보안 사고 잇따르는데 외면받는 '사이버보험'... 이유는?

[녹색경제신문 = 이준성 기자] 최근 쿠팡 등 대기업에서 대규모 개인정보 유출 사고가 잇따르고 있지만 기업들이 사이버 보험에 가입할 유인은 충분치 않다는 지적이 나왔다. 이에 따라 징벌적 배상 등 정책 보완이 필요하다는 의견이 뒤따른다. 

9일 <녹색경제신문>의 취재를 종합하면 최근 보험연구원은 '대규모 개인정보 유출 사고와 시스템적 사이버 리스크'라는 제목의 보고서를 공개했다. 이에 따르면 코로나19 팬데믹 이후 디지털 전환과 거대언어모델(LLM)의 확산으로 사이버 공격의 빈도와 강도는 크게 늘었다. 특히 빅테크와 대형 플랫폼 기업은 사실상 '사회 인프라'로 기능하는 만큼 이들의 보안 실패는 금융 시스템과 실물 경제 전반에 충격을 주는 '시스템적 사이버 리스크'의 특성을 나타낸다.

보고서를 작성한 정광민 포항공과대학교 교수는 "하나의 사건이 시스템 내 다수의 경제 주체에게 광범위한 피해를 유발하는 것이 시스템적 리스크"라며 "빅테크 기업의 사고는 2008년 글로벌 금융위기 당시 금융 시스템 붕괴와 유사한 구조적 충격을 초래할 수 있다"고 강조했다.

문제는 위험이 확대되는 와중에 이를 대비할 안전장치인 사이버보험은 국내에서 맥을 못 추고 있다는 점이다. 정 교수는 가장 큰 원인으로 기형적인 법적 책임 구조를 언급했다.

한국은 개인정보보호법 개정으로 과징금 한도가 매출액의 3%까지 상향되는 등 행정적 제재 수준은 높다. 그러나 피해자에 대한 민사상 손해배상 책임은 여전히 미미하다는 것이 정 교수의 설명이다. 실제로 2014년 발생한 카드사 고객 개인정보 유출 사고와 2016년 인터파크 개인정보 유출 사고 당시 법원이 인정한 최종 배상책임 판결액은 소송 참여 고객 1인당 10만원 수준에 불과했다.

정 교수는 "과징금 부담은 크지만 피해 고객에 대한 실질적 보상액인 배상책임액은 매우 제한적"이라며 "기업 입장에서는 '민사 리스크'가 낮아 사이버보험 가입 유인이 충분히 형성되지 않는 구조적 문제가 있다"고 진단했다. 그러면서 "이는 기업 경영진이 사이버 보안을 투자가 아닌 매몰 비용으로 인식하게 만드는 원인이 된다"고 덧붙였다.

이와 달리 징벌적 배상책임 제도가 활성화된 미국은 보안 사고 발생 시 천문학적인 배상금을 물어야 한다. 2017년 미국 신용평가사 에퀴팩스의 개인정보 유출 사고 당시 배상책임 판결액은 무려 수천억원에 달했다.

이 같은 거액의 배상 리스크는 기업들이 자발적으로 보험에 가입하게 만드는 강력한 동기가 되고 있다. 단 하나의 배상 리스크 탓에 유동성에 압박을 받을 경우 파산을 맞을 수도 있기 때문이다. 

정 교수는 국내 사이버 리스크 관리 체계를 강화하려면 금융당국의 적극적인 개입이 필요하다고 제언했다. 금융당국 차원에서 극단적인 사이버 사고 시나리오를 가정한 '사이버 리스크 스트레스 테스트'를 서둘러 도입해 은행 건전성을 평가하듯이 빅테크나 금융기관에서 사이버 사고가 발생했을 때 금융 안정성에 미칠 충격을 정량적으로 평가하고 관리해야 한다는 지적이다. 

또한 기업들이 사이버 보안에 투자하도록 유도하기 위해 제도적 환경을 바꿔야 한다는 의견도 나온다. 징벌적 배상책임 제도 도입과 정보보안 공시 강화가 대표적인 방안이다. 정 교수는 "기업의 개인정보 보호에 대한 안일한 인식을 개선하려면 과징금뿐만 아니라 배상책임을 확대해, 보안 실패가 기업 가치에 심각한 손실을 줄 수 있다는 환경을 조성해야 한다"고 전했다.

이와 함께 민간 보험사가 감당하기 힘든 '국가 지원 사이버 테러' 등의 거대 위험과 관련해서는 정부가 참여하는 '공사협력(PPP) 보험 프로그램' 도입도 검토 과제로 제시됐다. 미국 재무부가 '테러위험보험프로그램(TRIP)'에 사이버 배상책임을 포함하거나, 영국이 테러 재보험 기구인 '풀리(Pool Re)'를 통해 사이버 테러까지 보장 범위를 확대한 사례가 대표적이라는 설명이다.