사물인터넷(IoT) 및 사이버 물리시스템(CPS) 기반의 기간시설과 생명 직결 기기에 대한 보안 위협과 이를 대응하기 위한 법적 규제 및 제도적 개선의 필요성 doc_id PCY_201603110513546531_2

기존 제조과정이나 기간시설의 통제에 정보통신기술을 적용하여 자동화 지능화 된 미래 스마트 공장, 스마트 전력망 등이 초미의 관심사가 되고 있다. 이러한 스마트 공장 등은 기존 제조업과는 달리 노동, 자본집약적 성격을 벗어나 정보 통신기술 융합이 근간이 된다. 이러한 스마트 전력망이나 스마트 공장은 엄밀히 말해 사이버 물리시스템(Cyber-Physical System, CPS로 약칭)이다. CPS는 사물 인터넷이나 빅데이터 기술과 상당 부분 유사하나, 사물인터넷이 정보통신기술을 근간으로 수많은 사물인터넷 객체를 연동하는 기술이라 한다면, CPS는 컴퓨터가 통신을 이용해 물리시스템을 제어하는 통합시스템이라는 점에서 다소 차이가 있다. 즉 센서와 액츄에이터로 구성되는 물리시스템과 이를 제어하는 컴퓨팅 요소가 결합된 네트워크 기반 분산제어 시스템이 CPS다. 이러한 CPS의 구체적 구현모델인 MIT 대학의 Distributed Robot Garden의 경우, 자동로봇기술과 센서를 이용하여 각 식물에 부착된 분산 센서를 통해 물리적 세계의 식물상태를 모니터링하고 상황을 정확히 인지하여 그에 따른 조작을 자동적으로 행하는 수준에 이르렀다. 공항, 고속도로, 철도운송, 전력망, 댐, 발전소, 항구, 정유공장 등 기간시설에 대한 위협도 그 결과의 심각성에 비추어 간과할 수 없는 분야다. 이러한 기간 시설은 CPS의 일종으로 사물인터넷과 흡사한 정보통신기술이 적용되는바, 초연결의 특성과 시스템 상호간의 강한 의존성 때문에 한곳이 공격당하면, 연결된 다른 부분에까지 피해가 확산된다. 이런 기간산업의 파괴나 손상은 국가기능을 마비시키고, 경제에도 심각한 영향을 줄 수 있다. 예를 들어 전력망이 파괴되어 전력공급에 차질이 생기면 국가안보와 경제뿐만 아니라 개개인의 삶에 지대한 영향을 미칠 수밖에 없다. 또 전력을 사용하는 모든 산업 전체가 마비가 될 수밖에 없다. 문제는 이러한 전력망이 전국적으로 분산되어 있어 위협에 대처하는 것이 쉽지 않다는 데 있다. 뿐만 아니라 스마트 전력망과 같은 경우, 가정에서 통제센터 발전소 간의 쌍방향 통신이 가능하도록 설계되어 다양한 가정 네트워크가 시설 운영 네트워크로 연결되고, 그 때문에 핵심인 SCADA 시스템도 인터넷에 노출될 수밖에 없다. 스마트 전력망 등 기간시설은 정보통신기반 보호법에서 정의하는 ‘정보통신기반시설’에 해당된다. 위 법 제2조 제1호에서 “정보통신 기반시설”이라 함은 국가안전보장 행정 국방 치안 금융 통신 운송 에너지 등의 업무와 관련된 전자적 제어 관리시스템 및 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제2조 제1항 제1호의 규정에 의한 정보통신망을 말한다고 규정하고 있다. 따라서 이런 시설에 대한 위협에 대하여 위 법 제28조 제1항 규정에 의하여 규율이 가능한지를 따져 볼 필요가 있다. 동 조는 ‘주요정보통신기반 시설’을 교란 마비 또는 파괴한 자는 10년 이하의 징역 또는 1억 원 이하의 벌금에 처하도록 하고 있는데, 교란 마비 또는 파괴의 방법에 대하여는 따로 규정하고 있지 아니하므로, 사물인터넷과 관련한 정보통신망 침입과 악성 프로그램의 유포 등으로 이러한 시설을 교란 마비 또는 파괴한 경우에 이 법조에 의하여 처벌이 가능한 것처럼 보인다. 그러나 처벌이 가능한 것은 ‘전자적 제어 관리시스템이나 정보통신망’을 교란 마비 또는 파괴한 경우다. 사물인터넷 단말 중에는 생명과 직결되는 기기들이 있다. 스마트 자동차, 웨어러블 디바이스(특히 의료용), 체내 이식용 디바이스 등이 그것인데 현재까지는 그러한 사물인터넷 단말 해킹 관련 사망 사례가 보고된 바는 없지만 그 위험성은 크다. 사물인터넷 단말해킹으로 의료용 디바이스인 지능형 인슐린 펌프나 맥박조절기를 오작동하게 할 수 있다는 것이 밝혀졌는데, 이를 이용하여 살상행위를 저지를 수 있다. 비록 예측이 빗나가긴 하였으나, 미국 보안회사 IID는 사물인터넷 해킹으로 인한 살인이 2014년에 벌어질 것으로 예상하였고, 전직 미 부통령 Dick Cheney는 잠재적 해커가 그의 체내 삽입형 자동 제세동기에 원격으로 접근할 수 있다는 가능성 때문에 그 기기의 무선기능을 끄도록 하였다. 작년의 한 인터뷰에서 Cheney는 이러한 위험이 존재한다는 것을 확신한다고 하였다. 데이터침해 행위의 속성상 정보통신망 침입에 의하여 이루어진 경우가 전형적일 것이다. 그 전제가 되는 정보통신망 침입행위가 별도로 처벌되는 것은 별론하고, 데이터 침해행위 자체는 정보통신망법 제49조 위반 행위로서 제71조 제11호에 의하여 처벌이 가능하다. 앞서 소개한 Cryptolocker Ransomware 같은 경우는 특정한 타입의 파일을 암호화하여 파일 접근을 차단하는 행위로 정보 통신망에 의하여 처리 보관되는 타인의 정보를 훼손한 행위에 속한다. 물론 그것을 빌미로 돈을 요구한 행위는 별개로 형법상의 공갈행위에도 해당된다. 또 다른 정보 침해 형태인 GameoverZeus를 이용한 은행정보 탈취행위도 위 조항에 의하여 처벌이 가능하다. 은행정보 또한 보호받을 필요성이 있는 타인의 비밀일 뿐만 아니라, 정보통신망에 의하여 처리 ․ 보관되는 것으로 정보통신망에 침입하는 등의 부정한 수단 또는 방법으로 관리자의 승낙 없이 취득하였으므로, 정보 통신망법 제49조에 규정된 정보통신망에 의하여 처리 보관 또는 전송되는 ‘타인의 비밀’로 보는데 의문이 없다. 앞서 본 바와 같이 사물인터넷 단말이나 네트워크, 서버 등에 악성프로그램을 유포하는 범죄 유형은 역시 정보통신망법 제48조 제2항 소정의 행위에 해당한다. 사물인터넷 단말 자체까지 정보통신시스템으로 보는 한 그 단말 자체 또는 그 데이터 또는 프로그램(임베디드) 등을 훼손, 멸실, 변경, 위조하거나 그 운용을 방해할 수 있는 Malware 즉 악성 프로그램을 전달 유포하는 행위를 위 법조 위반행위로 보는데 의문이 없기 때문이다. 그러나 악성프로그램 유포는 그 자체만을 문제 삼아서는 아니 된다. 통상 그와 같은 악성프로그램의 유포는 정보 통신망의 운용을 방해하거나 왜곡할 목적일 경우가 많은데, 그런 악성 프로그램 유포로 인한 장애 부분에 대하여도 구성요건에 포함시킬 필요가 있다. DDoS 공격의 경우를 규정하고 있는 정보통신망법 제48조 제3항은 ‘-방법으로 정보 통신망에 장애가 발생하게 하여서는 아니 된다’고 규정하고 있는 데, 악성 프로그램의 유포도 그와 유사한 형태로 규정할 필요가 있다. 보다 근본적인 문제점은 제48조 제2항의 규정 형식이다. 우선 범죄객체를 ‘정보통신시스템, 데이터 또는 프로그램 등’으로 잡고 있는데, 병렬적으로 나열 하기에는 이들 개념 간의 간극이 너무 크다. 또한 ‘훼손 멸실 변경 위조’와 ‘운용 방해’는 행위태양이 너무 달라 적용 시에 혼란을 야기할 수 있다. 사실 데이터나 프로그램은 ‘훼손 멸실 변경 위조’의 대상이 되고, 정보통신 시스템은 ‘운용 방해’의 대상이 되는 것이 자연스럽다. 나아가 처벌 대상이 이와 같은 ‘훼손ㆍ멸실 ․ 변경 위조’와 ‘운용 방해’가 아니라는 점도 문제다. 현행 규정은 그러한 프로그램을 전달 또는 유포하는 행위를 처벌하려는 것이다. 따라서 ‘악성프로그램을 유포하여, 정보통신시스템의 운용을 방해하거나 데이터 또는 프로그램 등을 훼손 멸실 변경 위조한 자는 형에 처한다.’라는 식으로 규정할 필요가 있다. 또 다른 문제는 앞서 본 바와 같이 사람의 생명과 직결한 사물인터넷 단말에 대한 악성프로그램 유포행위는 정보통신망의 장애를 초래 하는데서 나아가 사람의 생명이나 신체에 위해를 가할 수 있기 때문에 이와 관련한 별도의 규정도 필요한 것으로 보인다. 이 부분은 사물인터넷 이용 살상 행위에서 상세히 다룬다.