The Internet has enriched the convenience and productivity of our daily lives, but the anonymity, transnationality, technical incompleteness, and lack of consideration on security issues of the Internet have led to serious cyber-security problems. In particular, State-led Cyberattacks (SLCAs) have caused a severe economic damage and threatened national security because SLCAs could be directly or indirectly provided with finance and technology in secret by a government with a political purpose.
There are various efforts and developments in security technology, laws, institutions, and international cooperation areas to solve this problem. Recently, Bright Internet was proposed as a preventive security measure against cyberattacks by monitoring cyberattacks in advance and detecting the origin of the attack after an assault. However, Bright Internet has a limitation that its five Principles are only valid within Bright Internet member countries because cyber-terror countries do not agree to join the Bright Internet members and, as a result, there is a need for a complementary measure.
The study, therefore, selects seven distinctive SLCA cases and three illustrative Private-led Cyberattack (PLCA) cases and analyzes them by attack purpose, means and methods, target, attack timing and others. As a result, while implementing the Bright Internet’s Principles based on a revised technology, laws, and international cooperation, the study suggests a preventive framework referred to here as Internet Peace Principles (IPPs) that is a new international agreement that every state should follow to deter SLCAs. IPPs suggest that the State should maintain peace and security and settle the disputes peacefully and abide by the international obligations in cyberspace, but not use the Internet as a weapon for attacking other countries or a means for detouring attacks.
IPPs are derived by the combined approaches of Extension of Physical Conventions like the UN Charter, the Geneva and Hague Conventions, and the Responsibility of States for Internationally Wrongful Acts to Cyberspace, Expansion of International Cybersecurity Conventions like the UN Group of Governmental Experts’ recommendations, Council of Europe Cybercrime Convention, and the Tallinn Manual to Global Member Countries, and Adoption of Analogical International Norms like the Treaty on the Non-Proliferation of Nuclear Weapons and the Outer Space Treaty.
For the preservation of a consistent international peace and order, IPPs propose as follows. All states should maintain international peace and security in cyberspace. States should not knowingly allow their ICTs to be used for internationally wrongful acts, should prohibit preemptive cyberattacks against critical infrastructure and civilians. Also, states should prohibit the use of SLCAs except for self-defense, should prohibit an unlimited use of cyber means and methods, and should cooperate to prevent, investigate, and prosecute cyberattacks. The offending state should take responsibility for the attack results, and an attacked state is entitled to request compensation and take legitimate countermeasures. The UN may take collective measures for the prevention and removal of cybersecurity threats, and an international governing body, namely BIGG is necessary to implement the Principles.
오늘날 인터넷은 정치, 경제, 사회, 문화 등 전 영역을 연결해주는 지식과 정보교환의 소통공간이며, 우리 삶의 질을 향상시켜주고 있다. 그러나, 사이버공간은 누구나 쉽게 국경을 넘고, 익명으로 언제 어디서나 접속할 수 있는 특성에서 연유된 기술적 불안전성과 안전이 충분히 고려되지 않은 통신방식을 악용한 사이버범죄나 사이버공격 등 역기능이 증가하고 있으며, 특히 국가주도 사이버공격은 경제손실은 물론 사회안전과 국가안보를 심각하게 위협하고 있다.
이를 예방하기 위해 현재 인터넷의 자기 방어적 안전시스템에서 예방적 신원확인 시스템으로 패러다임을 전환하는 밝은인터넷이 제안되었다. 가해자를 찾아 처벌하기 위한 밝은인터넷은 밝은인터넷 회원국으로부터의 사이버공격은 막아낼 수 있으나, 비회원국으로부터 사이버공격을 사전에 예방할 수 없으며 공격근원지를 추적하기 어려워 보완책이 필요한 실정이다.
본 연구는 미국의 소니사, 이란의 원자력시설, 조지아와 에스토니아, 그리고 한국에 대한 한수원 해킹 등 7 건의 사이버공격을 국가주도 사이버공격으로, 미국 할리우드 병원에 대한 해킹공격 등 3건을 사적주도 사이버공격으로 각각 정의한 후, 공격목적, 방법, 경로, 공격기간 등 11 가지 요소로 비교 분석한다. 또한 사이버공격이‘무력사용’을 위반했는지를 탈린매뉴얼이 제시한 8가지 기준으로 분석하고, 이외 유엔헌장, 국가책임법, 제네바？헤이그협약 등 국제법과 국제규범을 위반했는지를 평가한다.
나아가 본 연구는 사이버공격의 분석과 평가결과를 밝은인터넷원칙에 적용하여 밝은인터넷 실행을 위한 관련 기술, 법과 제도 개선, 그리고 국제협력을 제안하고, 현재의 국제법과 국제규범을 사이버공간에 확대,연장,유사 적용을 통해 ‘인터넷평화원칙’을 도출하여 비회원국의 국가주도사이버공격까지 예방하고, 사이버공격을 받은 후에도 공격의심 국가 및 경유국 등 관련국과 긴밀한 국제협력을 통해 공격의 근원지를 밝혀 공격자를 처벌할 수 있도록 한다.
인터넷평화원칙은 국가가 인터넷 공간에서 국제평화와 안전을 유지하고, 자국의 ICTs 가 제3국의 공격에 악용되지 않도록 관리하며, 민간과 국가핵심시설을 공격하지 않고, 사이버무기를 무제한 사용하지 않으며, 자국에 대한 방어목적외는 국가주도사이버공격을 사용하지 않으며, 공격국가는 그 결과에 책임을 지고, 피해국가는 대응조치권을 가지며, UN의 권위를 바탕으로 원칙위반국가를 처벌하고, 이를 위해 소위 밝은인터넷 국제기구를 운영하는 방안이다. 이를 통해 사회안전과 국가안보를 강화하고, 안전하고 신뢰할 수 있는 사이버공간을 만들어 제조업과 IT가 융합된 4차 산업혁명을 촉진하며, 인터넷이용으로 인한 안전비용도 최소화하는 효과도 기대할 수 있다.
