2026년 사이버보험 시장: 500억 달러 돌파와 구조 전환

2026년 글로벌 사이버보험 직접보험료(GWP)는 처음으로 500억 달러를 돌파했다. Munich Re의 Cyber Insurance Risks and Trends 2026 리포트는 2025년 GWP 469억 달러에서 2026년 약 510억 달러, 2030년 1,200억 달러를 전망한다. 2020-2022년 랜섬웨어 폭증으로 비싸진 hard market은 2024년 하반기부터 soft market으로 전환되었고, 2026년에는 SME 시장에서 평균 보험료가 전년 대비 8-12% 하락했다. 하지만 동시에 약관은 더 엄격해졌다. 이 글은 글로벌·한국·일본 12개 주요 보험사를 실전 약관과 함께 비교한다.

사이버보험이 다루는 5가지 보장 영역

사이버보험은 단일 상품이 아니라 다음 5가지 모듈의 조합이다. 첫째, 1st-party loss(자기손해)로 데이터 복구 비용, 사업 중단(Business Interruption), 디지털 자산 손상. 둘째, 3rd-party liability(배상책임)로 데이터 유출 피해자에 대한 손해배상, 규제 벌금. 셋째, ransomware response로 협상가·복구·암호화폐 지불. 넷째, breach response services(IR·법률·PR·고객 통지). 다섯째, cyber crime(BEC, social engineering fraud, computer fraud). 2026년 핵심 차별화 포인트는 cyber crime 보장과 ransomware 지불 보장 여부, 그리고 active monitoring 부속 서비스의 품질이다.

Lloyd's 2023 국가지원 사이버 면책: 시장 재정의

2023년 3월 31일부터 Lloyd's of London은 Market Bulletin Y5381에 따라 모든 standalone 사이버 정책에 국가지원 사이버 공격(state-backed cyber attack) 면책 조항을 의무화했다. LMA 5564-5567 시리즈가 그 표준 문구다. 핵심은 "주권국가의 안보·국방·작전 기능에 중대한 영향을 미친 사이버 작전"은 보장하지 않는다는 것. 2017년 NotPetya 사건에서 Merck 사가 14억 달러를 청구해 Ace American과 Mondelez vs Zurich 케이스가 줄줄이 터진 직후 만들어진 조항이다. 2024년 Mondelez vs Zurich는 비공개 화해로 종결되었지만 시장에 던진 메시지는 명확했다.

lmm-5564-cyber-war-exclusion.yaml — Lloyd's Market Association 표준 약관 요약

exclusion_name: 'Cyber Operation in the Course of War or Cyber Operation'

clause_id: 'LMA5564'

effective_date: '2023-03-31'

applies_to:

- standalone_cyber_policy

- cyber_endorsement_to_property

core_definitions:

cyber_operation: |

The use of a Computer System by, at the direction of, or under the control

of a State to disrupt, deny, degrade, manipulate or destroy information

in a Computer System of or in another State.

war: |

Use of physical force by a State against another State, whether or not

war has been declared.

trigger_attribution:

- government_attribution_in_affected_state_takes_precedence

- reasonable_inference_from_objective_evidence

- lloyds_specific_attribution_service_acceptable

carve_backs:

- bystander_cyber_operations_below_material_threshold

- non_state_actor_attacks_not_directed_by_state

material_impact_test:

- significant_state_function_impairment

- critical_national_infrastructure_compromise

이 약관의 실무적 충격은 두 가지다. 첫째, attribution(공격자 귀속)이 보장 여부를 좌우하므로 정부 기관(NCSC, CISA)의 공식 attribution이 약관 분쟁의 핵심 증거가 된다. 둘째, NotPetya, Wannacry, Mondelez 같은 historical 케이스를 2026년 약관으로 다시 본다면 대부분 면책이다. 보험사는 이 면책을 무기로 가격을 다시 안정시켰다.

Chubb Cyber Enterprise Risk Management: 시장 1위의 무기

Chubb는 2026년 글로벌 사이버보험 시장점유율 약 13%로 1위다. 주력 상품은 Cyber Enterprise Risk Management(Cyber ERM)와 중소기업용 DigiTech ERM이다. 차별점은 (1) Mandiant 인수(Google Cloud) 이전부터 보유한 자체 incident response 패널, (2) Risk Engineering Services로 가입 전 무료 보안 평가, (3) Reputational Harm Loss로 브랜드 가치 손실까지 보장한다는 점이다. 약점은 보험료가 시장 평균 대비 15-20% 비싸다는 것. 2024년 Change Healthcare 사건 때 UnitedHealth Group의 사이버 청구를 가장 빠르게 처리해 시장 신뢰를 회복했다.

Chubb Cyber ERM 2026 표준 보장 구조 (US 기준)

Coverage Module Default Limit Sub-limit Caveats

--------------------------------- ------------------ ----------------------------

1st-party Data Recovery Full Policy Limit Hardware bricking excluded

Business Interruption (income) Full Policy Limit 72hr waiting period

Contingent BI (vendor outage) $5M sublimit Named vendors only

Cyber Extortion / Ransomware 80% of Policy OFAC compliance required

Reputational Harm Loss $2M sublimit 12mo measurement window

Bricking (hardware replacement) $1M sublimit Diagnostic report required

Funds Transfer Fraud (BEC) $250K sublimit Voice verification waiver

3rd-party Privacy Liability Full Policy Limit GDPR fines via insurable jx

3rd-party Network Security Full Policy Limit War exclusion LMA5564

Regulatory Defense & Penalties $1M sublimit Where insurable by law

PCI-DSS Assessments / Fines Full Policy Limit Compromise must trigger

Media Liability $1M sublimit Owned media only

AIG CyberEdge: 글로벌 distribution과 PROACTIVE 서비스

AIG의 CyberEdge는 1999년 시작된 사이버보험 시장의 원조 격이다. 2026년 시장 점유율 약 8%로 Chubb 다음이고, 다국적 기업 대상 글로벌 마스터 정책 처리에 강점이 있다. CyberEdge는 (1) eRiskHub 포털로 가입자에게 IR 플레이북·정책 템플릿·교육 콘텐츠 제공, (2) PROACTIVE 부속 서비스로 dark web monitoring과 phishing simulation 무료 제공, (3) Cyber-One 단일 정책으로 1st/3rd party 통합. 단점은 large account에 편중되어 SME 대상 가격은 Coalition 같은 신생사 대비 비싸다. 2024년 AIG는 사이버 사업부의 일부를 Stone Point Capital과 합작으로 Cinven에 매각하며 Talbot Underwriting을 분사시켰는데, 시장은 이를 사이버 리스크 통제 의도로 해석했다.

Beazley Cyber: Breach Response의 원조

Beazley는 Lloyd's 신디케이트 출신의 사이버보험 전문 보험사로, 2026년 미국 SME-Mid market에서 시장 점유율 약 10%다. Beazley의 결정적 차별점은 2009년 출시한 Beazley Breach Response(BBR)다. BBR은 사고 발생 시 (1) Beazley 자체 직원이 사고를 관리, (2) 사전 협상된 IR 파트너(Mandiant, CrowdStrike, Coveware) 자동 호출, (3) 통지 비용은 한도 외 별도 보장, (4) 7,000건 이상의 실 사고 데이터 기반 플레이북. 2023-2025년 Beazley의 사이버 손해율(loss ratio)은 약 55-65%로 시장 평균보다 낮은 편이라 가격 경쟁력도 유지한다.

beazley_bbr_response_workflow.py — BBR 사고 대응 플로우 의사코드

from datetime import datetime, timedelta

class BBRIncidentResponse:

"""Beazley Breach Response 표준 대응 워크플로 (2026 v7)."""

SLA_FIRST_CONTACT_HOURS = 1

SLA_IR_VENDOR_ONSITE_HOURS = 4

SLA_COUNSEL_ENGAGEMENT_HOURS = 2

def __init__(self, policy):

self.policy = policy

self.timeline = []

self.vendor_panel = {

'forensics': ['Mandiant', 'CrowdStrike', 'Kroll'],

'counsel': ['Mullen Coughlin', 'BakerHostetler', 'Lewis Brisbois'],

'pr': ['Edelman', 'Sard Verbinnen'],

'ransomware_negotiator': ['Coveware', 'GroupSense'],

}

def notify(self, incident_type, detected_at):

self.timeline.append(('insured_notice', datetime.utcnow()))

SLA: 1시간 내 Beazley breach manager 배정

bm = self.assign_breach_manager(incident_type)

SLA: 2시간 내 외부 법률 자문 engaged

counsel = self.engage_counsel(incident_type)

SLA: 4시간 내 forensic vendor onsite

forensics = self.dispatch_forensics(incident_type)

return {

'breach_manager': bm,

'counsel': counsel,

'forensics': forensics,

'sla_clock_started_at': detected_at,

'first_response_deadline': detected_at + timedelta(hours=1),

}

def assign_breach_manager(self, incident_type):

사고 유형별 전담 BM 배정 — ransomware/BEC/data exfil/insider

return f'BM_{incident_type}_{hash(incident_type) % 50}'

Coalition: Active Insurance 패러다임

Coalition은 2017년 샌프란시스코에서 Joshua Motta(전 CIA·Goldman)와 John Hering(전 Lookout)이 창업한 cyber MGA(Managing General Agent)다. 2024년 Series F에서 35억 달러 valuation을 받았고, 2026년 미국 SME 사이버보험 점유율은 약 11%로 단일 채널 기준 1위다. Coalition의 핵심은 "Active Insurance" 패러다임이다. 가입자의 외부 공격면을 24/7 모니터링하고, 알려진 취약점이나 노출된 자산을 발견하면 (1) 가입자에게 무료 알림, (2) 자체 Coalition Incident Response(CIR) 팀이 원격 패치 권장, (3) 가입 전·후 zero-day 알림 시 무료 평가. 약점은 capacity가 제한적이라 hard limit를 넘기는 enterprise 계약은 어렵다는 점.

coalition_rating_engine.py — Active Insurance 가격 결정 의사코드

2026년 Coalition Risk Platform 기반 (재구성)

def coalition_premium_quote(applicant):

"""

Coalition의 active rating은 정적 questionnaire가 아니라

실시간 external scan 결과를 즉시 가격에 반영한다.

"""

base_rate = applicant.revenue * 0.0008 # 0.08% of revenue

multiplier = 1.0

scan = run_external_scan(applicant.domains, applicant.ip_ranges)

1. Email security (DMARC + SPF + DKIM)

if not scan.dmarc_quarantine_or_reject:

multiplier *= 1.35

if scan.spf_softfail_only:

multiplier *= 1.10

2. MFA 적용 — Coalition은 RDP/VPN/admin MFA를 별도 검증

if scan.exposed_rdp_without_mfa:

multiplier *= 1.75 # 가입 거절 직전

if not scan.mfa_on_o365_admin:

multiplier *= 1.40

3. EDR — CrowdStrike/SentinelOne/MS Defender for Endpoint

if applicant.attested_edr in {'crowdstrike', 'sentinelone', 'mde-p2'}:

multiplier *= 0.85

4. Backup — 오프사이트 + immutable

if applicant.backup_immutable and applicant.backup_offsite:

multiplier *= 0.90

5. CVE exposure — KEV 카탈로그 매치

kev_hits = scan.cve_matches_against_cisa_kev()

multiplier *= (1.0 + min(kev_hits * 0.05, 0.50))

6. Industry — healthcare/finance는 base load 상승

industry_loads = {'healthcare': 1.20, 'finance': 1.15, 'manufacturing': 1.05}

multiplier *= industry_loads.get(applicant.industry, 1.0)

return round(base_rate * multiplier, 2)

Resilience Cyber: Cyber Risk Quantification 우선

Resilience는 2016년 창업해 2022년 Series D에서 16억 달러 valuation을 받은 MGA다. 차별점은 cyber risk quantification(CRQ)을 보험과 통합한 것. 가입자에게 FAIR(Factor Analysis of Information Risk) 모델 기반 정량적 위험 평가를 제공하고, "이 통제를 도입하면 보험료가 얼마 떨어지고 ALE(Annualized Loss Expectancy)가 얼마 감소하는지"를 대시보드로 보여준다. 2024년 Resilience는 Lloyd's syndicate 4747을 인수해 paper(인수자) 능력을 확보했다. 약점은 enterprise 시장 진입이 느리다는 점.

AXA XL Cyber: 유럽 강자의 글로벌 진출

AXA XL은 2018년 AXA가 XL Catlin을 인수해 만든 specialty 보험사다. 2026년 유럽 사이버보험 시장 점유율 약 14%로 1위이고, EU GDPR 관련 컴플라이언스 자문에 강점이 있다. AXA XL Cyber는 유럽 데이터 보호 당국(CNIL, BfDI, ICO) 대응 패널 변호사 네트워크가 가장 두텁다. 단점은 2022년 9월 프랑스에서 ransomware 지불 보장을 자발적으로 중단한 후 다시 재개했지만 시장 신뢰가 미묘하게 흔들렸다. 2024년 AXA XL은 NIS2 지침(EU 사이버보안 지침) 시행을 앞두고 enterprise 고객 대상 NIS2 갭 분석 무료 제공을 시작했다.

Hiscox Cyber: SME 전문, 빠른 견적

Hiscox는 1901년 Lloyd's에서 시작된 specialty 보험사로, 2026년 글로벌 SME 사이버보험 점유율 약 6%다. Hiscox CyberClear는 (1) 5분 온라인 견적, (2) 매출 1억 달러 미만 기업 특화, (3) Lloyd's syndicate 33을 통한 paper 능력. 약점은 large account 처리는 약하고 Mondelez 케이스의 여파로 보장 한도를 신중하게 운영한다.

Tokio Marine HCC: 일본 본사·미국 운영의 하이브리드

Tokio Marine HCC는 2015년 일본 도쿄해상이 휴스턴 HCC를 75억 달러에 인수해 탄생한 specialty 보험사다. 2026년 사이버 사업부는 미국·런던·도쿄에 거점을 두고, 일본 기업의 미국 진출 사이버 커버 처리에 강점이 있다. 일본 본사 차원의 risk engineering 자료가 일본어/영어 동시 제공되는 게 차별점이다.

한국 사이버보험 1: 삼성화재 Cyber Solution Plus

삼성화재는 2017년 사이버 종합보험을 출시했고 2026년 한국 사이버보험 시장 점유율 약 28%로 1위다. Cyber Solution Plus는 (1) 개인정보 유출 손해배상, (2) 사고대응비용(KISA 권고 IR 업체 패널), (3) 사업중단손해, (4) 사이버범죄, (5) 평판훼손손해를 모듈로 제공한다. 2023년 LG U+ 개인정보 유출 사건(약 30만 건) 이후 한국 시장이 급성장했고, 2024년 카카오톡 먹통 사태로 SaaS 의존 리스크가 부각되었다. 한국은 미국과 달리 ransomware 지불은 외환거래법과 자금세탁방지법(특금법) 때문에 보험으로 지급하기 어려운 환경이고, 삼성화재 약관도 "북한·테러단체 지정 자산에 대한 지불은 면책"으로 명시한다.

samsung-fire-cyber-solution-plus-2026.yaml — 약관 요약

보험사: 삼성화재해상보험

상품명: Cyber Solution Plus

한도_KRW:

보상총액_최대: 5_000_000_000

개인정보유출배상: full_policy_limit

IR_사고대응비용: 500_000_000

사업중단손해: 2_000_000_000

랜섬웨어_협상비용: 200_000_000

랜섬머니_지불: 미보장 # 외환거래법·특금법 충돌

PR_평판훼손: 100_000_000

면책_주요:

- 국가지원_사이버공격: LMA5564_준용

- PIPA_고의_위반_벌금

- 무허가_암호자산_거래

- OFAC_또는_UN_제재_대상_지불

가입_요건:

- ISMS_또는_ISMS_P_인증

- 정기_취약점_점검_연_2회

- 백업_3_2_1_운영

서비스:

- KISA_사고신고_지원

- 침해사고대응팀_패널: ['이글루코퍼레이션', 'SK쉴더스', '안랩']

한국 사이버보험 2: 현대해상 사이버종합보험

현대해상은 한국 사이버보험 시장 점유율 약 22%로 2위다. 강점은 (1) 산업별 약관(병원, 교육, 공공기관), (2) PIPA(개인정보보호법) 위반 과징금 면책 범위 명시, (3) 클라우드 사고 보장(AWS·GCP·Azure 다운타임 contingent BI). 2024년 한국 PIPA 개정으로 과징금 산정이 매출의 3%로 상향되었고, 현대해상은 "관계 법령에 의해 보험으로 보장이 금지된 행정처벌은 면책"으로 명시한다. 따라서 PIPA 과징금 자체는 한국법상 보험 보장이 제한되지만, 사고 대응 비용·민사 배상은 보장한다.

한국 사이버보험 3: KB손해보험 사이버종합보험

KB손보는 한국 사이버보험 시장 점유율 약 15%로 3위다. 차별점은 (1) 금융권 고객 대상 특화 약관(전자금융사고 동시 보장), (2) 가상자산 사업자(VASP) 전용 모듈, (3) 카카오뱅크·토스 같은 핀테크 대상 사이버범죄 한도 상향. 2024년 KB는 가상자산사업자법 시행에 맞춰 거래소·커스터디 대상 cyber crime 한도 200억 원까지 제공하는 모듈을 출시했다.

일본 사이버보험 1: 東京海上日動 Cyber Risk Insurance

東京海上日動火災保険(Tokio Marine Nichido)는 일본 사이버보험 시장 점유율 약 33%로 1위다. 일본 시장은 미국·유럽 대비 사이버보험 침투율이 낮았지만 2024년 NISC(内閣サイバーセキュリティセンター) 가이드라인 개정과 改正個人情報保護法 시행으로 급격히 성장했다. 東京海上의 사이버보험은 (1) 일본어 24/7 사고대응 데스크, (2) JPCERT/CC 협력 침해 대응 패널, (3) 일본 PIIA(個人情報保護委員会) 신고 비용 보장, (4) APP(行政文書管理ガイドライン) 컴플라이언스 자문 포함.

일본 사이버보험 2: 損保ジャパン Cyber Insurance

損害保険ジャパン은 일본 사이버보험 시장 점유율 약 26%로 2위다. 강점은 (1) SOMPO Holdings 산하 Palantir 합작 분석으로 사고 패턴 데이터, (2) 중소기업(中小企業) 특화 패키지, (3) 사이버 BCP 수립 자문. 2024년 損保ジャパン은 도요타 자동차 부품 공급망 사고를 계기로 contingent BI(공급망 사고) 보장을 확대했다.

NIST CSF와 MITRE ATT&CK 기반 언더라이팅

2026년 사이버보험 언더라이팅은 자기보고 questionnaire에서 검증 가능한 framework 적용으로 옮겨가고 있다. 표준은 두 가지. NIST CSF 2.0(2024년 2월 개정, Govern 함수 추가)과 MITRE ATT&CK Enterprise v15. Coalition·Resilience는 NIST CSF self-assessment를 가입 단계에서 요구하고, Marsh의 Cyber Risk Index도 NIST CSF 5+1 함수 기반 점수화를 사용한다.

nist-csf-2-self-assessment-template.yaml

NIST CSF 2.0 (Feb 2024) — Govern 함수 추가

보험 가입 전 자가 평가 템플릿

organization: ACME Corp

assessment_date: 2026-05-25

csf_version: '2.0'

govern:

GV.OC: 'Tier 3' # Organizational Context

GV.RM: 'Tier 3' # Risk Management Strategy

GV.RR: 'Tier 2' # Roles, Responsibilities, Authorities

GV.PO: 'Tier 3' # Policy

GV.OV: 'Tier 2' # Oversight

GV.SC: 'Tier 2' # Supply Chain Risk Management

identify:

ID.AM: 'Tier 3' # Asset Management

ID.RA: 'Tier 2' # Risk Assessment

ID.IM: 'Tier 2' # Improvement

protect:

PR.AA: 'Tier 4' # Identity Management, Authentication

PR.AT: 'Tier 3' # Awareness and Training

PR.DS: 'Tier 3' # Data Security

PR.PS: 'Tier 3' # Platform Security

PR.IR: 'Tier 3' # Technology Infrastructure Resilience

detect:

DE.CM: 'Tier 3' # Continuous Monitoring

DE.AE: 'Tier 3' # Adverse Event Analysis

respond:

RS.MA: 'Tier 3' # Incident Management

RS.AN: 'Tier 3' # Incident Analysis

RS.CO: 'Tier 3' # Incident Response Reporting and Communication

RS.MI: 'Tier 2' # Incident Mitigation

recover:

RC.RP: 'Tier 3' # Incident Recovery Plan Execution

RC.CO: 'Tier 2' # Incident Recovery Communication

overall_target_profile: 'Tier 3 across all functions by 2027-Q1'

MITRE ATT&CK 기반 risk scoring은 다음처럼 동작한다. 보험사는 가입자 환경에 대한 attack technique 노출도를 평가하고, 가장 빈번한 ransomware actor의 TTP를 매핑한다.

mitre_attack_risk_scoring.py — 보험사 사이드 평가 의사코드

ATTACK_TECHNIQUES = {

'T1566': {'name': 'Phishing', 'tactic': 'Initial Access', 'freq': 0.95},

'T1078': {'name': 'Valid Accounts', 'tactic': 'Initial Access', 'freq': 0.78},

'T1190': {'name': 'Exploit Public-Facing App', 'tactic': 'Initial Access', 'freq': 0.62},

'T1486': {'name': 'Data Encrypted for Impact', 'tactic': 'Impact', 'freq': 0.71},

'T1567': {'name': 'Exfiltration to Cloud Storage', 'tactic': 'Exfiltration', 'freq': 0.55},

'T1110': {'name': 'Brute Force', 'tactic': 'Credential Access', 'freq': 0.48},

}

DEFENSIVE_CONTROLS = {

'T1566': ['email_dmarc', 'awareness_training', 'sandbox', 'safe_links'],

'T1078': ['mfa_admin', 'mfa_remote', 'privileged_session_recording'],

'T1190': ['waf', 'rasp', 'public_asset_scan', 'patch_sla_critical_7d'],

'T1486': ['immutable_backup', 'edr_ransomware_canary', 'segmentation'],

'T1567': ['dlp_egress', 'cloud_proxy', 'data_classification'],

'T1110': ['account_lockout', 'mfa_remote', 'password_spraying_detection'],

}

def compute_attack_risk_score(applicant_controls):

score = 0.0

for tid, meta in ATTACK_TECHNIQUES.items():

needed = set(DEFENSIVE_CONTROLS[tid])

covered = needed & set(applicant_controls)

coverage = len(covered) / len(needed) if needed else 0.0

residual = meta['freq'] * (1 - coverage)

score += residual

정규화 — 낮을수록 좋음 (0 best, 6 worst)

return round(score, 3)

Ransomware Coverage: 지불 보장 vs 미보장

2026년 ransomware 시장의 핵심 분기점은 보험사가 ransom payment 자체를 보장하는지 여부다. AXA는 2022년 프랑스에서 자발적으로 보장을 중단했다가 재개, 미국 NYDFS는 2024년 모든 보험사에 OFAC 컴플라이언스를 의무화했다. 한국은 외환거래법·특금법으로 ransom 지급 자체가 사실상 불가능하다. 일본도 NISC 가이드라인이 ransom 지불을 비권장한다. 글로벌 트렌드는 "지불은 보장하되 OFAC 제재 대상에는 면책, 대신 협상 비용·복구 비용·통지 비용을 두텁게 보장"이다.

글로벌 주요 보험사 ransomware 지불 보장 매트릭스 (2026)

Insurer Ransom Payment OFAC Check Negotiator Panel IR Cost Notes

------------------- --------------- ---------- ----------------- -------- --------------------------

Chubb Up to 80% Mandatory Mandiant, Coveware Sublim OFAC waiver pre-auth

AIG CyberEdge Up to 75% Mandatory Kroll, GroupSense Sublim Cyber-One single policy

Beazley BBR Up to 100% Mandatory Coveware, Arete Outside 24/7 BM assigned

Coalition Up to 100% Mandatory Coalition CIR Outside Active monitoring

Resilience Up to 100% Mandatory Arete, Kivu Outside FAIR-based pricing

AXA XL Up to 80% Mandatory Mandiant, Kroll Sublim NIS2 advisory included

Hiscox Up to 70% Mandatory Coveware Sublim SME focus

Tokio Marine HCC Up to 80% Mandatory Kroll, S-RM Sublim JP/US dual desk

삼성화재 미보장 N/A 이글루/안랩 포함 특금법 충돌

현대해상 미보장 N/A SK쉴더스 포함 외환거래법 충돌

KB손보 미보장 N/A 이글루/안랩 포함 VASP 모듈 별도

東京海上日動 미보장 N/A JPCERT/CC 협력 포함 NISC 가이드 준수

損保ジャパン 미보장 N/A SOMPO 패널 포함 중소기업 특화

BIPA·GDPR·PIPA 규제 벌금 면책 갭

규제 벌금은 사이버보험의 가장 큰 회색지대다. Illinois Biometric Information Privacy Act(BIPA)는 위반 1건당 1,000-5,000달러 statutory damage을 부과한다. 2022년 White Castle Inc v Cothron 사건에서 일리노이 대법원이 "지문 스캔할 때마다 별개 위반"으로 해석해 한 회사가 170억 달러 손해배상 청구를 받았다. BIPA는 statutory damage이라 일부 약관에서 보장하지만, willful violation은 면책이다. GDPR은 매출의 4%까지 벌금이 가능한데, 룩셈부르크·아일랜드·독일 등 일부 EU 국가에서는 GDPR 벌금의 보험 보장 자체를 불법화했다. 한국 PIPA 과징금은 한국법상 보험 보장이 제한된다. 사이버보험 가입 시 반드시 확인할 조항이다.

보험 가입 전 체크리스트: 2026년 표준

2026년 보험 가입을 위한 underwriting 통제 표준은 다음과 같다. 첫째 MFA — 모든 admin, RDP, VPN, O365/Google Workspace에 phishing-resistant MFA(WebAuthn/FIDO2 권장). 둘째 EDR — CrowdStrike Falcon, SentinelOne Singularity, Microsoft Defender for Endpoint P2 이상. 셋째 백업 — 3-2-1 + immutable, monthly restore drill 증빙. 넷째 PAM — Privileged Access Management(CyberArk, Delinea, BeyondTrust). 다섯째 패치 — KEV 카탈로그 매치 시 72시간 SLA. 여섯째 awareness — annual phishing simulation 클릭률 5% 미만. 일곱째 IR plan — 연 1회 tabletop exercise 증빙. 이 7가지를 모두 충족하지 못하면 가입 거절 또는 보험료 50%+ 가산이다.

Active Monitoring 부속 서비스: 차별화 요소

2026년 사이버보험은 단순히 사고 후 보상이 아니라 active risk reduction 플랫폼이 되었다. Coalition Control, Resilience platform, BitSight·SecurityScorecard 협력 보험사들은 24/7 외부 공격면 스캔, dark web 자격증명 모니터링, 도메인·서브도메인 takeover 탐지, KEV/CVE 알림을 무료 제공한다. 가입자가 이 알림에 24시간 내 대응하지 않으면 일부 약관은 sub-limit를 50%로 축소한다는 조항이 있다.

청구 프로세스 실전 타임라인

표준 사이버 청구 타임라인은 다음과 같다. T+0 시: 사고 감지·내부 결정. T+1 시: 보험사 24/7 핫라인 통지(SLA 1시간 응답). T+2 시: 외부 법률 자문 engaged(privilege 확보). T+4 시: forensic vendor onsite/원격. T+24 시: 초기 attribution·범위 파악. T+72 시: 규제 통지 결정(GDPR 72시간 SLA). T+30일: BI 측정 시작. T+60일: 첫 인보이스 제출. T+90일: 보험사 1차 cover decision. T+180일: 최종 quantum 협상. 사고 대응 비용은 한도 외(outside limit) 보장이 표준이고, 1st party loss(BI 등)는 한도 내(within limit)다.

보험사 평가: 손해율과 cyber 자본

보험사 선택 시 봐야 할 두 지표는 사이버 specific loss ratio와 sub-line capital이다. 2024년 글로벌 사이버 loss ratio는 평균 약 43%로 2021년 80%대비 크게 안정되었다. Chubb 약 41%, Beazley 약 58%, Travelers 약 47%, AXA XL 약 51%, Coalition 약 62%(MGA 특성상 높음), Resilience 약 56%. 손해율이 낮다고 무조건 좋은 게 아니라 너무 낮으면 약관이 엄격해서 claim이 잘 지급되지 않을 수도 있다는 신호다. Marsh, Aon, Lockton 같은 broker의 실 청구 지급 데이터를 함께 봐야 한다.

결론: 2026년 사이버보험 선택 가이드

규모와 산업에 따라 다음이 합리적 기본값이다. (1) 글로벌 enterprise: Chubb + AIG/AXA XL 이중 보장. (2) 미국 SME: Coalition 또는 Resilience(active 서비스가 결정적). (3) 유럽 mid-market: AXA XL 또는 Beazley(GDPR·NIS2 자문). (4) 한국 기업: 삼성화재 또는 현대해상(KISA 패널). (5) 일본 기업: 東京海上日動 또는 損保ジャパン(NISC 컴플라이언스). 모든 케이스에서 (a) Lloyd's LMA5564 war exclusion 문구, (b) ransomware 지불 보장 여부, (c) 규제 벌금 면책, (d) BI waiting period, (e) sub-limit 구조를 직접 검토해야 한다. 2026년 사이버보험은 더 이상 IT 부서가 아니라 CFO·CRO·CISO·법무가 함께 결정하는 자본 배분의 일부다.

References

- Lloyd's of London Market Bulletin Y5381 — Cyber War Exclusion: https://www.lloyds.com/resources-and-services/market-communications/market-bulletins

- LMA5564-5567 Cyber War/Operation Exclusion Wording: https://www.lmalloyds.com/lma/wordings

- NAIC Cyber Insurance Working Group: https://content.naic.org/cmte_ex_cybersecurity_wg.htm

- Munich Re — Cyber Insurance Risks and Trends 2026: https://www.munichre.com/topics-online/en/digitalisation/cyber.html

- Swiss Re Institute Cyber sigma report: https://www.swissre.com/institute/research/sigma-research.html

- NIST Cybersecurity Framework 2.0: https://www.nist.gov/cyberframework

- MITRE ATT&CK Enterprise v15: https://attack.mitre.org/

- CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

- Chubb Cyber Enterprise Risk Management: https://www.chubb.com/us-en/business-insurance/cyber-enterprise-risk-management.html

- AIG CyberEdge: https://www.aig.com/business/insurance/cyber-insurance

- Beazley Breach Response: https://www.beazley.com/en-US/products/cyber-services-snapshot

- Coalition Active Insurance: https://www.coalitioninc.com/insurance

- Resilience Cyber: https://www.cyberresilience.com/

- AXA XL Cyber Insurance: https://axaxl.com/insurance/products/cyber-and-technology

- Hiscox CyberClear: https://www.hiscoxgroup.com/cyber

- Tokio Marine HCC Cyber: https://www.tmhcc.com/en/products/cyber-and-professional-lines

- 삼성화재 Cyber Solution Plus: https://www.samsungfire.com/

- 현대해상 사이버종합보험: https://www.hi.co.kr/

- KB손해보험 사이버종합보험: https://www.kbinsure.co.kr/

- 東京海上日動 Cyber Risk Insurance: https://www.tokiomarine-nichido.co.jp/

- 損害保険ジャパン Cyber Insurance: https://www.sompo-japan.co.jp/

- 한국 KISA 침해사고 신고센터: https://www.krcert.or.kr/

- 일본 NISC 사이버 가이드라인: https://www.nisc.go.jp/

- JPCERT/CC: https://www.jpcert.or.jp/

- 個人情報保護委員会(PPC) 日本: https://www.ppc.go.jp/

- 한국 개인정보보호위원회: https://www.pipc.go.kr/

- BIPA(Illinois Biometric Information Privacy Act): https://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=3004

- White Castle Inc v Cothron 일리노이 대법원 판결: https://www.illinoiscourts.gov/

- Mondelez v Zurich(NotPetya) 사건 배경: https://www.law360.com/cybersecurity-privacy

- Mandiant M-Trends 2025 보고서: https://www.mandiant.com/m-trends