미국 사례를 통한 사이버 위험 발생 양상 및 개인정보 유출위험의 재정적 영향 분석과 국내 보험산업에의 시사점
Determinants of Cyber Loss Occurrence and the Financial Impact of Data Breach Risk in the U.S. Market: Implications for the Korean Insurance Industry
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
본 연구는 개인정보 유출로 인한 재정적 손실 발생 및 규모를 결정하는 요인들을 분석하고 현 개인정보 유출 배상책임보험 시장에 제공하는 시사점을 살펴보았다. 지난 30년간(1992년 ~ 2020년) 미국 내 사이버 위험에 대한 개별 관측치들을 수집한 데이터를 기반으로 분석한 결과, 기업 규모가 크거나 동종업계의 기대 보안 수준이 높을수록 개인정보 유출로 인한 손실을 경험할 가능성이 크다는 것을 확인하였다. 기존 연구의 결과에 따르면 경쟁사들의 기대 보안 수준이 높다는 것은 사이버상 공격자의 목표 수정이 발생하여 부정적 외부효과로 이어질 수 있다고 해석할 수 있다. 또한, 개인정보 유출 건수 및 기업 규모가 재정적 비용을 결정하는 핵심 변수임을 확인하였으며, 특히 소송을 경험하거나 금융산업에 속한 기업들(은행, 보험사)이 경험하는 재정적 비용이 그렇지 않은 기업들이 경험하는 것에 비해 더 크다는 것을 확인하였다. 한편, 손실 규모가 작은 사건일수록 개인정보 유출 건수당 비용이 더 크다는 점을 확인하였는데, 이는 유출 건수당 평균비용으로 손실액 추정 방식을 주로 고려한 기존 연구의 한계점을 드러낸다. 본 연구는 개인정보 유출로 인한 총 재정비용을 유출 사건으로 인한 순수 피해액(소송 비용이 포함되지 않은 금액)으로 대체하여 모형의 강건성을 검증하였다. 본 연구에서 도출한 결과가 향후 개인정보 유출 배상책임보험 시장 또는 사이버 보험 시장의 언더라이팅에 도움이 될 것으로 기대한다.
Abstract
We examine what determine cyber loss occurrence and financial costs of data breach loss events, and discuss implications of the findings for the current third-party liability insurance market of data breach risk in Korea. Using one of the largest databases for cyber risk over the last three decades in the U.S., we identify that a large-sized firm or one with a higher industry-level security is more likely to face cyber loss occurrence, where in the literature the higher industry-level security implies negative externality to increase loss probability by a target-changing plan of cyber attackers. We also find that the number of breached records and firm size are the key determinants of financial costs by data breach events. Firms with litigation or affiliated with the financial services industry (i.e. banks and insurers) tend to have more costs. We determine that a smaller-sized loss event shows larger cost per breached record, the finding that can help overcome the limitation of the literature suggesting the average cost per record for claims calculation. We check robustness of the findings using pure financial losses of events (without litigation cost) as an alternative measure to the total cost. Our findings are material for cyber insurers and market participants to better understand data breach loss events and develop the underwriting process of cyber risk.
참고문헌 (30)
- 사이버보험의 현황과 과제, "유진호", KISA (한국인터넷진흥원), 1~12, pp.KISA (한국인터넷진흥원) Report, 제 6권 (2018)
- 장우리, "국내서 신용카드 정보 대량 유출 정황... 경찰수사", 연합뉴스, ~ (2020)
- 사이버 위험관리를 위한 보험의 역할 및 과제, "최우석", The Risk 코리안리재보험(주), 1~11, pp.제4권 제4호 (2017)
- AIR Worldwide, "Insuring cyber risk", Boston, ~ (2017)
- A.M. Best, "Cyber insurers are profitable today, but wary of tomorrow’s risks", New Jersey, ~ (2019)
- Boston Consulting Group, "Global Wealth 2019: Reigniting redical growth", Boston, ~ (2019)
- Cartagena, S., "Silent cyber assessment framework", British Actuarial Journal, 25(2), pp.1~19 (2020)
- Daffron, J., "Bashe attack: Global infection by contagious malware" (2019), Cambridge Centre for Risk Studies
- de Jong, P., "Generalized linear models for insurance data" (2008), Cambridge University Press
- Dreyer, P., "Estimating the global cost of cyber risk" (2018), RAND Corporation
- Edwards, B., "Hype and Heavy Tails: A Closer Look at Data Breaches", Journal of Cybersecurity, 2(1), pp.3~14 (2016)
- Ehrlich, I., "Market insurance, self-insurance, and self-protection", Journal of Political Economy, 80(4), pp.623~648 (1972)
- Cyber risk and the U.S. financial system: A pre-mortem analysis, "Eisenbach, T. M.", Federal Reserve Bank of New York, ~, pp.Staff Report No. 909 (2020)
- Eling, M., "Copula approaches for modeling cross-sectional dependence of data breach losses", Insurance: Mathematics and Economics, 82, pp.167~180 (2018)
- Loss aversion leads to fatalistic management of interdependent risk, "Eling, M.", ~ (2020)
- Eling, M., "Data breaches: Goodness of fit, pricing, and risk measurement", Insurance: Mathematics and Economics, 75, pp.126~136 (2017)
- Eling, M., "What do we know about cyber risk and cyber risk insurance?", Journal of Risk Finance, 17(5), pp.474~491 (2016)
- Eling, M., "What are the actual costs of cyber risk events?", European Journal of Operational Research, 272(3), pp.1109~1119 (2019)
- Hofmann, A., "Addressing insurance of data breach cyber risks in the catastrophe framework", The Geneva Papers on Risk and Insurance – Issues and Practice, 46, pp.53~78 (2020)
- Jung, K, "Extreme data breach losses: An alternative approach to estimating probable maximum loss for data breach risk", North American Actuarial Journal (2021)
- McFadden, D., "Frontiers in econometrics", pp.105~142 (1974), Academic Press
- Muermann, A., "Self-protection and insurance with interdependencies", Journal of Risk and Uncertainty, 36(2), pp.103~123 (2008)
- Cost of a data breach report, "Ponemon Institute", ~ (2018)
- Cost of a data breach report, "Ponemon Institute", ~ (2019)
- Ralph, O, "Extreme cyber attack could cause $120bn in economic damage", The Financial Times, ~ (2017)
- Romanosky, S., "Examining the costs and causes of cyber incidents", Journal of Cybersecurity, 2(2), pp.121~135 (2016)
- Romanosky, S., "Content analysis of cyber insurance policies: How do carriers price cyber risk?", Journal of Cybersecurity, 5(1), pp.1~19 (2019)
- Wheatley, S., "The extreme risk of personal data breaches and the erosion of privacy", The European Physical Journal B, 89(7) (2016)
- The Global Risks Report 2020, "World Economic Forum", ~ (2020)
- Zhao, X., "Managing interdependent information security risks: Cyberinsurance, managed security services, and risk pooling arrangements", Journal of Management Information Systems, 30(1), pp.123~152 (2013)