A Study on the Japan's Cybersecurity and Active Cyber Defense Legislation

일본은 2010년대부터 일련의 중대한 사이버 침해 사고를 겪으면서 사이버안보의 중요성을 절감하고 2014년 11월에 사이버보안 기본법(サイバーセキュリティ基本法) 제정을 통해 국가사이버안보 체계의 기틀을 마련하였다. 동법은 법적 권한을 가진 컨트롤타워가 수립됨에 따라 사이버안보기능이 통합되고 일관된 국가전략하에 체계적인 정책추진이 가능하게 되었다. 민관정보 공유 및 협력체계가 구축되었으며 사이버보안에 관한 법적·재정적 안정성을 토대로 사이버 보안 정책 추진의 실효성을 담보하는 계기가 되었다.<br/> 이후 일본은 2025년 기존의 ‘수동적 방어’ 패러다임에서 벗어나 ‘능동적·공세적 대응’을 핵심으로 하는 ‘능동적 사이버 방어법’(Active Cyber Defense Law, ACD 법)을 통과시키며 국가 사이버안보 전략의 변화를 예고하고 있다. ACD 법은 날로 심각해지는 사이버 위협에 대응하기 위해, 정부가 직접 위협을 사전에 탐지하고, 공격의 징후가 명확할 경우 공격자의 서버에 접근하여 이를 무력화하는 선제적 조치를 취할 수 있도록 법적 권한을 부여한 것이다. ACD 법은 구체적으로 ‘사이버 대처능력 강화법’(「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律」)의 제정과 경찰관 직무집행법과 자위대법 등을 개정하는 ‘정비법’이라는 두 개의 영역으로 나누어 볼 수 있다.<br/> ACD 법의 주요 내용은 우선, 사이버 위협에 대응하기 위한 민관연대의 강화이다. 사이버 공격에 효과적으로 대응하기 위하여 정부와 민간, 주요 인프라 사업자 간의 협력을 법적으로 강제하여 사이버 정보에 대한 신고와 보고의무를 지우고 이를 공표하거나 주지하도록 하였다. 또한 민감한 위협 정보를 공유하고 대책 마련을 위한 협의회를 조직하도록 하였고 사이버에 발생하는 위협의 취약성에 대한 대응 방법을 마련하였다. 다음으로, 통신정보의 이용에 관한 사항으로 정부가 사이버 공격의 징후를 탐지하기 위하여 민간 통신사업자가 관리하는 통신정보를 취득하고 이용할 수 있도록 허용하는 내용이다. 나아가 정부는 국가안보에 중대한 위협이 예상되는 등 긴급한 경우에는 동의 없이도 자동화된 방법에 의하여 공격과 관련된 것으로 의심되는 기계적 정보를 선별하여 수집할 수 있도록 하고 있다. 이러한 통신정보이용의 적정 확보를 위하여 내각총리대신 소관에 사이버통신정보 감리위원회를 설치하도록 하고 있다. 그리고 관련 법령의 정비에 의하여 정부가 탐지된 공격 서버에 직접 접근하여 위협을 제거하는 무해화 조치를 실행하는 법적 근거를 마련한 것이다.<br/> 한국은 일본의 경험을 참고하여, 우선적으로 국가 사이버안보 기본법 제정을 할 필요가 있다. 이를 통해 분산된 대응체계를 통합하고 컨트롤타워의 법적 기반을 마련해야 한다. 아울러 사회적 합의를 바탕으로 능동적 방어의 개념과 범위를 정립하고, 엄격한 통제장치를 갖춘 한국형 능동적 방어 모델을 단계적으로 구축해 나가야 한다.