[논문 리뷰] Internet Attacks: A Policy Framework for Rules of Engagement

William Yurcik, D. Doss|ArXiv.org|2001. 09. 24.

Network Security and Intrusion Detection참고 문헌 4인용 수 3

한 줄 요약

이 논문은 국제법과 국가안보의 맥락에서 법적, 전략적, 운영적 과제를 분석하면서 사이버 공격에 대응하기 위한 정책 프레임워크를 제안한다. 주요 권고 사항 네 가지를 제시한다: 사이버 공간에서 '력사용'과 '무력공격'을 정의하고, 공격 조사 및 기소에 대한 국제적 협력을 가능하게 하며, 공격적 및 방어적 사이버 능력 간 균형을 이루고, 위기 상황에서 반응적 의사결정을 피하기 위해 사전에 계획된 전략적 대응 체계를 마련한다.

ABSTRACT

Information technology is redefining national security and the use of force by state and nonstate actors. The use of force over the Internet warrants analysis given recent terrorist attacks. At the same time that information technology empowers states and their commercial enterprises, information technology makes infrastructures supported by computer systems increasingly accessible, interdependent, and more vulnerable to malicious attack. The Computer Security Institute and the FBI jointly estimate that financial losses attributed to malicious attack amounted to $378 million in 2000. International Law clearly permits a state to respond in self-defense when attacked by another state through the Internet, however, such attacks may not always rise to the scope, duration, and intensity threshold of an armed attack that may justify a use of force in self-defense. This paper presents a policy framework to analyze the rules of engagement for Internet attacks. We describe the state of Internet security, incentives for asymmetric warfare, and the development of international law for conflict management and armed conflict. We focus on options for future rules of engagement specific to Information Warfare. We conclude with four policy recommendations for Internet attack rules of engagement: (1) the U.S. should pursue international definitions of "force" and "armed attack" in the Information Warfare context; (2) the U.S. should pursue international cooperation for the joint investigation and prosecution of Internet attacks; (3) the U.S. must balance offensive opportunities against defensive vulnerabilities; and (4) the U.S. should prepare strategic plans now rather than making policy decisions in real-time during an Internet attack.

연구 동기 및 목표

• 비상 국가 인프라와 상업적 시스템을 대상으로 하는 사이버 공격의 증가하는 위협에 대응하기 위해.
• 특히 힘의 사용 및 자위권 원칙을 포함한 국제법의 적용이 사이버 작전에 어떻게 적용될 수 있는지 분석하기 위해.
• 정보전에서의 작전 원칙을 위한 체계적인 정책 프레임워크를 개발하기 위해.
• 사전 정책 개발을 권고함으로써 미국의 사이버 갈등에서 전략적 의사결정을 이끌기 위해.
• 국가안보 계획에서 공격적 사이버 능력과 방어적 취약성 간 균형을 이루기 위해.

제안 방법

• 프레임워크는 특히 유엔 헌장과 자위권의 기준이 되는 '무력공격' 개념을 포함한 기존 국제법 분석에 기반한다.
• 비정부 및 국가 행위자에 의한 비대칭 사이버 전쟁의 유혹 요인과 인터넷 보안의 현황을 평가한다.
• 컴퓨터 보안, 국가안보 정책, 국제관계 이론의 통찰을 통합하는 접근 방식을 취한다.
• 사이버 갈등에 특화된 작전 원칙을 평가하기 위해 정책 분석 모델을 적용한다.
• 핵심 정책 격차를 특정하고 전략적 및 법적 고려사항에 기반한 실행 가능한 권고안을 제안하는 방법을 포함한다.
• 실시간 위기 의사결정이 아닌 사전 예측 전략 계획 수립의 필요성을 강조한다.

실험 결과

연구 질문

• RQ1 국제법 하에서 사이버 공간에서 '무력공격'은 무엇을 의미하는가?
• RQ2 국제법은 어떻게 국가 및 비국가 행위자의 사이버 작전을 규율하기 위해 개선될 수 있는가?
• RQ3 공격적 사이버 능력과 방어적 사이버 능력 간의 전략적 및 운영적 영향은 무엇인가?
• RQ4 국가들은 국경을 초월한 사이버 공격 조사 및 기소에 어떻게 협력할 수 있는가?
• RQ5 갈등을 악화시키지 않으면서도 즉각적이고 합법적인 대응을 가능하게 하는 정책 프레임워크는 무엇인가?

주요 결과

• 2000년 기준 악성 사이버 공격으로 인한 재정적 손실은 약 3억 7,800만 달러로 추정되며, 이는 점점 증가하는 경제적 위협을 보여준다.
• 모든 사이버 공격이 국제법 하에서 '무력공격'의 기준을 충족하는 것은 아니며, 이는 자위권을 정당화하는 데 제한을 둔다.
• 미국은 사이버 작전 맥락에서 '력사용'과 '무력공격'의 국제적 정의를 추진해야 한다.
• 사이버 공격에 대한 공동 조사 및 기소에 있어서 국제적 협력은 책임성과 위축력 확보를 위해 필수적이다.
• 미국은 핵심 인프라가 보복 공격에 노출될 위험을 감안하여 공격적 사이버 능력과 균형을 이루어야 한다.
• 사이버 갈등에 대한 전략적 계획은 활발한 공격이 발생하는 동안이 아니라 사전에 수립되어야 한다.