UK 소규모 사업체가 실제로 사이버 보험이 필요한가?

사이버 보험은 영국에서 고용주 배상책임 보험처럼 법적으로 의무가 아니지만, 보험사는 이제 가입 신청 단계에서 충분한 보안 질문을 제시해서 정책을 받으려면 그렇지 않으면 무시했을 문제를 해결하게 된다. 고객 결제 데이터, 개인 기록, 또는 UK GDPR에 포함된 항목을 다루는 소규모 사업체라면 사이버 보장을 건너뛰는 것은 대부분 소유자가 첫 사건 이후에 후회하는 도박이다.

보험사가 견적 전에 확인하는 것

사이버 견적을 요청하면 미니 감사처럼 읽히는 신청서를 작성하게 된다. UK 보험사들(Hiscox, AXA, Lloyd's syndicates의 사이버 전문 보험인수자 모두 유사한 패턴을 따름)의 표준 질문은 다음을 포함한다:

• 이메일 및 원격 접속(특히 RDP)에 대한 다중 인증 (보험사는 MFA 없는 노출된 RDP를 거의 자동 거절에 가깝게 취급)
• 오프라인 또는 불변 백업 보유 여부 및 복원 테스트 빈도
• 모든 회사 기기(서버뿐 아니라)의 엔드포인트 보호
• 중요 취약점에 대한 패치 관리 일정
• 지난 3-5년간 침해 또는 랜섬웨어 사건 여부
• 직원 보안 인식 교육 빈도

MFA 또는 백업에 "아니오"라고 답하면 거절당하거나 훨씬 높은 보험료로 견적을 받거나 실제로 쓸모없는 랜섬웨어 서브한도가 있는 정책을 제시받을 것이다. 이는 보험사가 어렵게 구는 것이 아니다 — 2021년 랜섬웨어 청구가 급증한 이후로 업계 전반의 지급 데이터가 보험인수자에게 요구사항을 강하게 강화하도록 밀어붙였다.

대부분 정책이 기대하는 최소 기술 기준

시장 전역 신청서에서 무엇이 요구되는지를 바탕으로, 이를 신청 전 최소치로 취급하라:

• 모든 이메일 계정 및 모든 원격 접속 도구에 대한 MFA (Microsoft 365 Conditional Access 또는 Duo 같은 도구)
• 3-2-1 패턴을 따르는 백업, 최소 하나의 복사본은 오프라인이거나 메인 네트워크에서 에어갭
• 문서화된 사건 대응 연락처 — "이 MSP 번호로 전화해"일지라도
• 엔드포인트 감지(레거시 안티바이러스만이 아닌), 고객 데이터를 다루는 모든 것
• 인바운드 RDP/SSH를 공개 인터넷에서 제한하는 방화벽 규칙

5명 규모의 컨설팅 회사가 Microsoft 365와 몇 대의 노트북으로 모든 것을 운영한다면 이는 주말 안에 달성 가능하다. 레거시 온프레미스 서버를 패치 일정 없이 운영 중이라면 언더라이팅 프로세스가 더 오래 걸리고 비용이 높을 것으로 예상하라.

정책이 실제로 지급하는 것

UK 사이버 정책은 일반적으로 여러 유형의 보장을 묶고, 자신이 보호받는다고 가정하기 전에 각각이 무엇을 하는지 알 가치가 있다:

• 제1당사자 비용: 사건 대응(포렌식, 침해 코치 같은 회사), 사업 중단, 몸값 협상 및 지불(법적일 경우), 데이터 복구, PR/위기 커뮤니케이션
• 제3당사자 배상책임: 데이터가 노출된 고객 또는 파트너로부터의 청구, 더하기 규제 방어 비용
• ICO 벌금: 보장 범위는 다양함 — 일부 정책은 규제 벌금의 보험가능성이 영국에서 법적으로 불명확하므로 규제 벌금을 완전히 제외하므로 이 조항을 주의 깊게 읽으라.

£2m 사업 중단 한도는 관대해 보이지만 가동 중단 한 주가 실제로 잃어버린 청구서, 직원 시간, 고객 이탈에서 실제로 얼마나 비용이 드는지 계산할 때까지다. 한도를 선택하기 전에 그 숫자를 직접 모델링하라 — 브로커의 기본 추천을 그냥 받아들이지 말라.

보험 없이도 침해를 법적으로 보고해야 하는가?

그렇다, 그리고 이는 소규모 사업체를 걸리게 한다. UK GDPR에 따르면 침해가 사람들의 권리와 자유를 위험에 빠뜨린다면 보험 여부와 관계없이 72시간 이내에 ICO에 통보해야 한다. 사이버 보험은 그 의무를 제거하지 않는다 — 마감을 현실적으로 충족할 수 있게 해주는 포렌식 및 법적 지원 비용을 지급한다. 주니어 IT 계약자와 Word 문서를 사용해서 보험 없이 침해 대응을 실행하려고 하는 것은 사업체가 스스로 늦게 보고하고 원래 사건보다 더 많은 ICO 조사를 끌어들이는 방식이다.

소규모 사업체 소유자를 걸리게 하는 일반적인 문제

• 일반 사업 보험 정책이 사이버 사건을 보장한다고 가정 — 대부분 명시적으로 제외하고 있다
• 신청서에서 알려진 취약점을 공개하지 않기 (보험사는 중대한 비공개로 정책을 무효화할 수 있다)
• 랜섬웨어 서브한도를 확인하지 않고 가장 저렴한 정책 구매, 이는 때때로 헤드라인 보장 금액의 일부다
• 명명된 사건 대응 공급자 없음, 실제 공격 중에 하나를 찾으려고 서둘러야 한다는 의미

Add-on으로 판매하는 일반주의자가 아니라 사이버에 특화된 브로커를 구하라. 청구 경험의 차이는 크다.

보험사가 실제로 확인하는 기술적 측면에서 더 깊이 들어가고 싶다면, Korra Studio의 Blue Team 및 Digital Forensics 섹션을 참조하라 — 이들은 언더라이팅 대화를 훨씬 덜 고통스럽게 만드는 종류의 세부 사항에서 사건 대응 및 백업 아키텍처를 다룬다.