사이버 안보 및 사이버 무기에 대한 국제적 정의의 부재와 관련 규범 및 거버넌스 정립의 필요성 doc_id PCY_201506230912112681_39

한편 2013년 제68차 유엔총회에서 제3차 유엔 GGE 보고서가 총회 ‘군축 및 국제안보(제1위원회)’와 인권위원회(제3위원회)에 제출되어 두 위원회의 결의가 각각 채택되었다. 첫 번째 결의인 “국제안보 차원에서의 정보·통신 분야 발전”에서는 국제법의 원칙에 따라 ‘책임 있는 국가 행동규범’과 ‘투명성’, ‘예측성’, ‘협력’ 및 ‘사이버 공간에서의 자유로운 정보 소통’ 원칙이 강조되었다. 또한 스노든(Edward Snowden) 사건으로 불거진 불법감청과 사이버 테러리즘 대응조치 문제는 독일, 브라질, 인도네시아의 주도로 제3위원회에 제출·채택(“디지털 시대 프라이버시권”)되었다. 현재 유엔 차원의 논의가 상기한 두 방향으로 수렴되는 것이 사이버 안보 문제 해결의 그릇된 접근일 수 있다는 지적이 있는데, 이는 각 위원회의 의제가 통합적이지 못하고 또한 현 사이버스페이스 거버넌스 이슈를 적절하게 반영하지 못한다는 견해이다. 다만 포괄적이고 융합적인 접근이 이슈 간 분절 및 파편화는 막을 수 있으나, 포괄적 의제 확대 논의 자체가 서방과 중·러 및 개도국 간 타협에 따른 접근이라는 지적과 사이버 이슈 해결의 실질적 진전을 저해할 수 있다는 문제점이 제기되고 있다. 사이버 위협의 심각성이 증대함에 따라 국제사회에서는 최근 몇 년 사이 국제기구 혹은 개별 국가 차원의 대응전략을 수립·발표하고 있으나 사이버 안보의 개념에서조차 아직 국제적으로 합의된 정의가 존재하지 않는다. 이는 국제협력에 대한 장애요인으로 작용하고 있음은 물론 미국, EU, 러시아 등 주요 국가들의 사이버 관련 국내 법·제도·정책의 차이를 심화시키고 있다. 국내외의 이러한 혼란은 ‘사이버’라는 단어 자체가 가진 관념성과 사이버 안보의 다양한 측면으로 인하여 발생하는 것으로 보인다. 즉, 사이버 안보의 문제는 위협의 대상이 국가인지 또는 개인이나 사회에 관한 것인지에 따라 안보 문제가 되거나 범죄의 문제가 될 수 있으며, 침해 대상이 개인인 경우에도 그 규모가 심각한 경우 국가에 대한 위협으로 간주될 수 있다. 위협의 유형에 따라서도 사이버 공격(전쟁), 사이버 테러리즘, 사이버 첩보 행위, 사이버 범죄, 사이버 사고로 분류될 수 있다. 또한, 위협을 가하는 주체가 국가, 범죄단체, 개인인지에 따라서 역시 상이한 접근이 가능하다. 이에 따라 국제적으로 사이버 안보의 문제를 정보 및 정보통신망 보안의 관점, 경제적 관점, 범죄대응 관점, 국가안보 관점으로 보는 등 개별 국가의 정책 체계 역시 상이한 접근이 존재해왔다. 사이버 안보를 비롯하여 사이버 공간, 사이버 공격 등 관련 용어에 대한 회원국 간 통일된 정의 도출을 추진 중에 있다. 그럼에도 이와 같은 개념 정립의 문제는 국제사회에서 사이버 안보에 관한 논의가 이루어진 이래 꾸준히 제기되어 왔으나, 아직 각 국가나 지역협력체 간 견해의 차이만이 확인되었을 뿐, 합의를 도출해 내는 데에는 실패한 상태이다. 사실, 사이버 관련 용어의 개념 정립은 그동안 유엔의 결의안과 보고서에서 요구되어 왔다. 2009년 유엔총회 결의안 64/25에서는 국제 정보통신(IT) 시스템의 안전을 강화하기 위하여 관련 용어의 국제적 개념을 검토할 필요에 대하여 인식하고, 회원국이 동 개념을 연구할 것을 촉구하였다. 이에 ‘국제안보 맥락에서 IT 분야의 발전(Developments in the Field of Information and Telecommunications in the Context of International Security)에 관한 유엔 GGE’는 2010년 발간한 보고서를 통하여 동 분야의 공통 용어와 정의를 면밀히 검토하여 발전시킬 수 있도록 권고하였다. 미국은 각종 정책에서 ‘cybersecurity’라는 표현을 꾸준히 사용하지만, 이에 대하여 구속력 있는 정의를 내린 바는 없다. 다만 법률상으로 2002년 연방정보보호관리법에서는 정보보안(information security)을 “정보 및 정보시스템의 무결성, 비밀성 및 가용성을 보전하기 위하여 이에 대한 비인가 접근, 이용, 공개, 교란, 변경 혹은 파괴로부터 정보 및 정보스스템을 보호함”으로 규정한 바 있다. 반면 2008년 국가사이버 안전종합계획에 의해 사이버 안보와 관련한 용어의 표준화 작업 임무를 부여받은 상무부 산하 NIST(National Institute of Standards and Technology, 미국국립표준기술연구소)는 ‘cybersecurity’의 정의에 대하여 “사이버 공격으로부터 사이버 공간을 보호하거나 방어할 수 있는 능력”이라고 폭넓게 제안하고 있다. OECD에서 ‘Cybersecurity’에 대한 직접적 정의는 존재하지 않는다. 다만 논의의 발전 과정을 살펴보았을 때, 국가 차원에서의 포괄적 안전 보장을 의미하는 방향으로 확대되고 있음을 알 수 있다. 가령 1992년 가이드라인은 그 목표를 ‘security of information systems’로 규정하고, 이를 “정보시스템에 의존하는 자의 이익을 정보의 가용성, 비밀성, 무결성의 실패로 인한 위해로부터 보호하기 위한” 것으로 정의하였고, 이러한 정의는 2002년 가이드라인에서도 변함없이 채택되었다. 다만 2002년 가이드라인에서는 정보시스템의 보호에 더하여 네트워크를 그 대상으로 포함하였으며, 이에 따라 네트워크와 정보시스템을 이용하는 모든 당사자의 공동 책임과 협조에 관한 내용이 강조되었다. ‘Cybersecurity’라는 표현은 2012년 발간된, 2002년 가이드라인에 대한 검토 보고서에서 최초 발견되는데, 동 보고서는 이에 대해 직접적으로 정의를 내린 바 없다. 이란의 핵시설을 마비시킨 스턱스넷의 등장으로 사이버 무기에 대한 국제사회의 관심이 확산되었고, 오늘날 사이버 무기의 사용은 다양한 형태로 가파르게 증가하고 있으며, 향후 무력충돌 수행의 핵심적 무기체계로 자리잡고 있다. 또한, 사이버 안보 영역 자체가 또 하나의 거대한 군수시장 또는 개인정보 보호나 안전이 시장에서 거래될 수 있는 새로운 재화라는 관점 역시 부상하고 있다. 연간 사이버 안보 시장의 가치는 800억 달러에서 1,400억 달러의 가치가 있다고 추정되고, 미국 연방정부의 사이버 안보 시장 역시 2015년~2020년 약 700억 달러의 가치가 있다고 보고되며, 향후 급속하게 증가할 것이라 예상된다. 그럼에도 불구하고 사이버 무기의 정의, 특성, 규제 및 통제를 둘러싼 국제규범이 부재한 상태에서 기존 국제관습법 및 전시법, 국제인도법이 적용되는 분야라는 인식에도 커다란 괴리가 있는 것이 현실이다. 또한, 사이버 무기는 그 특성과 규제에 있어서도 기존 재래식무기, 핵, 대량살상무기, 무인무기와도 차별성이 존재한다. 사이버 무기에 대한 국제법적 논의를 보면, 사이버 공간이 인간이 만든 인위적 공간으로서 “제5의 전장(the fifth domain of warfare)”이라는 관점에서 사이버 공격이 기존 전통국제법상의 무력공격25에 해당되는지가 먼저 고려되었다. 이러한 관점은 사이버 기술을 이용한 기간시설 및 정보통신망의 파괴가 일반 무력공격 시의 피해와 유사한 효과를 발생시킨다는 것을 전제로 하고 있다. 즉, 무기의 일반적 속성인 특정 대상의 파괴와 피해를 주어야 하고, 상대방의 공격으로부터 방어의 능력이 있어야 한다. 사이버 무기의 국제법적 논의를 위해서는 일반 소프트웨어나 악성 소프트웨어가 특정한 무력공격 상황에서 무기로서 정의될 수 있어야 하는데, 현재 국제법 상에는 사이버 무기에 대한 법적 정의는 부재한 상황이다. 이러한 문제는 전통적 무기들과는 달리 악성 소프트웨어나 정보장치들은 일상에서는 단순한 범죄행위에 사용되어지기 때문이다.