항공 사이버보안 실효성 확보를 위한 법제화 방안 연구 = (A) Study on Legislative Measures to Ensure the Effectiveness of Aviation Cybersecurity

국문 초록 (Abstract)

4차 산업혁명의 눈부신 발전에 따라 AI, IoT, 로봇기술, 자율주행차량 등 정보통신기술 또한 비약적으로 발전하면서, 민간항공 분야에서도 항공교통관리시스템(ATM), 항공기 운항 시스템, 공항 운영체계, 항공사의 정보 관리 인프라 등의 사이버공간 기반 활동에 큰 변화가 나타나기 시작했다. 이와 같은 변화는 긍정적인 측면에서는 항공 운항의 효율성과 안전성을 향상시켰지만, 부정적인 측면에서는 해킹, 컴퓨터 바이러스 등 사이버 침해 행위와 물리적 보안 분야의 드론을 결합한 하이브리드 형태의 위협이 등장하여 민간항공을 대상으로 한 범죄가 발생하는 결과를 초래하였다. 이에 따라 항공보안의 범위는 전통적인 물리적 영역을 넘어 사이버공간으로까지 확장되었다. 그래서 기존의 물리적 보안체계만으로는 사이버공간에서의 민간항공 보호에 한계가 드러났으며, 이를 인식한 국제민간항공기구(ICAO)는 ‘항공 사이버보안’을 민간항공 분야의 핵심 인프라, 정보통신기술 시스템 및 데이터를 사이버 위협으로부터 보호하는 활동 으로 정의하고, 「국제민간항공협약」 부속서 17(항공보안)을 개정하였다. 개정된 부속서 17은 체약국에게 민간항공에 필수적인 정보 및 정보통신기술 시스템과 데이터를 식별하고, 위험 평가를 토대로 「항공보안법」상 불법방해행위로부터 이를 보호하기 위한 조치를 마련하고 시행할 것을 요구하고 있다. 또한 SARPs(국제표준 및 권고사항) 제4장 제9절 제2항에서는 체약국이 식별된 중요 시스템 및 데이터의 기밀성, 무결성, 가용성을 적절히 보장할 의무를 명시하고 있다. 더불어 ICAO는 항공 사이버보안 강화를 위해 전 세계 국가 간 국제협력 체계 구축, 조직적 대응체계 정비, 법제도 개선, 정보 공유 및 사고 대응 계획 수립, 인적 역량 강화와 사이버보안 문화 조성을 주요 전략으로 제시하고 있다.
국내에서도 「정보통신기반 보호법」,「항공보안법」, 「국가사이버안전관리규정」 등을 통해 항공 사이버보안과 관련된 제도를 일정 부분 적용할 수 있으나, 현행 법제에는 여러 한계가 존재한다. 먼저 「정보통신기반 보호법」은 항공 분야를 주요정보통신기반시설로 지정하여 보호하는 데 한계가 있으며, 「항공보안법」 역시 정보통신기반시설에 대한 전자적 침해행위나 이에 따른 불법방해행위를 명확히 규정하고 있지 않아 항공 사이버보안 사고 발생 시 적절한 대응 조치나 침해 행위자에 대한 법적 책임을 부과하는 데 어려움이 있다. 또 한 「국가사이버안전관리규정」은 훈령의 성격을 가지며 국가정보원장의 통제를 받기 때문에, 국토교통부를 주관 부처로 하는 항공보안 분야에서는 적용 범위가 모호하고 효과적인 대응이 이루어지지 않을 가능성이 있다. 이처럼 현재 국내 법제들은 「국제민간항공협약」 부속서 17(항공보안)에서 요구하는 사이버보안 기준을 충족하지 못하고 있으며, 이에 따라 민간항공의 특성과 국제기준을 반영한 우리나라의 특성에 부합하는 법제의 마련이 필요한 시점이다.
본 연구는 항공 사이버보안의 실효성을 확보하기 위해 「항공보안법」을 중심으로 현행 제도를 검토하고, 그에 따른 문제점 및 개선방향을 제시하는 것을 목적으로 한다.첫째, 우리나라는 ICAO 체약국으로서 국제기준을 준수할 의무가 있음에도 불구하고, 항공 사이버보안 분야에 대한 국제기준 이행이 아직 충분하지 않은 실정이다. ICAO는 항공보안평가를 통해 각국의 국제기준 이행 수준을 점검하고 있으며, 이에 따라 우리나라도 항공 사이버보안에 관한 국제기준을 반영한 국내 규정의 정비 및 보완이 요구된다. 이를 통해 항공 사이버보안 법제의 체계적 마련이 필요하다.
둘째, 현행 국내 법체계는 항공 사이버보안 제도를 온전히 적용하는 데 한계가 있다. 「정보통신기반 보호법」은 주요정보통신기반시설을 대상으로 사이버보안을 규율하고 있으나, 항공 사이버보안의 특수성과 세부 영역을 포괄하기에는 미흡하다. 또한 「항공보안법」 제2조 정의에는 불법방해행위의 유형에 전자적 침해행위를 포함하고 있지 않아, 항공 분야에 실질적이고 효과적인 사이버보안 체계를 마련하기 위해서는 항공 사이버보안에 대한 정의를 신설하고, 이를 기반으로 민간항공을 사이버위협으로부터 보호하는 대응체계를 구축해야 한다. 이를 통해 국제사회와의 보안협력 및 정보공유도 보다 원활하게 이루어질 수 있을 것이다.셋째, 항공 사이버보안을 강화하기 위해서는 전문 조직의 확대, 항공 사이버보안 계획의 수립, 교육훈련 및 대응역량 강화가 필수적이다. 이에 본 연구에서는 항공 사이버보안을 "항공(Aviation) 네트워크 및 정보시스템, 이 시스템을 이용하는 사용자, 그리고 항공 사이버위협의 영향을 받을 수 있는 사람을 보호하기 위한 모든 활동"으로 정의하고자 한다. 이러한 정의를 기반으로 한 제도 개선은 국내 항공 사이버보안 수준을 향상시키고, 안전하고 신뢰할 수 있는 항공보안 시스템 구축에 기여할 것으로 기대된다.

목차 (Table of Contents)

• 제1장 서 론 1
• 1.1 연구의 목적 1
• 1.2 연구의 범위 및 방법 4
• 제2장 항공 사이버 보안에 관한 고찰 및 위험 요소 5
• 2.1 항공 보안의 개념 5
• 2.1.1 안전과 보안의 개념 5
• 2.1.2 국제민간항공기구(ICAO) 부속서의 안전과 보안의 정의 6
• 2.2 사이버 보안의 정의 및 항공 사이버 보안의 개념 8
• 2.3 사이버 관련 위험 요소 별 개념 및 정의 10
• 2.3.1 사이버 전쟁의 개념 10
• 2.3.2 사이버 테러의 개념 11
• 2.3.3 사이버 범죄의 개념 13
• 2.3.4 사이버 공격 유형의 변화 14
• 2.4 민간항공 사이버 침해 유형 15
• 2.4.1 항공 교통관리(ATM) 시스템 공격 15
• 2.4.2 항공기내 서비스 운영 시스템 공격 16
• 2.4.3 공항 및 항공사 운영 시스템 공격 18
• 2.4.4 드론 활용 사이버 테러의 짐재적 위험성 20
• 2.5 민간항공 사이버 공격 사례 분석 21
• 2.5.1 항공 교통관리(ATM) 시스템 공격 사례 분석 21
• 2.5.2 항공기내 서비스 운영 시스템 공격 사례 분석 23
• 2.5.3 공항 및 항공사 운영 시스템 공격 사례 분석 24
• 2.5.4 드론 활용 사이버 테러의 짐재적 위험성 사례 분석 25
• 2.6 소결 27
• 제3장 사이버보안에 관한 국내·외 법제 및 정책 28
• 3.1 미국의 사이버보안 28
• 3.1.1 미국의 사이버보안 관련 법제 28
• 3.1.2 미국의 사이버보안 추진 체계 33
• 3.1.3 미국의 사이버보안 관련 주요 부처 역할 36
• 3.2 이스라엘의 사이버보안 37
• 3.2.1 이스라엘의 사이버보안 관련 전략 37
• 3.2.2 이스라엘의 사이버보안 관련 법·제도 39
• 3.2.3 이스라엘의 사이버보안 조직 및 체계 41
• 3.2.4 이스라엘의 사이버보안 인력 양성 정책 44
• 3.3 유럽연합(EU)의 사이버보안 47
• 3.3.1 EU의 사이버보안 정책 47
• 3.3.2 EU의 사이버보안 관련 법제 50
• 3.4 일본의 사이버보안 58
• 3.4.1 일본의 사이버보안 정책 배경 58
• 3.4.2 일본의 사이버보안 추진 방향 60
• 3.4.3 일본의 사이버보안 관련 법제 61
• 3.4.4 일본의 사이버보안 추진 체계 63
• 3.5 한국의 사이버보안 65
• 3.5.1 한국의 사이버보안 법제 현황 65
• 3.5.2 한국의 사이버보안 추진 체계 66
• 3.6 주요국가의 사이버보안 추진체계 비교 67
• 3.7 소 결 69
• 제4장 ICAO와 주요 국가의 항공 사이버보안 관련 정책 및 전략 72
• 4.1 ICAO의 항공 사이버보안 72
• 4.1.1 ICAO의 항공 사이버보안 정책 73
• 4.1.2 ICAO 부속서 17(항공보안)의 의의 70
• 4.1.3 ICAO 부속서 17(항공보안)의 사이버보안에 관한 표준 및 규정 75
• 4.1.4 ICAO 항공보안매뉴얼 Doc. 8973 75
• 4.1.5 국제협력 및 거버넌스 78
• 4.1.6 ICAO의 항공 사이버보안 전략 79
• 4.1.7 ICAO의 무스카트 선언문 81
• 4.2 소결 82
• 4.3 국내·외 주요 국가의 항공 사이버보안 관련 법제 및 정책 83
• 4.3.1 미국의 항공 사이버보안 83
• 4.3.2 유럽연합(EU)의 항공 사이버보안 93
• 4.4.3 이스라엘의 항공 사이버보안 97
• 4.5.4 일본의 항공 사이버보안 106
• 4.5.5 한국의 항공 사이버보안 관련 법제 및 전략 108
• 4.6 소결 110
• 제5장 항공 사이버보안의 실효성 확보를 위한 법제화 방안 112
• 5.1 항공 사이버보안의 실효성 확보에 관한 법제도의 문제점 112
• 5.1.1 사이버보안에 관한 기본법 부재 및 관련법 적용의 한계 112
• 5.1.2 항공 사이버보안 정의의 부재 113
• 5.1.3 항공 사이버보안에 관한 명확한 책임 분배의 미흡 114
• 5.1.4 침해 사고 후 조치에 대한 한계 115
• 5.1.5 항공 사이버보안 인증 제도의 인식 부족 116
• 5.1.6 정보공유 및 분석 체계 정립의 필요성 116
• 5.2 항공 사이버보안의 실효성 확보에 관한 법제도의 개선방안 118
• 5.2.1 국제기준 준수를 위한 항공 사이버보안 관련 법제 118
• 5.2.2 항공 사이버보안 실효성 확보를 위한 제도적 보완의 필요성 121
• 5.3 항공보안법 개정안 입법 제언 126
• 제6장 결론 129
• 참고문헌 134
• ABSTRACT 141