Dollar Shave Club은 한때 40%의 엔지니어를 자사 플랫폼 유지보수에 쏟아붓고 있었다. 신규 기능 개발? 고객 경험 개선? 그런 건 유지보수가 끝난 뒤에나 가능한 일이었다. 결국 Shopify로 이전한 뒤, 그 40%의 인력을 CX·개인화로 재배치했다. 관리형 플랫폼 도입으로 전체 TCO는 33% 줄었다. 오픈소스는 공짜가 아니었다. 아니, 오히려 더 비쌌다.

무료의 진짜 가격 — 5가지 요금 고지서

Shopify 엔지니어링 블로그는 오픈소스의 TCO를 7층 비용 스택으로 정의한다. 라이선스 비용은 $0다. 그 위에 인프라, 구현, 유지보수, 보안·컴플라이언스, 인력, 기회비용이 층층이 쌓인다. 특히 구현 비용은 초기 추산의 2~5배까지 불어나는 게 업계의 공공연한 비밀이다. 의존성 그래프가 늘어날수록 유지보수 비용은 매년 기하급수적으로 확대된다.

Quandary Peak Research의 2025년 12월 보고서는 이 역설을 수치로 증명한다. 오픈소스의 수요 측 경제적 가치는 8.8조 달러, 공급 측 투입 비용은 41.5억 달러. 무려 2,000배 차이다. 상위 1% 패키지가 전체 다운로드의 80%를 차지하고, 단 5명의 개발자가 공급 가치의 96%를 책임진다. 5명 중 한 명이 번아웃되면 그 의존성 체인 전체가 흔들린다.

보안: 86%가 이미 취약점을 안고 있다

Black Duck OSSRA 2025 보고서에 따르면, 감사 대상 코드베이스의 96%가 오픈소스를 포함하고 있다. 그런데 그중 86%가 최소 1개 이상의 취약점을 보유하고 있고, 81%는 High 또는 Critical 등급이다. 91%는 구버전을 사용 중이며, 90%는 10버전 이상 뒤처진 낡은 의존성을 끌고 있다.

Synopsys 2024년 조사는 더 직설적이다. "코드베이스의 74%가 고위험 오픈소스 취약점을 보유하고 있다." 2024년 XZ Utils 백도어 사건은 이 통계의 의미를 극적으로 보여줬다. 단일 유지보수자를 대상으로 2년간 사회공학적 공격을 가해, 리눅스 생태계 전체를 위협하는 백도어를 심는 데 성공했다. 한 사람이 지친 나머지 공동 유지보수 권한을 넘긴 그 순간, 전 세계 수백만 서버가 잠재적 공격 표면이 되었다.

전이적 의존성 — 네가 고른 라이브러리 하나가 64개의 다른 라이브러리를 끌고 온다

Quandary Peak 보고서가 지적한 가장 무서운 숫자는 64%다. 전체 의존성의 64%가 전이적 의존성, 즉 직접 선택한 라이브러리가 다시 끌고 들어온 2차·3차 의존성이다. 그런데 취약점의 77%는 바로 이 전이적 의존성에서 발생한다.

Log4Shell은 단일 라이브러리 하나가 전 세계를 멈추게 한 사건이다. 하지만 그 Log4j조차 누군가의 build.gradle 한 줄이 끌고 들어온 전이적 의존성이었을 가능성이 높다. 보안팀이 직접 선택한 20개 라이브러리를 감시하는 사이, 그 라이브러리들이 가져온 200개의 전이적 의존성이 방치된다. 패치 주기를 놓친 순간, 그 200개의 체인 중 하나가 제로데이로 터진다.

라이선스: 56% 충돌, 33% 무표지

또 하나의 지뢰밭은 라이선스다. Quandary Peak 보고서는 감사 대상 코드베이스의 56%에서 라이선스 충돌이 발생했고, 33%는 아예 라이선스가 명시되지 않은 '무표지' 상태라고 밝혔다. GPL 라이브러리 하나를 실수로 포함시키면 전체 제품을 오픈소스로 공개해야 하는 상황이 올 수 있다.

법적 선례도 있다. 2006년 Jacobsen v. Katzer 판결은 오픈소스 라이선스의 강제력을 처음으로 인정했다. GPL 위반 시 수십만 달러에서 수백만 달러의 벌금이 부과될 수 있다. OpenChain KWG의 2026년 국내 가이드는 금융권과 대기업에 OSPO(오픈소스 프로그램 오피스) 설치를 사실상 의무화하고 있다. 프로덕션에서 30~50개 이상의 오픈소스를 사용하면 SBOM 관리, CVE 모니터링, 패치 주기, 라이선스 승인 프로세스, 기여 전략을 전담할 조직이 필요하다는 판단이다.

SSO 직접 운영의 5가지 덫

WorkOS의 2025년 11월 분석은 인증 영역에서 오픈소스의 숨은 비용을 구체적인 항목으로 분해했다. Keycloak 같은 오픈소스 SSO를 도입할 때 마주치는 5가지 덫:

첫째, 호스팅과 스케일링. 클러스터, 로드밸런서, Redis, PostgreSQL을 직접 운영하고 24/7 온콜 체계를 갖춰야 한다. 둘째, 보안 패치. 제로데이가 터지면 식별→패치→회귀테스트→배포까지 전부 직접 해야 한다. SLA도 없다. 셋째, 엔터프라이즈 IdP 연동. Okta, Azure AD, PingFederate는 각각 SAML 퀵이 다르고, 인증서 로테이션, JIT 프로비저닝, 테넌트 격리를 제공업체별로 맞춤 구현해야 한다. 넷째, 컴플라이언스. SOC2, ISO27001, GDPR을 직접 입증해야 하고 보안 리뷰도 통과해야 한다. 다섯째, 운영 실체. 토큰 리프레시 루프, 세션 무효화, 스테일 캐시, 만료된 인증서 — 디버깅 악몽이다.

WorkOS는 한 줄로 정리한다. "오픈소스는 0→1을 위한 도구다. 엔터프라이즈 레디는 아니다."

Qt가 보여준 계산서: 5년에 1억 3천만 원

Qt 블로그는 자사의 프레임워크(약 300만 라인)를 자체 유지보수할 경우의 TCO를 계산했다. 10년간 버그 수정에만 206만 달러(약 27억 원). 1%만 직접 고쳐도 연 2만 6백 달러가 든다. 오픈소스 의무 이행 비용만 초기 16일, 연간 2.5일의 개발자 공수가 필요하다. 법무 검토 연 1천 달러, 컴플라이언스 스캐닝 연 1,500달러. 5년 TCO는 약 13만 5천 달러(약 1억 8천만 원)로 추산된다.

크리티컬 버그 하나가 터졌을 때의 대응 비용을 고려하면, 상용 지원 라이선스가 오히려 저렴한 시나리오도 나온다. 버그 하나 잡는 데 3주가 걸렸고, 그동안 고객사 SLA 위반으로 계약이 깨졌다면? 그 비용은 계산서에 없던 항목이다.

Dollar Shave Club이 내린 결론

다시 Dollar Shave Club으로 돌아가자. Shopify 이전의 핵심 논리는 단순했다. 자사 플랫폼이 '전략적 차별화'를 만드는가? 아니면 '운영 부담'만 키우는가? Shopify 엔지니어링 블로그가 제시한 2x2 매트릭스는 이렇게 말한다. 전략적 차별성이 높고 복잡도가 높은 영역만 자체 운영하고, 나머지는 관리형 플랫폼을 사라.

OSS 사용량이 증가할수록 거버넌스 비용은 비선형으로 상승한다. OSPO, 자동화 도구, 전담 인력이 필요해지는 임계점을 넘으면, '무료'가 '공짜'가 아니라는 사실이 손익계산서에 찍히기 시작한다. 미국 행정명령 14028과 EU CRA(Cyber Resilience Act), 국내 전자금융감독규정 개정은 SBOM 의무화로 이 흐름에 기름을 붓고 있다.

무료의 진짜 가격

오픈소스가 공짜라는 말은 라이선스 비용이 $0라는 뜻일 뿐, 총소유비용이 $0라는 뜻이 아니다. 8.8조 달러의 경제적 가치를 창출하는 생태계가 41.5억 달러의 공급 비용으로 버티고 있다는 사실 자체가, 이 생태계가 얼마나 얇은 얼음판 위에 서 있는지 보여준다.

Shopify의 차별화 테스트는 간단하다. 이 오픈소스가 우리 비즈니스의 핵심 경쟁력인가? 그렇다면 직접 운영해도 된다. 아니라면, 그 월 $0의 라이선스 비용이 40%의 엔지니어 시간을 삼키기 전에 관리형 플랫폼을 선택할 타이밍이다. 5명의 개발자가 떠받치는 다리를 건널 때, 필요한 건 더 가벼운 발걸음이 아니라 대체 경로다.