"사이버 보안위협 추세 못 따라가는 현 법제, 개편 필요"

임종철 디자이너 /사진=임종철 디자이너

사이버 위협에 대한 민간 정보의 공유를 원활히 하기 위해 법제도 개편이 필요하다는 지적이 나왔다. 피싱(Phishing)이나 랜섬웨어(Ransomware) 유포 등 사이버 공격의 형태가 고도화·지능화·고도화된 만큼 이에 대한 대응도 긴밀해져야 하는데 현 법제에서는 원활한 공격정보 공유가 어렵다는 얘기다.

영역보안 등에 초점을 맞춘 기존의 보안 패러다임이 네트워크 보안 등으로 진화하고 있는 만큼 법규에도 이같은 현실 변화가 반영돼야 한다는 의견도 나왔다.


31일 서울 태평로 프레스센터에서 KISA(한국인터넷진흥원), 한국법학교수회, 한국데이터법정책학회가 공동으로 '디지털 대전환 시대, 데이터 보안법제의 최근 이슈와 과제'라는 주제로 개최한 세미나에서 이같은 의견들이 제시됐다.


민간부문 사이버 위협공유 가로막는 현 법제이원상 조선대 교수는 '사이버 위협정보 수집·공유 관련 법제도적 쟁점과 개선방안'이라는 주제의 발표를 통해 민간 부문의 사이버 위협정보 수집·공유를 실질화하기 위해 △기본법 제정을 통한 사이버 보안 법체계 구축 △민간 부문 참여자에 대한 인센티브 제공 △형사처벌 조항 정비 등 과제를 제시했다.

이 교수는 "통신비밀보호법과 같이 보호를 위한 법률은 대부분 원칙적으로 (정보 수집·공유를) 제한하고 예외적으로 허용하는 구조"라며 "법에서 허용하지 않는 행위는 원천적으로 금지되는 행위가 되는 것"이라고 했다.


그는 "사이버보안의 경우 국가기관만큼이나 민간기업 등의 역할이 매우 중요하다"며 "민간부문을 특정해 공공부문과 같은 정도의 정보 이용이 가능하도록 할 필요성이 있는데 이를 위해 관련 법률에 민간부문과 연관되는 '포트'(Port) 규정들을 만드는 게 요구된다"고 했다.

또 "정보통신기반보호법, 정보통신망법, 개인정보보호법, 통신비밀보호법 등의 현행 사이버보안 관련 전문법 체계는 자체적으로 규범, 절차, 조직, 체계를 통해 완결된 체계를 구축하고 있다"며 "체계 내적인 정합성은 높을 수 있지만 다른 전문법 체계와 충돌이 발생할 수 있다"고 했다.

이를 위해 이 교수는 기본법 체계를 구축하고 이를 근간으로 다른 전문법으로 구성되는 생태계를 구축하는 방안을 제시했다. 다만 이를 한꺼번에 수정하기는 어렵기 때문에 관련 법률들이 유기적으로 개정될 수 있는 입법장치를 마련할 필요가 있다고 했다.

민간기업들이 적극적으로 사이버위협 관련 정보를 공유할 수 있도록 현행 제재·처벌 규정을 정비할 필요도 있다. 이 교수는 사이버위협 정보 공유를 실질적으로 방해하는 요소로 △사이버위협을 받는 기업이 정보 공유에 상응하는 반대급부를 받지 못하는 경우 △사이버위협을 받았다는 자체만으로 과태료·과징금 또는 형사처벌이 될 수 있는 현재의 규제환경 △사이버위협 정보 공유 과정에서 기업의 영업비밀이 유출될 수 있다는 한계 등을 꼽았다.

미국 국토안보부도 보조금 지급이나 연구장려 정부 자금 지원, 세금혜택 등에서부터 정부구매 고려, 정부사업 가중치 부여 등 다양한 인센티브 제도를 운영하고 있는 만큼 우리도 이를 참조할 필요가 있다는 제언이다. 또 현행 사이버 보안 관련 법제가 정보통신서비스 사업자의 각종 행위에 대해 과도하게 무거운 형사처벌 조항을 두고 있는 부분도 개선해야 할 과제로 지목했다.

임종철 디자이너 /사진=임종철 디자이너

보안패러다임 변화, 영역에서 네트워크로, 사람에서 사물로보안 패러다임이 변화하는 만큼 관련 법제도 이같은 현실을 반영해야 한다는 제안도 있었다. 양천수 영남대 교수는 '새로운 보안체계 적용을 위한 법제도 정비방안'이라는 주제의 발표를 통해 내부와 외부, 정보통신 서비스 제공자와 이용자를 이분법적으로 나누는 영역중심 보안에서 네트워크 중심의 보안으로 패러다임이 이동하고 있는 현실에 주목했다.

양 교수에 따르면 사물인터넷으로 초연결 사회가 구현되고 공급망 확장으로 보안영역도 확장되는 등 과정에서 소통 네트워크가 대폭 늘었다. 그만큼 소통과 데이터 자체도 늘었고 침해 가능성도 다시 그만큼 증가했다. 특히 사물 인터넷 발달로 네트워크 참여자 범주에 자연인을 의미하는 '사람' 외에도 각각 사물까지 포함되는 등 보안의 영역도 그만큼 더 세밀해졌다.

특히 경제 글로벌화에 따른 공급망의 전 세계적 확장 과정에서 보안 위협도 그만큼 기하급수적으로 커졌다는 게 양 교수의 진단이다. 그는 △개발 단계에서 시스템 소프트웨어에 악성코드를 삽입한 사례 △생산단계에서 진본 부품을 위조 펌웨어 부품으로 대체한 사례 △시스테 구축 단계에서 데이터 변경을 이용한 의도적 시스템 구성 오류를 발생시킨 사례 △장비도입 단계에서 악의적 하드웨어로 부품을 교체한 사례 등을 예로 들었다.

미국에서는 적대국에서 만들어진 앱을 평가하고 국토안보부에 제공되는 SW(소프트웨어)의 공급망에 대한 통제를 강화하기 위한 일련의 법제를 만들었고 영국도 고위험 공급업체의 통신장비 사용을 제한하기 위한 목적으로 '통신법'을 개정한 바 있다. 독일과 일본도 유사한 조치를 취했다.

이에 양 교수는 △모든 네트워크 참가자에 대한, 특히 사물에 대한 통제를 강화하고 △제품 생애주기 전 과정에 보안 이슈를 넣는 등 방안을 제시했다. 또 제로트러스트 인증 의무화 등의 필요성을 비롯해 새로운 법제 등을 관할할 기구가 어디가 돼야 할 지, 관련 법을 신설하는 것과 기존 법제를 개정하는 것 사이의 장단점 등에 대해 소개했다.