'사이버테방법' 상시감시? 지속해야 감시지 말입니다

미국 NIST도 '지속 감시 통해 비정상 위협 알아내야 예방"

전문가 "테러가 예고하고 하나? 그때그때 하면 감시 아냐"

국가정보원 회의실에서 열린 국회 정보위원회의 국가정보원에 대한 국정감사에서 이병호 국정원장이 생각에 잠겨 있다. ⓒ사진공동취재단

북한 등 외부의 사이버테러 위협이 가중되고 있는 가운데 '국가 사이버테러 방지 등에 관한 법률안'(사이버테러방지법)이 '부작용'에 대한 지나친 우려로 국회 정보위원회에서 계류 중인 상황이다.

사이버테러방지법이 통과되면 민간에 대한 정보기관의 정보수집 및 조사를 허용, 상시 감시 등이 가능하다는 것이 법안 통과를 반대하는 측이 꼬집고 있는 내용이다. 한마디로 인권침해 가능성이 그 이유다.

하지만 전문가들에 따르면 사이버 관련 정보는 민간 영역에 집중돼 있기 때문에 민간에 대한 정보 수집 및 조사권한이 보장되지 않으면 속수무책으로 사이버테러에 당할 수밖에 없다는 문제점을 제기하고 있다.

더욱이 국가사이버안전규정이라는 대통령 훈령 정도로는 사이버테러 발생시 정부가 조사할 수 있는 권한은 정부기관에 한정된다. 사이버테러의 근원적인 원인 규명과 조사가 힘들다는 의미다. 이를 위해 좀 더 면밀하게 사이버테러 징후를 포착할 수 있도록 한 것이 사이버테러방지법이다.

사이버테러방지법의 '상시 감시'가 문제?…"지속·상시 모니터링이 필수"

법안통과를 반대하는 입장에서는 사이버테러방지법 2조에서 규정하고 있는 '사이버 테러', '사이버안전', '사이버위기' 등의 정의가 포괄적이고 상시 감시가 가능하다는 점 때문에 인권침해의 우려가 있다고 주장하고 있다. 특히 법안의 6조에서 국가정보원을 중심으로 '민관군 합동대응팀' 설치운영이 국정원에 권한이 집중되고 있다는 문제도 제기되고 있다.

하지만 사이버테러를 대비해 상시·지속적인 감시체계를 구축하는 것은 보안전문가들 사이에서 '기본 개념'이다. 미국 국가표준기술연구소(NIST)는 지속적인 감시를 통해 비정상의 위협을 알아내고 이에 대응해 조직의 위험관리를 효율적으로 수행해야 한다고 지적한다. 조직의 위험관리에 지속적인 모니터링은 필수적인 부분이라는 것이다.

이 같은 지속·상시적인 감시는 정보보안과 취약점, 위협에 대한 지속적인 인식을 유지하게 함으로써 사이버테러 등의 위협을 예방하거나 대처할 수 있는 기회를 마련해준다. 특히 사이버안전, 사이버 위기를 미연에 방지할 수 있는 환경을 만들기 위해서는 보안통제의 중앙집중적 관리 운영체계와 업무절차가 필요하다고 전문가들은 조언한다.

김상겸 동국대 법학과 교수는 18일 '데일리안'에 "감시라는 것이 상시, 지속적으로 해야 효과가 있는 것이다. 필요할 때만 하면 그것은 감시가 아니다"라면서 "테러범죄라는 것이 예고를 하고 찾아오는 것이 아니기 때문에 당연히 상시감시가 필요한 것"이라고 지적했다.

임채호 카이스트 초빙교수도 "현재 사이버위협은 정보전인에 열려있는 인터넷 망은 시작부터 이미 진 게임이라고 볼 수 있다"면서 "북한의 사이버전 역량이 위협적인데 우리나라는 인터넷이 열려 있고 주요 기관에 어떤 보안투자도 이뤄지지 않아 현재 정부는 무엇이 문제인지 알 수 없다"고 지적했다.

국정원에 과도한 권한 부여?…"이제 겨우 제자리 찾는 중"

아울러 사이버테러방지법이 통과되면 국정원의 권한이 더욱 강화돼 민간인사찰 등 여러 문제점이 발생할 것이라는 지적도 제기되고 있다.

최근 금융위원회의 '특정 금융거래정보의 보고 및 이용 등에 관한 법률 시행령' 개정안 입법예고로 국정원이 금융위원회 금융정보분석원(FIU)의 금융거래정보 제공 대상에 포함되면서 테러자금의 흐름을 어느 정도 파악할 수 있게 됐다. 하지만 여전히 국정원이 정보기관으로서 권한이 미약하다는 평가가 지속되고 있는 상황이다.

국정원은 정보기관으로서 안보위해사범이나 의심테러분자 등을 포착해도 사실상 실시간 감청이 불가능하다. 통신비밀보호법(통비법)에 따라 테러위험인물에 대한 기존 통신정보는 고등검찰청 검사에게 수집 신청한 이후 수집이 가능하지만 실시간 감청은 어렵다.

통비법에 따르면 국가보안법에 규정된 범죄, 군사기밀보호법에 규정된 범죄 등에 대해 수사당국 혹은 정보수사당국이 통신제한 조치를 취할 수 있다.

국정원은 관련 법 절차에 따라 통신사업자를 통해 감청대상자의 유선 전화 등을 감청할 수는 있지만 최근 1인 1휴대전화 시대가 도래하면서 유선전화 실시간 감청은 의미가 없어진지 오래다. 그럼에도 불구, 국정원이 휴대전화에 대한 감청은 불가능에 가까운 것으로 알려져 있다.

휴대전화 등을 실시간 감청하기 위해서는 감청을 위한 특수장비를 기지국 마다 설치해야 하는데 SKT, KT, LGU+ 등 이동통신회사들은 관련 설비를 확보해 놓지 않은 상황으로 전해졌다. 법적으로 감청설비 설치를 강제돼 있지 않기 때문이다.

염돈재 전 국정원 차장은 “미국에서는 국가안보를 위해 통신사업자들이 감청설비를 제공해주는 것이 의무”라면서 “하지만 우리나라에서는 의무조항이 아니다. 통신사들은 자체적으로 설비를 설치해야 하니 부담이 될 것”이라고 말했다.

김상겸 교수도 "테러방지법이 통과됐고, 사이버테러방지법이 통과돼야 그나마 국정원의 미비점이 보완될 것"이라면서 "사이테러방지법이 통과되면 개인정보 침해 등의 우려가 나오는데 과거의 정보기관 같은 사찰 등의 행위는 없어진지 오래라고 봐야한다"고 말했다.

김 교수는 "특히 국정원의 정보수집이나 활동 등은 기록에 남기 때문에 아무도 모르게 은밀하게 하기가 힘들다"면서 "최근에 야당 의원이 국정원의 정보수집을 포착하고 문제제기 한 것처럼 사이버테러방지법 이후 국정원에 의해 문제가 발생하면 야당의원들이나 국민들이 가만히 있겠나"라고 지적했다.

아울러 사이버테러방지법을 반대하는 측에서는 법안에 국정원을 견제하는 조항이 전혀 들어가 있지 않다는 점도 논쟁거리다. 이에 대해 전문가들은 국회 정보위원회의 권한을 강화하는 등의 해법을 제안하고 있다.

특히 현재 같이 사이버 안보가 위협받는 상황에서 먼저 사이버테러방지법을 통과시키고 문제가 발생하면 개정을 하거나 헌법소원을 통해 문제점을 개선해 나가는 방법을 강조하고 있다.

김 교수는 "국정원이 권력을 오남용할 것이라는 우려 때문에 사이버테러방지법을 통과시키지 않으면 소탐대실할 것"이라면서 "반대하는 측에서는 무조건 반대가 아니라 대안을 내놔야 한다. 현재로서는 국정원을 견제하는 방법은 국회 정보위에 국정원에 대한 감독권을 부여하면 통제가 가능할 것"이라고 말했다.