사이버 범죄 및 사이버 공격에 대응하기 위한 국제적 규범 형성 과정과 국제법적 적용 및 책임 소재에 관한 논의 doc_id CNTS-00118885266_25

사이버 범죄는 사이버 공간의 특성상 국경을 넘는 경우가 많아 국제 범죄적 성격이 강해 이에 대한 국제사회의 공동대처가 필요하였고, 이에 지난 10년간 사이버 범죄에 대응하려는 국제사회의 노력은 다양한 지역적·다자적인 구속적·비구속적 국제규범을 창출해오고 있다. 즉, 2001년 6월 유럽이사회에서 성안(2004년 7월 발효)된 ‘사이버 범죄협약(Convention on Cybercrime)’은 사이버 범죄를 다루는 최초의 구속력 있는 포괄적인 국제규범으로 비록 유럽 중심으로 출범하였으나, 점차 미국, 일본, 호주 등이 참여(총 51개국 참여, 40개국 비준, 11개국 서명)하는 등 글로벌 차원의 국제규범으로 확대되어 가면서 다른 지역적 규범 창설도 촉진시키고 있다. 동 협약은 기본적으로 국제사회가 사이버 범죄에 효율적으로 대처하기 위하여 가입국들이 국내법을 제정하여 이를 처벌해야 하고, 각국의 수사기관이 협조하도록 하는 의무를 회원국에 부과하고 있다. 또한, 동 협약은 컴퓨터 시스템이나 데이터에 대한 불법접속, 지적재산권 침해, 바이러스 개발 및 유포, 아동 포르노그래피 배포, 돈세탁, 사기 테러리즘 모의 등에 대해 국내법으로 금지 및 처벌하는 등 국제형사 공조를 강화함과 동시에 형사재판 관할권 통일을 추구하고 있다. 현재 사이버 범죄에 관한 구속적인 국제규범은 EU, CIS 및 SCO, AU, 아랍연맹(Arab League), 유엔 등 5개 그룹의 규범이 있고, 그밖에 사이버 범죄 관련 양자·다자적 정부 간 전략대화를 통해 법적·협력적 플랫폼이 만들어지고 있다. 이들 5개 지역의 사이버 범죄 관련 국제규범 중 특히 2012년에 제정된 ‘AU 사이버 안보 프레임워크 설립 협약(AUCC: AU Convention on the Establishment of a Legal Framework Conductive to Cybersecurity in Africa)’은 전자상거래, 사이버 안보, 개인정보보호, 사이버 범죄 등 사이버 분야의 중요 영역을 모두 규율한 최초의 국제규범으로 2014년 AU 회의에서 채택되었다. 이들 국제규범을 통해 현재 전 세계 82개국이 한두 개의 사이버 범죄 관련 국제규범에 가입하고 있다. 2007년 에스토니아 사이버 공격, 2009년 한국 디도스 공격, 2010년 이란 핵시설의 스턱스넷 공격 등의 사례에서 보듯이, 사이버 공격에 대한 배후를 명백한 증거에 의해 밝혀내는 것은 현실적으로 어려운 작업이다. 실제로 상기 사건의 배후라고 의심받는 국가들 역시 자국 정부의 개입을 부인하고 있고, 일부 범죄집단 및 개인의 소행으로 추정되고 있는 현실이다. 다만 개인의 불법행위라 할지라도 일정 요건상 국가의 책임이 예외적으로 인정되는바, ‘2001년 국가책임법 초안’에 따르면 국가가 개인의 불법행위에 대해 ‘주의 의무(due diligence)’를 등한시하여 타국 또는 그 국민의 법익이 침해될 경우 국가책임이 발생할 수 있다. 즉, 국가는 개인의 불법행위에 대해 사전적 주의 의무로서 예방하거나 개인에 의한 불법행위가 발생한 경우 이를 근절할 사후조치 의무가 있다. 이러한 국제법상의 의무를 사이버 범죄나 공격에 대비할 경우 사이버 불법행위에 대한 자국 영토 내에서 사이버 공격을 주도하거나 계획한다는 명확한 증거가 있다면 이를 저지하여야 하고, 사이버 공격이 발생한 경우 추후 이를 저지, 차단할 의무가 있다. 다만 이 경우에도 해당 사이버 불법행위에 대한 명백한 증거는 피해국 내지 피해 예상국이 입증책임을 부담해야 한다. 국가귀속성의 입증 책임을 위한 또 다른 문제점은 침투경로를 역추적해본 결과 사이버 공격에 사용된 서버가 공격자로서 의심받고 있는 국가가 아닌 제3국에 있는 경우이다. 이 경우 일단 피해국은 서버가 소재한 국가에 국제 공조수사를 요청해야 하는데, 만일 서버 소재지국이 협력 요청을 거절해서 피해국이 독자적으로 역해킹을 통해 서버에 침투하여 증거를 확보하려 할 경우 또 다른 국제분쟁을 발생시킬 수도 있다. 제3국을 경유한 사이버 공격 시 제3국에 대해 피해국이 국제법상 국가책임을 원용할 수 있는지도 문제가 된다. 이 문제의 판단 기준은 아마도 제3국의 인지 여부가 중요할 것인바, 현실적으로 타국에 대한 공격에 대해 사전적인 방지 의무는 존재하지 않을지라도 피해국으로부터 사이버 공격에 대한 사실을 통고받은 경우 적절한 조치를 취해야 할 의무는 발생할 수 있다. 한편 2013년 제68차 유엔총회에서 제3차 유엔 GGE 보고서가 총회 ‘군축 및 국제안보(제1위원회)’와 인권위원회(제3위원회)에 제출되어 두 위원회의 결의가 각각 채택되었다. 첫 번째 결의인 “국제안보 차원에서의 정보·통신 분야 발전”에서는 국제법의 원칙에 따라 ‘책임 있는 국가 행동규범’과 ‘투명성’, ‘예측성’, ‘협력’ 및 ‘사이버 공간에서의 자유로운 정보 소통’ 원칙이 강조되었다. 또한 스노든(Edward Snowden) 사건으로 불거진 불법감청과 사이버 테러리즘 대응조치 문제는 독일, 브라질, 인도네시아의 주도로 제3위원회에 제출·채택(“디지털 시대 프라이버시권”)되었다. 현재 유엔 차원의 논의가 상기한 두 방향으로 수렴되는 것이 사이버안보 문제 해결의 그릇된 접근일 수 있다는 지적이 있는데, 이는 각 위원회의 의제가 통합적이지 못하고 또한 현 사이버스페이스 거버넌스 이슈를 적절하게 반영하지 못한다는 견해이다. 다만 포괄적이고 융합적인 접근이 이슈 간 분절 및 파편화는 막을 수 있으나, 포괄적 의제 확대 논의 자체가 서방과 중·러 및 개도국 간 타협에 따른 접근이라는 지적과 사이버 이슈 해결의 실질적 진전을 저해할 수 있다는 문제점이 제기되고 있다. 사이버 무기에 대한 국제법적 논의를 보면, 사이버 공간이 인간이 만든 인위적 공간으로서 “제5의 전장(the fifth domain of warfare)”이라는 관점에서 사이버 공격이 기존 전통국제법상의 무력공격에 해당되는지가 먼저 고려되었다. 이러한 관점은 사이버 기술을 이용한 기간시설 및 정보통신망의 파괴가 일반 무력공격 시의 피해와 유사한 효과를 발생시킨다는 것을 전제로 하고 있다. 즉, 무기의 일반적 속성인 특정 대상의 파괴와 피해를 주어야 하고, 상대방의 공격으로부터 방어의 능력이 있어야 한다. 사이버 무기의 국제법적 논의를 위해서는 일반 소프트웨어나 악성 소프트웨어가 특정한 무력공격 상황에서 무기로서 정의될 수 있어야 하는데, 현재 국제법상에는 사이버 무기에 대한 법적 정의는 부재한 상황이다. 이러한 문제는 전통적 무기들과는 달리 악성 소프트웨어나 정보장치들은 일상에서는 단순한 범죄행위에 사용되어지기 때문이다. 동 매뉴얼은 기존에 확립된 무력사용 관련 국제관습법이 사이버 기술을 이용한 무력사용에도 적용 가능하다는 전제로, 무력공격에 상응하는 사이버 활동에 대해 자위권의 원용이 가능하고, 유엔 안전보장이사회를 통한 강제조치도 규정하고 있다. 즉 ‘탈린 매뉴얼’은 기존 국제관습상 개전법(jusad bellum)을 유추하여 특정 조건하에서 사이버 공간상 파괴적 행위(disruptive activity)는 유엔헌장 제51조상의 무력공격에 해당할 수 있다고 규정하고 있다. 또한, 교전법규(jus in bello)상의 구별 원칙, 비례성 원칙, 중립 원칙 등도 사이버 공간에 적용 가능하다고 판단하고 있다. 비록 ‘탈린 매뉴얼’은 NATO의 공식 문건은 아니며 관련 국제법 전문가들의 연구 결과이지만, 사이버 공간에서 국제법 적용방안을 모색했으며, 각국의 정책과 전략 수립의 기초가 될 수 있다는 점에서 많은 시사점을 제공하고 있다.