사이버보험 상품 증가, 보안문화 ‘대변혁’ 이루나

이제 시작단계, 아직 제대로 된 사이버보험 상품 없어

큰 고비만 넘으면 보안인식 크게 바꿀 것 기대

[보안뉴스 문가용] 최근 보험업체들의 움직임이 심상치 않다. 사이버 보험, 즉 사이버범죄에 대한 보험상품을 너도나도 내놓기 시작한 것이다. 요즘처럼 데이터 유출사고가 뻥뻥 터지는 때 이는 굉장히 발 빠른 대처라고 보이며 기업들 입장에서도 이런 보험 하나쯤 생각이 날 법하다.

최근 사이버범죄 대상이 된 유명 온라인 쇼핑몰인 타깃(Target)이나 나이만 마커스(Neiman Marcus) 등 대형 소매상들의 경우를 봤을 때 사이버범죄로 인한 피해규모가 만만치 않다는 것을 알 수 있다. 금전과 명성, 모두에서 말이다.

타깃의 경우 피해규모가 천억 달러에 달한다는 분석도 있을 정도다. 그래서 그런지 뉴스 그룹인 보스턴 글로브(Boston Globe)에 의하면 현재 미국 전체 기업 중 1/3이 이미 이런 류의 보험에 가입되어 있다고 하며, 또 다른 미디어 그룹인 마시 LLC(Marsh LLC)는 2013년 사이버보험 가입자수가 2012년 대비 20%가 늘었다고 분석했다. 2013년에 새로 생긴 사이버 보험 상품의 종류만도 38가지에 달한다.

타깃의 대규모 유출사고는 사이버보험 상품을 홍보하고 있던 보험회사들에겐 희소식이었지만 타깃과 비슷한 사업을 하고 있는 사람들이나 보안업계 사람들에겐 재앙이었다. 그래서 상품에 대한 수요가 늘었고 보험 회사는 상품의 종류를 늘렸다.

보안 솔루션 회사인 아온 리스크 솔루션(Aon Risk Solutions)의 중역 중 한명은 최근 언론사와의 자리에서 “최근 해킹 사고가 늘어나면서 사이버보험 상품을 찾는 사람의 수가 3배 늘었다”고 말한 바 있다. 이런 상황을 모으면 사이버보험이라는 분야가 무럭무럭 자라는 것처럼 보이지만 사실은 그렇지 않다. 그렇지 않은 정도가 아니라 아직도 유아기에 머물러 있는 것이 사실이다. 사이버보험이라는 분야는 아직 연구도 충분히 이루어지지 않은 상태인데다가 웬만한 기업들은 빠르게 온라인 활동을 늘여가고 있는 만큼 잠재 위험 요소 역시 증가하고 있기 때문이다.

책상 하나 놓고 사업을 하는 곳부터 세계 곳곳에 전용 빌딩을 가지고 있는 기업까지 사이버범죄에 대처하는 자세는 참으로 다채롭다. 그러나 이중 진짜 효과가 있는 경우는 그리 많지 않다. 게다가 이 회사에서 효과를 본 방법이라고 저 회사에서 잘 통하는 것도 아니다.

그러니 보험회사 편에서도 보안의 정도를 등급화하거나 수치화할 수 있는 객관적인 방법을 갖추고 있지 못하다. 피해규모가 크니 상품의 가격은 높은데, 실제 보험담보 범위는 좁고 보상금 지급을 받을 수 있는 경우는 굉장히 제한적이다.

사이버보험에 가입할 때 질문지를 작성하는데, 여기 나오는 질문들 역시 광범위하고 주관적이다. 보안정책이나 실무 진행 과정에 대한 질문들은 일부 회사에만 적용이 가능하고, 회사 상황이나 여건에 따라 같은 보안정책이나 프로그램을 가지고 있어도 그 결과가 판이하게 달라질 수 있으니 그나마도 실효성을 평가하기는 불가능하다. 이런 질문지에 대한 성토의 목소리도 심심치 않게 불거지고 있다.

보험 회사 입장에서 제일 까다로운 건 해커들이 끊임없이 진화하고 있다는 점이다. 공격 방법이나 도구는 갈수록 발전하고 있고, 그렇기 때문에 이런 걸 보험 상품 하나에 다 포함시키는 것이 불가능하다. 보험에 가입했더라도 그 보험 상품에 명시되어 있지 않은 방법이나 도구로 공격이 들어올 가능성이 다분하기 때문에 가입 회사 입장에서는 보험이 무용지물이나 다름없다.

먼저는 보안정책이나 프로그램의 실효성을 객관적으로 측정하고 수치화할 수 있는 방법이 필요하다. 보안정책이 있느냐 없느냐만 따지는 건 이미 철 지난 방법이다. 보안이라는 분야의 특성상 기업별, 고객별로 평가방법을 마련해야 할 수도 있다. 그러면서도 동시에 인터넷 통신망 사용 정도, 실제 불법 침입 시도 횟수, 실제 침입이 성공한 경우 취약점의 개수 등 많은 양의 데이터를 취합해 처리할 수 있는 알고리즘도 개발해야 한다.

누군가 보안등급이란 걸 고안해 지지를 받는다면 보험 업계 전체는 지각변동을 겪을 것으로 보인다. 보안업체에서는 이 회사와 저 회사의 보안 상태를 객관적으로 비교하는 것이 가능해지며 이는 곧 상품의 가격으로 이어질 것이 분명하다. 그러면 기업마다 보안등급을 자발적으로 높이려고 애를 쓸 것이며 이로써 자연스럽게 보안인식이 개선되지 않을까. 아직 갈 길이 먼 보험업계가 힘을 내길 빈다.

ⓒDARKReading

[국제부 문가용 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)