Author: Ziggy Bak (CSO at Zikto), Michael Ahn (Analyst at Zikto)
- 사이버 보험이란 무엇인가?
- 사이버 보험 시장 확장 속도의 저해 요인은 무엇인가?
- 해당 요인들을 어떻게 해결할 수 있는가?
- 인슈어리움의 개발 계획은 어떻게 구성되어 있는가?
인터넷과 모바일 기술의 발전과 함께 더욱 많은 기업들의 활동이 빠르게 디지털화하고 있다. 그러나 디지털화의 효율성과 부가가치 이면에는 큰 폭으로 증가한 사이버 위협 (cyber security risks)이 존재한다. 실제 미국 조사 회사인 포네몬 연구소(Ponemon Institute)의 ‘엔드포인트 보안 위험 현황 보고서(The state of Endpoint Security Risk Report)’에 따르면 2017년 한 해 동안 약 70%의 기업들이 사이버 보안 리스크가 큰 폭으로 증가했다고 답했으며, 2018년의 경우 약 54%의 기업들이 한 번 이상의 사이버 위협으로 인해 데이터와 IT 기반에 타격을 입었다고 밝혔다. 또한 한 번의 사이버 공격 성공으로 기업이 입는 평균 피해액은 기업당 약 5백만 달러(한화 약 55억 원 이상)로 산정된다(1).
이처럼 급속도로 증가하는 사이버 위협으로 인한 피해를 방지하기 위한 다양한 수단 중 하나로 사이버 보험이 대두되고 있다. 사이버 보험은 기업의 사이버 피해에 대한 보상을 제공하는 보험상품의 한 종류다. 사이버 보험을 통해 기업은 다양한 종류의 사이버 피해 (예를 들어 해킹, 랜섬웨어, IT 시설 작동 오류 등)로 인한 비용을 보상받을 수 있다. 2017년 기준 전세계 기업의 약 33% 가량이 사이버 보험에 가입해 있는 것으로 조사됐으나 (2), OECD 조사에 따르면 그 중 대부분은 대기업으로 아직도 중소기업의 대다수는 사이버 보험에 가입하지 않은 것으로 분석된다. (글로벌 대기업 중 50% 가량이 가입해 있으나, 중소기업은 한 자리 수로 파악됨 (4)). 2017년 전세계 사이버 보험 시장 크기는 약 28억 달러(약 3조 원 이상)로 추산되는데, 이는 2011년부터 연간 31%의 누적 성장률을 기록한 값이다.
하지만 이런 시장의 급성장에도 불구하고, 대형 보험사들의 사이버 보험 시장 참여는 그만큼 빠르게 이뤄지지 않고 있다. 지난 2015년부터 2017년까지 미국에서 사이버보험을 판매하는 보험사의 수는 119개에서 170개로 43% 가량 증가했다. 이 중 매출액 5천만 달러 미만의 중∙소형 보험사의 증가폭이 가장 큰 것으로 분석되며, 5,000만 달러 이상의 대형 보험사는 상대적으로 사이버 보험 시장에 적극적으로 진출하고 있지 않은 것으로 보인다.
그렇다면 왜 보험사들이 사이버 보험 시장에 적극 진출하지 않는 것일까? 글 말미에 언급할 작은 보험사들의 경쟁우위가 하나의 이유일 것으로 예상되지만 보다 넓은 관점에서 원인을 파악하기 위해서는 지난 블로그 글 블록체인이 어떻게 보험업의 미래를 만들어가는가? 에서 설명했던 손해율 계산의 프레임워크가 도움이 될 것이다.
- 발생 가능성: 해킹 및 사이버 보안 관련 손해에 대한 데이터의 부족으로 손해 상황의 발생 가능성을 추산하기 어려움. 또한 상황 발생에 대한 파악 및 판단이 매우 어렵다는 점 역시 큰 위험 요소로 여겨짐(5).
- 지급 금액: 사이버 리스크가 다양해지면서 피해 범위가 증가함. 이에 따라 지급액의 증가와 더불어 지급액의 추산이 어려워짐. 약 20%의 보험사들은 사이버 공격으로 인한 문제 발생 시 재무적 피해 추산이 어렵다고 판단함(5). 다만, 그림 1에서 볼 수 있다시피 연간 평균 55억 원 이상으로 피해액의 규모가 크다고 판단할 수 있음.
위 그림에서 알 수 있듯 사이버 보험 상품은 보험사 손해 구간에 위치할 가능성이 높다. 즉, 사이버 보험 상품의 개발 및 판매는 보험사에게 손실을 안겨줄 가능성이 높다고 볼 수 있다. 이 때문에 지속적으로 성장이 예상되는 매력적인 시장임에도 불구하고 보다 많은 보험사, 특히 대형 보험사가 선뜻 나서지 않는 현상이 나타난다고 해석할 수 있다.
한국의 상황만으로 한정하면 상황은 더욱 열악하다. 2017년 기준 국내에서 판매되고 있는 사이버 보험 상품의 보장 범위는 해외(미국 및 유럽)의 절반에도 미치지 못하는 실정이다. 매년 30% 가량을 기록하고 있는 사이버 보험 시장의 전세계적 성장세를 고려한다면 빠른 대응이 필요한 상황으로 보인다.
일반적으로 보험 시장의 크기는 GDP의 크기에 비례해 변동한다. 한국을 미국과 비교해 보면, GDP는 미국의 약 9%지만 사이버 보험 시장 크기는 1% 가량에 그친다. 이는 한국의 사이버 보험 시장이 충분한 잠재력을 보유하고 있으나 업계의 발전 속도가 그에 못 미치는 것으로 해석할 수 있다.
이러한 상황의 근본 원인은 상기 서술된 손해율 계산의 어려움에 기인한다. 정부 정책의 부재를 원인으로 꼽는 시각도 있으나(8), 그 역시 위험 회피형 성향이 더 강하다는 전반적인 원인과 궤를 같이 한다. 결국 같은 종류의 위험 요인에도 불구하고 한국보다는 미국을 위시한 해외 국가 및 기업들이 보다 빠르고 유연한 태도를 취하고 있다는 것이다.
그렇다면 어떠한 방법을 통해 사이버 보험 상품이 갖는 리스크를 최소화하며 해당 보험 시장의 매력도를 유지(혹은 최대화)할 수 있을까? 일차적으로는 아래의 세 가지 요인을 확보함으로써 가능해질 것으로 예상된다:
- 사이버 보안 데이터: 해킹 및 기타 사이버 보안 위협에 대한 통합적인 데이터를 파악함으로써 발생 가능성을 수치화하고 통계화할 수 있음. 이를 통해 ‘용인 가능한 수준의’ 통계적 유의미성을 파악한다면 발생 리스크를 이해할 수 있음.
- 사이버 위협 파악 역량: 사이버 위협의 종류와 작동 방법에 대한 이해를 통해 어떤 위협이 어느 정도의 재무적 손실로 이어지는지, 그리고 실제로 사건이 발생했는지의 여부를 판단하고 이를 통해 보험 사기 가능성을 낮출 수 있음.
- 위험 세분화 및 공유: 사이버 위협을 통한 실질적인 위험을 세분화하고,각각의 위험 별로 보험의 담보 범위를 세분화함으로써 보다 적절한 수준의 보험 상품 개발이 가능함. 또한 위험을 공유할 수 있는 방법을 개발함으로써 손실 상황이 발생하더라도 손해를 분산할 수 있음.
전세계적으로 많은 보험사들이 상기의 요인들을 확보하기 위해 노력하고 있는 가운데, 인슈어리움 역시 사이버 보안 보험 시장 개척을 위해 다양한 노력을 기울이고 있다. 그 중 대표적인 예시로 꼽을 수 있는 것이 금일(10/17) 발표된 클라우드브릭과의 업무 협약이다.
클라우드브릭은 암호화/웹보안 기업인 펜타시큐리티로부터 분사한 스타트업으로, 방화벽 및 사이버 공격 방어 솔루션을 제공하고 있다. 또한 현재 리버스 ICO를 통해 보안 및 사이버 위협 데이터를 블록체인화하는 프로젝트를 진행하고 있다. 이를 통해 이미 세계 많은 사이버 보안 솔루션 제공 기업으로부터 생산, 관리되는 데이터를 개인화하고 활용 가능성을 높일 수 있을 것으로 기대한다.
인슈어리움이 클라우드브릭과 협업함으로써 얻을 수 있는 단기적 역량은 명확하다. 바로 사이버 보안 및 위협에 관련된 데이터를 수집, 분석함으로써 사이버 보안 보험 상품 개발의 초석을 다질 수 있는 것이다. 또한 이미 B2B 채널을 통해 수많은 웹사이트 고객에게 서비스되고 있는 보안 솔루션을 통해 사이버 위협 파악 역량까지 갖출 수 있을 것으로 기대된다.
그렇다면 이렇게 확보된 역량을 기반으로 사이버 (보안)보험 상품이 개발될 수 있을까? 인슈어리움 팀의 예상은 ‘그럴 것이다, 하지만 아직은 넘어야 할 산이 있다’다. 데이터의 무결성과 신뢰성을 통한 질적 검증은 차치하고서라도, 데이터의 충분한 양적 확보(5-10년 이상의 조사, 분석 데이터) 역시 풀어야 할 숙제 중 하나다. 충분한 양의 데이터가 없는 현 상황에서 개발, 판매, 운영되고 있는 사이버 보험 상품들은 사실상 추후 더욱 완벽한 보험 상품 개발을 위한 데이터 수집의 목적 역시 띠고 있다고 할 수 있을 것이다.
보다 빠르게 보험 상품을 개발해 출시함으로써 향후 보완/개선된 보험 상품을 만들 수 있다는 점에서 스타트업이나 빠르게 새로운 기술 개발을 필요로 하는 기업들의 MVP 기반 린 접근 방식(lean approach based on MVP model)이 유효할 것으로 예상된다. 즉, 최소한의 요구 조건만을 갖춘 상품(MVP)을 개발, 출시하고 지속적으로 개선해 나가는 것이다. 빠른 대응이 관건이기에 초기 상품의 높은 손해율 및 손해를 감수할 필요가 있으며, 상품 판매 및 운영 과정에서 지속적으로 확보하는 데이터를 기반으로 상품의 매력도를 점차 개선하는 것이 중요하다. 상기 <그림 3>에서 비교적 규모가 작은 기업들의 사이버 보험 시장 진출이 더욱 활발한 이유 중 하나로 이러한 접근이 가능하다는 특장점이 꼽힐 수 있는 이유다.
인슈어리움 팀은 이러한 접근 방식을 기반으로 현재 AXA 및 현대해상의 TF와 협업해 국내에 존재하지 않는 새로운 보험 상품의 개발을 이끌어가고 있다. 또한 추후 자체적으로 확보한 역량을 통해 사이버 보험 시장으로의 진출을 목표로 하고 있다. 이 과정을 통해 상기 언급한 것처럼 '완벽하진 않으나 명확한 가치가 존재하는' 보험 상품을 실험적으로 지속 출시하며 더욱 뛰어난 역량을 확보하고 장기적으로 전세계 보험 시장의 판도를 바꿀 수 있을 것이라 기대한다. 또한 이번 클라우드브릭과의 업무 협약을 통해 사이버 보험 상품의 출시 일정이 크게 앞당겨질 것으로 기대한다.
- Ponemon Institute (https://www.barkly.com/ponemon-2018-endpoint-security-statistics-trends)
- AON, US Cyber Market Update, 2018
- AON, Global cyber market overview, 2017; ‘가 붙은 연도는 추정치
- OECD, The cyber insurance market responding to a risk with few boundaries, 2018
- 71%의 보험사는 스스로가 복잡한 사이버 공격을 파악할 역량이 부족하다고 판단함;EY, Cyber strategy for insurers, 2017
- 금융보안원 보안연구부, 사이버리스크에 따른 국내외 보험 시장 현황, 2017
- IMF, World economic outlook databases, 2018
- 이투데이,사이버보험, 또 ‘소 잃고 외양간 고치나’…연내 요율 산정 사실상 불발, 2018