적대적인 사이버활동에 대한 판단기준 발전방안

2-1 사이버공간의 특징과 규범정립 노력

사이버공간은 공간과 시간개념이 없는 상태에서 자신의 신분을 감추거나 드러내지 않는 익명성과 실시간 정보유통이 가능한 쌍방향성, 지역의 한계를 벗어나 동시에 넓고 신속하게 모두와 소통할 수 있는 시공간적 무제한성과 동시성, 그리고 정보유통의 다양성 등의 특징이 있다[2]. 다른 측면으로는 사이버공간은 인간과 조직이 필요한 기술을 이용해서 활동하고 효과를 내는 공간이고, 이를 활용하기 위해서는 전자기적 기술을 사용하는 것이며, 이 수단을 통해 정보를 생성하고, 저장하고, 수정하고, 교환하고, 이용하는 것이다. 또한, 상호의존적인 네트워크로 연결되어 있기 때문에 그 중요성과 영향력이 큰 것이다[3].

사이버공격에 대한 정의로 미국정부 보안전문가인 R. Clarke는 “사이버전쟁이란 다른 국가에게 피해를 주거나 혼란을 야기할 목적으로 그 국가의 컴퓨터 또는 네트워크에 침투하는 국가의 행동”이라 했으며 사이버공격 행위는 해킹, 파괴, 침투, 감염 등의 수단으로 이루어지며, 그러한 행위가 사이버공격이 되기 위해서는 컴퓨터 네트워크의 기능을 저하시키거나 교란하려는 의도를 가지고 있어야 한다[4].

사이버공간에서의 공격행동을 보면 사이버범죄, 사이버테러, 사이버전으로 크게 구분할 수 있다. 사이버범죄는 개인 혹은 조직화된 단체가 사이버공간에서 시간과 장소에 관계없이 개인과 단체들에 대하여 정치적 특성을 내포하지 않고 경제적 이익과 관련된 행위 또는 반사회 문화적 행위를 범하는 경우라고 하고, 사이버테러는 특수한 목적을 가진 개인, 테러집단이 컴퓨터 시스템 운영방해, 침해행위 또는 전자적 침해행위를 통해서 사회혼란을 야기하거나 국가안보를 침해, 위협하는 행위라 정의한다. 사이버전은 특정국가가 다른국가의 컴퓨터나 네트워크를 공격하여 피해를 입히거나 파괴할 목적으로 취하는 행동으로 정의 한다[2].

우리는 북한으로부터 계속적인 사이버공격을 받고 있다. 북한의 공격에 대응하기 위해서는 남북한 사이버환경과 수행능력에 대한 정확한 평가를 하여야 하는데, 호주전략정책연구원(ASPI : Australian Strategic Policy Institute)이 발표한 보고서에 따르면 남북한 사이버성숙도 지표는 남한이 75.5, 북한이 20.7로 나타난다[5]. 우리의 입장에서 보면 이러한 사이버환경의 차이가 사이버공간에서의 취약점을 증가시키고 있으며, 대응하기 위해서는 많은 노력이 필요하다.

2-2 규범정립을 위한 국제적 노력

사이버공간에서의 공격이 단순범죄를 넘어 국가안보에 직접적인 영향을 미치고 있는 상황에서 국제적 규범 마련을 위해 다양하게 논의가 되고 있다. 첫째는 UN를 중심으로 한 UN정부전문가그룹(Group of Government Experts : 이하 UNGGE)과 비서구국가들을 중심으로 한 상하이협력기구(Shanghai Cooperation Organization : 이하 SCO)와 같은 순수 정부 간 논의로 안보문제에 있어 국가들은 자국의 이익을 극대화 할 수 있는 방향으로 규범형성을 유도하며 경쟁하고 있다. 둘째는 사이버스페이스총회 등과 같은 다중 이해당사자가 참여한 논의로 사이버공간에 대한 논의를 전통적인 행위자인 국가에게만 맡겨두는 것이 아니라, 비정부기구, 전문가와 기술자 등 다양한 행위자들과의 논의를 통해 규범을 형성하고자 하는 시도이다. 셋째는 탈린매뉴얼과 같은 국제법학계의 논의가 있다. 사이버공간에 대한 국제적 핵심 논란은 인터넷 자유와 사이버안보의 적절한 균형을 어떻게 설정할 것인지에 집중되고 있다[6].

사이버안보의 국제규범과 관련한 논란은 크게 2가지이다. 첫째, “정보통신기술 발전이 국가안보와 국가에 어떤 영향을 미치는가?, 특히 국가들이 정보통신기술을 군사 및 국가안보에 적용하는 것을 어느 수준까지 용인 또는 규제해야 하는가?”이고, 둘째, “정보컨텐츠와 정보인프라가 국경을 넘나드는데 이러한 정보컨텐츠가 국가안보의 문제로서 규제되어야 하는가?”이다. 이에 대해 서방국가는 현존 국제법을 중심으로 규범이 형성되어야 하고, 새로운 규제와 개입이 불필요하다는 입장이며, 중국과 러시아를 중심으로 한 비서구 국가들은 국가중심의 규제 및 개입이 필요하다는 주장을 하고 있다.

2-3 적대적인 의도에 대한 판단 접근방식

유엔헌장 2조 4항에 “모든 회원국은 자신들의 국제관계에서 유엔의 목적과 부합하지 않는 방법으로 다른 국가의 영토보전이나 정치적 독립에 대한 위협 또는 무력의 사용을 삼가야 한다.”고 명시되어 있다. 사이버공간에서는 물리적인 힘이 아닌 데이터 표시의 추상적인 영역에서 발생하기 때문에, 사이버공간에서의 적대행위를 다룰 때는 어려움이 있다. 하지만, 사이버공간에서의 행위가 반드시 금지된 무력의 사용이 아니다. [그림 1]은 Level of Conflict와 Level of Combat의 관계를 보여주는 분쟁 스펙트럼이다.

Fig. 1.

Spectrum of Conflict

사이버공간에서 국제법상의 무력에 대한 관점이 다양하게 있다. 첫째, 효과기반의 접근방식으로 일정강도 이상의 피해를 발생시키는 사이버작전이 있을 때 이것이 사이버공간에서의 무력이라는 관점이고, 둘째, 물리적 동등성으로 사이버공간 내 행위가 물리적 공격으로 동일하게 달성 될 수 있는 경우 이를 무력사용이라 정의하는 것이며, 셋째, 표적기반의 틀로 국가 중요시설에 대한 사이버공격이 무력이라는 관점이다. 그러나, 이러한 기준도 국가별 전략적 이해에 따라 해석이 달라질 수 있다는 문제가 있다.

2-4 적대의도 판단을 위한 주요 요소

탈린매뉴얼 2.0에서 “(규칙 32) 국가에 의한 평시의 사이버 첩보활동은 그 자체로 국제법을 위반하지 않으나, 그것이 수행되는 방법은 그러할 수 있다.”고 했다. 하지만, 사이버공간에서의 첩보활동과 공격적 사이버작전은 구분이 어려운 것이 특징이다. 이는 노출된 시스템을 통한 접속으로 첩보활동을 하다가도, 시스템의 기능저하, 방해, 파괴 등의 추가적인 공격이 가능하기 때문이다. “(규칙 69) 사이버활동을 통해 그 규모와 효과가 무력사용의 수준에 이르는 비사이버작업에 상응할 때 무력사용을 구성한다.”고 한 것처럼, 사이버활동이 무력사용 가능성이 있는가를 판단하는 것이 중요하다.

탈린매뉴얼에서는 무력사용 여부를 판단하기 위해 8개의 구성요소를 제시하였다. ➀ 가혹성 : 최소허용규칙을 조건으로 물리적 위해를 수반하는 결과로 피해의 범위, 지속시간, 강도가 중요한 요소이다. ➁ 즉시성 : 무장공격에 의한 피해는 즉시 발생하는 반면 다른 형태의 강압은 더 천천히 진행되며, 결과가 빨리 발현될수록 해로운 결과를 방지할 기회가 적다. ➂ 직접성 : 사이버공격이 결과와 더 직접적으로 연결 될수록 무력사용으로 간주될 가능성이 높다. ➃ 침략성 : 사이버작전이 국가 영토보전이나 주권을 더 많이 침해할수록 무력사용으로 간주될 가능성이 높다. ➄ 효과의 측정가능성 : 무력공격의 결과처럼 결과가 쉽게 식별되고 객관적으로 정량화 될수록 사이버작전이 무력으로 간주될 가능성이 높다. ➅ 군사적 성격 : 행위자와 표적이 군과 관련이 깊을수록 무력으로 간주된다. ➆ 국가관여도 : 국가와 사이버활동 간의 연계성이 크면 무력으로 간주된다. ➇ 합법성 추정 : 자기방어의 범위를 벗어나는 부적절한 대응을 하였을 때 무력으로 판단될 수 있다.

이는 Schmitt가 기존에 제시한 7개의 구성요소에 군사적 성격이 추가되는 형태로 탈린매뉴얼 2.0에 반영되어 있다[7]. 적대의도 분석은 탈린매뉴얼 2.0에 제시된 구성요소 8개를 이용하여 분석할 수 있다. 먼저, 사이버공간에서 발생되는 일반적이고 광범위한 다수의 행위에 대해 목록을 작성하고, 각 목록에 대한 정성적 분석을 통해 무력사용효과와 흡사한지에 대해 요소별로 평가가 가능하다.

[표 1]은 Schmitt가 제시한 요소별로 무력사용에 근접하였는지를 분석한 예이다. 표에서 숫자 1은 물리적 효과가 떨어지고, 10은 물리적 효과와 동일함을 의미한다. 이렇게 집계된 정보로 어떠한 행위가 더 적대의도를 가지고 있는지 합리적으로 판단할 수 있다.

Table 1.

Example of Completed Schmitt Analysis[8]

2-5 사이버공간에서의 효과기반 스펙트럼

Gary Brown과 Owen Tullos는 사이버공간상에 행위를 효과기반으로 사이버 활동에 대한 스펙트럼을 제시하였다. 그들은 사이버 행동을 3가지 기본 범주로 나누었다. 스펙트럼의 맨 왼쪽은 단순한 첩보행위로, 이러한 사이버첩보행위의 특징은, 첫째는 사이버공간상의 정보를 대상으로 하고, 둘째는 비인가적 접근을 통해서 이루어지며, 셋째는 단순한 경제적 이득을 넘어선 동기에 의해 수행이 된다.

스펙트럼 중간은 사이버방해로 물리적 손상이나 부상은 일으키지 않으나, 정보흐름이나 정보시스템의 기능을 물리적 손상이나 상해 없이 중단시키는 행위까지를 포함하고 있다. 이러한 사이버방해 효과가 크면 녹색에서 빨간색으로 스펙트럼을 따라서 이동하게 되는 것이다. 탈린매뉴얼 2.0의 규칙66에서는 국가에 의한 간섭을 “국가는 타국의 대내적 또는 대외적 문제에, 사이버 수단에 의한 것을 비롯해 간섭할 수 없다.”라고 명시하였다. 따라서, 우리가 불간섭의 원칙을 위반하여 적대적인 의도를 가지고 있는지 판단할 수 있는 고려요소로 “첫째는 사이버활동이 정부의 웹사이트나 컴퓨터 시스템에 직접적으로 영향을 주었는가?, 둘째는 국가나 상당수의 국민들이 심각성을 알 수 있도록 활동하였는가?, 셋째는 정부가 영향을 받은 집단에 대해 공개적으로 지지를 표명하고, 해당 국가가 악영향을 받았는가? 넷째는 측정 가능한 방식으로 국가안보에 악영향을 미칠 가능성이 있는가?”로 불간섭 원칙의 위반을 판단하고 적대적 의도를 파악할 수 있다.

스펙트럼의 맨 오른쪽 끝은 사이버공격으로, 여기서 재산상의 손상과 파괴, 사망과 상해 등의 상황이 발생한다. 사이버공격에 공격의도를 추론하기 해서는 주체를 개인과 국가로 구분하여 주체가 개인이라면 개인이 가지고 있는 신념과 욕구에 영향을 주려 할 것이며, 공격주체가 국가라면 국가안보차원에서 정치, 경제, 군사적인 요소에 영향을 줄 것이다.

사이버공격을 의도에 따라 공격주체를 추론하면 공격에 대응하기 위한 전략수립도 효과적이다. 공격의 다양한 의도를 비교하기 위해서는 목적에 도달하기 위해 가장 합리적인 방법을 선택한다는 가설을 선정하고 영향력 비교를 통해 최선의 선택을 하면 된다[9].

Fig. 2.

On the Spectrum of Cyberspace Operations[10]