RCVaR: an Economic Approach to Estimate Cyberattacks Costs using Data from Industry Reports

논문 요약: RCVaR (실제 사이버 가치 위험)

1. 문제 정의 (Problem)

• 디지털 전환과 사이버 위협: 기업의 디지털화 가속화로 인해 사이버 공격의 위험과 잠재적 재정적 손실이 급증하고 있습니다.
• 비용 추정 및 위험 관리의 한계:
  • 기업, 특히 중소기업 (SME) 은 내부 사이버 보안 전문 지식 부족으로 인해 공격으로 인한 구체적인 재정적 손실과 위험을 정량화하기 어렵습니다.
  • 기존 접근법 (기존 경제 모델, 시뮬레이션 기반 CVaR 등) 은 실제 데이터가 부족하여 확률적 추정에 의존하거나, 기업별 맞춤형 정량적 비용 산정이 불가능한 경우가 많습니다.
  • 직접 비용 (법적 비용, 복구 비용) 은 물론 간접 비용 (평판 손실, 기회 비용) 을 포함한 총체적인 경제적 영향을 파악하는 것이 어렵습니다.
• 데이터 부족: 사이버 공격의 실제 손실 데이터는 기밀 유지, 법적 책임 우려 등으로 인해 공개된 데이터셋이 매우 드뭅니다.

2. 방법론 (Methodology)

저자들은 **실제 사이버 가치 위험 (Real Cyber Value at Risk, RCVaR)**이라는 새로운 접근법을 제안했습니다. 이는 공개된 산업 보고서 (Accenture, IBM, Ponemon 등) 의 실제 데이터를 기반으로 사이버 공격 비용을 추정하는 경제적 모델입니다.

핵심 구성 요소 및 프로세스:

1. 데이터 계층 (Data Layer):

   • 공개된 사이버 보안 보고서 (2010~2020 년) 에서 데이터를 추출합니다.
   • 컴퓨터 비전 (OpenCV) 과 스크립팅을 사용하여 보고서 내의 차트, 테이블, 원시 숫자에서 비용 데이터를 추출하고 정제합니다.
   • 주요 데이터 소스로는 다양한 공격 유형과 직접/간접/기회 비용을 포함하는 Accenture 보고서 (2017) 를 주 데이터로 활용했습니다.

2. 모델 계층 (Model Layer) - 비용 추정 공식:

   • 크기 스케일러 (Size Scaler): 기업의 규모를 나타내는 지표로 시장 자본화 (Market Capitalization) 를 사용합니다. 보고서의 평균 기업 비용과 시장 자본화 비율 ($cv\_ratio$) 을 계산하여 특정 기업의 규모에 맞게 비용을 조정합니다.
   • 시간 스케일러 (Time Scaler): 인플레이션과 사이버 보안 비용의 시간적 증가 추세를 반영합니다.
     • 비용 할인 계수: 연간 9.6% 증가 (회귀 분석 기반).
     • 가치 할인 계수: 연간 1.8% 인플레이션 (시장 자본화 조정).
   • 요인 스케일러 (Factor Scaler): 기업의 특성에 따른 비용 변동을 반영합니다.
     • 11 가지 주요 요인 (국가, 산업, 직원 수, 클라우드 모델, 원격 근무 비율, 사이버 보험, MFA 등) 을 분석합니다.
     • 각 요인의 상대적 비용 증가율 ($param\_ratio$) 을 계산하여 최종 비용에 곱합니다.
   • 핵심 공식 (Equation 1):
     $$\text{Company Cost}_{\text{year}} = \text{Valuation} \times \frac{\text{cv ratio}}{\text{discount}_t} \times \prod_{i=1}^{11} (1 + \text{param ratio}_i)$$

3. 분포 추정 및 위험 계산 (Risk Estimation):

   • 추출된 비용 데이터는 오른쪽으로 긴 꼬리를 가진 (heavy-tailed) 분포를 보입니다.
   • **일반화 역 가우스 분포 (Generalized Inverse Gaussian, GenInvGauss)**가 데이터에 가장 잘 적합함을 확인 (Kolmogorov-Smirnov 검정).
   • 이 분포를 기반으로 **Cyber Value at Risk (CVaR)**를 계산합니다. CVaR 은 특정 신뢰 수준 (예: 95%) 에서 초과할 것으로 예상되는 손실의 평균을 의미합니다.

4. 웹 기반 플랫폼:

   • 비전문가도 쉽게 사용할 수 있도록 React 와 Flask 기반의 웹 인터페이스를 구현하여, 기업 특성을 입력하면 예상 비용과 CVaR 을 시각화해 줍니다.

3. 주요 기여 (Key Contributions)

1. 산업 보고서 기반 데이터 추출 및 처리 방법론: 공개된 보고서에서 비정형 데이터를 정량화하여 사이버 보안 비용 데이터셋을 구축하는 체계적인 프로세스를 제시했습니다.
2. 실제 데이터 기반의 사전 비용 추정 모델: 확률적 시뮬레이션이 아닌, 실제 비즈니스 정보와 보안 조치를 기반으로 한 ex-ante(사전) 사이버 공격 비용 추정 모델을 개발했습니다.
3. 실제 데이터 기반의 CVaR 계산: 기존 확률 추정 대신 보안 보고서의 정량적 데이터를 기반으로 CVaR 을 계산하여, 기대 비용에서의 편차 (위험) 를 수치화했습니다.
4. 접근성 있는 웹 도구: 기술적 전문성이 없는 의사결정자도 RCVaR 을 통해 비용과 위험 분석을 수행할 수 있는 웹 기반 도구를 제공했습니다.

4. 평가 및 결과 (Evaluation & Results)

• 비용 추정 정확도:
  • Kaspersky, Woods et al., Deloitte 등 외부 보고서의 데이터와 비교한 Out-of-Sample 평가를 수행했습니다.
  • 연간 비용 (Annualized cost) 을 예측하는 데 있어 높은 정확도를 보였습니다 (예: Woods et al. 연구와 비교 시 9% 오차).
  • 단일 사건 비용 예측보다는 연간 총 비용 예측에 더 적합하며, 입력 정보 (기업 규모, 산업 등) 가 많을수록 정확도가 향상됨을 확인했습니다.
• 위험 분포 적합성:
  • RCVaR 이 사용하는 GenInvGauss 분포가 기존 연구 (Log-Normal, Skew-Normal, Pareto 등) 와 MARSH 의 시뮬레이션 기반 분포와 유사한 형태를 보임을 확인했습니다.
  • 이는 RCVaR 이 실제 사이버 공격 비용의 무거운 꼬리 (heavy-tail) 특성을 잘 포착하고 있음을 시사합니다.
• 실용성: 제한된 입력 정보만으로도 합리적인 비용 범위 내에서 추정이 가능하여, 실제 기업 환경에서의 적용 가능성이 입증되었습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 의사결정 지원: 기업 경영진과 비 IT 전문가가 사이버 보안 투자와 위험 관리 전략을 수립할 때, 정량적이고 경제적인 근거 (KPI/KRI) 를 제공합니다.
• 실제 데이터 기반 접근: 기존에 의존하던 복잡한 시뮬레이션이나 전문가의 주관적 추정을 대체하여, 공개된 실제 데이터를 활용한 객관적인 위험 평가 모델을 제시했습니다.
• 미래 연구 방향:
  • 더 많은 데이터 (SIEM 시스템 데이터 등) 를 활용한 모델 정교화.
  • 기업별 특성에 따른 분산 (Variance) 조정 및 변동성 (Implied Volatility) 반영.
  • 연동 학습 (Federated Learning) 등을 활용한 머신러닝 기반 모델과의 결합을 통한 예측 정확도 향상.

결론적으로, RCVaR 은 사이버 보안 위험을 경제적 언어로 변환하여 기업이 현실적인 손실 가능성을 예측하고, 비용 대비 효과적인 보안 전략을 수립할 수 있게 하는 혁신적인 도구입니다.