최소한의 보험으로 버티는 기업들
최근 대규모 개인정보 유출 사고를 낸 주요 기업들이 법정 의무 보험인 ‘개인정보 유출 배상보험’을 최소 금액만 가입한 사실이 드러났습니다. 쿠팡과 SK텔레콤은 각각 3370만 명, 2300만 명에 달하는 방대한 개인정보가 유출된 사고를 냈음에도, 보장 한도는 단 10억 원에 그쳤습니다. 이는 의무 가입 대상 기업이 지켜야 할 최소 금액 수준입니다. 피해 규모를 고려할 때 실질적인 보상에 턱없이 부족한 금액이라, 기업들이 비용 부담을 줄이기 위해 피해 수습을 소홀히 했다는 비판을 낳고 있습니다.
이 같은 현상은 단지 몇몇 기업의 문제가 아닙니다. 사이버 침해사고는 지난해 1887건으로 전년 대비 48%나 급증했지만, 국내 사이버 보험 시장은 여전히 제자리걸음을 반복하고 있습니다. 법정 의무 가입 대상 기업 중 실제 가입률은 2~8% 수준에 불과한 실정입니다.
낮은 가입률 뒤에 숨은 구조적 문제
왜 기업들은 사이버 보험에 소극적일까요? 그 첫 번째 이유는 기형적인 책임 구조에 있습니다. 법이 개정되어 개인정보 유출 시 과징금 상한은 대폭 높아졌지만, 피해 소비자에 대한 손해배상액은 여전히 낮은 수준에 머물러 있습니다. 기업 입장에서는 막대한 과징금보다 상대적으로 적은 배상금이 더 부담스러운 리스크로 느껴지지 않는 셈입니다. 또한, 방송통신위원회가 의무화한 제도는 보험 가입과 준비금 적립 중 하나를 선택하도록 하고 있어, 많은 기업이 일시불로 적립하는 준비금 방식을 선호하는 경향이 있습니다.
두 번째는 보험사와 기업 간의 근본적인 목표 불일치입니다. 보험사는 사고 방지와 보상 제한에 집중하는 반면, 기업은 리스크 자체를 최소화하는 데 주력합니다. 이로 인해 효과적인 협업이 어렵고, 많은 기업이 자산과 보안 통제 현황을 제대로 파악하지 못해 보험사에 신뢰성 있는 데이터를 제공하지 못하는 악순환이 반복됩니다.
상향 조정 논의와 공적 안전망 필요성
이런 문제를 해결하기 위해 손해보험업계에서는 개인정보 유출 배상보험의 최소 가입 금액을 현행 10억 원에서 최대 1000억 원 수준으로 상향해야 한다는 주장을 펴고 있습니다. 그러나 반론도 만만치 않습니다. 피해 규모를 사전에 측정하기 어렵고, 기업이 선제적으로 마련한 보상금에 대해서는 보험금 지급이 제한될 수 있어 보험의 실효성에 대한 의문이 제기되기도 합니다.
보다 근본적인 대안으로 떠오르는 것은 국가 차원의 공적 안전망 구축입니다. 전문가들은 미국의 TRIP(테러리스크 보험 프로그램)이나 영국의 Pool Re(테러리스크 재보험 풀)와 같은 공사 협력 모델의 도입을 제안합니다. 민간 보험사가 감당하기 어려운 대규모 사이버 테러 리스크를 국가가 재보험을 통해 분담한다면, 시장의 활성화와 안정성을 동시에 꾀할 수 있다는 겁니다.
앞으로 나아가기 위한 협력의 길
개인정보보호위원회는 보험 의무 가입 대상을 축소하고 보장 범위를 확대하는 개편안을 발표하는 등 제도 개선에 나서고 있습니다. 그러나 이 문제는 정부의 제도 개선만으로 해결되기 어렵습니다. 사이버 보험의 활성화를 위해서는 정부, 보험사, 그리고 보안업체 간의 긴밀한 협력이 필수적입니다. 정보 공유를 통한 정확한 리스크 평가 체계를 만들고, 특히 보안 인프라가 부족한 중소기업에 대한 지원을 강화하는 것이 시급한 과제로 남아 있습니다. 사이버 위협이 일상화된 시대, 취약한 보험 안전망은 결국 우리 모두의 위험으로 돌아옵니다.