[시론] 트럼프의 '민간 사이버역량 활용 계획'이 던지는 질문
지난 8월 12일(현지시간), 트럼프 대통령은 초국가적 사이버범죄에 대응하기 위한 미국의 역량을 확대하는 내용의 국가안보 대통령 각서(NSPM)에 서명했다. 눈에 띄는 대목은 민간 기업의 사이버 역량을 활용하는 프로그램을 수립하도록 했다는 점이다. 각서에 따르면 대상은 미국 정부와 미국인, 미국의 이익을 상대로 사이버범죄를 수행하는 특정 해외 초국가적 범죄조직(CE-TCO)이다. 참여 기업은 기술 역량과 과거 실적, 시설 보안, 인사 등에 대한 심사를 거쳐야 한다. 정부는 참여 기업에 최소 100만 달러의 보증금(bond 또는 escrow)을 요구할 수 있도록 했으며, 실제 사이버 작전은 법무부와 국토안보부가 지정한 책임자들의 검토와 서면 승인, 지휘 아래 수행하게 설계했다. 일부에서는 이러한 조치를 'hack-back'이라 부르고, 과거 국가의 위임을 받아 적국 선박을 공격했던 '사략선(privateer)'에 빗대기도 한다. 흥미로운 비유이지만 이를 법적으로 그대로 적용하는 것은 적절하지 않다. 전통적인 사략(私掠,전쟁 중 국가가 민간 선박이나 선주에게 적국의 선박을 공격·나포할 수 있는 권한을 공식적으로 부여하는 것)과 이번 프로그램은 대상과 목적, 정부의 통제 방식에서 상당한 차이가 있기 때문이다. 무엇보다 이번 조치는 민간 기업에 자유로운 해킹이나 반격의 권한을 부여하는 것이 아니다. 그럼에도 이번 조치가 던지는 질문은 작지 않다. 정부의 승인과 감독 아래 민간의 사이버 역량을 적극적인 대응에 활용할 수 있게 제도화하려 한다는 점 때문이다. 사이버 공간에 기존 국제법이 적용돼야 한다는 논의에 많은 국가가 공감을 하고 있다. 유엔헌장의 무력사용 금지 원칙과 국가책임, 무력충돌 상황에서의 국제인도법 등이 사이버 공간에도 적용된다는 입장은 2025년 개최된 개방형실무그룹(OEWG)을 통해 여러 국가에 의해 공식화돼 왔다. 다만 구체적인 사이버 활동이 언제 다른 국가의 주권을 침해하는지, 어느 수준부터 무력사용이나 무력공격에 해당하는지, 비국가 행위자의 활동을 어떤 조건에서 국가에 귀속할 수 있는지 등 구체적인 적용에서는 여전히 논의가 이어지고 있다. '탈린매뉴얼'은 이러한 쟁점을 체계적으로 다뤄온 대표적인 학술적 작업이지만 법적 구속력을 갖는 국제규범은 아니다. 유엔 정부전문가그룹(GGE)과 개방형실무그룹(OEWG)을 중심으로 책임 있는 국가행동에 관한 규범과 국가 관행 역시 축적돼 왔다. 그럼에도 국가와 민간이 각각 어떤 조건에서 적극적인 사이버 활동의 주체가 될 수 있는지에 대해서는 여전히 검토해야 할 영역이 많다. 이러한 관점에서 보면 미국의 이번 조치에서 주목할 부분은 단순히 '민간 기업도 해킹할 수 있게 됐다'는 것이 아니다. 오히려 민간이 보유한 사이버 역량을 정부의 공식적인 승인과 감독 체계 안에서 활용하기 위한 구체적인 절차를 마련하려 한다는 점에 있다. 물론 국가 조직 밖의 사이버 역량을 국가안보와 연결하는 현상 자체가 완전히 새로운 것은 아니다. 러시아에서는 국가 지원 사이버 행위자와 친러 핵티비스트·프록시 집단의 관계가 지속적으로 주목받아 왔고, 중국에서도 국가 지원 행위자와 정부기관의 수요를 수행하는 계약업체 등 다양한 사이버 행위자들의 활동이 국제적인 관심의 대상이 돼 왔다. 다만 미국의 이번 조치를 이러한 사례들과 동일선상에 놓기는 어렵다. 이번 각서는 참여기업의 활동을 미국 연방정부 감독과 통제 아래 두고, 개별 작전에 대한 검토와 서면 승인을 요구하고 있기 때문이다. 따라서 미국이 민간 행위자를 이용해 국가의 책임을 회피하려 한다고 단정하기보다는, 민간의 사이버 역량을 정부가 공식적으로 관리하고 활용하는 새로운 제도적 시도로 보는 편이 현재 공개된 문서에 더 부합한다. 그렇다고 정부의 통제가 모든 문제를 해결하는 것은 아니다. 우선 공격 주체의 귀속(attribution)은 사이버 공간에서 여전히 어려운 문제다. 공격자가 여러 국가의 서버와 네트워크를 우회하거나 탈취한 제3자의 시스템을 경유하는 경우도 있기 때문이다. 정부의 사전 검토가 있더라도 최초의 귀속 판단이 잘못될 가능성을 완전히 배제하기는 어렵다. 그 결과 의도하지 않은 제3자의 시스템이나 다른 국가의 인프라에 영향을 미칠 가능성도 고려해야 한다. 국가책임 역시 검토할 문제다. 정부가 민간 기업의 작전을 승인하고 감독하는 구조라면 구체적인 작전의 성격과 정부의 관여 정도에 따라 국제법상 국가책임 문제가 제기될 가능성이 있다. 특히 작전이 제3국의 인프라나 관할권과 충돌할 경우 법적·외교적 문제로 이어질 가능성도 고려해야 한다. 미국 정부도 이러한 위험을 의식한 것으로 보인다. 이번 각서는 사망이나 중대한 신체적 피해뿐 아니라 국제법상 무력사용(use of force) 또는 무력공격(armed attack)에 이를 것으로 예상되는 결과를 'Critical Outcome'으로 규정하고, 프로그램 책임자가 이러한 결과를 수반하는 작전을 승인할 수 없도록 제한하고 있다. 적극적 사이버 대응의 범위를 설정하면서 동시에 확전 가능성을 통제하려는 장치를 둔 것이다. '사이버 사략선'이라는 표현은 바로 이런 점에서 흥미로운 비유가 될 수 있다. 전통적인 사략은 국가의 위임을 받은 민간 선박이 전시에 적국 선박을 공격하던 제도였고, 1856년 파리선언은 이를 폐지한다고 선언했다. 미국은 당시 파리선언에 정식으로 가입하지 않았으며, 당시의 사략과 오늘날 정부의 계약·심사·작전별 승인 아래 이루어지는 사이버 활동을 법적으로 동일시하기도 어렵다. 따라서 이번 조치를 '사략의 부활'로 규정하기보다는, 전통적으로 국가기관을 중심으로 수행돼 온 적극적 사이버 대응에서 민간이 어떤 역할을 할 수 있는지를 다시 묻게 하는 계기로 보는 것이 적절할 것이다. 이러한 변화는 한국에도 중요한 질문을 던진다. 한국 정부 또한 2025년 7월 유엔 정보안보 개방형실무그룹(OEWG)을 계기로 '사이버 공간에서의 국제법 적용에 관한 국가 입장'을 발표하면서 국가주권에 관한 내용, 무력사용 금지, 국가책임, 국제인권법, 무력충돌 상황에서의 국제인도법 적용 등에 대한 한국의 입장을 국제사회에 제시했다. 한국 정부는 이같은 원칙을 변화하는 사이버 위협 환경에서 어떻게 보다 구체적인 정책과 대응체계로 연결할 것인가를 고민해야 한다. 특히 북한발 사이버 위협에 지속적으로 노출돼 있는 한국으로서는 미국의 이번 프로그램이 실제로 어떻게 설계되고 운영되는지, 그 과정에서 정부와 민간의 역할과 책임을 어떻게 구분하는지, 제3국에 대한 영향이나 오판의 위험을 어떤 방식으로 관리하는지를 면밀히 살펴 우리에게 적합한 대응방식을 검토해야 한다. 미국의 이번 조치가 국제적인 사이버 규범이나 다른 국가의 정책에 어떤 영향을 미칠지는 아직 알 수 없다. 프로그램의 구체적인 운영방식과 실제 효과 역시 앞으로 확인해야 할 부분이다. 그러나 적어도 한 가지 질문은 분명해졌다. 국가가 민간의 사이버 역량을 적극적인 대응에 활용하려 할 때 그 권한과 통제, 그리고 책임의 경계를 어디에 둘 것인가하는 문제다. 사이버 공간의 위협이 국가기관과 범죄조직, 다양한 비국가 행위자 사이의 경계를 넘나드는 만큼 대응체계 역시 변화할 가능성이 있다. 중요한 것은 대응 역량의 확대 자체가 아니라 그 역량을 어떤 원칙과 통제 아래 사용할 것인지다. 미국의 이번 조치를 계기로 한국 역시 이미 국제사회에 공언한 원칙 위에서 국가와 민간의 역할, 대응 권한과 책임의 경계를 보다 구체적으로 논의해야한다.
