PreVeil, CMMC 의무화가 암호화 이메일을 국방 필수 구매품으로 만든다

PreVeil은 민감한 데이터를 취급하는 조직을 위한 종단간 암호화 이메일 및 파일 공유 플랫폼으로, Microsoft 365 또는 Google Workspace 위에 오버레이로 설치되며, 주로 CMMC, NIST 800-171 및 ITAR 규정을 준수해야 하는 방위산업 계약업체를 대상으로 판매된다.

CMMC가 수만 개의 계약업체로 하여금 CUI를 보호하도록 강제할 것이며, 저렴한 제로 지식 오버레이—GCC High가 아닌—가 소규모 업체들이 감사를 통과하는 방법이 될 것이라는 베팅이었다.

총 약 2,700만 달러를 조달했으며, 여기에는 PSG가 주도한 2,000만 달러의 시리즈 C(2022년 10월)가 포함된다.

PreVeil은 2015년 보스턴에서 전 Apple 및 Airvana 임원인 Randy Battat과 Sanjeev Verma가 창업했으며, CTO Raluca Ada Popa의 MIT 암호화 연구를 기반으로 한다. 최초의 제안은 일반 사용자가 운용할 수 있는 종단간 암호화였다. 즉 데이터는 기기에서 암호화되고, 서버나 관리자, 심지어 PreVeil조차 읽을 수 없으며, 단일 공격 지점이 존재하지 않는다.

국방 분야로의 전환은 NIST 800-171과 ITAR이 CUI 보호를 계약 조건으로 만들면서 이루어졌다. PreVeil은 Microsoft의 정부 클라우드인 GCC High를 감당할 수 없었던 소규모 계약업체들의 컴플라이언스 경로가 되었다. PSG는 2022년 10월 국방 분야를 넘어 확장하기 위해 2,000만 달러의 시리즈 C를 주도했다. 미 국방부의 CMMC 2.0 최종 규정(2024년 10월)과 1단계 시행(2025년 11월)이 컴플라이언스를 구매 계기로 전환시켰고, 2026년 2월까지 PreVeil은 60개 이상의 완벽한 110점 CMMC 인증을 보유한 2,500개 이상의 방위산업 계약업체 고객을 확보했다.

여전히 운영 중이다. 2026년 7월 13일 펜타곤은 2026년 11월 10일로 예정된 제3자 레벨 2 인증인 CMMC 2단계를 중단했으며, 그 이유로 감당하기 어려운 컴플라이언스 비용, 심각한 평가자 부족, 소규모 공급업체에 대한 피해를 들었다. 또한 60일간의 CMMC 개혁 태스크포스 검토를 개시하여, 회사가 베팅한 규제적 순풍이 개혁 아래 놓이게 되었다.

이 베팅은 유행이 아니라 규제에 맞춰 시기를 잡았다. CMMC는 선택적 보안 제품을 정부 계약 수주의 조건으로 바꾸었다.

아키텍처는 비용 반론을 공략했다. GCC High 마이그레이션에 약 20만 달러가 든다는 견적과 PreVeil의 약 2만 달러를 비교하면 소규모 계약업체에게 제안은 명백했다.

구체적인 감사 결과—110/110 만점을 받은 60개 이상의 고객—는 회사의 컴플라이언스 번들이 효과가 있음을 입증했다.

2026년 7월의 중단은 의무화 위에 사업을 세우는 위험을 보여준다. 하나의 메모가 회사가 마케팅에 활용한 바로 그 기한을 멈춰 세웠다.

스타트업은 규제 의무화를 타고 고객 기반을 확보할 수 있지만, 같은 규제 기관이 그것을 중단할 수도 있다. 특정 인증 기한이 아니라 그 밑에 깔린 의무 자체에 판매하라.

2026년 9월 2일 현재 PreVeil은 약 2,500개 이상의 방위산업 계약업체 고객을 두고 여전히 운영 중이다. CMMC 개혁 태스크포스의 60일 검토는 2026년 9월 중순경 보고될 것으로 예상되었다. 미 국방부는 NIST SP 800-171 자체 평가 의무를 유지했지만, 중단 기간 동안 입찰 공고에서 C3PAO 레벨 2 및 레벨 3 인증 요건을 제거했다. PreVeil이 고객에게 제공한 안내는 인증 프로그램이 재검토되는 동안 DFARS 252.204-7012 의무가 지속된다는 것이며, 회사는 국방 분야와 함께 전문 서비스, 금융 서비스, 의료 분야에도 계속 마케팅하고 있다.