사이버 보험, '투명 공시' 중심 국가 리스크 체계로

오는 2031년에는 랜섬웨어 공격속도 2초당 1회 달할 것으로 전망

현재 국내 기업들 대응, 사후 보상에만 치중돼 있다는 지적 이어져

매출액 3% 달하는 과징금···기업에게 ‘숨기고 보자’식의 유인 제공

“기업 사고 대응능력·재무적 충격 동시 관리하는 도구로 인식돼야”

대규모 개인정보 유출 및 사이버 침해 사고가 빈번해지면서 사고 기업을 향한 정부와 정치권의 압박이 거세지고 있다. [사진=연합뉴스]

[이뉴스투데이 이경진 기자] 디지털 전환의 가속화로 사이버 위협이 국가 산업 생태계 전반의 ‘상수’로 부상했다. 이제 사이버 사고는 특별한 사건이 아닌 일상적 위험으로 다가오자, 기업의 투명한 공시와 사이버 보험의 예방 기능을 결합한 거시적 안전망 구축이 시급한 과제로 대두되고 있다.

28일 보험업계에 따르면, 사이버 사고는 하루 평균 640여건이 발생하며 일상적인 교통사고 발생 빈도를 이미 추월했다. 랜섬웨어 공격의 속도는 더욱 가팔라져 지난 2021년 11초당 1회였던 공격 주기가 오는 2031년에는 2초당 1회에 달할 것으로 전망된다. 국내 상황도 심각하다. 보안 사고 신고 건수는 지난 2023년 1277건에서 2025년 2383건으로 불과 2년 사이 약 86% 폭증하며 매해 기록적인 상승세를 이어가고 있다.

위협의 양상 또한 과거와는 차원을 달리한다. 해커의 직접적인 개입 없이도 AI가 스스로 침투 경로를 추론해 실행하는 자율적 해킹 시대가 열렸다. 특히 윤리적 제약이 제거된 ‘비검열 AI’를 활용한 악성코드 생성과 피싱 설계가 자동화되면서 방어 체계의 무력화가 가속화되고 있다. 이란과 이스라엘 등 국가 간 분쟁에서도 사이버 공격이 금융·에너지 등 국가 기간망을 마비시키는 전략 무기로 활용되면서 보안은 이제 국가 안보와 직결된 사안으로 자리잡았다.

지난해 들어 SK텔레콤의 대규모 개인정보 유출(2324만명), 웰컴금융그룹의 대량 내부 자료 유출 등 대기업과 금융사를 가리지 않는 침해 사고가 잇따르고 있다. 이러한 사고는 단순한 데이터 손실을 넘어 △규제기관 조사 △평판 추락 △막대한 과징금 △손해배상 △천문학적인 사고 수습 비용이라는 4대 복합 위험으로 이어져 기업의 존립을 위협한다.

그러나 사이버 위협이 이처럼 거대해졌음에도 현재 국내 기업들의 대응은 사후 보상에만 치중돼 있다는 지적이 이어졌다. 특히 현행 정보보호 공시제도가 형식적인 수준에 그치고 있어, 시장의 실질적인 압력을 이끌어내지 못하고 있는 실정이다.

전문가들은 사고 내역을 보다 투명하게 공개하는 제도적 보완이 우선돼야 한다고 제언한다. 투명한 공시를 통해 축적된 데이터가 사이버 보험의 정교한 요율 산정과 인수 심사로 연계될 때, 기업들이 자발적으로 보안 수준을 높이는 선순환 구조가 형성될 수 있기 때문이다.

시장 중심의 자율적인 보안 체계 확립 역시 강조되고 있지만, 현실의 규제 환경은 기업들을 오히려 정반대의 선택으로 내몰고 있다는 우려 또한 깊다. 보안 공시의 투명성을 높여 시장의 선순환을 이끌어내야 한다는 당위성에도 불구하고 현행 제도가 지닌 징벌적 성격이 기업들에게 침묵을 강요하고 있다는 이유에서다.

실제로 대규모 개인정보 유출 및 사이버 침해 사고가 빈번해지면서 사고 기업을 향한 정부와 정치권의 압박은 거세지고 있다. 일각에선 과도한 징벌적 규제가 오히려 기업들의 사고 은폐를 부추기고, 국가 전체의 보안 지능을 떨어뜨리는 부작용을 초래한다고 주장한다.

사이버 사고가 발생한 기업은 과기정통부, 개인정보보호위원회, 금융감독원, 국가정보원 등 다수 기관의 전방위적인 조사를 동시에 받는다. 자료 확보부터 보고서 작성까지 이어지는 장기간의 조사 과정은 기업 경영에 막대한 차질을 빚는다. 특히 전체 매출액의 3%에 달하는 거액의 과징금과 경영진을 향한 형사 처벌 압박은 사고의 실체를 투명하게 공개하기보다 ‘숨기고 보자’라는 유인을 제공한다.

이러한 은폐 시도는 단순한 도덕적 해이를 넘어 국가 보안 체계에 치명적인 약점을 노출한다. 새로운 해킹 기법이나 취약점이 공유되지 않으면서 유사한 사고가 다른 기업에서 반복되는 보안 지능의 저하로 이어지기 때문이다.

전문가들은 규제의 패러다임을 ‘징벌’에서 ‘유인’으로 전환해야 한다고 분석한다. 사고 발생 기업을 무조건 가해자로 규정해 엄벌하기보다는, 평소 보안 수준을 높인 기업에 실질적인 혜택을 주는 방식이 효과적이라는 제언이다.

가장 대표적인 대안으로 거론된 것이 ‘사이버 보험’의 활성화와 세제 혜택이다. 높은 수준의 보안 체계를 갖춘 기업에 보험료 감면 혜택을 제공, 보안 장비 도입이나 인력 양성에 투입되는 비용을 세액 공제해주는 정책이 필요하다. 기업이 보안을 ‘생존을 위한 비용’이 아닌 ‘성장을 위한 투자’로 인식하게 만드는 계기가 된다.

손재희 보험연구원 실장은 “현재 우리나라 사이버 보험 시장은 법적 의무를 채우기 위한 최소 가입 수준에 머물러 있다”라며 “초기 시장 형성에는 기여했을지 몰라도, 기업들이 보험을 실질적인 리스크 관리 수단이 아닌 단순한 비용으로 치부하게 만드는 결과를 초래했다”라고 말했다.

이어 “기관별로 사고 통계는 내고 있지만 통합 관리도 부실해, 보험사 입장에서 제대로 된 언더라이팅(인수심사)을 하고 싶어도 쓸만한 데이터가 없으니 보수적인 상품만 내놓게 되는 악순환이 반복되는 것”이라며 “보험은 기업의 사고 대응 능력과 재무적 충격을 동시에 관리하는 전략적 도구로 인식돼야 한다”고 강조했다.

한편, 급변하는 기술 환경 속에서 사이버 보안은 더 이상 개별 기업의 숙제가 아닌 국가 산업 생태계의 지속 가능성을 결정짓는 핵심 변수가 될 것으로 보인다. 따라서 규제 당국과 보험업계, 그리고 민간 기업이 유기적으로 협력하는 ‘입체적 보안 거버넌스’의 확립 여부가 글로벌 디지털 시장서 국가 경쟁력을 좌우하는 척도가 될 것이라는 분석이 힘을 얻고 있다.

전문가들은 이러한 거버넌스가 정착되기 위해 정보 공유의 투명성과 정책적 인센티브가 조화를 이루는 고도화된 생태계 조성이 필수적이라고 입을 모은다. 결국 보험을 매개로 한 민관 협동 모델이 실질적인 방어 기제로 작동할 때, 사이버 리스크라는 장애물을 넘어 지속 가능한 디지털 영토를 확장해 나갈 수 있을 것으로 전망된다.