탈린매뉴얼과 사이버 작전의 국제법 기준

에스토니아 공격 이후 제시된 국제법의 틀

탈린매뉴얼은 2007년 에스토니아 수도 탈린을 겨냥한 대규모 사이버 공격 이후 NATO가 주도해 만든 국제법 적용 가이드라인이다. 정식 명칭은 Tallinn Manual on the International Law Applicable to Cyber Warfare이며, NATO 산하 사이버방어협력센터(CCDCOE: Cooperative Cyber Defence Centre of Excellence)가 국제법 전문가들과 함께 작성했다.

이 문서는 전통적인 국제법이 사이버 공간에서도 어떤 방식으로 적용되는지를 포괄적으로 분석한다. 국가를 구속하는 조약은 아니지만, 사이버 분쟁의 국제법적 해석과 규범 논의에서 참고자료로 쓰인다.

전쟁 상황을 다룬 탈린매뉴얼 1.0

2013년에 발행된 초판은 사이버 전쟁 상황을 중심으로 국제법을 해석했다. 무력 사용 금지, 자위권, 전쟁법처럼 기존 국제법에서 다뤄 온 원칙을 사이버 작전에 연결하는 데 초점이 맞춰져 있다.

총 95개 규칙은 해설과 함께 제시되며, 특히 어떤 사이버 작전이 무력 공격(armed attack)에 해당하는지를 판단하는 기준을 다룬다. 따라서 주요 관심 대상은 무력 충돌 수준에 이르는 고강도 사이버 분쟁이었다.

평시 작전까지 확장한 탈린매뉴얼 2.0

2017년 개정판은 평시 사이버 작전까지 범위를 넓혔다. 규칙도 총 154개로 확대됐고, 국가 주권과 불간섭 원칙, 국가책임, 인권법, 외교법, 통신법, 국제기구법 등을 새로 포함했다.

이 변화로 탈린매뉴얼은 무력 충돌뿐 아니라 현실에서 더 자주 발생하는 저강도 사이버 활동을 국제법의 관점에서 검토할 수 있는 틀을 갖추게 됐다.

사이버 작전을 판단하는 국제법 원칙

⤢✕

국가 주권은 규칙 4에서 다룬다. “국가는 자국 영토 내 사이버 인프라와 활동에 대해 주권을 행사한다.”는 원칙에 따라, 다른 국가의 사이버 인프라에 무단으로 접근하거나 이를 조작하는 행위는 주권 침해가 될 수 있다. 2015년 우크라이나 전력망 공격은 우크라이나의 주권 침해로 해석할 여지가 있다.

규칙 68은 국제관계에서 사이버 수단을 통한 무력의 위협과 사용을 금지한다. 사이버 공격의 규모와 영향이 물리적 무기 사용과 동등한 수준이라면 무력 사용으로 간주될 수 있으며, 심각성·즉시성·직접성·침투성·측정가능성·군사적 성격 등이 판단 요소가 된다.

규칙 71에 따르면 국가는 무력 공격 수준의 사이버 작전에 자위권을 행사할 수 있다. 다만 대응은 필요성과 비례성 원칙을 따라야 한다. 중요 인프라를 겨냥한 대규모 사이버 공격에는 군사적 대응 가능성도 논의 대상이 된다.

국가책임은 규칙 14의 대상이다. “국가는 자국의 국제의무에 위반되는 사이버 작전에 책임을 진다.”는 원칙이 적용되지만, 공격자의 신원을 확인하고 해당 행위가 국가와 연결된다는 점을 입증하는 귀속(attribution)이 어렵다. 민간 해커단체라도 국가의 지시나 통제 아래 활동했다면 그 국가에 책임을 물을 수 있다.

규칙 151은 중립국이 교전국의 적대적 목적을 위해 자국 사이버 인프라가 사용되는 일을 허용해서는 안 된다고 본다. 이는 사이버 공간에서 중립국의 의무와 권리를 다루는 기준이다.

사건에 적용해 본 기준과 남는 쟁점

2014년 소니 픽처스 해킹 사건은 북한의 해킹 공격으로 추정됐다. 탈린매뉴얼의 관점에서는 주권 침해에 해당할 수 있으나 무력 공격 수준에는 이르지 못한 것으로 볼 수 있다. 미국의 경제제재 대응은 대응조치(countermeasure)로 분류할 가능성이 있다.

2015-2016년 우크라이나 전력망 공격은 러시아 연계 해커 그룹의 공격으로 추정됐다. 주요 인프라에 대한 타격은 심각한 주권 침해로 볼 수 있으며, 물리적 피해와 인명 피해 가능성이 높았다면 무력 공격 수준으로 판단될 수 있다.

2017년 워너크라이(WannaCry) 랜섬웨어 공격은 북한 연계 해커 그룹의 책임으로 추정됐다. 광범위한 영향에도 무력 공격 수준은 아니라는 해석이 가능하며, 국제법에 따른 적절한 대응을 찾는 어려움을 드러냈다.

⤢✕

귀속은 가장 직접적인 난제다. 기술적 익명성, IP 우회, 제3국 경유처럼 공격 경로가 복잡해 공격자와 국가의 연계성을 입증하기 어렵다. 2016년 미국 대선 개입 러시아 해킹 사건도 책임 귀속을 둘러싼 논란을 보여줬다.

임계점 역시 명확하지 않다. 물리적 피해가 없는 데이터 파괴나 서비스 중단을 어느 수준에서 무력 공격으로 볼지 판단하기 어렵다. 중앙은행 시스템이 마비돼 국가 경제에 치명적 영향을 줘도 물리적 피해가 없을 수 있다.

비례적 대응의 측정도 쉽지 않다. 사이버 공격에 사이버 방식으로 대응할지, 물리적 대응까지 허용할지를 포함해 대응 수준의 비례성을 판단해야 한다. 이란 핵 시설을 겨냥한 스턱스넷 공격은 이 문제를 둘러싼 논의 사례다.

탈린매뉴얼은 법적 구속력이 없는 전문가 의견이라는 한계도 있다. 강대국 간 사이버 규범에 관한 이견이 존재하며, 유엔 GGE(Group of Governmental Experts) 같은 국제 포럼에서도 합의 도출은 어렵다.

논의되는 탈린매뉴얼 3.0의 범위

2023년 이후 탈린매뉴얼 3.0 개발 가능성이 논의되고 있다. 국가 지원 사이버 범죄와 그 법적 대응, 인공지능과 자율 시스템의 사이버 작전 활용, 우주 기반 사이버 인프라에 대한 국제법 적용, 하이브리드 위협의 법적 프레임워크가 확장 영역으로 거론된다.

5G와 양자 컴퓨팅 같은 신흥 기술이 사이버 국제법에 미치는 영향도 함께 다뤄질 수 있다.

한국이 마주한 사이버 안보의 조건

한국은 북한의 사이버 위협에 지속적으로 노출돼 있다. 2009년 7.7 DDoS 공격, 2013년 3.20 방송사 및 금융기관 사이버 테러, 2014년 한국수력원자력 해킹 등 다수의 공격을 경험했다.

국가 사이버안보 전략(2019) 수립에는 탈린매뉴얼 원칙이 반영됐다. 대응의 방향은 국제 사이버 규범 형성 과정 참여, 사이버 귀속 능력 강화와 국제 공조, 국내 법제도 정비 및 탈린매뉴얼 원칙 반영, 사이버 안보 역량 강화와 국제협력 확대에 있다.

탈린매뉴얼은 사이버 시대의 국제법 적용에서 중요한 이정표로 자리 잡았다. 법적 구속력은 없지만 국제사회의 규범 형성에 지속적으로 영향을 미치며, 국가 간 합의와 협력이 사이버 공간의 안정을 위한 핵심 요소라는 점을 보여준다. 사이버 안보와 국제법이 만나는 지점에서 탈린매뉴얼의 역할은 더욱 중요해질 전망이다.