ICRC 국제적십자위원회 (International Committee of the Red Cross)

국제인도법은 사이버전쟁을 다루고 있는가? 어떻게 하면 ICRC가 사이버 공격의 영향으로부터 민간인들을 보호하는 데 도움이 될 수 있는가? 이와 같은 질문에 대한 전문가 의견을 들어보기 위해 ICRC는 최근 미국 컴퓨터과학통신위원회(CSTB)의 허버트 린을 ICRC로 초청해 발표와 토론 시간을 가졌다. 린 박사의 발표와 토론에서는 ICRC에게 중요성을 갖는 사항들이 집중적으로 다뤄졌다.

허버트 린은 청중들에게 “사이버 공격의 간접적인 영향은 직접적인 영향보다 거의 항상 더 큰 영향을 미친다. 간접적이라는 것이 일차적이 아니라는 것을 의미하지는 않는다.”라고 경고하면서 발표를 시작했다. 린은 “공격”은 적이 컴퓨터 시스템을 사용하지 못하게 하거나(서비스 거부 공격, 바이러스 또는 맬웨어) 시스템을 신뢰할 수 없게 만드는 과정(예를 들어, 데이터 변경)을 수반할 수 있다고 설명했다.

일부 경우 궁극적인 목표는 컴퓨터 시스템 그 자체가 아니다. 예를 들어, 공격자가 레이더 시스템을 제어하는 컴퓨터를 공격할 수 있지만, 공격자의 궁극적인 목표는 폭격을 감행하기 위해 시스템을 무력화하는 것이다. 또는 적군의 지휘자인 것처럼 가장해 적에게 항복하라는 가짜 명령을 내릴 수도 있다. 다른 말로 하면, 사이버 공격은 비트와 바이트로 이루어진 가상 세계뿐만 아니라 “실제 세계”에도 영향을 미칠 수 있다.

허버트 린 박사는 미국 국립학술원연구위원회, 컴퓨터과학통신위원회의 수석 과학자이다. 린은 컴퓨터과학통신위원회에서 암호작성/해독법, 국방컴퓨터시설, 정보전 및 기타 컴퓨터 관련 주제에 관해 연구를 수행하고 있다. 린은 미국 하원 군사위원회 소속 과학자로서 국방 정책과 군비 통제에 관한 연구를 수행한 경력이 있다.

실제 세계에 영향을 미치는 가상 공격

군사 목표물을 조준한 미사일이 민간인을 살상할 수 있는 것처럼, 군의 컴퓨터 시스템을 목표로 한 사이버 공격이 민간 컴퓨터에 뜻하지 않은 영향을 미칠 수 있다. 댐, 원자력발전소, 민간 항공관제 시스템 등도 모두 안전한 작동을 위해 컴퓨터가 필요하다.

얼핏 보면 답변은 명확하다. 군 컴퓨터만을 공격하는 것이다. 그러나 병원 근처에 세워진 탱크로 인해 적군과 민간인을 구별해 공격하는 것이 어려워지는 것처럼, 민간 항공관제 시스템과 군 시스템이 조금이라도 얽혀있으면 민간 항공관제 시스템에 영향을 주지 않고 군 시스템을 공격하는 것이 어려울 수 있다.

민간 자산과 군 자산의 유사성을 더 살펴보면, 공격자가 민간 시스템을 보호하면서 군 자산을 공격하게 하려면 군 컴퓨터 시스템을 유효한 군사 목표물로 지정하는 가상 표식이 필요하다. 오늘날 군용기에 국가휘장이 있는 것과 마찬가지이다. 이렇게 하려면 각국 사이에 협력을 위한 엄청난 노력이 필요하다.

린은 군사 목표물에 대한 사이버 공격이 중요 민간 인프라에 영향을 미칠 가능성을 최소화하려면 이러한 영향을 방지하거나 최소화하는 데 특별한 관심을 기울여야 한다고 강조했다. 특별한 관심을 기울이려면 관련 군 컴퓨터에 대한 해박한 지식과 철저한 계획 수립 과정이 필요하다.

준수의 어려움

부수적 피해에 관한 국제인도법 규정을 준수하려면 잠재적인 사이버 공격자는 목표 시스템에 관한 엄청난 양의 정보를 수집해야 할 것이다. 그러나 현대전에서는 네트워크가 빠르게 변하고 있고, 이러한 정보를 최신으로 유지하는 것이 불가능하지는 않지만 매우 어렵다. 그 결과 공격자는 사이버 공격이 민간인에게 불균형적인 위해를 끼치지 않을 것이라는 사실을 분명하게 말할 수 없다. 예를 들어, 국방부 건물에 전력을 공급하는 발전소를 무력화하기 위해 공격자는 근처 병원으로 공급되는 전력을 차단할 수도 있다. 그러나 공격자가 발전소를 무력화하기 위해 일반 무기를 사용할 경우에도 동일한 불확실성이 발생할 수 있다.

일부 환경에서는 국제인도법에 따라 보호 받는 사람과 물체에 의해 전적으로 사용되는 네트워크를 식별하기 위해 표식을 사용하는 것이 가능할 수 있다. 그러나 린은 이러한 표식은 쉽게 위조할 수 있기 때문에 공신력 있는 몇몇 기관에서 자격이 있는 사람만이 표식을 사용하고 있다는 사실을 인증해야 할 것이라고 지적했다. 일반 전투에서는 전투원이 불법으로 구급차를 사용해 부상을 입지 않은 군인을 수송할 수 있다. 사이버 공간에서는 인증 당국(아마도 ICRC)이 자격이 있는 컴퓨터 설비에만, 예를 들어 병원에서 사용하고 있다는 것을 나타내는 사이버 “표식”을 부착하게 조치할 수 있다. 그러나 아무도 또 다른 당사자가 군사적인 목적으로 이러한 컴퓨터 설비를 (부적절하게) 이용하기 위해 설비를 손상시키는 것을 막을 수는 없다.

미래

린은 각국과 관련 당사자들이 사이버전의 제한에 대해 합의를 도출하는 데 어려움을 겪고 있다고 지적했다. 그러나 린은 일부 분석에서는 전력망, 금융시스템, 기타 중요 인프라를 현재 병원이 누리고 있는 보호 지위를 부여하기 위한 유력한 후보로 인식하고 있다고 설명했다.

사이버전 및 국제인도법과 관련된 ICRC의 잠재적인 역할에 대해 린은 ICRC가 소위 말하는 “소집 권한(convening authority)”을 적절히 활용해 국제인도법의 규정과 사이버전에 관한 더욱 명확한 토대를 마련할 수 있지만, 이것이 현재의 불확실성에 만족하고 있는 사람들에게는 적합하지 않다는 사실을 인정했다. 또한 린은 민간인이 생명과 재산에 대한 권리를 보유하고 있는 것과 마찬가지로, 정보나 전력 등에 대한 기본권을 갖고 있는지에 대해 국제적인 합의를 도출하는 과정에서 ICRC가 도움을 줄 수 있을 것이라고 말했다.