"사이버보험 활성화, 핵심은 사고 데이터 공유"

[아이뉴스24 성지은기자] 사이버위험 관리와 경영 안정성 확보를 위한 수단으로 사이버보험이 주목받고 있다.

다만 아직까지 국내 시장은 걸음마 수준에 가깝다. 사이버보험 시장 활성화를 위해서는 사고데이터 공유가 활발히 이뤄져야 한다는 게 전문가 지적이다.

2일 정보통신기술진흥센터(IITP) 주간기술동향 '사이버보험을 위한 해외 주요국의 사고데이터 공유 현황' 보고서에 따르면 전 세계 사이버보험 시장은 2015년 약 20억달러 규모에서 2025년까지 약 200억달러로 급성장할 것으로 전망된다

사이버보험은 사이버공격에 의한 시스템 파손, 업무 휴지, 데이터 손실, 정보유출 등 배상 책임을 보장한다. 랜섬웨어 등 사이버위협이 전방위로 확대되면서 경영 리스크를 줄이는 수단으로 사이버보험 시장도 덩달아 커지고 있는 것. 이를 위해 보다 활발한 데이터 공유 등은 과제다.

오남호 한국인터넷진흥원(KISA) 팀장과 송은지 주임연구원은 보고서를 통해 "사이버보험 시장이 활성화 되려면 기업들이 사이버사고 정보를 보험사와 공유하지 않는 정보의 비대칭성 문제 해결이 선행돼야 한다"고 지적했다.

이어 "정확한 사고 통계가 확보돼야 이를 기반으로 상품을 설계하고 보험료를 측정할수 있다"며 "이같은 문제 해결을 위해 주요국 민관 부문에서 사이버사고 데이터베이스(DB)를 구축에 여러 노력을 기울이고 있다"고 강조했다.

◆각국, 사고 정보 공유 박착

사이버보험 시장이 가장 활성화된 미국의 경우, 사고정보 공유를 위해 지난 2015년 2월 국토안보부(DHS) 산하 국가보호프로그램위원회(NPPD) 주도로 '사이버사고 데이터 저장소 작업반(CIDAWG)'을 발족했다.

사이버보험의 근본적 문제인 사고 데이터 부재 상황을 극복하기 위해 데이터 저장소를 구축, 정보를 수집·공유하는 데 정부가 힘을 싣고 나선 것.

다방면의 주요 인프라 부문을 대표하는 보험업자, 최고정보보호책임자(CISO), 사이버보안 전문가 등으로 구성된 작업반은 지난 2015년 사이버사고 저장소 제안 백서를 발표했다. 또 사고데이터 저장소에서 수집해야 하는 16개 데이터 종류를 발표했다.

이들 작업반은 지난해 워크숍을 개최하고 지원 방안, 자발적 정보 공유 방안 등을 수렴했으며, 사이버 저장소의 구체적 컨셉 개발을 추진하는 것으로 알려졌다.

유럽연합(EU)의 경우, 특정 산업 분야의 사고데이터를 의무적으로 보고하게 함으로써 향후 보험에 활용될 수 있는 데이터 풀(pool)을 이미 갖췄다는 평가다.

기본지침(Framework Directive, 2009/140/EC) 제 13a조에 따라, 회원국은 네트워크 또는 서비스 운영에 중대한 영향을 미친 보안 위반이나 무결성 손실을 끼치는 경우 해당 국가의 감독기관에 통보해야 한다. 또 해당국 감독기관은 다른 회원국의 해당 기관과 유럽의 유럽네트워크정보보호원(ENISA)에 통지해야 한다.

아울러 NIS 지침(Network and Information Security Directive)이 작년 8월 발효되면서 네트워크 부문 외 에너지, 교통, 보건의료, 금융 등 필수 서비스 기업들도 사이버공격을 당하거나 사고가 발생한 경우 의무 보고하도록 근거 규정을 추가했다. 이에 따라 데이터 축적이 더욱 확대될 것으로 전망된다.

영국의 경우, 보험업계와 정부가 정보 공유에 앞장서고 있다. 영국 정부와 보험 업계 대표자들은 지난 2015년 'UK 사이버 시큐리티 리포트'를 발간했으며, 이 보고서에 사이버보안정보공유협력체(CiSP)를 통해 협력하는 방안을 담았다.

보고서는 영국보험협회(ABI), 로이즈 등 보험업계가 데이터 교류를 위해 포럼을 설립하며, 정부와 업계의 데이터 공유, 사이버보안 정책과 계획의 협력 유도 등 구체적 방안을 명시했다.

KISA 연구원들은 "사이버보험의 기반 환경을 조성하기 위해 기초 데이터인 사이버사고 데이터가 필수적"이라며 "사이버사고 데이터는 다른 정보에 비해 민감하고 수집하기가 어려워 익명화돼야 하고 보험에 활용할 수 있는 정보들을 집적하는 것이 중요하다"고 설명했다.

또 "데이터 집적을 위해 미국은 정부에서 영국은 보험업계에서 끌고 가는 등 구체적 추진 방법은 다르지만, 민관 협력 기반으로 한다는 점이 유사하다"며 "사이버사고 데이터 공유 체계 마련을 위해 정부와 업계의 협력이 중요하다"고 강조했다.