사이버 무기 및 사이버 범죄에 대응하기 위한 국제법적 정의, 규범 형성 노력 및 국가 책임 귀속 문제에 관한 논의 doc_id PCY_201506230912112681_40

사이버 무기에 대한 법적 정의를 위해서는 실체적 내용, 목적, 수단의 세 가지 요소가 고려돼야 한다. 실체적 내용과 관련하여 국가 및 비국가행위자들 간의 사이버 무력공격 행위를 전제로 전술적·전략적 조건을 달성·유지·보호하려는 목적을 위해 기술적 정보장치를 사용하는 것으로 인식되어야 한다. 또한, 목적에 있어서는 물리적 설비나 인명에 대한 직·간접적인 피해를 의도하거나 민감한 목표물의 정보체계에 직접적인 피해나 교란 등을 목적으로 하는 경우이다. 세 번째 요소인 수단의 경우 인터넷을 포함하여 기술적 정보체계의 수단을 이용한 공격이 이루어져야 할 것이다. 위와 같은 관점에서 “사이버 무기는 국가나 비국가행위자 간의 분쟁에서 직·간접적인 피해를 야기할 목적으로 설비나 인명의 피해를 주거나 혹은 직접적으로 민감한 목표물의 정보체계에 피해를 발생하려는 목적으로 이용되는 어떠한 형태의 컴퓨터 제어를 위한 설비, 장치, 프로그램”으로 정의할 수 있다. 다만 실체적 내용의 경우 정치적 의미에서 국가 행위 또는 국가의 사주를 받은 범죄조직의 행위에 수반되는 사이버 무기를 전제로 하는바, 이는 국가 귀속성이라는 또 다른 국제법적 문제를 고려해야 하는 문제가 남는다. 사이버 범죄는 사이버 공간의 특성상 국경을 넘는 경우가 많아 국제 범죄적 성격이 강해 이에 대한 국제사회의 공동대처가 필요하였고, 이에 지난 10년간 사이버 범죄에 대응하려는 국제사회의 노력은 다양한 지역적·다자적인 구속적·비구속적 국제규범을 창출해오고 있다. 즉, 2001년 6월 유럽이사회에서 성안(2004년 7월 발효)된 ‘사이버 범죄협약(Convention on Cybercrime)’은 사이버 범죄를 다루는 최초의 구속력 있는 포괄적인 국제규범으로 비록 유럽 중심으로 출범하였으나, 점차 미국, 일본, 호주 등이 참여(총 51개국 참여, 40개국 비준, 11개국 서명)하는 등 글로벌 차원의 국제규범으로 확대되어 가면서 다른 지역적 규범 창설도 촉진시키고 있다. 동 협약은 기본적으로 국제사회가 사이버 범죄에 효율적으로 대처하기 위하여 가입국들이 국내법을 제정하여 이를 처벌해야 하고, 각국의 수사기관이 협조하도록 하는 의무를 회원국에 부과하고 있다. 또한, 동 협약은 컴퓨터 시스템이나 데이터에 대한 불법접속, 지적재산권 침해, 바이러스 개발 및 유포, 아동 포르노그래피 배포, 돈세탁, 사기 테러리즘 모의 등에 대해 국내법으로 금지 및 처벌하는 등 국제형사 공조를 강화함과 동시에 형사재판 관할권 통일을 추구하고 있다. 현재 사이버 범죄에 관한 구속적인 국제규범은 EU, CIS 및 SCO, AU, 아랍연맹(Arab League), 유엔 등 5개 그룹의 규범이 있고, 그밖에 사이버 범죄 관련 양자·다자적 정부 간 전략대화를 통해 법적·협력적 플랫폼이 만들어지고 있다. 이들 5개 지역의 사이버 범죄 관련 국제규범 중 특히 2012년에 제정된 ‘AU 사이버 안보 프레임워크 설립 협약(AUCC: AU Convention on the Establishment of a Legal Framework Conductive to Cybersecurity in Africa)’은 전자상거래, 사이버 안보, 개인정보보호, 사이버 범죄 등 사이버 분야의 중요 영역을 모두 규율한 최초의 국제규범으로 2014년 AU 회의에서 채택되었다. 이들 국제규범을 통해 현재 전 세계 82개국이 한두 개의 사이버 범죄 관련 국제규범에 가입하고 있다. 이러한 맥락에서 중국, 러시아, 우즈베키스탄, 타지키스탄 등 SCO 4개 회원국은 정보·통신 기술의 급속한 발전과 이에 따른 악용 가능성 증대에 따른 대응 취지로 ‘국제정보 행동 수칙안(International Code of Conduct for Information Security)’을 2011년 유엔총회에 제출·회람하였다. 동 수칙안은 유엔헌장 및 보편적 국제규범 준수를 전제로 적대행위, 침략행위, 국제평화안보 위협, 정보무기 확산 등을 야기하는 정보·통신 기술의 이용 금지를 규정하였고, 또한 정보·통신기술을 활용하는 범죄·테러 행위 및 테러·분리·극단주의를 선동하거나 타국의 정치·경제·사회 안정을 저해하는 행위에 대한 대처 협력을 규정하고 있다. 또한, 동 결의안은 정보공간 및 핵심 정보기반시설을 보호하기 위한 국가의 권리와 책임 및 적절한 국내법 및 규제에 일치하는 조건하에서 정보공간 관련 권리와 자유(정보 검색, 습득, 배포권)를 존중한다고 규정하여 “정보의 자유로운 흐름”을 강조하는 서방 측 시각과 차이를 보이고 있다. 아직 무력충돌의 상황까지 이르지 아니한 평화 시, 다른 국가에 대한 일국의 사이버 공격에 대하여 기존의 국가책임법 법리를 적용하는 문제는 사이버 공간의 국제법적 논의에 있어 많은 논쟁이 되는 이슈이다. 특히, 상기 논의 중 국가책임 법리 적용에 있어 핵심적 쟁점은 사이버 공격 행위를 개시한 국가에로의 귀속 가능성 문제인바, 이는 재래식 무력충돌과는 달리 사이버 공격이 발생한 경우 행위 주체의 파악이 어렵기 때문이다. 즉 사이버 공격은 이른바 대표적인 ‘비대칭형 공격행위’로서 행위자는 자신을 은닉하거나 위장하려 할 것이며, 사이버 공간상의 특성인 익명성, 초국경성, 동시성으로 인해 이러한 은폐행위가 아주 용이하게 행해질 수 있다. 실제, 2009년 7월 초에 감행되었던 디도스(DDos) 공격에서 보듯, 한국과 미국의 전산망을 무력화시키기 위해 동원된 엄청난 숫자의 컴퓨터나 서버가 심지어 바로 피해국의 영토에 위치해 있었을 수도 있다고 추정되었는데, 이러한 점은 사이버 공격 발생 시 그 배후의 가해자를 색출하는 것이 상당히 어렵다는 점을 시사한다. 동 매뉴얼은 기존에 확립된 무력사용 관련 국제관습법이 사이버 기술을 이용한 무력사용에도 적용 가능하다는 전제로, 무력공격에 상응하는 사이버 활동에 대해 자위권의 원용이 가능하고, 유엔 안전보장이사회를 통한 강제조치도 규정하고 있다. 즉 ‘탈린 매뉴얼’은 기존 국제관습상 개전법(jus ad bellum)을 유추하여 특정 조건하에서 사이버 공간상 파괴적 행위(disruptive activity)는 유엔헌장 제51조상의 무력공격에 해당할 수 있다고 규정하고 있다. 또한, 교전법규(jus in bello)상의 구별 원칙, 비례성 원칙, 중립 원칙 등도 사이버 공간에 적용 가능하다고 판단하고 있다. 비록 ‘탈린 매뉴얼’은 NATO의 공식 문건은 아니며 관련 국제법 전문가들의 연구 결과이지만, 사이버 공간에서 국제법 적용방안을 모색했으며, 각국의 정책과 전략 수립의 기초가 될 수 있다는 점에서 많은 시사점을 제공하고 있다. 국제사회의 요구에 따라 미국의 동서연구소(EastWest Institute)와 러시아 모스크바대학교의 정보안전연구소(Information Security Institute)가 중심이 되어 사이버 분야 용어의 통일 작업을 수행하였다. 미국, 러시아 합동연구팀은 2011년 4월에 20개 기본 용어의 정의를 담은 ‘1차 용어집’을 발간하였고, 2014년 3월에는 20개의 용어를 추가하여 총 40개 용어의 정의에 합의한 ‘2차 용어집’을 발간하였다.13 향후 이 작업은 중국어, 프랑스어, 히브리어 및 기타 언어로도 진행될 예정인데, 이는 그동안 러시아와 미국이 사이버 충돌에 관한 규칙의 전제조건이 되는 용어에 대해 합의가 없었던 사실을 고려할 때, 매우 의미 있는 작업으로 다자적 논의의 기초가 될 것으로 전망된다.