미국 사례를 통한 사이버 위험의 이질성 연구

Heterogeneity in cyber risks with the U.S. cases: An application of the Lee and Carter model

본 연구는 사망률 추정에 널리 활용되는 Lee and Carter(1992)의 모형을 기반으로 사이버 손실 발생확률을 설명하는 모형을 제안하였다. 제안된 모형을 통해 업종 및 기업규모로 대표되는 기업 특성효과와 시간효과를 동시에 고려한 사이버 위험의 이질성을 분석하였다. 미국에서 발생한 사이버 손실사건 데이터를 분석한 결과 기업규모가 클수록 손실을 경험할 확률이 더 높으며, 미디어 등의 정보 전달과 관련된 산업, 교육업, 금융업에 속한 기업일수록 손실을 경험할 확률이 높아지는 것을 확인하였다. 다만, 사이버 위험에의 취약성 측면에서는 전기 또는 수도와 같은 공공기반 산업이 가장 높으며, 정보 또는 금융산업의 취약성은 상대적으로 낮음을 확인하였다. 또한, 본 연구는 시간의 흐름에 따라 사이버 손실사건이 점차 증가하는 양상을 보이고 있음을 확인하였는데, 이는 사이버 손실사건 빈도 추세에 관하여 상반된 결과를 주장해 온 기존 연구를 보완하는 근거를 제공할 수 있다. 본 연구에서 도출한 결과는 사이버 보험 인수 과정에 있어서 기업규모 및 산업 특성이 중요함을 강조하며, 시간의 흐름에 따라 증가하는 손실 추세에 대응하기 위한 시장 및 공공의 역할을 논의하는 데 도움이 될 것으로 기대한다.

We investigate firm-specific and time effects on cyber risk frequency using a widely-used mortality model proposed by Lee and Carter(1992), which helps analyze heterogeneity in cyber risks by firm size and industry. Using a large dataset of cyber risk, we find that large organizations and those in the financial, information, and public sectors are likely to be more exposed to cyber risks. However, we find that utility industries are relatively more vulnerable to cyber risks than information or financial industries. In addition, we determine that cyber risk frequency tends to increase over time, which can provide supporting evidence for the literature of increasing frequency of cyber loss events. Our results can help cyber insurers or policymakers to be better aware of the importance of firm size and industry in cyber risk underwriting and further discuss how the market and public sector can manage such risks amid their increasing threats.