[그게 뭔가요] ‘사이버 보험’이 필요한 이유

사이버 보험이 다시 주목 받고 있다. 지난해 대형 침해사고와 개인정보 유출이 잇따르면서 기업이 사고 뒤 감당해야 할 복구비와 배상책임, 영업 차질 비용이 함께 커지고 있기 때문이다. 침해 사고는 단순한 전산 장애로 끝나지 않는다. 서비스 중단, 데이터 복구, 법률 대응, 평판 훼손 등 다양한 과제로 이어지며 기업 경영 전반을 흔드는 문제로 떠오르고 있다.

정부의 규제 강화도 사이버 보험의 필요성이 거론되는 배경 중 하나다. 정부는 지난 3월 개인정보 보호법 개정안을 공포하고, 9월 11일부터 반복적이거나 중대한 개인정보 유출에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 개정안도 3월 국무회의에서 의결돼 공포만 남겨두고 있다. 이 개정안은 침해사고가 반복된 기업에 관련 매출액의 최대 3% 과징금을 부과하는 근거를 담았다. 공포되면 6개월 뒤 시행된다.

사이버 보험이 다시 부각되는 이유

사이버 보험은 해킹이나 개인정보 유출을 막는 상품보다는, 사고가 난 뒤 기업이 떠안는 비용을 덜어주는 안전 장치에 가깝다. 개인정보 유출에 따른 배상책임, 데이터 복구비, 영업중단 손실, 포렌식과 법률 대응, 고객 통지와 위기관리 비용 등을 보전하는 식이다. 보안 솔루션이 침입을 막는 역할이라면, 사이버 보험은 침입 이후 기업이 감당해야 할 재무 부담을 줄이는 역할을 맡는다.

사이버 보험이 다루는 비용은 크게 세 갈래로 나뉜다. ▲개인정보나 기밀정보 유출, 명예훼손 등으로 제3자에게 배상해야 하는 책임 ▲데이터 복구비와 매출 감소 보전 비용 ▲포렌식, 위기관리, 모니터링 비용이다.

보험연구원·포스텍·국회에서 지난 19일 개최한 ‘사이버 리스크의 일상화, 보험산업의 과제와 대응전략’ 세미나에서 발표자로 나온 손재희 보험연구원 실장은 “글로벌 공급망 의존 심화, 클라우드 기반 디지털 운영 확대, 인공지능(AI) 기반 공격 고도화, 지정학적 긴장 고조 등으로 국내외 사이버 리스크 확대되고 있다”며 “이에 기업의 리스크를 실제 비용 보전으로 대응해줄 수 있는 사이버 보험의 필요성이 커지고 있다”고 짚었다. 사이버 사고가 더 이상 정보기술 부서만의 문제가 아니라 기업 운영 전반과 재정까지 흔드는 경영 리스크가 되고 있는 것이다.

국회입법조사처도 비슷한 진단을 내놨다. 국회가 2025년 7월 발표한 사이버보험 활성화 관련 보고서에 따르면, 국내 사이버 침해사고가 연이어 발생하고 공격 유형도 복잡해지면서, 이에 대비하기 위한 수단으로 사이버 보험 수요가 다시 커지고 있다. 특히 우리나라가 정보통신기술(ICT) 보급률이 높은 만큼 사이버 공격 증가에 따른 위험과 피해가 다른 국가보다 더 크게 나타날 수 있다고 분석한 바 있다.

사고의 무게도 달라졌다. 안랩 사이버시큐리티센터(ACSC) 박태환 센터장은 19일 열린 세미나에서 사이버 공격을 ‘새로운 재난’이자 ‘경영 리스크’라고 진단했다. 기업 운영을 순식간에 마비시킬 수 있고, 특정 산업에 그치지 않고 전 산업으로 번지며, 생산 중단과 핵심 데이터 유출, 매출 손실까지 동반한다는 것이다.

글로벌 보험 시장도 이 흐름을 반영하고 있다. 보험연구원이 작년 5월 발표한 보고서에 따르면, 세계 사이버 보험 시장은 2019년 59억달러(약 9조80억원)에서 2023년 141억달러(약 21조5276억원)로 커졌고, 2027년에는 290억달러(약 44조2766억원)까지 확대될 전망이다. 시장이 커지는 만큼 보험도 단순 보장보다 사고 대응, 위험 평가, 사전 모니터링까지 함께 보는 방향으로 진화하고 있다.

국내 보험사들은 어떤 상품을 팔고 있나

국내 사이버 보험 시장은 아직 작은 규모다. 국회입법조사처가 2025년 발표한 사이버보험 활성화 관련 보고서에 따르면, 국내 사이버 보험 시장의 추정 규모는 약 300만달러(45억7518만원) 수준이다. 현재 국내에서 사이버 보험을 판매하는 손해보험사는 약 16곳으로, 2024년 기준 보유계약 건수는 총 2만2599건이었다. 보험연구원도 관련 보고서에서 국내 사이버 보험 시장은 아시아·태평양 지역 평균에 못 미치는 수준이라고 평가하고 있다.

국내에서 판매 중인 상품 구조는 크게 세 갈래다. 하나는 ‘개인정보 유출이나 전자금융 사고처럼 법적 책임을 담는 의무보험형 상품’이다. 다른 하나는 ‘데이터 복구, 기업휴지, 사고 대응까지 넓게 담는 종합형 또는 패키지형 상품’이다. 여기에 ‘개인 금융사기 피해를 보장하는 개인형 상품’도 있다. 국회입법조사처에 따르면, 전자금융거래배상책임보험, 전자상거래 배상책임보험, 개인정보보호배상책임보험, 사이버 시큐리티 보험 등이 대표 상품이다. 대부분 책임보험형 상품 중심으로 볼 수 있다.

보험사별로 보면 특성은 조금씩 다르다. 삼성화재는 대형 기업용 ‘삼성사이버패키지’, 매출 1000억원 이하 기업용 ‘삼성사이버종합보험’, 개인 대상 ‘사이버사고보상보험’을 운영하고 있다. 삼성사이버패키지는 업종별 맞춤 제안과 리스크 진단, 해킹 진단, 사고조사 및 대응 컨설팅을 강조한다. 삼성사이버종합보험은 국문 약관, 자동 계산·자동 승인 절차, 개인정보 의무보험 대체 가입 가능성을 앞세운다.

AIG손해보험은 기업보험 상품군 안에 ‘개인정보보호배상책임보험’과 ‘사이버종합배상보험’을 함께 판매하고 있다. 전자는 개인정보 유출에 따른 법률상 손해배상책임에 무게를 두고, 후자는 더 넓은 사이버 위험을 담은 구조다. 한화손해보험은 개인형인 ‘한화사이버피해보상보험’을, DB손해보험도 ‘개인정보보호배상책임보험’을 판매하고 있다. 이외에도 12여곳의 손해보험사가 사이버 보험을 취급 중이다.

상품들을 살펴 보면 같은 사이버 보험이라도 어떤 상품은 개인정보 유출 책임에 초점을 맞추고, 어떤 상품은 영업중단과 복구까지 넓게 담고, 어떤 상품은 개인 금융사기 피해 보상에 가까운 구조를 갖고 있다.

한편, 최근 보험업계에서는 변화하는 사이버 위협의 환경에 맞춰 상품 구조를 손보려는 움직임도 일부 감지되고 있다. 한화손해보험 관계자는 “최근에는 개인정보 유출이나 직접 침해사고뿐 아니라 공급망을 타고 번지는 연쇄 리스크까지 보험 약관에 반영하려는 논의가 업계에서 있다”며 “아직 일부 대형 보험사만 움직이고 있지만, 약관과 보장 범위를 이런 흐름에 맞게 손보려는 움직임이 나타나고 있다”고 말했다.

왜 시장은 아직 작을까

보험연구원은 세미나에서 국내 사이버보안 시장 성장의 병목을 수요, 공급, 제도 세 축으로 정리했다. 먼저 수요 측면에서는 기업들이 사이버 리스크를 보험으로 관리해야 할 경영 리스크로 충분히 체감하지 못한다고 봤다. 약관이 복잡해 무엇을 보장받는지 알기 어렵고, 예산을 짤 때도 보험보다 보안 장비나 구독 서비스, 컨설팅이 먼저라는 인식이 강하다. 사고가 나더라도 평판 하락이 두려워 외부에 드러내지 않으려는 태도도 보험 활용을 꺼리게 만든다는 설명이다.

보험연구원이 제시한 자료에 따르면, 기업이 사이버 위협 대응 방안으로 보안 장비 도입을 꼽은 비율은 39%였고, 사이버 보험을 통한 위험 전가는 27%였다. 반면 가입 시 보장받고 싶은 영역은 복구 비용 55.7%, 대응 비용 48.7%, 과징금 45.3% 순이었다. 기업들은 책임보험보다, 사고 뒤에 복구와 회복을 위해 발생하는 비용에 더 민감한데, 시장은 아직 의무책임보험 중심이라는 것이다.

공급 측면의 어려움도 크다. 보험연구원은 19일 세미나에서 사이버 위협의 특성을 동시다발성, 연계성, 누적성, 빠른 진화, 제3자 의존성, 법적 불확실성 등으로 정리했다. 화재보험처럼 독립된 사고로 보기 어렵기 때문에 보험사 입장에서는 한도와 용량을 보수적으로 잡고, 서브리밋과 면책을 늘리고, 심사를 강화할 수밖에 없다는 것이다. 국회입법조사처 보고서에 따르면, 상위 손해보험사 4개 기준으로 가입금액 15억원 이하 비중은 96.2%였다. 중소기업 입장에서는 보장 한도가 작아 체감 효용이 떨어질 수밖에 없다.

제도와 데이터 문제도 반복해서 거론되고 있다. 특히 사고·손해·통제 수준을 연결한 데이터 공유체계가 부족한 것도 한계 중 하나다. 19일 세미나에서 프로시스 언더라이팅 솔루션즈가 제시한 자료에 따르면, 2016년 이후부터 사이버 보험 활성화, 데이터 공유, 인센티브 설계, 생성형 AI 시대 보험 대응 같은 주제가 반복해서 거론돼 왔다. 사이버 보험 논의에서 같은 문제가 오랫동안 반복돼 왔다는 진단이다.

사이버 보험 관련 법·제도는 어떻게 바뀌고 있나

제도 측면에서는 개인정보 유출에 따른 손해배상 책임을 보험으로 담보하도록 하는 틀은 이미 마련돼 있지만, 실제 사고 규모와 시장 현실을 충분히 반영하지 못한다는 지적이 있다.

현재 개인정보 보호법 시행령상 손해배상책임 이행을 위한 보험 가입 대상은 전년도 매출액 등이 10억원 이상이면서, 전년도 말 기준 직전 3개월간 정보주체 수가 일일평균 1만명 이상인 개인정보처리자다. 최저가입금액은 정보주체 수와 매출액에 따라 최소 5000만원에서 최대 10억원까지 정해져 있다. 금융회사, 전자금융업자, 집적정보통신시설사업자, 신용정보회사도 일정 조건에서 사이버 리스크 관련 배상책임보험 가입 의무가 있다.

다만 시장에서는 이 구조가 현실과 맞지 않는다는 지적도 나온다. 국회입법조사처는 현행 최저보험금액이 사이버 사고의 피해 규모와 빈도를 고려할 때 실효성이 떨어질 수 있다고 진단하고 있으며, 보험연구원도 의무책임보험 중심 구조가 기업을 ‘최소 가입’에 머물게 하고 종합형 업그레이드 인센티브를 약하게 만든다고 지적하고 있다. 실제 피해를 보전하기 위한 복구비와 영업중단 손실까지 생각하면 최대 10억원 한도로는 보장 금액이 많이 부족하다는 것이다.

손해보험협회 관계자는 “최근 해킹사고가 빈번하게 발생하고 기술 발전에 따른 고도화된 사이버 공격 가능성도 우려되면서, 사이버 보안 관련 리스크가 급증하고 있어, 사이버 보험의 필요성도 점차 커질 것으로 예상된다”고 봤다. 다만 그는 “보험을 통한 사이버 리스크 관리에 대한 인지도 부족과 개인정보 유출에 따른 배상금액이 낮아 보험 가입 유인이 저하되는 등의 사유로 사이버 보험 활성화에는 제한적인 상황”이라고 설명했다. 이어 “사이버 보험 시장 활성화를 위해 보험사 입장에서는 사이버 보안 관련 전문성, 언더라이팅 역량 등의 고도화가 필요한 상황”이라고 덧붙였다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network