정보관리기술사 학습 노트
← 목록으로
SW공학·관리
#SAM#ITAM#ISO19770#라이선스관리#컴플라이언스
최종 업데이트 · 2026-10-30

소프트웨어 자산관리(SAM, Software Asset Management)

1. 개요

정의: 소프트웨어 자산관리(SAM)는 조직이 보유·사용하는 소프트웨어 자산의 취득·배포·유지·활용·폐기 전 생애주기를 식별하고, 보유 라이선스(권리)와 실제 설치·사용(실태)을 지속적으로 대사(reconciliation)하여 법적 준수·비용 최적화·보안 위험을 동시에 통제하는 관리 체계다. "무엇을, 얼마나, 어떤 권리로 쓰고 있는가"를 늘 알고 있는 상태를 만드는 것이 SAM의 본질이며, 국제적으로는 ISO/IEC 19770 표준군이 그 프로세스와 데이터 모델을 규정한다.

소프트웨어는 물리적 실체가 없고 복제가 자유로워 "소유"의 경계가 모호하다. 구매한 것은 소프트웨어 자체가 아니라 사용할 권리(라이선스)이며, 그 권리는 사용자 수·CPU 코어 수·동시 접속 수 같은 계약 조건에 묶여 있다. 그런데 설치는 클릭 몇 번으로 끝나고, 가상화·클라우드로 인스턴스는 수시로 늘었다 줄며, 부서마다 제각기 소프트웨어를 들여온다. 그 결과 조직은 자신이 무엇을 얼마나 쓰는지, 그만큼의 권리를 적법하게 보유했는지 스스로도 모르는 상태에 빠지기 쉽다. SAM은 바로 이 "보이지 않는 자산"을 가시화하려는 관리 활동으로 등장했다.

이러한 불투명성은 단지 번거로움이 아니라 조직에 실질적 손실로 돌아온다. 감사 한 번에 예산을 초과하는 정산 청구가 날아오고, 반대로 아무도 쓰지 않는 라이선스에 유지보수료가 매년 빠져나가며, 인벤토리에 없는 소프트웨어가 보안 사고의 진입점이 된다. 이 세 손실은 모두 "자신이 무엇을 가졌고 어떻게 쓰는지 모른다"는 하나의 뿌리에서 나오므로, 그 가시성을 확보하는 체계적 활동이 비용·법무·보안 부서 모두의 공통 요구가 된다.

SAM이 필요해진 배경에는 세 가지 압력이 있다. 첫째는 컴플라이언스(준수) 압력이다. 소프트웨어 공급사(벤더)는 정기적으로 라이선스 감사(audit)를 수행하며, 과소 라이선스(under-licensing)가 적발되면 소급 정산액에 과징금·페널티가 더해져 예상치 못한 거액 청구로 이어진다. BSA(Software Alliance) 같은 단체의 불법복제 신고 제도도 상존하는 위험이다. 둘째는 비용 압력이다. 반대로 실제 쓰지 않는 라이선스를 과다 보유(over-licensing)하면 유지보수료(연 15~25% 수준)가 매년 낭비된다. 과소·과다 양쪽을 모두 줄여 "딱 필요한 만큼"으로 맞추는 것이 비용 최적화의 핵심이다. 셋째는 보안 압력이다. 인벤토리에 없는 미승인 소프트웨어(섀도 IT)나 지원이 종료된(EOL) 구버전은 패치되지 않는 취약점의 온상이 되므로, 자산 가시성은 곧 공격 표면 관리의 전제가 된다.

특히 생성형 AI와 대형 서비스의 확산은 소프트웨어 지출 구조를 다시 흔들고 있다. GPU 사용량에 연동되는 AI 플랫폼 구독, 토큰·API 호출 기반 과금, 사용량이 폭증하는 코파일럿형 도구가 늘면서, "쓴 만큼 낸다"는 소비형 비용이 조직 IT 예산에서 차지하는 비중이 빠르게 커지고 있다. 전통적 영구 라이선스 중심의 자산관리만으로는 이 변동을 통제할 수 없어, SAM의 관심은 "몇 개를 설치했는가"에서 "무엇을 얼마나 소비하는가"로 이동하는 중이다. 이 흐름이 SAM과 FinOps의 수렴을 가속하는 근본 동력이다.

소프트웨어 자산의 성격은 SAM의 난이도를 결정하는 본질적 특징이다. 첫째, 무형성으로 인해 실물 자산처럼 "세어서" 관리할 수 없고 디스커버리 도구로 간접 측정해야 한다. 둘째, 복제 용이성 때문에 설치 수가 통제 없이 늘기 쉽고, 하나의 설치 매체로 수천 대에 배포되는 순간 라이선스 위반이 대량 발생할 수 있다. 셋째, 권리의 조건성이다. 구매한 것은 제품이 아니라 특정 조건(에디션·버전·사용자·지역·용도) 아래의 사용권이므로, 같은 설치본이라도 계약 조건에 따라 적법·위법이 갈린다. 넷째, 동적 변동성이다. 가상화·오토스케일링으로 인스턴스가 분 단위로 생성·소멸하므로, 특정 시점 스냅샷이 아니라 지속적 추적이 요구된다. 이 네 특징이 "한 번 세고 끝"이 아닌 상시 대사 체계를 필연적으로 만든다.

정보관리기술사 관점에서 SAM은 단순한 라이선스 회계가 아니라 IT 거버넌스·ITSM·정보보호를 잇는 운영 규율이다. ISO/IEC 19770-1은 SAM을 ISO/IEC 20000(ITSM)·27001(정보보호)과 정렬되는 경영시스템으로 규정하며, 최근에는 클라우드·SaaS 확산으로 그 범위가 ITAM(IT 자산관리) 및 FinOps와 수렴하고 있다. 아래에서는 SAM의 구성요소와 프로세스, 라이선스 측정 모델, 비교·사례, 최신 동향, 기술사 관점 시사점을 차례로 다룬다.

2. SAM의 개념 구조와 구성요소

SAM 체계는 데이터(무엇을 가졌고 어떻게 쓰는가) → 프로세스(생애주기 관리) → 거버넌스(정책·조직·역할)의 3계층이 맞물려 돌아간다. 가장 아래에는 설치 실태를 수집하는 디스커버리·인벤토리, 보유 권리를 정리한 라이선스 엔타이틀먼트, 그리고 둘을 비교하는 대사 엔진이 있고, 그 위에서 조달·배포·회수 프로세스가 돌며, 최상위에 정책과 책임체계(거버넌스)가 전체를 통제한다.

graph TD
    POL["SAM 정책·거버넌스<br/>(정책·조직·역할·KPI)"] --> PROC["SAM 프로세스<br/>(조달→배포→활용→회수→폐기)"]
    PROC --> DISC["① 디스커버리/인벤토리<br/>(설치·사용 실태)"]
    PROC --> ENT["② 엔타이틀먼트<br/>(계약·라이선스 권리)"]
    DISC --> REC["③ 라이선스 포지션 대사<br/>(ELP: 보유 vs 사용)"]
    ENT --> REC
    REC --> OPT["④ 최적화·시정<br/>(재배치·회수·추가구매)"]
    OPT -. 환류 .-> PROC
    SWID["SWID 태그(19770-2)"] -.식별.-> DISC
    ENTS["ENT 스키마(19770-3)"] -.권리.-> ENT
    RUM["RUM(19770-4)"] -.사용량.-> DISC

3계층 가운데 거버넌스 계층이 가장 자주 간과되지만 실제로는 성패를 좌우한다. 아무리 정교한 디스커버리 도구가 있어도, "미승인 소프트웨어 설치 금지", "조달은 중앙 창구 경유", "분기별 대사 의무" 같은 정책이 실효적으로 집행되지 않으면 데이터는 금세 현실과 괴리된다. 거버넌스 계층은 정책 수립뿐 아니라 SAM 매니저·조달·보안·현업의 역할(RACI)을 정의하고, 컴플라이언스율·절감액 같은 KPI로 성과를 측정하며, 경영진의 후원을 조직 전체의 준수 동기로 전환하는 역할을 한다. 요컨대 SAM은 아래의 데이터·프로세스가 위의 거버넌스에 의해 통제될 때 비로소 지속 가능하다.

이 구조도의 핵심은 보유(권리)와 사용(실태)을 끊임없이 대사하여 효과적 라이선스 포지션(ELP, Effective License Position)을 산출하고, 그 결과를 다시 프로세스로 환류시키는 순환이다. ELP가 양(+)이면 남는 라이선스를 회수·재배치하고, 음(-)이면 추가 구매하거나 사용을 줄여 격차를 메운다. 이 순환이 끊기면 SAM은 일회성 실사로 전락한다.

SAM이 조직에 주는 기대효과는 세 축으로 정리된다. 첫째는 재무 효과로, 과다 라이선스 회수·재배치와 유지보수료 절감, 협상력 강화로 직접적 비용을 줄인다. 둘째는 위험 효과로, 과소 라이선스로 인한 감사 과징금·소송 리스크와 EOL·섀도 소프트웨어의 보안 리스크를 선제적으로 낮춘다. 셋째는 운영 효과로, 정확한 자산 데이터가 예산 수립·용량 계획·기술 표준화의 기초가 되어 IT 의사결정의 질을 높인다. 이 세 효과는 서로 맞물려, 가시성 확보가 비용·위험·운영을 동시에 개선하는 선순환을 만든다. 다만 효과를 수치로 입증하려면 ELP·절감액·회수율 같은 KPI를 초기부터 정의해 추적해야 한다.

구성요소를 좀 더 풀어보면 다음과 같다. 디스커버리/인벤토리는 에이전트나 네트워크 스캔으로 전사 단말·서버·가상머신에 설치된 소프트웨어와 그 버전·에디션·사용 빈도를 수집한다. 여기서 ISO/IEC 19770-2의 SWID 태그(소프트웨어가 자신을 설명하는 표준 메타데이터 파일)가 중요한데, 제품명·버전·발행사를 표준 형식으로 제공해 "이 실행파일이 정확히 어떤 제품인가"를 모호함 없이 식별하게 해 준다. 엔타이틀먼트는 구매계약서·주문서·라이선스 증서를 전자화해 "우리가 어떤 조건으로 몇 개의 권리를 보유하는가"를 정리하며, 19770-3의 ENT(엔타이틀먼트) 스키마가 그 데이터 표준을 제공한다. 대사 엔진은 설치 실태와 권리를 제품·메트릭 단위로 맞대어 ELP를 계산한다. 이때 19770-4의 RUM(자원 사용량 측정)은 코어·사용자·동시접속 같은 과금 기준값을 표준적으로 측정해 대사의 정확도를 높인다.

이 대사 과정에서 가장 어려운 실무 난제는 정규화(normalization)다. 디스커버리는 "Acme DB Server 19c Enterprise (x64)"처럼 제각각인 원시 설치명을 쏟아내는데, 이를 엔타이틀먼트상의 표준 제품명·에디션으로 정확히 매핑해야 비로소 비교가 가능하다. 제품명 하나를 잘못 매핑하면 보유 권리가 있는데도 위반으로 집계되거나 그 반대가 되어, 대사 결과 전체의 신뢰가 무너진다. SWID 태그가 보급될수록 이 매핑이 표준화되지만, 현실에서는 여전히 도구의 제품 카탈로그와 사람의 검증에 상당 부분 의존한다. 따라서 데이터 품질 관리와 정규화 규칙의 지속 유지가 SAM 운영의 숨은 핵심 역량이 된다.

이들 구성요소의 역할과 대응 표준을 정리하면 아래와 같다. 다만 표는 구분을 돕는 보조 수단이며, 실제로는 데이터가 서로를 참조하며 하나의 자산 지식베이스로 통합된다.

구성요소 핵심 질문 주요 데이터 대응 표준
디스커버리/인벤토리 무엇이 설치·사용되는가 제품·버전·사용빈도 ISO/IEC 19770-2(SWID)
엔타이틀먼트 어떤 권리를 보유하는가 계약·수량·메트릭 ISO/IEC 19770-3(ENT)
사용량 측정 얼마나 쓰는가(코어·사용자) 자원 소비량 ISO/IEC 19770-4(RUM)
대사·최적화 격차는 얼마인가 ELP·컴플라이언스 상태 ISO/IEC 19770-1(프로세스)

예를 들어 한 제조기업이 설계도구 1,000 설치를 발견했는데 엔타이틀먼트상 보유 권리가 700이라면 ELP는 -300으로 과소 라이선스 상태다. 이때 RUM으로 "실제 월 1회 이상 실행한 사용자는 650명"임을 확인하면, 300개를 모두 추가 구매하는 대신 유휴 350개를 회수·재배치해 실수요 650에 맞추고 부족분 일부만 보강하는 식으로 대응할 수 있다.

여기서 특히 경계해야 할 것이 섀도 IT(미승인 소프트웨어)다. 현업이 중앙 조달을 거치지 않고 무료판·평가판·개인 구매분을 임의로 설치하면, 인벤토리에는 잡히지만 엔타이틀먼트에는 근거가 없어 감사에서 즉시 위반으로 간주된다. 더 큰 문제는 그 소프트웨어가 보안 패치·지원 대상에서 빠져 취약점으로 남는다는 점이다. 그래서 SAM의 데이터 계층은 단순 목록이 아니라, 발견된 모든 설치를 "승인·권리보유 / 승인·권리부족 / 미승인"으로 분류해 조치 우선순위를 매기는 자산 지식베이스로 기능해야 한다. 이 분류가 ITSM의 구성관리(CMDB)·보안의 취약점 관리와 공유될 때 비로소 자산 가시성이 조직 전체의 통제력으로 전환된다.

3. SAM 수명주기와 핵심 프로세스

SAM은 소프트웨어 자산의 조달→배포/설치→운영/활용→회수/재배치→폐기로 이어지는 생애주기를 따라 돌아가며, 각 단계마다 정책 검증과 기록 갱신이 수반된다. 이 흐름은 한 번 구축하고 끝나는 것이 아니라 분기·반기 단위의 정기 대사와 벤더 감사 대응을 통해 지속적으로 반복된다.

flowchart LR
    A["조달(Request/Acquire)<br/>수요검증·계약·권리등록"] --> B["배포/설치(Deploy)<br/>승인된 SW만 설치"]
    B --> C["운영/활용(Operate)<br/>사용량 모니터링"]
    C --> D["대사/최적화(Reconcile)<br/>ELP 산출·시정"]
    D --> E["회수/재배치(Reclaim)<br/>유휴 라이선스 회수"]
    E --> F["폐기(Retire)<br/>권리 해지·기록 보존"]
    E -. 재배치 .-> B
    D -. 추가구매 .-> A
    C -. 감사대응 .-> D

SAM의 수준은 단번에 완성되지 않고 성숙도 단계를 거쳐 발전한다. 초기에는 정기적 수작업 실사로 "지금 무엇을 가졌는가"를 겨우 파악하는 반응적(reactive) 수준에 머물지만, 자동 디스커버리와 계약 전자화가 갖춰지면 상시 대사가 가능한 능동적(proactive) 수준으로 올라서고, 최종적으로는 수요 예측·자동 최적화·조달 협상까지 전략적으로 연결하는 최적화(optimized) 수준에 도달한다. 성숙도가 낮은 조직이 고가 도구부터 도입하면 데이터 품질이 받쳐주지 못해 투자 대비 효과를 보지 못하므로, 프로세스·데이터·거버넌스를 함께 끌어올리는 단계적 로드맵이 바람직하다.

조달 단계에서는 현업의 소프트웨어 요청을 중앙에서 접수해 중복 구매와 섀도 IT를 차단한다. 이미 보유한 유휴 라이선스가 있으면 신규 구매 대신 재배치하고, 꼭 구매가 필요하면 볼륨 할인·구독 전환 등 최적 조건을 협상한 뒤 권리를 즉시 엔타이틀먼트 저장소에 등록한다. 등록이 누락되면 나중에 "권리는 있는데 증빙이 없어" 감사에서 과소 라이선스로 오판되는 사고가 흔히 발생한다.

조달 단계의 또 다른 효용은 협상 레버리지다. 전사 수요를 집계해 일괄 구매하면 볼륨 할인을 받을 수 있고, 갱신 시점을 앞두고 활용도 데이터를 근거로 "실제 쓰는 좌석은 60%뿐"임을 제시하면 수량 축소나 단가 인하를 끌어낼 수 있다. 분산 구매로는 얻을 수 없는 이 규모의 경제와 데이터 기반 협상이 SAM의 조달 통합이 주는 직접적 재무 효과다.

배포·운영 단계의 핵심 규율은 "승인된 소프트웨어만, 승인된 수량만" 설치하도록 통제하고, 설치 후에는 실제 사용 빈도를 모니터링하는 것이다. 90일간 한 번도 실행되지 않은 라이선스는 유휴로 분류해 회수 후보로 삼는다. 이 사용 기반 가시성이 비용 최적화의 원천이다. 예컨대 고가의 전문 설계도구나 BI 도구는 "할당받았지만 거의 쓰지 않는" 사용자가 흔해, 사용량을 근거로 상위 에디션에서 하위 에디션으로 다운그레이드하거나 좌석을 회수하면 즉각적인 비용 절감이 나온다.

대사·회수·폐기 단계에서는 설치 실태와 권리를 맞대어 ELP를 산출하고, 과소분은 보강, 과다분은 회수한다. 회수된 라이선스는 폐기하지 않고 재배치 풀(pool)에 넣어 다음 수요에 재활용함으로써 신규 구매를 억제한다. 단말 폐기·직원 퇴사 시에는 설치를 제거하고 권리를 반환하며, 계약·증빙은 감사 대비를 위해 법정 기간 보존한다. 이 생애주기가 ITSM의 변경·구성관리(CMDB)와 연동되면, 자산 변동이 실시간으로 기록되어 대사의 신선도가 유지된다.

벤더 감사 대응은 SAM 프로세스의 성숙도를 시험하는 실전 무대다. 대형 벤더는 계약서에 감사 조항을 두고 수년 주기로 라이선스 실사를 통보하는데, 이때 조직이 평소 ELP를 관리해 왔다면 자체 산출 자료로 협상 주도권을 쥐지만, 준비가 없으면 벤더가 제공한 스크립트 결과를 그대로 받아들여 불리한 해석(풀캐퍼시티·최대 설치수 기준)에 노출된다. 실무에서는 감사 통보 즉시 내부 대사를 선행해 격차를 스스로 파악하고, 자진 시정(true-up) 가능 범위를 협상 카드로 삼는 것이 정석이다. 예컨대 금융권의 한 사례에서는 데이터베이스 가상화 클러스터의 라이선스 경계를 사전에 격리해 두지 않아, 감사 과정에서 전체 호스트 기준 수십억 원대 추가 청구 위협을 받았다가 아키텍처 소급 격리와 협상으로 상당 부분을 완화한 바 있다 — 이는 SAM을 사후가 아닌 설계 단계부터 반영했어야 함을 보여주는 교훈적 사례다.

4. 라이선스 측정 모델과 비교

SAM의 난이도는 결국 라이선스 메트릭(과금 기준)의 다양성에서 비롯된다. 같은 제품이라도 벤더와 계약에 따라 기기당·사용자당·코어당·동시접속당 등 과금 단위가 달라, 이를 정확히 세는 일 자체가 고도의 전문성을 요한다. 아래 표는 대표적 메트릭을 정리한 것이나, 각 모델이 왜 그렇게 설계되었고 어떤 함정이 있는지는 이어지는 산문으로 설명한다.

메트릭 과금 기준 적합 상황 주의점
기기당(Per Device) 설치된 단말 수 1인 1기기 환경 가상화 시 인스턴스 폭증
사용자당(Named User) 지정 사용자 수 다기기 사용자 퇴사자 좌석 회수 누락
동시사용(Concurrent) 동시 접속 최대치 간헐적 공용 도구 피크 측정 정확도
코어/프로세서당 물리·가상 코어 수 서버 SW(DB 등) 코어 팩터·서브캐퍼시티
구독(Subscription) 기간·사용량 SaaS·클라우드 미사용 좌석 누적

코어/프로세서 기반 라이선싱은 서버 소프트웨어, 특히 데이터베이스에서 가장 까다롭다. 벤더마다 코어를 세는 방식이 달라, 예컨대 Oracle은 프로세서 코어 수에 CPU 종류별 코어 팩터(Core Factor)를 곱해 산정하고, IBM은 PVU(Processor Value Unit) 단위로 과금하며 가상환경의 서브캐퍼시티(부분용량) 인정을 받으려면 ILMT(IBM License Metric Tool) 설치·측정이 의무다. 이 규칙을 모르고 가상머신이 돌아다니는 환경을 방치하면, 감사 시 "전체 물리 코어 기준으로 라이선스하라"는 풀캐퍼시티 요구로 돌변해 수억 원대 추가 청구를 맞을 수 있다. 바로 이 지점이 SAM 전문성이 비용으로 직결되는 대표 사례다.

이런 복잡성 때문에 서버 소프트웨어 라이선싱에서는 "기술적으로 가능한 최대"와 "실제 사용"의 간극을 메우는 설계가 곧 비용이 된다. 예컨대 24코어 서버 2대로 구성된 데이터베이스 클러스터를 코어 기반으로 라이선스할 때, 코어 팩터가 0.5면 48코어 × 0.5 = 24 라이선스로 끝나지만, 팩터를 잘못 적용하거나 가상환경 전체를 대상으로 삼으면 수요의 몇 배를 과다 지출하거나 반대로 심각한 위반에 빠진다. 수치 한 자리의 오해가 수억 원을 가르는 셈이어서, 정확한 메트릭 산정은 SAM의 핵심 전문 영역으로 남는다.

가상화·클라우드는 메트릭 계산을 근본적으로 흔든다. 가상머신은 호스트 사이를 이동(vMotion 등)할 수 있어 "이 소프트웨어가 어떤 물리 코어 위에서 돌 수 있는가"의 경계가 흐려지고, 벤더는 흔히 "이동 가능한 모든 호스트를 라이선스하라"는 보수적 해석을 적용한다. 따라서 라이선스 대상 클러스터를 물리적으로 격리(어피니티 고정)하는 아키텍처 설계가 비용 통제의 핵심이 된다. 이는 SAM이 단순 사무관리가 아니라 인프라 설계와 맞물린 기술적 활동임을 보여준다.

라이선스 조달 모델 자체의 변화도 비교해 둘 필요가 있다. 과거의 영구 라이선스(Perpetual)는 초기 구매 후 영구 사용하고 유지보수료만 연납하는 자본적 지출(CAPEX) 구조로, 과소 라이선스 리스크와 대규모 선투자 부담이 특징이다. 반면 구독(Subscription)은 기간·좌석·사용량에 따라 비용을 지불하는 운영적 지출(OPEX) 구조로, 초기 부담과 과소 리스크는 낮지만 미사용 좌석이 누적되면 총소유비용(TCO)이 오히려 영구 라이선스를 넘어설 수 있다. 여기에 클라우드의 소비 기반(Consumption) 과금이 더해지면 비용이 사용량에 실시간 연동되어 예측 가능성이 더욱 낮아진다. 따라서 SAM은 단일 모델을 고르는 문제가 아니라, 제품별 사용 패턴에 맞춰 세 모델을 조합하고 그 총비용을 지속 비교·조정하는 포트폴리오 관리의 성격을 띤다.

사용자당(Named User)·동시사용(Concurrent) 모델은 같은 "사용자 수" 과금처럼 보여도 성격이 전혀 다르다. 사용자당은 지정된 개인마다 라이선스가 할당되므로 다기기를 쓰는 사용자에게 유리하지만, 퇴사·부서이동 시 좌석을 회수하지 않으면 유령 좌석이 쌓인다. 동시사용은 "같은 시각에 최대 몇 명이 쓰는가"로 과금해 간헐적으로 쓰는 공용 도구(예: 100명이 돌아가며 쓰지만 피크 동시 사용은 20명)에 경제적이지만, 피크 측정이 부정확하면 접속 거부나 과다 구매로 이어진다. 두 모델의 선택은 사용 패턴 분석이 전제되어야 하며, 이것이 바로 RUM과 활용도 데이터가 협상의 무기가 되는 지점이다.

구독 모델(SaaS)로의 전환은 과소 라이선스 위험을 줄이는 대신 미사용 좌석 낭비라는 새로운 문제를 낳는다. 영구 라이선스(CAPEX)는 한번 사면 끝이지만 구독(OPEX)은 쓰지 않아도 매월 과금되므로, "할당했지만 로그인하지 않는 좌석"을 찾아 해지하는 활용도 관리가 상시 과제가 된다. 한 글로벌 분석에 따르면 체계적 SaaS 관리로 첫해 20~35%의 지출을 줄였다는 벤더 보고가 있으나, 이는 마케팅 수치로 보수적으로 받아들이되 "미사용 좌석이 상당하다"는 방향성 자체는 실무에서 널리 확인된다. 실제로 많은 조직이 분기별 좌석 감사를 통해 90일 미로그인 계정을 자동 식별·회수하는 절차를 운영하며, 이는 SAM이 일회성 구매 관리가 아니라 지속적 운영 규율임을 다시 보여준다.

5. 심화 — 표준·클라우드 수렴과 최신 동향

ISO/IEC 19770 표준군은 SAM의 국제 준거다. 과거 Part 1은 성숙도 단계(tier) 방식이었으나 현재 ISO/IEC 19770-1:2017은 IT 자산관리 경영시스템(ITAM MS)의 요구사항으로 정립되어, ISO/IEC 20000(ITSM)·27001(정보보호)과 동일한 경영시스템 틀(계획-실행-점검-개선)을 공유한다. Part 2(19770-2:2015, 2021년 유효성 재확인)는 소프트웨어가 자신을 식별하는 SWID 태그를, Part 3(19770-3)은 보유 권리를 기술하는 ENT 스키마를, Part 4(19770-4)는 사용량을 표준 측정하는 RUM을, Part 5(19770-5)는 용어·개요를 정의한다. 이 데이터 표준들이 갖춰질수록 벤더·고객·도구 간 라이선스 정보 교환이 자동화되어 대사의 수작업 부담이 줄어든다. 다만 SWID 태그는 실제 채택이 더뎌 여전히 디스커버리 휴리스틱에 의존하는 현실도 병존한다. Part 1이 경영시스템으로 재편된 의미는 SAM을 "프로젝트"가 아니라 "지속 운영되는 시스템"으로 보라는 데 있다. 즉 정책·목표를 세우고(Plan), 프로세스를 실행하며(Do), 내부 심사와 대사로 점검하고(Check), 발견된 격차를 시정해 개선하는(Act) PDCA 순환을 제도화함으로써, 조직은 ISO/IEC 20000·27001 인증 체계와 동일한 운영 리듬 위에서 SAM을 통합 운영할 수 있다.

SAM·ITAM·SaaS 관리·FinOps의 수렴이 가장 두드러진 최신 흐름이다. 전통적 SAM은 온프레미스 영구 라이선스의 컴플라이언스에 집중했지만, 소비 기반 클라우드가 확산되면서 "쓴 만큼 낸다"는 FinOps(클라우드 비용 최적화)와 경계가 흐려지고 있다. Forrester·Flexera 등은 FinOps 도구가 온프레미스 라이선스까지 포괄하고, SAM이 SaaS 지출·섀도 SaaS 거버넌스로 확장되는 단일 기술자산 재무관리(Technology Business Management)로의 통합을 지적한다. 실무적으로는 "사용량 기반 최적화"가 가장 효과적 접근으로 꼽히며, AI/ML 텔레메트리로 사용자 활동과 라이선스 활용도를 추적해 다운그레이드·회수 기회를 자동 제안하는 도구가 늘고 있다.

SAM 도구 생태계도 빠르게 발전하고 있다. Flexera·ServiceNow(SAM Pro)·Snow Software 같은 전문 도구는 에이전트 기반 디스커버리, 수백 종 벤더의 라이선스 규칙을 담은 지식 라이브러리(PURL/제품 카탈로그), 가상화·클라우드 메트릭 자동 계산, 활용도 분석을 통합 제공한다. 핵심 가치는 "Oracle은 코어 팩터로, IBM은 PVU로, Microsoft는 코어·CAL로" 같은 벤더별 난해한 규칙을 내장해 사람이 일일이 계산하지 않도록 자동화하는 데 있다. 다만 도구가 만능은 아니어서, 계약 해석과 협상 같은 판단 영역은 여전히 전문 인력의 몫이며, 도구 도입만으로 SAM이 완성된다는 기대는 경계해야 한다.

국내·공공부문의 맥락도 짚어둘 만하다. 한국은 저작권법상 업무용 소프트웨어의 불법복제에 민·형사 책임이 따르고, 공공부문은 상용 소프트웨어 유지관리요율(통상 구매가 대비 연 일정 비율)과 다수공급자계약(MAS) 등 조달 체계 안에서 라이선스를 관리한다. 디지털 전환으로 공공 SaaS 이용이 늘면서 좌석·사용량 기반 과금 관리의 중요성이 커지고 있으며, 민간과 마찬가지로 자산 인벤토리를 정보보호(ISMS-P) 점검과 연계해 미승인·EOL 소프트웨어를 식별하는 흐름이 확산되고 있다.

보안·공급망과의 연계도 심화 포인트다. 자산 인벤토리는 취약점 관리의 전제이므로, SWID 태그와 SBOM(소프트웨어 자재명세서)을 연계하면 "어떤 컴포넌트가 어디에 설치되어 있고 어떤 취약점(CVE)에 노출되는가"를 자산 관점에서 추적할 수 있다. 또 오픈소스 사용이 늘면서 라이선스 준수의 초점이 상용 라이선스에서 오픈소스 라이선스 의무(GPL 전염성, 고지의무 등) 컴플라이언스로도 확장되고 있다. 이렇게 SAM은 보안(취약점·공급망)·개발(OSS 거버넌스)과 접점을 넓히는 중이다.

결국 자산 가시성이라는 하나의 토대 위에서 컴플라이언스·비용·보안·공급망이 함께 관리되며, SAM은 이들을 잇는 공통 데이터 허브로 진화하고 있다. 이 관점에서 SAM은 개별 라이선스 관리 기법의 집합이 아니라, 디지털 전환 시대에 소프트웨어라는 핵심 자원을 전략적으로 운용하기 위한 기반 역량으로 재정의되어야 한다.

6. 고려사항 및 시사점

기술사 관점에서 SAM은 비용 절감 도구를 넘어, 소프트웨어라는 무형 자산을 조직의 통제 아래 두는 거버넌스 규율로 이해해야 한다. 도입·운영 시 다음을 종합적으로 고려한다.

  • 데이터 신선도가 성패를 가른다: SAM은 "정확한 인벤토리와 엔타이틀먼트"라는 데이터 품질 위에 서며, 이것이 ITSM의 변경·구성관리(CMDB)와 연동되어 실시간 갱신되지 않으면 대사 결과는 금세 낡아 신뢰를 잃는다. 자동 디스커버리와 계약 전자화에 선투자하고, 데이터 소유권과 갱신 책임을 명확히 하는 것이 우선이다.

  • 컴플라이언스와 최적화의 트레이드오프: 과소 라이선스는 법적·재무적 리스크(감사 과징금)를, 과다 라이선스는 비용 낭비를 부른다. 지나친 보수적 과다 구매로 리스크를 회피하면 비용 효율을 잃고, 과도한 비용 절감은 감사 리스크를 키운다. ELP를 근거로 "리스크 허용 수준 안에서 비용 최소화"라는 균형점을 정량적으로 관리해야 한다.

  • 클라우드 전환 전략과의 정합성: 가상화·SaaS 환경에서는 라이선스 규칙이 아키텍처 설계(클러스터 격리·인스턴스 배치)와 직결되므로, SAM을 인프라·클라우드 전환 계획과 분리해 사후 관리로 다루면 비용 통제에 실패한다. SAM 전문가를 설계 단계부터 참여시키고, FinOps·태깅 체계와 통합 운영해야 한다.

  • 거버넌스·조직·역할의 제도화: SAM은 도구만으로 완성되지 않으며, SAM 매니저(책임자)·조달·보안·현업이 참여하는 거버넌스와 "승인되지 않은 설치 금지" 같은 정책의 실효적 집행이 필요하다. 역할·KPI(컴플라이언스율·절감액·회수율)를 정의하고 경영진 후원을 확보해야 지속 가능하다.

  • 단계적 도입과 변화관리: SAM은 고가 도구의 일시 도입이 아니라 데이터·프로세스·거버넌스를 함께 끌어올리는 성숙도 여정이다. 반응적→능동적→최적화 단계를 로드맵으로 설정하고, 현업의 "승인 절차 준수"라는 행동 변화를 끌어내는 변화관리와 교육이 병행되어야 투자가 실효를 거둔다.

  • 전망과 연계 기술: SAM은 ITAM·SaaS 관리·FinOps로 수렴하며 AI 기반 사용량 분석·자동 최적화로 고도화될 전망이다. SBOM·취약점 관리(보안)와 오픈소스 거버넌스(개발)로 외연을 넓혀, 단순 비용 통제를 넘어 디지털 자산 전반의 재무·위험·보안을 아우르는 규율로 자리매김할 것이다.

참고자료

한 줄 요약: 소프트웨어 자산관리(SAM)는 소프트웨어 자산의 전 생애주기에 걸쳐 보유 권리(엔타이틀먼트)와 실제 사용(인벤토리)을 지속적으로 대사해 효과적 라이선스 포지션(ELP)을 산출함으로써 컴플라이언스·비용·보안을 동시에 통제하는 관리 체계로, ISO/IEC 19770 표준을 준거 삼아 클라우드·SaaS 시대에는 ITAM·FinOps와 수렴하고 있다.