탈린 매뉴얼 - 사이버 전쟁에 적용 가능한 국제법

괜찮다고 말하지만 괜찮지 않은 너와 나, 우리가 안고 사는 우울. 그리고 그 감정이 가져온 마음의 병 우울증. 화제의 채널



사이버 전쟁과 사이버 분쟁에 관한 95개 규칙이 정리된 국제법안(국제조약안)으로, 관련 국제 사이버 안보 전문가와 연구자가 3년에 걸친 연구를 통해 만들었다. 『탈린매뉴얼』은 사이버 공간에서의 주권, 국가 책임, 전쟁에 대한 법(jus ad bellum), 국제인도법, 그리고 중립 법규 등에 대해 다루고 있다.2007년 5월 에스토니아가 러시아로부터 사이버 공격을 받아 3주간 주요 인터넷 사이트들이 마비되었다. 에스토니아 총리실, 의회, 그리고 대부분의 정부 중앙 부처, 정당, 주요 신문사, 은행 등이 사이버 공격의 목표가 되었던 것이다. 원인은 에스토니아의 수도인 탈린에 있던 소련군 동상을 옮기는 것에서 시작되었다. 사건 후 에스토니아는 조사 결과 러시아의 연방 보안국(FSB) 소행임이 밝혀졌다고 주장하고 있고, 러시아는 자국 내의 인터넷 사용자들이 항의 차원에서 벌인 해프닝이라고 축소 발표했다. 이런 양국의 주장이 계속되면서 유럽 연합은 이 사건의 중대성을 인식했으며, NATO에서도 18개월의 연구 끝에 합동 사이버 방위 센터(CCDCOE, Cooperative Cyber Defence Center of Excellence)라는 군사 기구를 탈린에 설치했다.

사이버 공격을 개인이 또는 집단이 했는지, 아니면 조직이나 국가가 개입했는지에 따라 사안이 달라진다. 에스토니아 사태의 경우에는 국가가 개입했다는 결과가 나옴에 따라 유럽 연합이 강력하게 대응한 것이다. 이런 조사는 에스토니아 자체의 노력만으로는 안 된다. 에스토니아가 아무리 주장하더라도 관련 국가에서 관심을 가지지 않는다면 그렇고 그런 사이버 사건으로 인식되었을 것이다. 하지만 에스토니아는 이것을 조사해 달라고 NATO에 요청했고, 이에 따라 NATO는 러시아 정부의 소행으로 결론을 짓고 대응책을 마련한 것이다.

_ 김인중 지음, <사이버 공간과 사이버 안보> 중 “에스토니아 사태”



『탈린매뉴얼』은 옛 소련의 일원이던 발트 해 지역 국가인 에스토니아가 러시아 측의 것으로 추정되는 사이버 공격을 받은 뒤, 그와 비슷한 상황에 대비하기 위해 만들어졌다. 즉, 에스토니아도 가입한 공동 방위 동맹인 북대서양조약기구(NATO)가 초빙한 각국 전문가들(국제법, IT, 군사 분야 등)이 사이버 공간에서 발생하는 특정·불특정 국가에 대한 위협, 그리고 그것에 어떻게 대응할 것인가를 에스토니아의 수도 탈린에 모여 논의한 뒤 2013년에 발간한 결과물이 바로 이 『탈린매뉴얼』이다. 이 책의 의의는 사이버 공간에서의 특정·불특정 국가에 대한 위협과 관련해 탈린 회의에서 구체적으로 어떤 이야기가 오갔는지를 파악하고, 그것을 바탕으로 우리나라도 타국 해커들의 공격에 대한 국가 차원의 대응 전략이나 정책을 마련하자는 것이다. 그렇기에 이 책은 사이버 공간과 관련된 국제법을 연구하는 학자들과 학생들에게도 큰 도움이 될 것이다.

『탈린매뉴얼』은 기존의 전쟁 관련 법규와 매뉴얼을 사이버 전쟁에 적용할 수 있는, 그러나 제재 수단 같은 구속력은 없는 문서다. 즉, 국제인도법연구소의 『해양에서의 무력 충돌에 적용되는 국제법에 관한 산레모 매뉴얼』과 하버드 프로그램에서 발간한 『공중전에 적용되는 국제법에 관한 매뉴얼』이 각각 해상과 공중에서의 교전규칙으로서 지침을 제공하는 것과 마찬가지로, 『탈린매뉴얼』은 사이버 공간에서의 교전규칙이자 지침서인 셈이다. 그렇기 때문에 국가 정책의 수단으로서 국가가 무력을 행사하는 경우에 대한 국제법(jus ad bellum)과 무력 충돌 행위를 규율하는 국제법 또는 전쟁법(jus in bello)도 내용에 포함하고 있다.

『탈린매뉴얼』은 NATO를 비롯한 국제 사회가 공식적으로 채택한 구속력 있는 문서가 아니라 일종의 가이드라인 같은 것이다. 하지만 1907년에 만들어진 “헤이그 협약” 같은 기존의 전쟁 관련 법규나 전시 국제법을 사이버 공간에까지 적용하는 데는 무리가 있을 수 있음을 고려하면, 『탈린매뉴얼』은 사이버 공간에서의 전쟁 관련 규정과 방침과 법률의 기초를 명확하게 다지고, 잠재적 적국의 해커가 활동하는 것을 억제하며, 적국 측의 사이버 공격에 대해 국제법에 맞는 군사적 대응도 가능하게 해주었다고 볼 수 있다. 물론 『탈린매뉴얼』에 담긴 95개의 규칙에 대해 탈린에 모였던 전문가들이 의견 일치를 보인 것은 아니다. 그로 인한 쟁점들은 『탈린매뉴얼』이 각국에 의해 사이버 전쟁에 도입되면서 수정되고 해결되어야 할 과제일 뿐이다. 그러나 이는 사이버 공간에 국제법을 적용하는 문제를 계속 발전시킬 수 있는 가능성도 제시한다.

우리는 『탈린매뉴얼』을 어떻게 활용할 것인가?

에스토니아 사람들이 겪었던 것처럼 우리나라 사람들도 2009년 선관위에 대한 분산 서비스 거부, 즉 디도스(DDoS) 공격이 발생한 것을 계기로 사이버 안보가 남의 일만이 아님을 실감한 바 있다. 즉, 기존에는 소수의 관련 분야 전문가들이나 다루는 문제로만 인식되던 것이, 국가의 안위는 물론 우리의 실생활까지 직접적으로 침해하거나 방해, 심지어 파괴하거나 붕괴시킬 수 있는 ‘사이버 안보’ 문제로 이어질 수 있음을 온 국민이 보거나 직접 체험까지 했다. 이러한 사건을 계기로 사이버 안보에 대한 국민들의 관심은 더욱 커졌고, 이에 따라 사이버 공간에서의 적대적 행위에 법적으로 대응할 수 있는 기반의 구축도 매우 중요한 과제로 떠올랐다. 그런 점에서 바로 이 『탈린매뉴얼』은 선구적 연구 성과인 셈이다.

기실 사이버 공간, 즉 우리 사이버 영토에서의 취약점에 대응하는 기존 법률·제도의 검토 대상은 주로 국내법이었다. 그러나 에스토니아는 물론, 2010년에는 이란의 핵 관련 시설을 목표로 스턱스넷 웜 사건까지 벌어지자, 사이버 공격 및 국내 주요 기관을 대상으로 하는 디도스 공격에 대한 대응은 이것만으로는 충분하지 않다는 것이 증명되었다. 결국 국가 안보에 관련된 사이버 공간상에서의 불법 행위에 대응하려면 국제법을 전면 재검토하는 것이 필수적임을 깨닫게 된 것이다. 그렇기 때문에 우리나라 전문가들과 실무진도 국제법과 기술적 연구의 최신 통합물인 이 『탈린매뉴얼』에 주목할 필요가 있다. 아울러 이를 국민들에게 소개하고, 더욱 발전된 방안까지 제시하는 것은 우리 학계와 실무계의 또 다른 책무가 아닐 수 없다. 특히 우리나라는 사이버 안보 분야에서 북한이라는 큰 위험 요인을 안고 있기에 더욱 그러하다.

물론 문제는 북한만이 아니다. 타국과의 무력 충돌 시 양국 민간인을 해치는 수단을 규제하고, 민간인을 보호하는 전통적 국제법을 위반한 사건이 사이버 공간에서 발생할 경우 이를 어떻게 처리할 것이며, 그 전에 어떻게 예방할 것인가라는 문제도 매우 복잡하다. 그래서 사이버 분야의 기술 전문가와 국제법 전문가들의 공동 작업이 필수적이다. 더군다나 국제화·전문화된 법 전문가 양성을 위해 도입된 로스쿨이 변호사 시험에 치우쳐져 의도한 역할을 다할 수 없는 현 상황에서는, 이런 책을 연구함으로써 풀어나가야 한다.

마지막으로, 우리나라는 ICT(Information & Communication Technology) 분야의 기술 선진국임에도 불구하고 관련 분야의 국제적 기준을 수립하는 작업을 주도하지 못함으로써 산업계의 노력이 무위화되는 경우가 적지 않다. 그래서 우리나라의 이 분야 전문가들은 이러한 문제점이 사이버 안보 분야에서까지 재연되어서는 안 될 것이며, 오히려 우리나라가 사이버 안보의 국제적 규범 구축 작업을 선도하게 하려고 고심을 거듭하고 있다. 안보에는 한 번 구멍이 생기면 그 회복이 매우 어렵고, 또한 회복을 위해 엄청난 비용이 필요하기 때문이다. 『탈린매뉴얼』의 국내본 출간을 계기로 사이버 안보에 대한 법적 연구가 더 활성화되리라 기대된다.