제조업 Cyber Insurance(사이버보험) 실무 완벽 가이드 — 미가입 위험에서 통제 기반 인수까지 5단계 로드맵

2026년 5월 30일 · CONTIS

중소·중견 한국 제조사가 사이버보험(Cyber Insurance) 체계를 진단·인수심사·계약·청구·갱신 운영까지 진짜 무사히 정착시키는 5단계 로드맵. 1st party·3rd party·Tech E&O, BI/EE·랜섬·BEC·과징금·법무·PR·IR 보장, Lloyd's war exclusion 2023.3, Mondelez vs Zurich, OFAC 제재, SecurityScorecard·BitSight·RiskRecon·Black Kite 외부 점수, Marsh·Aon·WTW·Howden·국내 삼성화재·DB손해·현대해상·KB손해·메리츠 시장 매핑 실무.

#CyberInsurance #사이버보험 #위험전가 #GRC #랜섬웨어 #제조업

1. 왜 사이버보험인가 — 위험 전가의 마지막 통제

NIST·ISO 27005가 정의한 위험 대응 4 옵션: 회피·완화·전가·수용. 사이버보험은 전가의 핵심 도구. 침해 평균 비용(IBM 2024 한국) 38억, 랜섬 평균 한국 5억~50억, BEC 평균 5억. 모두 회사 운영 자금에서 즉시 지출 — 보험 없으면 1건 사고가 1년 영업이익을 잠식.

시장 현황(2024):

글로벌 시장 $15B(2024) → $80B+(2030 전망)
한국 시장 — 보유 보험료 5,000~~7,000억(2024 추정), 대형 보험사 6~~10곳
2021~2023 하드 마켓 — 보험료 +200%·인수 까다로움
2024 소프트닝 시작 — 보험료 안정·인수 범위 확대

오해 1 — “보험만 들면 침해 비용 다 보장.” 면책·한도·자기부담금·중대과실 면책 많음. 오해 2 — “회사가 작으면 인수 못 받음.” 중소 SME 패키지·간이심사 보험 다수. 오해 3 — “통제 좋으면 비싸지 않음.” 통제는 보험료에 직접 반영, MFA·EDR·DMARC·MDR 보유 시 20~50% 할인.

압박:

대기업·정부 RFP: 사이버보험 가입 증명 요구
EU NIS2·DORA: 보험 권고
글로벌 계약: 미국 거래처 사이버보험 요구
이사회·CFO 거버넌스: 위험 전가 책무
사이버 위험 정량화 의무(미 SEC·일부 EU)

2. 사이버보험 보장 구조 — 1st·3rd·Tech E&O

1st Party Coverage(직접 손해):

보장	내용
Cyber Incident Response	IR 회사·법무·PR·통보 비용
Business Interruption(BI)	중단으로 인한 매출 손실·EE(Extra Expense)
Data Restoration	데이터 복구·재구축
Ransom·Cyber Extortion	랜섬 지급(OFAC 제재 검토)·협상가
Forensics	디지털 포렌식 비용
Crisis Management·PR	평판 관리·언론
Notification	정보주체 통보 비용
Credit/ID Monitoring	정보주체 보호 서비스
Funds Transfer Fraud	BEC·송금 사기(자기 손실)
Computer Fraud	시스템 침입 손해

3rd Party Coverage(배상 책임):

보장	내용
Privacy Liability	개인정보 유출 손해배상
Network Security Liability	침해로 인한 타인 손해(예: 봇넷 활용으로 타사 공격)
Regulatory Defense·Fines	과징금·규제 대응(GDPR·HIPAA·한국) — 일부 면책
Media Liability	명예훼손·저작권
PCI Fines·Penalties	PCI 미준수 벌금

Tech E&O(Errors & Omissions):

SW·SaaS·MSP·System Integrator
서비스 결함으로 인한 고객 손해
대기업·기관 수주 시 의무

전문 부가 보장:

Bricking: 펌웨어 파괴(브릭) 하드웨어 교체
Hardware Replacement: 침해로 폐기된 H/W
Reputation Harm: 평판 회복(매출 손실)
Crypto-jacking: 클라우드 비용 폭증
Voluntary Notification: 법적 미의무도 자발 통보

3. 주요 면책·제외 사항

전통적 제외:

의도적 행위(고의)
알려진 침해(가입 전)
알려진 취약점 미패치
기존 진행 중인 인시던트
신체 손해(예외 가능)
무형 자산(가치) 손실

War Exclusion(2023 강화):

Lloyd’s 2023.3.31 이후 모든 사이버 보험에 War 또는 Cyber Operation 제외 명시 의무
LMA5564~5571 5종 표준 약관
국가 후원(state-sponsored) 사이버 작전 제외
Mondelez vs Zurich(2018 NotPetya·2022.10 합의) 사례
Merck vs ACE/Chubb(NotPetya·2024.1 New Jersey 대법원 — 보험사 패소·“war exclusion 부적용”) — 다른 결과

Social Engineering 제외:

BEC·송금 사기는 별도 약관·자기부담금 높음
“고의로 송금 승인” 시 일부 면책
Funds Transfer Fraud로 별도 보장 필요

OFAC·제재 면책:

제재 대상국(러시아·북한 등) 또는 제재 그룹(Lockbit·BlackCat 등)에 대한 랜섬 지급 불법
미국 OFAC 2020·2023 권고
한국 외환거래법 적용
협상가 활용·합법 라인 사전 확인 필수

Failure to Maintain Standards:

MFA 미적용·EDR 미배포 등 약관에 명시된 통제 미이행 시 면책
인수심사 시 신고 사항 — 거짓 신고 보험사 무효 가능

4. Stage 1 — 위험 정량화·인수심사 준비 (2~4개월)

Quantitative Cyber Risk Assessment:

자산 식별·가치 평가
시나리오 정량화(랜섬·BEC·DDoS·내부자·공급망)
손실 분포(FAIR·OpenFAIR·VaR)
도구: RiskLens(FAIR Institute)·Safe Security·CyberSaint·Kovrr·Cyberhedge

Cyber Risk Quantification(CRQ):

ALE(Annualized Loss Expectancy) — 연간 예상 손실
시나리오별 단일 손실 추정
보험 한도·자기부담금 최적화

Insurability Assessment:

보험사가 요구하는 Minimum Controls 충족 여부
자가진단 매트릭스(아래 자가점검 참조)

외부 사이버 위험 점수(보험사가 자동 조회):

SecurityScorecard: A~F 등급·10 카테고리
BitSight: 250~900 점수
RiskRecon(Mastercard): 0~10
Black Kite: A~F + Ransomware Susceptibility
UpGuard
보험사 직접 조회 — 미리 모니터링·개선

인수심사 요청서(Application·Underwriting Questionnaire):

일반 50~150 질문
IT 환경·통제·정책·인시던트 이력
거짓·누락 시 보험 무효
변호사·CISO·CFO 합동 검토 후 제출

Pre-Application 점검:

외부 점수 개선(60~120일)
핵심 통제 격차 보완
인시던트 이력 정리
정책·증빙 문서화

5. Stage 2 — 인수심사 통과·통제 검증 (지속)

보험사가 요구하는 Minimum Controls(2024 시장 표준):

MFA:

모든 외부 접근(VPN·웹메일·SaaS) MFA
관리자·특권 계정 MFA
Phishing-resistant MFA(FIDO2) 권장
미적용 시 보험 거부 또는 +50~100%

EDR/XDR:

모든 엔드포인트 EDR 배포
24/7 모니터링(자체 또는 MDR)
자동 차단 활성화

Backup:

3-2-1 백업(3 사본·2 매체·1 오프사이트)
Immutable/Air-gapped 백업(랜섬 대응)
정기 복구 테스트(반기)

Email Security:

SPF·DKIM·DMARC reject
ICES 또는 SEG
직원 피싱 시뮬레이션

Patch Management:

Critical 7일·High 30일 SLA
KEV 즉시 패치
EOL OS 미운영

Identity:

최소권한
90일 권한 검토
퇴직 즉시 회수
PAM (특권 계정)

Network:

Segmentation·Microsegmentation
외부 RDP 차단
VPN MFA·Zero Trust

Logging/Monitoring:

SIEM 1년+ 보관
24/7 모니터링(또는 MDR)
IR Plan + 분기 훈련

Vendor/3rd Party Risk:

공급사 보안 평가
SBOM
BCP/DRP 운영

6. Stage 3 — 보험 가입·계약 (1~3개월)

브로커 선정(중요):

Marsh·Aon·WTW(Willis Towers Watson)·Howden·Gallagher: 글로벌 3대+
국내: 삼성화재 그룹사·DB손해 그룹·현대해상·KB손해 + 전문 브로커
브로커 = 보험사 영업 X·보험가입자 대리인
다중 보험사 입찰·최적 조건

보험사 선정 — 한국 시장:

삼성화재해상보험: 시장 점유 1위·종합
DB손해보험: 중견·SME 패키지
현대해상화재보험
KB손해보험
메리츠화재해상보험
하나손해보험·롯데손해보험·NH농협손해보험
글로벌 — AIG·Chubb·Beazley·Hiscox·Travelers·Munich Re·Allianz·Tokio Marine(서울지점)

보장 한도(Limit) 결정:

정량 평가 기반(ALE)
일반 중견 — $5M~$25M(약 60억~300억) 권장
1st Party + 3rd Party + Sub-limits(랜섬·BEC·통보 별도)

자기부담금(Retention·Deductible):

사고당 자기부담 — 낮을수록 보험료 ↑
일반 — 1~~5% 한도·최소 1억~~10억
대기업 — 10억 이상

Sub-limit(보장별 한도):

랜섬 — 보통 전체 한도의 25~50%
BEC·Funds Transfer — 별도 낮은 한도
통보 — 1인당 $200~$2,000

계약 검토 — 변호사 + CISO + CFO:

핵심 정의(Cyber Incident·Loss·Insured)
War·State-sponsored 정의 명확
통제 유지 의무·신고 의무
통보 절차·SLA
사전 승인 IR·법무·PR 회사
Subrogation·Cooperation 의무

Pre-Incident Services(많은 보험사 제공):

위험 평가·취약점 진단
직원 교육·시뮬레이션
IR Plan 검토
외부 점수 모니터링
Tabletop Exercise

7. Stage 4 — 청구·인시던트 대응 (사고 시)

침해 발생 시 0~24시간:

즉시 보험사 통보(평균 24h 의무)
사전 승인 IR 회사 활용 — 보험 적용 보장
변호사 즉시 개입(Attorney-client privilege 보호)
사고 보전(증거·로그)
추가 손실 차단(완화 의무)

보험사 IR 패널:

사전 등록된 IR·법무·PR·통보·복구 회사
보험사 직접 결제·승인
자체 선정 가능하나 사전 승인 필요

Claim Process:

Notification: 1차 신고(전자·전화 24/7)
Initial Assessment: 보험사 평가 24~72h
IR Activation: 패널 IR 회사 투입
Coverage Determination: 보장 여부 확정
Loss Documentation: 손해 증빙
Settlement: 합의·지급

Loss Documentation(꼼꼼히):

IR 비용 청구서
BI 손실 — 매출 감소·재무 자료
데이터 복구 비용
통보·법무·PR 비용
자체 임직원 시간(일부 보장)

Subrogation·Salvage:

보험사가 침해 책임자 추가 청구 가능
협조 의무
공급사 침해 시 SBOM·계약 활용

Settlement 시간:

단순 사고 30~90일
복잡(랜섬·대규모) 6~12개월
분쟁 시 1~3년

8. Stage 5 — 갱신·KPI·고도화 (지속)

갱신 준비(만기 90일 전):

인수심사서 갱신(통제 변경·인시던트 이력)
외부 점수 개선
신규 위협(AI·PQC) 반영
통제·증빙 업데이트

보험료 변동 요인:

작년 청구 이력
외부 점수 변화
통제 강화·약화
산업·지역 위험
시장 사이클(하드·소프트)

KPI:

보장 vs 정량 손실 추정 적정성
인수심사 합격률
보험료 GDP%(매출 대비)
Sub-limit 적정성
청구 발생 시 처리 시간·금액

Captive Insurance(자가보험):

대기업 — 그룹 자체 보험사 설립
한국 — 일부 대기업 운영
위험 분산·세금 효과

Cyber Pool·CRO(Cyber Risk Office):

일부 대기업·산업 그룹 풀링
한국 KOICA·정부 검토

고도화:

CRQ 정착(FAIR·OpenFAIR)
외부 점수 자동 모니터링·개선
분기 Tabletop(보험사 동석)
AI·LLM 위험 — 신규 보장(LLM Output·AI 책임)
Quantum·PQC 위험 — 점진 약관 추가
공급망 보험(Vendor Risk Coverage)
ICS/OT·물리적 손해 결합(Property + Cyber Convergence)

컴플라이언스·거버넌스:

이사회 분기 사이버 위험 보고
정량 평가·보험 적정성
미국 SEC 4영업일 8-K 공시(상장사)
한국 ESG·CSR 보고서

9. 비용·ROI

항목	비용 (연간)
보험료(연 매출 1,000억·중견)	5천만~5억
보험료(대기업·민감)	5억~50억
자기부담금 1~10%	(사고 시) 1억~50억
CRQ 도구·외부 점수(SecurityScorecard·BitSight)	1천~3억
브로커 수수료 — 보험료에 포함	-
인력(위험관리 0.5~2명)	1~5억
합계 (중견 제조사)	1~10억 + 사고 시 자기부담

ROI:

침해 1건 평균 38억 vs 자기부담 1~5억 → 보험 절감 30억+
BEC 평균 5억 — 단일 사고로 1년치 보험료 회수
사이버보험 보유는 — 매출·평판·운영·BCP 모두 보호
대기업 RFP 가산점·필수 — 보험 없으면 입찰 불가
이사회·CFO 안심·거버넌스 충족
미국 시장 진입 — 보험 의무

10. 자가 점검

위험·인수 준비:

CRQ 정량 평가
외부 점수 모니터링(SecurityScorecard 등)
인수심사서 변호사·CISO 검토

최소 통제(2024 시장 표준):

보험 가입:

브로커 선정(Marsh·Aon·WTW·국내)
보장 한도 정량 근거
1st·3rd·Tech E&O 균형
War·OFAC·Social Engineering 약관
자기부담·Sub-limit 적정
Pre-Incident Services 활용

청구·운영:

고도화·거버넌스:

이사회 분기 보고
CRQ FAIR/Open FAIR 정착
AI·Quantum·공급망 신규 보장
Captive·Pool 검토(대기업)
미 SEC·한국 공시 의무 매핑

11. 마무리 — 위험 전가는 수동 안전망이 아닌 능동 거버넌스

사이버보험은 ① 위험 정량화·인수 준비, ② Minimum Controls 충족, ③ 가입·계약 검토, ④ 청구·인시던트 대응, ⑤ 갱신·KPI·고도화 — 5단계로 정착시킨다. 보험은 마지막 통제다, MFA·EDR·백업·DMARC·IR·MDR이 100% 적용된 후의 잔존 위험 전가 — 통제 없이 보험만 가입은 면책 폭증 또는 거부. 대신 통제 + 보험 결합은 침해 후 38억 손실을 1~5억 자기부담으로 흡수, 1년 영업이익을 지킨다.