2017년부터 시작된 거대 제약 회사와 보험사 간 다툼은 비공개 합의로 결국 종결됐다. 사이버전과 전쟁 행위, 그리고 보험사의 의무와 책임에 대한 판결문을 업계 전체가 기다렸건만, 아쉬움 가득 남는 결론이다.
[보안뉴스 = 캐리 팔라디 IT 칼럼니스트] 2017년 대형 제약 회사 머크(Merck)는 낫페트야(NotPetya)라는 멀웨어의 공격에 당했다. 낫페트야는 러시아가 우크라이나를 공격하기 위해 개발한 멀웨어인 것으로 파악이 되고 있는데, 우크라이나 외 전 세계에도 퍼져 수십억 달러의 피해를 일으켰다. 머크도 어마어마한 손실을 입은 것으로 알려져 있으며, 보험사에 14억 달러를 청구했다. 하지만 보험사는 ‘전쟁으로 인한 피해는 보장이 되지 않는다’며 거절했다. 이에 머크는 보험사를 고소했고, 길고 긴 싸움은 7년이나 흘렀다. 그리고 양측은 드디어 합의에 이르렀다.
합의에 이른 것이 아니라 법원에서 공식 판결이 내려진 것이었다면 대대적인 사이버 공격과 전쟁 행위와 보험 상품의 보장 범위에 대한 판례가 하나 만들어졌을 것이지만, 아쉽게도 둘이 합의를 보는 바람에 업계가 7년이나 기다렸던 ‘선례’ 같은 건 남지 않게 됐다. 그렇다면 이 ‘머크 대 보험사’ 사건은 헛된 기다림으로 귀결되어야 할까? 사이버 공격이 갈수록 심해지는 지금, 정말 건질 것이 하나도 없는 시간이었나?
사건의 재구성
홀연히 사이버 공간에 등장한 낫페트야는 머크의 컴퓨터 장비 4만 대 이상에 침투해 파일과 드라이브들을 삭제했다. 여러 사업과 프로젝트가 갑자기 마비됐다. 복구가 불가능한 것도 있었고, 따라서 어마어마한 손실을 피할 수가 없었다. 하지만 보험사는 “국가 간 적대적 행위, 즉 전쟁에 준하는 행위로 인한 피해였기 때문에 보험 상품 정책상 보상해줄 수 없다”고 했다. 하지만 미국 항소 법원에서는 전쟁 예외 규정을 적용할 수 없다고 판단했고, 머크가 7억 달러의 돈을 보험사로부터 지급받아야 한다고 했다.
“예외 조항의 평이한 언어, 그리고 그런 조항이 여태까지 어떻게, 어떤 맥락에서 실제 적용되어 왔는지를 생각했을 때 보험사가 이번 사이버 공격 사건과 ‘전쟁에 준하는 행위’가 어떤 식으로 연관 지어지는 지를 제대로 입증하지 못했다고 결론을 내렸습니다.” 당시 법원이 발표한 의견이었다. 하지만 보험사는 이러한 법원의 의견을 받아들이지 않았고, 사건은 뉴저지 주의 대법원으로까지 올라갔다. 그리고 합의에 이른 것이다.
국가의 지원을 받는 사이버 공격자들의 공격 행위는 당분간 줄어들지 않을 것으로 예상된다. 아니, 오히려 더 심해질 가능성이 농후하다. 그런 가운데 방향을 제시해 줄 판결문이 하나 나왔다면 보험사나 보험에 가입한 고객사나 방어를 위한 대비의 실마리를 작게나마 얻을 수 있었을 것이다. 하지만 이번 사건은 그렇게 마무리 되지 않았다. 로펌 코프만돌로위치(Kaufman Dolowich)의 파트너인 에릭 스턴(Eric Stern)은 “비밀 리에 양자 간 합의가 이뤄진 거라 무슨 일이 일어난 건지 정확히 알 수 없고, 보편적으로 적용하기도 힘들다”고 짚는다.
하지만 이것 하나는 분명하다. 멀웨어 하나로 국제적인 제약 회사가 입은 피해는 수십억 달러이고, 이 돈은 보험사가 순순히 물어주기 힘든 금액이라는 것을 말이다. 보험사에 보안 사고의 뒷수습을 맡기기에는 아직 한참 이르며, 사실 그러한 때가 오기나 할런지조차 불분명하다. 보험은 어디까지나 보험일 뿐이다.
전쟁 위험 면책 조항
전쟁 위험 면책 조항을 두고 보험사와 충돌한 고객사는 머크만이 아니다. 식료품 회사인 몬델레즈인터내셔늘(Mondelez International)의 경우 취리히아메리칸보험사(Zurich American Insurance Company)와 2022년 크게 맞붙었던 적이 있다. 몬델레즈도 머크처럼 2017년 낫페트야 캠페인의 피해를 입어 보험사에 1억 달러를 보장해 달라고 요구했으나 취리히 측이 전쟁 행위는 보장 대상이 아니라며 거절했기 때문이다.
이 두 사건만 보면 보험사들이 결정적일 때 아무런 도움이 되지 않는다고 생각할 수 있는데, 스턴은 “두 사건 모두 2017년에 발생한 일에 관한 것”임을 지적한다. “거의 10년 전 보험사들이 가지고 있던 정책에 대한 재판입니다. 그 동안 보험과 보안 업계 모두 크게 변했고, 지금 보험사들과 그 때 보험사들은 많이 다르다고 할 수 있습니다. 보험사들을 바라보는 기업들의 시각도 비교 불가능할 정도로 달라졌고요. 사이버 보험 상품의 가치 역시 다르게 평가되고 있습니다.”
재판이 진행되는 7년 동안 보험사들은 사이버 리스크가 얼마나 무시무시한 금액으로 환산되는지를 체감해왔다. 그래서 보험 가입을 위해 리스크를 평가하는 방법이 굉장히 복잡해졌다. 보안 컨설팅 회사인 옵티브(Optiv)의 수석 사이버 보험 관리자인 다라 깁슨(Dara Gibson)은 “신청서만 해도 이전보다 훨씬 많아지고 복잡해졌다”며 “어떤 보험사는 가입 시 550개가 넘는 문항에 답을 달아달라고 하기도 한다”고 짚는다. “다만 전쟁 면책 조항을 사이버전에 어떻게 적용할 것인가, 하는 건 아직 보안 회사마다 다릅니다. 논의가 더 이뤄져야 합니다.”
보험 업계의 수장과 같은 기업 중 하나인 로이드런던(Lloyd’s of London)의 경우 사이버 사건에 적용될 수 있는 전쟁 면책 사항들을 네 가지로 정리해 2023년 3월 31일부터 자신들의 상품에 실제 적용하기 시작했다. 가입자 입장에서 보면 보험사가 지나치게 유리하다고 생각할 여지가 없지 않으며, 따라서 당시 꽤나 비판이 거셌다. 하지만 깁슨은 “보험 산업이 전쟁 면책에 대하여 고민하고 나름의 기준을 정하기 시작했다는 측면에서는 긍정적일 수 있는 움직임”이라고 해석한다.
사이버 리스크 관리 대행 업체인 액시오(Axio)의 CEO 스콧 캔리(Scott Kannry)의 경우 “현재 보험 업계 전체가 사이버 리스크를 올바로 측정하고, 거기에 대한 가격을 어떻게 매겨야 할 지 모르고 있다”며 “그래서 전쟁 면책 조항이 문제가 되고 있는 것이지, 그 조항 자체가 문제의 근원인 것은 아니”라고 짚는다. “사이버 리스크라는 것을 좀 더 깊게 이해할 수 있어야 하는데, 그게 안 되는 게 현 시점의 중요한 문제라고 할 수 있습니다.”
사이버 보험 가입하기
그러면 현 시점에 사이버 보험에 가입해도 괜찮은 걸까? 어떻게 올바른 상품을 고르고, 얼마나 예산을 할당해야 할까? 스턴의 경우 “보장이 되지 않는 경우들, 즉 면책 조항들을 위주로 상품을 분석하는 게 좋다”고 권고한다. “어떤 분야이든 보험 상품을 구매할 때 이런 저런 보장이 다 된다는 것만 대강 안 상태에서 계약을 진행할 때가 많습니다. 하지만 가입자와 보험사 사이에는 본질적인 입장 차이가 존재한다는 걸 잊으면 안 됩니다. 가입자는 어떻게 해서든 사고 시 돈을 받고 싶고, 보험사는 최대한 덜 주고 싶습니다. 그러니 ‘다 되겠지’라고 그냥 넘어가서는 안 됩니다. 어떤 방법으로 보험금을 주지 않으려 하는지를 꿰뚫고 있어야 합니다.”
깁슨은 “아무래도 최근 사이버 보험사들이 전쟁 행위에 준하는 공격이 있었을 때 보장하지 않는다는 쪽으로 기울고 있는 만큼, 정확히 전쟁 면책 조항이 어떻게 구성되어 있는지를 파악하는 게 안전하다”고 귀띔한다. “서로 대화를 해야 합니다. 가입자와 보험사가 면책 사항에 대하여 똑같이 이해하고서 가입해도 늦지 않습니다. 할 질문을 부지런히 하고, 대답을 바짝 요구하면서 보험사가 어떤 경우 보장을 해주고 어떤 경우 해주지 않을 거라는 걸 알고 있어야 합니다. 이런 지식이 쌓여야 여러 보험사들의 상품을 놓고 의미 있게 비교해가며 최적의 것을 고를 수도 있습니다.”
사이버 보험과 사이버전의 미래
사이버 보험사와 법정에서 싸우게 될 회사는 얼마든지 존재한다. 머크와 몬델레즈가 마지막이 될 가능성은 극히 낮다. 스턴은 “오히려 이제 막 시작이라고 본다”는 의견이다. “더 많은 소송이 뒤따를 거라고 생각합니다. 보험사들이 달라지긴 했지만 아직 가입자들의 눈높이에 이르렀다고 하기는 힘드니까요.”
스턴의 예상처럼 더 많은 소송이 벌어지게 되면 사이버 리스크를 평가하고 계산하는 방법을 보험사들이 더 원활하게 익힐 수도 있을 것으로 보인다. 캔리는 “새로운 리스크 분석 및 평가 모델이 탄생하는 과정을 지금 지나고 있는 것일 지도 모른다”고 말한다. “첫 번째 대표적인 재판을 통해서는 업계가 사이버 보험과 보장금의 기준 정립과 관련하여 많은 성과를 거두지는 못했지요. 아무래도 두 번째, 세 번째 재판이 이어질 때 성과가 있을 가능성이 생겨날 겁니다. 미래의 재판과 법정 공방을 통해 우리는 판례를 얻고, 보다 분명한 기준을 얻게 될 겁니다.”
깁슨은 “사이버 보험 상품들이 어느 정도 안정적으로 자리를 잡아갈 때 나타나는 현상이 있을 것”이라고 귀띔한다. “사이버 리스크, 면책의 경우, 보장 대상과 관련된 조항이나 설명들에 나타나는 각종 용어들이 정리가 되고, 보험사들이 전부 비슷한 표현과 용어를 익숙하게 사용하게 될 겁니다. 상품 액수나 보장 금액이 조금씩 다를지언정 쓰는 말들이 비슷해지기 시작하면 드디어 사이버 보험 상품이 교통 보험이나 의료 보험 상품처럼 안정화의 시기에 접어들었다고 보면 맞을 겁니다.”
글 : 캐리 팔라디(Carrie Pallardy), IT 칼럼니스트
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스 = 캐리 팔라디 IT 칼럼니스트] 2017년 대형 제약 회사 머크(Merck)는 낫페트야(NotPetya)라는 멀웨어의 공격에 당했다. 낫페트야는 러시아가 우크라이나를 공격하기 위해 개발한 멀웨어인 것으로 파악이 되고 있는데, 우크라이나 외 전 세계에도 퍼져 수십억 달러의 피해를 일으켰다. 머크도 어마어마한 손실을 입은 것으로 알려져 있으며, 보험사에 14억 달러를 청구했다. 하지만 보험사는 ‘전쟁으로 인한 피해는 보장이 되지 않는다’며 거절했다. 이에 머크는 보험사를 고소했고, 길고 긴 싸움은 7년이나 흘렀다. 그리고 양측은 드디어 합의에 이르렀다.
[이미지 = gettyimagesbank]
합의에 이른 것이 아니라 법원에서 공식 판결이 내려진 것이었다면 대대적인 사이버 공격과 전쟁 행위와 보험 상품의 보장 범위에 대한 판례가 하나 만들어졌을 것이지만, 아쉽게도 둘이 합의를 보는 바람에 업계가 7년이나 기다렸던 ‘선례’ 같은 건 남지 않게 됐다. 그렇다면 이 ‘머크 대 보험사’ 사건은 헛된 기다림으로 귀결되어야 할까? 사이버 공격이 갈수록 심해지는 지금, 정말 건질 것이 하나도 없는 시간이었나?
사건의 재구성
홀연히 사이버 공간에 등장한 낫페트야는 머크의 컴퓨터 장비 4만 대 이상에 침투해 파일과 드라이브들을 삭제했다. 여러 사업과 프로젝트가 갑자기 마비됐다. 복구가 불가능한 것도 있었고, 따라서 어마어마한 손실을 피할 수가 없었다. 하지만 보험사는 “국가 간 적대적 행위, 즉 전쟁에 준하는 행위로 인한 피해였기 때문에 보험 상품 정책상 보상해줄 수 없다”고 했다. 하지만 미국 항소 법원에서는 전쟁 예외 규정을 적용할 수 없다고 판단했고, 머크가 7억 달러의 돈을 보험사로부터 지급받아야 한다고 했다.
“예외 조항의 평이한 언어, 그리고 그런 조항이 여태까지 어떻게, 어떤 맥락에서 실제 적용되어 왔는지를 생각했을 때 보험사가 이번 사이버 공격 사건과 ‘전쟁에 준하는 행위’가 어떤 식으로 연관 지어지는 지를 제대로 입증하지 못했다고 결론을 내렸습니다.” 당시 법원이 발표한 의견이었다. 하지만 보험사는 이러한 법원의 의견을 받아들이지 않았고, 사건은 뉴저지 주의 대법원으로까지 올라갔다. 그리고 합의에 이른 것이다.
국가의 지원을 받는 사이버 공격자들의 공격 행위는 당분간 줄어들지 않을 것으로 예상된다. 아니, 오히려 더 심해질 가능성이 농후하다. 그런 가운데 방향을 제시해 줄 판결문이 하나 나왔다면 보험사나 보험에 가입한 고객사나 방어를 위한 대비의 실마리를 작게나마 얻을 수 있었을 것이다. 하지만 이번 사건은 그렇게 마무리 되지 않았다. 로펌 코프만돌로위치(Kaufman Dolowich)의 파트너인 에릭 스턴(Eric Stern)은 “비밀 리에 양자 간 합의가 이뤄진 거라 무슨 일이 일어난 건지 정확히 알 수 없고, 보편적으로 적용하기도 힘들다”고 짚는다.
하지만 이것 하나는 분명하다. 멀웨어 하나로 국제적인 제약 회사가 입은 피해는 수십억 달러이고, 이 돈은 보험사가 순순히 물어주기 힘든 금액이라는 것을 말이다. 보험사에 보안 사고의 뒷수습을 맡기기에는 아직 한참 이르며, 사실 그러한 때가 오기나 할런지조차 불분명하다. 보험은 어디까지나 보험일 뿐이다.
전쟁 위험 면책 조항
전쟁 위험 면책 조항을 두고 보험사와 충돌한 고객사는 머크만이 아니다. 식료품 회사인 몬델레즈인터내셔늘(Mondelez International)의 경우 취리히아메리칸보험사(Zurich American Insurance Company)와 2022년 크게 맞붙었던 적이 있다. 몬델레즈도 머크처럼 2017년 낫페트야 캠페인의 피해를 입어 보험사에 1억 달러를 보장해 달라고 요구했으나 취리히 측이 전쟁 행위는 보장 대상이 아니라며 거절했기 때문이다.
이 두 사건만 보면 보험사들이 결정적일 때 아무런 도움이 되지 않는다고 생각할 수 있는데, 스턴은 “두 사건 모두 2017년에 발생한 일에 관한 것”임을 지적한다. “거의 10년 전 보험사들이 가지고 있던 정책에 대한 재판입니다. 그 동안 보험과 보안 업계 모두 크게 변했고, 지금 보험사들과 그 때 보험사들은 많이 다르다고 할 수 있습니다. 보험사들을 바라보는 기업들의 시각도 비교 불가능할 정도로 달라졌고요. 사이버 보험 상품의 가치 역시 다르게 평가되고 있습니다.”
재판이 진행되는 7년 동안 보험사들은 사이버 리스크가 얼마나 무시무시한 금액으로 환산되는지를 체감해왔다. 그래서 보험 가입을 위해 리스크를 평가하는 방법이 굉장히 복잡해졌다. 보안 컨설팅 회사인 옵티브(Optiv)의 수석 사이버 보험 관리자인 다라 깁슨(Dara Gibson)은 “신청서만 해도 이전보다 훨씬 많아지고 복잡해졌다”며 “어떤 보험사는 가입 시 550개가 넘는 문항에 답을 달아달라고 하기도 한다”고 짚는다. “다만 전쟁 면책 조항을 사이버전에 어떻게 적용할 것인가, 하는 건 아직 보안 회사마다 다릅니다. 논의가 더 이뤄져야 합니다.”
보험 업계의 수장과 같은 기업 중 하나인 로이드런던(Lloyd’s of London)의 경우 사이버 사건에 적용될 수 있는 전쟁 면책 사항들을 네 가지로 정리해 2023년 3월 31일부터 자신들의 상품에 실제 적용하기 시작했다. 가입자 입장에서 보면 보험사가 지나치게 유리하다고 생각할 여지가 없지 않으며, 따라서 당시 꽤나 비판이 거셌다. 하지만 깁슨은 “보험 산업이 전쟁 면책에 대하여 고민하고 나름의 기준을 정하기 시작했다는 측면에서는 긍정적일 수 있는 움직임”이라고 해석한다.
사이버 리스크 관리 대행 업체인 액시오(Axio)의 CEO 스콧 캔리(Scott Kannry)의 경우 “현재 보험 업계 전체가 사이버 리스크를 올바로 측정하고, 거기에 대한 가격을 어떻게 매겨야 할 지 모르고 있다”며 “그래서 전쟁 면책 조항이 문제가 되고 있는 것이지, 그 조항 자체가 문제의 근원인 것은 아니”라고 짚는다. “사이버 리스크라는 것을 좀 더 깊게 이해할 수 있어야 하는데, 그게 안 되는 게 현 시점의 중요한 문제라고 할 수 있습니다.”
사이버 보험 가입하기
그러면 현 시점에 사이버 보험에 가입해도 괜찮은 걸까? 어떻게 올바른 상품을 고르고, 얼마나 예산을 할당해야 할까? 스턴의 경우 “보장이 되지 않는 경우들, 즉 면책 조항들을 위주로 상품을 분석하는 게 좋다”고 권고한다. “어떤 분야이든 보험 상품을 구매할 때 이런 저런 보장이 다 된다는 것만 대강 안 상태에서 계약을 진행할 때가 많습니다. 하지만 가입자와 보험사 사이에는 본질적인 입장 차이가 존재한다는 걸 잊으면 안 됩니다. 가입자는 어떻게 해서든 사고 시 돈을 받고 싶고, 보험사는 최대한 덜 주고 싶습니다. 그러니 ‘다 되겠지’라고 그냥 넘어가서는 안 됩니다. 어떤 방법으로 보험금을 주지 않으려 하는지를 꿰뚫고 있어야 합니다.”
깁슨은 “아무래도 최근 사이버 보험사들이 전쟁 행위에 준하는 공격이 있었을 때 보장하지 않는다는 쪽으로 기울고 있는 만큼, 정확히 전쟁 면책 조항이 어떻게 구성되어 있는지를 파악하는 게 안전하다”고 귀띔한다. “서로 대화를 해야 합니다. 가입자와 보험사가 면책 사항에 대하여 똑같이 이해하고서 가입해도 늦지 않습니다. 할 질문을 부지런히 하고, 대답을 바짝 요구하면서 보험사가 어떤 경우 보장을 해주고 어떤 경우 해주지 않을 거라는 걸 알고 있어야 합니다. 이런 지식이 쌓여야 여러 보험사들의 상품을 놓고 의미 있게 비교해가며 최적의 것을 고를 수도 있습니다.”
사이버 보험과 사이버전의 미래
사이버 보험사와 법정에서 싸우게 될 회사는 얼마든지 존재한다. 머크와 몬델레즈가 마지막이 될 가능성은 극히 낮다. 스턴은 “오히려 이제 막 시작이라고 본다”는 의견이다. “더 많은 소송이 뒤따를 거라고 생각합니다. 보험사들이 달라지긴 했지만 아직 가입자들의 눈높이에 이르렀다고 하기는 힘드니까요.”
스턴의 예상처럼 더 많은 소송이 벌어지게 되면 사이버 리스크를 평가하고 계산하는 방법을 보험사들이 더 원활하게 익힐 수도 있을 것으로 보인다. 캔리는 “새로운 리스크 분석 및 평가 모델이 탄생하는 과정을 지금 지나고 있는 것일 지도 모른다”고 말한다. “첫 번째 대표적인 재판을 통해서는 업계가 사이버 보험과 보장금의 기준 정립과 관련하여 많은 성과를 거두지는 못했지요. 아무래도 두 번째, 세 번째 재판이 이어질 때 성과가 있을 가능성이 생겨날 겁니다. 미래의 재판과 법정 공방을 통해 우리는 판례를 얻고, 보다 분명한 기준을 얻게 될 겁니다.”
깁슨은 “사이버 보험 상품들이 어느 정도 안정적으로 자리를 잡아갈 때 나타나는 현상이 있을 것”이라고 귀띔한다. “사이버 리스크, 면책의 경우, 보장 대상과 관련된 조항이나 설명들에 나타나는 각종 용어들이 정리가 되고, 보험사들이 전부 비슷한 표현과 용어를 익숙하게 사용하게 될 겁니다. 상품 액수나 보장 금액이 조금씩 다를지언정 쓰는 말들이 비슷해지기 시작하면 드디어 사이버 보험 상품이 교통 보험이나 의료 보험 상품처럼 안정화의 시기에 접어들었다고 보면 맞을 겁니다.”
글 : 캐리 팔라디(Carrie Pallardy), IT 칼럼니스트
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-02] 
