사이버 공간에서의 제3국 대응조치 -핵심기반시설을 중심으로 = Third-party Countermeasures in Cyberspace: Focusing on Critical Infrastructure

다국어 초록 (Multilingual Abstract)

As cyberattacks against critical infrastructure become increasingly frequent, third-party countermeasures in cyberspace have emerged as a major subject of debate in international legal scholarship. Third-party countermeasures refer to measures taken by states other than the injured state against the responsible state. In the context of cyberspace, they could provide an international legal basis for cyber-capable third states to employ cyber means such as hack-back to terminate cyberattacks on behalf of injured states lacking technical capacity. However, the 2001 ILC Draft Articles on Responsibility of States for Internationally Wrongful Acts did not clearly establish whether third-party countermeasures are permissible.
The essential requirement for third-party countermeasures is the breach of obligations erga omnes. Since the ICJ first articulated the concept of obligations erga omnes in the Barcelona Traction case (1970), it has confirmed that the prohibition of aggression and genocide constitute such obligations. Analysis of state practice reveals that states have employed third-party countermeasures-including asset freezes and trade restrictions-to halt violations or secure reparation when obligations such as the prohibition of aggression or genocide have been breached. This demonstrates that third-party countermeasures in response to breaches of obligations erga omnes are permissible as customary international law.
Cyberspace possesses distinctive characteristics, including interconnectivity among states, technological disparities, and difficulties in legal attribution. Hack-back, as a form of active cyber defense measure aimed at neutralizing the source of cyberattacks, can be considered a type of countermeasure. However, existing international legal cooperation mechanisms are inadequate for responding such cyberattacks. The doctrine of proxy countermeasures, which would permit countermeasures even for breaches of bilateral obligations rather than obligations erga omnes, lacks sufficient legal foundation due to inconsistency with the existing international legal framework and insufficient state practice.
Examination of obligations erga omnes that could be breached through cyberattacks reveals that the prohibitions of use of force and threat of force, as well as the prohibition of genocide, are unlikely to be violated by peacetime cyberattacks. For a cyberattack to constitute a use of force, it must possess scale and effects comparable to physical use of force, yet most cyberattacks fall short of this threshold. The due diligence obligation, which requires territorial states to prevent harm to other states, applies in cyberspace but cannot yet be considered an obligation erga omnes with respect to cyberattacks.
The UN, through its GGE reports, has articulated non-binding cyber norms for critical infrastructure protection, including prohibition of attacks against critical infrastructure, protection of domestic critical infrastructure, due diligence obligations to protect other states’ critical infrastructure, and cooperation obligations in case of harm. While these non-binding norms cannot yet be regarded as binding international law, the EU, ASEAN, OAS and other organizations recognize critical infrastructure protection as a common interest.
Accordingly, this dissertation explores a treaty framework for international cyber cooperation and response to protect critical infrastructure. The proposed treaty stipulates that territorial states bear due diligence obligations to prevent critical infrastructure attacks originating from their territory and must accept intervention by assisting states. This recognizes the difficulty of attribution under the law of state responsibility in cyberspace, permitting assisting states to conduct hack-back operations within the territorial state's territory upon request from the injured state. Furthermore, assisting states would have the right to take enforcement measures at the request of injured states. The term “enforcement measures” is adopted to avoid the contentious nature of third-party countermeasures in cyberspace and emphasize that these are cooperative measures for treaty implementation. Key requirements include the injured state's request, substantial harm to critical infrastructure, and breach of the territorial state's due diligence obligations. The harm assessment criteria propose a multi-layered standard comprehensively considering the degree of critical infrastructure function disruption, affected population size, duration of harm, and restoration costs. Additionally, the treaty proposes arranging of conciliation commission and arbitral tribunal to perform roles including harm assessment, determination of due diligence compliance, and dispute resolution.
This treaty framework enhances legal predictability by converting third-party countermeasures-which can only be exercised upon meeting the strict criterion of breach of obligations erga omnes-into enforcement measures based on clear treaty-based rights and obligations. It establishes critical infrastructure protection as an obligation erga omnes partes among state parties, presents realistic solutions considering the difficulty of cyberattack attribution, provides cooperation mechanisms to address injured states’ technical capacity deficiencies, and mitigates the risks of self-help through institutionalized dispute resolution mechanisms.

국문 초록 (Abstract)

핵심기반시설에 대한 사이버공격 피해가 빈발하는 현재, 사이버공간에서의 제3국 대응조치는 국제법학계의 주요 논쟁 대상이 되고 있다. 제3국 대응조치란 피해국이 아닌 제3국이 책임국에 대하여 대응조치를 취하는 것으로, 사이버공격을 받은 국가가 기술적 역량이 부족할 때 사이버 기술역량을 갖춘 제3국이 피해국을 대신하여 해킹백 등의 사이버 수단으로 사이버공격을 중단시키는 국제법적 근거가 될 수 있다. 그러나 2001년 ILC 국가책임초안은 제3국 대응조치의 허용 여부를 명확하게 규정하지 않았다.
제3국 대응조치의 핵심적인 요건은 대세적 의무의 위반이다. ICJ는 Barcelona Traction 사건(1970)에서 대세적 의무 개념을 처음 제시한 이래, 침략 금지, 제노사이드 금지 등을 대세적 의무로 확인해왔다. 국가실행 분석 결과, 국가들은 침략 금지 의무나 제노사이드 금지 의무 등이 위반된 경우에 책임국의 위반행위 중지 또는 배상을 위하여 자금동결, 무역제한조치 등 제3국 대응조치를 행사하여 왔다. 이는 대세적 의무 위반에 대한 제3국 대응조치가 관습국제법으로 허용되고 있음을 보여준다.
사이버공간은 국가 간 초연결성, 기술격차, 비국가행위자 귀속의 어려움 등 독특한 특성을 가진다. 해킹백은 사이버공격의 원천을 무력화하기 위한 능동적 사이버방어 조치로서 대응조치의 한 형태이나, 현행 국제법상 협력 체제는 이러한 사이버공격 대응에 부적합하다. 위임 대응조치 주장 역시 대세적 의무 위반이 아닌 양자의무 위반에도 허용된다는 주장이라는 점에서 기존 국제법 체계와의 정합성 문제와 충분한 국가실행 부족으로 법적 근거가 미약하다.
사이버공격을 통해 위반될 수 있는 대세적 의무를 검토한 결과, 무력사용 및 무력위협 금지 의무와 제노사이드 금지 의무는 평시 사이버공격으로 위반될 가능성이 희박하다. 사이버공격이 무력사용에 해당하려면 물리적 무력사용에 준하는 규모와 효과를 가져야 하나, 대부분의 사이버공격은 이 기준에 미달한다. 상당주의 의무는 타국에 대한 해악을 방지할 영토국의 의무로서 사이버공간에서도 적용되나, 사이버공격에 대해서는 아직 대세적 의무로 보기 어렵다.
UN은 GGE 보고서를 통해 핵심기반시설 공격 금지, 자국 핵심기반시설 보호 및 타국 핵심기반시설 보호를 위한 상당주의 의무, 피해 발생 시 협력 의무 등 핵심기반시설 보호를 위한 비구속적 사이버 규범을 제시하였다. 아직 이러한 비구속적 규범이 구속력 있는 국제법으로 확립되었다고 볼 수는 없으나, EU, ASEAN, OAS 등은 핵심기반시설 보호를 공동의 이익으로 인식하고 있다.
이에 본 논문은 핵심기반시설 보호를 위한 국가간 사이버 협력 및 대응 조약을 모색한다. 영토국은 자국 영토로부터 발생하는 핵심기반시설 공격을 방지할 상당주의 의무를 부담하며, 지원국의 개입을 수용할 의무를 진다는 조항을 제안한다. 이는 사이버공격의 국가책임법상 귀속이 어려운 특성을 고려하여, 피해국의 요청 시 지원국이 영토국 내에서 해킹백 조치를 취할 수 있도록 허용하는 것이다. 더불어 지원국은 피해국의 요청에 따라 이행조치를 취할 권리를 가지는 바, 이행조치는 제3국 대응조치의 논쟁성을 피하고 조약상 이행을 위한 협력적 조치임을 강조하기 위한 명칭이다. 주요 요건으로는 피해국의 요청, 핵심기반시설에 대한 실질적 피해 발생, 영토국의 상당주의 의무 위반 등이 포함된다. 피해 평가 기준은 핵심기반시설의 기능 마비 정도, 영향을 받는 인구 규모, 피해의 지속성, 복구 비용 등을 종합적으로 고려하는 다층적 기준을 제안한다. 또한, 조정 위원회 및 중재재판소를 설치하여 피해 평가, 상당주의 의무 이행 여부 판단, 분쟁 해결 등의 역할을 수행하도록 한다.
본 조약 구상은 대세적 의무 위반이라는 엄격한 기준을 충족해야만 행사될 수 있는 제3국 대응조치를 조약상 명확한 권리, 의무 관계에 의한 이행조치로 규정하여 법적 예측가능성을 높이고, 핵심기반시설 보호를 당사국간 대세적 의무로 설정하며, 사이버공격 귀속의 어려움을 고려한 현실적 해결책을 제시한다. 또한 피해국의 기술적 역량 부족 문제를 해결하기 위한 협력 메커니즘을 제공하고, 제도화된 분쟁해결 메커니즘을 통해 자력구제의 위험성을 완화한다.

목차 (Table of Contents)

• 제 1 장 서 론 1
• 제 1 절 연구의 배경과 목적 1
• 제 2 절 관련 선행연구 7
• 제 3 절 연구의 범위 및 구성 9
• 제 2 장 일반국제법의 제3국 대응조치 13
• 제 1 절 대응조치 13
• 1. 대응조치의 개념 13
• 2. 대응조치의 자력구제적 성격과 균형의 문제 15
• 3. 대응조치와 양자주의(bilateralism) 16
• 제 2 절 제3국 대응조치 18
• 1. 용어의 정리 18
• 2. 고전적 견해 19
• 3. ILC 국가책임초안 성안 과정과 규정 22
• 1) ILC 국가책임초안 논의 과정 23
• 2) 2001년 국가책임초안과 ‘적법한 조치’의 해석 28
• 4. 제재와의 관계 31
• 제 3 절 ICJ 판결에서의 대세적 의무와 제3국 대응조치 37
• 1. Barcelona Traction 사건(1970년) 38
• 2. Namibia 권고적 의견(1971년) 40
• 3. Tehran Hostages 사건(1980년) 42
• 4. Nicaragua 사건(1986년) 46
• 5. Belgium v. Senegal 사건(2012년) 48
• 6. Gambia v. Myanmar 사건(2022년) 50
• 7. 소결 52
• 제 4 절 제3국 대응조치 국가실행과 법적 확신 53
• 1. 제3국 대응조치의 국가실행 53
• 1) 피해국에 대한 무력 사용 및 침략행위 사례 55
• (1) 이란의 미국 대사관 인질 사건 (1980) 55
• (2) 아르헨티나의 포클랜드 침공(1982) 57
• (3) 소련의 대한항공 여객기 격추(1983) 61
• (4) 이라크의 쿠웨이트 침공(1990) 62
• (5) 러시아의 크림반도 침공(2014-2021) 64
• (6) 러시아의 우크라이나 침공(2022-현재) 66
• 2) 국민에 대한 인권침해 사례 71
• (1) 그리스의 쿠데타 과정에서의 인권탄압(1967-1970) 71
• (2) 우간다의 대규모 인권침해(1971-1978) 72
• (3) 폴란드 정권의 인권 탄압(1981) 74
• (4) 남아프리카의 아파르트헤이트(1985-1986) 75
• (5) 나이지리아 인권 침해(1995) 75
• (6) 부룬디의 민족 간 제노사이드(1996) 76
• (7) 수단의 국제테러와 인권 침해(1997-현재) 76
• (8) 유고슬라비아의 코소보 내 알바니아계 인종청소(1998-2000) 77
• (9) 미얀마의 인권 탄압(2000-현재) 78
• (10) 짐바브웨(2002-현재) 78
• (11) 벨라루스(2004-현재) 79
• (12) 리비아 내전(2011) 80
• (13) 시리아 내전(2011-현재) 81
• 3) 소결 82
• 2. 제3국 대응조치의 법적 확신 83
• 제 5 절 제3국 대응조치 행사의 요건 89
• 1. 책임국의 대세적 의무에 대한 심각한 위반 89
• 2. 피해국의 ‘동의 또는 요청’ 93
• 3. 기타 대응조치의 요건 98
• 제 3 장 사이버공간 국가간 행위 규율의 특성 101
• 제 1 절 사이버 규범 논의 101
• 1. UN GGE 및 OEWG 101
• 2. 탈린 매뉴얼 107
• 3. Paris Call 109
• 제 2 절 사이버공간의 특징 109
• 1. 국가 간 초연결성과 부문 간 상호의존성 109
• 2. 국가 간 정보 및 기술격차 114
• 3. 비국가행위자의 행위에 대한 귀속의 어려움 116
• 제 3 절 대응조치로서의 해킹백과 국가간 협력 119
• 1. 대응조치로서의 해킹백 120
• 2. 주요국의 사이버 대응 정책 123
• 1) 대한민국 123
• 2) 미국 124
• 3) 일본 130
• 3. 국가간 협력 131
• 1) 한미 협력 131
• 2) 한미일 협력 133
• 3) EU 135
• 4) NATO 138
• 5) 이스라엘과 UAE의 ‘Crystal Ball’ 이니셔티브 140
• 4. 해킹백을 통한 사이버 억지 효과 141
• 제 4 절 사이버공격에 대한 기존 협력 143
• 1. 집단적 자위권 144
• 2. 집단적 보복 146
• 3. 집단적 귀속 149
• 4. 긴급피난 150
• 5. 제3국의 책임추궁 151
• 6. 원조 및 지원 152
• 7. 파견 157
• 제 5 절 소결 160
• 제 4 장 사이버공간의 제3국 대응조치 162
• 제 1 절 사이버공간의 제3국 대응조치 관련 규범 논의 162
• 1. 용어의 정리 162
• 2. 각국의 입장 164
• 1) 대세적 의무 위반에 대한 사이버 제3국 대응조치 166
• 2) 피해국의 ’요청’에만 의한 사이버 위임 대응조치 170
• 3) 사이버 제3국 대응조치에 대한 유보 입장 171
• 4) “Specially affected states” 적용 논의 173
• 3. 국가실행 178
• 4. 위임 대응조치(Proxy countermeasures) 180
• 제 2 절 대세적 의무와 공동체 이익 188
• 1. 조약법상 의무의 분류와 국가책임법상 의무의 분류 189
• 2. 국가책임의 이행규정상 의무의 분류 190
• 1) 양자의무 190
• 2) 다자의무 191
• (1) 상호의존적 의무 192
• (2) 대세적 의무(obligations erga omnes) 193
• (3) 당사국간 대세적 의무(obligations erga omnes partes) 196
• 3. 대세적 의무의 식별과 공동체 이익 199
• 1) ICJ와 ILC를 통한 식별 200
• 2) 실체적 접근법과 구조적 접근법 201
• 3) 공동체 이익 205
• 제 3 절 사이버공간의 대세적 의무 검토 208
• 1. 무력사용 금지 의무 209
• 1) 무력사용 금지 의무 규정 209
• 2) 사이버공간에의 적용 210
• (1) 결과 중심적 접근법의 한계 211
• (2) 표적 중심적 접근법의 한계 212
• 3) 무력사용 기준의 한계 214
• 2. 무력위협 금지 의무 215
• 1) 무력위협 금지 의무의 개념 216
• 2) 무력위협 금지 관련된 ICJ 판례 217
• 3) 사이버공간에서의 무력위협 219
• 4) 사이버공간의 무력위협으로 인한 제3국 대응조치 검토 221
• 3. 주권 존중 의무 223
• 4. 국내문제 불간섭 의무 229
• 5. 제노사이드 금지 의무 230
• 6. 상당주의 의무 232
• 1) 상당주의 의무 원칙 232
• 2) 사이버공간의 상당주의 의무 234
• 3) 상당주의 의무의 대세적 의무 여부 검토 242
• 제 4 절 사이버공간에서의 제3국 대응조치 적용의 한계 246
• 제 5 장 핵심기반시설을 위한 협력 대응 모색 249
• 제 1 절 핵심기반시설 보호를 위한 제도 논의 249
• 제 2 절 핵심기반시설 보호를 위한 규범 252
• 1. 핵심기반시설의 보호 252
• 1) 핵심기반시설 252
• 2) 각국의 정의 및 법안 254
• 2. 핵심기반시설 보호를 위한 비구속적 규범 260
• 1) 비구속적 사이버 규범의 법적 의의 260
• 2) 핵심기반시설 보호와 관련된 규범의 내용 261
• (1) 규범 (f): 핵심기반시설에 대한 사이버공격 금지 262
• (2) 규범 (g): 자국의 핵심기반시설 보호 266
• (3) 규범 (c): 타국의 핵심기반시설 보호를 위한 상당주의 267
• (4) 규범 (h): 핵심기반시설 피해에 대한 협력 269
• 제 3 절 핵심기반시설 보호를 위한 사이버 협력 및 대응조약 구상 276
• 1. 조약의 목적과 전문 277
• 2. 핵심기반시설 보호에 대한 공동의 이익 278
• 3. 규율 대상 281
• 1) ICT 행위 281
• 2) 핵심기반시설의 정의 282
• 3) 핵심기반시설의 분류 284
• 4. 당사국의 주요 의무 286
• 1) 핵심기반시설 공격 및 지원 금지 287
• 2) 상당주의 의무 288
• 3) 지원국의 개입을 수용할 의무 291
• 5. 지원국이 이행조치를 취할 권리 295
• 1) 의의 295
• 2) 이행조치 수단 297
• 3) 지원국 이행조치 요건으로서의 피해 평가 기준 299
• (1) 미국 300
• (2) EU 302
• (3) 중국 304
• (4) 지원국 이행조치를 위한 피해 평가 기준 304
• 4) 그 외 이행조치 적용 요건 306
• (1) 이행조치 전 통고 307
• (2) 지원국 이행조치의 목적 308
• (3) 비례적 조치 309
• (4) 금지되는 조치 309
• (5) 이행조치의 종료 310
• (6) 증거 제시 의무 311
• 6. 조정 위원회 및 중재재판소 312
• 제 6 장 결 론 316