아르미스의 4억 3,500만 달러 IPO 전 도박: '노출 관리'는 실체인가, 단순한 과장인가?
아미스(Armis)의 4억 3,500만 달러 IPO 전 베팅: ‘노출 관리(Exposure Management)’는 실체인가, 아니면 그저 과대광고인가?
골드만삭스와 캐피털G는 사이버 보안의 모든 영역을 연결하는 것이 차세대 크라우드스트라이크(CrowdStrike)를 탄생시킬 수 있다는 데 61억 달러를 베팅했습니다. 시장은 이제 그들의 판단이 맞는지 알게 될 것입니다.
샌프란시스코 — 아미스의 예브게니 디브로프(Yevgeny Dibrov) CEO가 올해 초 인수 제안을 거절했을 때, 그는 단순히 회사의 독립성을 지키려 한 것이 아니었습니다. 그는 ‘사이버 노출 관리’라는 비전에 대한 확신을 더욱 굳혔습니다. 사이버 노출 관리는 조직 내 모든 기기, 모든 위험, 모든 사각지대를 찾아내는 화려하진 않지만 필수적인 업무이며, 마이크로소프트(Microsoft) 보안 제품군의 단순한 추가 기능을 넘어 1,000억 달러 규모의 독자적인 산업으로 성장할 수 있다는 비전입니다.
이러한 확신은 대규모 투자로 확증되었습니다. 11월 5일, 골드만삭스 얼터너티브(Goldman Sachs Alternatives)와 알파벳(Alphabet)의 캐피털G(CapitalG)는 4억 3,500만 달러 규모의 IPO 전 투자 라운드를 주도하여 아미스의 가치를 61억 달러로 평가했습니다. 이는 2024년 10월 대비 45% 상승한 수치입니다. 현재 이 회사는 연간 반복 매출(ARR) 3억 달러 이상을 기록하고 있으며, 연간 50% 이상 성장하고 있습니다. 또한 포춘 100대 기업 중 40%, 상위 10개 기업 중 7개를 고객으로 두고 있습니다.
그러나 타이밍은 미묘합니다. 사이버 보안 시장은 그 어느 때보다 경쟁이 치열하지만, 데이터 유출 사고의 70%는 여전히 기업이 존재조차 몰랐던 자산에서 발생합니다. 인터넷 연결 기기, 공장 제어 시스템, 클라우드 서버, AI 인프라가 끊임없이 증가하면서 보안팀은 그림자만 쫓는 형국입니다. 골드만삭스 얼터너티브의 이릿 카한(Irit Kahan) 전무이사는 “사각지대가 알려진 취약점을 앞지르고 있다”고 말합니다.
20배 멀티플의 의문
아미스의 기업 가치(현재 ARR의 약 20배)는 많은 것을 전제합니다. 이 숫자를 정당화하려면 회사는 40% 이상의 성장을 지속하고, 불과 18개월 만에 이루어진 세 건의 인수합병을 성공적으로 통합하며, 3년 내 10억 달러 ARR 달성을 향해 질주해야 합니다. 참고로 사이버 보안 업계의 총아인 크라우드스트라이크조차 최고점에서 22배 ARR 멀티플을 기록했을 뿐이며, 운영 기술(OT), 클라우드, AI 보안 인수를 동시에 감당하지는 않았습니다.
한 내부 투자 메모는 “그 숫자는 피치 덱(pitch deck)만큼이나 많은 것을 말해준다”고 적고 있습니다. “골드만과 캐피털G는 단순히 성장을 사는 것이 아닙니다. 시장이 전체 공격 표면을 보호한다고 주장하는 모든 기업에 보상을 하는 동안 OT, IoT, 클라우드의 경계를 지속적으로 통합할 수 있는 유연성을 사는 것입니다.”
이는 쉽지 않은 일입니다. 아미스는 세 가지 전선에서 경쟁자들에 직면해 있습니다. 클라로티(Claroty) 및 노조미(Nozomi, 미쓰비시가 10억 달러에 인수)와 같은 특화된 OT 전문 기업, 액소니우스(Axonius)와 같은 자산 관리 신생 기업, 그리고 마이크로소프트와 팔로알토 네트웍스(Palo Alto Networks)와 같은 거대 기술 기업들입니다. 이들 모두 이제 추가 비용 없이 IoT 가시성을 포함하고 있습니다. 아미스의 강점은 중립성에 있습니다. 즉, 고객을 단일 생태계에 묶어두지 않습니다. 그러나 마이크로소프트가 Defender for IoT를 업데이트할 때마다 그 강점은 줄어들고 있습니다.
4억 3,500만 달러로 실제로 무엇을 얻는가
화려한 홍보 문구 뒤에는 이 새로운 자본이 해야 할 세 가지 임무가 있습니다. 첫째, 아미스는 최근 인수한 기업들을 단일 플랫폼인 Armis Centrix™로 통합하여 ‘지상에서 클라우드까지(from ground to cloud)’ 모든 자산을 진정으로 보여줄 수 있어야 합니다. 둘째, 해외 확장을 해야 합니다. 특히 유럽에서는 새로운 DORA 및 NIS2 규정에 따라 주요 인프라 운영자가 자신들의 공격 표면을 한 치의 오차도 없이 파악해야 합니다. 셋째, 추가 인수합병의 자금으로 사용되어야 합니다.
한 투자자는 “만약 이 현금을 사용하여 신원 노출, AI 인프라 보안 또는 OT 복구 분야와 같은 몇몇 틈새 전문 팀들을 추가로 인수한다면, IPO 투자자들에게 ‘당신들이 기대했던 통합 작업을 이미 완료했다’고 말할 수 있을 것”이라며 “이러한 이야기는 프리미엄을 받게 할 것”이라고 말합니다.
기술은 걱정거리가 아닙니다. 아미스는 가트너 피어 인사이트(Gartner Peer Insights)에서 5점 만점에 4.7점을 기록했으며, 포레스터(Forrester)의 2025년 3분기 통합 취약점 관리 웨이브(Wave)에서 1위를 차지했습니다. 진정한 도전 과제는 고투마켓(go-to-market) 전략의 확장성 문제입니다. ‘지상에서 클라우드까지’ 보안을 판매하는 것은 IT 팀, 공장 엔지니어, 심지어 시설 관리자까지 상대해야 한다는 것을 의미합니다. 이들은 각자 느린 의사결정 주기를 가지고 있습니다. 3억 달러 미만의 ARR에서는 이러한 지연이 신규 고객 증가에 가려지지만, 5억 달러 이상에서는 더 이상 숨겨지지 않습니다.
2019년부터 아미스를 지원해 온 캐피털G의 데릭 자누토(Derek Zanutto)는 다르게 보고 있습니다. “아미스는 여러 세대에 걸쳐 이어질 사이버 보안의 거대 기업을 건설하고 있습니다.” 이 문구, 즉 ‘다세대’라는 표현은 캐피털G가 이 회사를 어떻게 보는지 모든 것을 말해줍니다. 즉, 단순히 또 다른 기능이 아닌 핵심 인프라로 보고 있는 것입니다.
파급 효과
이번 투자 라운드는 모든 후기 단계 사이버 보안 스타트업의 기준을 재설정합니다. 아미스가 포춘 100대 기업 침투율과 3억 달러 ARR로 61억 달러의 가치를 인정받을 수 있다면, 그 절반의 매출로 30억 달러 가치를 추구하는 소규모 OT 또는 IoT 기업들은 그 가치를 정당화할 진정으로 독특한 무언가가 필요할 것입니다. 기준점이 더 높아진 것입니다.
이는 또한 투자자들이 투자하지 말아야 할 분야를 보여줍니다. 범용적인 에이전트 없는(agentless) 발견 기능은? 아미스가 이미 선점했습니다. 광범위한 OT 가시성은? 오토리오(Otorio)를 인수했습니다. 노출 대시보드는? 그것은 이미 지나간 문제입니다. 이제 더 현명한 움직임은 ‘노출(exposure)’에서 ‘행동(action)’으로 이어지는 도구를 구축하는 것입니다. 특히 잘못된 기기를 패치하면 생산이 중단될 수 있는 공장이나 인프라 시스템에서는 더욱 그렇습니다. AI 기반 환경 매핑, 유럽의 DORA 및 NIS2 규제 준수 모듈, 그리고 아미스의 대부분의 기능을 훨씬 저렴한 가격으로 제공하는 합리적인 가격의 중견기업용 버전도 성장할 여지가 있습니다.
그러나 거대 기업들이 가만히 있지는 않을 것입니다. 마이크로소프트와 팔로알토 네트웍스는 IoT 및 OT 가시성 기능을 기존 제품군에 거의 무료로 묶어 제공할 수 있습니다. 만약 그렇게 된다면, 투자자들은 아미스가 높은 마진을 유지할 수 있는 능력에 의문을 제기할 수 있습니다. 반대로, 아미스가 40% 이상의 성장을 지속하면서 90%의 매출총이익률을 유지한다면, ‘노출 관리’가 그저 유행어가 아니라 수십억 달러 규모의 시장이라는 것을 증명할 것입니다.
향후 전망
아미스는 2026년 말 또는 2027년 초에 상장할 계획입니다. 이는 회사가 이 모든 움직이는 요소들을 통합할 수 있다는 것을 증명할 약 6분기의 시간을 의미합니다. 투자자들은 세 가지 주요 징후를 주시할 것입니다. 인수합병에 전투 자금을 얼마나 빨리 소진하는지, 유럽과 아시아에서 미국 수준의 가격으로 고부가가치 계약을 성사시킬 수 있는지, 그리고 고객 유지율이 얼마나 강력한지(이 지표는 공개되지 않았지만)를 지켜볼 것입니다.
궁극적인 질문은 간단합니다. 기업들은 정말로 하나의 통합된 노출 관리 플랫폼을 원하는가, 아니면 ‘플랫폼’이라는 것이 여러 개의 개별 도구를 이어 붙인 것에 대한 그저 화려한 마케팅 문구일 뿐인가? 디브로프는 첫 번째 답에 베팅하고 있습니다. 골드만과 캐피털G는 분명 동의하며, 이를 증명하기 위해 4억 3,500만 달러를 투자했습니다.
2026년 말까지 우리는 ‘사이버 노출 관리’가 차세대 주요 사이버 보안 분야가 될지, 아니면 역사책에 남을 또 하나의 인상적인 슬로건에 불과할지 알게 될 것입니다.
본 기사는 투자 조언이 아닙니다.