인시던트 대응 리테이너: 선불 블록-아워, 차감, 그리고 긴급 서지(surge)의 회계 처리 방법

두 기업이 같은 주에 같은 랜섬웨어 변종에 감염됩니다. 포렌식, 격리, 복구에 똑같이 200시간이 듭니다. 한 곳은 약 $60,000을 내고 두 시간 안에 대응팀이 분류 작업을 시작합니다. 다른 곳은 $150,000을 훨씬 넘게 내고, 시스템이 꺼진 채로 첫날을 계약 협상에 쏟으며, 회사 역사상 최악의 한 주에 대응팀을 처음 만납니다. 차이는 결코 악성코드가 아니었습니다. 몇 달 전 평온할 때 서명한 계약 — 인시던트 대응 리테이너 — 그리고 각 기업이 자신이 무엇을 샀는지 이해했는지 여부였습니다.

공격자가 파일 공유를 넘나드는 동안 포렌식 업체를 검색해야 하는 기업이라면 이 글은 당신을 위한 것입니다. IR 리테이너가 실제로 무엇을 사는지, 선불 블록을 자기 장부에 어떻게 계상하는지, 쓰지 않은 시간은 어떻게 되는지, 블록을 초과한 시간에 긴급 "서지 요율"이 어떤 영향을 미치는지 설명합니다. 회계는 계약만큼 중요합니다. 잘못 계상된 리테이너는 일 년 내내 조용히 자산을 과대계상하고, 두 번 놀라게 합니다 — 미사용 시간이 만료될 때 한 번, 그리고 초과 청구서가 도착할 때 또 한 번.

리테이너가 실제로 사는 것​

인시던트 대응 리테이너는 무언가 불타기 전에 사 두는 대응 시간의 선불 블록입니다. 12개월 기간 동안 정해진 시간(또는 크레딧)을 선불로 지급하고, 그 대가로 즉석 방문 고객은 살 수 없는 두 가지를 얻습니다: 계약된 분류 SLA(보통 14시간)와, 업체가 일하는 모든 시간에 대해 미리 협상된 차감 요율입니다. 리테이너가 없으면 동원이 2472시간으로 늘어나고, 그동안 처음부터 범위를 정하고 계약하며, 모든 시간이 긴급 요율로 청구됩니다.

시장은 대략 같은 보호를 사는 다섯 가지 방법을 제공하며, 공개된 가격은 유용하게 군집을 이룹니다:

두 가지가 눈에 띕니다. 첫째, 대형 업체 대부분은 시간당 요율을 전혀 공개하지 않습니다 — Mandiant, CrowdStrike, Kroll, Unit 42는 모두 건별로 견적합니다 — 따라서 위 숫자는 견적이 아니라 계획 기준점입니다. 리테이너 없을 때의 긴급 요율, 리테이너 하의 차감 요율, 연간 요금 이렇게 세 가지를 서면으로 받으십시오. 둘째, 어떤 리테이너 가격이든 위험과 비교해 보십시오: IBM의 2025년 데이터 침해 비용 연구에 따르면 전 세계 평균 침해 비용은 $444만, 미국 평균은 기록적인 $1,022만입니다. 다섯 자리 리테이너는 한 건의 사건 옆에서는 반올림 오차에 불과합니다 — 바로 그것이 반올림 오차에게는 보통 요구되지 않는 회계적 주의를 리테이너에 요구하는 이유입니다.

장부상 리테이너는 비용이 아니라 자산입니다​

대부분의 소기업이 저지르는 실수: $40,000 리테이너 청구서가 10월에 도착하면, 전액이 그달의 보안 비용으로 들어갑니다. 10월은 끔찍해 보이고, 이후 11개월은 인위적으로 깨끗해 보이며, 대차대조표는 실제로 소유한 것 — 미래의 대응 인력 시간 $40,000 — 을 결코 보여주지 않습니다.

선불 리테이너는 선급 비용, 즉 유동자산입니다. 아직 소비하지 않은 경제적 효익, 즉 계약 기간 동안 요청에 따라 사용 가능한 전문가 시간에 대해 현금을 지불한 것입니다. 구매는 자산 계정 간에 자금을 이동시킵니다 — 현금은 줄고 선급 리테이너는 늘며 — 손익계산서는 전혀 건드리지 않습니다. 시간이 차감되거나(또는 아래에서 다루는 것처럼 만료될 때)에만 비용이 됩니다.

이것은 지나친 학究가 아닙니다. 리테이너 전액을 처음부터 비용 처리하면 기간 중 매달 소비되지 않은 잔액만큼 자산을 과소계상하고, 첫 달 비용을 과대계상하며, 리테이너 규모가 적절했는지 알려주는 차감 패턴을 가립니다. 매년 갱신한다면 왜곡이 매년 반복되어, 전년 대비 보안 지출을 읽을 수 없게 됩니다. 자산을 계상하고, 소비를 비용 처리하십시오. 월말 결산이 고마워할 것입니다.

사건이 소비함에 따라 블록을 차감하는 방법​

선불 블록을 은행 잔액처럼 생각하십시오: 모든 사건은 인출이고, 남은 잔액은 여전히 쓸 수 있는 자산입니다. 매달(또는 사건 후마다) IR 업체로부터 시간 명세서를 받아, 소비된 가치를 차감 요율로 선급 자산에서 보안 비용으로 이동시킵니다. $300/시간으로 차감된 22시간 격리 작업은 그 작업이 일어난 달에 $6,600의 비용이 됩니다 — 선불을 지급한 달이 아닙니다.

세 가지 부기 습관이 차감을 성실하게 유지합니다:

• 현금처럼 시간을 조정하십시오. 업체의 시간 명세서는 이 계정의 은행 명세서입니다. 매달 기초 잔액, 차감 시간, 적용 요율, 기말 잔액을 기록하십시오 — 기입 내용이 "변동 없음"인 조용한 달에도 말입니다. 조정을 멈추는 달이 바로 논란이 되는 14시간 "평가"가 슬그머니 통과되는 달입니다.
• 수행되었으나 아직 청구되지 않은 작업을 미지급으로 계상하십시오. 대응팀이 그달 마지막 주에 작업했고 시간 명세서가 다음 달 중순에 도착한다면, 미지급으로 계상하십시오: 보안 비용을 차변, 미지급금을 대변. 그렇지 않으면 사건이 발생한 달은 저렴해 보이고 청구서가 온 달은 비싸 보이며, 둘 다 현실을 반영하지 못합니다.
• 손익계산서에서 차감 시간과 초과분을 분리하십시오. 블록 내에서 차감된 시간과 이를 초과하여 청구된 긴급 시간은 매우 다른 요율의 다른 경제적 사건입니다. 하나의 비용 계정에 둘 다 담을 수 있는 것은 "리테이너가 실제로 우리에게 얼마를 절약해 주었나?"라는 질문에 절대 답하고 싶지 않을 때뿐입니다 — 그러니 둘을 나눌 수 있는 하위 계정이나 메모 규율을 사용하십시오.

쓰지 않은 시간: 만료, 이월, 상각​

리테이너에서 가장 조용한 조항은 결코 차감하지 않은 시간에 무슨 일이 일어나는가입니다. 대부분의 계약은 세 가지 처리 중 하나를 택합니다: 시간은 기간 말에 가치 없이 만료되거나, 정해진 일부가 다음 기간으로 이월되거나, 미사용 시간이 테이블탑 훈련이나 침해 평가 같은 사전 예방 서비스로 전환됩니다. 예를 들어 IBM의 신고된 등급은 대응 시간과 함께 사전 예방 서비스 단위를 묶어 내장된 전환 경로를 제공합니다.

계약이 무엇을 말하든, 장부는 그에 동의해야 합니다. 100시간 중 40시간이 기간 말에 미사용으로 만료되면, 남은 선급 잔액은 더 이상 자산이 아니라 손실입니다. 상각하십시오: 보안 비용(또는 만료를 별도로 보이게 하려면 상각 계정)을 차변, 선급 자산을 0으로 대변. 이 기입을 건너뛰면 선급 계정이 수년간 자산을 과대계상하는 유령 잔액을 쌓게 됩니다.

공급자 측은 정확히 당신의 거울상이며, 협상 전에 알아 둘 가치가 있습니다. 업체 장부에서 당신의 선불금은 이연 수익 — 아직 제공하지 않은 작업에 대해 수취한 현금인 부채 — 으로 남고, 만료되는 미사용 시간은 만료 시점에 업체의 수익이 되며, 회계사들은 이를 브레이키지(breakage)라고 부릅니다. 당신의 만료된 시간은 그들의 마진입니다. 이것은 비판이 아니라 협상 레버리지입니다. 브레이키지에서 이익을 얻는 업체는 종종 이를 거래합니다: 이월 상한, 미사용 시간의 사전 예방 서비스 전환, 또는 만료되도록 설계된 큰 블록 대신 더 저렴한 충전 요율의 작은 블록을 요청하십시오. 테이블탑 훈련으로 전환되는 모든 시간은 상각이 아니라 자산으로 남는 시간입니다.

서지 요율: 블록 초과 시간이 실제로 드는 비용​

이제 리테이너가 스스로 값을 하는지 결정하는 조항입니다. 블록 내 시간은 평온할 때 협상한 차감 요율로 청구됩니다. 블록 초과 시간 — 그리고 리테이너가 전혀 없는 기업의 모든 시간 — 은 긴급 요율로 청구되며, 이 격차가 이 제품의 경제성 전체입니다.

자기 견적서로 나눗셈을 하되, 대부분 업체에서 긴급 요율은 차감 요율보다 대략 50150퍼센트 높다고 예상하십시오 — 당신의 블록을 $300/시간으로 차감하는 같은 업체가 즉석 긴급 건은 $450$750로 청구할 수 있습니다 — 반면 최상위 긴급 작업은 차감 요율 $175~$400에 대해 $800~$1,500/시간으로 실행됩니다. 서지는 타이밍과도 곱해집니다: 야간, 주말, 특수 포렌식은 기본 긴급 요율 위에 프리미엄을 쌓습니다.

손익분기 계산은 서명 전에 실행하기에 충분히 간단합니다. (예상 시간 × 긴급 요율)과 (예상 시간 × 차감 요율) + 리테이너 요금을 실제로 계획하는 규모의 사건에 대해 비교하십시오. 리테이너 요금은 사용 시간에서 공제되므로, 손익분기는 보통 한 건의 심각한 사건 안에서 충분히 넘어섭니다: $300 차감 요율 대 $750 긴급 요율에서, 100시간 작업은 리테이너가 있으면 요금에 $30,000을 더한 것이고 없으면 $75,000입니다 — 요금은 두 번째 사건 전에 스스로 값을 하며, 계약된 분류 SLA는 그 위에 더해지는 가치입니다. 블록은 바라는 사건이 아니라 계획하는 사건에 맞게 크기를 정하고, 큰 사건이 블록을 넘길 경우 여전히 부담할 초과분에 대비한 현금 준비금을 예산에 넣으십시오. 리테이너는 요율을 사는 것입니다. 사건을 한도 짓지는 않습니다.

리테이너를 판매한다면 거울상이 적용됩니다​

많은 독자가 이 계약의 반대편에 있습니다 — 자신의 선불 블록-아워를 판매하는 MSP, 보안 컨설턴트, IT 업체입니다. 회계는 구매자의 거울상입니다: 고객의 선불금은 당신의 수익이 아니라 이연 수익, 즉 당신이 제공해야 할 작업에 대한 부채입니다. 시간이 제공될 때만 수익을 인식하고, 미제공 잔액을 대차대조표에 유지하며(ASC 606에서는 계약 부채), 브레이키지는 계약 조건에 따라 시간이 실제로 만료될 때만 수익으로 인식하십시오 — 고객이 시간을 사용하지 않을 것이라고 확신할 때가 아닙니다. 동일한 조정 규율이 적용됩니다: 당신의 이연 잔액과 고객의 선급 잔액이 일치하지 않으면 둘 중 하나가 틀린 것이며, 시간 기록이 이를 해결합니다. 선불금 전액을 첫날 수익으로 인식하는 업체는 이익을 과대계상하고 의무를 과소계상하며, 매각 실사 중에 이 격차를 발견합니다 — 매수자가 미제공 작업 1달러마다 상속받는 부채로 가격을 매길 때 말입니다.

원장에서 한 해가 어떻게 보이는가​

구매자의 리테이너 한 해 전체를 보겠습니다: 10월에 구매한 100시간 블록에 $40,000, 2월에 $300/시간으로 차감된 22시간 사건, 같은 사건에서 $750로 처리된 8시간 긴급 초과(차감 요율 대비 150퍼센트 서지), 그리고 추가 사건 없이 기간이 만료될 때 상각된 미사용 잔액. 장부를 평문으로 관리한다면, 문서가 설정을 다루며, Fava는 선급 잔액을 기간에 걸쳐 소진되는 것을 볼 수 있는 차트로 바꿔 줍니다:

2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
 
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
  Assets:Prepaid:IR-Retainer  40000.00 USD
  Assets:Cash:Operating  -40000.00 USD
 
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
  Expenses:Security:Incident-Response  6600.00 USD
  Assets:Prepaid:IR-Retainer  -6600.00 USD
 
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
  Expenses:Security:Incident-Response  6000.00 USD
  Liabilities:Payable  -6000.00 USD
 
2026-03-02 * "Sentinel IR" "Overage invoice paid"
  Liabilities:Payable  6000.00 USD
  Assets:Cash:Operating  -6000.00 USD
 
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
  Expenses:Security:Incident-Response  33400.00 USD
  Assets:Prepaid:IR-Retainer  -33400.00 USD

계정이 들려주는 이야기를 읽어 보십시오: 평온할 때의 요율로 산 사건 대응 $6,600, 서지 요율로 산 $6,000, 그리고 통화 옵션만 사고 아무것도 사지 못한 $33,400 — 과대한 블록의 대가입니다. 그 상각은 리테이너에 반대하는 논거가 아닙니다. 그것은 업체의 제안이 아니라 올해의 차감 이력을 근거로 다음 블록의 크기를 정하고, 미사용 잔여분이 만료되기 전에 사전 예방 작업으로 전환하도록 협상하라는 논거입니다.

리테이너 구매자를 위한 월말 체크리스트​

리테이너가 활성 상태인 매달의 결산 체크리스트에 이것을 넣으십시오. 그러면 연말 버전은 저절로 만들어집니다:

• 업체의 시간 명세서를 받아 선급 잔액과 조정하십시오 — 기초 시간, 차감 시간, 요율, 기말 시간 — 무엇이든 기입하기 전에.
• 차감된 시간은 작업이 일어난 달에 비용 처리하고, 명세서를 기다리지 말고 월말에 청구되지 않은 작업을 미지급으로 계상하십시오.
• 초과분을 별도 하위 계정에 두어 서지 프리미엄이 그것을 초과한 차감 요율 지출 옆에 계속 보이게 하십시오.
• 만료일을 90일 전 경고와 함께 캘린더에 등록하십시오: 시간이 죽는 주가 아니라 테이블탑 훈련을 일정에 넣고, 이월을 협상하거나, 갱신 규모를 재조정하는 시점입니다.
• 갱신 시, 지난해 총 사건 비용(차감 + 초과 + 상각)을 실제 사용된 시간으로 나누십시오. 브로슈어의 차감 요율이 아니라 그 혼합 요율이 다음 블록이 경쟁하는 숫자입니다.

200시간에 $60,000을 내는 기업과 $150,000을 내는 기업은 다른 계약을 산 것입니다 — 그러나 그들은 또한 다른 장부를 관리했습니다. 한 곳은 리테이너를 관리하고 조정하며 차감하고 증거에 근거하여 갱신하는 자산으로 다뤘습니다. 다른 곳은 10월에 비용 처리하고 서지 요율을 뜻밖의 일로 만났습니다. 필요한 때가 되기 전에 리테이너에 서명하고, 그것을 있는 그대로 계상하며, 내년 블록은 영업 제안서가 아니라 차감 이력으로 정하게 하십시오.