사이버공격 한 번이 매출을 멈춘다: ‘보안’이 곧 기업의 현금흐름인 시대
많은 투자자들이 기업을 볼 때 매출 성장률, 영업이익률, 신제품 같은 “겉으로 보이는 지표”부터 확인합니다. 그런데 요즘은 하나를 더 봐야 합니다. 그 회사가 실제로 ‘일을 계속할 수 있는 구조’를 갖췄는지입니다.
최근 의료기기 기업 스트라이커(Stryker)가 겪은 사례는 이걸 아주 현실적으로 보여줍니다. 사이버공격이 발생했고, 회사는 “공격을 통제(contained)했다”고 밝혔지만, 문제는 그 다음입니다. 주문 처리, 제조, 출하 같은 핵심 운영이 한동안 제대로 돌아가지 않았다는 점이죠.
이 사건이 던지는 메시지는 단순합니다.
이제 보안은 IT 부서의 체크리스트가 아니라, 기업의 현금흐름을 지키는 ‘운영 인프라’입니다.
1) 사이버공격의 진짜 타격은 ‘뉴스’가 아니라 ‘주문·출하’에서 나온다
스트라이커 사례에서 핵심은 “해킹을 당했다”가 아닙니다.
기사에서 더 중요한 문장은 이 부분입니다.
- 공격으로 **주문 처리(order processing)**가 지연되고
- **제조(manufacturing)**와 **출하(shipments)**까지 영향을 받았다
기업의 매출은 결국 “주문을 받고 → 만들고 → 보내고 → 돈을 받는” 흐름으로 발생합니다. 이 중간이 끊기면, 손익계산서에 바로 찍히기 전이라도 현금이 들어오는 속도가 느려집니다.
현실적인 예시
예를 들어 어떤 회사가 월 매출 500억을 내고, 평균 결제 조건이 ‘출하 후 30일’이라고 가정해볼게요.
- 해킹 때문에 출하가 2주 멈추면
- 매출이 0원이 되진 않더라도(나중에 출하하면 매출 인식)
- 현금 회수(입금)가 2주 이상 밀릴 수 있습니다.
이게 무서운 이유는, 회사는 그 기간에도 급여, 원재료 대금, 물류비, 이자비용을 계속 내야 하기 때문입니다.
즉, 사이버리스크는 단순 비용이 아니라 유동성 리스크가 됩니다.
2) “환자 관련 서비스는 영향 없다”가 투자자에게 의미하는 것
스트라이커는 “환자 관련 서비스와 연결된 의료기기는 영향이 없었다”고 언급했습니다. 이 말은 소비자(환자) 안전 측면에서는 다행이지만, 투자자는 여기서 한 발 더 들어가야 합니다.
- 제품이 안전해도
- 주문·제조·출하가 막히면
- 매출과 비용 구조가 흔들릴 수 있습니다.
특히 의료기기처럼 병원 납품 비중이 큰 산업은, 납기 신뢰가 깨질 때 대체 공급처로 일부가 이동할 가능성도 생깁니다. “한 번 늦었으니 다음에도 늦을 수 있다”는 인식이 가장 위험합니다.
3) 초보 투자자가 자주 놓치는 포인트: ‘복구 속도’가 곧 경쟁력
해킹 뉴스가 뜨면 시장은 보통 이렇게 반응합니다.
- "큰일 났다" 공포로 매도
- 며칠 뒤 “통제했다” 뉴스 나오면 반등
- 하지만 몇 주 뒤 실적/가이던스에서 뒷북 충격
여기서 중요한 건, 사건의 유무보다 복구 속도와 재발 방지 시스템입니다. 스트라이커는 외부 사이버보안 전문가 및 당국과 협력한다고 밝혔죠. 이런 대응은 “당연한 얘기”처럼 보이지만, 실제로는 기업마다 복구 역량 차이가 큽니다.
투자자가 체크할 질문 3가지
- 주문/출하 시스템이 멈췄을 때 수동 프로세스로 얼마나 버티는가?
- 핵심 현장(공장/물류) 시스템이 네트워크 분리나 백업 체계를 갖췄는가?
- 사고 이후 **고객 대응(납기, 대체 공급, 커뮤니케이션)**을 어떻게 했는가?
보안은 기술 문제가 아니라, 결국 운영과 신뢰의 문제입니다.
4) 개인 투자자 관점에서 더 중요한 교훈: ‘리스크는 수익률을 갉아먹는 방식으로 온다’
대부분의 사람들은 리스크를 “주가가 떨어지는 사건”으로만 생각합니다. 하지만 진짜 리스크는 대개 이렇게 나타납니다.
- 비용 증가(복구/보안 투자/컨설팅/법무)
- 매출 이연(출하 지연으로 분기 매출이 다음 분기로 넘어감)
- 고객 신뢰 저하(재주문율/장기 계약에 영향)
- 가이던스 불확실성 확대(시장 할인율 상승)
즉, 사이버사건은 단순한 악재가 아니라 기업의 ‘예측 가능성’을 훼손합니다.
시장은 예측이 어려워질수록 그 기업에 더 보수적인 밸류에이션을 적용하는 경향이 있습니다.
5) 결론: 보안은 비용이 아니라 ‘돈이 계속 일하게 만드는 장치’다
앞서 참고 글에서 말했듯, 돈을 벌고 불리는 핵심은 감정이 아니라 시스템입니다. 기업도 마찬가지입니다.
사이버공격 같은 변수가 찾아왔을 때,
- 빠르게 복구하고
- 고객 접점이 끊기지 않게 운영하며
- 재발 가능성을 줄이는 구조를 가진 기업은
결국 시간이 지나면 다시 정상화됩니다. 반대로 시스템이 약한 기업은, 사건 하나가 실적을 흔들고 신뢰를 흔듭니다.
그래서 저는 요즘 기업을 볼 때 한 가지를 꼭 더 봅니다.
“이 회사는 문제가 터져도 돈이 계속 일하게 만들 수 있는가?”
보안은 그 질문에 대한 가장 현실적인 답이 되어가고 있습니다.