윈스테크넷 (136540) · 제품·사업모델 심층 해설

0결론 요약

한 줄 논지

이 회사는 "보안 소프트웨어 회사"가 아니라 "통신사·공공기관의 회선 속도에 종속된 하드웨어 교체 사업"입니다. 이익 피크는 회선 속도 세대교체 뒤의 대량 납품 국면에 발생했고(10G — 2012년 OPM 26.0%, 100G — 2020~23년), 40G(2016 출시)는 이익 피크로 이어지지 않았습니다(2016년 OPM 11.5%), 세대가 소진되면 유지보수 매출이 하방을 받치며 옆으로 깁니다. 지금은 100G 사이클이 끝난 계곡 구간이며, 2026년 상반기 영업이익 −32%가 그 증상입니다. 그리고 「다음 세대(400G)가 오면 다시 오른다」는 기대에는 심각한 단서가 붙습니다 — 회선은 이미 800G까지 갔는데 인라인 보안장비는 400G 포트 하나조차 실질적으로 못 채우고 있습니다(10.3장). 반대로 공공 정보보호 예산은 2026년 +22.5%, 통신 3사는 5년간 2.4조 보안투자를 예고했습니다. 이 리포트는 그 시차(lag)를 어떻게 추적할지에 대한 것입니다.

FY2025 매출 / 영업이익

986억 / 212억

OPM 21.5% · 2021년 이후 5년 연속 21%대

2026 상반기 영업이익

49억

−32.0% YoY

순현금 / 시가총액

964억 / 1,299억

차입금 0원 · 시총의 74%

PER / PBR / 배당수익률

7.3× / 0.64× / 7.6%

15년 연속 배당

핵심 논지 4줄

제품은 "랙에 꽂는 2U 상자"이고, 팔리는 트리거는 보안 위협이 아니라 회선 대역폭입니다. 통신사가 10G→40G→100G로 백본을 올릴 때 기존 IPS는 물리적으로 못 따라가서 교체됩니다. 이게 매출의 1차 동인이고, 침해사고는 2차 동인이며 시차가 1~2년 있습니다.
회사의 무게중심이 제품에서 서비스로 이동 중입니다. 제품 매출 비중 47.2%(2023) → 37.8%(2025) → 30.8%(2026 상반기). 매출은 방어됐지만 2026년 상반기 영업이익률이 전년 동기 18.1%에서 12.9%로 −5.2%p 떨어졌습니다(4분기에 이익의 절반이 몰리는 구조라 연간 21.5%와 반기 수치를 직접 비교하면 안 됩니다). 이게 올해 가장 중요한 숫자입니다.
"함께 팔리는 것"은 세 층위입니다 — ① 같은 랙 안에서 자사 방화벽·DDoS·APT·TMS가 묶여 나가고, ② 타사 솔루션 재판매(SI 상품) 매출 102억이 IPS에 얹혀 나가며, ③ 납품 2년 뒤부터 유상 유지보수 → 보안관제 → 클라우드 MSP로 시간축 업셀이 걸립니다.
가장 실용적인 선행지표는 매년 1~2월 과기정통부가 발표하는 「공공부문 정보화·정보보호 수요예보」의 "정보보안 제품" 항목입니다. 2026년은 2,043억(+18.5%)으로 우호적입니다. 그 다음이 6월 말 KISA 정보보호 공시(통신 3사 집행액)와 통신 3사 분기 CAPEX입니다.

가장 큰 리스크 (해킹 사고가 늘어난다고 매출이 늘지 않습니다)

2025년은 SK텔레콤 유심 유출(과징금 1,348억)과 KT 펨토셀 사건(과징금 540억)이 터진 해였습니다. 그런데 윈스테크넷의 2025년 별도 매출은 −2.9% 역성장했고, 2026년 상반기 영업이익은 −32%입니다. 이유는 구조적입니다 — 사고가 나면 통신사는 먼저 과징금과 고객 보상에 돈을 씁니다. SKT는 유심교체·보상 2,500억 + 고객감사패키지 5,000억을, KT는 보답프로그램 5,500억을 집행했고, 그 결과 2026년 상반기 SKT CAPEX −15.7%, KT −15.1%입니다. 보안 예산 증액은 그 다음 해 예산에 반영되어 그 다음다음 해에 발주됩니다.

따라서 이 종목의 진짜 리스크는 "사고가 안 나는 것"이 아니라 ① 2.4조 보안투자가 네트워크 어플라이언스가 아니라 관제·컨설팅·AI 쪽으로 흘러갈 가능성(2026년 공공 수요예보에서도 서비스 6,678억 vs 제품 2,043억으로 3배 격차), ② 400G 세대가 열리기 전까지 제품 매출의 공백, ③ 서비스 비중 확대에 따른 영업이익률 훼손입니다.

1이 회사가 파는 물건의 실체

일반 소비자가 평생 만져볼 일이 없는 물건입니다. 사진으로 보면 서버처럼 생긴 2U 짜리 금속 상자이고, 그 상자는 통신사 국사나 데이터센터의 19인치 랙에 볼트로 고정되어 회선 한가운데를 물리적으로 관통합니다.

SNIPER ONE-i 침입방지시스템 실물 — **SNIPER ONE-i (IPS)** — 파란 베젤. 전면 좌측에 콘솔·관리·HA용 RJ45 3개와 USB 2개, 우측에 모듈형 NIC 슬롯 4베이. 상단에 장비 모델명이 뜨는 소형 LCD 패널. 제품 페이지 ↗

SNIPER NGFW 차세대 방화벽 실물 — **SNIPER NGFW (차세대 방화벽)** — 빨간 베젤. **섀시는 IPS와 똑같습니다.** 겉으로 구분되는 것은 베젤 색과 LCD에 뜨는 모델명뿐입니다. 제품 페이지 ↗

이 상자가 놓이는 자리 — 인라인(In-Line) 구성

회사 공식 구성도 기준. 트래픽이 장비를 물리적으로 통과하므로, 장비가 죽으면 회선이 죽습니다

숫자로 보는 규모감

최상위 모델 SNIPER ONE 100G(R2)의 하드웨어 사양은 Xeon Platinum 8558P(48코어) 2개 = 96코어, 100G 광포트 최대 4개, 전원 이중화입니다. 국정원 CC 인증보고서(NISS-1381-2025, 2025년 12월)에 그대로 기재되어 있습니다. 구세대 100G 모델은 Xeon Gold 6258R 28코어×2 + 메모리 384GB였습니다. 일반 서버 한 대 값이 아니라, 고급 서버 한 대에 자체 개발 ASIC NIC와 전용 OS를 얹어 파는 물건입니다.

가격은 공개되지 않습니다. 사업보고서 원문: "사용자 및 납품업체, 판매의 형태, 제품 버전에 따라 단가가 상이하고… 가격 변동 추이, 가격산출 기준 및 가격변동 원인 등을 산정하기 어렵습니다." 다만 2021년 일본 이동통신사 100G IPS 30여 대 초도 물량이 3분기에 약 40억 매출로 인식된 것을 역산하면 대당 1억원 안팎으로 추정됩니다(추정치, 확인 불가).

2방화벽 · IPS · DDoS · APT는 무엇이 다른가

이 회사를 이해하는 데 가장 중요한 부분입니다. 넷 다 "네트워크 보안장비"라고 불리지만 하는 일이 완전히 다르고, 그래서 한 상자에 못 합칩니다. 건물 보안에 비유하면 명확해집니다.

네 가지 장비의 역할 — 하나로 못 합치는 이유는 "연산의 성격"이 다르기 때문입니다
장비	비유	실제로 하는 일	연산 성격	윈스 제품 / 최대성능
방화벽 FW / NGFW	출입문 경비	송장(출발지 IP·목적지 IP·포트)만 보고 통과/차단. 상자를 열어보지 않습니다. 차세대(NGFW)가 되면서 "이게 카카오톡인가 유튜브인가"까지는 식별	5-tuple 해시 조회 — 매우 저렴	SNIPER NGFW 320Gbps (7330)
IPS 침입방지시스템	짐 검색 엑스레이	방화벽이 "웹이니까 통과"시킨 그 패킷의 내용물을 열어봅니다. 수만 개 공격 패턴(시그니처)과 대조해 SQL 인젝션·취약점 공격코드를 찾아 끊습니다	페이로드 전체 다중 패턴 매칭 — 매우 비쌈	SNIPER ONE-i 200Gbps (100G 모델)
DDoS 대응 Anti-DDoS	인파 통제 요원	공격 패킷 하나하나는 완벽하게 정상입니다. 문제는 양입니다. 초당 수천만 건이 몰려 서버가 마비됩니다. 통계·임계치로 "평소보다 200배"를 판단	시간축 통계 집계 — 메모리 집약	SNIPER ONE-d 80Gbps (5340)
APT 대응 지능형 위협	격리 검역소	시그니처가 세상에 존재하지 않는 공격을 잡습니다. 첨부파일을 가상 격리공간(샌드박스)에서 실제로 실행시켜 보고 "레지스트리를 고치고 외부로 접속한다" → 악성 판정	실제 코드 실행 — 초 단위 지연	SNIPER APT 10Gbps (5300)

이 표에서 가장 중요한 한 줄

APT 장비의 최대 성능이 IPS의 1/20인 것(10Gbps vs 200Gbps)이 이 산업을 설명합니다. 파일 하나를 실제로 실행시켜 보는 데 수 분이 걸리기 때문입니다. 그래서 APT 5300은 RAM이 256GB로 같은 급 IPS 중형 모델(ONE-i 5300, 64GB)보다 4배 큽니다 — 샌드박스 가상머신을 동시에 여러 개 돌려야 하니까요. "보안장비를 하나로 통합하면 되지 않나"는 질문에 대한 답이 여기 있습니다. 한 박스에 다 넣으면 가장 느린 기능이 전체를 끌어내립니다.

사업보고서 원문도 같은 말을 합니다 — "다양화되는 공격패턴으로 한가지의 보안솔루션만으로는 무차별 사이버공격에 대응하기가 쉽지 않아 일차원적인 방어로는 그 실효성을 거두기가 어렵습니다." 이 문장이 곧 이 회사의 크로스셀 논리입니다.

2.1 왜 방화벽만으로는 안 되는가 — 가장 자주 나오는 질문

웹 서비스를 하려면 80번(HTTP)·443번(HTTPS) 포트는 반드시 열어야 합니다. 방화벽은 "허용된 포트"라서 통과시킵니다. 공격자는 바로 그 열린 문으로 정상적인 웹 요청인 척 공격 코드를 실어 보냅니다. 방화벽은 봉투 겉면만 보므로 못 잡습니다. 그 안을 열어보는 것이 IPS의 존재 이유입니다.

인라인 (In-Line) 모드

트래픽이 장비를 물리적으로 관통합니다. 실시간 차단이 가능하지만, 장비 장애 = 회선 장애입니다. 통신사 백본에서 쓰려면 광 바이패스와 마이크로초 단위 지연이 필수입니다.

스팬 (Span) 모드 — 미러링

스위치 미러포트로 사본만 받습니다. 장애 시 서비스에 영향이 없지만 실시간 차단은 못 하고 탐지 위주입니다. APT 장비는 대부분 이 방식입니다.

SNIPER ONE-i 인라인 모드와 스팬 모드 구성도 — **회사 공식 구성도** — 위가 인라인, 아래가 스팬(미러링). IPS가 방화벽 뒤에 놓이는 것이 표준 배치임을 확인할 수 있습니다. 원본 페이지 ↗

3제품 라인업 — 실물과 스펙

먼저 알아야 할 구조 — 하드웨어는 하나, 소프트웨어로 갈립니다

2025년 12월 취득한 CC 인증서 두 건(NISS-1381-2025 IPS, NISS-1380-2025 DDoS)을 나란히 보면 하드웨어 모델 목록이 완전히 동일합니다 — SNIPER ONE 2400 / 4400 / 5400 / 7400 / 100G(R2). 즉 같은 섀시 위에 어떤 소프트웨어 라이선스를 얹느냐로 IPS가 되기도 하고 DDoS 장비가 되기도 합니다.

투자자 관점에서 이건 중요한 사실입니다. ① 재고·생산·A/S가 단일 플랫폼으로 통합되어 원가 효율이 높고(영업이익률 21%대의 한 원인), ② 신규 세대 하드웨어를 하나 만들면 전 제품군에 동시 적용되며, ③ 반대로 고객 입장에선 라이선스 추가만으로 기능을 늘릴 수 있어 신규 박스 판매가 잠식될 여지도 있습니다.

3.1 SNIPER ONE-i — 침입방지시스템(IPS), 회사의 본체

2003년 7월 'Sniper IPS'로 출시된 제품의 직계 후손입니다. 사업보고서는 이 분야에서 "15년 이상 점유율 1위"라고 적고 있습니다(다만 이는 회사 자기 진술이며 제3자 조사기관 출처가 명시되어 있지 않습니다 — 14장 참조).

SNIPER ONE-i 라인업 (홈페이지 게시 기준, 2022년 11월 갱신)
모델	처리성능	CPU	RAM	인터페이스	주 배치처
ONE-i 1300	1 Gbps	6C 3.5GHz	32GB	1G Copper 6P	중소 기업망
ONE-i 2300	8 Gbps	10C 2.4GHz	32GB	1G Copper/Fiber 4P	중견 기업·기관
ONE-i 4300	12 Gbps	10C ×2	32GB	1G ×8	대형 기관
ONE-i 5300	60 Gbps	12C ×2	64GB	+ 10G Fiber 2P	대기업·IDC
ONE-i 5340	80 Gbps	12C ×2	64GB	+ 40G Fiber 2P	IDC·중형 백본
ONE-i 100G	200 Gbps	28C 2.7GHz ×2	384GB	100G Fiber 2P	통신사 5G 코어망

주의: "100G"는 인터페이스 규격이고 표기 처리성능은 200Gbps(양방향 합산)입니다. 또한 홈페이지 라인업 표는 2022년 기준의 x300 세대이고, 실제 최신 하드웨어는 CC 인증서에 나오는 x400 세대(2400/4400/5400/7400)와 100G(R2)입니다. 신형의 공표 처리성능(Gbps)은 공개 자료에 없습니다 — 확인 불가.

SNIPER ONE-i 모델별 라인업 스펙 표 — **ONE-i 라인업 원본 표** — 모델별 성능·CPU·NIC 슬롯 구성. 원본 ↗

SNIPER NGFW 모델별 라인업 스펙 표 — **NGFW 라인업 (2025년 8월 갱신)** — 가장 최근에 업데이트된 라인업 표입니다. 최상위 7330이 방화벽 320Gbps / VPN 20Gbps. 원본 ↗

3.2 나머지 제품군 전체 — ONE-d · NGFW · APT · TMS-Plus · BD1 · AIVAX스펙표 6종 · 실물 이미지 포함

SNIPER ONE-d — DDoS 대응

모델	성능	RAM	인터페이스
ONE-d 2300	8 Gbps	32GB	1G ×8
ONE-d 4300	12 Gbps	32GB	1G ×8
ONE-d 5300	60 Gbps	64GB	+ 10G 2P
ONE-d 5340	80 Gbps	64GB	+ 40G 2P

2008년 4월 'Sniper DDX'로 출시된 계보입니다. 실제 기법은 임계치 기반 CPS(초당 연결 수) 탐지, RateLimit 대역 제어, SSS(Smart Session Shaping)로 봇과 실사용자 구분, DNS 전용 방어 엔진, IP/국가/URL 평판 필터링. 사업보고서가 자랑하는 레퍼런스는 "7.7 / 3.4 DDoS 대란 당시 성공적인 방어 경험"입니다.

SNIPER NGFW — 차세대 방화벽

2017년 10월 퓨쳐시스템의 방화벽 사업을 인수해 2018년 12월 출시한 라인입니다. 즉 이 회사가 자체적으로 키운 게 아니라 사서 붙인 제품군입니다. 최상위 7330이 방화벽 320Gbps / VPN 20Gbps / 24코어 3.0GHz ×2 / 100G 포트 최대 8개. 가장 최근에 CC 인증을 갱신한 제품(NISS-1416-2026, 2026년 7월 30일)이기도 합니다.

SNIPER APT — 지능형 위협 대응

모델	성능	RAM	HDD
APT 1300	1 Gbps	64GB	4TB
APT 2300	2 Gbps	96GB	4TB
APT 4300	4 Gbps	128GB	4TB
APT 5300	10 Gbps	256GB	8TB

2013년 3월 출시. DART 공시 표기는 "Sniper APTX", 홈페이지 표기는 "SNIPER APT"로 동일 제품입니다. 사업보고서 설명 원문: "네트워크 트래픽을 전수 분석하여 최신 위협공격을 능동적으로 탐지/차단하는 샌드박스 기반 APT 대응시스템".

SNIPER TMS-Plus — 통합보안관리

모델	일일 로그 처리량	RAM	HDD
TMS-Plus 1000	2,000만 건	32GB	6TB
TMS-Plus 2000	5,000만 건	64GB	12TB
TMS-Plus 3000	7,000만 건	128GB	18TB
TMS-Plus 4000	1억 건	256GB	24TB

성능 단위가 Gbps가 아니라 "일일 로그 건수"인 점이 결정적 차이입니다. 인라인 장비가 아니라 앞의 장비들이 뿜어내는 경보를 모아 분석하는 서버이기 때문입니다.

SNIPER BD1 AI Plus — AI 보안관제 플랫폼

윈스의 원격관제·클라우드관제 서비스의 백엔드입니다. 사업보고서에서 서비스 부문(372억) 매출의 대표 상표로 명시됩니다. 핵심 기능은 이벤트 상호연관분석(Hyper Correlation), Cyber Kill Chain 분석, 머신러닝 기반 DeepSign. 싱글 노드에 RAM 384GB + 2TB 디스크 12개 구성.

SNIPER AIVAX — 생성형 AI 보안 (2026년 3월 신제품)

가장 최신 제품이고, 회사가 NDR/XDR/SASE가 아니라 "AI 프롬프트 보안"으로 갔다는 방향성을 보여줍니다. 직원이 ChatGPT·Gemini·Claude에 넣는 프롬프트에서 개인정보·기밀을 실시간으로 걸러내고, AI 응답에서 위험 내용을 마스킹합니다. 배포 형태 3종(자체 Chat GUI / 브라우저 Proxy / L2 인라인 투명 배치), MCP 서버 보안과 동형암호 적용을 내세웁니다.

2026년 7월부터 이 제품으로 국가망보안체계(N2SF) 시장 대응을 본격화한다고 발표했습니다 — 10장에서 다룹니다.

SNIPER ONE-d DDoS 대응장비 실물 — **SNIPER ONE-d** (DDoS 대응)

SNIPER APT 지능형 위협 대응장비 실물 — **SNIPER APT** (지능형 위협 대응)

SNIPER TMS-Plus 통합보안관리 실물 — **SNIPER TMS-Plus** (통합보안관리)

SNIPER BD1 AI Plus 실물 — **SNIPER BD1 AI Plus** (AI 보안관제)

3.3 시장에서 흔히 잘못 알려진 제품명 정리단종 · 개명 · 실재하지 않는 것

흔히 언급되는 이름	실제
SNIPER IPS	2003년 출시, 현재 SNIPER ONE-i로 대체. 계보상 존재하나 현행 제품명 아님
SNIPER DDX	2008년 출시, 현재 SNIPER ONE-d로 대체. 사업보고서에 "Sniper ONE-d(DDX)"로 병기
SNIPER ONE	소프트웨어 제품명이 아니라 하드웨어 플랫폼 모델명. "SNIPER ONE 2400" 위에 ONE-i가 올라가면 IPS, ONE-d가 올라가면 DDoS 장비
NGIPS	윈스 본사 제품명 아님. 종속회사 ㈜시스메이트가 2019년 출시한 NIC 제품 라인명
NDR / XDR	자체 제품 없음. 2026년 보안뉴스 EDR·NDR·XDR 솔루션 리포트에 윈스는 등장하지 않습니다. 2021년 크라우드스트라이크와 제휴(재판매 성격)
SASE	자체 제품 없음. SECaaS 서비스와 2024년 12월 프라이빗테크놀로지 총판계약(제로트러스트)이 인접 영역

회사가 실제로 간 방향은 NDR/XDR/SASE가 아니라 "AI 보안"입니다 — ① BD1 AI Plus(관제 자동화), ② AIVAX(생성형 AI 프롬프트 보안), ③ N2SF 대응. 이 선택이 옳았는지는 아직 매출로 검증되지 않았습니다.

4왜 100G가 어려운가 — 이 회사의 기술 해자

"보안 소프트웨어야 누구나 만들 수 있는 것 아닌가"라는 질문에 대한 답입니다. 문제는 알고리즘이 아니라 시간 예산입니다.

6.7 나노초

100Gbps 인라인 IPS는 최악의 경우(64바이트 최소 프레임) 초당 약 1억 4,880만 개의 패킷을 처리해야 합니다. 패킷 하나당 주어진 시간은 약 6.7 나노초 — 3GHz CPU에서 20 클럭 남짓입니다.

그 20클럭 안에 ① 패킷 수신 ② 세션 테이블 조회 ③ TCP 재조합 ④ 수만 개 시그니처와의 다중 패턴 매칭 ⑤ 판정 ⑥ 재전송을 전부 끝내야 합니다. 리눅스 커널 기본 네트워크 스택으로는 근처도 못 갑니다. 인터럽트 처리와 메모리 복사만으로 예산을 다 씁니다.

회사가 이 문제를 푸는 네 가지 방법 (사업보고서 연구개발 실적 원문 근거)

기술	내용	왜 중요한가
WGEN 전용 NIC	원문 — "핵심 기능을 ASIC화하여 전용NIC에서 처리함으로써 성능에 대한 경쟁력을 확보하는 기술". 정규표현식 매칭을 NIC의 FPGA/ASIC에서 처리	이게 진짜 해자입니다. 종속회사 ㈜시스메이트가 이 NIC를 직접 제조합니다. 소프트웨어만 하는 경쟁사는 CPU로 다 처리해야 합니다
MPMDB 메모리 DB	원문 — "HDD DB를 사용하게 되면… 기계적인 동작을 요구하게 됨으로 최대의 성능을 보장할 수 없다… Main Memory(RAM)를 이용하여 Data Base를 구축"	100G 모델의 RAM이 384GB인 이유. 세션 테이블과 시그니처 자료구조를 통째로 메모리에 올립니다
ACBM 패턴 매칭 알고리즘	원문 — "제품의 성능은 향상시키고, 해킹 오탐지(False Positive)율은 5% 이내로 줄이는 기술"	실무에서 가장 중요한 지점. 통신사 백본에서 오탐 0.1%면 하루 수백만 건의 정상 통신이 끊깁니다. 성능↔정확도는 트레이드오프입니다. (회사가 말하는 "5% 이내"는 탐지 이벤트 대비 오탐률로 보이며 전체 트래픽 대비와는 분모가 다릅니다 — 분모 미공시, 확인 불가)
인텔 협업 CPU 레벨 최적화	2020년 2월 윈스–LG유플러스–인텔 3사 협력으로 국내 최초 100G IPS 개발	인텔이 직접 붙었다는 건 DPDK 커널 바이패스·코어 피닝·NUMA 최적화 수준의 튜닝이 있었다는 뜻. 100G(R2)가 96코어를 쓰는 것은 코어 단위 완전 병렬화의 증거

그런데 — 암호화가 이 해자를 갉아먹고 있습니다

오늘날 트래픽의 대부분이 HTTPS입니다. 복호화 없이는 IPS가 봉투 겉면만 보게 됩니다. 그런데 TLS 복호화는 RSA/ECDHE 연산 때문에 평문 검사보다 자릿수 단위로 비쌉니다.

그래서 HTTPS 복호화는 별도 라이선스로 팔리고, 이 기능을 켜면 카탈로그 성능이 안 나옵니다. 2021년 일본 100G 수출 보도자료가 "암호화 트래픽 분석 탐지 엔진이 탑재된 것이 특징"을 강조한 것, 2025년 6월 수산아이앤티와 SSL 가시성 MOU를 맺은 것 모두 이 난제 때문입니다.

투자자 관점의 양면성 — 암호화 비중이 오르면 IPS 무용론이 제기되지만, 동시에 복호화 성능을 확보하려면 더 크고 비싼 장비로 갈아타야 하는 교체 수요가 생깁니다. 다음 세대(400G)의 기술적 명분이 여기서 나옵니다.

회사 자체 진단 — 진입장벽의 실체

사업보고서 원문: "네트워크제품시장은 10년 이상의 하드웨어 및 소프트웨어기술을 결합하는 기술 노하우를 바탕으로 한 국내외 기업들이 선점하고 있는 바, 신규 업체들의 시장 진입에는 어려움이 있다고 봅니다."

정리하면 해자는 알고리즘 하나가 아니라 (자체 NIC ASIC) × (전용 OS) × (시그니처 DB 축적) × (통신사 레퍼런스) × (CC인증 이력) 의 곱입니다. 자체 침해사고대응센터 WSEC로 시그니처를 직접 생산하고, 국내외 특허 123건(본사 80건 + 종속회사 43건)을 보유합니다. 연구개발비는 매출의 7.6~8.0%로 꾸준합니다.

5누가 사는가 — 고객 구조

공시된 유일한 정량 진술

FY2025 사업보고서 원문 — "당사의 침입방지솔루션(ONE-i) 및 디도스공격대응솔루션(ONE-d), 차세대방화벽솔루션(NGFW) 주력제품과 유지관리 및 보안관제 등 서비스의 주요 매출처는 공공기관, 통신사, 금융기관이 전체의 80% 이상을 차지하고 있는 바, 경기변동에 대한 민감성은 상대적으로 낮은 편입니다."

회사는 여기까지만 공개합니다. 고객군별 세부 비중은 공시되지 않습니다. 언론 인용치로는 2020년 기준 공공 38%(전자신문 상장기업분석, 2021년 4월)가 유일하며, 최신 수치는 확인 불가입니다.

5.1 통신사 — 고가 장비의 주 수요처

KT·LG유플러스에 100G IPS 2020년 1차 초도 납품이 확인됩니다. SK브로드밴드는 2021년 4월 보도 시점 "협의 진행" 단계였고 이후 납품 여부는 확인 불가입니다. (다만 회사 소개자료는 KT·SK브로드밴드·LG U+를 주요 고객으로 열거합니다.)
2020년 2월 LG유플러스·인텔과 3사 공동으로 국내 최초 100G IPS 개발. LG유플러스는 "기존 장비보다 5배 많은 트래픽 처리"라고 설명했습니다.
당시 보도는 윈스를 "국내외 통신사에 IPS를 공급하는 유일한 국내 벤더"로 표현했습니다.
채널은 직판(대형 프로젝트)입니다.

그런데 2026년 상반기에 이 채널이 사실상 멈췄습니다

2026년 반기보고서의 판매경로별 매출을 보면, 제품 내수 115.6억 중 직판은 13.3억(11.5%)에 불과하고 대리점이 102.3억(88.5%)입니다. FY2025에는 직판이 116.9억이었습니다. 통신사 직판 대형 프로젝트가 상반기에 거의 없었다는 뜻이며, 이것이 상반기 영업이익 −32%의 직접 원인으로 보입니다.

5.2 공공 — 조달 경로와 인증이 곧 진입권

사업보고서 원문 — "국가정보원 CC(공통평가기준)인증 획득, 행정자치부 행정정보보호용시스템, 조달청 조달품목으로 등록된 신뢰도 높은 제품"
전 제품이 CC 인증 EAL4 + GS(굿소프트웨어) + SP(소프트웨어 품질) + 암호모듈검증 보유.
소프트웨어산업진흥법의 대기업 참여제한(사업보고서 인용: 매출 8천억↑ 기업은 80억 이상, 4천억↑ 기업은 40억 이상 사업에만 입찰 가능 — 요건 상세는 구간별로 상이)이 중소·중견 SI를 주계약자로 만들고, 윈스는 그 아래 벤더로 들어갑니다. 제품 내수 매출의 65%가 대리점 경유인 구조적 이유입니다.
자회사 ㈜시스메이트가 "국방관련 하드웨어"를 공급한다고 사업보고서에 기재되어 있으나, 개별 계약은 공시·보도 모두에서 확인되지 않습니다.

공공 조달 규제 완화는 양날의 검입니다

2022년 1월부터 CC인증 없이 '보안기능확인서'만으로도 공공 납품이 가능해졌습니다(발급기간 평균 170일 → 39일). 신제품 출시→매출 전환 속도가 빨라진 것은 윈스에도 유리합니다.

그러나 2022년 11월 보안적합성 검증제도 전면 개편은 약 3만 개 대상기관을 '가'(5%, 국방부·중앙행정기관) / '나'(38%, 일반 공공기관·대학) / '다'(57%, 기초자치단체·초중고)로 차등화하면서, '나'·'다' 그룹의 검증 부담을 대폭 낮췄습니다. 당시 업계 보도는 이 개편이 "외산 보안제품의 공공시장 진입 장벽을 크게 낮추고 무한경쟁 환경을 조성"한다고 평가했습니다. 국산 인증 프리미엄이 얇아지는 방향입니다.

5.3 일본 — 사실상 단일 고객, 총판 경유

회사가 공시하는 유일한 '경영상 주요계약'

㈜시큐어소프트(株式会社セキュアソフト, 도쿄 시부야) · 2018년 7월 체결 · 기간 7.5년 · 일본 네트워크보안 시장 총판 및 독점판매권.

즉 일본에서는 윈스 브랜드가 아니라 "SecureSoft Sniper ONE"이라는 이름으로 팔립니다. 최종 고객이 잘 드러나지 않는 이유입니다. 2차 채널로 NEC·캐논ITS·후지쯔SSL·마루베니솔루션즈 등이 확인됩니다.

주목할 점: 2018년 7월 + 7.5년 = 2025년 말~2026년 초 만료입니다. FY2025 사업보고서(2026년 3월 제출)에 동일 계약이 그대로 기재되어 있어 유효한 것으로 보이나, 명시적 연장 공시는 확인되지 않습니다.

최종 고객으로 확인되는 것은 NTT도코모입니다. 2016년 보도 원문 — "윈스는 3~4년 전 NTT도코모에 10G IPS를 대량 공급하면서 매출 정점을 찍는 성과를 거뒀다. 지난 2012년 윈스의 일본 수출 실적은 150억원에 달했다. 2013년에도 113억원." KDDI·소프트뱅크·IIJ 납품은 공개 자료에서 확인되지 않습니다.

일본 수출 — 2020년 피크 이후 레벨다운, 그리고 2026년의 공백

단위: 억원. 제품(장비) 수출과 서비스(유지보수) 수출의 성격 변화에 주목. 단수 조정으로 합계가 0.1억 어긋날 수 있으며, 2024년 비중은 당초 공시치(1,015억) 기준

연도	제품 수출	서비스 수출	합계	총매출 대비
2019	120.9	0.4	121.3	14.8%
2020	150.7	0.1	150.7	16.1%
2021	68.6	0.1	68.6	7.1%
2022	67.5	17.8	85.3	8.4%
2023	35.2	16.1	51.3	4.8%
2024	47.9	18.1	66.0	6.5%
2025	38.4	21.2	59.7	6.1%
2026 상반기	1.45	11.3	12.8	3.4%

이 표에서 읽어야 할 두 가지

① 2022년부터 성격이 바뀌었습니다. 2021년까지는 장비 수출이 전부였는데, 2022년부터 서비스(유지보수) 수출이 매년 16~21억으로 안정화됐습니다. 2021년 100G 대량 납품 → 2년 무상보증 종료 후 유상 MA 전환이라는 시차와 정확히 맞습니다. 일본은 이제 "깔린 장비의 리커링 기저 + 간헐적 교체 물량" 구조입니다.

② 2026년 상반기 제품 수출 1.45억은 사실상 제로입니다. 하반기에 신규 장비 물량이 없으면 2026년 수출은 2023년 저점(51억) 아래로 갈 수 있습니다.

5.4 판매 채널 — 제품은 대리점, 서비스는 직판

FY2025 판매경로별 매출 (억원, 괄호는 전체 매출 대비 비중) · 단수 조정으로 열 합계가 0.1억 어긋날 수 있음
매출유형	수출(해외배급사)	내수 직접판매	내수 판매대리점
제품	38.4 (3.9%)	116.9 (11.9%)	216.9 (22.0%)
서비스	21.2 (2.2%)	200.9 (20.4%)	149.4 (15.1%)
클라우드	—	90.1 (9.1%)	9.4 (1.0%)
SI(타사 솔루션)	—	18.7 (1.9%)	83.0 (8.4%)
건물임대	—	41.1 (4.2%)	—
합계	59.7 (6.1%)	467.7 (47.4%)	458.6 (46.5%)

제품(하드웨어) 내수의 65%가 대리점 경유이고, 서비스 내수의 57%·클라우드의 91%가 직판입니다(수출 제외 기준. 전체 매출 기준으로는 각각 58.3%, 54.1%). 장비는 조달 채널을 통해 흘러가지만 유지보수·관제 관계는 회사가 직접 붙들고 있다는 뜻이고, 이것이 리커링의 안정성을 만듭니다.

5.5 고객 집중도 — 낮습니다

"당기 및 전기 중 매출액의 10% 이상을 차지하는 외부거래처는 없습니다." FY2025 연결재무제표 주석 40. 영업부문

매출 986억 기준으로 최대 고객도 98억 미만이라는 뜻입니다. 통신사 대형 프로젝트조차 연 100억을 넘지 않습니다. 특정 고객 이탈 리스크는 낮지만, 뒤집어 보면 한 방에 실적을 뒤집을 대형 계약도 없다는 의미입니다.

6돈이 들어오는 방식 — 매출 구조

매출 구성의 이동 — 하드웨어 회사에서 서비스 회사로

제품 비중 47.2% → 30.8%. 매출은 방어됐지만 마진은 그렇지 않았습니다. (2024년 총액 1,015억은 사업보고서 「매출실적」표의 당초 공시치이며, 자회사 윈스시스템 매각을 중단영업으로 재작성한 요약재무정보 기준으로는 965억입니다 — 9장 그래프는 후자를 씁니다) · 막대 길이는 총액이 아니라 구성비(100% 누적)이며 26.1H는 반기 수치입니다

제품 (IPS·DDoS·NGFW·APT·DPI) 서비스 (유지관리·보안관제·컨설팅) 클라우드 (관제·MSP) SI (타사 솔루션 재판매) 건물임대

믹스 이동의 대가 — 이 문서에서 가장 중요한 숫자

매출은 상반기 기준 398.3억 → 380.2억(−4.5%)으로 잘 방어됐습니다. 그런데 영업이익은 −32.0%입니다.

구분	2025 상반기	2026 상반기	증감
매출액	398.3억	380.2억	−4.5%
영업이익	72.0억	49.0억	−32.0%
영업이익률	18.1%	12.9%	−5.2%p
당기순이익	67.4억	67.1억	−0.5%

순이익이 방어된 것은 영업이 좋아서가 아니라 순현금 964억에서 나오는 금융수익과 투자부동산 관련 영업외수익 덕분입니다. 2분기만 봐도 세전이익(39.4억)이 영업이익(31.7억)을 넘어섭니다. 영업 자체의 수익력을 보려면 영업이익만 봐야 합니다.

6.1 리커링의 구조 — "2년 뒤에 돈이 되는" 장비

"연결실체는 고객과 제품 판매계약 체결 당시 평균 무상유지보수기간 2년이 경과한 후에도 제품의 H/W 결함 등에 대한 보증을 제공하는데, 고객에게는 추가 보증을 별도로 구매할 수 있는 선택권이 있으므로…" FY2025 연결재무제표 주석 2. (13) 수익인식 — 4) 보증

이 조항이 만드는 2년 시차

장비 납품 → 2년간 무상 유지보수 → 3년차부터 유상 MA 발생 → 보안관제 업셀 → 클라우드 MSP 업셀.

즉 오늘의 장비 매출이 2년 뒤 유지보수 매출의 기저를 만듭니다. 2021년 일본 100G 대량 납품 이후 2022년부터 일본 서비스 수출이 0.1억 → 17.8억으로 점프했고, 이후 매년 16~21억으로 안정화됐습니다. 다만 이 점프 시점은 무상보증 2년 규정보다 이릅니다 — 2016~2019년 40G 물량의 유상 전환과 100G 초기 유상 계약이 겹친 결과로 보입니다(추정, 확인 불가).

그리고 이 논리는 반대로도 작동합니다. 제품 매출이 2023년 505억 → 2025년 372억으로 −26% 줄었다면, 2026~2028년의 유지보수 기저가 약해집니다. 오늘 하드웨어가 안 팔리는 것은 2년 뒤 리커링의 문제이기도 합니다.

수익인식 시점 기준으로 보면 FY2025는 한 시점에 인식 474억(48.1%) / 기간에 걸쳐 인식 512억(51.9%)입니다. 매출의 절반 이상이 리커링이라는 뜻이고, 통신사 CAPEX가 급감했는데도 총매출이 2023년 피크 대비 −7.7%(2년 누적)에 그친 이유입니다.

한계 명시: 회사는 "유지관리 + 보안관제 + 컨설팅"을 372억 한 줄로 묶어 공시하며, 유지보수만 떼어낸 수치는 어디에도 공개되지 않습니다. 요율도 미공시입니다. 업계 벤치마크(SPRi)로는 공공부문 SW 평균 유지관리요율 10.2%, 국산제품 통합발주 시 평균 7%, 민간 평균 14.2% 수준입니다.

6.2 4분기 초집중 — 1~3분기 실적으로 연간을 추정하면 안 됩니다

"고객 특성상 예산의 집행시기 등이 4분기에 많이 몰려 있기에 매출 및 영업이익 등 수익 또한 1분기가 가장 적고, 4분기 비중이 가장 높다고 할 수 있습니다." FY2025 사업보고서

2025년 분기별 실적 (연결, 억원) — 계절성의 실제 크기
분기	매출	연간 대비	영업이익	연간 대비	2026년 매출
1Q	178.8	18.1%	25.2	11.9%	174.5 (−2.4%)
2Q	219.5	22.3%	46.8	22.1%	205.7 (−6.3%)
3Q	185.7	18.8%	34.3	16.2%	—
4Q	402.1	40.8%	105.3	49.8%	—
연간	986.0	100%	211.6	100%	가이던스 1,135

4분기가 매출의 41%, 영업이익의 50%입니다. 연간 손익이 사실상 4분기 한 분기에 결정됩니다. 회사도 분기 잠정실적 공시에 직접 "1분기 실적은 전분기와의 비교가 유의미하지 않으며 전년동기 비교로 보시는 것이 더 합리적"이라고 적어둡니다.

이 계절성이 만드는 실무적 문제

윈스테크넷은 「단일판매·공급계약체결」 공시를 재상장(2011년) 이후 단 한 건도 한 적이 없습니다. 코스닥 공시 기준이 직전 매출의 10% 이상(약 100억)인데, 최대 규모였던 일본 100G 수주조차 40억 수준이라 기준 미달입니다. 사업보고서도 "거래처로부터 P/O가 도착하면 납기 내에 납품을 하므로 장기 주문생산은 없습니다. 따라서… 수주상황은 없습니다."라고 적습니다.

즉 수주잔고(백로그)가 공시되지 않고, 개별 수주 공시도 없으며, 애널리스트 커버리지도 사실상 없습니다. 투자자가 쓸 수 있는 실적 가시성 수단은 ① 분기 잠정실적 공정공시 ② 연초 「영업실적 등에 대한 전망」 공시 ③ 언론 보도가 전부입니다. 그래서 외부 선행지표가 특히 중요합니다 — 8장.

7사이클이 올라갈 때 함께 팔리는 것

질문하신 부분에 직접 답합니다. 세 개의 층위가 있고, 각각 성격이 다릅니다.

7.1 층위 ① — 같은 랙 안에서 (자사 크로스셀)

IPS가 들어가는 자리에는 거의 항상 방화벽이 앞에, DDoS 대응장비가 그 앞에, APT 대응장비가 옆에, 관제 서버가 뒤에 함께 놓입니다. 윈스는 이 전체를 자사 제품으로 채울 수 있습니다.

순서	제품	동반 논리
1	SNIPER ONE-d (DDoS)	회선 앞단. 물량 공격을 먼저 걷어내지 않으면 뒤의 IPS가 먼저 죽습니다
2	SNIPER NGFW (방화벽)	1차 접근통제. IPS 앞에 놓이는 것이 표준 배치
3	SNIPER ONE-i (IPS)	앵커 제품
4	SNIPER APT	시그니처 없는 공격 담당. 미러링으로 붙음
5	SNIPER TMS-Plus / BD1 AI Plus	위 4종이 쏟아내는 경보를 모아 상관분석. SIEM을 자사가 갖고 있다는 게 중요
보조	시스메이트 DPI / DLP / NIC	트래픽 가시성·내부정보유출방지. 종속회사가 제조

사업보고서의 NGFW 설명이 이를 명시합니다 — "당사 보안 솔루션과 연계하여 네트워크 전반에서 위협을 탐지하고". 그리고 2~5번을 사도 하드웨어 플랫폼은 같은 SNIPER ONE 섀시이므로 고객 입장에선 운영·A/S가 단순해집니다.

7.2 층위 ② — 타사 솔루션이 얹혀 나갑니다 (SI 상품 매출)

공시로 확인되는 가장 강한 증거

FY2025 SI(상품) 매출 101.6억(전체의 10.3%) = 사업보고서 표현으로 "타사 정보보안 솔루션". 원재료 매입 내역에도 "상품 / Server / 정보보안 관련 외부솔루션 판매 / 89.1억 / 39.60%"가 잡혀 있습니다.

즉 윈스가 IPS를 앵커로 타사 제품을 함께 납품하는 구조가 매출로 명시적으로 계상되어 있습니다. 이 매출의 82%가 대리점 경유로, 공공 통합구축 프로젝트에서 윈스 IPS + 타사 제품을 묶어 납품하는 형태로 보입니다.

추이: 2022년 71억 → 2023년 119억 → 2024년 91억 → 2025년 102억. 제품 매출과 대체로 동행합니다. 그리고 2026년 상반기 1.2억으로 사실상 소멸 — 이것이 상반기 제품 매출 부진과 같은 신호라는 점을 주목해야 합니다.

제휴/총판 라인업을 보면 무엇이 얹히는지 짐작할 수 있습니다.

시기	상대	영역
2021.07	크라우드스트라이크	차세대 EDR (엔드포인트)
2024.12	프라이빗테크놀로지	제로트러스트 총판
2025.05	아스트론시큐리티	클라우드 엔드투엔드 보안
2025.06	수산아이앤티	SSL 가시성 (IPS의 암호화 난제 보완)

7.3 층위 ③ — 시간축 번들 (가장 중요)

장비 한 대가 만드는 5~7년짜리 매출 파이프라인

이 구조가 서비스 372억 + 클라우드 99억 (합계 471억, 전체의 47.8%)의 원천입니다

7.4 산업 레벨에서 함께 움직이는 것 — 동반주

같은 예산 사이클을 공유하는 국내 상장 보안기업들입니다. 표에 실린 주요 6개사 중 윈스만 별도 기준 역성장했다는 점이 시사적입니다.

국내 사이버보안 상장사 2025년 실적 (전체 27곳 중 21곳 매출 증가 = 6곳 역성장, 업계 합계 +4.37%) · **윈스만 별도 기준이고 나머지는 연결 기준이라 직접 비교에 주의**
기업	2025 매출	증감	성격
안랩	2,365억	+1.5%	엔드포인트·서비스 중심. IPS(TrusGuard IPX)도 보유
시큐아이	1,587억	+4.6%	최대 직접 경쟁자. 방화벽 강자, 2011년부터 미드레인지 네트워크 방화벽 연속 1위 주장(2025년 8월 인터뷰 시점 14년)
오픈베이스	1,238억	+8.8%	네트워크·보안 SI. 윈스의 채널이자 경쟁자
이글루코퍼레이션	1,182억	+6.8%	SIEM·보안관제. 윈스 서비스 부문 경쟁자
윈스테크넷	933억 (별도)	−2.9%	어플라이언스 비중이 가장 높은 회사
파이오링크	655억	+12.4%	ADC·웹방화벽·보안스위치. 인프라 동반 발주에서 경합

이 표의 해석

네트워크 어플라이언스 비중이 가장 높은 회사가 통신사 CAPEX 축소를 가장 크게 맞았습니다. 서비스·관제 비중이 높은 이글루(+6.8%, 영업이익 +72.3%)와 파이오링크(+12.4%, 영업이익 +106%)는 오히려 좋았습니다. 2025년 산업 전체는 나쁘지 않았고, 윈스의 상대적 부진은 산업이 아니라 제품 믹스의 문제였습니다.

다만 기준을 짚어야 합니다. 위 표의 윈스 933억은 별도 기준(−2.9%)이고, 연결 기준으로는 986억으로 2024년 재작성치(965억) 대비 +2.2%입니다. 자회사 윈스시스템 매각(중단영업 재작성) 때문에 기준에 따라 증감 부호가 뒤집힙니다. 그리고 업계 27곳 중 6곳이 역성장했으므로 "윈스만 유일하게"는 이 표에 실린 6개사 안에서만 참입니다.

7.5 함께 팔리지 않는 것 — 오해 정리

라우터·스위치 교체 동반 — 윈스 공시·보도에서 직접적 근거 없음. 다만 「행정기관 및 공공기관 정보시스템 구축·운영 지침」이 침입차단시스템(FW)과 침입방지시스템(IPS)을 나란히 규정하므로 FW+IPS 세트 발주는 제도적 기본값입니다.
TAP / 네트워크 가시성 장비(Gigamon 류) 동반 발주 — 확인되지 않습니다. 자회사 시스메이트의 NIC/DPI는 자사 제품 내부 부품 및 트래픽 제어용이며 별도 TAP 사업은 없습니다.
서버 하드웨어 — 윈스가 파는 게 아니라 사는 쪽입니다. FY2025 원재료 매입 중 이슬림코리아 등 서버 80.0억(35.6%). 서버 가격이 오르면 원가 압박이 됩니다.

8선행지표 — 무엇을 언제 보는가

이 회사는 수주 공시도, 백로그 공시도, 애널리스트 커버리지도 없습니다. 따라서 외부 데이터로 사이클을 읽는 수밖에 없습니다. 아래는 실제로 추적 가능한 것만 우선순위로 정리한 것입니다.

선행지표 우선순위 — 발표 시점 순
순위	지표	발표 시점	무엇을 보는가	최신치
★★★	과기정통부 「공공부문 정보화·정보보호 수요예보」	매년 1~2월	총액이 아니라 "정보보안 제품" 항목을 봐야 합니다. 서비스 증가는 관제 부문에, 제품 증가는 IPS 매출에 대응합니다	2026년 총 9,733억 (+22.5%) 정보보안 제품 2,043억(+18.5%) 정보보안 서비스 6,678억(+19.0%) + 물리보안 제품 635억·서비스 377억
★★★	KISA 정보보호 공시 (isds.kisa.or.kr)	매년 6월 30일 마감	통신 3사가 실제로 집행한 정보보호 투자액. 발표된 계획이 아니라 결산치라는 점이 핵심	2025년 3사 합산 3,352.7억 (+22.8%) SKT 1,110.7억(+70.3%) KT 1,275.6억 / LGU+ 966.3억
★★★	통신 3사 분기 CAPEX	분기 실적발표	총 CAPEX보다 네트워크 투자 방향. 3사 합산은 2019년 9.6조 → 2023년 7.33조로 감소 추세	2026 상반기 SKT −15.7% KT −15.1% LGU+ +9.4%
★★	조달청 나라장터 발주계획·낙찰공고	상반기 집중	정부 정보화는 상반기 발주 집중. 1~4월 공고 건수·금액이 하반기 매출의 선행. OpenAPI로 자동 수집 가능	—
★★	국정원 CC인증 / 보안기능확인서 신규 발급 (itscc.kr)	수시	신규 고성능 모델의 인증 취득 = 6~12개월 뒤 공공 매출의 선행 신호. 특히 400G급 신모델 등재 여부	ONE-i V3.5 (2025.12) NGFW V2.2 (2026.07)
★★	기재부 예산안 → 국회 통과	8~9월 → 12월	다음 해 수요예보의 재료. 사이버보안 R&D는 규모가 작아 큰 모멘텀은 아님	2026년 사이버보안 R&D 1,191억 (신규과제 122억)
★	KISA 침해사고 신고 건수	반기별	추세 확인용. 매출 반영까지 1~2년 시차가 있어 단기 매매 신호가 아닙니다	2025년 2,383건 (+26.3%) 역대 최다 (2019년 418건)
★	경쟁사 분기 실적 (시큐아이·안랩·이글루·파이오링크)	분기	산업 문제인지 회사 문제인지 구분. 2025년은 회사 문제였습니다	업계 매출 합계 +4.37% 윈스만 −2.9%

가장 중요한 한 가지를 고르라면

매년 1~2월 발표되는 「공공부문 수요예보」의 "정보보안 제품" 금액입니다. 이유는 세 가지입니다 — ① 공공이 매출의 핵심 축이고, ② 이 숫자는 각 기관이 예산 편성 과정에서 제출하는 집행 예정 수요이며(확정 예산과는 차이가 날 수 있습니다), ③ 그 해 1~6월 발주로 이어져 4분기 매출에 직접 꽂힙니다.

2026년은 정보보안 제품 2,043억(+18.5%)으로 우호적입니다. 함께 인용되는 "네트워크 장비 수요 2,498억원(전년 대비 증가)"은 정보보호 수요예보가 아니라 정보화(인프라) 수요예보의 하드웨어 항목이므로 정보보안 제품 2,043억과 단순 비교·합산해서는 안 됩니다(간접 참고 지표). 다만 이 우호적 예보에도 불구하고 상반기 실적이 −32%였다는 사실은, 공공 물량이 4분기에 몰려 있음을 다시 확인시켜줍니다. 2026년의 판정은 4분기에 납니다.

선행지표를 볼 때의 함정 — "제품 vs 서비스"의 격차

2026년 수요예보에서 정보보안 서비스가 6,678억, 제품이 2,043억입니다. 3.3배 차이입니다. 공공 보안 예산의 압도적 다수가 관제·운영·진단·컨설팅으로 흘러갑니다.

이건 윈스에 양면입니다. 서비스 매출(관제·클라우드 MSP)이 커지는 것은 안정성에 좋지만, 서비스는 인력 사업이라 마진이 낮습니다. 2026년 상반기 영업이익률이 18.1% → 12.9%로 떨어진 것이 바로 이 대가입니다. "매출 성장"과 "이익 성장"이 갈라지는 구간에 들어와 있습니다.

9최근 15년 트렌드와 사이클

2011~2025 매출과 영업이익률 — 네 개의 국면

막대 = 매출(좌축, 억원) · 선 = 영업이익률(우축, %). 2011~2016은 별도, 2017년부터 연결 기준

9.1 네 개의 국면

국면	시기	동인	결과
Ⅰ. 분할·초기	2011~2013	나우콤에서 인적분할 재상장(2011.05). 3.4 DDoS(2011), 3.20 사이버테러(2013). NTT도코모 10G IPS 대량 공급	2012년 일본 수출 150억, OPM 26.0% — 역사상 최고 마진
Ⅱ. 이익 저점	2014~2017	10G 세대 소진. 일본 물량 감소. 2017년 퓨쳐시스템 방화벽 사업 인수(신규 투자)	OPM 9.1%(2014) → 10.4%(2017). 매출은 650~740억 정체
Ⅲ. 100G / 5G 상승	2018~2021	2016년 40G 출시 → 2020년 2월 국내 최초 100G IPS 개발(LGU+·인텔) → 5G CAPEX 9.6조(2019). 2021년 일본 100G 30대 수출. 코로나 비대면	매출 707억 → 964억. OPM 10.4% → 21.7%. 2021년 "100G IPS 매출 전년比 +250%"
Ⅳ. 고원 → 균열	2022~2026	100G 세대 소진. 통신 3사 CAPEX 9.6조(2019) → 7.33조(2023). 제품 매출 505억(2023) → 372억(2025)	매출은 서비스로 방어됐으나 2026 상반기 OPM 12.9%로 붕괴

이 회사를 관통하는 한 문장

이익 피크는 새 회선 속도 세대가 "통신사 백본 표준으로 채택된" 뒤의 대량 납품 국면에 발생했습니다. 세대가 열리면 통신사와 IDC가 기존 장비를 물리적으로 버리고 새로 사야 하고, 그때 대당 단가와 물량이 동시에 뜁니다.

다만 모든 세대가 그렇지는 않았습니다. 검증되는 사례는 10G(2012년 NTT도코모 대량공급 → OPM 26.0%, 역대 최고)와 100G(2020년 개발 → 2021~2023년 OPM 21%대 + 매출 피크) 두 번입니다. 반면 40G(2016년 출시)는 이익 피크를 만들지 못했습니다 — 2016년 OPM은 11.5%였습니다. 40G가 백본 표준으로 자리잡지 못하고 시장이 10G에서 100G로 건너뛴 것이 원인으로 보입니다(추정, 확인 불가).

따라서 다음 상승 사이클의 트리거로 흔히 "400G급 국산 IPS 개발"이 지목됩니다. 다만 10.3장에서 조사한 결과, 이 명제는 100G 시대의 공식을 그대로 연장한 것이며 400G 이후로는 성립하지 않을 가능성이 큽니다 — 회선은 이미 800G까지 갔지만 라인레이트 400G 검사를 해내는 보안장비는 전 세계 어느 벤더도 만들지 못했고, 800GbE 보안 어플라이언스는 아예 존재하지 않습니다. 근거와 수정된 추적 지표는 10.3장에 정리했습니다.

9.2 침해사고가 매출로 바뀌는 데 걸리는 시간

2025년이 증명한 것 — 사고는 즉시 매출이 아닙니다

2025년은 대한민국 통신 보안 역사상 최악의 해였습니다. SK텔레콤 유심 유출(2,324만 건, 과징금 1,348억 — 단일 사업자 역대 최대), KT 불법 펨토셀 사건(과징금 540억), 롯데카드·예스24·SGI서울보증까지. KISA 침해사고 신고는 2,383건(+26.3%)으로 역대 최다.

그런데 윈스테크넷의 2025년 별도 매출은 −2.9%, 2026년 상반기 영업이익은 −32%입니다.

메커니즘: 사고 발생 → 통신사가 과징금·고객 보상에 먼저 지출(SKT 유심교체·보상 2,500억 + 고객감사패키지 5,000억, KT 보답프로그램 5,500억) → 네트워크 CAPEX가 오히려 압박(2026 상반기 SKT −15.7%, KT −15.1%) → 보안 예산 증액은 다음 해 예산에 반영 → 그 다음 해에 발주·납품. 즉 사고에서 매출까지 현실적으로 2~3년입니다.

다만 정확히 짚어야 합니다. 통신 3사의 정보보호 투자 자체는 2025년에 이미 3,352.7억(+22.8%), SKT는 +70.3%로 늘었습니다. 돈이 없어서 못 산 것이 아닙니다. 문제는 그 돈이 네트워크 어플라이언스로 오지 않았다는 것입니다 — 사고의 성격(유심 인증키 유출, 불법 펨토셀)이 IPS로 막는 종류가 아니었기 때문입니다.

9.3 15년 사건·제도 연표 — 무엇이 언제 수요를 만들었나침해사고 · 규제 · 기술세대 통합 연표

시점	사건 / 제도	수요에 대한 영향
2009.07	7·7 DDoS 대란	'정보보호의 날' 제정. 윈스가 방어 레퍼런스로 지금도 인용
2011.03	3·4 DDoS / 현대캐피탈 175만명 / 네이트 3,500만명 / 넥슨 1,320만명	DDoS 전용장비 시장 형성
2013.02	ISMS 인증 의무화	제도적 수요 기반 확립
2013.03	3·20 전산대란 (방송사·은행 마비), 6.25 사이버테러	2013년 정보보호산업(물리보안 포함 전체) 매출 7조 1,454억 (+14.5%)
2014.01	카드 3사 2,000만명 유출 / KT 1,200만명	금융권 보안 투자 확대
2016.08	윈스 40G IPS 출시 + 일본 최대 통신사 수출	기술 세대교체 ①
2019	5G 상용화 원년 — 통신 3사 CAPEX 9조 5,967억	사이클 정점의 재료
2020.02	윈스–LG유플러스–인텔, 국내 최초 100G IPS 개발	기술 세대교체 ② — 2020년 KT·LGU+ 초도 납품
2021.06	일본 이동통신사 100G IPS 30여 대 단독 수주	3분기 약 40억 인식. 100G IPS 매출 +250%
2021.12	정보보호 공시 의무화 시행 (매출 3,000억↑ 상장사 등)	민간 수요의 제도적 강제 시작. 2022년 첫 대상 603개사
2022.01	CC인증 없이 '보안기능확인서'로 공공 납품 허용 (24종)	신제품 리드타임 170일 → 39일. 국산 벤더에 유리
2022.11	보안적합성 검증 전면 개편 (기관 3등급 차등화)	외산 공공 진입장벽 완화 — 윈스에 역풍
2023.01	LG유플러스 개인정보 유출 + DDoS	과징금 68억, 보안에 1,000억 투자 발표
2023~2025	통신 3사 CAPEX 7.33조(2023) 등 축소 지속	윈스 제품 매출 505억 → 372억 (−26%)
2024.09	MLS(다층보안체계) 로드맵 발표 — 18년 만의 망분리 전환	정보를 기밀(C)/민감(S)/공개(O)로 3등급 분류
2025.04~08	SKT 유심 유출(2,324만 건, 과징금 1,348억) / KT 펨토셀(과징금 540억)	통신 3사 5년간 2.4조 보안투자 예고 — 효과는 2027년 이후
2025.09	N2SF 가이드라인 1.0 공개	공공 보안 아키텍처 전환의 출발점
2026.03	정보통신망법 전면 개정 국회 통과 (3.12) · 국무회의 의결(3.24)	반복 침해사고 시 매출액 3% 이내 과징금, CISO 임원급 의무화. 공포 후 6개월 시행 — 2026년 8월 현재 미시행
2026.06	KISA N2SF 도입지원 6개 컨소시엄 선정 — 윈스테크넷이 성평등가족부 컨소시엄 주관	사업 규모 55억으로 아직 작음
2027.07	CSAP 폐지 → 국정원 클라우드 보안검증 단일화	클라우드 보안 검증 창구 변화

9.4 산업 자체는 계속 커져 왔습니다

국내 정보보안(사이버보안) 부문 매출 — KISIA 「국내 정보보호산업 실태조사」
연도	정보보안 매출	증감	연도	정보보안 매출	증감
2014	1조 7,359억	—	2020	3조 9,214억	—
2016	2조 4,540억	+16.4%	2021	4조 5,497억	+16.0%
2017	2조 7,449억	+11.9%	2022	5조 6,153억	+23.4%
2018	3조 30억	+9.4%	2023	6조 1,455억	+9.4%
—	—	—	2024	7조 1,244억	+15.9%

그런데 윈스는 이 성장을 못 따라갔습니다 — 이 리포트에서 가장 불편한 사실

국내 정보보안 시장은 2020년 3.92조 → 2024년 7.12조로 82% 성장했습니다. 같은 기간 윈스 매출은 939억 → 965억으로 2.8% 성장했습니다.

이유는 시장 성장이 윈스가 있는 곳에서 일어나지 않았기 때문입니다. 성장은 보안서비스, 클라우드 보안, 데이터 보안, 엔드포인트에서 나왔고, 네트워크 보안 어플라이언스는 2026년 예상 9,220억으로, 보안뉴스 「2026 보안시장 백서」가 집계하는 약 4조원 규모 시장의 23%에 불과합니다(이 4조원은 KISIA 실태조사의 7.12조와 모집단이 다릅니다). 그리고 그 안에서도 프리미엄 세그먼트는 팔로알토·포티넷 같은 외산이 가져갑니다 — 사업보고서 스스로 "당사가 상대적으로 매출이 적었던 외국산 제품 선호도가 높은 민수시장"이라고 인정합니다.

즉 이 회사는 "성장 산업 안의 성숙 세그먼트"에 서 있습니다. 밸류에이션(PER 7.3배, PBR 0.64배)이 그렇게 낮은 근본 이유이기도 합니다.

10앞으로 예상되는 방향 — 2026~2030

긍정 요인과 부정 요인이 모두 크고, 시점이 어긋나 있습니다. 순서대로 정리합니다.

10.1 통신 3사 2.4조 보안투자 — 가장 큰 순풍, 가장 먼 시점

사업자	2025년 과징금	발표한 5년 보안투자	2025년 실제 집행(공시)
SK텔레콤	1,348억 (취소소송 제기)	7,000억	1,110.7억 (+70.3%)
KT	540억 (고발 병행)	1조원 이상	1,275.6억 (+2.0%)
LG유플러스	—	7,000억	966.3억 (+16.7%)
합계	—	약 2.4조원	3,352.7억 (+22.8%)

긍정

SK텔레콤은 전체 IT 투자 대비 정보보호 투자 비중을 4.2% → 7.2%로 상향했다고 공시했습니다. 윈스테크넷은 국내 통신 3사 모두에 IPS를 공급하는 사실상 유일한 국산 벤더이므로 이 흐름의 직접 수혜자입니다.

그러나 세 가지 유보

① 2.4조가 네트워크 어플라이언스로 갈지 알 수 없습니다. 사고의 성격(유심 인증키 유출, 불법 펨토셀)은 IPS로 막는 종류가 아니었습니다. 투자는 인증체계·계정관리·로그관리·제로트러스트·관제로 갈 가능성이 큽니다.
② 시점이 뒤에 있습니다. 2026년 상반기 SKT·KT CAPEX가 −15%대인 것은, 과징금·보상금이 먼저 나갔기 때문입니다.
③ 발표된 "5년간 O조"는 보도자료의 숫자입니다. 실제 검증은 매년 6월 KISA 정보보호 공시의 결산치로만 가능합니다.

10.2 N2SF(국가망보안체계) — 방향은 확실, 규모는 아직 작음

2006년 이후 18년간 유지된 물리적 망분리를 폐기하고, 데이터를 기밀(C) / 민감(S) / 공개(O) 3등급으로 나눠 등급별로 다르게 보호하는 체계로 전환하는 정책입니다.

2026년 국정원 사이버보안 평가지표에 "N2SF 적용" 5.5점 + 구축 가산점 1점이 반영됐습니다. 공공기관이 움직일 강력한 유인입니다.
2026년 6월, KISA N2SF 도입지원사업 6개 컨소시엄이 선정됐고 윈스테크넷이 성평등가족부 컨소시엄 주관사입니다. 다만 전체 사업 규모가 55억(자유공모 45억 + 실증 9.9억)으로 매우 작습니다.
2026년 3월 출시한 SNIPER AIVAX로 이 시장에 대응하겠다고 2026년 7월 발표했습니다.
인지도는 아직 낮습니다 — 조사에서 "대략적으로만 알고 자세하게는 모른다" 32.4%, 도입 의향은 "지켜본 후 도입 예정" 39.1%.

N2SF는 윈스에 기회이자 위협입니다

기회: 망 아키텍처를 통째로 다시 설계하므로 신규 장비·컨설팅 수요가 발생합니다. 그리고 사업 성격이 "단순 장비 납품을 넘어 위협 모델링 분석부터 보안대책 수립, 모의해킹 점검까지 전 과정 주도"로 바뀌어, 관제·컨설팅 조직을 가진 윈스에 유리합니다.

위협: 망분리 완화는 본질적으로 "경계 방어(perimeter) 중심 아키텍처의 상대적 약화"를 뜻합니다. IPS는 경계에 놓이는 장비입니다. 제로트러스트가 전제하는 것은 "경계 안쪽도 믿지 말라"이고, 이는 IPS 한 대의 전략적 중요도를 낮춥니다. 윈스가 2024년 12월 프라이빗테크놀로지(제로트러스트) 총판계약을 맺은 것은 자체 제품이 없어서 사서 판다는 뜻이기도 합니다.

진짜 물량은 2027~2028년 본예산 반영 이후로 보는 것이 합리적입니다.

10.3 400G 이후 — 회선은 갔는데, 보안장비는 못 갔습니다

세 가지 질문에 대한 직답

① 글로벌에 100G 초과 사례가 있는가 → 있습니다. 400G는 이미 지난 세대입니다. AT&T가 2019년 11월 400GbE 실트래픽 상용 구간을 열었고, 도이체텔레콤(2021), 버라이즌(2022), Lumen(2023)이 뒤따랐습니다. 지금 최전선은 800G입니다 — 2025년 3월 Coherent사의 800G ZR/ZR+ 정식 양산, 2025년 10월 Meta 백본 실배포, 2025년 11월 DE-CIX 프랑크푸르트의 세계 최초 800GbE IX 포트. 1.6T 이더넷 표준(IEEE 802.3dj)은 2026년 말~2027년 1분기 승인 예정입니다.

② 한국에 100G 초과 사례가 있는가 → 있습니다. 그런데 층위를 나눠야 합니다. 광전송(파장) 계층은 이미 800G를 넘었습니다 — KT가 2023년 11월 파장당 600G 전국망을 완성했고, SKT·SKB가 2024년 9월 서울–부산 1,200km 800Gbps + 인천 DC 1.2Tbps를 열었으며, KT는 2024년 11월 서울–천안 1.6Tbps 시범에 성공했습니다. 반면 고객이 실제로 사는 인터페이스는 여전히 100G가 천장입니다 — KT 국내전용회선 최고 등급이 100Gbps, LG유플러스 IDC 코로케이션도 최대 100G Dedicated이며, 국내 IX(KINX)에 등록된 400G 단일 포트는 0건입니다(PeeringDB 2026-08 조회, 최고 물리 포트 100G).

③ 대역폭 증가는 필연인가 → 증가 자체는 계속됩니다. 그러나 "어디서" 증가하는지가 전부이고, 그 증가분의 대부분은 IPS가 닿을 수 없는 곳에서 일어납니다. 이 문장이 이 절의 결론이며, 아래에서 근거를 나눠 설명합니다.

10.3.1 글로벌 — 400G는 표준, 800G는 2025년부터 실배포

100G 초과 회선의 글로벌 상용화 타임라인 (라우터 클라이언트 포트 및 광전송 파장 기준)
시점	사업자 / 주체	내용
2019.11	AT&T	업계 최초 400GbE 실트래픽 상용 구간 (댈러스↔애틀랜타 약 1,257km)
2019.03	DE-CIX 프랑크푸르트	세계 최초 400GbE IX 포트 제공
2020.05	도이체텔레콤 (Ciena WL5e)	유럽 최초 800G 파장 (단일 파장에 400GE 2개 수용)
2021.10	도이체텔레콤 글로벌캐리어	범유럽망 400GE 서비스 상용화
2022.04	NTT Com · IIJ (일본)	아시아 최초 IX 간 400GbE 상호접속
2022.08	버라이즌	코어 라우터를 Juniper PTX10000(400G/포트)로 교체 시작. 2032년까지 115Tbps 목표
2023.04	Lumen	Tier-1 백본에 400G IP 트랜짓 포트 상용화
2025.03	Coherent	800G ZR/ZR+ QSFP-DD 정식 양산(GA) — 800G 실배포의 출발점
2025.10	Meta	10x Backbone에 800G ZR+ 실배포 (별도 트랜스폰더 제거)
2025.11	DE-CIX 프랑크푸르트	세계 최초 800GbE IX 포트 (Nokia 7750 SR-1-24D)
2026 (예정)	IEEE	802.3dj (1.6T 이더넷) — 2025년 12월 기준 D2.3, SA 투표 2026년 상반기, RevCom 제출 목표 2027년 1분기

그런데 배포는 생각보다 느립니다

400G IX 포트는 2019년부터 존재했지만 7년이 지난 지금도 실제 이용은 제한적입니다. Equinix IX는 전 세계 250여 IBX 중 6개 지역(시카고·댈러스·애슈번·싱가포르·도쿄 등)에서만 400G를 제공하고, EMEA에는 아예 없습니다. IX 포트의 주류는 여전히 10G/100G입니다.

이 시차가 이 절 전체의 핵심 리듬입니다 — "기술적으로 존재한다"와 "실제로 깔린다" 사이에 5~7년이 있고, "보안장비가 그 속도를 검사한다"까지는 더 걸리거나 아예 도달하지 못합니다.

10.3.2 한국 — 코어는 800G, 고객 접점은 100G라는 이중 구조

국내 100G 초과 회선 배포 이력
시점	주체	내용	계층
2021.08	KT + 코위버	KOREN 서울–대전 400Gbps 광전송장비 (국산 장비). 당시 KT 상용 백본은 200Gbps	연구망 λ
2023.10	SK텔레콤	"국내 최초 400Gbps급 백본 상용망" — 성수–보라매 구간	백본
2023.11	KT + Ciena	파장당 600G 전국망 완성 (6500 FlexGrid + WaveLogic 5 Extreme, 1,000km 이상, 서울·부산·광주·제주)	광전송 λ
2024.02	SK브로드밴드 + Cisco	차세대 IP 통합망(RON) — 라우터에 WDM 광모듈 직결, 100G→400Gbps. 서울–부산 약 500km	IP 라우터
2024.09	SKT · SKB	"국내 최초 800Gbps급 유선 백본망" — 서울–부산 1,200km 800Gbps, 인천 DC 중단거리 1.2Tbps. 5nm 6세대 코히어런트 PSE	광전송 λ
2024.11	KT	서울–부산 530km 1.2Tbps, 서울–천안 110km 1.6Tbps 시범 성공	광전송 λ (시범)
2025.07	SJC2 해저케이블 (부산 육양)	개통. 400Gbps 라인레이트 × 45파장 DWDM, 설계용량 126~144Tbps	국제 λ
2025.12	KOREN (NIA·KT)	국내 최초 전국 단위 400Gbps 이더넷 서비스 (판교·대전·대구·광주·부산). 백본 2.8T→7Tbps. 2026년 10.2Tbps + 800Gbps 백본 실증 계획	연구망 이더넷

그런데 — 고객이 살 수 있는 인터페이스는 아직 100G가 천장입니다

KT 국내전용회선 최고 등급 = 100Gbps (1G/2.5G/10G/100Gbps). 400Gbps 상품 없음
LG유플러스 IDC 코로케이션 = 최대 100G Dedicated, DCI는 최대 10G
KINX (국내 최대 중립 IX) — PeeringDB 등록 포트 137개 중 400G 단일 포트 0건. 최고 물리 포트 100G(31개), 200G가 1개 있으나 구글의 100G×2 LAG로 추정. AWS·Google·Cloudflare·Meta·Microsoft·NAVER 모두 100G
LG유플러스의 400G/800G 백본 도입 발표는 확인되지 않습니다. 확인되는 최신 이력은 2019년 Nokia FP4 86Tbps 라우터, 2021년 Ciena ROADM 최대 600G입니다

정리하면 한국은 "코어 광전송 = 이미 800G / 고객 대면 = 100G"의 이중 구조입니다. 100G를 넘는 대역이 필요하면 100G × N LAG로 묶는 것이 현실이고, 이것이 뒤에서 설명할 보안장비 설계와 정확히 맞물립니다.

10.3.3 대역폭 증가는 필연인가 — 세 개의 층위를 분리해야 합니다

"트래픽은 계속 늘어난다"는 명제는 맞지만, 그 문장 하나로 투자 판단을 하면 틀립니다. 증가율이 서로 반대 방향인 세 개의 층위가 존재합니다.

층위	최근 증가율	방향	IPS가 닿는가
① 소비자·기업 광역망(WAN) 국제 대역폭, 고정 브로드밴드, IX	국제 대역폭 45%(2020) → 29%(2024) 고정 회선당 연 ~10% (28개국 중앙값) AMS-IX 2025년 +4% DE-CIX 프랑크푸르트 5년 +89%(연 13.6%)	명백히 둔화	✔ 닿습니다 (게이트웨이·경계 구간)
② 한국 이동통신 과기정통부 월간 트래픽	+19.6%('20) → +18.4%('21) → +15.7%('22) → +9.7%('23) → +6.1%('24) → +26.4%('25) 재가속 2026.03 월 1,488,374TB (5G 92.9%)	둔화 후 재가속 변동성 큼	✔ 닿습니다 (Gi-LAN/N6 구간)
③ AI 데이터센터 내부 GPU 간 east-west 패브릭	Google 단일 DC 패브릭 47 Pbps 양분대역폭 Crehan: 스케일업 이더넷 향후 5년 200배 800GbE 채택 곡선이 400GbE 대비 "거의 100배 빠름"	폭증	✕ 닿지 않습니다

규모 감각 — 이 두 숫자를 나란히 보십시오

Google 단일 데이터센터 패브릭의 양분대역폭 = 47 Pbps
DE-CIX 글로벌 60여 개 IX 합산 피크(2026년 7월 월드컵 신기록) = 29.5 Tbps

1,500배 이상 차이입니다. 즉 오늘날 800G·1.6T 포트를 빨아들이는 수요는 인터넷 백본이 아니라 AI 데이터센터 내부이고, 그 트래픽은 인라인 보안장비가 물리적으로 들어갈 수 없는 곳에 있습니다(아래 10.3.5 참조).

WAN 트래픽 둔화의 실증 데이터 — 반대 견해까지28개국 규제기관 데이터 · Nokia 전망과 그 비판

둔화를 뒷받침하는 자료

Communications Chambers (Rob Kenny), 2025년 10월 — 28개국 규제기관·정부통계 기반, 2014~2025년 고정 회선당 트래픽 분석. 결과: 2025년 3월까지 12개월 성장률 9.9%, 28개국 중앙값 10%. 2022년까지 하락한 뒤 연 10%에서 안정. 28개국 중 12개국이 최소 1회 전년비 마이너스를 경험. FTTP 보급률과 트래픽의 상관은 R²=0.00. 결론 원문: "연 10% 트래픽 증가가 새로운 정상(new normal)"
결정적 부수 사실: 백본 단위원가는 연 20% 하락하는데 트래픽은 연 10% 증가 → 실질 백본 비용은 오히려 감소합니다. 통신사가 "트래픽이 늘어서 장비를 사야 한다"는 압박을 덜 받는다는 뜻입니다.
TeleGeography: 국제 사용 대역폭 45%(2020) → 29%(2024), 2020~24 CAGR 32% → 2025~35 전망 연 24%. 표현 원문: "growth is coming at a slower and slower rate"
OpenVault(미국 고정 브로드밴드): 4Q25 가구당 767.4GB, +9.9%. 관찰 원문: "속도 향상이 사용량의 비례적 증가로 이어지지 않았다"
AMS-IX: 2025년 트래픽 +4%, 미국 사업(베이에어리어·시카고) 2026년 3월 철수

반대 견해 — "AI가 WAN을 3~7배 늘린다" (Nokia)

Nokia Deepfield 「Global Network Traffic Report」(2025년판): 2033/34년까지 WAN 트래픽 3~7배(CAGR 13~22%), AI 트래픽이 WAN의 30~33% 차지.

그런데 업계 내부에서 강하게 비판받고 있습니다. Tom Nolle(Andover Intel): "애플리케이션 얘기를 안 하면 이게 트래픽 예측인지 검증할 수가 없다. 연간 자문하는 600개 기업 중 WAN 대역폭 제약으로 목표 달성이 어렵다는 곳은 한 곳도 없었다." William Webb(Commcisive): "Nokia는 WAN 사용량 증가에 이해관계가 있다."

TeleGeography의 중립적 입장: "AI 전용 수요를 분리 산출하는 것은 불가능하다." 다만 콘텐츠 사업자(하이퍼스케일러·클라우드·AI 플랫폼)가 2025년 전 세계 사용 용량의 75%를 차지한다는 점은 확인됩니다 — 즉 늘어나는 트래픽의 주인은 통신사가 아니라 하이퍼스케일러입니다.

10.3.4 결정적 반전 — 400G 포트는 있는데, 400G 검사는 없습니다

여기가 이 절에서 가장 중요한 부분이고, 원래 이 리포트가 세웠던 "400G 개발 발표 = 다음 사이클 트리거" 가설을 수정해야 하는 이유입니다.

400GbE(QSFP-DD) 포트를 가진 보안 어플라이언스는 2022년부터 존재하며 지금은 흔합니다 — Palo Alto PA-7500, Fortinet 4800F·3800G·3700F·3200F·7121F, Cisco Secure Firewall 4200, Juniper SRX4700, Radware DefensePro X800. 문제는 그 포트에 400G를 흘렸을 때 실제로 검사되는 양입니다.

400G 포트를 달아도 실제 검사되는 것은 이만큼입니다

회색 = 장착된 400G 포트의 총 대역폭(=100%) · 색 = 위협방어(threat prevention) 활성화 시 실제 처리량 · 각 벤더 공식 데이터시트 기준

측정 기준 주의: Palo Alto의 1,440Gbps는 자체 "appmix" 기준으로, 타사의 "Enterprise Traffic Mix + 로깅 활성화" 기준과 직접 비교하면 과대평가됩니다. Palo Alto가 방화벽:위협방어 비율 1.04:1로 유독 낮은 이유도 여기 있습니다.

그리고 800GbE 보안장비는 세상에 없습니다

2026년 8월 현재 QSFP-DD800/OSFP 포트를 가진 방화벽·IPS 제품은 Palo Alto·Fortinet·Check Point·Cisco·Juniper·Trellix·Radware 어디에서도 확인되지 않습니다. 반면 순수 스위치는 이미 800G가 상용입니다(예: Cisco Nexus N9364E-SG2-Q = 64×800G).

이 격차 자체가 질문에 대한 가장 직접적인 답입니다. 회선은 800G로 갔고, 스위치도 갔고, DDoS 완화장비도 갔는데(Radware DefensePro X800 = 800Gbps / 4×400GE), 페이로드를 열어보는 IPS만 못 갔습니다.

왜 못 가는가 — 세 가지 구조적 이유

이유	실측 근거
① 방화벽 처리량 ≠ 위협방어 처리량 통상 4~40배, 최대 70배 격차	Juniper SRX4700: 방화벽 1,400Gbps vs 고급위협방어 20Gbps = 70배 Fortinet 4800F: 3,100 vs 75 = 41배 · Check Point 29200: 1,400 vs 63.5 = 22배 원인: 방화벽·NAT·IPsec은 ASIC/NPU 오프로드가 되지만, IPS/AV는 페이로드 재조합 + 패턴 매칭 + 프로토콜 디코딩이라 범용 CPU를 벗어나기 어렵습니다. 윈스의 6.7나노초 예산 문제(4장)와 같은 물리 법칙입니다.
② TLS 복호화를 켜면 반토막	NSS Labs 독립시험(NGFW Group Test): 처리량 평균 −60%(최악 −95%), 신규연결률 −92%, 응답지연 +672% 벤더 자체 공표: Check Point 29200 63.5→24.6Gbps(−61%) · Cisco 4245 140→45Gbps(−68%) · Fortinet 3800G 200→120Gbps(−40%)
③ 벤더가 "검사 포기"를 기능으로 제공	Cisco Secure Firewall의 Elephant Flow Detection: 기본 임계값 10초당 1GB 초과 플로우를 식별하고, Snort 코어 CPU 40% 초과 + 드롭률 5% 초과가 30초 지속되면 자동으로 Bypass(검사 없이 통과) 또는 Throttle. 백업·복제·AI 데이터셋 전송이 정확히 여기 해당합니다. Arista DirectFlow Assist + Palo Alto: 방화벽이 "더 검사 안 해도 됨"이라 판단한 플로우를 스위치가 아예 방화벽을 우회시킵니다.

10.3.5 그래서 통신사 백본에서는 인라인 IPS를 쓰지 않습니다

먼저 용어 정리 — "인라인"과 "라인레이트"는 서로 다른 이야기입니다

이 두 단어가 늘 붙어 다녀서 같은 말처럼 보이지만, 축이 다릅니다.

인라인(in-line) = 장비를 어디에 놓느냐의 문제. 트래픽이 지나가는 길 위에 놓는 것.
라인레이트(line rate) = 장비가 얼마나 빠르냐의 문제. "회선 속도 그대로, 하나도 안 밀리고" 처리한다는 뜻.

비유하면 인라인은 "검색대를 통로 한가운데 세웠다"이고, 라인레이트는 "그 검색대가 승객이 몰려와도 줄을 안 세운다"입니다.

그런데 둘이 붙어 다니는 이유가 있습니다 — 인라인으로 놓는 순간 라인레이트가 의무가 됩니다. 길 한가운데 있는데 느리면 그게 곧 정체이고, 심하면 회선 자체가 죽습니다. 이 의무가 400G 구간에서 인라인 IPS를 밀어내는 원인입니다.

보안장비를 놓는 세 가지 방식

공항으로 치면 ① 보안검색대 ② 검색대 옆 복사 모니터 ③ 관제실 CCTV

③이 400G 이상에서 유일하게 살아남는 이유가 여기 있습니다. 8,192개 중 1개만 보면 되니 장비가 400G를 처리할 필요가 없습니다. 회선이 800G가 되든 1.6T가 되든 관제 서버 부담은 거의 그대로입니다. 반면 ①과 ②는 회선이 빨라지는 만큼 장비도 빨라져야 하는데, 그게 안 되고 있습니다(10.3.4).

그런데 — 이건 우열의 문제가 아닙니다. 잡는 대상이 다릅니다

"백본이 샘플링으로 갔다"를 "아웃오브밴드가 더 진보된 방식이고 인라인 IPS는 구식이다"로 읽으면 안 됩니다. 둘은 애초에 다른 것을 잡습니다.

샘플링이 잘 잡는 것 — "양"의 공격

DDoS. 평소 초당 100개 보이던 게 갑자기 20만 개로 늘면, 8,192분의 1만 봐도 확실하게 티가 납니다. 오히려 망 전체를 한눈에 보므로 인라인보다 낫습니다.

샘플링이 절대 못 잡는 것 — 침투

해킹. 공격자는 정상적으로 생긴 웹 요청 딱 한 개에 공격 코드를 숨깁니다. 8,192분의 1 확률에 걸릴 리도 없고, 걸려도 헤더(봉투 겉면)만 봐서는 안 보입니다. 가방을 열어보는 수밖에 없습니다.

DDoS는 백만 번 두드리는 공격이라 샘플링으로 잡히고, 해킹은 한 번 찌르는 공격이라 샘플링으로는 원리적으로 못 잡습니다.

막는 방식의 정밀도도 다릅니다. 샘플링 쪽 무기(BGP Flowspec, 블랙홀 라우팅)는 "이 IP에서 오는 것 전부 막아" 수준의 도끼입니다. "이 웹 요청 안에 든 SQL 인젝션만 골라 막아"는 인라인 IPS만 할 수 있는 메스입니다. 그래서 통신사도 둘 다 씁니다 — 백본 코어에서는 샘플링, 인터넷 게이트웨이·모바일 코어 경계에서는 인라인 IPS.

그래서 이 절의 논지는 "IPS가 밀려났다"가 아닙니다

백본 코어는 애초부터 IPS의 자리가 아니었습니다. 윈스가 통신사에 파는 100G IPS도 코어 라우터 사이가 아니라, 트래픽이 이미 한 곳으로 모인 경계 구간(모바일 코어와 인터넷이 만나는 Gi-LAN/N6, 인터넷 게이트웨이)에 들어갑니다. 2020년 LG유플러스 사례가 "5G 네트워크 보호용" 100G IPS였던 것이 정확히 이 자리입니다.

따라서 "백본이 400G/800G로 올라가니 IPS도 400G급으로 교체되겠지"라는 추론이 성립하지 않습니다. 400G로 올라간 구간은 IPS가 서 있지 않은 곳이고, IPS가 서 있는 경계 구간의 회선 속도는 100G에서 크게 오르지 않았습니다(KT 전용회선 최고 등급 100Gbps, KINX 400G 포트 0건 — 10.3.2). 100G 시대에 성립했던 "회선 속도 = IPS 교체 사이클" 공식이 여기서 끊깁니다.

이제 통신사 백본이 실제로 무엇을 쓰는지 보겠습니다.

400G+ 코어·피어링 구간의 실제 운용은 아웃오브밴드 플로우 기반 탐지가 표준입니다.

계층	실제로 쓰는 것	파라미터
탐지	sFlow 샘플링 (NetFlow/IPFIX 병용)	엣지 1:1,000~1:2,048 코어 1:4,096~1:8,192 볼류메트릭 공격 탐지 5~15초
집행 (정밀)	BGP Flowspec (RFC 5575)	탐지→집행 30초 이내
집행 (최후)	RTBH (블랙홀 라우팅)	즉시. 단 정상 트래픽까지 전부 폐기
대형 공격	스크러빙 센터 다이버전	NETSCOUT Arbor Cloud 33Tbps / 16개 센터 (2026.07, 직전 15Tbps에서 2배 확장)
인라인 상시	엣지 소규모 링크 한정	≤100Gbps/대 수준

인라인을 안 쓰는 이유는 업계 문서에 명시되어 있습니다 — "플로우 기반 탐지는 인라인 하드웨어 없이 네트워크 전역 가시성을 제공하며, 단일 장애점을 만들지 않고 검사 어플라이언스로 트래픽을 우회시킬 필요도 없다." 여기에 산술이 더해집니다: 400G 링크 하나를 라인레이트로 검사하려면 위협방어 20~140Gbps짜리 어플라이언스를 3~20대 병렬로 붙여야 하고, 백본은 통상 수십~수백 개 링크입니다.

병목의 정체 — 이 대비가 모든 것을 설명합니다

DDoS 완화 어플라이언스는 400G 시대를 따라잡았습니다 (Radware DefensePro X800 = 800Gbps / 4×400GE, Huawei Anti-DDoS 8000 = 960Gbps). DDoS 필터링은 대부분 무상태·헤더 기반이라 ASIC/FPGA 오프로드가 가능하기 때문입니다.

반대로 페이로드를 봐야 하는 IPS/DPI는 못 따라잡았습니다. 즉 병목은 "패킷을 빠르게 넘기는 것"이 아니라 "내용을 읽는 것"입니다. 그리고 이건 무어의 법칙으로 풀리는 종류의 문제가 아닙니다 — 회선 속도는 10년에 10배씩 오르는데, 패턴 매칭 비용은 트래픽에 선형으로 붙기 때문입니다.

AI 데이터센터에는 아예 들어갈 수 없습니다

RDMA(InfiniBand / RoCEv2)는 커널 네트워크 스택을 우회합니다. 업계 문서 원문: "이 트래픽은 NetFlow나 sFlow 컬렉터에 보이지 않는다." 인라인 검사는 물론이고 가시성 자체가 없습니다. 커널 바이패스가 RDMA의 존재 이유이므로 검사 장비를 넣으면 성능 모델이 붕괴합니다.
하이퍼스케일러의 east-west는 이미 2010년대에 호스트/NIC로 내려갔습니다. Microsoft Azure AccelNet(USENIX NSDI 2018): 물리 코어 1개의 기회비용이 연 $900이라 SmartNIC 오프로드로 이동. 현재 표준 집행 지점은 하이퍼바이저 VFP / AWS Nitro / 보안그룹 / Cilium·Calico eBPF입니다. 어플라이언스 방화벽이 남는 곳은 north-south 경계와 규제 요구 구간뿐입니다.
업계의 대응도 "더 빠른 박스"가 아닙니다. Cisco는 NVIDIA BlueField DPU에 방화벽을 얹어 400G 라인레이트 stateful 세그멘테이션을 제공합니다(GA 목표 2026년 4분기). Cisco의 명시적 논리: "외부 방화벽으로 트래픽을 헤어피닝하면 지연이 늘고 대역폭 병목이 생겨 사실상 클러스터 전체의 초크포인트가 된다."
Fortinet은 2025년 11월 FG-3800G를 "Secure AI Data Center"용으로 내놨지만 위협방어 200Gbps여서 800G GPU 백엔드 링크에는 들어가지 못하고, 프론트엔드·스토리지 네트워크에 배치됩니다.

10.3.6 그래서 윈스에게 400G는 무슨 의미인가 — 원래 가설의 수정

이 리포트가 앞에서 세웠던 가설

9장에서 "이 종목의 다음 상승 사이클을 여는 트리거는 400G급 국산 IPS 개발 발표"라고 썼습니다. 이 조사 결과, 그 명제는 100G 시대의 공식을 그대로 연장한 것이며 400G 이후로는 성립하지 않을 가능성이 큽니다. 정직하게 수정합니다.

#	수정 이유	근거
①	"라인레이트 400G IPS"는 세계 최상위 벤더도 못 만들었습니다	포트 용량 대비 실제 검사율 2.3~32.5%. 800GbE 보안장비는 존재하지 않음. 국산 벤더가 못 만든 게 아니라 아무도 못 만들었습니다.
②	국내 시장 규모가 400G ASIC 개발을 정당화하지 못합니다	국내 IPS 시장 2026년 약 700억원 → 2030년 900억원대(CAGR 6%). 윈스의 해자인 자체 NIC(WGEN ASIC)을 400G급으로 재개발할 규모의 경제가 없습니다.
③	국내 경쟁 구도는 이미 "총 처리성능" 경쟁으로 옮겨갔습니다	시큐아이 BLUEMAX IPS "최대 400Gbps급"은 100G NIC 다수 장착 방식이지 400GbE 인터페이스가 아닙니다. 윈스도 SNIPER ONE-i를 "최대 수백 기가급"이라 표현합니다. 국산 400GbE 인터페이스 보안장비는 확인되지 않습니다.
④	고객 인터페이스가 100G에 머물러 있어 400G 포트 수요 자체가 약합니다	KT 전용회선 최대 100Gbps, LGU+ IDC 최대 100G, KINX 400G 포트 0건. 고객이 100G LAG로 묶어 쓰는 한, 보안장비도 100G NIC × N이면 충분합니다.

그래서 무엇을 봐야 하는가 — 수정된 추적 지표

인터페이스 속도(400GbE 포트)가 아니라 다음 세 가지를 보십시오.

총 위협방어 처리량(aggregate threat prevention throughput). 윈스가 현행 "수백 기가급"에서 구체적 숫자(예: 400Gbps, 600Gbps)를 공표하는 시점. 시큐아이는 이미 "400Gbps급"이라는 숫자를 쓰고 있어, 이 표현 경쟁에서 밀리면 통신사·대형 IDC 입찰에서 불리해집니다.
TLS/SSL 복호화 성능. 이것이 실질적인 차세대 경쟁축입니다. 암호화 비중이 오르면 같은 회선 속도에서도 더 큰 박스가 필요해지므로, 회선이 400G로 안 가더라도 교체 수요는 발생합니다. 윈스가 2025년 6월 수산아이앤티와 SSL 가시성 MOU를 맺은 것이 이 맥락입니다.
ITSCC(itscc.kr) 신규 CC 인증의 하드웨어 사양. 2025년 12월 인증된 SNIPER ONE 100G(R2)는 Xeon Platinum 8558P 48코어 ×2 = 96코어 + 100G 광포트 ×4였습니다. 다음 세대에서 포트 수·코어 수가 어떻게 늘어나는지가 실질 지표이며, 400GbE 포트 등재 여부는 부차적입니다.

균형을 위한 반대편 — 어플라이언스가 죽는다는 뜻은 아닙니다

Dell'Oro(2026년 8월)는 네트워크 보안 하드웨어 매출이 2025~2030년 CAGR 7%로, 직전 5년(3.8%)보다 오히려 가속될 것으로 봅니다. 누적 지출 $900억 초과, 방화벽 세그먼트만 2030년 $200억 초과. 동인은 End-of-Support 마감, 성능 요구, 디지털 주권(digital sovereignty), AI 인프라 투자입니다.

Dell'Oro의 표현: "이것은 하드웨어 우선 아키텍처로의 회귀가 아니라, 물리 어플라이언스·가상 소프트웨어·SaaS가 각자 운영상 가장 적합한 곳에서 확장하는 더 균형 잡힌 시장이다." 물리 어플라이언스가 남는 곳은 "성능, 복원력, 로컬 제어가 필수적인 곳" — 한국의 공공망·국방·통신사 백본이 정확히 여기입니다. N2SF·CC인증·보안적합성 검증이 이 자리를 제도적으로 보장합니다.

다만 방향은 분명합니다. Dell'Oro 폼팩터 믹스(2026): SaaS 약 40% + 가상 약 15% = 55%가 물리 어플라이언스 45%를 2025년에 추월했습니다(Dell'Oro가 2022년에 예측했던 것보다 1년 빠름). Gartner는 2025년 8월 최초의 「Hybrid Mesh Firewall」 매직 쿼드런트를 발간하며 평가 축을 "박스 성능"에서 "배포 형태 무관 + 통합 관리"로 옮겼습니다. 어플라이언스 처리량 경쟁이 더 이상 시장의 주된 차별화 요소가 아니라는 신호입니다.

이 절의 최종 결론

대역폭 증가는 필연입니다. 그러나 그것이 윈스의 매출로 번역되는 경로는 이전보다 좁아졌습니다.

① 증가분의 대부분(AI DC east-west)은 IPS가 물리적으로 닿을 수 없는 곳에 있습니다. ② 통신사 백본 코어는 이미 인라인 검사를 포기하고 sFlow+Flowspec+스크러빙으로 갔습니다. ③ IPS가 남아 있는 자리 — 모바일 코어의 Gi-LAN/N6, 인터넷 게이트웨이, 공공·기업 경계, IDC 인입 구간 — 는 여전히 존재하고 제도적으로 보호되지만, 그 자리의 회선 속도는 100G에서 크게 오르지 않고 있습니다.

따라서 윈스의 다음 사이클은 "400G라는 새 속도 세대"가 아니라, "암호화 비중 증가 + 노후 100G 장비의 내용연수 도래 + N2SF발 아키텍처 재설계"라는 세 개의 완만한 동인에서 나올 가능성이 높습니다. 2020~2021년 같은 급격한 이익 점프를 기대하기는 어렵고, 대신 교체 수요에 기반한 완만한 회복이 현실적 시나리오입니다.

10.4 구조적 역풍 세 가지

① 클라우드·서비스 전환 = 마진 희석

2026년 공공 수요예보에서 서비스 6,678억 vs 제품 2,043억(3.3배). 클라우드 보안은 성장률 1위(+17.9%)지만 절대 규모는 네트워크 보안의 29%.

회사도 인정하고 대응 중입니다 — 2025년 장비 생산 자회사 윈스시스템을 매각하고 보안관제 자회사(현 딥포인트)를 편입했습니다. 그러나 서비스는 인력 사업이라 마진이 낮습니다. 2026년 상반기 OPM 12.9%가 그 대가입니다.

② 외산 공공 진입장벽 완화

2022년 11월 보안적합성 검증 개편으로 대상기관의 95%('나'·'다' 그룹)에서 검증 부담이 대폭 낮아졌습니다. 당시 업계 평가는 "외산 보안제품의 공공시장 진입 장벽을 크게 낮추고 무한경쟁 환경을 조성"이었습니다.

윈스의 강점이 "CC인증 + 국산 + 통신사 레퍼런스"인데, 이 중 첫 번째의 상대적 가치가 얇아지는 방향입니다.

③ 일본 총판계약 만료 시점 도래

공시된 유일한 경영상 주요계약인 시큐어소프트와의 총판·독점판매권(2018.07 체결, 기간 7.5년)이 2025년 말~2026년 초에 만료됩니다. FY2025 사업보고서(2026년 3월 제출)에 동일 계약이 그대로 기재되어 있어 유효한 것으로 보이나, 명시적 연장 공시는 확인되지 않았습니다. 2026년 상반기 제품 수출이 1.45억으로 사실상 멈춘 것과 겹쳐 보면 확인이 필요한 항목입니다.

10.5 제도가 만드는 순풍 — 이건 확실합니다

정보통신망법 전면 개정 (2026.03.12 국회 통과, 공포 후 6개월 시행) — 5년 내 반복 침해사고 시 매출액 3% 이내 과징금, 시정명령 미이행 시 일 매출의 1만분의 3 이행강제금, CISO 임원급 지정 의무화 + 정보보호위원회 설치. 기업이 보안에 돈을 안 쓸 수 없게 만드는 구조입니다.
정보보호 공시 의무 대폭 확대 (2026년 초 입법예고) — "매출 3,000억 이상" 조건을 삭제해 KOSPI·KOSDAQ 상장법인 전체로 확대, 공공기관·금융회사 예외조항 삭제. 2027년 대상자부터 적용.
공공 정보보호 예산 확장 국면 — 2026년 9,733억(+22.5%), 제품 2,043억(+18.5%). 정부는 2027년까지 정보보호산업 30조 목표, 1.1조 투입을 제시.
다만 2026년 사이버보안 R&D 예산은 1,191억이고 신규과제가 122억(10%)에 그쳐, 정부 R&D는 큰 모멘텀이 아닙니다.

종합 — 3년 시나리오

2026년: 계곡. 상반기 −32%가 이미 나왔고, 연간 판정은 4분기에 납니다. 가이던스(연결 1,135억/184억)는 상반기 진척률 기준 매출 33.5% / 영업이익 26.6%로 이익 쪽이 특히 부담입니다. 회사 가이던스는 2025년에 매출 −14.3% 미달한 전력이 있습니다.

2027년: 제도가 작동하기 시작하는 해. 정보통신망법 개정 시행 + 정보보호 공시 확대 적용 + 통신 3사 보안투자가 예산에 실릴 시점. 다만 이 수요의 상당 부분이 어플라이언스가 아닐 위험이 남습니다.

2028년 이후: 400G 세대가 열리는지에 전적으로 달려 있습니다. 열리면 2019~2021의 반복, 안 열리면 유지보수로 버티는 고배당·저평가 종목으로 남습니다.

11실적·재무·밸류에이션

주가 (2026-08-18)

10,580원

52주 9,870~14,580원

시가총액 / 순현금

1,299억

순현금 964억 = 시총의 74%

PER / PBR

7.3× / 0.64×

네이버금융 표기(BPS 16,644원) · 연결 자본총계 1,809억 환산 시 PBR 0.72×

배당수익률

7.6%

DPS 800원 · 15년 연속

11.1 재무구조 — 이 부분은 매우 좋습니다

연결 기준 (억원)
항목	2025.12.31	2026.06.30
현금및현금성자산	149.7	82.6
단기금융상품	887.9	881.1
현금성자산 합계	1,037.6	963.7
차입금 (단기+장기+사채)	0	0
투자부동산	380.3	376.6
자본총계	1,851.9	1,809.3
부채비율	13.4%	8.9%

"연결실체는 당기말 현재 차입금이 없으며" FY2025 연결재무제표 주석 — 재무위험관리

밸류에이션을 다시 계산하면

시가총액 1,299억 − 순현금 964억 = 실질 기업가치(EV) 약 335억. 여기서 투자부동산 377억을 더 빼면 이론상 영업가치는 마이너스가 됩니다.

2025년 영업이익 212억 기준 EV/EBIT ≈ 1.6배. (엄밀히는 투자부동산을 차감한다면 영업이익에서도 건물임대 부문(매출 41.1억)에서 나오는 이익을 빼야 일관됩니다.) 이 숫자만 보면 극단적 저평가입니다. 다만 시장이 이 가격을 매기는 이유도 명확합니다 — 성장이 없고(15년 매출 CAGR 약 6%, 최근 5년은 0%대), 재평가를 만들 촉매(애널리스트 커버리지·수주 공시·성장 스토리)가 없으며, 순현금이 주주에게 돌아온다는 보장이 부분적이기 때문입니다.

11.2 주주환원 — 실제로 하고는 있습니다

사업연도	주당배당금	배당총액	배당성향	시가배당률
2021	500원	62.5억	33.9%	3.0%
2022	500원	62.7억	32.6%	3.9%
2023	500원	62.7억	29.7%	4.0%
2024	800원	88.0억	44.3%	6.3%
2025	800원	86.0억	46.7%	6.6%

15년 연속 결산배당 (2011년 제1기부터). 조세특례제한법상 고배당기업 해당
2026년 3월 20일 「기업가치 제고 계획」 자율공시에서 "배당성향 40% 이상 유지"를 명문화
2024년 11월 자사주 1,364,416주를 장내 직접취득 후 즉시 소각 — 말이 아니라 실제로 소각한 이력
2026년 주총에서 중간배당 조문(제54조의2) 신설 — 분기/중간배당 가능성 열림
다만 자사주 보유가 14.35%(1,762,747주)인데 반기보고서상 "이사회 승인을 받은 자사주 소각 계획은 없음"입니다. 신탁으로 계속 사기만 하고 소각은 안 하는 구간

11.3 지배구조 — 흔히 잘못 알려진 부분

최대주주는 대표이사가 아닙니다

주주	관계	주식수	지분율
㈜금양통신	최대주주 (부산 소재 전기통신공사업체)	4,223,626	34.39%
김을재	임원 · 금양통신 지분 80.08% 보유	509,076	4.14%
㈜닉시온	기타	330,000	2.69%
김대연	기타 (전 대표이사)	300,000	2.45%
김보연	대표이사	28,000	0.23%
이수현	임원	1,000	0.01%
최대주주 등 합계		5,391,702	43.91%
자기주식		1,762,747	14.35%
외국인		—	8.86%

모니터링 포인트: ① 금양통신이 2025년 중 33만 주를 시간외로 ㈜닉시온에 매각해 37.08% → 34.39%로 축소됐고, ② 2026년 4월 특별관계자 김대연이 48만 주 → 30만 주로 매도했으며, ③ 금양통신 자체가 2025년 매출 49억에 영업손실 −1.5억인 회사입니다. 지배주주 측의 자금 사정이 지분에 영향을 줄 수 있는 구조입니다.

11.4 가이던스 신뢰도 — 2025년에 매출 −14~15% 미달

구분	2025 전망	2025 실적	오차	2026 전망	2026 상반기 진척률
매출액(연결)	1,150억	986억	−14.3%	1,135억	33.5%
영업이익(연결)	222억	212억	−4.5%	184억	26.6%
매출액(별도)	1,100억	933억	−15.2%	1,100억	—
영업이익(별도)	220억	190억	−13.5%	181억	—

회사 스스로 2026년 영업이익 가이던스를 전년 실적(212억)보다 낮은 184억으로 제시했다는 점은 주목할 만합니다. 믹스 악화에 따른 마진 하락을 회사도 예상했다는 뜻입니다. 다만 4분기 계절성을 감안해도 상반기 진척률 26.6%는 이 낮춘 가이던스마저 빠듯합니다.

12Bull / Bear

▲ 강세론

순현금 964억 = 시총의 74%, 차입금 0원, 부채비율 8.9%. 투자부동산 377억 별도. EV/EBIT 약 1.6배
배당수익률 7.6%, 15년 연속 배당, 「기업가치 제고 계획」에 배당성향 40%+ 명문화, 자사주 실제 소각 이력(2024년 136만 주)
영업이익률이 2021년 이후 5년간 21%대에서 놀랍도록 안정적 — 자체 NIC(ASIC)와 단일 하드웨어 플랫폼이 만든 원가 구조
매출의 52%가 기간 인식 리커링. 통신 3사 CAPEX −23.6%(9.6조→7.33조), 자사 제품 매출 −26%(505→372억)인데 총매출은 2023년 대비 −7.7%에 그친 방어력
2026년 공공 정보보호 예산 +22.5%, 정보보안 제품 2,043억(+18.5%) — 명확한 확장 국면 진입
통신 3사 5년간 2.4조 보안투자 — 통신사 백본급 IPS를 공급하는 사실상 유일한 국산 벤더(2020~21년 보도 기준, 최신 점유 상황은 확인 불가)
정보통신망법 전면 개정(매출 3% 과징금, CISO 임원급 의무화) + 정보보호 공시 KOSDAQ 전체 확대 → 민간 수요의 제도적 강제
고객 집중도 없음 — 매출 10% 이상 거래처가 단 한 곳도 없음
N2SF 컨소시엄 주관사로 선정 — 장비 벤더가 사업 주관자로 참여한 사례

▼ 약세론

2026년 상반기 영업이익 −32.0%, 영업이익률 18.1% → 12.9%. 2021년 이후 5년간 지켜온 21% 밴드가 처음으로 깨지는 중
제품 매출 505억(2023) → 372억(2025) → 상반기 117억. 비중 47.2% → 30.8%. 하드웨어 사업이 실제로 줄고 있음
2026년 상반기 제품 수출 1.45억 (사실상 정지), SI 상품 매출 1.2억 (사실상 소멸)
국내 정보보안 시장은 2020~2024년 +82% 성장, 윈스 매출은 +2.8%. 성장이 이 회사가 있는 세그먼트에서 일어나지 않음
2025년 가이던스 대비 매출 −14~15% 미달(연결 1,150억 전망 → 986억). 2026년 상반기 영업이익 진척률 26.6%
「400G 세대」라는 다음 트리거 자체가 불확실 — 회선은 이미 800G인데 라인레이트 400G 검사를 하는 보안장비는 세계 어디에도 없고 800GbE 보안 어플라이언스는 존재하지 않음. 국내 IPS 시장 700억(2026)→900억(2030, CAGR 6%)으로 400G ASIC 자체개발의 규모의 경제가 없음 (10.3장)
2022년 11월 보안적합성 검증 개편으로 외산 공공 진입장벽 완화. 국산 인증 프리미엄 희석
일본 총판계약(2018.07, 7.5년)이 만료 시점 도래, 연장 공시 미확인
망분리 완화·제로트러스트는 경계 방어(IPS)의 전략적 중요도를 낮추는 방향. 자체 제로트러스트·NDR·XDR·SASE 제품 없음
애널리스트 커버리지 사실상 부재(최신 리포트 2020년 3월). 수주·백로그 공시도 없어 재평가 촉매 결여
자사주 14.35% 보유하나 소각 계획 없음. 최대주주 금양통신(본업 영업적자)의 지분 축소 지속
연간 손익이 4분기 한 분기(매출 41%·영업이익 50%)에 결정 — 실적 가시성이 구조적으로 낮음

이 종목의 성격에 대한 한 줄 정리

"성장주로 사면 실망하고, 자산·배당주로 사면 견딜 만하며, 사이클주로 사려면 400G를 기다려야 하는 종목"입니다. 순현금·배당·PBR 0.64배가 하방을 만들고, 4분기 실적과 400G 개발 뉴스가 상방을 만듭니다. 그 사이 구간에서는 영업이익률 21% 밴드로 복귀하는지가 유일하게 의미 있는 체크포인트입니다.

13모니터링 캘린더

시점	이벤트	무엇을 확인할 것인가
2026-09~10	정보통신망법 개정 시행 (공포 후 6개월)	CISO 임원급 의무화·정보보호위원회 설치가 실제 발주로 이어지는지
2026-10 말	3분기 잠정실적 공정공시	영업이익률이 12.9%에서 회복되는지. 제품 매출과 직판 비중 반등 여부
2026-11~12	2027년 정부 예산 국회 통과	정보보호 예산 방향. 2026년의 +22.5%가 이어지는지
2027-01~02	과기정통부 「2027년 공공부문 정보화·정보보호 수요예보」	가장 중요한 선행지표. "정보보안 제품" 항목 금액
2027-02 초	2026년 연간 잠정실적 (연결·별도)	이 종목 최대 이벤트. 4분기가 매출 41%·영업이익 50%. 가이던스(1,135억/184억) 달성 여부 — 2년 연속 미달이면 가이던스 자체의 신뢰도 문제
2027-03	사업보고서 + 2027년 가이던스 공시	일본 시큐어소프트 총판계약 갱신 여부가 「경영상의 주요계약」 표에 어떻게 기재되는지
2027-06-30	KISA 정보보호 공시 (isds.kisa.or.kr)	통신 3사의 2026년 실제 집행액. 발표한 "5년 2.4조"가 결산치로 확인되는지
상시	ITSCC (itscc.kr) 신규 CC 인증	신규 하드웨어 모델의 CPU 코어 수·포트 수 변화. 2025년 12월 ONE 100G(R2)는 96코어 + 100G 포트 ×4였습니다. 400GbE 등재 여부는 부차적
상시	총 위협방어 처리량 · TLS 복호화 성능 공표	400GbE 포트 여부가 아니라 "수백 기가급" → 구체적 숫자(400/600Gbps)로 바뀌는 시점과 SSL 검사 성능. 시큐아이는 이미 "400Gbps급"을 씁니다 (10.3.6)
분기	통신 3사 CAPEX	2026 상반기 SKT −15.7% / KT −15.1%가 하반기에 반전되는지
상시	N2SF 사업 규모	2026년 55억에서 2027년 본예산으로 얼마나 커지는지. 윈스가 주관사 지위를 확대하는지
상시	자사주 · 지배구조	14.35% 자사주의 소각 결의 여부, 금양통신 지분 추가 축소 여부

14출처 · 정정사항 · 미비점

널리 유통되는 오류 5건 — 원문 확인 결과 사실이 아니거나 부정확함

"윈스테크넷은 옛 이름이고 지금은 윈스다" → 반대입니다. 2011년 나우콤에서 인적분할하며 ㈜윈스테크넷으로 설립 → 2013년 ㈜윈스로 변경 → 2025년 3월 다시 ㈜윈스테크넷으로 환원했습니다. 현재 공식 상호는 윈스테크넷, 종목명은 윈스입니다.
"최대주주는 김보연 대표이사" → 아닙니다. 김보연 대표의 지분은 0.23%(28,000주)이고, 최대주주는 부산 소재 전기통신공사업체 ㈜금양통신(34.39%)입니다.
"주력 제품은 SNIPER IPS / SNIPER DDX" → 계보상 이름입니다. 현행 제품명은 SNIPER ONE-i(IPS), SNIPER ONE-d(DDoS)입니다. 그리고 "SNIPER ONE"은 소프트웨어가 아니라 하드웨어 플랫폼 모델명입니다.
"윈스는 NDR/XDR/SASE 제품을 갖고 있다" → 자체 제품이 없습니다. 2026년 보안뉴스 EDR·NDR·XDR 리포트에 윈스는 등장하지 않습니다. 회사가 실제로 간 방향은 AI 보안(BD1 AI Plus, AIVAX)입니다.
"일본 KDDI·소프트뱅크에 납품한다" → 공개 자료로 확인되는 것은 NTT도코모(2012년 10G 대량 공급, 2016년 40G, 2021년 100G)와 "일본 대형 IT기업 클라우드센터"뿐입니다. KDDI·소프트뱅크·IIJ 납품 근거는 확인되지 않습니다.

확인하지 못한 것 — 정직하게 밝힙니다

제품별(IPS / DDoS / 방화벽 / APT) 개별 매출은 공시되지 않습니다. 회사는 이 4개 제품군을 "제품" 한 줄(372억)로만 묶어 공시하며, 분기·반기보고서도 동일합니다. 이 분석 전체에서 가장 큰 증거 공백입니다.
유지보수(MA) 단독 매출과 요율이 미공시입니다. "유지관리+보안관제+컨설팅" 372억으로 묶여 있습니다. 본문의 "제품가의 약 10%"는 SPRi가 조사한 공공부문 SW 평균 유지관리요율 10.2%를 원용한 것이며 윈스 자체 요율이 아닙니다.
국내 IPS 세그먼트의 업체별 점유율 정량치를 확보하지 못했습니다. 사업보고서의 "침입방지솔루션 분야 15년 이상 점유율 1위"는 회사 자기 진술이며 제3자 조사기관 출처가 명시되어 있지 않습니다. IDC·Frost&Sullivan 원자료는 유료입니다.
"이통 3사 유무선 네트워크 장비 투자가 2019년 3조 5,820억 → 2024년 1조 7,460억으로 50% 이상 감소"라는 수치가 언론에 유통되나, 1차 출처를 확인하지 못했습니다. 본문에서는 검증된 3사 합산 총 CAPEX(2019년 9조 5,967억 → 2023년 7조 3,300억)만 사용했습니다.
신형 SNIPER ONE 7400 / 100G(R2)의 공표 처리성능(Gbps)이 어떤 공개 자료에도 없습니다. 회사는 "최대 수백 기가급"이라고만 표현하며, 시큐아이가 "최대 400Gbps급"이라는 숫자를 쓰는 것과 대비됩니다. CC 인증서에는 하드웨어 사양만 있고 성능 수치가 없으며, 홈페이지 라인업 표는 아직 구세대(x300) 기준입니다.
제품의 정확한 랙 유닛 규격(1U/2U), 물리 치수, 소비전력, 지연시간(μs), 광 바이패스 지원 여부, 동시세션 수, 시그니처 개수가 모두 미공개입니다. 본문의 "2U"는 제품 사진 판독에 근거한 추정입니다.
제품 가격이 어디에도 공개되지 않습니다. 사업보고서가 산정 불가를 명시했고, 조달·총판 자료도 "구매문의"뿐입니다. 본문의 "대당 1억원 안팎"은 2021년 일본 30대 수주가 3분기 약 40억으로 인식됐다는 보도에서 역산한 추정치입니다.
일본 시큐어소프트 총판계약(2018.07, 7.5년)의 갱신 여부가 확인되지 않습니다.
국방부·군 직접 납품 계약은 자회사 시스메이트의 "국방관련 하드웨어" 언급 외에 개별 근거가 없습니다.
나라장터 종합쇼핑몰의 MAS 계약번호·품목·단가를 직접 확인하지 못했습니다(세션 기반 조회).
국내 통신 3사 백본의 라우터 클라이언트 포트(400GbE) 실제 적용 범위를 확인하지 못했습니다. 광전송 파장 계층(KT 600G, SKT/SKB 800G)은 보도로 확인되지만, IP 라우터 인터페이스가 어디까지 400G로 갔는지는 통신사가 코어 라우터 모델·구성을 공개하지 않아 판별 불가입니다. LG유플러스의 400G/800G 백본 도입 여부도 확인되지 않습니다.
국내 AI 데이터센터(SK 울산, 네이버 각 세종 신규, 국가AI컴퓨팅센터 등)의 네트워크 속도 사양이 전부 미공개입니다. 확인된 유일한 구체 사례는 네이버 슈퍼컴퓨터 '세종'(2023)의 NVIDIA Quantum InfiniBand입니다. NVIDIA GPU 26만 장 도입(2025.10 발표)에 수반되는 네트워크 장비 발주 내역도 공개되지 않았습니다.
국정원 CC 인증 목록은 물리 인터페이스 속도를 기재하지 않습니다. 따라서 "400G 인터페이스 제품이 등재되어 있는지"는 인증 목록만으로 판별할 수 없습니다. 다만 국산 벤더 제품군 조사 결과 400GbE 인터페이스 보안장비 자체가 확인되지 않아 등재 가능성은 낮다고 판단했습니다.
유선 인터넷 트래픽 총량의 공식 통계가 한국에는 존재하지 않습니다. 과기정통부는 무선데이터 트래픽만 정기 공표하며, 초고속인터넷은 가입자 수 통계만 제공합니다. 10.3.3장의 층위 ①은 해외 데이터(TeleGeography·OpenVault·IX 통계)로 대체했습니다.
2026년 3·4분기 실적은 아직 발표 전입니다. 본 문서의 판단은 상반기까지의 정보에 기반합니다.

주요 출처