사이버 위험에 대한 미국 보험사업자의 대응에 관한 연구 (A study on the response of the US insurance companies to the cyber risks)

서지정보

· 발행기관 : 한국경제법학회
· 수록지 정보 : 경제법연구 / 21권 / 3호 / 223 ~ 257페이지
· 저자명 : 김원각

초록

컴퓨터의 발명과 인터넷 보급에 따라 인류가 그동안 경험하지 못했던 사이버 위험이 현실로 되었다. 사물인터넷, 빅데이터 등 기술과 과학이 발달하고 경제적 가치가 커진 정보에 대한 획득 욕구가 강해지면서 위험도 커지고 있다. 단순한 바이러스감염이나 컴퓨터의 물리적 기능을 훼손하는 수준을 넘어 정보탈취, 전쟁수행, 영업방해 등 공격 목적이 다양해지고 해킹, 랜섬웨어 등 나쁜 기술도 진전되고 있다. 코로나19 팬더믹으로 재택근무 확산에 따른 보안의 취약은 사이버 공격을 부추기고 있다. 이와 같은 상황에서 그 규모와 공격양상, 피해를 가늠하기 어려운 사이버 위험에 대응하는 방법에 대한 관심이 세계적으로 높아지는 것은 자연스러운 일이다. 디지털산업과 보험의 강국이면서 데이터, 프라이버시 보호를 강조하는 미국에서는 연방법, 주법 등 다양한 레벨에서 정보보호와 보안강화 법제를 마련해 왔다. 동시에 사이버 공격에 대한 대비방법으로 미리 보안을 강화하고 불가피하게 발생한 피해에 대하여는 사후적인 수습책 마련에 나서고 있다. 미경험의 거대 피해에 대하여 가장 먼저 생각하게 되는 것은 보험제도의 활용이다. 이와 같은 발상은 우리가 Y2K 위기에서 경험한 바 있다. 현재 많은 보험사업자들은 경로의존적이긴 하지만 급한대로 전통적인 배상책임 보험상품(E&O, D&O, CGL, Property, Business interruption)으로 대응하고 있다. 그러나 전통적 보험에서는 사이버 위험은 고려사항이 아니었다. 특히 이른바 ‘silent cyber risk’의 잠재적 위험에 대한 두려움으로 전통적 보험상품은 한계를 노출하고 있다. 이에 따라 몇몇 보험사업자는 사이버 위험을 겨냥한 보험상품을 개발하였다. 사이버 위험에 특화된 상품을 개발할 경우 통계자료 미비로 적정 보험료 산정이 어렵고, 담보범위와 면책사유를 치밀하게 설계하여야 한다. 아울러 수리나 복구비용 또는 보안과 같은 부대 서비스 연계 방안 등도 강구되어야 한다. 새로운 위험, 변하는 위험에 대한 경험의 부족은 정확한 예측으로 보완되어야 하고 시장실패에 대한 용기도 있어야 한다. 각국이 사이버보험에 대하여 다소 소극적인 상황에서 미국의 일부 보험사업자들은 사이버보험 시장을 선도하고 있다.
최근 국내에서도 사이버보험에 대한 논의가 늘고 있다. 선행연구들은 법학적 관점에서 이 문제를 다루는 데 다소 미흡해 보인다. 이는 선행연구자들의 연구역량이 부족해서가 아니라 대부분 정보보호, 보안기술, 보험전문가의 입장에서 다루거나 통계 등 사이버보험의 선결 과제가 아직 정리되지 않아 표준적인 약관을 찾기 어렵기 때문으로 생각된다. Y2K사이버보험 사태에 직면하여 우왕좌왕하였던 경험을 많은 보험사업자들은 되풀이하고 있고, 무엇보다 공통된 담보범위와 면책사유의 표준을 제시하기 어려운 지금의 사정을 감안할 때 사이버보험은 아직 법학의 깊은 연구과제가 되기에 이르다는 외국학자들도 있다. 그러나 사이버보험은 각양각색의 모습으로 시장에 출현하였고 당연히 여러 가지 다툼의 소지가 있다.
국내 보험사업자가 사이버보험에 대한 상품개발에 본격적으로 나서지 못하는 시장 상황에서 미국의 앞선 사례가 우리에게 몇 가지 시사점을 줄 것으로 생각한다. 본고에서는 먼저 미국의 사이버 위험 대응 입법을 본다. 이들 입법은 딱히 사이버 공격을 의식한 법이라기 보다는 프라이버시나 데이터 보호를 목적으로 한 것이지만 결과적으로 사이버 위험에 노출된 자는 법적 책임을 져야 하기에 사이버보험에 대한 수요를 촉발한다. 본고는 이 수요에 대하여 미국의 보험사업자들이 어떻게 대응하고 있는지를 소개한다. 전통적 보험상품이 사이버 위험을 담보하는지에 대한 논의도 중요하지만 지면관계상 별개 논문으로 다룰 예정이다.

영어초록

With the invention of computers and the worldwide spread of the Internet, cyber risks that mankind has never experienced before have become a reality. Science and technology, such as the Internet of Things and big data, have invented and developed. Along with this, the desire to acquire information, which has increased economic value, is getting stronger. Beyond simple computer virus infection, various cyber attack technologies such as hacking and ransomware are developing. Even, security vulnerabilities resulting from the spread of telecommuting following the Corona 19 pandemic are encouraging cyber attacks. In this situation, there is increasing interest and discussion around the world about how to respond to cyber risks that are difficult to estimate the size, attack pattern , and damage. In the United States, which is a leader in the digital industry and insurance and emphasizes data and privacy protection, related laws have been prepared at both federal and state level. On the other hand, as a way to prepare for cyber attacks, there is a way to strengthen security in advance and prepare follow-up measures for unavoidable damage. The first thing that comes to mind about unexpected damage due to unexperienced is the use of the insurance system. This idea is based on what we experienced in the Y2K crisis. Currently, insurance companies are path-dependent, but they urgently cover cyber risks with traditional liability insurance products (E&O, D&O, CGL, Property, Business interruption). A small number of insurance companies have developed new cyberinsurance products specialized in virtual risk. However, cyber risk was not a consideration in traditional insurance. In particular, the use of traditional insurance products is not an adequate countermeasure due to fear of the potential risk of so-called 'silent cyber risk'. On the other hand, in the case of developing specialized products, because of the insufficient statistical data, there is a tug-of-war (tension) over matters affecting the interests of insurers and insureds, such as calculation of insurance premiums, coverage of insurance, reasons for exemption, repair or restoration costs, connection of ancillary services such as security, etc. This study introduced some cases of the U.S. insurance companies.
Recently, discussions on cyber insurance have been made in Korea, but previous studies seem to have difficulties in dealing with this issue from a legal point of view. It is thought that this is not due to the lack of research capabilities of preceding researchers, but because the prior tasks of cyber insurance have not yet been sorted out. Despite the experience of facing the Y2K crisis, insurers are running about confusion over product design in the face of cyber risks. Even in foreign countries, there are legal scholars who confess that cyber insurance is still too early to become a typical research subject in law. In a market situation where domestic insurance companies are unable to actively develop products for cyber insurance, we expect that the example of the United States will give us some suggestions. Due to the limited pages allowed in the journal, the discussion on whether traditional insurance products cover cyber risk will be dealt with in a separate paper.

참고자료

· 없음