 |
||
| ▲ ⓒ sbs 캡쳐 | ||
Ⅲ 사이버테러방지법 제정
1. 사이버테러방지법의 긴급성과 필요성
사이버테러방지법은 앞서 지적한 것처럼, 북한 등의 점증하는 사이버안보위협에 효율적으로 대처하여 국민의 생명과 재산 및 국가안보를 보호하기 위한 최소한 필수적인 법적 장치이다.
파리 테러참사 이후 전세계 주요국가들은 신속하게 사이버테러 등 테러관련 법을 강화하고 정보기관에 더 많은 권한을 주는 추세이나, 입법권을 가진 우리 국회는 고속으로 역주행하고 있는 격이다. 초국가적 안보위협에 직면하고 있는 21세기에 세계 12위권의 대한민국이 ‘국정원의 권한남용 및 인권침해’라는 상투적인 후진적 반대논리로 사이버테러방지법 하나 제정하지 못하고 있는 현실은 국가의 망신이자 안보위기의 방치나 다름없다. 국내외 사이버테러정세에 엄중함을 감안할 때, 사이버테러방지 관련 입법은 선택의 문제가 아니라 필수사항이다. 만약에 19대 국회 회기 내에도 사이버테러방지법을 제정하지 않는다면, 국회가 정확이 말하면 야당이 테러분자들의 비호세력이라는 비난에서 자유로울 수 없을 것이다. 서상기 의원이 대표발의 수정안의 법안취지를 보면 다음과 같다.
- 과거 1․25 인터넷 대란과 같은 전국적인 규모의 국가 주요 정보통신망 마비사태 발생과 해외로부터 조직적인 사이버테러로 국가기밀 및 첨단기술의 유출 등 국가․사회 전반에 중대한 영향을 미칠 수 있는 사이버위기 발생 가능성이 날로 증대하고 있음.
- 특히 사이버공간은 국경을 초월하여 범지구적이면서 정부와 민간부분이 상호밀접히 연계되어 있어 매우 복잡․고도화되며, 시공간의 제약을 벗어나 발생하는 모든 사이버공격을 정부와 민간 어느 하나도 단독으로 차단하기에는 분명한 한계가 있음.
- 그러나 우리나라는 아직 국가차원에서 사이버테러 방지 및 위기관리업무를 체계적으로 수행할 수 있는 제도와 구체적 방법․절차가 정립되어 있지 않아 사이버위기 발생 시 국가안보와 국익에 중대한 위험과 막대한 손해를 끼칠 우려가 있음.
- 따라서 정부와 민간이 참여한 국가차원의 종합적인 대응체계를 구축하도록 하고, 이를 통하여 사이버테러를 사전에 탐지하여 사이버위기 발생 가능성을 조기에 차단하며, 위기 발생 시 국가의 역량을 결집하여 신속히 대응할 수 있도록 하고자 함.
정부당국의 동법 제정 필요성을 인용해보면 다음과 같다.
- 최근 북한에 의한 우리 핵심기반시설 대상 사이버테러는 경제적 피해는 물론 사회 혼란을 유발하고 국가안보를 위협하는 심각한 상황까지 초래
- 특히, 최근에는 국가ㆍ공공기관보다 상대적으로 보안이 취약한 민간 정보통신망을 대상으로 한 북한의 사이버테러가 크게 증가, * ’11.4 농협전산망 마비,
’13.3.20ㆍ6.25 사이버테러 등 대규모 테러는 물론 서울메트로(’14.9), 한수원 (’14.12) 해킹 등 對南 사이버테러 빈번 자행
- 그러나, 이러한 사이버공격에 대한 정부의 대응활동이 국가ㆍ공공기관에만 적용되는「국가사이버안전관리규정」(대통령훈령)에 근거하고 있어
- 민간분야와의 정보공유는 물론 민간분야에서 발생하는 사이버테러 징후를 사전 탐지ㆍ차단하거나 대책을 강구ㆍ적용하는데 한계가 있고
- 민간기업은 보안취약점이 발견되어도 비용부담ㆍ기술부족 등으로 신속한 보호조치를 하지 않아 피해가 반복해서 발생하는 상황임. 평시 사고예방을 위한 법률도「전자정부법」․「정보통신기반보호법」․「정보통신망법」등으로 산재, 대응주체간 역할상충ㆍ혼선 요인으로 작용
- 또한, 미국ㆍ독일ㆍ일본 등 주요 선진국들도 사이버위협의 심각성을 인식하고 자국내 사이버안보 관련 법률을 제정. * 美「사이버안보법」(’15.12), 獨「IT-보안법」(’15.6), 日「사이버시큐리티기본법」(’14.11)
- 이에 정부와 민간이 함께 협력하여 국가차원에서 체계적이고 일원화된 사이버테러 예방 및 사이버위기 대응업무를 수행하기 위해「사이버테러방지법」과 같은 통합법 제정이 필요함
- 책임기관 및 감독기관에게 사이버안전관리 책임을 부여하고 자체 보안대책을 마련케 하는 등 자율 보안관리 체계를 구축토록 명문화
- 평시 위협정보 공유체계 운영 및 대규모 사이버테러 발생시 정부 차원의 경보 발령과 대책본부 운영 등 사이버위기 대응체계 확립
2. 사이버테러방지법(서상기안)의 주요 내용
2013년 4월 9일 서상기 의원(새누리당)이 「국가 사이버테러방지에 관한 법률안」 발의하였고, 2016년 2월 22일 직권상정을 위해 정보위 법안심사소위에서 논의한 서상기 의원안의 수정안이 재발의되었다. 주요 내용은 다음과 같다.
- 사이버테러를 ‘외국, 북한, 해킹ㆍ범죄조직 및 이에 연계 또는 후원을 받는 자등이 국가안보ㆍ공공의 안전을 위태롭게 할 목적으로 정보통신망을 공격하는 행위’로 구체적으로 정의(안 제2조)
- 사이버테러에 대한 국가차원의 종합적이고 체계적인 예방‧대응과 사이버위기관리를 위하여 국가정보원장 소속으로 국가사이버안전센터를 둠(안 제6조)
- 책임기관의 장은 사이버공격 정보를 탐지․분석하여 즉시 대응할 수 있는 보안관제센터를 구축․운영하거나 다른 기관이나 보안관제전문업체가 구축․운영하는 보안관제센터에 그 업무를 위탁하여야 함(안 제8조)
- 국회, 법원, 헌법재판소, 중앙선거관리위원회의 장 및 중앙행정기관의 장은 사이버테러로 인해 피해가 발생한 경우에는 신속하게 사고조사를 실시하고, 중앙행정기관의 장은 그 조사결과를 미래창조과학부장관, 국가정보원장 및 금융위원장 등 관계 중앙행정기관의 장에게 통보하여야 함(안 제9조).
- 정부는 사이버테러에 대한 체계적인 대비와 대응을 위하여 책임기관의 장의 요청과 수집된 정보를 종합‧판단하여 관심‧주의‧경계‧심각 단계의 사이버위기경보를 발령할 수 있음(안 제10조)
- 정부는 경계단계 이상의 사이버위기경보가 발령된 경우 원인분석, 사고조사, 긴급대응, 피해복구 등의 신속한 조치를 취하기 위하여 국가 역량을 결집한 민‧관‧군 전문가가 참여하는 사이버위기대책본부를 구성․운영할 수 있음(안 제11조).
- 정부는 사이버테러 기도에 관한 정보를 제공하거나 사이버테러를 가한 자를 신고한 자 등에 대하여 포상금을 지급할 수 있음(안 제13조).
- 직무상 비밀을 누설한 경우에는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하고, 피해의 복구 및 확산방지를 이행하지 아니한 경우에는 1천만원 이하의 과태료에 처할 수 있음(안 제14조 및 제15조).
- 사이버테러방지법 제정시 기대효과
o 사이버테러 관련 업무는 사전예방, 사고조사ㆍ분석, 복구지원 등으로 구분
o 우선, 사이버테러 예방 및 위기관리 책임을 국가ㆍ공공기관에서 국회 등 헌법기관과 민간 주요기관까지 확대ㆍ적용할 수 있음
- 민ㆍ관ㆍ군이 참여하는 국가 차원의 사이버위협 합동대응팀, 사고대책본부 및 위협정보공유체계를 구축ㆍ운영할 수 있고
- 사이버테러 탐지ㆍ대응 및 사고조사ㆍ복구 등에 백신업체, 정보보호시스템 제작자 등 민간기관의 지원ㆍ협조 등 참여가 가능하게 됨
- 특히, 그간 사이버테러 예방의 사각지대였던 국회, 법원, 헌법재판소, 선관위 등 헌법기관에게 자체 사이버테러 예방 및 점검활동의 책임을 부여할 수 있음
o 또한, 책임기관 및 지휘ㆍ감독기관에게 사이버안전관리 책임을 부여하고 자체 보안대책 마련 등을 의무화함으로써, 각 기관들이 자체적인 보안관리 체계를 구축ㆍ운영토록 할 수 있음
o 뿐만 아니라, △사이버테러 방지 및 위기관리 기본계획 △위기관리 시행계획 및 이행여부 확인 △위기관리실태 점검ㆍ평가 등 사이버테러 예방을 위한 기획ㆍ관리체계를 운영할 수 있으며
o 신속한 사이버테러 대응이 가능토록 책임기관에게 보안관제센터를 운영하거나 他 기관 또는 보안관제업체에 위탁하도록 의무화할 수 있음
- 「정보통신기반보호법」상 공공분야 기반시설 보호정책 수립, 보호대책 이행여부 확인, 신규지정 권고 및 보호기술 지원 등 실시(제5조의2, 제7조 등) 둘째, 정부는 사이버위기 경보발령시, 관계중앙행정기관은 사고대책본부장 임명시 사이버안보 컨트롤타워인 국가안보실과 협의하여 정하도록 하고 있고, 국정원은「정보통신기반보호법」, 「전자정부법」등 각종 법령에 따라 이미 수행중인 업무를 동법에 반영하고 있을 뿐이다. 특히, 민간분야의 경우 대책수립, 이행여부 확인, 위협정보 수집, 사고조사 등 업무 대부분을 미래부ㆍ금융위와 관계 중앙행정기관이 수행토록 규정하고 있다. 따라서, 동법의 제정으로 국정원의 권한이 강화되기 보다는 오히려 법률 주관기관으로서의 책임이 강화되는 것으로 이해해야 한다.
셋째, 최근 사이버공격이 초국가적 안보위협으로 등장하면서 세계 각국은 자국의 국가기밀 및 주요기반시설 등을 보호하기 위해 정보기관을 중심으로 사이버역량 확대와 함께 국가간 협력을 강화하는 추세이다. 미국의 DNI, 영국의 GCHQ, 이스라엘의 ISA 등은 정보기관이 사이버위협정보를 수집ㆍ분석하고 있으며, EU는 파리테러 이후 域內 합동정보기구 설립 필요성이 제기되고 있다.
넷째, 북한이 대남적화혁명의 핵심수단으로 사이버공작을 빈번하게 자행하고 있는 상황에서, 북한의 사이버공격에 효율적으로 대응하기 위해서는 ① 기술 전문성과 종합분석 역량을 바탕으로 예방 → 탐지 → 대응 → 복구ㆍ지원 등 유기적인 활동 수행 능력이 필수적이며 ② 평시 공격조직 추적, 실체확인, 활동감시 등의 활동과 함께 사이버공격시 공격주체에 대한 첩보수집 및 분석 활동이 무엇보다도 중요한데, 이러한 기술적 탐지활동은 물론 해외 정보기관과의 협력 및 휴민트를 통한 첩보수집이 융합되어야 하는 고도의 수집ㆍ분석 역량이 요구되고 있어, 국가사이버안전센터를 국정원에 두는 것이 타당하다. 국내에 국정원을 대체할 정보기관이 현실적으로 없다.
다섯째, 동법에 민간업체와 관련된 주요 규정으로 ‘안전센터장의 책임ㆍ지원기관에 대한 지원요청’(제6조), ‘위협정보공유’(제8조), ‘사고조사’(제9조) 등이 있는데, 법안 제6조(사이버안전센터의 설치)에 따라 안전센터의 장(민ㆍ관ㆍ군 합동대응팀)이 책임기관 및 지원기관에게 인력ㆍ장비의 지원을 요청하는 것은 국가기관보다 높은수준의 전문성과 첨단 장비를 보유한 민간업체의 지원을 통해 사이버위협에 효과적 으로 대응하기 위한 것이다.
국정원은 민간업체에 대해 협력과 지원을 요청할 수 있을 뿐, 영향력을 행사할 수 있는 어떠한 권한도 규정하고 있지 않다. 또한 법안 제8조(보안관제센터 등의 설치)는 민간업체를 포함한 책임기관들이 사이버위협정보를 국정원뿐만 아니라 관계 중앙행정기관과도 공유토록 하고 있어 국정원의 영향력 확대와는 무관하다. 법안 제9조(사고조사)의 경우에도 민간업체 관련 사고는 민간부문을 책임지는 미래부ㆍ금융위 등에 통보하거나 지원을 요청할 수 있도록 하고 있어 국정원이 자의적으로 업체에 접근하거나 영향력을 행사할 수 없다.
(2) 정통망법과 기반보호법으로 충분하다는 주장
첫째, 정통망법(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」)은 정보통신서비스 제공자나 집적정보통신시설 사업자 등 민간의 정보통신 관련 업체와 이들 서비스 이용자의 정보보호에 관한 사항만을 규율하고 있고, 기반보호법(「정보통신기반보호법」)은 주요정보통신기반시설로 지정된 시설(현재 385개)에 대해서만 제한 적용하고 있어, 각각 민간 분야 사업자와 기반시설로 지정된 시설에 한정 적용되며, 규율하는 내용과 방법, 절차가 모두 상이하다.
둘째, 이들 법률 이외에도 공공, 국방 및 금융 분야의 사이버안전에 관한 법률들이 존재, 상이한 방법과 절차를 통해 사이버위협에 대응하고 있는데, 공공분야는「국정원법」, 「전자정부법」 및 「국가사이버안전관리규정」, 국방분야는 「국방정보화법」, 금융분야는 「전자금융거래법」 등 소관 영역의 특수성을 고려, 보호대책을 마련하고 있으나 개별 영역을 불문하여 국가 차원의 사이버위협 정보를 공유 하고 사이버 공격을 탐지ㆍ대응할 수 있는 체계를 규정하고 있지 않음에 따라 안보와 국익을 위협하는 사이버위협에 국가 차원에서 효과적이고 종합적으로 대응하기 위해서는 사이버테러방지법 제정이 필요하다.
안보단체 블루유니온에서 운영하는
블루투데이 후원도 소중한 애국입니다
기사에 언급된 취재원과 독자는 블루투데이에 반론, 정정, 사후보도를 청구 할 권리가 있습니다.
권리요구처 : press@bluetoday.net
자유민주연구원·바른사회시민회의 press@bluetoday.net
<저작권자 © 블루투데이, 무단 전재 및 재배포 금지>
