Legal Improvements for the Implementation of Active Cyber Defense: Focusing on Practitioner Immunity

적극적 사이버 방어 전략 이행을 위한 법제 개선방안 연구: 실무자 면책 논의를 중심으로

Abstract

As cyber threats grow increasingly sophisticated, the adoption of active cyber defense strategies has become a critical priority in national security agendas worldwide, including South Korea. While extensive debates and research have highlighted the necessity of active cyber defense, insufficient attention has been paid to the issue of legal liability faced by practitioners executing such measures. This study addresses this gap by proposing the introduction of an immunity framework for practitioners engaged in active cyber defense operations. The research first identifies the necessity of practitioner immunity and the associated legal and policy challenges in the implementation of active defense strategies. It then examines international discussions and comparative practices related to immunity mechanisms, before presenting concrete policy recommendations for establishing a practitioner immunity system tailored to the South Korean context.

고도화되고 있는 사이버 위협에 대응하여 '적극적 사이버 방어' 전략의 필요성이 대두되고 있다. 세계 각국뿐만 아니라 우리나라도 국가전략을 통해 적극적 대응을 핵심 방침으로 천명하였다. 관련하여 적극적 사이버 방어의 필요성에 관한 논의와 연구는 다양하게 이루어지고 있지만 실질적으로 이를 도입하기 위해 고려해야 하는 실무자들의 법적 책임 문제는 제대로 다뤄지지 못하고 있는 실정이다. 이에 본 연구는 적극적 사이버 방어 활동 수행 과정에서의 실무자 면책 제도 도입을 위한 방안을 제안하고자 하였다. 이를 위해 먼저 적극적 사이버 방어 전략의 도입 과정에서의 실무자 면책 필요성과 이에 수반되는 쟁점을 식별하였다. 이어서 국외에서 논의되고 있는 적극적 사이버 방어 관련 면책 제도 및 관련 동향을 조사·분석한 뒤 실무자 면책 제도의 구체적인 도입 방안을 제시하였다.

I. 서론

2025년 2월 북한의 대표적인 해킹그룹 ‘라자루스(Lazarus)’는 가상화폐 거래소 ‘바이비트(Bybit)’를 해킹해 가상화폐 14억 6,000만 달러를 탈취하였다. 유엔 전문가들에 따르면 북한이 탈취한 가상화폐는 핵미사일 기술 개발을 위한 주요 수입원으로 활용된다[1]. 북한의 해킹은 단순 사이버 범죄의 범주를 넘어서 자신의 정치적 이익을 추구하고 실질적인 안보 위협을 야기하고 있는 것이다. 한편, 2025년 4월 확인된 SKT 유심 해킹 사건의 주범으로는 중국이 의심되고 있는 상황이다[2]. 그 밖에도 국가사이버안보센터에 따르면 2024년 우리나라를 대상으로 하는 국제 및 국가 배후 해킹조직의 위협은 2023년 대비 약 60% 증가하였다[3]. 또한 2025년 위협 전망을 살펴보면 북한, 중국, 러시아 등 권위주의 국가들이 우리나라를 대상으로 영향력 공작 및 각종 사이버 첩보 활동을 강화하고 물리적 피해를 야기하기 위한 해킹이 본격화될 것으로 보인다[4].

이처럼 점점 고도화되는 사이버안보 위협에 대응하기 위해 ‘적극적 사이버 방어’의 필요성이 대두되고 있다. ‘적극적 사이버 방어’란 발생한 공격에 대응하여 방어하는 것을 넘어 예상되는 공격을 사전에 차단하고 공격의 근원지를 추적해 반격하는 개념을 말한다. 이런 과정에서는 필연적으로 다른 시스템의 보안을 침해해 관련 데이터에 접근해야 하는데 국가기관이 이와 같은 행위를 수행하기 위해서는 법적 근거가 요구된다. 우리나라는 2021년 김병기 의원이 대표 발의한 ‘국가사이버안보법안’을 통해 ‘사이버안보 정보활동’의 개념을 다루고 2022년에는 국가사이버안보 기본법안을 통해 ‘사이버안보 위해자 추적’이라는 개념을 규정하면서 적극적 사이버 방어를 법제화하기 위한 노력을 이어오고 있다. 이후 2024년 ‘국가 사이버안보 기본계획’에서는 전략과제로 ‘공세적 사이버 방어 활동 강화’를 채택하면서 국가적 의지를 천명한 바 있다.

그러나 이와 같은 논의를 살펴보면 적극적 사이버 방어의 요건과 절차 등은 규정하고 있지만 실제 임무를 수행하는 실무자의 책임 문제는 제대로 다루고 있지 못한 상황이다. 실제로 적극적 사이버 방어 활동을 수행하는 과정에서는 제3자의 시스템을 경유하거나 국외에 소재한 서버를 거쳐야 하는 등 국내법 및 국제법 위반 문제가 발생할 수 있다. 또한, 사이버안보 위해자를 추적하는 과정에서는 해당 공격과 무관한 제3자에게 피해를 줄 수 있는 위험도 있다.

결국 적극적 사이버 방어 행위는 국제법상 주권 침해 문제, 민사상 손해배상 책임, 기술적 오인 공격 가능성으로 인한 예상 외 결과 발생 등 다양한 문제를 내포하고 있는데 이러한 관점에서 실무자 면책은 제도의 실효성을 좌우하는 핵심 과제라 할 수 있다. 법률이 권한을 부여하더라도 집행 과정에서 실무자가 민·형사상 책임 위험을 감수해야 한다면 실제 작전 수행은 위축될 수밖에 없기 때문이다. 권한을 실질적으로 행사할 수 없게 된다는 점에서 적극적 사이버 방어를 수행할 수 있는 법률이 제정되더라도 입법 의도를 실현하지 못하고 관련 규정이 형해화될 우려도 있다. 현재 우리나라는 적극적 방어 수행을 위한 법적 근거를 마련하지 못한 상황에서 관련 입법 시도와 논의가 이루어지고 있지만 여전히 단순 권한 부여 중심의 논의에 그칠 뿐 그 권한을 행사하는 과정에서 발생할 수 있는 현장 실무자의 법적 책임 문제는 고려하지 못하고 있다. 법적 절차를 준수하면서도 허용된 범위 내에서 적극적인 전술을 구사할 수 있는 환경이 보장되어야 하는데 이를 위해 권한 부여와 함께 실무자 면책 규정을 병행하는 입법이 요구되는 것이다.

이에 본 연구는 적극적 사이버 방어 전략을 실질적으로 이행하기 위한 실무자 면책 방안의 도입 방안을 제안하고자 한다. 이를 위해 제2장에서는 적극적 사이버 방어 전략의 도입 과정에서 실무자 면책 제도의 필요성을 강조하고 이에 수반되는 쟁점을 식별하고자 하였다. 이어서 제3장에서는 국외에서 논의되고 있는 적극적 사이버 방어 관련 면책 제도 및 관련 동향을 조사, 분석하고, 제4장을 통해 실무자 면책 제도의 도입 방안을 제시한다.

II. 적극적 사이버 방어 전략의 이해와 실무자 면책 요구

2.1 적극적 사이버 방어 전략의 이해

2.1.1 적극적 사이버 방어의 개념적 이해

‘적극적 사이버 방어’의 개념은 ‘적극적 방어’라는 군사 용어에 바탕하고 있다[5]. 국방과학기술용어사전에 따르면 ‘적극적 방어’란 ‘적의 위협이 아 지역에 도달하기 이전에 이를 제거하여 부대의 전투력을 보존하는 활동’으로서 여기에는 위협의 근원을 선제공격하는 활동이 포함된다[6]. 이를 사이버공간에 적용해 보면 사이버공격을 사전에 탐지하고 선제적으로 차단하는 활동 정도로 이해할 수 있는 것이다.

실제로 해외 주요국이나 전문가 논의를 통한 적극적 사이버 방어 개념 또한 이와 유사하다. 미국 국방부[7]와 국가안보시스템위원회(Committee on National Security Systems)[8]에 따르면 ‘적극적 사이버 방어’란 ‘위협과 취약점을 발견, 탐지, 분석 및 완화하기 위한 동기화된 실시간 역량으로 악의적인 활동이 네트워크와 시스템에 영향을 미치기 전에 사전에 탐지하고 차단하는 방식’이라고 설명된다. 이스라엘의 국가사이버청(Israel National Cyber Directorate)은 ‘적극적 방어’를 ‘공격 의도를 조기에 탐지하고 방어체계 사전 구축, 위협을 사전에 차단하는 선제적 대응 원칙’으로 정의하고 있다[9]. 한편, 탈린매뉴얼은 ‘수동적(passive) 사이버 방어’ 개념을 정의하면서 ‘침입과 그 작전의 영향을 탐지하고 완화하기 위한 조치를 취하되 그에 대해 예방적·선제적·보복적 작전을 수행하지 않는 것’으로 설명하고 있다[10]. 이를 반대로 해석해 보면 탈린 매뉴얼 또한 예방적, 선제적, 보복적 행위가 포함되는 경우 이를 적극적 사이버 방어로 볼 여지도 있음을 유추할 수 있다.

종합해 보자면 적극적 사이버 방어는 공격이 발생한 이후에 이를 탐지하고 대응하는 데 초점을 두고 있는 전통적인 방식과 달리, 위협을 사전에 식별하고 잠재적인 공격자를 선제적으로 차단하거나 무력화하는 방식으로 보다 능동적인 대응을 하는 방식이라고 이해할 수 있다.

2.1.2 적극적 사이버 방어 전략의 등장 배경

사이버 공격을 탐지하는 시점에서는 이미 침해가 완료된 상태인 경우가 많다[11]. 기존의 수동적 방어만으로는 사이버 공격을 효과적으로 차단하는 데 한계가 있는 셈이다. 특히, 네트워크 전체를 완벽히 방어하는 것은 불가능하므로 공격자를 상대로 한 적극적 대응의 필요성이 제기되고 있다[12]. 이러한 요구에 따라 적극적 사이버 방어 전략이 등장하게 되었다. 적극적 방어는 국가안보에 필수적인 기반 시설이 위협받는 상황이라면 기술적으로 완벽한 정밀도가 확보되지 않아 무고한 제3자에게 피해가 발생할 가능성이 있더라도 당해 방어 행위를 정당화할 수 있다는 인식에서 출발한다[13]. 완화할 수 있는 피해가 제3자 피해보다 현저히 크고, 그러한 작전의 성공 가능성이 높으며, 그밖에 다른 대응 수단을 찾기 어렵다는 객관적인 증거가 확인된다면 정당행위의 관점에서 맞대응을 허용할 수 있다는 것이다[14]. 이러한 배경 속에서 단순 방어를 넘어 적극적이고 선제적인 대응을 통해 국가와 조직의 사이버안보를 강화하려는 적극적 방어 전략이 중요한 대안으로 부상하고 있다.

한편, 신기술 환경에서의 보안 패러다임 변화를 수용하기 위해서도 적극적 사이버 방어 전략의 이행이 요구된다. 기존에는 사이버 위협에 대응하기 위해서 민감한 데이터를 다루는 내부망(업무망)을 일반 인터넷망과 분리 운영하여 외부로부터의 불법적인 접근이나 정보 유출 등 사이버 위협을 원천적으로 차단하는 극단적 망분리 정책을 시행하였다[15]. 망분리 정책의 효과는 있었다. 2017년 워너크라이 랜섬웨어 공격 당시 국내의 피해가 미비했던 이유로 망분리 정책이 언급되기도 했다[16]. 하지만 최근 AI, 클라우드 등 IT 환경이 급격하게 변화하고 있는 상황에서 물리적인 망분리 환경은 업무 환경의 효율성을 떨어 뜨리고 신기술을 수용하는 데 큰 장애물이 되고 있다. 이러한 이유로 개선의 요구가 많아짐에 따라 국가정보원에서도 획일적인 망분리에서 탈피하여 업무의 중요도에 따라 보안 통제를 차등 적용하는 국가망 보안체계(N2SF)를 기반으로 보안정책의 패러다임 전환을 추진하고 있다. 이러한 변화는 네트워크 차단 중심의 전통적 방어에서 벗어나 외부와의 연결을 전제로 한 환경을 전제하므로 공격 표면의 확대로 이어질 수 있다. 이제는 단순 차단을 넘어 위협의 원천을 탐지·추적·제거하는 적극적 사이버 방어 전략이 필수적인 상황이 된 것이다.

그럼에도 기존의 사이버 위협 대응 방식은 여전히 방화벽(firewall), IDS, 백신, 패치 관리 등 정적인 보안 조치에 의존하고 있다. 즉, 공격이 발생한 후 로그 분석을 통해 사후 대응하는 방식이기 때문에 실시간 탐지 및 예방, 차단과 같은 능동적인 대응은 수행하기 어렵다. 또한 장기적인 전략 수립보다는 일시적이고 국지적인 차단에 초점을 두고 있기도 하다.

그러나 망분리 완화 등의 현상 변화, AI의 발전과 해킹 기법 고도화 등으로 인해 더욱 정교하고 은밀한 공격이 증가하고 있다. 이에 따라 기존의 수동적인 방어 전략은 이미 알려진 위협에 대응하거나 일차적인 차단 정도의 대응만 가능하다는 점에서 한계를 드러내고 있다. 실시간 분석과 능동적 차단이 요구되는 오늘날의 상황에서 수동적인 방어로는 신속하고 유연하게 대응할 수 없게 된 것이다. 따라서 진화하는 위협 환경에 대응하고 신기술 패러다임을 수용할 수 있도록 적극적이고 선제적인 방어 전략을 도입해 이행할 수 있어야 하는 상황이다.

2.1.3 적극적 사이버 방어의 기술적 이해

실제 적극적 사이버 방어 행위를 수행할 경우 활용되는 기술적 수단은 목적과 적극성의 정도에 따라 그 양태가 달라질 수 있다. 비교적 낮은 수준에서는 공격 예상 범위 탐색이나 공격 주체에 대한 정보수집과 같이 비접촉적 행위가 포함된다. 주 목적은 정보 수집으로 공격자의 시스템에 들어가거나 파괴하지 않는다. 주요 기술로는 네트워크 스캐닝, 공개 정보 수집(OSINT) 혹은 허니팟(Honeypot) 운영이 이에 해당한다. 대표적으로 허니팟은 가짜 시스템이나 서비스를 배치하여 공격자를 유인하고 침입 시도를 기록함으로써 위협을 탐지하는 방식으로, 실제 자산에 대한 피해 없이 공격자 정보를 확보할 수 있다는 장점이 있다[17]. 적극적 사이버 방어 행위에 대해서는 외교적, 법적 문제들이 우려될 수 있는데 허니팟은 실제 자산을 보호하는 동시에 공격자의 침입 행위에 대해 비접촉식으로 기록·분석만 수행하기 때문에 이러한 논란에서 상대적으로 자유로울 수 있다. 다만, 허니팟을 통해 수집되는 IP주소, 계정 정보 등의 데이터는 경우에 따라 개인정보 또는 통신비밀에 해당할 수 있는데 특히 대상이 아닌 제3자의 정보가 우연히 수집될 경우 데이터 처리에 관한 별도 규제가 요구될 수 있다.

한편, 해킹백(Hack Back)은 적극적 사이버 방어 전략 중에서도 높은 수준의 대응 수단으로 공격자에게 직접적인 피해를 주는 반격적 행위를 포함한다는 점에서 보다 많은 리스크를 안고 있다. 단순한 탐지나 추적을 넘어 공격자의 시스템에 침투하거나 명령·제어(C2) 서버를 무력화하는 등 공격자의 인프라에 물리적 영향을 미치기 때문이다. 해킹백의 주요 목적은 단순 방어를 넘어 공격자의 능력을 실질적으로 저하시키고 향후 공격 의지를 꺾는 억지 효과를 실현하는 데 있다[18]. 이러한 해킹백은 시스템에 침투하여 데이터를 삭제하거나 변조하는 데이터 조작 방식과 해당 데이터가 저장·처리되는 서버나 장비 자체를 무력화하거나 파괴하는 인프라 파괴 방식으로 구분될 수 있다[19]. 전자는 공격자의 정보자산과 데이터를 무력화하는 데 초점을 두며 공격자 서버 내 로그나 악성코드 빌드 파일 등을 지워서 재공격 가능성을 낮추는 효과가 있다. 후자는 하드웨어와 네트워크 자원을 물리적으로 파괴함으로써 장기간 작전 불능 상태를 초래한다. 이로 인해 물리적 복구와 재구축이 필요하므로 억지 효과가 강력하다. 두 유형 모두 법적 위험도가 높은 기술로 그 실행 과정에서 국내외 법률 위반, 외교적 마찰, 국가 간 보복 가능성 등의 위험을 수반한다.

실제로 적극적 사이버 방어 활동은 이미 몇 가지 사례를 통해 드러난 바 있다. 대표적인 예로 2014년 소니 픽처스 해킹 사건이 발생했을 때 미국 정부는 북한을 공격의 배후로 지목하고 이를 심각한 국가안보 위협으로 규정하였다. 오바마 행정부는 사이버 공격에 대해 비례적 대응을 검토하겠다고 공식 발표하며 사이버 보복 조치 가능성도 시사하였다[20]. 사이버 보복의 구체적 내용은 공개되지 않았으나 실제로 공식 발표일에 북한의 인터넷이 완전히 다운된 것으로 추정되었다. 또 다른 대표적인 사례로 2010년 스턱스넷 공격을 들 수 있다. 미국과 이스라엘이 이란의 핵 개발을 지연시키기 위해 수행한 적극적 사이버 작전이기 때문이다. 이 공격은 이란 나탄즈 핵시설의 원심분리기를 교란하여 실질적인 물리적 피해를 초래하였다[21]. 사이버 무기를 활용해 국가 기반 시설에 파괴적 공격을 가한 사례로 사이버공간에서 국가가 적극적 사이버 공격을 실질적인 선제적 억지 수단으로 활용한 대표적 예시라고 할 수 있다.

2.2 적극적 사이버 방어 활동의 법적 한계

2.2.1 국내법상 한계

적극적 사이버 방어 전략을 이행하는 과정에서 국내법상 충돌할 수 있는 규정들을 식별할 필요가 있다. 대표적으로 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’), 전기통신사업법 등은 방어 위주의 사이버보안 체계를 전제로 하고 있어 공격자의 시스템이나 경로를 추적, 교란하거나 기타 적극적인 행위를 수행하기에는 모호한 점이 많다.

정보통신망법의 경우 제48조를 통해 누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하여서는 아니 된다고 규정한다. 그렇다면 정당한 접근권한 또는 허용된 접근권한에 해당하는지 여부를 판단하여야 하는데 사이버안보 활동 수행의 법률적 근거가 없는 상황에서는 적극적 방어 활동이 정당한 접근권한에 따라 수행되었다고 보기 어려울 수 있다. 또한 허용된 접근권한은 정보통신서비스 제공자가 부여한 정당한 권한을 의미한다[22]. 하지만 이러한 협조를 공개적으로 얻어가면서 적극적 대응을 할 수는 없는 노릇이다. 한편 동 규정을 위반할 경우 동법 제71조제1항에 따라 처벌될 수 있다.

아울러 전기통신사업법에서도 유사한 형태로서 누구든지 정당한 권한 없이 고의 또는 과실로 기술적 조치를 제거 변경하거나 우회하는 등의 방법으로 무력화해서는 안 된다고 규정하고 있다. 다만, 예외적으로 기관 등이 법령에 따른 정당한 업무 집행을 위해 필요한 경우 또는 수사기관 등이 침해사고 발생에 대응하기 위하여 필요할 경우 허용하고 있다. 마찬가지로 법령에 따른 정당한 업무 집행에 해당하려면 적극적 사이버 방어 활동의 근거를 두고 있는 법률이 요구된다. 또한 두 번째 예외 요건으로서 ‘침해사고 발생에 대응하기 위해 필요한 경우’라는 문구가 예방적, 선제적 조치, 추적 및 반격 행위까지 포함하는 것인지 명확하지 않다.

이런 관점에서 현행 국내 법률은 방어적 성격의 대응을 전제로 하고 있어 적극적 대응을 수행하기에는 한계가 있다고 볼 수 있다. 이러한 문제를 해소하기 위한 일차적 시도로서 우리나라는 사이버안보 입법 시도를 계속 해오고 있다. 일례로 2021년 김병기 의원이 대표 발의한 국가사이버안보법안 제23조에서는 사이버안보위해자추적에 대한 내용을 다루고 있다[23]. 해당 조항에서는 국외 또는 북한에 존재하는 사이버안보위협디지털정보가 사이버안보 위협 행위의 확인, 견제, 차단에 필요하고 다른 방법으로는 접근이 어려운 경우에 한하여 대통령의 승인을 받아 사이버안보위해자추적을 할 수 있다고 설명한다. 이 조항을 통해 국가가 대통령의 승인을 전제로 제한된 범위 내에서 사이버 위협에 대한 정보수집 및 추적 활동을 수행할 수 있어 적극적 사이버 방어의 일환으로 선제적 대응이 가능하다고 할 수 있다. 그러나 이러한 시도는 오남용 문제 우려 및 정치적 이해관계 등으로 인해 실질적으로 이루어지지 못하고 있는 실정이다[24].

2.2.2 국제법상 한계

적극적 방어 활동은 사이버 공격에 준하는 위험성을 내포하고 있고 초국경적으로 실행되는 경우가 많다는 점에서 국제법적 검토도 요구된다[25]. 방화벽 등 수동적 방어 조치는 공격을 받은 네트워크 내에서만 이루어지기 때문에 국제법뿐만 아니라 국내법에도 저촉될 여지는 없다. 하지만 적극적 사이버 방어는 선제적 조치 또는 추적 등의 행위를 수행하기 때문에 그 활동 범위가 공격받은 네트워크를 벗어난다. 사이버공간에서는 물리적 경계를 구분 짓기 어렵기 때문에 국내법을 벗어나 국제법의 영향을 받아야 할 상황이 많다. 공격 대상 추적을 넘어서 대상 서버 파괴 등 공격에 가까운 조치를 할 경우 해당 국가의 주권을 침해하는 상황까지 발생할 수 있다. 무력 사용은 일반적으로 금지되므로 이러한 행위는 국제법상 위반 행위에 해당할 수 있다.

이에 따라 자위권 행사의 수단으로서 적극적 방어 활동을 검토해 볼 수 있다. UN 헌장 제51조에 따르면 UN 회원국에 대하여 무력 공격이 발생한 경우 안전보장이사회가 필요한 조치를 취할 때까지 피해국은 개별적 또는 집단적 자위권을 행사할 수 있다. 그러나 적극적 방어는 선제적 조치를 핵심으로 한다는 점에서 국제법상 무력 공격이 발생한 경우를 핵심 발동 요건으로 하는 자위권으로는 적극적 방어 활동을 정당화하기 어렵다[26]. 다만 무력 공격이 발생할 것이 명백함을 인지하였음에도 불구하고 자위권을 행사할 수 없다고 판단하는 것이 현실적이지 못하다는 의견도 있다[27]. 이에 따라 예방적 자위권에 관한 논의가 나오게 되는데 예방적 자위권은 자위권과 달리 무력 공격이 발생하지 않았더라도 상대의 공격이 명백히 임박한 경우 대응조치를 취할 수 있도록 인정하는 개념을 말한다. 예방적 자위권의 경우 필요성, 임박성, 비례성의 요건을 충족하는 때에 허용된다는 의견이 있고 국제관습법상 허용되는 것으로 보기도 하지만[28] 국제사회의 합의를 거쳐 명문화된 사항이 아니라는 점에서는 여전히 모호성이 존재한다.

한편, 국제법상 대응조치 또는 대항조치(countermeasures)는 특정 국가의 위법행위에 대항하여 취해지는 한 국가의 위법행위로서 비 무력적 행위를 의미한다[29]. 적극적 방어의 경우 근원지를 추적해 위협을 제거하는 것이 목표이므로 사실상 무력 위협 또는 무력 사용에 해당할 가능성이 높다. 따라서 대응조치는 적극적 방어 행사의 근거로 활용될 수 없다. 나아가 특정 국가의 위법행위임을 증명하기 위해 귀속 문제를 해결해야 한다는 점에서 실효성 또한 적다고 볼 수 있다.

이처럼 적극적 사이버 방어 활동을 수행하기 위한 국제법상 위법성 조각 사유 문제가 명확히 해석되지 않는 상황에서는 결과적으로 책임의 문제를 우려할 수밖에 없다. 이에 따라 최근에는 사이버 작전과 관련된 개인의 형사책임 문제도 논의되고 있다. 국제법이 전통적으로 국가 간 책임을 중심으로 형성되어 왔음에도 불구하고 최근 사이버 공격 행위와 관련하여 개인에게도 직접적인 형사책임을 부과하려는 흐름이 강화되고 있는 것이다. 대표적인 사례로 북한 소속 해커 박진혁에 대한 미국의 기소 사건을 들 수 있다. 박진혁은 라자루스 그룹(Lazarus Group)의 일원으로서 2014년 소니픽처스 해킹, 2016년 방글라데시 중앙은행 해킹, 2017년 워너크라이(WannaCry) 랜섬웨어 공격 등에 관여한 혐의로 2018년 미국 법무부에 의해 기소되었다[30]. 이 사건은 본질적으로 국가 차원의 불법 사이버 공격에 대한 처벌 사례로서 국가안보 목적의 적극적 사이버 방어 활동과는 성격이 다르다. 그러나 국가의 명령이나 승인에 따라 수행된 행위라 하더라도 피해국의 입장에서는 그 실행 주체인 개인에게 직접 형사책임을 물을 수 있음을 보여준다는 점에서 의미가 있다. 이러한 전례는 향후 적극적 사이버 방어를 수행하는 실무자에게도 유사한 법적 리스크가 발생할 수 있음을 시사한다. 즉, 타국의 시스템에 대한 선제적 대응이나 역추적, 교란 등과 같은 행위가 국제법상 불법행위로 간주 될 경우 해당 행위를 수행한 개인 실무자가 직접 기소되거나 국제적 수배 대상이 될 수 있는 가능성을 배제할 수 없다.

아울러 위와 같이 자국민이 외국에서 형사 기소되거나 수배되는 경우 국가가 이에 대응하기 위한 가장 대표적인 수단은 ‘외교적 보호(diplomatic protection)’라고 할 수 있다. 국제법상 자국민의 권리가 외국 정부에 의해 침해되었을 때 자국 정부가 권익을 침해받은 국민을 대신해 외교 및 기타 수단을 취하는 수단이다[31]. 그러나 외교적 보호는 강제적 수단이 아닌 국가의 재량에 기반하고 있으며 적용 요건 또한 엄격하다. 즉, 단순히 자국민이 형사 기소되었다는 사실만으로는 발동하기 어려운 것이다. 무엇보다 사이버공간에서의 행위와 국가의 지시 및 지원 간 인과 관계 입증 문제도 고려해야 한다. 실제로 해당 행위가 국가의 승인이나 지시에 따라 수행된 것이라 하더라도 그것이 공식적으로 입증되지 않는 한 실무자는 사적 책임을 부담할 수밖에 없는 상황이 벌어질 수 있기 때문이다.

2.3 실무자 면책 제도의 필요성 및 쟁점

2.3.1 실무자 면책 제도의 필요성

적극적 사이버 방어 행위가 다양한 국내법, 국제 법적 한계에 부딪힐 수 있다는 점에서 실제 법적 근거가 마련되더라도 현장에서의 작전은 제대로 이루어지기 어렵고 작전을 수행하는 실무자에게도 직접적인 위험 부담으로 작용할 수 있다. 따라서 적극적 사이버 방어 전략의 실효성을 보장하기 위해서는 현장에서 이를 수행하는 실무자의 책임 문제를 고려할 수 있어야 한다. 사이버공간은 물리적 경계가 불분명하고 법적 해석 또한 모호하기 때문에 적극적 사이버 방어 활동을 이행하는 실무자는 사실상 불법행위의 경계선에 서 있는 것과 같은 셈이다. 예를 들어 작전이 비밀리에 수행되는 상황에서 실무자가 제3자의 시스템을 경유할 수밖에 없는 경우 특정한 영향을 미치지 않더라도 무단 침입하여 탐색하는 행위 자체도 문제될 수 있다. 아울러 명확한 법적 근거가 없는 상황에서 공격자 IP를 역추적하거나 공격 원점 서버에 접근한다든지, 혹은 실질 대응으로서 특정 데이터를 파괴하거나 시스템을 마비시키는 등의 결과를 야기할 경우 업무상 지시에 따른 행위라 할지라도 추후 문제가 된다면 법적 책임을 피하기 어렵다. 불가피한 상황에서 다른 시스템이나 정보에 예상치 못한 영향을 미칠 우려 또한 고려하여야 한다.

한편, 군 소속 전투원은 국제인도법에 따라 사이버전에서도 원칙적으로는 합법적 군사 행위에 대한 전투원 면책을 인정받을 수 있다. 그러나 계약업체 등 민간 실무자의 경우 동일한 작전을 수행하더라도 보호 범위 밖에 있어 법적 책임을 부담할 가능성이 크다. 이를 당사자 간 계약에 의한 문제로만 둘 경우 오히려 향후 분쟁의 소지가 더 클 것으로 보인다. 관련하여 입법을 통해 군인과 동일한 수준의 면책을 민간 실무자에게도 부여해야 한다는 요구가 커지고 있다[32]. 실제로 많은 사이버공격이 국가의 지원을 받은 해커그룹에 의해 수행되고 있다는 점[33]에서 이른바 민간 용병에 의한 적극적 사이버 방어 활동 또한 고려할 필요가 있다.

2.3.2 실무자 면책 제도의 쟁점

2.3.2.1 면책의 대상

적극적 사이버 방어를 실시하는 주체별로 면책의 대상이 달라질 수 있다. 우선 국가기관, 특히 군·정보기관 소속 사이버전 인력은 법령과 내부 행정규칙 및 군령 등에 근거해 적극적 사이버 방어 활동을 수행한다. 이러한 활동은 국가안보 차원에서 필수적이므로 국제인도법상 전투원 면책의 적용 범위를 사이버 영역에도 명확히 확장할 필요가 있다. 이를 국내 입법에 반영하기 위해서는 현행법상 다른 분야의 면책 제도를 참고할 수 있다. 일례로 2024년 성폭력범죄의 처벌 등에 관한 특례법에 도입된 신분 비공개 수사 또는 신분 위장 수사의 경우에도 관련 수사 진행 과정에서 부득이한 사유로 위법행위를 한 경우 벌하지 않도록 하고 그러한 사유가 징계 사유에 해당하더라도 책임을 묻지 않도록 하고 있다. 타인에게 손해가 발생한 경우에도 고의나 중대한 과실이 없는 경우 손해에 책임을 지지 않도록 보장하고 있음은 물론이다. 소방기본법 또한 제16조의5를 통해 소방 활동으로 인해 타인을 사망하게 하거나 타인에게 상해를 입히는 경우 그러한 활동이 불가피하고 고의나 중대한 과실이 없는 경우 정상을 참작해 사상에 대한 형사책임을 감경하거나 면제할 수 있는 규정을 두고 있다. 이러한 사례들은 위험 대응 및 안전 확보를 위한 공적 행위의 특수성을 고려한 것으로 사이버안보 관련 국가기관 실무자에게도 동일한 취지로 면책 특권을 부여할 수 있을 것이다.

한편, 민간기업이나 민간 전문가가 주체가 되는 경우에는 국가기관을 대상으로 한 면책 제도와는 다른 방식의 설계가 요구된다. 이들은 국가기관 실무자와 동일한 작전을 수행하더라도 국가의 이익을 위한 공적 행위로 전면적으로 인정받기 어려워 법적 보호에 상대적으로 취약한 지위에 있기 때문이다. 그 결과 문제가 발생했을 때 국가기관 실무자와 달리 법적 책임이 기업이나 개인에게 전적으로 부과될 가능성이 높다. 이러한 특수성을 고려하여 민간 주체에 대한 면책 규정은 국가 사무의 위탁 수행자로서의 지위를 반영해 설계될 필요가 있다. 민간 보안업체나 전문가가 국가와 계약을 체결하거나 공식적인 위임을 받아 적극적 사이버 방어를 수행하는 경우 그 활동은 국가 기관의 권한을 일정 부분 대행하는 성격을 가져야 한다. 예를 들어, 행정권한의 위임 및 위탁에 관한 규정 제11조제3항에서 특수한 전문지식 및 기술이 필요한 경우 민간위탁을 허용하고 있다. 또한 제14조에 따라 위탁기관은 민간 수탁기관을 지휘·감독하여야 한다. 이와 같은 규정을 참고하여 적극적 사이버 방어 작전 수행 과정에서 발생한 민간 주체의 법적 책임을 위탁자인 국가와 합리적으로 분담하는 면책 제도를 설계할 필요가 있다.

2.3.2.2 면책의 요건과 범위

어떤 행위를 어떤 요건에 따라 보호할 것인지 고려할 수 있어야 한다. 예를 들어, 국가의 승인이나 위탁을 받아 고의나 중대한 과실 없이 수행된 적극적 사이버 방어 활동은 원칙적으로 보호하되, 국제법상 금지된 행위 등 면책에서 제외해야 할 항목을 법률에 명확히 규정하는 방안 등을 생각해 볼 수 있다. 아울러 사이버공간의 특성상 제3자의 시스템을 경유하거나 부수 피해가 발생할 수 있는 만큼 그러한 피해를 감수할 정도로 불가피한 상황이었는지, 제3자 간섭이나 피해를 최소화하기 위한 노력이 있었는지 등도 고려 사항이 될 수 있다. 예를 들어, 앞서 구분한 적극적 사이버 방어의 기술적 수준에 따른 단계를 생각해보면 허니팟과 같은 낮은 수준의 작전이 문제가 되었다면 수집 목적, 수집 데이터의 범위와 사후 처리 등에 관한 사항들을 점검할 수 있을 것이다. 해킹백 등 직접 침투하는 작전이 문제 된다면 네트워크 및 시스템 침투, 데이터의 위변조나 삭제, 서버나 네트워크 장비 등의 마비 또는 파괴 등과 같이 당해 승인된 작전의 목적을 고려할 때 필요한 수준의 행위였는지, 그러한 행위 과정에서 불필요한 피해를 최소화하기 위한 조치가 이루어졌는지 등을 판단해 볼 수 있다.

2.3.2.3 명확한 의사결정체계

무엇보다 위와 같은 사항들을 점검하려면 의사결정체계를 명확히 하여야 한다. 사고가 발생하였다면 누가 어떤 명령을 하였는지, 어느 단계에서 법령이 명시한 요건이나 범위를 벗어났는지 등을 식별할 수 있어야 하기 때문이다. 따라서 최종 승인권을 가진 사람과 중간 의사결정 단계, 실제 실무 집행자 등을 고려해 어떤 절차를 거쳐 작전이 수행되었는지, 전략적인 의사결정과 기술적 집행의 책임이 어떻게 되는지 알 수 있도록 작전의 승인 절차를 정확히 규정하여야 한다. 승인 절차가 불명확할 경우 추후 분쟁에서 책임 소재를 밝히기 어려워지고 이로 인해 면책 조항이 있더라도 실무자가 보호받기 어려운 상황이 발생할 수 있다.

2.3.2.4 사후 감독과 통제

마지막으로 면책의 오남용을 방지할 수 있는 사후 감독 및 통제장치가 마련되어야 한다. 어떤 의사결정 단계에서 문제가 발생했는지 사후에도 점검하여 안전 장치를 두텁게 하고 면책의 판단 자체에 오류가 없었는지도 확인이 필요하다. 반대로 실무자 등 작전 관계자가 면책 규정을 악용하여 불필요하거나 과도한 작전 행위를 정당화할 위험도 존재한다. 따라서 제도의 남용을 방지하기 위해 전문성과 독립성을 갖춘 감독기관이나 심사 기구 등이 요구될 수 있다. 이를 통해 작전의 승인·집행·사후 평가 전반에 관한 투명성과 책임성을 보장할 수 있어야 한다.

III. 국외 적극적 사이버 방어 관련 면책제도 논의 동향

3.1 미국

미국 연방 하원은 2017년 적극적 사이버 방어 법안(Active Cyber Defense Certainty Act)을 발의하였다. 동 법안 제4조제1항에 따르면 작전 수행 실무자가 적극적 사이버 방어 조치였음을 입증할 경우 기소되지 않는다. 또한, 동조 제3항에 따르면 적극적 사이버 방어 조치를 수행하는 실무자를 방어자(defender) 또는 방어자의 지시를 받은 자(at the direction of)로 정의하고 있다[34]. 즉, 면책의 주체를 적극적 사이버 방어를 수행하는 국가기관의 공무원에 한정하지 않고 국가기관으로부터 임무를 위탁받은 민간기업의 실무자까지 포함하고 있는 것이다. 또한, 같은 항 제2호를 통해 면책의 범위를 다루고 있다. 이에 따르면 정보를 고의적으로 파괴하거나 작동 불능 상태로 만드는 행위, 부주의하게 신체적 피해나 금전적 손실을 발생시키는 행위, 공격자 추적을 위한 최소한의 정찰을 넘어서는 과도한 활동, 중간 경유지에 대한 침입적 접근을 고의적으로 수행하는 행위 등이 해당한다. 즉, 고의성과 비례성을 고려한 구체적 범위가 명시돼 있다. 그러나 해당 법안은 보복과 방어의 경계가 모호하고 공격 경로상 타국을 중간에 경유하여 외교적 분쟁을 야기할 수 있다는 비판들로 인해[35] 통과되지 못하였다. 또한, 조지아주 의회는 적극적 사이버 방어의 근거로 활용될 수 있는 ‘해킹백(hacking back)’ 법안을 통과시켰으나 악의적 해커들의 조작 행위 등으로 인해 선량한 보안 연구자들의 연구 행위가 오히려 위축될 수 있다는 이유로 주지사가 거부권을 행사함으로써 무산되었다[36].

이러한 배경 속에서 미국 연방 정부는 민간 부문에 직접적인 해킹백 권한을 부여하는 대신, 미국의 국방 정책을 승인하는 법률인 국방수권법(NDAA)을 통해 국가기관의 사이버 작전 권한을 명확히 하고 그 범위를 엄격히 관리하는 방식을 택하고 있다[37]. 국방수권법은 사이버 작전 행위 자체의 위법성을 사전에 제거하는 기능을 하며, 이에 따라 법률상 국방부로부터 정당하게 승인된 행위로 간주된 공무원은 컴퓨터 사기 및 남용법(CFAA) 등 일반 형법의 처벌 대상에서 제외된다[38]. 이 법률은 대통령이 시급한 군사적 필요가 있는 사이버 작전을 수행하기 위해 국방부 장관에게 명확히 정의된 권한을 위임할 수 있도록 허용한다. 또한 의회는 이러한 작전이 적대 행위 수행 여부와 관계없이, 심지어 비밀리에 진행되더라도 비밀 작전 규정상 ‘비밀 작전’이 아닌 전통적인 군사 활동으로 간주되어야 한다고 명확히 하였다[39]. 이는 면책 권한 부여 대상이 군사작전의 일환으로 활동하는 전투요원에 한정됨을 의미하며, 국제 인도법의 원칙에 따라 적극적 사이버 작전에 투입되는 실무자는 전투원과 비전투원으로 명확히 구분되어야 한다[40]. 아울러 의회는 적극적 사이버 작전이 승인될 경우, 그 행위가 무력 충돌 발생 수준의 적대 행위에 해당하지 않는지를 지속적으로 감독한다[41]. 결국 미국의 이러한 제도는 사이버공간에서의 적극적 방어 활동을 국가의 법적·정치적 통제 하에 두어 실무자의 행위를 제도적으로 보호하는 모델로 볼 수 있다.

3.2 캐나다

캐나다는 2019년 국가안보법(Bill C-59)을 통해 국가안보 체계를 개편하면서 적극적 사이버 작전과 정보기관의 은밀한 활동에 대한 법적 권한을 강화하고 면책 규정을 명문화하였다. 동법 제3절에 해당하는 CSE Act(Communications Security Establishment Act)에서는 적극적 사이버 작전 개념을 다루고 있다. 동법 제30조제1항에 따라 CSE는 의회 또는 외국의 다른 법령에도 불구하고 적극적 사이버 작전을 글로벌 차원에서 실행할 수 있다[42]. 또한 제49조에서는 제30조제1항에 따라 장관의 인가를 받아 수행되는 활동과 관련하여 실무자가 그 인가에 따라 합리적으로 행한 행위에 대해서는 어떠한 형사상·민사상 책임도 지지 않도록 규정하고 있다. 더 나아가 제25조제2항에 따라 캐나다의 정부 기관이나 군을 대리하여 행동하도록 권한을 부여받은 자는 당해 임무의 지원과 관련된 책임 사항에 관하여 보호받을 수 있다. 제49조와 제25조 모두 면책의 대상을 특정 기관의 공무원으로 한정하지 않고 권한을 인가받은 사람으로 명시하고 있다는 점에서 캐나다는 국가기관의 소속 공무원뿐만 아니라 임무를 위탁받은 민간 실무자까지 면책 대상으로 포함하고 있음을 알 수 있다. 아울러 캐나다 정보기관 근거법인 CSIS Act(Canadian Security Intelligence Service Act) 또한 은밀한 활동을 수행하는 CSIS 직원을 형사책임으로부터 보호하기 위한 면책 조항을 두고 있다[43]. 두 법 모두 영미법상 기존의 관습법적 면책(Crown immunity)을 넘어서 비밀 활동에 대한 명시적인 면책 근거를 제공하고 있다.

한편, 의사결정체계와 관련하여 CSE Act 제30조에 따르면 적극적 사이버 작전을 수행하기 위해서는 국방부 장관이 외교부 장관의 동의를 받도록 하고 있다. 또한 면책이 허용되지 않는 범위를 동법 제32조에 명시함으로써 면책의 범위를 명확히 하고 있다. 이에 따라 고의적으로 또는 범죄적 과실로 인해 개인에게 사망 또는 신체적 피해를 입히는 경우 고의로 어떠한 방식으로든 정의 또는 민주주의의 과정을 방해하거나, 왜곡하거나, 무산시키려고 시도하는 경우 책임을 면제받을 수 없다.

마지막으로 정보위원법(Intelligence Commissioner Act)에 따라 정보위원(Office of the Intelligence Commissioner, IC)은 CSE의 활동을 독립적으로 감독한다. 국방부 장관이 발급한 특정 권한이 효력을 가지려면 사전에 IC의 검토와 별도 승인도 받아야 한다[44]. 아울러 국가안보·정보검토위원회(National Security and Intelligence Review Agency, NSIRA)는 CSE와 CSIS가 수행하는 모든 활동을 상시 검토·평가한다[45]. 이처럼 캐나다는 별도의 면책 조항을 두되 권한이 남용되지 않도록 다층적인 감독 장치를 병행 운용하고 있다.

3.3 일본

일본은 2025년 5월 사이버안보 역량을 미국, 유럽 등 주요국 수준 이상으로 강화하고 국가 주요 기반 시설에 대한 사이버 공격에 대응하기 위해 중요 전자계산기 대상 부정행위로 인한 피해방지에 관한 법률(重要電子計算機に対する不正な行為による被害の防止に関する法律)을 제정하여 적극적 사이버 방어체계를 도입하였다[46].

동법의 제정과 함께 경찰관직무집행법(警察官職務執行法), 자위대법(自衛隊法) 등 15개의 법률도 개정되었는데 적극적 사이버 방어의 수행 권한은 경찰관직무집행법 및 자위대법에 규정하여 개별 조직법을 통해 다루고 있다. 우선 경찰관직무집행법 제6조의2에 따르면 사이버위해방지조치집행관을 두고 이를 통해 사람의 생명, 신체 또는 재산에 중대한 위해가 발생할 우려가 있어 긴급히 필요한 경우 위해와 관련된 전자계산기를 대상으로 기록의 소거나 기타 위험 제거를 위해 통상 필요하다고 인정되는 조치를 취할 수 있도록 하고 있다. 이러한 조치는 외무대신과 협의하고 중요 전자계산기 대상 부정행위로 인한 피해방지에 관한 법률에 따라 신설된 사이버통신정보감리위원회의 승인을 받아 수행하도록 하고 있다.

또한 자위대법 제81조의3에 따르면 내각총리대신은 ① 특정 중요 전자계산기에 대한 공격으로서 ② 일본 국외에 있는 자에 의한 고도의 조직적, 계획적 행위라고 판단되는 경우에 ③ 자위대가 특별히 대응할 필요가 있다고 인정되는 경우 필요한 통신방호조치를 취할 수 있도록 하고 있다. 이때 위 ③의 요건으로는 ⓐ 해당 행위로 인해 중요 전자계산기에 기능 정지, 저하 등으로 관련 사무나 사업의 안정적 수행에 쉽게 회복할 수 없는 지장을 초래하는 중대한 지장이 발생할 우려가 크다고 인정될 것, ⓑ 그러한 중대한 지장의 발생을 방지하기 위해 자위대가 보유한 특별한 기술 또는 정보가 불가결할 것, ⓒ 국가공안위원회의 요청 또는 동의가 있을 것을 요구하고 있다.

한편, 일본의 경우 적극적 사이버 방어와 관련하여 명시적인 면책 규정을 도입한 것은 아니다. 그러나 법 제정 당시 일본 의회 제217회 논의 중 접근 및 무해화 조치에 관한 자료에 따르면 입법자는 사이버위해방지조치집행관의 행위가 위법으로 간주되지 않는 근거에 대해 다루고 있다. 이에 따르면 위 집행 행위는 관련 조치의 수행 근거를 둔 경찰관직무집행법 제6조의2에 따른 요건을 충족한다면 형법 제35조의 규정에 따라 법령에 의한 행위로서 위법성이 조각된다고 명시하고 있다. 접근은 했지만 결과적으로 무해화 조치에 이르지 못하였더라도 동일하다고 판단하고 있다[47]. 자위대의 조치 또한 유사하다. 기본적으로 경찰과 공동으로 통신방호조치를 실시하도록 요구하면서 개정된 경찰관직무집행법을 준용하도록 하고 있다[48]. 이에 따라 자위대가 활동하는 경우 경찰관직무집행법을 준용함으로써 마찬가지로 법에서 정한 요건을 충족한다면 형법 제35조에 의해 위법성이 조각된다고 할 수 있다.

아울러 앞서 언급한 사이버통신정보감리위원회는 중요 전자계산기 대상 부정행위로 인한 피해방지에 관한 법률 제47조에 따라 국가 등의 중요한 전자계산기 등에 대한 부정한 행위에 의한 피해의 방지를 위한 조치의 적절성을 심사하고 검사하는 기구로 신설되었다. 위원회는 제49조에 의해 직권 행사의 독립성을 보장받으며, 제50조에 따라 법률 전문가와 사이버보안 및 정보통신기술 전문가로 구성된다. 이처럼 일본은 적극적 사이버 방어 권한을 강화하면서도 동시에 사이버통신정보감리위원회를 독립적인 통제기구로 신설하고 작전의 승인은 물론 사후 관리감독 기능 또한 수행하도록 하였다.

3.4 이스라엘

이스라엘은 기본적으로 방어만으로는 실질적인 효과를 얻을 수 없다는 점을 인식하고 적극적인 대응을 통해 선제적으로 행동한다는 국가안보 교리를 채택하고 있다[49]. 이러한 기본 방침에 따라 이스라엘은 국가사이버안보전략을 통해서도 적극적 사이버 방어 원칙을 천명하고 있다[50]. 관련하여 이스라엘은 적극적 사이버 방어 행위의 직접적인 법률 근거를 두고 있는 것은 아니나 방위군 8200부대를 통한 군사적 사이버 활동[51], 보안국(Shin Bet)을 통한 국가 안보 및 대테러 차원의 사이버 활동 등을 수행하고 있는 것으로 알려져 있다[52]. 이에 따라 적극적 사이버 방어 행위의 법적 근거는 개별 수행기관에게 권한을 부여하고 있는 각 조직법으로 규정하고 있다. 예를 들어 보안국은 보안국법(General Security Service Law 5762-2002) 제7조에 근거하여 활동을 수행하고 있는데 동법 제18조에 따르면 보안국직원 또는 보안국을 대신하여 행동하는 자는 선의와 합리성에 바탕하여 자신의 직무 범위 내에서 수행한 행위 또는 부작위에 대하여 형사적, 민사적 책임을 지지 않는다. 다만, 단서를 통해 징계에는 영향을 미치지 않는다고 규정함으로써 위법행위에 따른 법적 책임에서는 면제하되 조직 차원에서의 제재는 취할 수 있도록 하고 있다.

아울러 이스라엘은 군사 보안 기관과 민간 사이버 보안 기업 간에 긴밀한 협력 체계를 구축하여 적극적 사이버 방어를 포괄적으로 다루는 통합 프레임워크를 형성해 왔다[53]. 다만 민간기업은 독립적으로 공격적 임무를 수행하는 것이 아니라 정부의 전략적 통제 아래에서 기술과 전문성을 제공함으로써 국가의 사이버 역량을 보완하고 강화하는 지원적 역할을 맡고 있다. 이러한 구조에서 적극적 사이버 방어와 관련한 정책은 총리와 총리실 직속의 국가 사이버국(INCD)이 주도적으로 조정하며, 전략적 성격의 사이버 작전은 총리의 승인을 반드시 거쳐야 한다[54]. 이와 같은 제도적 기반 위에서 이스라엘은 2018년 사이버보안 및 국가 사이버국 법안 초안을 발표했다[55]. 동 법안은 국가 사이버국의 권한을 대폭 확대해 국가 사이버국이 사이버안보 위협에 대응하기 위해 주요 민간 기관들을 대상으로 시정조치를 명령하고 이를 이행하지 않을 경우 직접 개입해 위협을 제거할 수 있는 권한을 부여하고 있다. 활동의 범위는 군이나 보안 기관이 수행할 수 있는 권한 수준에는 미치지 않는 정도로 제한하고 있다[56].

한편, 위 법안의 논의 과정에서는 실무자에게 과도한 권한이 집중되고 국가기관이 사법적 통제 없이 민간 영역의 기기에 무단 접근할 수 있는 근거로 악용될 수 있다는 우려가 제기되었다[57]. 그 결과 동 법안은 최종적으로 성안되지 못했다. 현재 이스라엘의 경우 국회(knesset) 외교·국방 위원회가 사이버 안보 분야에 대한 감독 역할을 수행하고 있다. 해당 위원회는 사이버 작전에 관여하는 모든 기관 간의 권한과 책임을 적절히 배분하며 입법 활동을 통해 통제 기능을 수행하고 있다[58]. 이를 통해 동 위원회는 사이버안보 활동이 정기적으로 의회에 보고되며 국가 기관의 권한 남용을 막는 제도적 장치로 작동하고 있다.

3.5 시사점

미국, 캐나다, 일본, 이스라엘의 사례를 쟁점별로 비교하면 Table 1.과 같다. 적극적 사이버 방어를 수행하는 실무자 면책과 관련된 해외 입법례를 살펴보면 앞서 식별한 쟁점들을 모두 명확하게 다루고 있지는 않다. 다만, 국가별 특성에 따라 그 내용이나 수준의 정도를 달리 규율하고 있음을 알 수 있다. 미국의 경우 적극적 사이버 방어 관련 직접적인 법률 제정 시도를 하였으나 무산되었고 다만 국방수권법을 통해 유연하게 권한을 부여하면서 자국법상 정보통신망 침해 등의 행위를 처벌하지 않도록 조치하였다. 캐나다와 일본은 적극적 사이버 방어 관련 법률을 제정하여 운용 중이다. 캐나다는 정보기관 조직법을 통해 구체적인 규율을 하고 있으며 일본의 경우 별도 입법을 시도하되 마찬가지로 유관기관 조직법을 함께 개정하면서 권한을 부여하였다. 한편, 이스라엘의 경우 실무자 면책 관련 입법 시도를 하였으나 제정에 이르지는 못하였다.

Table 1. Trends in Cross-National Immunity Regime Comparisons by Issue

쟁점별로 살펴보면 첫째, 면책 주체와 관련하여 미국과 캐나다는 면책 주체를 각각 ‘방어자 또는 방어자의 지시를 받은 자’와 ‘권한이 부여된 사람’으로 규정하고 있다. 면책 대상의 범위를 국가기관 소속 공무원으로 한정하지 않고 해당 기관으로부터 업무를 위탁받은 민간기업 실무자까지 포함할 수 있도록 하고 있음을 알 수 있다. 반면, 일본과 이스라엘은 면책 주체를 각각 ‘경찰과 자위대’ 및 ‘INCD 직원’으로 규정함으로써 그 범위를 명확히 국가기관 소속 공무원으로 한정하고 있다. 다만, 미국과 이스라엘의 경우 관련 법안이 통과되지는 못하였고 현재 상황에서는 미국의 경우 국방수권법, 이스라엘의 경우 보안국법 등 개별 기관 조직법을 통해 기관의 임직원을 대상으로 면책 특권을 부여하고 있는 것으로 확인된다.

둘째, 면책의 요건 및 범위와 관련하여 미국은 국방수권법에 따라 사전 승인된 행위에 대해서만 면책 특권을 부여하고 있다. 또한 적극적 사이버 방어 법안에서는 고의성과 비례성을 고려하도록 하고 있다. 당해 위협의 수준을 고려해 필요 최소한의 활동을 넘어서는 경우 면책 특권을 부여하지 않도록 한 것이다. 캐나다 역시 이와 유사하게 고의성을 고려하도록 하여 의도적으로 과도한 작전을 수행하지 못하도록 하고 있다. 일본의 경우 경찰관직무집행법 제6조의2요건을 충족할 경우 법령에 의한 행위로서 위법성이 조각된다고 하여 개별 조직법에서 부여한 권한의 실행 요건을 충족하는 경우에만 면책 특권을 부여하고 있다. 이스라엘의 경우 보안국법에 따라 선의와 합리성에 바탕한 직무 범위 내에서 수행한 행위에 대하여 민ㆍ형사책임을 지지 않도록 하고 있다. 또한 사이버 보안 및 국가 사이버국 법안은 실무자가 군이나 보안기관이 수행하는 수준의 직접적인 타격 대응 행위를 할 수 없도록 하고 있으며, 만약 이를 위반하여 해당 행위를 할 경우 그 책임은 면제되지 않는다.

셋째, 의사결정체계와 관련하여 미국은 대통령으로부터 권한을 위임받은 국방부장관이 승인을 해야 하며, 캐나다는 국방부 장관이 외교부 장관의 동의를 받아야 한다. 일본은 주체에 따라 절차를 달리한다. 경찰의 경우 외무대신과 협의하여 사이버통신정보감리위원회의 승인을 받아야 하며, 자위대의 경우 내각총리의 승인 및 국가공안위원회의 동의를 받아야 한다.

넷째, 각국 모두 사후 감독 및 통제 체계를 갖추고 있다. 미국과 이스라엘은 공통적으로 의회가 적극적 사이버 방어 활동에 대해 감독 역할을 수행한다. 반면 캐나다와 일본은 독립적인 통제기구가 감독을 담당한다. 캐나다는 기존 감독체계인 정보위원(IC)과 국가안보·정보검토위원회가 감독을 수행하며 일본의 경우 적극적 사이버 방어 권한을 신설하면서 설립된 사이버통신정보감리위원회가 독립적인 기구로서 감독을 수행한다.

IV. 실무자 면책 조항 도입을 위한 법제화 방안

4.1 사이버안보 기본법 제정 논의와 실무자 면책 과제

우리나라는 국가사이버안보전략 이행을 위해 적극적 사이버 방어 활동에 관한 입법을 추진해야 하는 상황이다. 이와 관련하여 그간 법안을 살펴보면 법안 내 사이버안보 위협 예방 및 대응 활동에 대한 규정뿐만 아니라 ‘디지털정보확인조치’나 ‘사이버안보위해자추적’과 같이 역추적의 개념을 담은 사이버안보 정보활동을 포함하여 ‘적극적’인 역량을 필요로 하는 권한 규정들을 두고 있었다[23]. 그러나 이러한 입법적 시도에도 불구하고 정작 적극적 사이버 방어 활동을 수행하는 실무자에 대한 면책 관련 규정은 포함되지 않았다는 점은 한계라고 할 수 있다. 이에 따라 향후 국가 사이버안보 기본법이 제정될 경우 적극적 사이버 방어 활동의 특수성을 반영한 면책 조항을 마련할 수 있어야 한다.

4.2 공공 및 민간 행위자의 포괄적 보호

면책 대상은 앞서 언급하였듯 국가기관의 공무원과 국가기관으로부터 업무를 위탁받은 민간기업의 실무자로 구분할 수 있다. 먼저, 국가기관의 공무원에 대해서는 기존 위험에 대응하는 사무를 수행하는 과정에서 수행자를 보호하기 위한 규정을 두고 있는 소방기본법이나 성폭력범죄의 처벌 등에 관한 특례법 조문 구조를 응용할 수 있을 것이다. 예를 들어 적극적 사이버 방어를 수행할 수 있는 법적 근거를 마련한 후에는 동법에 따른 활동으로 인해 발생한 손해에 대하여는 그 방어 활동이 불가피하고 수행자의 행위에 고의나 중대한 과실이 없는 경우에는 벌하지 않도록 하는 규정, 징계나 면책 등 책임을 묻지 않는 규정, 또 타인에 대한 손해가 발생한 경우라도 그 손해에 대한 책임을 지지 않도록 하는 규정을 둘 수 있다. 결국 적극적 사이버 방어 활동의 수행 과정에서 목적 달성을 위해 불가피하고 그 수행자에게 고의 또는 중대한 과실이 없을 때에는 벌하지 않도록 하는 형태로 규정을 설계할 수 있다. 한편, 면책 규정을 공무원에만 한정해서는 안 되고 특정 신분이 아닌 특정 행위를 중심으로 구상할 필요도 있다. 예를 들어, 현행 전파법 제29조의2는 전파차단장치 사용으로 타인을 사상에 이르게 한 경우 전파차단장치를 운용한 자에게 고의 또는 중과실이 없는 때에는 그 정상을 참작하여 사상에 대한 형사책임을 감경하거나 면제할 수 있도록 하고 있다. 공항시설법 제56조의2 또한 공무원뿐만 아니라 공항운영자나 비행장 시설을 관리ㆍ운영하는 자가 타인을 사상에 이르게 한 경우 고의 또는 중과실이 없는 때에는 그 정상을 참작하여 사상에 대한 형사책임을 감경하거나 면제할 수 있다고 규정한다. 이처럼 특정 권한을 행사하는 자, 특정 행위를 수행한 자에 대해 면책 특권을 부여하는 방안으로 법제화를 할 수도 있을 것이다. 앞서 해외 사례를 통해서도 미국과 캐나다는 면책의 주체를 특정 신분으로 한정하지 않고 포괄적으로 규정하고 있으며, 이를 통해 국가기관으로부터 업무를 위탁받은 민간 실무자까지도 면책할 수 있는 근거를 두고 있다.

4.3 면책 요건 및 범위 설정

실무자 면책 조항의 법제화를 논의함에 있어 가장 핵심이 되는 것은 면책의 요건과 범위라고 할 수 있다. 면책 요건과 범위는 제도의 실효성을 결정할 뿐 아니라 자칫 과도하게 적용되는 경우 책임 공백을 초래할 수 있고 반대로 지나치게 협소하게 적용될 경우에는 실무자의 활동을 위축할 우려가 있기 때문이다. 따라서 실무자가 악의 없이 직무 범위 내에서 공익적 목적을 가지고 수행한 조치에 대해서는 별도의 면책 요건 및 제도적 범위를 설정할 수 있어야 한다.

적극적 사이버 방어 전략을 수행하는 과정에서 공격자의 인프라를 무력화하는 수준의 작전은 과도한 권한 행사로 인한 오남용 문제를 초래할 수 있고 경우에 따라서는 중대한 법적 책임까지 부담하게 될 위험이 있다. 따라서 권한을 행사하는 실무자에게 적용될 구체적인 면책 요건과 범위를 명확히 제시할 필요가 있다. 이러한 요건을 구체화하면, 먼저 직무 범위 내 행위여야 한다는 점에서 ① 법령에 따른 권한 또는 상급자의 적법한 지시에 따라 수행되어야 할 것이 요구된다. 또한 고의나 중대한 과실이 없어야 한다는 점에서 ② 그러한 행위가 공격을 막기 위한 선제 조치여야 하고, 이 경우에도 목적을 달성하기 위해 필요한 최소한의 수준으로 이루어져야 한다. 아울러 절차적 통제로서 ③ 사전 승인 및 사후 보고와 더불어 그러한 일련의 절차 및 관계자 등을 기록할 수 있어야 한다. 이를 통해 적법한 검토와 승인이 이루어졌는지 확인할 필요가 있다. 결과적으로 비례성을 고려해 ④ 중요한 국가 기반 시설이나 국민 생활에 밀접한 영향을 미치는 시스템 보호 등 명백히 공공의 이익을 위해 수행된 것으로서 그러한 조치를 수행함으로써 얻는 이익이 더 큰 경우여야 한다. 이를 위해 당해 작전에서 활용한 수단과 방법, 작전의 범위와 영향 등을 객관적으로 검증할 수 있어야 한다. 마지막으로 오남용 문제를 해결해야 한다는 점에서 ⑤ 내부 감사나 외부 제3기관의 사후 심사 가능성 보장 등 투명성과 책임성을 강제할 수 있는 조치 또한 요구된다.

위와 같은 요건을 충족하는 경우 실무자가 수행한 적극적 사이버 방어 조치에 대해서는 형사책임을 면제 해주는 제도적 장치가 요구된다. 다만, 이러한 면책이 제한 없이 적용되어서는 안 되므로 적용 범위 설정도 함께 제도화하여야 한다. 이 경우 면책은 ① 직무 시 불가피하게 수행한 선제 조치에 한정할 것, ② 범죄를 목적으로 하는 등 명백히 위법성을 인식하고 행한 행위나 중대한 과실이 인정되는 행위 등에는 적용하지 않을 것 등을 정해볼 수 있다. 특히 후자의 경우에는 각종 중대한 범죄 행위나 보고 체계 위장, 감사 회피 목적 등을 위해 면책 규정이 악용되지 않도록 적용 배제 요건을 면밀히 설계할 필요가 있다. 이처럼 면책 범위를 제한함으로써 명확성을 확보하면서도 제도의 악용 가능성을 줄일 수 있어야 한다. 무엇보다 결국 공공의 신뢰와 책임성을 확보하는 일이 중요한데 이와 관련하여서는 오남용 통제장치 도입을 고려할 필요가 있다.

4.4 의사결정구조의 명확화

실무자에게 면책을 부여하려면 그들의 행위가 정당한 절차에 따른 것임이 보장되어야 한다. 또한 어느 의사결정 단계에서 문제가 있었기에 결과가 잘못되었는지 명확히 식별할 수 있어야 한다. 이런 관점에서 적극적 사이버 방어 활동에 대한 명확한 의사결정체계를 확립할 수 있어야 한다. 결국 작전의 승인 절차 규정을 마련하는 것이 핵심이라고 할 것이다.

승인 절차는 실제 작전을 수행할 국가정보원이나 국방부 등의 국가기관 담당 부서에서 임무 수행 필요성을 판단하여 각 기관의 장에 보고하는 결정체계의 형태로 우선 구성할 수 있다. 이 경우 작전의 수준에 따라 승인의 등급도 합리적으로 조정할 필요가 있다고 생각된다. 즉, 허니팟이나 네트워크 스캐닝과 같이 비교적 침해의 수준이 낮은 작전이라면 실무 부서의 부서장, 예를 들어 국가정보원 제3차장, 국방부 사이버작전사령관 등에게 승인 권한을 부여할 수 있을 것이다. 반면, 실제 시스템에 침투하여 정보에 접근하거나 그 이상의 조치를 취하는 때에는 보다 상위 의사결정체계를 따르는 것이 타당하다. 이 경우에도 결정의 최종 승인 등급을 당해 조직 수준으로 할 것인지, 대통령 또는 총리의 승인을 받도록 할 것인지, 별도의 고위급 위원회를 두고 심의를 거치도록 할 것인지 고려하여야 한다. 이와 관련하여 일본의 경우 사이버통신정보감리위원회를 신설하고 특정 작전에 대한 승인 권한을 부여한 점을 참고할 수 있을 것이다.

4.5 오남용 통제 등 신뢰 확보 조치 강화

면책 규정을 통해 적극적 사이버 방어 활동의 수행 기반을 마련한다면 그 과정에서 발생할 수 있는 오남용 문제에 대한 우려를 해소할 수 있어야 한다. 이스라엘 사례를 통해 확인할 수 있듯이 적극적 사이버 방어 활동과 관련된 입법 과정에서는 제도 설계 단계에서부터 실무자 내부 감독체제, 투명한 로그 및 기록 관리, 전문성 있는 독립 외부 감독기구 설치 등의 조치를 강화해야 한다. 이와 관련하여 적극적 사이버 방어 활동을 이미 법률로 규정하고 있는 캐나다의 경우에는 독립적인 외부 감독기구로서 국가안보정보감독청(National Security and Intelligence Review Agency)을 두고 있다. 국가안보정보감독청은 캐나다 정부의 모든 연방 부처가 수행하는 국가 안보 및 정보 관련 활동을 독립적으로 검토할 권한을 보유하고 있으며[59], 이에 따라 적극적 사이버 방어 작전을 수행하는 기관(CSE, CSIS)의 해킹, 정보수집, 사이버 공격 활동도 모두 검토 대상에 포함된다. 국가안보정보감독청은 검토 과정에서 발견된 문제에 대해 시정 권고를 내릴 수 있으며 관련 기관의 이행 상황을 지속적으로 추적할 수 있다. 또한, 매년 활동 결과와 권고사항을 담은 연례보고서를 의회에 제출하여 외부에 공개하고 있다[60]. 일본 또한 사이버통신정보감리위원회를 신설해 작전을 승인하는 것뿐만 아니라 사후 감독 및 징계처분 요구권 등을 함께 부여하고 있다. 이와 같이 기관 자체의 노력도 중요하지만 외부의 개입을 통해 권한의 남용을 방지하고 국민적 신뢰를 확보하는 등 전문성을 갖춘 독립적인 외부 감독기관을 신설할 필요도 있다.

아울러 실질적인 감독이 이루어질 수 있도록 작전의 승인에서부터 계획, 수행, 종료에 이르기까지 전 과정에서의 이해관계자와 권한, 수행 결과 등을 기록할 수 있어야 한다. 이렇게 생성된 로그는 단순한 기술적 기록을 넘어 사이버 작전의 수행 근거와 결과를 객관적으로 입증하고 법적 책임성을 담보하기 위한 핵심적인 자료가 될 수 있다[61]. 따라서 적극적 사이버 방어 활동에 관한 실무자의 활동을 투명하게 기록하고 독립적 검증이 가능하도록 로그 및 자료를 체계적으로 수집·기록·관리하는 시스템을 구축해야 한다.

마지막으로 외부 통제도 중요하지만 적극적 사이버 방어 활동을 수행하는 기관의 내부통제 기능도 강화할 수 있어야 한다. 이를 위해 미국 국가안보국과 같이 외부의 전문가를 정보감사관으로 임명하는 방식을 고려해 볼 수 있다[62]. 미국의 경우 정보감사관은 대통령이 상원의 승인을 받아 임명하고 있다. 이를 통해 감사관의 독립성이 강력하게 보장된다. 이러한 방식으로 정보 감사관은 내부에서 현장의 문제를 1차적으로 확인하고 해결하는 핵심 기능을 수행할 수 있다[63]. 따라서 내부 감사를 담당하는 인력들이 감독을 위해 필요한 정보나 시설에 접근할 수 있도록 보장해야 하며, 동료들과의 관계 등으로 인해 감독 기능이 형식적으로 전락하지 않도록 별도의 인사체계와 기능을 갖추어야 한다. 또, 내부 감사의 권한과 독립성을 확보하여 명확하고 실효성 있는 감독 기능이 수행될 수 있도록 해야 한다.

V. 결론

사이버공간의 위협은 갈수록 정교해지고 고도화되고 있다. 특히 북한이나 중국 등 국가 주도의 사이버 공격은 단순 범죄 행위를 넘어 국가안보를 직접 위협하는 차원에 이르렀다. 이에 대응하기 위한 전략으로서의 ‘적극적 사이버 방어’는 더 이상 선택의 문제가 아닌 필수 과제로 부상하고 있다.

이러한 흐름에 맞춰 국내에서도 ‘적극적 사이버 방어’의 필요성에 대한 연구와 입법 논의도 증가하고 있지만 이를 실제 수행하는 과정에서는 법적 책임 문제를 우려해 현장의 대응이 위축될 수 있는 문제를 해소할 필요가 있다. 그럼에도 불구하고 관련 연구나 입법 논의를 살펴보면 적극적 대응에 관한 문제만 다룰 뿐 이와 연관된 현장 실무자 보호에 관한 문제는 제대로 검토되지 못하고 있는 실정이다. 이에 본 연구는 실무자 면책 규정의 도입 필요성을 강조하고 쟁점에 따라 구체적인 설계 방안을 제안하였다.

면책의 주체는 국가기관의 공무원에 한정하지 않고 업무를 위탁받은 민간 실무자까지 포함할 수 있도록 포괄적으로 규정할 필요가 있다. 면책의 범위는 비례성과 고의성 여부를 고려하여 설정함으로써 사후에 실무자가 부당하게 법적 책임을 지는 상황을 방지해야 한다. 또한 면책의 승인 절차는 적극적 사이버 작전의 기술적 수준에 따라 구분하여 합리적인 의사 결정체계를 거치도록 하고 추후 책임 소재와 관련해 실무자가 불이익을 받지 않도록 해야 한다. 마지막으로 권한 오남용을 막기 위해 독립적인 통제장치를 설계함으로써 권한의 행사 및 관련 면책 제도의 남용을 방지하고 제도의 신뢰성을 확보할 수 있어야 한다.

결과적으로 이러한 면책 규정 및 제반 제도는 실무자의 현장 재량과 판단을 존중해 제도 자체의 실효성을 강화하면서도 자칫 발생할 수 있는 오남용 문제를 해소할 수 있는 장치로서 사이버안보 활동 권한을 규정하는 입법 과정에서 반드시 함께 도입될 필요가 있다.