보험만으론 부족하다… ART 프레임워크가 바꾸는 사이버 보안 전략

사이버 보안 리스크가 기업의 대응 속도를 추월하고 있는 가운데, 기존의 보험 중심 접근만으로는 이를 통제하기 어렵다는 인식이 확산되고 있다. 특히 비용 절감 효과를 기대하기 어려운데다 보장 조건은 갈수록 까다로워져 사이버 보험만으로는 실질적 보호를 얻기 어렵다는 분석이다.

사이버 공격이 진화하면서 기업의 전체 기반 구조에 걸쳐 위협이 늘어나고 있지만, 보안 인력과 예산 확보는 오히려 한계에 부딪히고 있다. 이런 상황에서 ‘ART(피해 회피, 감소, 전가)’라는 프레임워크를 중심으로 전략적 보안 리스크 관리를 모색하는 움직임이 본격화되고 있다. 이를 주제로 한 디지털 행사 ‘ART of Security Summit’이 오는 4월 24일 개최된다. 해당 행사는 실리콘앵글이 운영하는 라이브스트리밍 채널인 더큐브(theCUBE)가 주관하며, 정보보안 최고책임자(CISO)를 대상으로 변화하는 보안 리스크 대응 전략을 집중 조명한다.

더큐브 리서치의 수석 애널리스트 재키 맥과이어는 "많은 CISO가 기술 변화 속도를 따라가지 못한다고 느낀다"며 “성과 기반의 공통 언어로 리스크를 정의하고 예산을 정당화하는 전략이 필요하다”고 강조했다. 결국 보안 정책, 프로그램, 문화 전환을 촉진하는 데에는 리스크라는 개념이 핵심 접점이 될 수 있다는 설명이다. 이에 따라 이번 서밋에서는 매니지드 서비스와 보험 간 새로운 균형점을 모색하는 방법이 주목받을 전망이다.

‘ART’ 프레임워크는 각각의 전략을 조합해 다양한 리스크를 효과적으로 다룰 수 있도록 돕는다. 피해를 ‘회피’할 수 있는 영역(예: 정책, 교육, 접근통제 등)은 기술과 관리 방안을 강화하고, ‘감소’시켜야 하는 영역은 매니지드 보안 서비스와 실시간 모니터링, 백업 전략 등을 통해 보완한다. 마지막으로 남은 리스크는 보험을 통한 ‘전가’ 방식으로 처리한다는 접근이다.

특히 매니지드 보안 서비스는 단순한 사고 대응을 넘어 사전 예방과 지속적인 보호를 제공할 수 있어, 보안 여력이 부족한 조직일수록 효과가 크다. 방화벽 운영, 엔드포인트 탐지, 보안 정보 및 이벤트 관리 같은 핵심 기능을 외부 전문 기관에 위탁함으로써, 보안팀의 업무 부담을 줄이고 취약 지점 대응 속도도 크게 높일 수 있다.

최근 들어 보험 업계도 이런 전략 변화에 맞춰 진화하고 있다. 사이버 보험 스타트업 카우벨 사이버(Cowbell Cyber)는 1,000개 이상의 데이터를 기반으로 사이버 리스크 점수 ‘카우벨 팩터(Cowbell Factor)’를 산출해 기업의 보안 상태를 개선하고, 보험 조건을 최적화할 수 있도록 지원한다. 클라우드 기반 대시보드는 노출된 백업, 미보호된 엔드포인트 등 주요 취약점을 실시간으로 파악해 갱신 전 보완할 수 있도록 한다.

재계약 시 보안 수준이 향상되면 일부 기업은 보장 한도를 확대하거나 공제 비용을 낮추는 등 유리한 조건을 계약할 수 있다. 일례로 카우벨은 위협 환경에 따라 보험 인수 조건을 실시간으로 조정하는 ‘공유형 언더라이팅’ 모델을 업계 최초로 도입해 새로운 보험 혁신을 열고 있다는 평가를 받고 있다.

한편 글로벌 보험 중개사 아서 J. 갤러거에 따르면, 전 세계 사이버 보험 시장은 2027년까지 두 배 규모인 약 290억 달러(약 41조 7,000억 원)로 성장할 전망이다. 그만큼 수요는 늘고 있지만 동시에 보험 조건은 더 복잡해지고 있고, CISOs에게 요구되는 법적·기술적 책임 역시 무거워지고 있다.

사이버 위협이 계속 변화하고 확대되는 상황에서, 단순한 보장에 의존하기보다는 전략적 리스크 관리 역량이 조직의 생존을 좌우하는 시대가 도래했다는 데 업계는 의견을 같이한다. 더큐브가 주최하는 이번 서밋은 바로 이 지점에서 보안 리더들이 배워야 할 전략과 실행 방안을 구체적으로 제시할 예정이다.