[논문 리뷰] Aggregate Cyber-Risk Management in the IoT Age: Cautionary Statistics for (Re)Insurers and Likes

Ranjan Pal, Ziyuan Huang외 7명|RePEc: Research Papers in Economics|2021. 05. 04.

Insurance and Financial Risk Management인용 수 6

한 줄 요약

이 논문은 사물인터넷 기반 스마트 사회에서의 집합적 사이버리스크 관리의 지속 가능성에 대한 엄밀한 이론적 프레임워크를 수립한다. 이는 체중 꼬리 분포를 띠며 꼬리에 상관성이 있는 사이버리스크가 전통적인 리스크 풀링 전략을 효과적으로 기반으로 하지 못함을 보여주며, 해로운 리스크가 집합적으로 분산되지 못함을 설명한다. 이는 연간 6000억 달러의 글로벌 사이버 손실이 증가하고 있음에도 사이버 보험 시장의 성장이 느리게 진행되는 이유를 설명한다.

ABSTRACT

In this paper, we provide (i) a rigorous general theory to elicit conditions on (tail-dependent) heavy-tailed cyber-risk distributions under which a risk management firm might find it (non)sustainable to provide aggregate cyber-risk coverage services for smart societies, and (ii)a real-data driven numerical study to validate claims made in theory assuming boundedly rational cyber-risk managers, alongside providing ideas to boost markets that aggregate dependent cyber-risks with heavy-tails.To the best of our knowledge, this is the only complete general theory till date on the feasibility of aggregate cyber-risk management.

연구 동기 및 목표

• 사물인터넷 기반 스마트 사회에서의 집합적 사이버리스크 관리의 타당성을 평가하기 위한 일반적인 이론적 프레임워크를 수립하는 것.
• 꼬리에 상관성이 있는 체중 꼬리 분포를 띠는 사이버리스크 분포가 (재)보험사의 수익성과 리스크 풀링의 지속 가능성에 미치는 영향을 분석하는 것.
• 제한된 합리성에 기반한 실제 데이터 기반 수치 연구를 통해 이론적 결과를 검증하는 것.
• 특히 치명적인, 상관성이 있는 사이버리스크에 대해 리스크 풀링이 지속 가능한지 여부를 규명하는 조건을 도출하는 것.
• 집합적 사이버리스크 관리 서비스 시장의 성장을 촉진하기 위한 실천 가능한 통찰을 제공하는 것.

제안 방법

• 극단가치 이론과 코풀라 기반의 상관관계 모델링을 사용하여 체중 꼬리 분포를 띠며 꼬리에 상관성이 있는 사이버리스크 분포 하에서 리스크 풀링의 지속 가능성에 대한 이론적 분석.
• (재)보험사의 위험 회피 성향을 고려할 때 집합적 사이버리스크 보험의 정산 불가능성이 발생하는 수학적 조건을 유도하는 것.
• 치명적인 손실을 모델링하기 위해 동일한 분포를 따르는 파레토 분포를 사용하며, 꼬리 지수(α)와 척도 매개변수(k)를 다양하게 설정하는 것.
• 이론적 예측의 정확성을 검증하기 위해 실제 사이버 손실 데이터를 기반으로 한 수치 시뮬레이션을 수행하여 기대 효용과 리스크 집합 성능을 평가하는 것.
• 다양한 리스크 분포 유형에서 리스크 풀링의 효과성을 평가하기 위해 기대 효용 최적화를 적용하는 것.
• 조직의 실제 사이버리스크 관리 결정을 반영하기 위해 행동 가정(제한된 합리성)을 통합하는 것.

Figure 1 : Conceptual illustration of statistical utility of cyber-risk aggregation as a function of the number of i.i.d. cyber-risks. For a given ‘n’, cyber-risk valuation ’z’, there always exists a ‘dipping’ statistical utility region for cases B and C, and the region expands as $a$ increases (ref

실험 결과

연구 질문

• RQ1 체중 꼬리 분포를 띠며 꼬리에 상관성이 있는 사이버리스크 분포에서 (재)보험사의 집합적 리스크 풀링이 정산적으로 지속 가능한 조건은 무엇인가?
• RQ2 글로벌 사이버 손실이 증가하고 있음에도 불구하고 사이버 보험 및 제3자 사이버리스크 관리 서비스 시장의 성장이 느리게 진행되는 이유는 무엇인가?
• RQ3 사이버리스크의 상관관계 구조(꼬리 상관성)가 집합적 보험에서 리스크 다각화의 효과성에 어떤 영향을 미치는가?
• RQ4 독립 동일분포를 따르는 체중 꼬리 분포를 띠는 사이버리스크는 효과적으로 풀링될 수 있으며, 어떤 조건에서 가능한가?
• RQ5 치명적인, 상관성이 있는 체중 꼬리 분포를 띠는 사이버리스크는 스케일러블 사이버리스크 관리 제품 설계에 어떤 영향을 미치는가?

주요 결과

• 치명적인, i.i.d. 체중 꼬리 분포를 띠는 사이버리스크는 손실이 여전히 꼬리에 집중되어 있어 (재)보험사의 리스크 풀링 전략으로서 효과적이지 않다.
• 치명적이지 않은, i.i.d. 체중 꼬리 분포를 띠는 리스크는 풀링을 통해 효과적으로 다각화될 수 있으며, 이는 특정 리스크 유형에 대해 실현 가능한 길을 제시한다.
• 치명적이고 꼬리에 상관성이 있는 체중 꼬리 분포를 띠는 사이버리스크는 표준 리스크 풀링으로는 효과적으로 관리될 수 없으며, 이로 인해 집합적 보험은 지속 가능성이 없다.
• 이론적 모델은 꼬리 상관성이 다각화의 이점을 크게 약화시키며, 특히 다수의 부문이 체계적 리스크에 노출된 경우에 더욱 두드러진다.
• 수치 연구는 기대 효용이 꼬리 상관성과 체중 꼬리 분포의 정도가 증가함에 따라 급격히 감소함을 확인하였으며, 특히 현실적인 행동 가정 하에서 더욱 두드러진다.
• 전 세계 사이버 보험 시장는 연간 60억 달러에 불과하며, 연간 6000억 달러의 사이버 손실이 발생하고 있음에도 불구하고, 이는 상관성이 있는 체중 꼬리 분포 리스크의 풀링이 지속 가능하지 않기 때문이다.

Fig. 2: Cyber-Risk Aggregation Performance (on the VaR Metric) for i.i.d. Risks of Pareto, Log-Normal, and Normal Distributions.