일본의 능동적 사이버 방어 관련 법률 제정과 시사점 = Japan's Legislation on Active Cyber Defense and Its Implications

국문 초록 (Abstract)

국가기관이나 기업들을 대상으로 최근 발생한 사이버 공격을 보면 기술적인 진화가 급격하게 진행되고 있다는 것을 알 수 있다. 클라우드, 사물인터넷(IoT)을 넘어서 AI 기반 사이버 공격이 늘어나고 있는 등 기존 보안 체계로는 해당 위협에 대응하는 것이 한계가 있다는 것을 보여주고 있다. 즉, 우리는 사이버 공격에 대해 경계선 중심, 사후 대응 위주의 보안이라는 자세를 취하였고 이러한 대응방향에 한계가 있다는 것이 실제 사례를 통해 보여지고 있다. 이러한 지능형 위협에 대응하기 위해서는 기존의 대응방법인 외부 침입을 막는 경계 보안 중심의 대응을 넘어서 공격 서버에 대한 접근, 정보 수집, 무력화 등의 조치를 취할 수 있는 능동적 사이버 방어체계를 구축하는 것이 필요할 것이다.
최근 제정된 일본의 관련 법률을 살펴보면 몇 가지 시사점을 정리할 수 있을 것이다.
첫 번째로 사이버공격은 국가뿐만 아니라 기업을 대상으로 발생하고 있으며 이에 대한 대응은 민관의 정보공유 등 공동대응의 필요성이 매우 높은 분야이다. 따라서 민관이 함께하는 협의회를 통해 상호 연계를 해야 할 것이다. 일본의 관련법에서 주요기반시설사업자의 정부에 대한 신고 및 보고 의무 강화와 민관의 정보 공유 및 협력 체계 구축을 참고할 수 있을 것이다.
두 번째로 통신 비밀과의 관계를 고려하여 동의 없이 정보를 이용하는 경우에는 제한적인 범위로 그 대상을 축소해야 할 것이다. 예를 들어, ‘국가와 사업자 등의 중요 기능이 사이버 공격으로 손상되는 것을 방지하기 위한 공익성’이나 ‘다른 방법으로는 실태 파악이 현저히 곤란한 경우’ 또는 ‘자동적으로 선별하여 분석’하거나 ‘독립적인 위원회의 심사 및 검사’ 등을 통해 공공의 이익에 부합하는 관점에서 필요 최소한의 범위에 머물도록 제도를 설계해야 할 것이다. 또한 동의에 의하지 않은 정보 취득과 분석의 경우에는 일정한 분량 이상은 취득 및 분석하지 못하도록 하거나 일정 기간을 제한할 필요도 있을 것이다.
세 번째로 명시적으로 헌법상의 권리를 침해하거나 제한해서는 안 된다는 규정을 마련하는 것도 필요할 것이다.
네 번째로 대응 주체와 관련하여 관련 기관의 유기적인 협력이 필요할 것이다. 일본은 사이버 공격의 무력화 조치를 경찰과 자위대가 각각 담당하도록 역할을 구체화하고 있다. 단순 공격에는 경찰이 고도로 조직적이고 계획적인 공격에는 총리 명령에 근거하여 자위대가 대응할 수 있도록 규정하고 있다. 우리나라의 경우에도 사이버 위협의 수준과 성격에 따라 국가정보원, 국방부, 경찰청, 과학기술정보통신부(KISA) 등의 대응 주체 간 임무와 권한 범위를 명확히 하고, 비상 상황에서의 지휘체계를 확립하는 것이 중요할 것이다.
다섯 번째로 관련 조치가 투명하게 이루어질 수 있도록 감시와 감독을 담당하는 기관을 운영해야 할 것이며, 특히 능동적인 조치(예를 들어 무해화 조치 등)의 경우에는 이에 대한 승인 및 승인 요청에 대한 심사, 사후 통지가 있었을 경우의 확인 등의 관련 규정을 명확히 정비할 필요가 있을 것이다.