미국 정부가 자국민을 겨냥하는 해외 사이버 범죄 조직을 상대로 민간 기업이 직접 공격적인 사이버 작전을 수행할 수 있도록 하는 새로운 프로그램을 출범한다. 그동안 주로 정부 기관이 맡아왔던 해외 사이버 공격에 기술 기업을 공식적으로 참여시키는 것으로, 미국의 국가안보 사이버 작전 체계에 상당한 변화가 예상된다.

백악관은 도널드 트럼프 미국 대통령이 12일(현지시간) ‘초국가적 사이버 범죄 대응 역량 확대’에 관한 국가안보 대통령 각서에 서명하고 관련 프로그램을 추진하도록 지시했다고 발표했다. 새로운 프로그램은 국토안보부(DHS)가 운영하며 법무부와 협력해 감독하게 된다.

연방정부의 직접적인 통제와 감독을 받는 민간 기업들은 미국인을 대상으로 활동하는 외국 사이버 기반 초국가적 범죄 조직을 감시하고 이들의 활동을 방해하기 위한 공격적인 사이버 작전을 수행할 수 있게 된다. 이는 사이버 범죄 대응을 정부 기관의 전유물로 두지 않고 민간의 전문 인력과 기술을 국가안보 작전에 적극 활용하겠다는 의미다.

이번 조치는 트럼프 행정부가 수개월 동안 준비해 온 민관 사이버 작전 확대 구상을 공식화한 것이다. 사이버 범죄 조직의 공격이 국경을 넘어 빠르게 확대되는 상황에서 민간 기업이 보유한 사이버보안 기술과 인력을 활용하면 미국의 대응 능력을 크게 확대할 수 있다고 보고 있다.

일부에서는 이번 제도를 19세기 미국에서 정부가 민간 선박에 적국이나 해적을 공격할 수 있는 권한을 부여했던 ‘사략선(privateer)’ 제도에 빗대 ‘사이버 레터 오브 마크(cyber letters of marque)’라고 표현하고 있다. TRM랩스의 정부 업무 책임자인 아리 레드보드는 정부가 민간 기업에 사실상 사이버 작전 수행을 위한 허가장을 발급하는 것과 비슷하다고 평가했다.

수행할 수 있는 작전에는 해외 사이버 범죄 조직에 대한 정보 수집과 감시뿐 아니라 실제 사이버 공격을 통한 활동 방해도 포함된다. 대상은 미국을 상대로 사이버 공격과 범죄를 벌이는 외국의 초국가적 범죄 조직으로 한정된다.

통제 장치도 마련된다. 프로그램에 참여하려는 기업은 최소 100만달러 규모의 보증금이나 결제대금예치(에스크로)를 유지해야 하며, 계약상 의무를 위반하면 해당 금액을 몰수당할 수 있다. 이를 통해 독자 행동을 제한하고 정부의 감독 아래 작전을 수행하도록 한다는 취지다.

이번 정책을 둘러싸고는 논란도 예상된다. 작전 과정에서 예상하지 못한 피해가 발생하거나 다른 국가와의 사이버 갈등이 확대될 가능성이 있기 때문이다. 특히 제3자 시스템이나 무관한 국가의 인프라에 영향을 미치면 책임 소재를 둘러싼 문제가 발생할 수 있다는 우려가 제기돼 왔다.

반면 찬성론자들은 사이버 범죄의 규모와 속도가 정부만으로 대응하기 어려운 수준에 이른 만큼 민간의 전문성을 적극 활용해야 한다고 주장한다. 사이버보안 기업들은 범죄 조직의 인프라와 공격 수법, 암호화폐 자금 흐름 등을 정부 기관보다 빠르게 추적할 수 있는 기술과 데이터를 보유하고 있다는 이유에서다.

박찬 기자 cpark@aitimes.com