미국 정보기관 제로데이 취약성 대응 활동의 법정책적 시사점 (A Study on the Law and Policy Implications arising from U.S Intelligence Agency's Activities on Zero-day Vulnerability)

서지정보

· 발행기관 : 미국헌법학회
· 수록지 정보 : 미국헌법연구 / 30권 / 2호 / 143 ~ 185페이지
· 저자명 : 오일석

초록

제로데이 취약성(Zero-day vulnerabilities)은 소프트웨어 개발 회사들이 인지하지 못하여 아직 패치가 개발되지 않은 취약성을 말한다. 이 취약성에 대응하거나 패치를 개발할 시간적 여유가 아예 없으며 모두가 지금 현재 취약하다는 점에서 이를 제로데이 취약성이라 한다. 제로데이 취약성을 이용한 사이버공격은 마치 레이더에 탐지되지 않는 스텔스 전투기를 이용하여 상대방의 중심부에 침투한 다음 치명적인 공격을 감행하는 것과 같다. 이러한 점 때문에 국가기관과 관련 기업들은 시장에서의 거래를 통해 제로데이 취약성 관련 정보를 축적하고 관리하고자 한다.
제로데이 취약성 거래 시장은 공개(White), 지하(Black), 회색(Gray) 시장으로 이루어져 있다. 공개 시장에서의 제로데이 취약성 가격은 회색시장이나 지하시장에 비하여 상대적으로 낮기 때문에 심각한 사이버공격을 초래하는 제로데이 취약성 정보가 거래되는 경우는 매우 드물다. 적성 국가나 조직범죄, 테러집단이 지하시장을 이용하여 제로데이 취약성을 이용한 사이버공격을 감행하는 경우 국가는 심각한 안보위기 상황에 직면할 수도 있다. 각국은 회색시장에서 제로데이 취약성 거래를 통해 사이버공간에서의 지배력과 억지력을 확보하고자 하고 있다. 그런데 이러한 활동은 첩보 정보를 수집하고, 테러정보를 식별하며 조직범죄에 대응하고 있는 정보기관에 의하여 수행되는 것이 유리하다. 그렇지만 정보기관의 제로데이 취약성 관련 활동에 대하여는 의회가 예산권 행사와 민주적 정당성의 측면에서 통제할 필요가 있다.
우리나라도 국가정보원으로 하여금 제로데이 취약성 정보에 대한 수집과 관리 등을 수행하도록 하여 국가적 사이버안보 위협에 대응하도록 하는 것이 긴요하다. 이 경우 국가정보원의 제로데이 취약성 관련 사이버안보 활동에 대한 감시와 통제도 강화할 필요가 있다. 따라서 국민의 대표기관이며 예산 심사권을 갖는 국회로 하여금 국가정보원의 이러한 활동을 감시･통제하도록 하는 것이 바람직하다.
이를 위하여 우선 ‘제로데이 취약성 정보공유 체계’를 구축하고, 국가정보원 내에 ‘제로데이 취약성지원센터(가칭)’를 설립하는 것을 고려할 필요가 있다. 또한 국가정보원의 제로데이 취약성 관련 모든 활동에 대하여는 국회에 보고하도록 할 필요가 있다.

영어초록

Zero-day vulnerability is a flaw that is unknown to the party or parties, especially the software vendors, responsible for patching or fixing it. Zero-day means there is no time to patch or cure it between the vulnerability is discovered and the first attack. Cyber attacks using Zero-day vulnerabilities would be attacks using stealth fighters in the physical battel field. Cyber attacks using Zero-day vulnerabilities would make great damages against business operations, critical infrastructures and national security interest. Therefore government authorities and business entities would like to collect, control and maintain Zero-day vulnerabilities.
To do this, these authorities and entities would like to trade Zero-day vulnerabilities in white, black or gray markets. However in white market it is very difficult to acquire critical or vital Zero-day vulnerabilities because of the cheap price. In the black market hackers can trade critical or vital Zero-day vulnerabilities to terrorists, terror organizations or adversary countries, which can use it in the cyber attacks threatening national security interests.
Therefore advanced countries such as U.S.A. would like to establish deterrence and governance in cyber space by trading Zero-day vulnerabilities in gray markets. Intelligence authorities have confronted with the organized crimes, terrorist and terrorist organizations. Therefore intelligence authorities shall collect, cumulate and maintain Zero-day vulnerabilities in gray markets by purchasing them. However intelligence authorities activities related with Zero-day vulnerabilities shall be controlled by congress allocating budgets with democratic justice.
To confront and respond national crisis in cyber space arising from Zero-day vulnerabilities in Korea, it shall be considered establishing a policy that National Intelligence Service(NIS) should have an important role in collecting, cumulating and controling Zero-day vulnerabilities. However NIS's activities in this field shall be directed or supervised by National Assembly allocating budgets with democratic justice.
To support the NIS activities and to make National Assembly's supervision, it is necessary to establish national wide governance system and revising or enacting laws and regulation. We recommend to establish ‘the Zreo-day Vulnerability Information Sharing System’ in government authorities, and to establish so called ‘the Zero-day Vulnerability Assist Center’ in NIS. In this case NIS shall report its activities to National Assembly.

참고자료

· 없음