쿠팡·통신사 개인정보 유출… “현실화된 ‘시스템적 사이버 리스크’ 대응해야”
쿠팡·통신사 개인정보 유출… “현실화된 ‘시스템적 사이버 리스크’ 대응해야”
최근 발생한 쿠팡 및 주요 통신사의 개인정보 유출 사고는 독과점적 지위에 있는 기업의 사이버 보안 실패가 추가 피해를 유발하는 새로운 형태의 ‘시스템적 사이버 리스크’로, 사전적 리스크관리와 대응 역량을 강화해야 한다는 제언이 나왔다. 다만 국내는 사이버보험 가입 유인이 충분히 형성되지 않은 만큼 기업과 보험사, 정부 각축의 노력이 동반돼야 한다는 분석이 따른다.
보험연구원이 7일 발표한 보고서(‘대규모 개인정보 유출 사고와 시스템적 사이버 리스크’)에 따르면 ‘시스템적 리스크(Systemic risk)’란 하나의 사건으로 인해 시스템 내 다수의 경제 주체로의 광범위한 피해를 유발할 수 있는 리스크를 의미한다.
최근 쿠팡 및 주요 통신사에서 발생한 대규모 개인정보 유출 사고는 빅테크·플랫폼 집중 시장 구조에서 독점적 지위에 있는 기업이 사이버 보안에 실패한 결과로, 특정 산업을 넘어 금융·실물·사회 시스템 전체에 광범위한 충격을 줄 수 있다는 점에서 ‘시스템적 사이버 리스크’의 특성을 가진다.
특히 유출된 개인정보를 활용해 피싱(Phishing), 스미싱(SMiShing) 등 사이버 공격이 정밀화되고, 금융사기·명의도용·계정탈취 등 정보유출 피해 개인의 금융 자산으로까지 연쇄적 접근이 가능해져 2·3차 금융 피해를 유발할 가능성이 있다.
보고서는 특정 빅테크 플랫폼이 시스템적으로 중요한 기술의 성격을 가지므로, 이들의 정보보안 실패로부터 비롯된 대형 사이버 사고는 전통적 금융산업의 시스템적 리스크와 유사한 구조적 충격을 초래할 수 있다고 분석했다.
이렇듯 시스템적 사이버 리스크에 대응해 사이버보험 시장은 미국을 중심으로 빠르게 성장해 왔다. 코로나19 팬데믹 이전 사이버보험 시장은 가입자가 증가하고 있으나 보험금 청구가 많지 않아 수익성이 매우 높았다. 그러나 최근 위험 노출이 급격히 증가하고 가입자 수와 청구 건수가 크게 늘면서 수익성이 악화되고 보험요율도 빠르게 증가하는 추세다.
특히 시스템적 사이버 리스크로의 노출 증가는 시장 내 위험인지(Risk awareness)를 제고하면서 공급과 수요를 증가시키는 효과를 가져왔지만, 누적위험(Accumulation risk)과 국가지원 사이버 공격에 대한 공급 측면의 우려도 커졌다. 이는 보험산업의 인수(Underwriting) 역량을 저해해 산업 자체의 위험 흡수 기능을 둔화시키는 요인으로 꼽힌다.
글로벌 시장에서는 이 같은 리스크 극복 방안으로 보험시장 확대 정책지원 및 민간협력 프로그램의 필요성에 대한 목소리가 높아지고 있다. ▲정부 차원에서의 사이버 보안정책(개인정보 유출신고 및 공시제도 강화, 징벌적 배상책임 제도 강화 등) 지원 ▲공격자의 기술을 제어할 수 있을 사이버 보안 기술의 발달 ▲기술에 대한 사이버보험 회사의 적극적인 투자(또는 사이버 보안 전문기업과의 적극적 파트너십)가 병행돼야 한다는 것이다.
반면 국내 사이버보험 시장의 성장세는 더디다. 사이버보험 가입 대상인 기업의 정보보안 인식 및 정책이 시장 수요를 억제하는 요인으로 작동하고 있으며, 개인정보 유출로 인해 발생하는 배상책임액이 크지 않아 기업으로서 사이버보험 가입 유인이 높지 않기 때문이다.
일례로 올해부터 적용된 개인정보보호법의 과징금 기준이 매출액의 3%로 상향됐으나, 피해 고객에의 실질적 보상으로서 배상책임액은 여전히 매우 제한적이라는 점에서 기업의 민사배상 리스크는 매우 낮다. 이는 기업의 보험 가입 유인을 저해하는 요인으로 꼽힌다.
보고서를 작성한 정광민 포항공과대학교 교수는 “시스템적 사이버 리스크 사건에 효과적으로 대응하기 위해서는 기업과 보험산업, 정부의 공동 노력이 필요하다”며 전사적 사이버 리스크 관리체계의 구축과 발전 필요성을 강조했다.
먼저 기업은 내부통제 체계하에서 사이버 리스크를 유발하는 경제적 시나리오를 구축하고, 예상 손실을 추정하는 정량적 리스크관리 전략을 갖춰야 한다. 경영진은 기업의 디지털 전환, 인공지능(AI) 성장 전략과 잠재적 사이버 리스크 간 관계를 이해하고 디지털 전략과 사이버 리스크 관리체계 발전 전략을 연계해야 한다.
또한 최고리스크책임자(CRO)와 최고정보보안책임자(CISO)의 권한을 강화하고 기업 내 다양한 기능과 부서 간 상호 연계된 사이버 리스크관리를 체계화하며, 보안 관련 부서와 기능이 충분한 예산 지원과 관심을 받도록 이사회 주요 안건으로 논의해야 한다. 정 교수는 “기업은 사이버 보안을 더 이상 기업의 매몰비용이 아닌, 기업가치를 높이는 전략적 도구로 활용할 수 있음을 인지해야 한다”고 강조했다.
사이버 리스크를 인수하는 보험사는 정보보안·언더라이팅 역량 제고를 위한 전문가를 적극 채용하거나 사이버 보안 업체와의 협력을 통한 리스크관리 컨소시엄을 구축해 리스크 사전 관리 서비스 능력을 확보해야 한다. 개인정보 유출 신고 의무제도 대응 및 대민 관계 관리를 위해 공격 발생 여부 탐지, 피해 범위의 신속한 파악 등 사이버 손해사정 역량도 필수적이다. 정 교수는 “보험사는 종합적 사이버 리스크관리 서비스 공급자로서의 정체성을 확고히 해 사이버보험 시장에서의 공급 역량을 제고할 필요가 있다”고 밝혔다.
공공부문의 적극적인 정책 수립과 지원도 중요하다. 기업의 개인정보 보호에 대한 안일한 인식을 개선하려면 과징금 강화뿐 아니라 배상책임을 확대해, 사이버 리스크관리 실패가 기업의 재정건전성과 가치에 심각한 손실을 초래하는 환경이 조성돼야 한다. 국가지원 사이버 공격(사이버 테러리즘)이 보험의 면책 사항임을 고려했을 때, 국가 재보험 제도 또는 공사협력 보험 프로그램 구축도 재고해야 한다.
금융당국은 사이버 리스크를 시스템적 리스크로 규정하고 ‘스트레스 테스트 모델’을 구축해, 금융·보험사뿐 아니라 빅테크와 대형 디지털 플랫폼에서 발생할 시스템적 사이버 사고의 금융 영향을 추정해야 한다. 정 교수는 “보험산업의 경우 보험사의 고객 개인정보 유출 피해 시나리오 평가를 포함해 언더라이팅 측면에서 사이버 리스크의 영향 범위를 평가함으로써, 보험사 지급여력비율로의 영향을 측정할 필요가 있다”고 밝혔다.
