‘사이버 진주만’의 공포는 1990년대에 처음 나타났다. 지난 20년간 정책 입안자들은 해커들이 송유관을 폭파하고, 상수도를 오염시키고, 수문을 개방하고, 항공교통 관제시스템을 해킹해 비행기를 충돌시킬지 모른다고 우려해왔다. 2012년 리언 파네타 미 국방장관은 해커들이 미국 대부분의 전력망을 마비할 수도 있다고 경고했다.
이런 재앙 시나리오 중 현실로 나타난 건 아무것도 없다. 하지만 가능성을 배제할 수는 없다. 이보다 점잖은 수준이지만 해커들은 지난해 독일의 한 제철소 용광로를 없애버릴 수도 있었다. 그러니 보안에 관한 질문은 간단하다. 그런 파괴적인 행동들을 막을 수 있을까.
사이버 공간에서는 공격의 출처를 찾아내는 게 어렵고 국가ㆍ비국가 선수들이 너무나 다양하기 때문에 억지(抑止)가 효과적인 전략이 아니라는 의견도 있다. 누군가의 자산을 위험을 무릅쓰고 잡아둘 수 있을 것인지, 얼마나 오랫동안 그럴 수 있을지 확신하기란 어렵다.
사건이 발생했을 때 누가 했는지 찾아내는 것은 정말 심각한 문제다. 발신인 주소가 없는데 어떻게 보복할 수 있겠나. 핵 문제가 생겼을 때 누구의 책임인지 완벽하게 밝혀내는 건 어렵다. 하지만 핵무기 보유국은 9개에 불과하다. 이 국가들이 보유한 핵 원료의 동위원소 식별자는 상대적으로 잘 알려져 있다. 또 국가가 아닌 단체나 개인이 뛰어들기에는 이 분야의 진입 장벽이 너무 높다.
사이버 공간의 무기는 국가든 개인이든 단체든 수많은 주체가 만들어낼 수 있는(또는 이른바 사이버 암시장에서 구할 수 있는) 몇 줄의 코드이기 때문에 핵과는 사정이 전혀 다르다. 노련한 공격자들은 여러 개의 원격 서버로 위장술을 부려 근거지를 숨길 수도 있다.
포렌식(forensicㆍ범죄에 사용된 컴퓨터로부터 디지털 정보를 수집하고 범죄 증거를 확보하는 기술)은 서버들 사이의 많은 ‘홉’(hopㆍ네트워크 사이 뛰어넘기)을 처리할 수 있다. 하지만 대개 많은 시간이 걸린다. 예를 들어 JP모건체이스가 7,600만 고객의 주소를 도난 당했던 2014년 공격은 러시아 소행으로 짐작됐다. 하지만 2015년 미국 사법부는 이스라엘인 두 명과 모스크바와 텔아비브에 사는 미국인 한 명이 이끄는 전문 범죄조직의 소행이라는 걸 밝혀냈다.
범인을 어느 선까지 지목할 건가 하는 문제도 있다. 위장 기술에 속을 위험이 있고 법정에서도 유용할 만큼 신속하고 정확하게 범인을 찾아내기 어렵지만 사이버 공격을 억제하기에 충분한 결과물을 종종 내놓기도 한다. 일례로 2014년 소니픽처스 사이버 공격 이후 미국은 그 공격이 북한의 소행이라는 걸 어떻게 알아냈는지를 공개하기 꺼려했다. 과연 북한이 맞느냐고 의심하는 사람들이 많이 나왔고, 몇 주 뒤 미국이 북한 네트워크에 접속할 수 있다는 사실을 한 언론사가 폭로했다. 회의론은 잦아들었지만 기밀의 민감한 출처를 드러내는 대가를 치러야 했다.
신속하고 뛰어난 실력을 갖춘 사이버 수사는 어렵거나 비용이 많이 든다. 그렇다고 불가능하진 않다. 정부가 실력을 키우고 있을 뿐만 아니라 민간 회사들도 이 게임에 뛰어들고 있다. 이런 회사들의 참여 덕분에 정부가 민감한 자료 공개를 감수해야 하는 수고는 줄어들었다. 많은 상황들이 어느 정도까지 범인을 파악해낼 수 있느냐의 문제이고, 포렌식 기술이 발전할수록 사이버 범죄를 억지하는 힘도 커질 수 있다.
또 사이버 억지력을 평가할 때 전통적인 처벌과 차단의 방식만 생각해서는 안 된다. 경제적인 수단과 규제를 통한 억지에도 관심을 두어야 한다. 경제적으로 밀접한 관계는 중국과 같은 주요 국가의 비용편익 계산을 바꿀 수 있다. 가령 미국 전력망에 대한 공격이 중국 경제에 해를 줄 수도 있다. 이런 방식은 북한과 같은 나라에는 거의 효과가 없다. 북한이 세계 경제와 연결된 부분이 많지 않기 때문이다. 이런 관계짓기로 국가가 아닌 상대에 얼마나 영향을 미칠 수 있는지는 확실하지 않다. 일부는 숙주를 죽이고 나서 고통 받는 기생충 같을 수도 있겠지만, 그런 효과에 별 관심이 없는 부류도 있을 것이다.
규제와 관련해 주요국들은 사이버 전쟁이 무력분쟁법으로 억제될 것이라는 데 뜻을 함께했다. 여기에는 군사ㆍ민간 타깃과 결과에 따른 비례 원칙 사이의 구분이 필요하다. 지난 7월 유엔 정부전문가그룹은 사이버 공격이 민간인을 타깃으로 삼지 말아야 하다고 권고했다. 이 규범은 지난달 G20 정상회의에서도 지지 받았다.
사이버 무기들을 아직까지 전쟁에서 많이 쓰지 않는 이유는 민간인을 타깃으로 했을 때의 효과와 예측 불가능한 결과에 대한 확신이 없기 때문이라는 분석이 있었다. 이러한 규제들이 이라크, 리비아의 공습 방어에 대항해 미국이 사이버 무기 쓰는 것을 막았을 수도 있다. 러시아가 조지아와 우크라이나에서 여러 가지 방식이 혼합된 하이브리드 전쟁을 벌일 때 사이버 무기를 쓴 건 제한적이었다.
사이버 공격을 억지하는 변수들 간의 관계는 역동적이다. 이 관계는 기술과 학습에 영향을 받는다. 혁신은 핵무기 시대보다 훨씬 빠른 속도로 일어난다. 예를 들어 범인을 찾아내는 포렌식이 발전할수록 처벌이라는 대응이 강화될 수 있다. 암호화를 통한 방어력이 높아질수록 차단에 의한 억지력을 높일 수도 있다. 어떤 방어가 더 이로울까는 시간이 흐르는 사이 바뀔 수도 있다.
사이버 학습 또한 중요하다. 국가와 기관들이 경제적 복지에 인터넷이 얼마나 중요한지 더 잘 이해하면 사이버 전쟁의 유용성에 대한 비용편익 계산이 바뀔 수도 있다. 오랜 기간의 학습이 핵전쟁의 비용에 대한 이해를 바꿔놓은 것처럼 말이다.
핵무기 시대와 달리 사이버 시대에는 한가지 억지의 방식이 모든 상황에 다 적용되는 건 아니라고 할 수 있다. 아니면 한가지 방식만이 통했던 적은 어느 시대도 없었지만 우리가 과거를 단순화하는 것일 수도 있다. 어쨌든 핵무기를 이용한 처벌이 너무 가혹하다고 여긴 미국은 소련의 서유럽 침략을 억지하려고 노력하면서 차단이라는 방법을 더한 유연한 대응을 택했다. 미국은 ‘핵무기 선제 사용 금지’에 결코 동의하지 않았지만 결과적으로 그런 금기는 적어도 주요국 사이에서는 진화했다. 사이버 시대에 억지란 예전과 같지 않을 것이다. 아니, 예전과 전혀 다른 방식으로 바뀔지도 모른다.
조지프 나이 미국 하버드대 석좌교수ㆍ국제정치학
번역=고경석기자 ⓒProject Syndicate
기사 URL이 복사되었습니다.
댓글0