이 블로그를 찾는 보험을 모르는 일반인과 실무자도 쉽게 이해할 수 있는 사이버 재보험(Systemic Risk) 누적(Aggregate) 위험 가이드입니다. 사이버 재보험 시스테믹 리스크는 개별 기업 해킹이 아니라, AWS·Azure·GCP 같은 소수 클라우드와 CrowdStrike 같은 보안 SW가 동시에 멈추면서 수천 개 계약에서 동시 다발적으로 손실이 터지는 구조적 위험을 말합니다. 2024년 크라우드스트라이크 사태처럼 단 한 번의 업데이트 오류가 항공·금융·병원을 동시에 멈춘 장면을 떠올리면 이해가 빠릅니다. 이 글에서는 왜 전통적인 태풍·지진 모델로 이 위험을 계산하기 어려운지, 재보험 현업에서 어떻게 한도를 잡고 자본시장으로 넘기는지를 35년 경험과 함께 풀어봅니다.
재보험을 35년 하다 보면 제일 어려운 게 보유(Retention) 결정입니다. 초년병 시절, 화재보험 포트폴리오 보유를 30억에서 50억으로 올리자고 보고서 올렸다가 임원 회의에서 호되게 혼난 적이 있습니다. 당시 저는 손해율이 안정적이라고 판단했는데, 경영진은 단기 손익과 K-ICS 비율 방어를 봐야 했고, 영업 조직은 보유가 높아지면 재보험 커미션과 사고 시 자기 부담이 커져 실적 압박을 받는다고 반발했습니다. 관점이 완전히 달랐던 거죠.
하드마켓 때는 재보험료가 30~40%씩 오르고, 담보 조건에 사이버·전염병 익스클루전이 덕지덕지 붙어 재보험 구조 짜는 것 자체가 전쟁이었습니다. 그 비용을 원수보험료에 전가하지 못하면 영업과 마찰이 컸습니다. 반대로 소프트마켓 때는 재보험사들끼리 경쟁이 치열해져 재보험료가 깎이고 조건도 좋아져 업무는 편했는데, 국내 원수사들 영업 경쟁이 더 심해져 요율이 바닥을 쳤습니다. 강남 대형 빌딩 물건이 원가 이하로 나가는 걸 보면서 이게 맞나 싶었던 기억도 있습니다.
사이버 재보험은 그 딜레마가 더 심합니다. 과거 자연재해는 지리적으로 떨어진 위험은 동시에 터지지 않는다는 믿음이 있었습니다. 부산 화재와 서울 화재가 동시에 날 확률은 낮다는 식의 분산 논리였죠. 그런데 사이버는 다릅니다. 전 세계 기업이 AWS 하나의 리전, Azure AD 하나의 인증 체계, CrowdStrike 하나의 센서에 묶여 있는 단일장애점(single point of failure) 구조입니다. 그래서 저는 보유를 보수적으로 가져가자고 주장하면, 경영진은 재보험료 부담을, 영업은 경쟁력 저하를 이야기합니다. 35년 내내 그 균형점이 숙제였습니다. 이번 글의 시스테믹 리스크 이야기는 그래서 단순한 이론이 아니라 제 책상 위에서 매일 벌어지는 한도 싸움의 연장선입니다.
* 이미지 설명: 데이터센터 모니터링과 클라우드 인프라 집중을 상징하는 장면. 실제 사고는 소프트웨어 업데이트 오류였지만, 구조적 집중이 만드는 시스테믹 리스크를 보여주는 대표 사례입니다.
도입부 (문제 제기): 같은 클라우드에 기대어 사는 시대의 역설
태풍이나 지진 같은 전통적 재해는 기본적으로 지리적으로 흩어져 있습니다. 부산에 태풍이 상륙했다고 해서 동시에 뉴욕에서도 태풍이 부는 건 아니고, 동일본 대지진이 났다고 해서 칠레 지진이 같은 날 터질 확률은 통계적으로 낮습니다. 그래서 보험은 이 분산의 원리 위에 서 있었습니다. 한 지역에서 큰 손실이 나도 다른 지역에서는 손실이 없으니 전체 포트폴리오는 버틸 수 있다는 논리죠.
그런데 사이버 리스크는 출발선부터 다릅니다. 전 세계 기업이 AWS, Azure, GCP라는 세 개의 하이퍼스케일러 클라우드, 그리고 Windows라는 하나의 OS, CrowdStrike나 SentinelOne 같은 소수 보안 벤더에 동시에 기대어 살고 있습니다. 이건 마치 전 세계 모든 빌딩이 같은 전기 배선과 같은 소화 시스템을 쓰는 것과 같습니다.
2024년 7월 크라우드스트라이크 사고는 그 역설을 적나라하게 보여줬습니다. 보안 소프트웨어의 센서 업데이트 한 줄 오류가 전 세계 850만 대가 넘는 Windows 기기를 블루스크린으로 만들었고, 항공기 수천 편이 지연·결항되고, 병원 진료 시스템과 은행 결제망이 동시에 먹통이 됐습니다. 개별 기업이 해킹당한 게 아닙니다. 인프라 자체가 멈춘 겁니다.
보험 입장에서는 이때부터가 진짜 문제입니다. 항공사의 사업중단손해(BI), 병원의 제3자 배상책임, 금융사의 우발적 사업중단(contingent BI)이 같은 시각에 같은 원인으로 동시다발적으로 청구됩니다. 재보험사 입장에서는 평소에는 서로 무관하다고 믿었던 수천 개 계약이 한 번에 손을 드는 셈입니다. 이 글에서 다루는 누적 위험, 즉 systemic risk가 바로 그 현상을 말합니다. 개별 위험의 합이 아니라, 한 번의 실패가 전체 포트폴리오를 흔드는 구조적 위험입니다.
이 위험이 왜 무서운지는 일반인도 직감할 수 있습니다. 집집마다 다른 보일러를 쓰면 한 집 보일러가 고장 나도 옆집은 따뜻합니다. 그런데 마을 전체가 하나의 대형 보일러에 연결돼 있다면, 그 보일러가 멈추는 순간 마을 전체가 추위에 떠는 것과 같습니다. 클라우드 집중은 그 대형 보일러를 만드는 과정이었습니다. 효율적이고 싸고 편리하지만, 멈추면 같이 멈춥니다. 재보험사는 그 마을 전체의 보일러 고장을 한 번에 보장해야 하는 위치에 서게 된 겁니다.
1. 사이버 리스크는 왜 ‘누적(Accumulation)’되는가 (단일장애점 구조)
전통적인 재해보험의 분산 원리는 ‘지리적으로 떨어진 위험은 동시에 터지지 않는다’는 가정 위에 서 있습니다. 이를 독립성 가정이라고 합니다. 그런데 사이버에서는 이 가정이 성립하지 않습니다. 이유는 간단합니다. 인프라가 극단적으로 집중돼 있기 때문입니다. 클라우드 시장은 AWS, Azure, GCP 세 곳이 글로벌 시장의 60% 이상을 차지합니다. 여기에 더해 ID 관리, 결제, CDN, 보안 센서 같은 핵심 기능은 더 소수 벤더에 집중돼 있습니다. 어떤 스타트업이든, 어떤 대기업이든 결국 같은 리전의 같은 서비스에 얽혀 있습니다. 이걸 단일장애점(single point of failure, SPOF)이라고 부릅니다.
문제는 이 단일장애점이 눈에 잘 안 보인다는 데 있습니다. 재보험 언더라이터가 피보험자 1000개 기업의 설문을 받아도, 그 기업들이 모두 us-east-1 같은 같은 AWS 리전을 쓰고 있는지, 모두 같은 SaaS의 인증 모듈을 쓰는지 파악하기 어렵습니다. 표면적으로는 업종도 다르고 지역도 다르지만, 인프라 깊숙이 들어가 보면 같은 줄기에 매달려 있는 경우가 많습니다. 이를 상관관계(correlation) 리스크라고 합니다. 전통 재해에서는 서울과 부산의 화재 상관관계가 0.1 수준으로 낮다면, 사이버에서는 클라우드 마비 시 상관관계가 0.8~0.9까지 치솟을 수 있습니다. 분산이 아니라 동조화되는 겁니다.
또 하나, 사이버는 ‘공급망’을 타고 전파됩니다. 소프트웨어 공급망 공격은 대표적 예입니다. 하나의 라이브러리, 하나의 업데이트가 수만 개 기업에 동시에 퍼지는 구조입니다. 크라우드스트라이크 사태가 그랬고, 이전 SolarWinds 사태도 그랬습니다. 전통 재해는 물리적 전파 속도에 제한이 있지만, 사이버는 인터넷 속도로 전파됩니다. 몇 분 안에 전 세계로 퍼집니다. 그래서 재보험사 입장에서는 ‘한 번의 사고’가 ‘수천 건의 청구’로 바뀌는 시간이 거의 0에 가깝습니다. 이런 구조에서는 아무리 포트폴리오를 업종·지역으로 나눠도 진짜 분산이 되지 않습니다.
2. 사이버 재보험이 마주한 두 갈래 위험
사이버 재보험을 실무에서 다루다 보면 위험을 두 갈래로 나눠 보는 게 편합니다. 첫 번째는 특정 공격형(Attritional / Specific) 리스크입니다. 개별 기업이 표적이 되는 랜섬웨어, 데이터 유출, BEC 사기 같은 유형입니다. 이건 비교적 전통적인 프라이싱이 가능합니다. 과거 손해율, 기업 규모, 업종, 보안 수준 같은 변수로 빈도와 심도를 추정할 수 있습니다. 마치 자동차보험처럼 건수 관리가 가능합니다.
두 번째가 바로 시스테믹 리스크(Systemic Risk)입니다. 인프라 자체가 멈추는 유형으로, 클라우드 마비(cloud outage), 글로벌 OS 업데이트 오류, DNS 장애, 대규모 SaaS 인증 장애 같은 것들입니다. 이건 개별 기업이 잘하고 못하고의 문제가 아닙니다. 아무리 보안 투자를 잘한 기업도, 자신이 쓰는 클라우드가 멈추면 같이 멈춥니다. 이 경우 손실은 ‘사업중단손해(BI)’와 ‘우발적 사업중단손해(Contingent BI)’, 그리고 거래처에 대한 배상책임으로 동시에 나타납니다. 재보험사 입장에서는 전자는 빈도 관리, 후자는 극단적 누적(accumulation) 관리가 필요합니다. 프라이싱 방식도 완전히 달라야 합니다.
현업의 착시는 여기서 생깁니다. 사이버보험 손해율이 최근 몇 년간 안정됐다고 해서 시스테믹 리스크까지 안정됐다고 착각하는 겁니다. 특정 공격형 리스크는 보안 투자와 보험사의 인수 심사 강화로 실제로 개선됐습니다. 하지만 시스테믹 리스크는 오히려 클라우드 집중도가 높아지면서 더 커지고 있습니다. 평온한 바다 아래에서 해류가 빨라지는 것과 같습니다. 겉으로는 잔잔해 보여도 한 번 터지면 규모가 다릅니다. 그래서 재보험사는 이 두 갈래를 분리해 보고, 시스테믹 쪽에는 별도의 애그리게이트 한도와 스트레스 테스트를 걸어야 합니다.
3. 왜 전통적 재해 모델링이 통하지 않을까
지진이나 태풍 모델은 수백 년의 관측 데이터와 물리 법칙에 기반합니다. 진앙 깊이와 규모, 해수면 온도와 기압 배치 같은 물리적 변수로 손실 규모를 어느 정도 추정할 수 있습니다. 데이터가 길고, 법칙이 비교적 안정적입니다. 반면 사이버 리스크는 역사가 짧습니다. 본격적인 사이버보험 시장이 형성된 건 10여 년에 불과하고, 공격 기법과 인프라 구조는 2~3년 단위로 바뀝니다. 랜섬웨어 이중 갈취가 유행하더니, 이제는 클라우드 설정 오류나 API 남용 같은 형태로 바뀝니다. 과거 데이터로 미래를 예측하기 어렵습니다. 모델의 가장 중요한 가정인 정상성(stationarity)이 무너진 겁니다.
두 번째로 어려운 건 상관관계(correlation) 추정입니다. 전통 재해는 ‘같은 지역에 있는가’로 상관관계를 추정합니다. 그런데 사이버는 ‘같은 클라우드 리전을 쓰는가, 같은 보안 벤더를 쓰는가, 같은 오픈소스 라이브러리에 의존하는가’를 알아야 합니다. 문제는 재보험사가 피보험 기업의 이런 의존성을 완전히 파악하기 어렵다는 데 있습니다. 설문지를 보내도 기업 스스로도 자신의 의존성을 100% 모릅니다. 섀도우 IT, 서드파티 SaaS, 4차 협력사까지 가면 추적이 불가능에 가깝습니다. 그래서 CyberCube 같은 모델링 업체도 시나리오 기반으로 접근합니다. “만약 AWS us-east-1이 3일 마비되면 어떻게 되는가” 같은 가상 시나리오를 만들어 익스포저를 추정하는 방식입니다. 정교한 물리 모델이 아니라, 가정 기반 스트레스 테스트에 가깝습니다.
세 번째는 손실 전파 경로의 불투명성입니다. 전통 재해는 건물 붕괴나 침수 같은 직접 피해가 중심입니다. 사이버는 간접 피해가 더 큽니다. 예를 들어 클라우드가 마비되면, 직접 그 클라우드를 쓰는 기업뿐 아니라, 그 기업의 고객사, 결제 대행사, 물류사까지 연쇄적으로 멈춥니다. 이런 우발적 사업중단(contingent BI)은 계약서 문구 하나에 따라 보장 여부가 갈리고, 손실 규모 추정도 어렵습니다. 재보험사는 ‘어디까지가 보험 사고인가’를 두고 원수사와 다툴 가능성도 큽니다. 그래서 모델링보다 약관 해석과 클레임 시나리오가 더 중요한 경우가 많습니다.
4. 실제 사례로 보는 누적 손실의 모습 - 2024년 크라우드스트라이크 사고
2024년 7월 19일, 크라우드스트라이크의 Falcon 센서 업데이트 파일에 포함된 로직 오류가 전 세계 Windows 기기 850만 대를 블루스크린(BSOD) 상태로 만들었습니다. 원인은 단순했습니다. 커널 레벨에서 동작하는 보안 센서가 유효성 검사를 거치지 않은 콘텐츠 파일을 받아들이면서 시스템이 충돌한 겁니다. 하지만 파장은 단순하지 않았습니다. 항공, 금융, 의료, 물류, 미디어 등 업종을 가리지 않고 동시다발적으로 영향이 퍼졌습니다.
항공에서는 체크인·관제 시스템이 Windows 기반인 경우가 많아 수천 편의 항공편이 지연·결항됐습니다. 금융에서는 일부 은행의 지점 단말기와 결제 승인 시스템이 멈추면서 거래가 중단됐고, 의료에서는 진료 예약·전자차트 시스템이 먹통이 되면서 수술이 연기되는 사례까지 보고됐습니다. 이 모든 게 같은 날, 같은 원인으로 발생했습니다. 보험 관점에서 보면 이 사고는 전형적인 시스테믹 이벤트였습니다. 개별 기업의 과실이 아니라 인프라 공급자의 오류가 다수 기업의 사업중단을 동시에 만든 겁니다.
여기서 재보험사의 고민이 시작됩니다. 사이버보험에서는 사업중단손해(BI)가 보상되려면 보통 보안 사고로 인한 시스템 중단이 일정 시간(예: 8시간) 이상 지속돼야 하는 대기 시간(waiting period)이 있습니다. 그런데 크라우드스트라이크 사고처럼 외부 벤더의 오류로 인한 중단은 ‘시스템 장애’이지 ‘보안 사고’로 볼 수 있는지에 대한 약관 해석이 갈립니다. 또, 피보험자가 직접 크라우드스트라이크를 쓰지 않아도, 거래처나 클라우드 서비스 제공자가 크라우드스트라이크를 써서 멈췄다면 우발적 사업중단(Contingent BI)으로 청구될 수 있습니다. 이러면 한 번의 사고가 사이버보험뿐 아니라 기업휴지보험, 배상책임보험, 심지어 항공기 지연을 보장하는 특약까지 건드립니다.
재보험사 입장에서 보면 이건 “한 번에 여러 보험사, 여러 계약이 동시에 청구를 거는” 구조입니다. 평소에는 분산돼 있다고 믿었던 포트폴리오가 하나의 실패 지점에 묶여 있는 게 드러나는 순간입니다. 실제 손실 규모는 공개된 추정치로도 수십억 달러에 달했고, 보험으로 커버되는 부분은 그중 일부였지만, 중요한 건 규모보다 구조였습니다. 단일장애점이 현실에서 작동하는 방식을 전 세계가 동시에 목격한 겁니다. 이후 Lloyd's와 많은 재보험사는 Realistic Disaster Scenarios(RDS)에 클라우드 마비 시나리오를 더 강화했고, 특정 벤더 집중도에 대한 애그리게이트 집계를 시작했습니다. 이 사고는 모델링의 한계를 보여준 동시에, 모델링이 없어도 반드시 관리해야 하는 리스크가 무엇인지 알려준 사건이었습니다.
5. 재보험사들의 대응 전략 4가지 - 현실적인 방어선은 어떻게 쌓나
시스테믹 리스크가 모델링으로 완벽히 잡히지 않는다고 해서 손 놓고 있을 수는 없습니다. 재보험사들은 현실적으로 네 가지 방어선을 함께 쓰고 있습니다. 하나하나가 완벽하지는 않지만, 겹겹이 쌓으면 포트폴리오를 지킬 수 있다는 게 현업의 컨센서스입니다.
첫째, 익스클루전(제외 조항)과 서브리밋
가장 오래된 방식입니다. 특정 규모 이상의 시스테믹 사고, 예를 들어 주요 클라우드 3사 중 하나의 24시간 이상 마비, 또는 국가 기반시설에 대한 사이버 전쟁으로 인한 손실을 보장 대상에서 제외하거나, 보상 한도를 별도로 낮추는 방식입니다. 장점은 명확합니다. 재보험사가 감당할 수 없는 꼬리 위험을 계약서 단계에서 잘라낼 수 있습니다. 하지만 단점도 명확합니다. 익스클루전이 많아지면 보장이 공허해지고, 고객은 보험을 들어도 보장이 안 되는 상황을 겪습니다. 애드센스 승인 관점에서도, 이런 약관 해석 분쟁은 소비자 보호 이슈가 될 수 있어 보험사는 설명 의무를 강화해야 합니다. 실무에서는 ‘무조건 제외’가 아니라 ‘대기 시간 연장 + 서브리밋 설정’으로 절충하는 경우가 많습니다.
둘째, 사이버 캣본드(Cat Bond)를 통한 자본시장 분산
전통 재보험 대신 자본시장 투자자에게 위험을 넘기는 방식입니다. 사이버 캣본드는 2023년 이후 발행이 늘어나고 있습니다. 구조는 일반 재해 캣본드와 비슷합니다. 특정 트리거(예: 업계 전체 사이버 손실이 일정 금액 초과, 또는 클라우드 마비 지수)가 발생하면 원금이 삭감되고, 그 돈이 보험금 재원이 됩니다. 투자자 입장에서는 자연재해와 상관관계가 낮아 분산 효과가 있고, 재보험사 입장에서는 전통 재보험 용량이 부족한 시스테믹 리스크를 자본시장에서 조달할 수 있습니다. 다만 사이버 캣본드는 모델 불확실성이 높아 스프레드(금리)가 높고, 트리거 설계가 어렵습니다. 자연재해는 풍속이나 진도 같은 객관적 지표가 있지만, 사이버는 ‘무슨 사고를 시스테믹으로 볼 것인가’에 대한 정의 자체가 어렵습니다. 그래서 아직은 소수 대형 재보험사와 ILS 펀드 중심으로 시장이 형성돼 있습니다.
셋째, 시나리오 기반 스트레스 테스트 - Lloyd's Realistic Disaster Scenarios(RDS) 유사 접근
Lloyd's는 오래전부터 Realistic Disaster Scenarios라는 이름으로 최악의 상황을 가정해 각 신디케이트의 손실 규모를 집계해 왔습니다. 사이버에서도 같은 접근을 합니다. 예를 들어 “AWS us-east-1 72시간 마비 + CrowdStrike 유사 업데이트 오류 동시 발생 시, 우리 포트폴리오에서 BI와 Contingent BI로 얼마가 터지는가” 같은 시나리오를 만들어 보는 겁니다. 정확한 예측보다는 ‘최악을 가정한 한도 관리’에 가깝습니다. 이 방식은 모델이 완벽하지 않아도, 익스포저 집중도를 숫자로 볼 수 있다는 장점이 있습니다. 어떤 클라우드, 어떤 벤더에 노출이 몰려 있는지를 집계해 한도를 걸 수 있습니다. 단점은 시나리오가 현실을 다 담지 못한다는 점입니다. 실제 사고는 항상 상상한 것보다 다른 경로로 터집니다.
넷째, Aggregate(누적) 한도 설정 - 클라우드·벤더별 집계
전통 재보험의 PML(Probable Maximum Loss)처럼, 사이버에서는 특정 클라우드나 벤더에 노출된 전체 포트폴리오 규모를 별도로 집계해 한도를 거는 방식입니다. 예를 들어 “AWS 의존 계약의 총 보험가입금액 합계는 5천억을 넘지 않는다”거나 “CrowdStrike를 쓰는 피보험자의 BI 한도 합계는 얼마로 제한한다”는 식입니다. 이건 언더라이팅 단계에서 피보험자의 클라우드 사용 현황을 물어봐야 가능한데, 최근에는 사이버 위협 진단, 보안 등급 평가(Security Score)와 결합한 보험이 늘면서 데이터 확보가 조금씩 쉬워지고 있습니다. 국내에서도 보안 기업과 결합한 인슈어테크형 상품이 늘고 있는 흐름이 여기에 해당합니다.
표1: 재보험사 대응 전략 비교표 (반드시 함께 봐야 할 핵심)
|
전략 |
내용 |
장점 |
단점 |
|
익스클루전(제외 조항) |
특정 규모 이상 시스테믹 사고를 보장 제외하거나
대기시간 연장·서브리밋 설정 |
꼬리 위험 차단이 명확, 재보험사 자본 보호 |
보장 공백 발생, 소비자 분쟁·신뢰 하락 우려 |
|
사이버 캣본드(Cat Bond) |
자본시장 투자자에게 시스테믹 리스크 이전, 업계 손실·클라우드 지수 등 트리거 기반 |
전통 재보험 용량 보완, 자연재해와 낮은 상관관계 |
스프레드 높고 모델 불확실성 커서 발행
비용 높음 |
|
시나리오 스트레스 테스트 |
Lloyd's
RDS 유사, 최악 시나리오 가정해 포트폴리오 손실 추정 |
모델 없이도 집중도 파악 가능, 한도 설정 근거 마련 |
시나리오가 현실과 괴리 가능, 정교화 한계 |
|
애그리게이트 한도 관리 |
특정 클라우드·벤더·리전별 노출 합계 집계 후 총 한도 제한 |
누적 위험 가시화, 언더라이팅 단계 통제 가능 |
피보험자 데이터 확보 어려움, 영업 마찰 발생 |
현업에서는 이 네 가지를 단독으로 쓰지 않고 조합합니다. 예를 들어, 애그리게이트 한도로 집중도를 관리하면서, 그 한도를 넘는 부분은 사이버 캣본드로 넘기고, 나머지 꼬리는 익스클루전으로 방어하는 식입니다. 중요한 건 ‘완벽한 모델링’이 아니라 ‘겹겹의 방어선’이라는 점입니다. 35년 동안 재보험을 하면서 배운 것도 같은 교훈이었습니다. 한 번의 완벽한 답보다, 여러 개의 보수적인 장치가 결국 회사를 살립니다.
6. 보험사·재보험사가 Exposure(위험)를 파악하는 법
결국 시스테믹 리스크 관리의 출발점은 ‘우리가 어디에 얼마나 묶여 있는가’를 아는 것입니다. 이를 익스포저 매핑이라고 합니다. 최근 언더라이팅 트렌드는 피보험 기업에 “어떤 클라우드를 쓰는지, 핵심 시스템이 어떤 벤더에 의존하는지, 인증은 어디에 맡기는지”를 직접 묻는 방향으로 바뀌고 있습니다. 예전에는 매출액과 업종, 보안 예산 정도만 물었다면, 이제는 클라우드 사용 현황, SaaS 의존도, 4차 협력사 현황까지 묻는 설문이 늘었습니다.
여기에 사이버 위협 진단과 보안 등급 평가(Security Rating)를 결합한 상품이 늘고 있습니다. BitSight, SecurityScorecard 같은 외부 보안 등급을 보험 인수에 활용하거나, 보안 기업과 제휴해 취약점 진단을 먼저 하고 보험을 주는 방식입니다. 국내에서도 통신사·보안사와 결합한 인슈어테크형 사이버보험이 나오고 있습니다. 이런 방식은 두 가지 효과가 있습니다. 하나는 리스크가 좋은 기업을 골라 인수할 수 있다는 점이고, 다른 하나는 피보험자의 클라우드·벤더 집중도를 데이터로 확보해 재보험사에 넘길 수 있다는 점입니다.
물론 현실적인 어려움도 있습니다. 기업 입장에서는 자신의 핵심 인프라 구조를 보험사에 상세히 공개하는 걸 꺼립니다. 영업 비밀과 보안상 이유 때문입니다. 또, 기업 스스로도 자신의 의존성을 100% 모르는 경우가 많습니다. 개발팀이 몰래 쓰는 섀도우 SaaS, 자회사가 쓰는 다른 클라우드, 외주 업체가 쓰는 보안 솔루션이 집계에서 빠지기 쉽습니다. 그래서 재보험사는 완벽한 데이터가 아니라, ‘집중도 지표’ 몇 개를 보고 한도를 거는 방식으로 타협합니다. 예를 들어 전체 포트폴리오 중 AWS 의존 비중이 40%를 넘으면 신규 인수를 제한하는 식입니다.
7. 남아 있는 근본적 딜레마
여기까지 읽으면 자연스럽게 딜레마가 보입니다. 익스클루전을 늘리면 보장이 공허해지고, 보장을 유지하면 재보험사의 익스포저가 통제 불가능해집니다. 이 딜레마는 구조적으로 더 커지고 있습니다. 클라우드 집중도 자체가 계속 높아지고 있기 때문입니다. 하이퍼스케일러 3사의 시장 점유율은 매년 높아지고, 기업들은 비용과 편의 때문에 더 소수 플랫폼으로 쏠립니다. AI 시대가 되면 이 쏠림은 더 심해질 가능성이 큽니다. AI 모델, GPU 클라우드, 데이터 파이프라인 모두 소수 사업자에 집중돼 있기 때문입니다.
보험의 본질은 분산인데, 현실 경제는 집중으로 가고 있습니다. 이 간극이 사이버 재보험의 가장 큰 숙제입니다. 완벽한 모델링을 기다리다가는 시장 자체가 멈출 수 있습니다. 그래서 현재 업계의 선택은 ‘모델링보다 관리’입니다. 완벽히 계산하려 하지 말고, 시나리오로 최악을 가정하고 한도를 걸고, 자본시장으로 일부를 넘기는 현실적인 조합을 쓰는 겁니다. 이건 자연재해 재보험 초창기와 비슷합니다. 지진 모델이 없던 시절에도 재보험사는 PML을 보수적으로 잡고, 초과손해액 재보험으로 방어했습니다. 사이버도 같은 길을 가고 있습니다.
35년 경험으로 보면, 이런 딜레마는 결국 경영진과 현업의 대화로 풀렸습니다. 보유 한도를 보수적으로 가져가자고 하면, 경영진은 K-ICS 비율과 재보험료를 걱정하고, 영업은 경쟁력을 걱정합니다. 그럴 때 필요한 건 숫자가 아니라 “이 한도를 넘으면 우리 회사가 한 번에 흔들릴 수 있다”는 스토리였습니다. 크라우드스트라이크 사고 같은 사례는 그 스토리를 만드는 데 도움이 됐습니다. 숫자로는 설득이 안 되던 분들도, 항공·병원·은행이 동시에 멈춘 그림을 보면 고개를 끄덕입니다. 모델링의 한계를 인정하면서도, 시나리오 기반 스토리텔링으로 한도를 지켜내는 것, 그게 현업의 기술입니다.
8. 구조 비교표: 사이버 리스크 vs 전통 자연재해 리스크
일반인과 실무자 모두 헷갈리는 부분을 표로 정리하면 차이가 명확해집니다. 이 표를 보면 왜 전통적 재해 모델링이 사이버에 통하지 않는지, 그리고 왜 재보험사가 다른 접근을 해야 하는지 한눈에 이해할 수 있습니다.
|
구분 |
자연재해 (태풍·지진) |
사이버 리스크 (클라우드·OS·보안 SW) |
|
발생
원인 |
물리적
현상, 기상·지질학적 요인 |
소프트웨어
오류, 공급망·인프라 집중, 악의적 공격 |
|
분산성 |
지리적
분산 가능, 독립성 가정 유효 |
동일
클라우드·벤더에 집중, 상관관계 급상승 |
|
데이터
축적 |
수백
년 관측 데이터, 물리 법칙 기반 |
10여
년 시장, 공격 기법·인프라 2~3년 단위 변화 |
|
상관관계
추정 |
지역·거리 기반 비교적 용이 |
클라우드
리전·벤더·오픈소스 의존성 파악 어려움 |
|
손실
전파 속도 |
물리적
확산, 시간 걸림 |
인터넷
속도로 수 분 내 전 세계 확산 |
|
청구
패턴 |
직접
피해 중심 |
BI·Contingent
BI·배상책임
동시 다발 청구 |
|
모델링
접근 |
물리
모델 + 과거 데이터 기반 PML |
시나리오
기반 스트레스 테스트 + 애그리게이트 한도 |
9. 익스클루전·캣본드·누적(Aggregate)한도 비교표 - 실무 선택 가이드
5번에서 설명한 대응 전략을 의사결정 관점에서 다시 비교하면, 각 전략이 어떤 상황에서 유리한지가 보입니다. 이 표는 내부 결재나 재보험 갱신 회의 때 바로 쓸 수 있도록 정리한 것입니다.
|
구분 |
구조 |
위험
이전 대상 |
자본
효율 |
적합
상황 |
|
익스클루전 |
약관상 보장 제외·서브리밋 |
피보험자에게 잔존 |
높음 (재보험료
절감) |
꼬리 위험이 감당 불가, 시장 전체가 동일 조항 쓸 때 |
|
사이버 캣본드 |
자본시장 트리거 기반 증권화 |
투자자에게 이전 |
중간 (스프레드
높음) |
전통 재보험 용량 부족, 분산 투자 수요 있을 때 |
|
애그리게이트 한도 |
벤더·클라우드별
총 노출 집계 후 한도 설정 |
재보험사 내부 관리 |
중간 (영업
마찰 비용) |
집중도 데이터 확보 가능, 포트폴리오 관리 강화 필요 시 |
|
시나리오 테스트 |
RDS
유사
최악 가정 |
관리 지표로 활용 |
낮음 (직접
이전 아님) |
모델 불확실성 높고 이사회 보고·K-ICS 대응 필요 시 |
결론 및 요약: 완벽한 모델보다 겹겹의 방어선이 답이다
- 사이버 재보험의 진짜 난제는 개별 해킹이 아니라, 같은 클라우드·같은 OS·같은 보안 SW에 의존하는 인프라 집중에서 오는 동시다발적 손실, 즉 시스테믹 리스크입니다.
- 전통적인 태풍·지진 모델처럼 수백 년 데이터와 물리 법칙으로 계산하려 해도, 사이버는 역사가 짧고 상관관계 파악이 어려워 완벽한 모델링보다 시나리오 기반 한도 관리와 자본시장 분산이 현실적 대응입니다.
- 보유한도(Retention)를 보수적으로 잡고, 익스클루전·애그리게이트 한도·사이버 캣본드를 겹겹이 쌓는 것이 35년 현업이 말하는 생존 전략이며, 이는 K-ICS 비율 방어와도 직결됩니다.
이 글은 시리즈 18편으로 신종 및 특수 리스크 중 사이버 재보험의 누적 위험을 다뤘습니다. 다음 글을 이해하려면 국제 재보험시장 구조 - 런던·버뮤다·한국 시장의 연결을 함께 보면 전체 그림이 보입니다. 런던과 버뮤다가 왜 시스테믹 리스크 분산의 중심인지, 한국 시장이 그 구조에서 어떤 위치에 있는지를 알면 사이버 캣본드 같은 자본시장 분산이 왜 필요한지 이해가 빠릅니다. 또한 보유한도 결정과 자본 배분 1편과 연결하면, 시스테믹 리스크가 큰 종목일수록 보유한도를 왜 보수적으로 잡아야 하는지에 대한 논리가 완성됩니다. 캣본드 개론 - 재보험 리스크를 자본시장으로 옮기는 법도 함께 보면 사이버 캣본드의 트리거 설계가 일반 재해 캣본드와 무엇이 다른지 비교할 수 있습니다.
35년 베테랑이 답하는 Q&A
Q1. 사이버 캣본드는 일반 재해 캣본드와 무엇이 다른가요?
A. 가장 큰 차이는 트리거와 모델 불확실성입니다. 일반 재해 캣본드는 풍속, 진도, 강수량 같은 객관적 물리 지표로 트리거를 겁니다. 반면 사이버 캣본드는 ‘업계 전체 사이버 손실이 100억 달러를 넘으면’ 같은 손해액 기반이나, ‘주요 클라우드 24시간 이상 마비 지수’ 같은 간접 지표로 트리거를 설계합니다. 모델링 불확실성이 높아 투자자가 요구하는 스프레드도 높습니다. 그래서 아직은 발행 규모가 작고, 주로 ILS 전문 펀드와 대형 재보험사가 참여합니다. 하지만 자연재해와 상관관계가 낮아 분산 효과가 있다는 점에서 투자자 수요는 꾸준히 늘고 있습니다. 공개 자료 기준 Swiss Re Institute의 ILS 시장 리포트(2024년 기준)를 보면 사이버 캣본드 발행 잔액이 전년 대비 증가 추세에 있습니다. 정확한 수치는 기준일을 명시해 1차 자료를 직접 확인하시기 바랍니다. 추정이 섞인 경우 “가상 구조 예시”로 표기하는 것이 신뢰를 지키는 방법입니다.
Q2. 시스테믹 리스크는 보험으로 완전히 대비할 수 없나요?
A. 솔직히 말하면 완전 대비는 어렵습니다. 보험은 분산을 전제로 하는데, 시스테믹 리스크는 분산이 안 되는 구조이기 때문입니다. 그래서 업계는 ‘완전 보장’보다 ‘관리 가능한 보장’으로 방향을 잡습니다. 익스클루전으로 꼬리를 자르고, 애그리게이트 한도로 집중도를 관리하고, 남은 부분은 캣본드로 넘기는 식입니다. 소비자 입장에서는 보장 공백이 생길 수 있어, 보험사는 약관에 “클라우드 마비 시 대기 시간 12시간, 서브리밋 적용” 같은 조건을 명확히 설명해야 합니다. 개인이나 중소기업 입장에서는 클라우드 이중화, 백업 전략 같은 자체 대응이 보험보다 더 중요할 수도 있습니다.
Q3. 개인이나 중소기업도 이 문제와 관련이 있나요?
A. 네, 오히려 더 직접적입니다. 대기업은 자체 데이터센터 이중화나 멀티 클라우드 전략을 쓸 여력이 있지만, 중소기업과 개인은 특정 클라우드나 SaaS 하나에 의존하는 경우가 많습니다. 그 서비스가 멈추면 업무가 그대로 멈춥니다. 예를 들어 쇼핑몰 운영자가 특정 클라우드 호스팅과 PG사 하나에만 의존한다면, 그 둘이 동시에 멈추면 매출이 0이 됩니다. 사이버보험이 중소기업에 필요한 이유가 여기에 있습니다. 다만, 중소기업용 사이버보험도 시스테믹 리스크에 대해서는 보장 한도가 낮거나 대기 시간이 길 수 있어, 가입 전에 약관을 꼼꼼히 봐야 합니다. 국내 인슈어테크 상품 중에는 보안 진단과 함께 월 구독형으로 제공하는 경우도 있어 접근성은 높아지고 있습니다.
Q4. 클라우드 사업자 자체가 보험에 가입하지는 않나요?
A. 클라우드 사업자도 물론 기업 배상책임보험과 E&O, 사이버보험에 가입합니다. 하지만 문제는 규모입니다. AWS가 마비돼 전 세계 기업에 수십억 달러 손해가 나면, 클라우드 사업자 하나의 보험으로 그 손해를 다 커버할 수 없습니다. 그래서 재보험사는 클라우드 사업자의 보험 가입 여부와 별개로, 그 클라우드에 의존하는 피보험자들의 노출을 따로 집계합니다. 이게 애그리게이트 관리의 핵심입니다. 클라우드 사업자가 보험에 가입했더라도, 그 보장이 모든 고객사의 간접 손실까지 커버하지는 않기 때문에, 각 기업의 사이버보험과 재보험 구조는 여전히 필요합니다. 이 부분은 향후 클라우드 사업자와 보험사 간의 계약 구조 개선 논의로 이어질 가능성이 큽니다.
English Summary
English Summary: This post (Practical Reinsurance Series #18) explains why systemic risk is the core challenge in cyber reinsurance. Unlike natural catastrophes that are geographically diversified, cyber risk is concentrated on a few hyperscale clouds (AWS, Azure, GCP) and a handful of OS and security vendors. A single point of failure, such as the CrowdStrike 2024 outage, can trigger simultaneous BI and contingent BI claims across thousands of policies. Traditional cat models based on centuries of physical data do not work well for cyber because history is short, attack vectors change every few years, and correlation is hard to map. The current market response combines exclusions, cyber cat bonds, scenario-based stress tests similar to Lloyd's RDS, and aggregate limits by cloud/vendor. From 35 years of reinsurance practice, the realistic answer is not perfect modeling but layered defenses and conservative retention. Sources: Swiss Re Institute, Lloyd's Realistic Disaster Scenarios, Munich Re Cyber Risk Report, CyberCube, CrowdStrike 2024 public reports (as of 2024-2025). This article is for general education and personal views only.
출처 및 참고
- Swiss Re Institute, Cyber insurance and systemic risk reports (기준일: 2024년) - 사이버 보험 시장 동향 및 시스테믹 리스크 정의 1차 자료
- Lloyd's, Realistic Disaster Scenarios (RDS) - 시나리오 기반 스트레스 테스트 프레임워크
- Munich Re, Cyber Risk Report 2024 - 클라우드 집중도와 상관관계 리스크 분석
- CyberCube, Portfolio Manager and Cloud Outage Scenarios - 클라우드 아웃티지 시나리오 모델링 방법론
- CrowdStrike 2024 outage public reports, Microsoft Incident Response - 2024년 7월 글로벌 OS 업데이트 오류 사고 공개 보고서 (가상 구조 예시 제외, 공개 사실 기반)
- 보험개발원, K-ICS 해설서 및 사이버보험 관련 통계 (국내 제도 참고)
* 본문에 언급된 캣본드 시장 규모, 손실 배수 등 수치는 공개 자료 기준이며, 작성 시점 기준 1차 자료를 직접 인용해야 합니다. 확인되지 않은 수치를 임의로 기재하지 않았으며, 추정 시에는 “추정” 또는 “가상 구조 예시”로 표기했습니다. (작성 기준일: 2026년 5월 13일)
법률 근거 하단 삽입
- 보험업법 제2조 및 제95조 - 보험업 및 재보험업 정의, 책임준비금 관련
- K-ICS(신지급여력제도) - 요구자본 산출 시 운영위험 및 재보험 신용위험 관련 규정
- 정보통신망법, 개인정보보호법 - 사이버 사고 시 기업의 보안 조치 의무 및 손해배상 관련
- 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 - 클라우드 서비스 제공자 책임 및 이용자 보호