사이버 보험은 더 이상 기업이 구매하고 잊어버릴 수 있는 것이 아닙니다. 랜섬웨어, 피싱, 비즈니스 이메일 침해, AI 지원 공격이 점점 더 일반화됨에 따라 보험사들은 역할을 바꾸고 있습니다. 사건 발생 후 청구 금액만 지불하는 것이 아닙니다. 그들은 이제 조직이 애초에 보험에 가입할 만큼 충분히 안전한지 여부를 결정하고 있습니다.
온타리오 주 해밀턴시에서 교훈을 얻었습니다. 2024년 2월, 이 도시는 지자체 전체의 서비스를 중단시키는 랜섬웨어 공격을 받았습니다. 해밀턴은 1,850만 달러의 몸값 지불을 거부하고 48시간 이내에 필수 서비스를 복원했지만 일부 시스템은 몇 주 동안 영향을 받았습니다. 1년 후 사이버 보험 제공업체는 조사관이 여러 부서에서 내부 시스템에 액세스하는 근로자에 대해 다단계 인증을 구현하지 않은 사실을 발견한 후 시의 주장을 부인했습니다.
그 세부 사항이 중요했습니다. 이 정책에는 위반이 MFA를 포함한 기본 보안 통제 누락과 연결되어 있는 경우 보장이 무효화될 수 있다고 명시되어 있는 것으로 알려졌습니다. 즉, 보험이 보안을 대체하지 못했습니다. 시의 경험에 따르면 보장 범위는 조직이 보험사가 요구하는 최소 기준을 준수했음을 입증할 수 있는지 여부에 따라 달라집니다.
이는 사이버 보험의 새로운 모델이 되고 있습니다. 보험사들은 수동적 인수에서 적극적 보안 평가로 전환하고 있습니다. 그들은 회사에 MFA, 엔드포인트 감지 및 대응, 로깅, 패치 마감일, 테스트된 백업, 세분화, 직원 교육 및 사고 대응 절차가 있는지 알고 싶어합니다. 이러한 통제에 대한 증거를 제시할 수 없는 회사는 더 높은 보험료, 더 좁은 보장 범위 또는 완전한 거부에 직면할 수 있습니다.
타이밍은 우연이 아닙니다. 사이버 공격은 시작하기는 더 쉬워지고 억제하기는 더 어려워지고 있습니다. 제너레이티브 AI는 공격자의 기술 장벽을 낮추어 피싱 이메일의 설득력을 높이고 대규모 공격을 가능하게 했습니다. 비즈니스 이메일 침해는 시스템뿐만 아니라 사람을 대상으로 하기 때문에 여전히 가장 일반적인 청구 소스 중 하나입니다. 강력한 경계 도구를 갖춘 조직이라도 직원이 속거나 신원이 과도하게 신뢰되거나 제어가 일관되지 않게 적용되면 노출될 수 있습니다.
이것이 바로 보험사가 주도하는 감사가 이제 중요한 이유입니다. 이는 기업이 사이버 보안을 측정 가능한 비즈니스 요구 사항으로 간주하도록 강제합니다. 보안 팀은 통제 사항을 문서화하고, 시스템이 모니터링되고 있음을 증명하고, 연습을 실행하고, 갱신에 대한 증거를 유지하고, 위험이 감소하고 있음을 보여야 합니다. 이는 실망스러울 수도 있지만 규율을 형성하기도 합니다. 많은 조직, 특히 중소기업의 경우 보험 요구 사항이 최종적으로 기본 제어에 자금을 지원하고 구현하게 만드는 원동력이 될 수 있습니다.
방화벽은 여전히 중요하지만 그것만으로는 충분하지 않습니다. 방화벽은 트래픽을 모니터링하고, 의심스러운 액세스를 차단하고, 네트워크 에지에서의 노출을 줄일 수 있습니다. 그러나 위험을 제거할 수는 없습니다. 잘못된 구성, 도난당한 자격 증명, 제로 데이 취약성, 공급망 공격, 내부자 위협 및 인적 오류로 인해 여전히 침해가 발생할 수 있습니다. 강력한 기술 방어라 할지라도 성공적인 공격에 따른 법적, 재정적, 운영적, 평판적 손해를 자동으로 보상할 수는 없습니다.
사이버 보험은 여전히 가치가 있습니다. 정책이 대응하면 법의학 조사, 법률 자문, 홍보 지원, 몸값 협상, 복구 서비스 및 비즈니스 중단 손실에 자금을 지원할 수 있습니다. 보험사는 또한 많은 회사가 위기 상황에서 신속하게 찾기 위해 애쓰는 심사를 거친 사고 대응 파트너에 대한 액세스를 제공할 수도 있습니다. 심각한 위반이 발생한 경우 이러한 조정을 통해 가동 중지 시간을 줄이고 전체 피해를 제한할 수 있습니다.
그러나 회사는 모든 청구가 지불될 것이라고 가정해서는 안 됩니다. 청구 거부는 허위 진술, 배제, 공개되지 않은 위험 또는 정책 조건 충족 실패로 인해 발생하는 경우가 많습니다. 조직이 어디에나 MFA가 있다고 말했지만 그렇지 않았거나 검증되지 않은 백업을 테스트했다고 주장하는 경우 보험사는 주장에 이의를 제기할 수 있습니다. 정책은 더 이상 단순한 금융 문서가 아닙니다. 담보계약입니다.
더 광범위한 결과는 보험 회사가 비공식적인 사이버 보안 규제 기관이 되고 있다는 것입니다. 특히 성숙한 보안 프로그램이 부족한 조직의 경우 인수 및 갱신을 통해 최소 표준을 설정하고 있습니다. AI 기반 위협이 더욱 확대되고 보험사가 자체 노출을 통제하려고 노력함에 따라 이러한 현상은 계속될 가능성이 높습니다.
사이버 보험은 여전히 중요합니다. 그러나 이는 보안을 대체하는 것이 아니라 위험 전략의 한 부분으로 취급되어야 합니다. 보험 혜택을 받을 수 있는 가장 좋은 위치에 있는 조직은 공격자보다 먼저 신원 보호, 시스템 모니터링, 신속한 패치, 직원 교육, 중요 데이터 백업, 대응 계획 테스트 등 기본 사항을 수행했음을 입증할 수 있는 조직이 될 것입니다.
<시간 />
