사이버 공격은 초기 보안 침해를 넘어 훨씬 더 광범위한 결과를 초래할 수 있습니다. 랜섬웨어 공격은 며칠 또는 몇 주 동안 운영을 중단시킬 수 있습니다. 데이터 유출은 조사, 복구, 법률, 통지 및 규제 관련 비용을 발생시킬 수 있습니다. 핵심 기술 제공업체 또는 제3자와 관련된 운영 중단은 막대한 금전적 손실을 야기할 수도 있습니다.
사이버 보험은 조직이 이러한 재정적 위험 중 일부를 관리하는 데 도움을 주기 위해 설계되었습니다.
하지만 사이버 보험은 사이버 보안을 대체하는 것으로 여겨져서는 안 됩니다. 사이버 보안은 사고 발생 가능성과 그 영향을 줄이는 것을 목표로 하며, 보험은 보장 대상 사고 발생 시 재정적 손실의 일부를 보전하는 데 도움을 줄 수 있습니다.
사이버 보험이란 무엇인가요?
사이버 보험(사이버 배상 책임 보험이라고도 함)은 기업이 보장 대상 사이버 사고로 인해 발생하는 재정적 손실을 관리하는 데 도움을 주기 위해 설계된 보험입니다. 보험 상품에 따라 랜섬웨어 공격, 데이터 유출, 사업 중단, 사고 대응 및 복구, 데이터 및 시스템 복원, 법률 비용 또는 통지 비용과 관련된 손실 및 비용을 보상할 수 있습니다. 사이버 보험 시장은 빠르게 성장해 왔습니다. 제네바 협회는 전 세계 독립형 사이버 보험료가 2013년 15억 달러 미만에서 2025년 약 160억 달러에 이를 것으로 추산하고 있습니다.
본질적으로 사이버 보험은 일종의 위험 전가 입니다. 조직은 특정 사이버 공격으로 인해 발생할 수 있는 잠재적 재정적 손실의 일부를 보험사에 전가하기 위한 보험료를 지불합니다. 반면 사이버 보안은 주로 위험 감소 에 중점을 둡니다. 즉, 가능한 한 공격을 예방하고, 공격이 발생했을 때는 이를 탐지, 차단 및 대응하는 것입니다. 이 두 가지는 더 광범위한 사이버 위험 관리 전략의 상호 보완적인 구성 요소가 될 수 있습니다.
두 관계를 이해하는 데 유용한 방법은 다음과 같습니다.
사이버 보험 관련 주요 용어
사이버 보험이 실제로 어떻게 작동하는지 살펴보기 전에 대부분의 보험 약관에 등장하는 몇 가지 용어를 이해하는 것이 도움이 됩니다.
| 용어 | 쉬운 말로 설명하자면 |
| 프리미엄 | 조직이 보험 보장을 위해 지불하는 가격. |
| 한계 | 해당 보험 계약 또는 보장 범위에 따라 받을 수 있는 최대 보험 금액. |
| 하위 제한 | 더 넓은 보험 한도 내에서 특정 손실 유형에 적용되는 더 작은 최대 보상액입니다. |
| 공제액/본인 부담금 | 보험 계약에 따라, 조직이 보험 적용 전 또는 보험 적용과 함께 자체적으로 부담해야 할 손실액의 규모는 달라질 수 있습니다. |
| 제외 | 보험 계약에서 보장하지 않는 사건, 상황 또는 손실 유형. |
| 주장하다 | 보험 적용 대상 손실 발생 후 보험금 지급 또는 기타 보험 혜택 청구. |
사이버 보험은 무엇을 보장하나요?
사이버 보험 보장 범위는 보험 상품에 따라 다르지만, 몇 가지 공통적인 손실 유형이 사이버 보험 상품 전반에 걸쳐 포함됩니다. 아래 표는 사이버 보험에서 일반적으로 보장되는 항목들을 간략하게 보여줍니다.
| 일반적인 손실 범주 | 어떤 보장 범위가 도움이 될 수 있을까요? |
| 사고 대응 및 포렌식 | 조사, 포렌식 서비스, 침해 대응 전문가 및 관련 대응 비용 |
| 업무 중단 | 영업 중단으로 인한 소득 손실 및 추가 비용 보상 |
| 데이터 복구 및 시스템 복원 | 영향을 받은 시스템, 소프트웨어 및 데이터 복원 또는 재구축 |
| 사이버 갈취 | 특정 랜섬웨어 또는 협박 관련 대응 비용 및, 법적으로 허용되고 보상 범위에 포함되는 경우 지불금 |
| 개인정보보호, 법률 및 규제 비용 | 특정 법률 자문, 변호 비용, 개인정보 보호 책임, 통지 비용 및 규제 관련 사항 |
| 비상 사업 중단 | 보장 대상 기술 또는 서비스 제공업체의 서비스 중단으로 인해 발생하는 특정 손실 |
참고 : 위 내용은 일반적인 보상 범주일 뿐, 보상 보장을 의미하는 것은 아닙니다. 특정 손실에 대한 보상 여부는 최종적으로 보험 약관 및 사고 발생 상황에 따라 결정됩니다.
구매 전 언더라이팅 과정은 어떻게 진행되나요?
사이버 보험 가입은 단순히 금액을 정하고 보험료를 납부하는 것만으로 끝나는 것이 아닙니다. 보험사는 먼저 어떤 조건과 가격으로 어느 정도의 사이버 위험을 보장할 것인지 결정해야 합니다. 보험사는 인수 심사 과정에서 조직의 업종, 데이터 노출 정도, 기술 환경, 손실 이력, 사이버 보안 상태 등의 요소를 검토합니다. 또한, 신원 보호, 엔드포인트 보안, 백업 복원력, 권한 관리 등 보안 통제의 성숙도와 효율성 도 평가에 포함될 수 있습니다.
마쉬(Marsh)의 보고서에 따르면, 보험 인수 담당자들은 기업들이 구축해 놓은 사이버 보안 통제 시스템을 지속적으로 평가하고 있으며, 더욱 강력한 통제 시스템에 대한 지속적인 투자는 보험 인수 과정에서 긍정적으로 평가됩니다. 이러한 평가 결과는 보험료, 보장 한도, 자기부담금 또는 공제액, 면책 조항, 조건 , 그리고 잠재적으로 보험사가 제공할 수 있는 보장 범위에 영향을 미칠 수 있습니다. 이는 사이버 보안 준비 상태와 보험 인수 사이에 직접적인 연관성이 있음을 보여줍니다.
CISO나 보안팀에게 있어 보험 신청은 단순한 행정 서류 이상의 의미를 지닙니다. 또한 다음과 같은 질문을 던질 수 있는 기회이기도 합니다.
사고 발생부터 보상금 지급까지: 보험금 청구 절차는 어떻게 진행될까요?
정확한 절차는 보험사 및 보험 상품에 따라 다르지만, 간소화된 사고 및 청구 절차는 다음과 같습니다.
- 발견: 사이버 공격을 식별하거나 의심하는 단계.
- 통지: 보험 약관에 따라 보험사 또는 보험중개인에게 통지하십시오.
- 조사 및 대응: 관련 증거를 보존하고, 사건의 범위와 영향을 파악하고, 위협을 차단하고, 대응을 조율합니다.
- 복구: 영향을 받은 시스템과 비즈니스 운영을 복원합니다.
- 보험금 청구 해결: 사고와 관련된 손실 및 비용을 문서화하고 보험사가 보상 범위를 평가하고 청구를 해결하는 데 필요한 정보를 제공합니다.
실제로 이러한 활동 중 일부는 중복될 수 있으므로 조기 통지가 중요 합니다. 조직은 정책의 통지 요건을 사전에 파악하고, 로그와 같은 관련 증거를 보존하며, 정책에서 특정 사고 대응 제공업체를 요구하거나 권장하는지 여부를 알아야 합니다.
사이버 사고 대응에는 사건의 성격에 따라 법의학 조사관, 법률 고문, 규제 전문가, 홍보 전문가, 회계 감사 전문가, 보안팀 및 기타 전문가가 참여할 수 있습니다. 다시 말해, 사이버 보험 청구는 단순히 "보험사에 청구서를 보내는 것"으로 끝나는 경우가 드뭅니다. 조사, 문서화, 보험 약관, 그리고 보안팀, 경영진, 법률 고문, 보험 중개인, 보험사 및 대응팀 간의 조율이 모두 중요합니다.
구매자가 예상치 못한 보장 내용을 접할 수 있는 경우
흔히 저지르는 실수 중 하나는 "사이버 보험에 가입했다"는 것이 "사이버로 인한 손실이 보상된다"는 것을 의미한다고 생각하는 것입니다.
모든 보험에는 한계가 있습니다. 조사해야 할 일반적인 문제로는 보험 계약 이전에 발생한 사건, 고의적이거나 사기적인 행위, 계약상 책임, 법적으로 보험 대상이 될 수 없는 규제 위반에 따른 벌금, 그리고 제외되거나 제한적인 하위 한도가 적용되는 손실 유형 등이 있습니다. 또한, 통지가 늦거나 보험 약관을 준수하지 않을 경우에도 보상에 문제가 발생할 수 있습니다.
갈취는 특히 주의해야 합니다. 랜섬웨어 관련 비용은 사이버 갈취 또는 사이버 범죄 조항에 포함될 수 있지만, 별도의 하위 한도, 자기 부담금, 동의 요건, 법적 또는 제재 제한이 적용될 수 있습니다.
제3자 의존성 또한 비슷한 예상치 못한 문제를 야기할 수 있습니다. 보험 정책은 기술 제공업체의 장애로 인한 특정 사업 중단 손실을 보장할 수 있지만, 조건부 사업 중단 보장은 특정 공급업체, 사건 또는 상황에만 국한될 수 있습니다. 또한, 일부 손실은 표준 사이버 보험 보장 범위에서 완전히 제외될 수 있습니다. 예를 들어, Munich Re 는 기존 사이버 보험은 일반적으로 사이버 공격으로 인한 재산 피해를 보장하지 않으며, 해당 위험이 별도의 맞춤형 보험 상품을 통해 구체적으로 다뤄지지 않는 한 보상하지 않는다고 지적합니다.
실질적인 다음 단계
현재 사이버 복원력 프로그램을 방정식의 양쪽 측면에 비추어 평가해 보세요. 사이버 보안 통제가 어떤 위험을 줄이는지, 어떤 잔여 재정적 위험을 이전하고 싶은지, 그리고 보험 계약이 조직의 실제 사고 대응 방식과 일치하는지 자문해 보십시오.
이는 보험 계약상의 의무 와 유지해야 할 사이버 보안 통제를 모두 이해하는 것을 의미합니다. 또한 이를 통해 사이버 보안 운영과 재정적 보호를 사이버 복원력의 완전히 별개 요소가 아닌 통합적으로 고려할 수 있는 기회를 제공합니다. 적격한 Athena MDR 고객의 경우, MDR Assurance는 적격 보안 사고에 대한 보험 기반 재정적 보호를 제공하여 사이버 공격으로 인한 재정적 영향을 줄이는 데 도움을 줍니다. 자격 요건, 약관 및 보험 한도가 적용됩니다.
출처
- 제네바 협회 - 보험을 통한 사이버 복원력 강화
- 마쉬(Marsh) - 미국 사이버 보험 시장 업데이트: 보험료는 인하되고 위협은 진화하고 있습니다
- 뮌헨 리(Munich Re) - 사이버 공격으로 인한 물리적 피해: 자동화 및 디지털화 시대에 과소평가된 위험
본 문서는 일반적인 정보 제공만을 목적으로 하며, 보험 또는 법률 자문으로 간주될 수 없습니다. 보장 범위, 자격 요건, 한도, 제외 사항 및 청구 결과는 적용되는 보험 약관, 개별 상황 및 관할 지역에 따라 달라집니다.
