[딜사이트 이솜이 기자] 금융권을 중심으로 해킹 사고가 잇따르고 있지만 정작 피해 배상의 안전망 역할을 할 사이버보험 시장은 걸음마 단계에 머물러 있다. 보험료 수입은 두 자릿수 증가세를 이어가고 있지만 전체 손해보험 시장에서 차지하는 비중은 0.1%에도 미치지 못한다. 일부 보험사가 전담 조직과 전문 인력을 앞세워 시장 선점에 나선 것과 달리 상당수는 기존 법인영업 조직을 활용하는 수준이다. 기업의 가입 수요는 제한적인데 보험사가 감당해야 할 위험은 커 시장 확대에 좀처럼 속도가 붙지 않고 있다는 분석이다.

20일 보험업계에 따르면 올해 상반기 5대 손해보험사(삼성화재·DB손해보험·메리츠화재·현대해상·KB손해보험)의 합산 사이버보험 원수보험료는 313억원으로 집계됐다. 전년 동기(248억원)보다 26.2% 증가한 규모다.

최근 2년간 성장세도 가파르다. 5대 손보사의 합산 사이버보험 원수보험료는 2024년 424억원에서 2025년 525억원으로 23.8% 늘었다. 그러나 전체 원수보험료에서 사이버보험이 차지하는 비중은 2024년 0.04%, 2025년 0.05%에 불과했다. 올해 상반기에도 0.06%에 그쳐 여전히 0.1%를 밑돌았다. 보험료 증가 속도에 비해 시장의 절대적인 규모는 턱없이 작은 셈이다.

사이버보험은 해킹 사고 등에 따른 개인정보 유출로 발생한 기업의 손실과 배상책임을 보장하는 상품이다. 크게 개인정보보호·전자금융거래 배상책임보험과 사이버 패키지보험으로 구분할 수 있다. 개인정보보호 배상책임보험은 일정 요건에 해당하는 기업이 보험·공제 가입이나 준비금 적립 등을 통해 손해배상책임 이행을 보장하도록 하는 제도다. 금융회사 등에 적용되는 전자금융거래 관련 책임이행보험 역시 별도의 의무 규정을 두고 있다. 반면 사이버 패키지보험은 기업 자체 손해와 제3자 배상책임 등을 폭넓게 담보하는 임의 가입형 상품이다.

시장 규모가 작고 기업의 가입 수요도 제한적인 만큼 보험사별 사업 전략에는 온도차가 나타나고 있다. 전담 부서를 신설하고 전문 인력을 확보해 시장 선점에 나서는 보험사가 있는 반면, 기존 기업보험 조직에서 관련 상품을 취급하는 곳도 적지 않다.

사이버보험 시장 확대에 가장 적극적으로 나서고 있는 보험사로는 한화손해보험이 꼽힌다. 한화손보는 2024년부터 사이버보험 전담 부서인 '사이버보험부'를 운영하고 있다. 해당 부서는 상품 영업 및 개발을 비롯해 고객사 위협관리, 법무법인·국내 보안기업 등과의 파트너십 운영 등의 역할을 수행한다. 단순 상품 판매에 그치지 않고 기업의 보안 리스크 컨설팅까지 병행하는 게 특징이다.

삼성화재와 현대해상도 각각 사이버보험과 연계된 조직이나 인력을 별도로 두고 있다. 삼성화재는 국내 사이버보험 시장 조성 및 사업 모델 발굴을 목표로 사이버컨설팅 태스크포스(TF)를 출범시켰다. 현대해상은 기업보험부문 특종UW파트 내 사이버보험 인력을 배치한 상태로, 이를 위해 지난 6월 정보보안전문가를 신규 채용했다. 정보보안전문가는 계약자의 보안 수준을 진단하고 예상최대손실(PML)을 산출하는 등 위험 평가 업무를 수행한다.

반면 별도 전담 조직을 두지 않은 보험사들은 기존 일반보험 체계 안에서 사이버보험을 취급하고 있다. 법인영업 담당자가 상품을 판매하고 전문 언더라이터가 인수 심사를 맡는 방식이다. 아직 시장 수요가 충분히 형성되지 않은 만큼 별도 조직을 확대하기보다 기존 인력과 영업망을 활용하는 전략으로 풀이된다.

보험사들이 사이버보험 사업 확대에 신중한 배경에는 제한적인 수요에 비해 감당해야 할 위험이 크다는 현실이 자리한다. 사이버 위험은 자동차보험이나 화재보험과 달리 장기간 축적된 손해 통계가 부족해 보험료 산출이 까다롭다. 해킹 수법과 피해 양상이 빠르게 달라지는 데다 하나의 사고가 여러 기업에 동시다발적인 손실을 초래할 가능성도 있다.

특히 보장한도가 높은 상품일수록 보험사가 재보험사에 분산해야 할 위험도 커진다. 대형 보안 사고는 단 한 차례만으로도 막대한 피해를 초래할 수 있지만 손실 규모를 사전에 예측하기는 쉽지 않다. 원수보험사의 보험료율 책정은 물론 재보험사의 가격·인수 조건 설정도 까다로울 수밖에 없는 구조다. 재보험 확보에 따른 비용 부담 역시 보험사의 적극적인 시장 진입을 제약하는 요인으로 꼽힌다.

기업들이 사이버보험 가입을 확대할 유인이 부족하다는 점도 시장 성장을 가로막고 있다. 해외와 비교해 개인정보 유출 피해에 대한 집단적 배상책임을 현실화하는 제도적 기반이 제한적인 데다, 법정 최저가입금액 역시 대규모 사고의 피해를 충분히 감당하기에는 낮다는 지적이다.

미국은 집단소송제도가 정착돼 일정 요건을 충족하면 소송에 직접 참여하지 않은 피해자도 판결의 효력을 통해 배상받을 수 있다. 대규모 개인정보 유출 사고가 기업에 상당한 배상 부담으로 이어질 수 있는 구조다. 기업으로서는 사고 발생에 따른 재무적 위험을 보험으로 분산할 필요성이 커지는 셈이다.

반면 한국은 미국식 집단소송과 유사한 제도가 증권 분야를 중심으로 운영되고 있다. 개인정보 유출 피해에 대해서도 집단분쟁조정과 단체소송 등의 구제 수단이 마련돼 있지만, 피해자 전체에 대한 일괄적인 금전배상에는 한계가 있다. 집단적 피해에 따른 기업의 배상책임이 충분히 현실화되지 못하면서 사이버보험을 통한 사후 대비의 필요성도 상대적으로 낮게 인식된다는 분석이다.

의무적으로 마련해야 하는 손해배상 보장 수준도 시장 확대를 이끌기에는 역부족이라는 평가다. 업종과 관계없이 일정 요건을 충족한 기업에 적용되는 개인정보보호 배상책임보험의 법정 최저가입금액은 매출액과 개인정보 처리 규모에 따라 5000만~10억원으로 정해진다.

가장 높은 구간에 속하는 기업도 10억원의 보장한도를 확보하면 법정 최저기준을 충족할 수 있다. 대규모 개인정보 유출 사고로 피해 규모가 수백억~수천억원에 달할 가능성을 고려하면 실제 위험에 비해 최소 보장 수준이 낮다는 지적이다. 기업들이 예상 피해 규모에 맞춰 보장을 확대하기보다 법정 기준만 충족하는 데 그칠 유인이 있는 셈이다.

보험사에는 높은 위험 부담이, 기업에는 부족한 가입 유인이 맞물리면서 사이버보험 시장이 성장의 한계를 벗어나지 못하고 있다는 진단이다. 보험업계 관계자는 "사이버보험은 자동차보험이나 화재보험과 달리 장기간 축적된 통계가 부재해 위험 평가와 요율 산정이 상대적으로 어려운 편"이라며 "기업의 산업군과 데이터 보유량, 각 사별 보안 수준마다 위험도 차이가 크고, 사이버보험을 둘러싼 인식 부족과 보험료 부담 등도 맞물려 작용하고 있다"고 말했다.