입 후 내려받는 방식이어서 Eclypsium의 분석을 통해 확인했으며, 2026년 주요 수치는 Verizon 자체 안내 페이지에서 가져왔다. VPN 계정이 외주 업체에 건네지는 경우가 많으므로 제3자 접근이 중요하며, Zscaler 응답자의 93%는 제3자 VPN 연결을 통한 백도어를 우려한다. 저희 랜섬웨어 통계가 보여주듯, 랜섬웨어 조직이 주된 수혜자다.
5. 정부의 대응: VPN 게이트웨이를 겨냥한 긴급 지침
규제 당국은 이제 VPN 장비를 비상 등급의 위험으로 취급한다. 2024년 1월 19일 CISA는 CVE 3건을 대상으로 Ivanti Connect Secure와 Policy Secure에 대한 긴급 지침 24-01을 발령했고, 보충 지시를 통해 각 기관에 2024년 2월 2일까지 모든 Ivanti 인스턴스의 연결을 끊고, 공장 초기화를 하며, 도메인 계정이 침해되었다고 가정하도록 명령했다. 한 달 뒤 공동 권고문 AA24-060B는 공격자가 Ivanti의 Integrity Checker Tool을 속여 공장 초기화 이후에도 루트 수준의 지속성을 유지할 수 있다고 보고했다.
같은 패턴이 다른 업체에서도 반복되었다. 2025년 9월 25일 발령되어 2026년 4월 23일 갱신된 긴급 지침 25-03은 CVE-2025-20333과 CVE-2025-20362를 통해 악용된 Cisco ASA 장비에 대해 약 하루 안에 포렌식용 코어 덤프를 확보하도록 요구했다. 경계 장비가 초기화 이후에도 살아남을 수 있다면, 유일하게 안전한 해법은 노출된 장비를 줄이는 것이며, 이것이 CISA의 제로 트러스트 성숙도 모델 뒤에 있는 정책 논리다.
| 지표 | 값 | 출처 |
|---|---|---|
| ED 24-01 발령 (Ivanti Connect Secure / Policy Secure) | 2024년 1월 19일; CVE 3건 | CISA ED 24-01 |
| 초기 완화 기한 / 공급업체 수정 후 패치 기한 | 2024년 1월 22일 / 48시간 | CISA ED 24-01 |
| 모든 Ivanti 인스턴스의 연결을 끊어야 하는 기한 | 2024년 2월 2일 (비밀번호는 2024년 3월 1일까지 두 번 재설정) | CISA ED 24-01 Supplemental Direction V1 |
| 공장 초기화 이후에도 지속성이 유지됨이 입증됨 | 예, 루트 수준 | CISA AA24-060B, 2024년 2월 29일 |
| ED 25-03 발령 (Cisco ASA 및 Firepower) | 2025년 9월 25일; CVE 2건 | CISA ED 25-03 |
| ED 25-03 자산 목록 작성 기한 / Firepower 하드 리셋 기한 | 2025년 10월 2일 / 2026년 4월 30일 | CISA ED 25-03 |
| CISA 제로 트러스트 성숙도 모델 | 버전 2.0; 5개 기둥, 3개 공통 역량, 4개 성숙 단계 | CISA ZTMM |
참고: Ivanti 관련 지침은 2024년의 것이지만, 미국 연방 정부 전반에서 VPN 제품군이 가동 중단된 사례로 여전히 가장 많이 인용된다. Zscaler ThreatLabz 블로그도 2025년의 알려진 악용 치명적 Ivanti 결함 CVE-2025-22457을 언급하며, 문제가 ED 24-01로 끝나지 않았다는 증거로 제시한다.
6. 시장 규모: SASE와 SSE 지출은 계속 복리로 불어난다
지출은 설문 조사보다 이러한 변화를 더 잘 확인해 준다. Dell’Oro Group은 SASE 시장이 2026년 2분기에 35억 달러에 도달했으며, 전년 대비 20%를 넘는 성장이 5분기 연속 이어졌다고 보고한다(Dell’Oro Group, 2026년 9월). 2026년 1분기에는 시장이 30억 달러를 넘어 21% 성장했고, Security Service Edge(ZTNA를 포함하는 SSE 묶음)는 22% 늘었으며 액세스 라우터 매출은 10% 줄었다. Dell’Oro는 2026년 2분기에 핵심 SSE의 성장이 둔화된 반면 레거시 제품에서의 이전은 이어졌다고 지적하는데, 이는 VPN 교체가 매출로 나타나는 것이다.
전망은 계속 상향 수정되고 있다. 2025년 2월 Dell’Oro는 CAGR 12%로 2029년까지 170억 달러를 예상했고, 2026년 8월에는 전망을 2030년까지 240억 달러, CAGR 15%로 높였으며, 핵심 SSE만으로도 130억 달러를 넘을 것으로 봤다. 2022년에는 Dell’Oro가 FWaaS와 ZTNA 매출이 1년 만에 두 배 넘게 늘었다고 보고했다(SDxCentral, 2022년 7월).
| 지표 | 값 | 출처 |
|---|---|---|
| SASE 매출, 2026년 2분기 | 35억 달러 (전년 대비 +20% 초과가 5분기 연속) | Dell’Oro Group, 2026년 9월 |
| SASE 매출, 2026년 1분기 / SSE 성장 | 30억 달러 초과, +21% / SSE +22% | Dell’Oro Group, 2026년 6월 |
| SASE 매출, 2025년 2분기 / SSE / SD-WAN 성장 | 27억 달러, +22% / +19% / +27% | Dell’Oro Group, 2025년 9월 |
| SD-WAN과 SSE를 모두 제공하는 업체의 SASE 매출 비중 | 84% (2025년 2분기) | Dell’Oro Group, 2025년 9월 |
| SASE 전망 | 2030년까지 240억 달러, CAGR 15%; 핵심 SSE는 130억 달러 초과 | Dell’Oro Group, 2026년 8월 |
| 이전 SASE 전망 / 단일 업체 비중 | 2029년까지 170억 달러, CAGR 12% / 시장의 90% | Dell’Oro Group, 2025년 2월 |
| 네트워크 보안 매출, 2025년 2분기 / 신규 지출 중 가상 및 SaaS 비중 | 64억 달러, +8% / 78% | Dell’Oro Group, 2025년 9월 |
| SSE 매출, 2022년 1분기 | 8억 달러 초과, +40% (FWaaS와 ZTNA는 두 배 넘게 증가) | Dell’Oro Group, SDxCentral 경유, 2022년 7월 |
참고: 2022년 Dell’Oro는 SASE 시장이 2026년까지 130억 달러를 넘을 것으로 예측했다(SDxCentral, 2022년 8월). 2026년 1분기와 2분기가 각각 30억 달러 초과와 35억 달러이므로 상반기만으로 65억 달러를 넘어, 이 전망은 순조로워 보인다. Dell’Oro는 또한 네트워크 보안이 2025년에 260억 달러를 넘어설 것으로 예상되며, 하드웨어 어플라이언스는 2% 감소하는 반면 클라우드 기반 통제는 20% 성장할 것이라고 보고한다.
7. 사용자 경험, 비용, 그리고 하이브리드 인력
ZTNA를 뒷받침하는 가장 큰 논거는 보안이지만, 직원들이 체감하는 것은 일상의 불편이다. 조직의 51%는 자사 VPN의 사용자 경험이 나쁘다고 답했고, 37%는 높은 비용을 호소한다(Zscaler ThreatLabz 2025 VPN Risk Report). 구체적인 불만은 평범하다. 23%는 느린 연결, 20%는 복잡한 로그인, 17%는 인증 오류를 보고하며, IT 팀의 47%는 잦은 패치 요구를, 54%는 문제 해결의 어려움을 꼽는다. 실시간 음성 및 영상 통화에서는 중앙 VPN 집중 장치를 거치는 홉이 하나 늘 때마다 지연이 추가되고, 사용자는 이를 끊김으로 체감한다.
VPN이 전제로 했던 인력 구성은 더 이상 존재하지 않는다. Gallup의 2026년 5월 데이터는 원격 근무가 가능한 미국 직원의 52%가 하이브리드로, 26%가 전적으로 원격으로 근무하며, 완전 출근은 22%에 불과함을 보여주며, 이 구성은 2022년 이후 안정적으로 유지되고 있다. 출장 다니는 소수 직원을 위한 예외적 경로로 만들어진 VPN이 이제는 원격 근무가 가능한 근로자의 78%(하이브리드 52% + 원격 26%)에게 주된 통로가 되었으며, 이 주제는 저희 원격 근무 통계에서 추적한다.
| 지표 | 값 | 출처 |
|---|---|---|
| VPN의 사용자 경험이 나쁘다고 응답 / 높은 비용을 지적 | 51% / 37% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| 주요 불만: 느린 속도 / 복잡한 로그인 / 인증 오류 | 23% / 20% / 17% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 관리 부담: 문제 해결 / 잦은 패치 / 자원 비용 | 54% / 47% / 41% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 기대하는 제로 트러스트 효과: 보안과 규정 준수 / 더 간단한 관리 / 비용 절감 | 76% / 64% / 18% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025년 |
| 원격 근무가 가능한 미국 직원: 하이브리드 / 완전 원격 / 출근 | 52% / 26% / 22% (2026년 5월) | Gallup Indicator: Hybrid Work |
| 하이브리드 근무를 선호하는 직원 | 61% | Gallup Indicator: Hybrid Work |
참고: 제로 트러스트가 운영 비용을 줄여줄 것으로 기대하는 응답자는 18%에 불과하므로, 도입의 근거는 저렴한 라이선스가 아니라 위험 감소와 사용자 경험에 있다.
숫자로 보는 기업 VPN과 ZTNA 도입 현황
| 지표 | 값 | 출처 |
|---|---|---|
| 1년 내 VPN 교체 계획 | 65% (이전 보고서 대비 +23%) | Zscaler ThreatLabz 2025 VPN Risk Report |
| 12개월 내 제로 트러스트 도입 중 또는 계획 | 81% | Zscaler ThreatLabz 2025 VPN Risk Report |
| 지난 1년간 VPN이 악용된 침해를 보고 | 56% | Zscaler ThreatLabz 2025 VPN Risk Report |
| VPN CVE 증가, 2020년부터 2025년 | +82.5% (CVE 411건) | Zscaler ThreatLabz, 2025년 |
| 인증된 사용자에게 개방형 접근 허용 | 24% | Cybersecurity Insiders, 2025년 |
| 취약점 악용에서 엣지 장치와 VPN이 차지하는 비중 | 3%에서 22% | Verizon DBIR 2025 |
| 완전히 조치된 엣지 취약점 | 54% (중앙값 32일) | Verizon DBIR 2025 |
| 소프트웨어 취약점에서 시작되는 침해 | 31% | Verizon DBIR 2026 |
| 초기 침투 경로 1위인 취약점 악용 | 32% (6년 연속) | Mandiant M-Trends 2026 |
| 네트워크 장비 백도어의 체류 기간 | 400일 가까이 | Mandiant M-Trends 2026 |
| CISA KEV 목록의 규모 | 취약점 1,733건 | CISA, 2026년 10월 |
| 각 기관의 Ivanti VPN 연결 차단 기한 | 2024년 2월 2일 | CISA ED 24-01 |
| Cisco ASA 긴급 지침 | 2025년 9월 25일 | CISA ED 25-03 |
| SASE 매출, 2026년 2분기 | 35억 달러 | Dell’Oro Group |
| SSE 성장, 2026년 1분기 | 전년 대비 +22% | Dell’Oro Group |
| SASE 전망, 2030년 | 240억 달러 (CAGR 15%) | Dell’Oro Group |
| 2025년까지 신규 원격 접근에서 ZTNA가 차지하는 비중 (예측) | 최소 70% | Gartner |
| 고보증 MFA 도입률 | 41%에서 58% | Okta Businesses at Work 2026 |
| 원격 근무가 가능한 미국 근로자 중 하이브리드 비중 | 52% | Gallup, 2026년 5월 |
| VPN 사용자 경험이 나쁘다고 응답 | 51% | Zscaler ThreatLabz 2025 VPN Risk Report |
방법론과 출처
위에 제시한 모든 수치는 이 글을 위한 조사 중에 직접 확인했으며, 이를 발표한 기관에 귀속시켰다. 1차 출처 페이지가 가입 후 열람 방식이거나 자동 접근을 차단한 경우(Verizon의 DBIR 전문, Gartner의 뉴스룸)에는 원본 연구를 인용하는 실명의 중개 출처를 사용했으며 아래에 그 사실을 밝혔다. 보고서 재판매업체와 SEO용 목록형 글에서 나온, 출처가 불분명한 ‘ZTNA 시장’과 ‘VPN 시장’ 규모 추정치는 제외했다.
- Zscaler ThreatLabz와 Cybersecurity Insiders, 2025 VPN Risk Report: 보도자료, ThreatLabz 연구 블로그, 보고서 요약, Cybersecurity Insiders 상세 페이지
- Dell’Oro Group: SASE 2026년 2분기, SASE 2026년 1분기, SASE 2025년 2분기, 2030년까지의 SASE 전망 (PR Newswire, 2026년 8월), 2029년까지의 SASE 전망 (2025년 2월), 네트워크 보안 2025년 2분기; 2022년 수치는 SDxCentral (2022년 7월)와 SDxCentral (2022년 8월) 경유
- Verizon: DBIR 2026 안내 페이지, DBIR 2025 보도자료; 엣지 장치와 VPN 세부 내용은 Eclypsium 경유
- Google Mandiant: M-Trends 2026, M-Trends 2025
- CISA: ED 24-01 (Ivanti), AA24-060B, ED 25-03 (Cisco), 알려진 악용 취약점 목록, 제로 트러스트 성숙도 모델
- Gartner의 ZTNA 예측과 AFCOM 조사는 Data Center Knowledge (2022년 10월) 경유
- Okta: Businesses at Work 2026, State of Zero Trust Security in Global Organizations (2020년)
- Gallup: Indicator: Hybrid Work (2026년 5월)
- 데이터 참고 사항: VPN에 특화된 가장 풍부한 조사 데이터는 공급업체가 의뢰한 단일 연구(Zscaler와 Cybersecurity Insiders, 응답자 632명, 2025년 초)에서 나온다. Zscaler는 ZTNA를 판매하며, 자사 페이지에서 수평 이동에 대한 우려를 71%(가장 큰 우려로 선택)와 89%(어느 정도라도 우려)로 모두 제시하므로, 각각을 해당 표현 그대로 인용한다. 설치된 VPN과 ZTNA 라이선스 수를 무료로 공개하는 중립적인 기관은 없으며, 2025년 ZTNA 70%라는 Gartner의 예측에도 공개된 성적표가 없다. SASE 시장 규모는 Dell’Oro Group의 자료만 사용했다. Gartner나 IDC의 SASE 전망에는 접근할 수 없었고, Dell’Oro 자체 전망도 2026년까지 130억 달러(2022년 예측)에서 2029년까지 170억 달러(2025년), 2030년까지 240억 달러(2026년)로 바뀌었다. Verizon의 2025년 엣지 장치 수치는 전체 보고서가 가입 후 열람 방식이라 Eclypsium을 통해 확인했으며, 2026년 DBIR의 엣지 장치 세부 내역은 Verizon의 공개 페이지에서 확인할 수 없었다. Gartner의 뉴스룸과 NSA 사이트는 403 오류를 반환했고 OMB M-22-09는 분석할 수 없었으므로, 연방 제로 트러스트 기한은 여기서 정량화하지 않았다. Okta의 2020년 수치와 Gartner의 2022년 수치는 3년이 넘은 것이다(입수 가능한 가장 최근 데이터). Zscaler VPN Risk Report의 2026년 판이 발행된다면 섹션 1, 2, 3, 7을 대체하게 된다.
마지막 업데이트: 2026년 10월 3일. 저희는 이 정리를 분기마다 업데이트하며, 다음 갱신은 Dell’Oro Group이 2026년 3분기 SASE 및 SD-WAN 보고서를 발표하고 Zscaler ThreatLabz가 다음 VPN Risk Report를 공개할 때 이루어질 예정이다.