사이버 보험 평가를 준비하는 방법 : 인수 담당자가 확인하는 항목과 자격을 갖추는 방법

사이버 보험 신청은 예전에는 서류 작업에 가까웠습니다. 오늘날에는 훨씬 더 보안 검토에 가깝게 느껴집니다. 보험을 갱신하려는 사업주나 COO는 보험사가 약관을 확인하기도 전에 다중 인증(MFA), 백업, 접근 통제, 직원 교육, 패치, 사고 대응, 비밀번호 관리에 대해 질문을 받을 수 있습니다.

인수 심사자는 어떤 통제가 마련되어 있는지, 어디에 적용되는지, 얼마나 일관되게 시행되는지, 그리고 기업이 이를 입증할 수 있는지 알고 싶어 합니다. 사이버 보험은 사이버 보안을 대체할 수 없기 때문입니다. 사이버 보험은 사이버 위험 관리의 일환으로 보안 통제, 사고 대응 계획, 복구 프로세스, 위험 관리와 함께합니다.

보험 가입이나 갱신을 준비하는 기업이라면, 보험사가 위험을 인수할 만큼 안심하기 전에 무엇을 확인하려는지 알아 두어야 합니다.

사이버 보험 인수 심사자가 실제로 확인하는 것

대부분의 보험사가 기대하는 통제

실용적인 사이버 보험 체크리스트

기업이 보험 인수 요건을 충족하기 어려운 이유

중소기업 위험이 보험 논의에 미치는 영향

Proton Pass가 사이버 보험 준비를 지원하는 방법

사이버 보험 인수 심사자가 실제로 확인하는 것

사이버 보험 심사는 기업이 사이버 사고를 겪을 가능성이 얼마나 높은지, 그 사고가 얼마나 심각해질 수 있는지, 그리고 기업이 복구할 준비가 얼마나 되어 있는지 파악하기 위해 설계되었습니다.

인수 심사자는 기업이 무엇을 하는지나 얼마나 많은 매출을 내는지만 보는 것이 아닙니다. 또한 기업이 접근, 자격 증명, 데이터, 시스템, 공급업체, 연속성을 어떻게 처리하는지도 이해하려 합니다. 관리자 통제가 취약하고, MFA 시행이 없으며, 백업을 테스트한 적이 없는 기업은 명확한 정책, 시행되는 통제, 복구 증거를 제시할 수 있는 기업과는 다른 위험 프로필을 보입니다.

그래서 사이버 보험 요건은 운영 보안에 초점을 맞추는 경우가 많습니다. 보험사는 공격자가 쉽게 침입할 수 있는지, 기업이 피해를 억제할 수 있는지, 그리고 몸값을 지불하거나 며칠 동안 오프라인 상태로 남지 않고 핵심 시스템을 복원할 수 있는지 알고 싶어 합니다.

사이버 보험 인수 심사에는 세부 설문지, 추가 질문, 증거 요청, 스캔, IT 제공업체와의 통화가 포함될 수 있습니다. 소규모 기업에게는 특히 보안에 대한 공식 프로세스가 마련되지 않은 경우 이 과정이 어려울 수 있습니다.

예를 들어, 회사에서 MFA를 사용한다고 말하는 것만으로는 충분하지 않습니다. 보험사는 MFA가 어디에서 어떻게 시행되는지, 관리자 계정을 포함하는지, 그리고 제외된 핵심 어플리케이션이 있다면 무엇인지 알고 싶어 할 수 있습니다. 더 설득력 있는 답변은 구체적이고 문서화되어 있으며 증거로 뒷받침됩니다.

대부분의 보험사가 기대하는 통제

사이버 보험 요건은 제공업체, 보험 유형, 회사 규모, 위험 프로필에 따라 다릅니다. 그럼에도 대부분의 심사는 이제 동일한 기본 신호를 찾습니다: 기업이 일반적인 공격을 예방할 수 있는지, 계정이 유출되었을 때 피해를 제한할 수 있는지, 중단 상황에서 복구할 수 있는지, 그리고 통제가 실제로 마련되어 있음을 입증할 수 있는지입니다. 여기에는 기업이 비밀번호를 어떻게 처리하는지도 자주 포함됩니다. 강력한 비밀번호 정책과 안전한 기업용 비밀번호 관리자는 실행할 수 있는 가장 효과적인 비밀번호 관리 모범 사례 중 하나입니다.

MFA

이는 많은 청구가 자격 증명 악용에서 비롯되기 때문에 보험사가 가장 먼저 확인하는 통제 중 하나입니다. 이메일, VPN, 원격 접근, 클라우드 플랫폼, 비밀번호 관리자 및 기타 핵심 어플리케이션에 2단계 인증이 활성화되어 있는지 질문을 받을 수 있습니다.

심사는 더 나아가 MFA가 모든 사용자에게 시행되는지, 특정 시스템에만 시행되는지, 관리자 계정에만 시행되는지, 그리고 그 시행이 실제로 어떻게 작동하는지 질문할 수 있습니다.

MFA를 사용할 수 있는 것과 MFA가 필수인 것에는 차이가 있습니다: 인수 심사자는 MFA가 시행되는지, 신원 제공자에서 구성되는지 아니면 앱별로 구성되는지, 그리고 누군가 인증 프롬프트를 통과하지 못하거나 우회하면 어떻게 되는지 알고 싶어 합니다.

더 설득력 있는 답변은 MFA가 어디에서 요구되는지, 어떤 어플리케이션이 적용되는지, 어떻게 시행되는지, 예외가 어떻게 승인되고 검토되는지를 보여 줍니다.

관리자 및 권한 있는 계정 보호

보험사는 또한 기업이 높은 수준의 접근 권한이 있는 계정을 어떻게 보호하는지 이해하려 합니다. 관리자 계정은 설정을 변경하고, 사용자를 생성하고, 민감한 데이터에 접근하고, 보안 통제를 비활성화하거나 시스템 간 이동할 수 있으므로 공격자에게 특히 가치가 높습니다.

기업은 관리자 접근이 특정 사람에게만 제한되는지, 정기적으로 검토되는지, MFA로 보호되는지, 일상적인 사용자 계정과 분리되어 있는지 질문을 받을 수 있습니다. 증거로는 접근 정책, 사용자 목록, 역할 기반 권한, 권한 있는 활동을 보여 주는 로그 등이 포함될 수 있습니다.

백업 및 복구 준비

백업이 중요한 이유는 보험사가 예방만 보지 않기 때문입니다. 또한 기업이 얼마나 빠르게 복구할 수 있는지도 알고 싶어 합니다. 랜섬웨어 공격, 실수로 인한 삭제 또는 시스템 장애가 기업에 영향을 미치는 경우, 보험사는 몸값을 지불하거나 중요한 데이터를 잃지 않고 복구할 수 있는지 알고 싶어 합니다.

이는 일반적으로 정기적이고, 무단 접근으로부터 보호되며, 테스트된 백업을 갖추는 것을 의미합니다. 백업이 있다고 말하는 것만으로는 충분하지 않습니다. 무엇이 백업되는지, 백업이 얼마나 자주 실행되는지, 어디에 저장되는지, 누가 접근할 수 있는지, 그리고 복원이 마지막으로 테스트된 시점을 제시할 준비가 되어 있어야 합니다.

엔드포인트 및 이메일 보안

많은 공격이 직원의 받은 편지함이나 기기에서 시작되므로 보험사는 엔드포인트 및 이메일 보호에 대해 자주 질문합니다. 여기에는 악성코드 방지, 엔드포인트 탐지, 스팸 필터링, 피싱 보호, 의심스러운 첨부 파일, 링크 또는 로그인 시도를 차단하는 통제가 포함될 수 있습니다.

특히 이메일의 경우, 보험사는 도메인이 공격자가 회사 주소를 스푸핑하지 못하도록 이메일 인증(SPF, DKIM, DMARC)을 사용하는지 질문할 수 있습니다.

소규모 기업의 경우 IT 제공업체가 처리하거나 이미 사용 중인 도구의 기본 기능을 통해 처리할 수 있습니다. 중요한 것은 어떤 보호가 활성화되어 있는지, 어떤 기기와 계정이 보호되는지, 경고나 사고가 어떻게 처리되는지 설명할 수 있는 것입니다.

패치 관리

오래된 소프트웨어는 공격자가 비즈니스 시스템에 더 쉽게 침입할 수 있는 경로를 제공합니다. 따라서 보험사는 기업이 운영 체제, 브라우저, 어플리케이션, 서버 및 기타 핵심 소프트웨어에 보안 업데이트를 얼마나 빠르게 적용하는지 질문할 수 있습니다.

또한 업데이트가 자동인지, 수동으로 검토되는지, 외부 IT 제공업체가 관리하는지 질문할 수 있습니다. 더 설득력 있는 답변은 누가 패치 관리를 담당하는지, 업데이트가 어떻게 추적되는지, 기업이 긴급 취약점을 어떻게 처리하는지 설명합니다.

직원 보안 교육

보험사는 직원이 피싱, 사회공학, 가짜 청구서, 악성 링크, 자격 증명 탈취의 표적이 되는 경우가 많다는 것을 알고 있습니다.

반복적인 보안 인식 교육은 이러한 노출을 줄이는 데 도움이 되며, 특히 피싱 인식 교육은 대부분의 자격 증명 관련 청구의 원인이 되는 공격 유형을 다룹니다. 그럼에도 심사는 직원이 교육을 받았다는 일반적인 설명 이상을 요구할 수 있습니다.

기업은 교육이 얼마나 자주 이루어지는지, 무엇을 다루는지, 신규 직원이 온보딩을 받는지, 직원이 의심스러운 활동을 신고하는 방법을 아는지 제시해야 할 수 있습니다. 실용적이고 반복적인 교육이 아무도 다시 찾지 않는 일회성 세션보다 더 유용합니다.

사고 대응 계획

문서로 작성된 사고 대응 계획은 문제가 발생했을 때 기업이 무엇을 해야 하는지 알고 있음을 보여 줍니다. 보험사는 기업이 보안 사고를 식별, 보고, 억제, 에스컬레이션하는 문서화된 프로세스를 갖추고 있는지 질문할 수 있습니다.

이 계획에는 누가 책임자인지, 누구에게 연락해야 하는지, 증거가 어떻게 보존되는지, 그리고 필요할 때 회사가 직원, 공급업체, 고객, 법률 고문 또는 규제 기관과 어떻게 소통하는지가 명확히 드러나야 합니다. 단순한 계획이라도 위기 상황에서 즉흥적으로 대응하는 것보다 낫습니다.

타사 접근 통제

공급업체, 계약업체, 대행사, IT 제공업체, 소프트웨어 파트너는 비즈니스 시스템이나 데이터에 접근할 수 있을 때 위험을 초래할 수 있습니다. 보험사는 타사 접근이 제한되고 검토되며, 더 이상 필요하지 않을 때 제거되는지 질문할 수 있습니다.

또한 공급업체 계정의 MFA, 외부 사용자를 위한 별도 자격 증명, 접근 승인을 위한 명확한 프로세스를 확인할 수 있습니다. 기업은 누가 접근 권한을 가지고 있는지, 무엇에 접근할 수 있는지, 왜 필요한지, 그리고 해당 접근 권한이 마지막으로 언제 검토되었는지 제시할 수 있어야 합니다.

실용적인 사이버 보험 체크리스트

사이버 보험 신청이나 갱신을 시작하기 전에, 기업은 보안 통제가 계획만 되어 있는 것이 아니라 이미 작동하고 있다는 증거를 수집해야 합니다. 인수 심사자는 모든 소규모 기업이 엔터프라이즈 수준의 문서를 갖추기를 기대하지는 않습니다. 하지만 명확한 답변, 일관된 관행, 그리고 기업이 접근, 복구, 교육, 사고 대응이 어떻게 처리되는지 설명할 수 있다는 증거를 기대합니다.

체크리스트가 보장이나 보험료 인하를 보장하지는 않지만, 심사를 더 효과적으로 만들고, 불필요한 주고받음을 줄이며, 기업이 더 설득력 있는 답변으로 인수 심사 과정에 들어가는 데 도움이 될 수 있습니다.

사이버 보험 준비 체크리스트

MFA

준비할 증거: 이메일, 클라우드 앱, 원격 접근, 관리자 계정 및 문서화된 예외를 포함하여 MFA가 시행되는 시스템 목록.

비밀번호 관리

준비할 증거: 비밀번호 관리자 정책, 사용자 도입 기록, 공유 보관함 구조, 관리자 설정, 취약하거나 재사용되거나 노출된 비밀번호를 보여 주는 보고서.

백업

준비해야 할 증거: 백업 일정, 저장 위치, 접근 제어, 보존 정책, 가장 최근 복원 테스트 날짜.

침해 사고 대응 계획

준비해야 할 증거: 서면 대응 계획, 에스컬레이션 연락처, 내부 역할, 보고 단계, 최근 테이블톱 훈련 또는 계획 검토.

교육 기록

준비해야 할 증거: 보안 교육 날짜, 참석 기록, 온보딩 자료, 피싱 인식 콘텐츠, 직원 대상 신고 지침.

패치 관리

준비해야 할 증거: 패치 정책, 업데이트 로그, 대상 시스템 목록, 소유권 세부사항, 긴급 취약점 해결 기록.

특권 접근 검토

준비해야 할 증거: 관리자 사용자 목록, 역할 기반 권한, 접근 검토 기록, 특권 계정의 MFA 상태, 오프보딩 문서.

기업이 자격을 갖추기 어려운 이유

기업이 사이버 보험에 어려움을 겪는 이유는 보험 신청 과정에서 일상 운영으로는 숨길 수 있는 허점이 드러나기 때문입니다. 기업은 일부 시스템에 MFA를 적용하고, 백업을 갖추고, IT 업체의 지원을 받을 수 있으며, 직원들이 피싱의 기초를 알고 있을 수 있습니다. 하지만 보험사는 기업 전반의 일관성을 확인합니다. 통제가 어디에서 시행되는지, 누가 이를 책임지는지, 얼마나 자주 검토되는지, 각 답변을 뒷받침하는 증거는 무엇인지 등입니다.

이는 보안을 공식 문서 없이 점진적으로 구축해 온 소규모 기업에 특히 어렵습니다. 서로 다른 시스템을 통해 접근 권한이 부여되고, 공유 자격 증명이 안전한 팀 비밀번호 관리자 대신 스프레드시트에 남아 있을 수 있으며, 백업이 최근에 테스트되지 않았을 수 있고, 보안 교육이 비공식적으로 이루어질 수도 있습니다.

이러한 문제 중 어느 것도 기업이 보험에 가입할 수 없다는 것을 자동으로 의미하지는 않지만, 인수 심사 중 지연, 면책, 더 높은 보험료, 추가 질문을 초래할 수 있습니다.

가장 강력한 신청서는 일반적으로 가장 복잡한 보안 프로그램을 갖춘 기업의 것이 아닙니다. 핵심 통제가 어떻게 작동하는지, 남은 허점이 어디에 있는지, 기업이 이를 해결하기 위해 무엇을 하고 있는지 명확히 보여줄 수 있는 기업의 것입니다.

중소기업 위험이 보험 논의에 미치는 영향

보험사가 통제에 관심을 두는 이유는 중소기업이 공격자에게 보이지 않는 존재가 아니기 때문입니다. Proton의 SMB 사이버보안 보고서⁠에 따르면, 지난해 중소기업 네 곳 중 한 곳이 사이버 보안 조치를 갖추고도 보안 사고를 당했습니다. 이 보고서는 인적 오류, 일관성 없는 보안 정책, 데이터 통제 부족을 주요 원인으로 지적합니다.

많은 기업이 보안 조치를 이미 마련한 상태에서 사이버 보험을 신청하지만, 심사는 그러한 조치가 일관되고 최신이며 입증하기 쉬운지를 보여 주는 경우가 많습니다. MFA가 일부 계정은 보호하지만 다른 계정은 보호하지 못할 수 있습니다. 백업이 예정대로 실행되지만 최근 복원 테스트가 없을 수 있습니다. 기업이 성장하면서 관리자 접근 권한이 확대되었지만, 누가 여전히 이를 필요로 하는지에 대한 명확한 기록이 없을 수 있습니다.

COO나 기업 소유주에게 이러한 심사는 보험증권이 발급되기 전에도 유용할 수 있습니다. 이는 일상적인 가정을 구체적인 증거로 바꿔 줍니다. 접근 목록, 백업 기록, MFA 적용 범위, 비밀번호 관행, 문서화된 정책, 알려진 허점 등입니다. 사람들이 일어나고 있다고 믿는 것에 의존하는 대신, 기업은 통제가 실제로 어떻게 작동하는지 더 명확하게 파악할 수 있습니다.

이렇게 보면, 심사는 보험 가입을 가로막는 장애물만이 아닙니다. 이는 기업이 보안 사고 발생 시 가장 중요한 약점을 파악하고, 문제를 해결하기가 더 어렵고 비용이 많이 들거나 더 큰 혼란을 초래하기 전에 이를 수정하도록 도울 수 있습니다.

Proton Pass가 사이버 보험 준비를 지원하는 방법

사이버 보험 심사는 백업, 패치, 사고 대응, 직원 교육, 네트워크 보안, 공급업체 위험을 포함해 기업 전체를 살펴봅니다. 비밀번호 관리자가 모든 요구 사항을 단독으로 충족할 수는 없지만, 보험사가 면밀히 검토하는 영역 중 하나를 강화할 수 있습니다. 바로 기업이 자격 증명 관리와 접근을 어떻게 처리하는지입니다.

Proton Pass for Business⁠와 같은 기업용 비밀번호 관리자는 팀이 안전하지 않은 비밀번호 습관을 보다 통제된 시스템으로 바꾸도록 돕습니다. 직원은 종단간 암호화된 비밀번호 보관함에 고유한 비밀번호를 만들고 저장할 수 있으며, 자동완성을 사용해 재사용을 줄이고, 패스키를 관리하고, 이메일, 스프레드시트, 채팅 스레드, 브라우저에 저장된 비밀번호에 의존하지 않고 자격 증명을 안전하게 공유할 수 있습니다.

내장된 2단계 인증은 또한 비밀번호와 인증 코드를 하나의 안전한 워크플로에 유지하도록 도와, 서로 다른 앱과 개인 기기에 접근을 분산시켜 마찰을 키우고 사람들을 편법으로 내모는 일을 줄여 줍니다.

IT 팀을 위한 비밀번호 관리자인 Proton Pass는 이러한 관행을 더 쉽게 시행하는 데 필요한 가시성과 통제를 제공합니다. 팀은 비밀번호 요구 사항을 구성하고, 2단계 인증 정책을 시행하고, 보관함 접근을 관리하고, 역할 기반 권한을 할당하고, SCIM으로 사용자를 프로비저닝하고, 싱글 사인온(SSO)을 지원하고, 규정 준수 또는 사고 대응 검토를 위해 로그를 사용할 수 있습니다. 이러한 기능은 MFA, 비밀번호 관리, 공유 자격 증명, 특권 접근, 온보딩, 오프보딩, 접근 검토와 관련된 일반적인 인수 심사 질문을 지원할 수 있습니다.

더 광범위한 사이버 보험 신청서에는 나머지 보안 프로그램 전반에 걸친 문서가 여전히 필요합니다. 하지만 심사의 자격 증명 부분에서는 Proton Pass가 기업이 더 명확한 답변을 제공하도록 도울 수 있습니다. 누가 접근 권한을 가지는지, 자격 증명이 어떻게 보호되는지, 공유가 어떻게 통제되는지, 인수 심사 담당자가 요청할 때 어떤 증거를 제시할 수 있는지 등입니다.

기업용 비밀번호 관리자⁠로 모든 사이버 보험 요건을 충족하세요.