Transcription

1 Internet and Information Security 제 1 권제 2 호 (2010 년 11 월 ) pp.64~82 사설무선랜보안과활성화의조화를위한법적의무와책임 Legal Obligation and Responsibility for the Balance between Security and Promotion of Private Wireless LAN 오병철 Byoung-Cheol Oh 초록민간분야무선랜에대해서는사적자치의원칙을적용하여, 무선랜보안을자율적으로시행하는것을원칙으로한다. 사설무선랜소유자에게일률적으로접속인증조치를취할의무를법적으로부과하는것은타당하지않다. 개방된무선랜소유자는, 정당한방법으로무해하게사용하는한도에서는, 자신의 AP를타인도자유롭게이용할수있게한다는묵시적의사가있는것으로해석되어야한다. 설령개방된 AP에제3자가 AP 보유자의묵시적의사에반하는위법행위를하는경우에도 AP 보유자는위와같은묵시적의사가존재하므로제3자의불법행위에대하여공동불법행위책임을지지않는다. 다만자신의 AP에제3자가위법한목적의접속을할것이라는구체적인인식이존재하는경우에는예외적으로보안설정의의무를인정할수있을것이다. 민간부문의무선랜보안을확보하는가장용이한정책수단으로는, AP 제작자에게보안기능을 AP에반드시내장시키고이용자에게보안설정방법을이해하기쉽게알려주며, 경우에따라서는공장출하시보안설정이된상태로출하할의무를부과하는것도고려한다. 주제어 : 무선랜, 보안, 암호화, 인증, 정보통신망, 정보보호, 스마트폰, Wi-Fi Abstract This paper examines the positive and negative impacts on our society of strengthening wireless LAN security requirements, and investigates those security issues from the legal standpoint of the wireless access point owners and users. Based on our study, we suggest legislation and policy-making strategies for wireless LAN security in the private sector. It is desirable for the AP owners to secure their AP by themselves, and let customers know how to set up security functions. The best measure for wireless LAN security is to impose a duty on manufacturers to release their products with security settings on by default. Keywords: wireless LAN, security, encryption, authentication, information and communication network, information security, smartphone, Wi-Fi 논문접수일 : , 논문수정일 : , 게재확정일 : 이논문은한국인터넷진흥원연구보고서 해외무선랜보안법제도연구 (KISA-WP ) 의내용을수정 보완한것입니다. 연세대학교법학전문대학원교수 (Professor, Law School, Yonsei University, windoh@yonsei.ac.kr) 년 11 월호

2 사설무선랜보안과활성화의조화를위한법적의무와책임 I. 서론 1. 무선랜환경의변화 무선인터넷접속을가능하게하는이른바무선랜, 즉 Wi-Fi가우리나라에도입된지는 2000년이후부터로 10년정도되었지만, 그리활성화되어있지않았다. 그러다가 2009년겨울스마트폰이우리나라에도입되면서무선랜에대한사회적인인식이변화되어주목을끌게되었고, 무선랜의수요와공급이급격하게확산되었다. 이와같은급격한변화를가져오기까지우리나라에서무선랜에대한인식이극히저조하였던이유는몇가지로분석해볼수있을것이다. 첫째로무선랜에접속하여인터넷에접속할디바이스가제대로보급되지않았다는점을들수있다. 노트북을제외하고무선랜에접속할수있는디지털디바이스라고는, 거의미미한수준으로보급되어있는스마트폰과 PSP와같은휴대용게임기및이미사양길에접어든 PDA 정도가전부였다. 또스마트폰을이용해서 Wi-Fi에접속하기위한설정은기술에대한이해도가낮은일반인으로서는매우어려운것이었으며, 스마트폰자체도간편하게무선랜에접속할수있도록하드웨어나소프트웨어가설계되어있지않았다. 또노트북은그부피의제약으로인해일상적으로휴대하는것이불가능하였고, 학교, 회의장, 소수의시설에서특정한용도로제한적으로무선랜을사용할뿐이었으므로사회전반에걸친주목의대상이되지못하였다. 이는무선랜의수요측면의장애요인이라고할수있다. 둘째로무선랜을제공하는 AP(Access Point) 의보급이충분하지않았다. 우리나라인터넷접속의대부분을차지하는가정내초고속통신망에개인이공유기를설치하는경우는매우빈번하지만, 가정내에서굳이무선으로인터넷접속을할필요성을느끼지않았으므로초기에유선공유기의보급은매우활발한반면무선공유기의보급은충분하지아니하였다. 또개방된장소에서의 Hotspot 역시수도권을중심으로한인구밀집지역에국한된것이었을뿐, 전국적인범위를커버하는수준에이르지못하고있었다. 이는무선랜의공급측면의장애요인이라고할수있다. 셋째, 정책적으로휴대전화에서무선인터넷접속을하기위한방법으로 Wi-Fi를통한접속이아니라기간통신사업자가제공하는 WIPI 플랫폼을이용한접속을유도하여왔다. 그대표적인정책이모든휴대전화에 WIPI 탑재를의무화하는것이었다. 1) 그러나 WIPI는접속비용이매우높은수준이었으므로, 휴대전화를구입하자마자오히려 WIPI에접속하는기능을봉쇄하기에급급한정도로오히려무선인터넷접속에대한공포심을사회적으로확산시키는결과를낳게되었다. 이는무선랜의정책측면의장애요인이라고할수있다. 이와같은활성화장애요인으로인해사회적으로주목받지못하고있던무선랜에대한인식이변화되게된계기는매우우연한것이었다. 세계적으로높은상품성을인정받은스마트폰을우리나라에도입하기위해서가장중요한선결문제는당시로서는의무화사항이었던 WIPI 포함여부에관한논란이었다. WIPI 포함을거부하는애플社로인해논란이확산되던중결국 2008년 12월방송통신위원회가국내유통되는휴대전화의 WIPI 지원의무화규정을폐지할것을발표하여, 1) 2005 년 4 월 1 일, 당시정보통신부는 전기통신설비상호접속기준 을개정하여대한민국에서판매되는이동통신휴대단말에는 WIPI 플랫폼이의무적으로탑재되도록결정하였다. Internet and Information Security 65

3 IIS 제 1 권제 2 호 2009년 4월 1일이후발매되는휴대전화는 WIPI 운영체제를지원하지않아도무방하게되었다. 2) 이로써특정스마트폰이우리나라에도입될수있는선결문제가해결되어 2009년 11월말공식적으로발매된이후빠른속도로판매량이증가하였다. 스마트폰은무선랜신호를검색하여매우간편하게자동으로접속상태를유지하는장점을갖고있어서무선랜을이용할수있는일상휴대용디바이스의보급이이루어지게되었다. 또스마트폰의장점인애플리케이션의설치와실행을위해서는무선인터넷접속이요구되는데, 유상의 3G 네트워크를통한접속보다는무료 Wi-Fi 무선랜을통한접속에대한사회적관심이높아지게되었고, 이에부응하여 Hot-spot의무상접속과같은영업전략 3) 이시행됨으로써무선랜의사회적수요와공급이급속히팽창하게되었다. 무선랜에대한사회적인식의변화의배경에는이러한스마트폰과같은무선랜을수요로하는디바이스보급뿐만아니라유선초고속인터넷네트워크가이미잘구축되어져있다는점도자리잡고있다. 무선랜은 Wi-Fi 단말기와 AP 구간이무선으로구축되는것이고 AP 이후의노드는유선으로구성되는것이일반적이므로, 유선초고속인터넷네트워크가완비되어있지않으면무선랜의공급은현실적으로크게제약을받게된다. 거의모든가정과사무실에초고속인터넷이보급되어있는상태에서불과 3~4만원에도구입이가능한 AP를연결하는무선랜공급은개인적인차원에서도충분히가능하게되었으므로무선랜의사회적인식의변화가매우신속하게이루어질수있었다. 초고속통신망사업을통해정액제로무제한유 선인터넷접속이가능하게함으로써전국민이인터넷을일상적으로사용할수있는환경을조성했던것처럼, 무선랜에대한사회적관심의증가는무료또는낮은비용으로무선인터넷접속을가능케하는 IT 환경을조성하는중요한계기가될것이다. 이로서무선인터넷활용에한해서는선도적인지위를확보하지못했던우리나라의사회적기반에일대변혁이이루어지게되었다. 2. 무선랜보안과활성화와의상관관계무선랜의보안의사회적관심이높아진다고해서무선랜의보안수준을높이는것만이능사라고할수는없다. 왜냐하면무선랜의보안과무선랜의활성화와의관계는매우복잡하고미묘하기때문이다. 우선접속인증을강화하게되면무선랜활성화에부정적인영향을줄가능성이있다. 예를들어, 무선랜보안을위해반드시엄격한인증절차를요구하면, 무선랜에접속할수있는디바이스를보유하고있다고하더라도특별히허가받은경우가아니면일상생활에서언제어디서든지원하는대로무선랜에접속하는것은불가능하게된다. 또무선랜을통해주고받는데이터의암호화를위해서는 AP와디바이스모두하드웨어적 소프트웨어적으로복잡한설비가필요하고높은비용과노력이수반되므로활성화에지장을주게될것이다. 즉, 무선랜의보안과활성화는반비례관계에있을가능성도있다. 반대로보안을강화함으로써무선랜의안전에대한신뢰가높아져서활성화를도모할가능성도고려해볼수있다. 즉, 무선랜의보안과활성화는정비례관계에있을수도있기때문이다. 만약무 2) ( 검색 ) 3) iphone 에한하여 KT 가운영하는 Netspot 에 Mac 인증을통해무상으로접속이가능하다 년 11 월호

4 사설무선랜보안과활성화의조화를위한법적의무와책임 선랜의보안이확보되지않아서무선랜을통해서주고받는데이터를가로채거나변조가가능하다면, 신뢰성에대한불안감으로인해무선랜을이용하는것을꺼리게될것이다. 무선랜을통해주고받는데이터의보안이확보되고그에대한신뢰가사회에서인정될때안심하고자유롭게무선랜을이용하는환경이조성될수도있을것이다. 따라서무선랜의보안과활성화와의이러한미묘한상관관계를조화시키는무선랜보안정책이요구된다. 마지막으로, 무선랜보안과활성화의관계에서보면, 무선랜의활성화를위해요구되는보안의수준은경우에따라서정반대일수도있다. 무선랜을통해이용하는서비스의종류에따라서무선랜보안의정도가결정되어야한다. 먼저, 공개된 UCC 를감상하거나신문이나관광정보와같이일방향으로콘텐츠를제공받는경우이거나콘텐츠가보안을요하지않는경우에는구태여높은보안수준을요구하지않을것이며, 보다싸고간편하며신속한접속을선호할것이다. 반면에인터넷뱅킹이나인터넷쇼핑, 전자정부를위한서비스등의경우에는매우높은수준의보안을필요로한다고할것이므로, 간편하고신속한접속보다는번거롭더라도안전한접속을오히려선호할것이다. 그러므로정책적인측면에서엄격하게구별할수있다면, 무선랜을통해이용하고자하는서비스의종류에따라서그보안의수준을달리하는차별화방안을모색할필요가, 특히공공부문의무선랜에서강조될것이다. 3. 무선랜공급주체의구분무선랜보안정책을수립하기위한구조의큰틀은무선랜을운영하는주체가누구인가를구별하는것이다. 무선랜보안을위해서는무선랜이용자들의올바른이용도중요하지만, 보안이라는것 은어차피일탈적행동을자행하는자들의침해행위를전제로하여이로부터보호하는것이핵심이므로, 무선랜을공급하는자에게어떠한안전대책을마련하도록할것인가 에정책이집중되어야할것이다. 특히무선랜보안을위해공급자가어떠한조치를하도록강제 ( 의무화 ) 또는유도할것인가에무선랜보안정책의내용이형성될것이므로, 무선랜운영주체가누구냐에따라서어떠한형태의정책이수립되어야할것인가를구분하여야할것이다. 먼저무선랜보안을위해무선랜운영및공급주체가민간인가아니면공공인가로구분되어야할것이다. 당연히민간이주체가되는경우에는국가의정책은최소한의개입에머물러야하는것이법이론상의원리인동시에규제개혁이라는가치에도부합하는것이다. 반면에공공이주체가되는경우라면특별권력관계에따라서심도있는통제가가능하게되고, 또공익적관점에서보안이조명되어야할것이다. 민간이운영및공급주체가되는무선랜의경우에도민간의스펙트럼이매우다양하므로보안정책은차별화되어야한다. 예를들어 KT나 SKT와같은영리목적의대기업인기간통신사업자가무선랜을공급하는것과개인이가정에무선공유기를임의로부착해서무선랜을공급하는것을동일하게다루어서무선랜보안정책을적용하여서는안될것이다. 민간부문은정보통신망법에서정보통신서비스제공자로개념정의되는주체와정보통신서비스제공자에포함되지않는주체로구별하는것이실익있는구분이다. 왜냐하면정보통신망법은정보통신서비스제공자를주요수범자로상정하고규율하고있으므로, 정보통신서비스제공자에해당되지않는민간주체는정보통신망의이용자로서는몰라도제공자로서는특별한규율대상이되지 Internet and Information Security 67

5 IIS 제 1 권제 2 호 정보통신서비스제공자 Hot-spot 등공공장소 FMC 무선랜공급주체 민간부문 정보통신서비스제공자이외의주체 개인적목적의제공 비영리대규모공급 사설가정용 AP 카페, 음식점, 학원 공공부문 공공전용무선랜 민간접속이용공개무선랜 [ 그림 1] 무선랜공급주체의구분 못한다. 정보통신서비스제공자는전기통신사업자이자, 영리목적의정보제공자및정보제공매개자이므로비교적대규모의설비를갖춘영리기업이해당될것이다. 이러한기업들은높은수준의보안이유지되지않으면영리사업자체의존립이어려우므로자발적으로보안조치에최선을다할것이다. 그러나대학교, 도서관, 카페와같이불특정다수를상대로무선랜을공급하지만비영리인주체는보안의필요성은정보통신서비스제공자와별차이가없지만그개념에포함되지않는다는점에서보안에취약하게될가능성이높다. 따라서정책도이러한주체의구별에따른규율의차이를고려하여마련되어야할것이다. 산이므로그소유권자에게소유권이인정되며, AP 소유자는 AP의사용권능과수익권능그리고처분권능을보유하는것이원칙이다. 또무선랜 AP 소유자는 AP가발생시키는무선랜전파에대해서도소유권에준하는권리를갖는다고하여야할것이므로, 기기뿐만아니라특정기기가발생시키는특정신호에대해서도사용, 수익, 처분권능을보유한다고할것이다. 근대이래민법의최고원리인사적자치의원칙에따라사적소유권자는자유롭게그소유권을행사할수있기때문에 ( 김준호, 2008, pp.25-26), AP 소유자가 AP를어떻게사용, 수익, 처분할것인지는자신의자유의사에달려있는것이다. II. 민간부문의무선랜보안정책방향 1. 기본원칙 1) 사적자치의원칙 민간부문에서무선랜접속을위한 AP 는사유재 2) 공공복리등에의한제한사적자치의원칙의현대적변용에따라소유권절대의원칙은이미 소유권상대의원칙 으로수정되었고, 사유재산의소유권자라하더라도그소유권의행사는규범내재적한계를갖는것으로정리되었다. 특히헌법제23조 2항에서 재산권 년 11 월호

6 사설무선랜보안과활성화의조화를위한법적의무와책임 의행사는공공복리에적합하도록하여야한다. 라고명시함으로써소유권의행사도공공복리를침해하지않는한도에서만인정될수있게되었다. 따라서 AP 보유자의재산권행사도공공복리에적합한한도에서만가능한것이고, 공공복리에반하는 AP에대한권리행사는제한되어야하는것이사적자치의적용범위의한계라고할것이다. 또한 AP를개방된상태로두면, 이를통해제3자의권리를침해하는수단으로작용할위험을방지하는질서유지차원에서, 헌법제37조제2항에따라법률로소유권의제한을할수있는여지도있다. 따라서 AP 소유자라고해서무제한의재산권행사를주장할수있는것은아니다. 그러므로민간주체의사유재산인 AP에대한소유권행사가공공복리나질서유지에적합하지않은경우에국가가재산권행사에대한제한을가할수있으며, 민간부문의 AP에대한국가의통제와간섭이넓은의미의공공복리에적합한것이라면허용될수있다. 2. 접속인증 1) AP 보유자에대한정책방향 (1) AP 보유자의접속인증의무화여부무선랜보안을위한가장기초적인조치는접속을위한인증절차를두어, 제3자가임의로자유롭게무선랜에접속하지못하도록하는것이다. 물론무선랜 AP 보유자는스스로자신의 AP에접속인증을요구할것인가의판단을자유롭게하여, AP에기술적으로설정할수있다. 이와관련하여접속인증의가장뜨거운이슈는민간사설 AP 보유자가자신의 AP에패스워드등의접속인증절차를반드시설정하여임의의제3자가자유롭게무 선랜에접속하지못하도록하여야할의무를부과하여야할것인가이다. 2009년국정감사시사설 AP에대한보안강화가논란이되면서, 사설 AP에대해무단접속이불가능하도록접속인증을의무화하여야한다는주장이일각에서제기된바있다 ( 김효정, 2009). 이에대해무선랜의자유로운접속에대한제한은이용자의부담과이용활성화에역행하므로신중하게다루어져야한다는반론도제기된바있다 ( 김현아, 2009). 전술한바와같이 AP 보유자에게접속인증을의무화할것인가는사적자치의원칙을어느범위까지인정할것인가의정책적인사항이고, 접속인증을의무화해서는안되는법이론적근거는사적자치의원칙의고수로부터도출될수있는반면, 접속인증을의무화하도록하는법이론적근거는소유권행사의공공복리나사회질서유지라는사적자치의수정원리로부터도출될수있는것이다. 즉, 어떠한정책도법이론적근거가뒷받침되지못하는어불성설인것은아니다. 사설 AP 보유자의접속인증을의무화하는입법례는현재세계적으로찾아보기어려웠고, 또이에대해참고할만한의미있는판례도존재하지아니하였다. 그러나최근독일연방대법원에서사설 AP 보유자에게접속인증조치를의무화하는판결 (Sommer unseres Lebens Case) 4) 을내린바있다. 이는 AP보유자가제3자가그무선랜에접속하여위법한행위를할수없도록임의의무단접속을방지할수있는접속인증조치를취할의무를부담한다고명시적으로밝히고있다. 다만이접속인증조치를취할주의의무를위반하는바람에제3자가그무선랜에무단으로접속하여위법한행위를하더라도그위법한행위에대한책임 4) BGH, Urteil vom 12. Mai 2010, ZR 121/08. Internet and Information Security 69

7 IIS 제 1 권제 2 호 을부담하는것은아니고, 단지접속인증조치를취하지않은그자체에대해서만책임을부담한다고책임범위를제한적으로인정하고있다. 위의독일연방대법원의판단이과연우리의법이론에잘부합하는것인가는다음과같은점에서신중하게검토되어져야할것으로생각된다. 첫째, 사적자치의원칙적용이다. 사설 AP 보유자는자신의재산권을모든사람들이널리이용할수있도록할권리를보유하고있으므로, 자신의무선 AP에누구나접속할수있도록개방된상태를취할수있는자유를부정하기는어려울것으로생각된다. 둘째, 공공복리에의한소유권행사의제한에관한법리가사설 AP의보안의무화에도적용될수있는가의의문이다. 생각해보건대, 사설 AP 보유자의접속인증을의무화하는것은사유재산제에대한심각한침해가될가능성이높으며, 임의의제3자가자유롭게접속하여정당하게이용하는한도에서개방하겠다는의사로접속인증조치를취하지않는것이오히려공공의복리에적합한재산권행사라고이해되어야할것이다. 셋째, 사회부조적인관점의중요성이다. 소유권자가자기의재산을타인이널리이롭게사용할수있도록허용하겠다는의사는사회부조적인관점에서인정되어야하며, 이를위험발생가능성을이유로해서완전히제한하는것은지나친규제가아닐수없다. 다만자신의 AP가위법한행위의출발점이되고자하거나또는그러한위험에대한구체적인인식이있으면서도자신의무선랜을개방된상태로두겠다고하는것도허용되어서는곤란하다. 끝으로, 독일연방대법원판결이취하는, AP 보유자가접속인증조치를취할주의의무는위반하였으나제3자가그무선랜에무단으로접속하여행한위법행위에대한책임은부담하지않는다는법리는우리판례의태도와는상당한거리가있는것이다. 그간소리바다 P2P 사이트의저작 ( 인접 ) 권침해와관련한다수의판결 5) 에서 과실에의한타인의불법행위방조 ' 를예외없이인정해왔던것과조화를이루기는어렵다. 우리대법원판례의태도에따른다면, 6) AP 보유자에게집속인증조치를취할주의의무를부과할경우, 이를위반하면이에무단으로접속한제3자의위법행위에대해공동불법행위에따른연대책임을지울수밖에없을것이다. 이렇다면 AP 보유자가부담해야할불법행위책임의크기가합리적으로수긍할수있는범위를넘을가능성도높다. 즉, 무선랜소유자는자신의 AP를타인도정당한방법으로무해하게합법적으로사용하는한도에서는자유롭게이용하도록하겠다는묵시적인의사를갖고있는것으로이해되어야할것이다. 그리고이러한묵시적인의사가존재하는한도에서만무선랜을개방하는것이허용되어야할것이고, 독일의하급심판결과와같이자신의무선랜을이용하여타인의권리를침해하는행위가일어나는위험을구체적으로인식하는특별한경우에만자신의무선랜에대해보안조치를취해야할의무가존재하는것으로판단되어야할것이다. 따라서사설 AP 보유자에게일률적으로접속인증조치를취할의무를법적으로부과하는것은타당하지않고, 개방된상태로자신의 AP를두는 5) 대법원 선고, 2005 다 판결 ; 서울고법 선고, 2006 라 1245 결정 ; 서울중앙지법 선고, 2006 카합 1535 결정. 6) 대법원은 저작권법이보호하는복제권의침해를방조하는행위란, 타인의복제권침해를용이하게해주는직 간접의모든행위를가리키는것으로서복제권침해행위를미필적으로만인식하는방조도가능함은물론과실에의한방조도가능하다고할것인바, 과실에의한방조의경우에있어과실의내용은복제권침해행위에도움을주지않아야할주의의무가있음을전제로하여그의무를위반하는것을말하고, 위와같은침해의방조행위에있어방조자는실제복제권침해행위가실행되는일시나장소, 복제의객체등을구체적으로인식할필요가없으며실제복제행위를실행하는자가누구인지확정적으로인식할필요도없다. 라고판결했다 ( 대법원 선고, 2005 다 판결 ) 년 11 월호

8 사설무선랜보안과활성화의조화를위한법적의무와책임 것은 AP를타인이부당한방법으로접속하거나유해하고위법하게사용하는것을금지한다는묵시적인의사가전제된것으로해석하는것이타당하다고할것이다. (2) 이용자에대한고지의무위와같이 AP 보유자에대해서접속인증을의무화하는것은적절하지않지만, 개방된 AP에접속하는이용자에대해보안의중요성과위험성을고지하는것은무선랜보안을위해서필요할것이라생각된다. 다만이러한이용자에대한고지는사적인용도로사용하기위해서사설 AP를설치한개인에게까지부과할것은아니고, 카페나레스토랑등처럼불특정다수가수시로접속할가능성이높은 AP 보유자에대해서인정되어야할것이라고생각된다. 특히이러한 AP 보유자는 AP를통한무선랜접속제공그자체를영리로하는것은아닐지라도, 영업상의목적으로운영하는것이므로사적인목적으로 AP를설치한개인과는차별화되어야할필요가있다. 또정보통신서비스제공자는정보통신망법상의규정을통해어느정도보안조치를취할의무를직접부과할수있으나, 이러한주체들은정보통신서비스제공자에해당되지않으므로무선랜보안의사각지대에놓여있다고볼수있다. 따라서이러한이용자에대한고지의무를부과하는것은적절할것이며, 이를위해서는후술하는바와같이 ISP(Internet Service Provider) 와의계약관계를통해계약상의의무로부과하는것이바람직할것이라생각한다. (3) AP의무단설치의규율사설무선랜 AP의대부분은기간통신사업자가각가정에유선으로공급하는초고속통신망의단말에임의로무선 AP를설치하는경우에해당될것이다. 이경우개방된상태의무선랜공유기를설치하는것이 ISP 계약의위반으로다루어져야하는것은아닌가하는법적문제가발생한다. 만약 ISP 계약의약관에서무선랜공유기를설치하는것을금지하는내용이포함되어있다면법리상으로계약위반 ( 채무불이행 ) 이되는것은자명하다. 그러나현실적으로이미무단으로무선랜공유기를설치하는것이보편화되어있고, 기간통신사업자들도그사실을알면서도묵과하는것이일반적인거래현실이므로이제와서무선랜공유기를설치하였다는사실만으로채무불이행책임을묻는것은실효의원칙 7) 을적용하여신의칙에반하는것이라고해석될여지도없는것은아니다. 기간통신사업자와개인간의 ISP 계약의거래현실에서는일반적으로 ISP가 2개회선까지의단말설치는허용하고있으므로, 그한도내에서의 AP의설치는이용자의자유이다. 만약 3개이상회선의단말을설치하면별도의과금이이루어지게되고추가로단말을설치하는경우도추가 3대 ( 총 4대의단말 ) 까지만가능하며 8) 이를위반하는경우에는 ISP 계약을해지할수있는것이거래계의약관이다. 9) 생각해보건대, ISP 계약을체결한일반이용자들의행태를살펴보면대체로가정용초고속통신망에 1개의사설유 무선 AP를설치하여여기에 7) 실효의원칙이란신의성실의원칙의파생원칙중하나로서, 일정한기간동안권리가행사되지않아서의무자에게권리자가그권리를더이상행사하지않을것이라는정당한기대를갖게된경우에권리자가그권리를새삼행사하는것은신의칙상인정되지않는다는독일판례와학설에의해형성되었고, 우리판례와학설에의해수용되고있다 ( 김준호, 2008, p.54; 대법원 선고, 91 다 판결 ). 8) KT QOOK 인터넷서비스이용약관제 8 조 3 항, 별표 1 이용요금, 4. 부가서비스규정. 9) KT QOOK 인터넷서비스이용약관제 13 조 6 항 8 호. Internet and Information Security 71

9 IIS 제 1 권제 2 호 PC, 노트북, 스마트폰을유 무선으로연결해서사용하는것이일반적이라고할것이다. 이경우에 ISP 계약을위반한것이라고보기는어렵기때문에, 이용자들에게 ISP 계약위반을주장하기는용이하지않아보인다. 10) (4) 개방무선랜을통한위법행위에대한 AP 보유자의책임무선랜을개방된상태로둘것인가의여부는 AP 보유자의자유로운선택에두도록하고, 개방된무선랜에접속하여정당한방법으로무해하게합법적으로사용하는것은적법한것으로정당화된다고하더라도, 개방된무선랜에제3자가접속하여위법한행위를추가적으로하는경우에는다른관점에서검토되어야할것이다. 이에관한사례들을살펴보면, 공개된무선랜에접속하여타인의데이터센터에접근한뒤, 신용카드정보유출을시도하고일부신용카드정보를저장시켜둔상태에서적발된경우, 해킹에대한책임을물어미국연방항소심이징역 9년을선고한판례 (United State Court of Appeals for the Foruth Circuit, No ) 11) 가있으며, 공개된무선랜에접속하여스팸을발송하여추적을회피하려한사례에대해서도미국연방스팸금지법위반으로유죄선고를한바있다 (Leyden, 2007). 이와같이, 타인의공개된무선랜에접속하여위법한행위를한자에대해서범죄로처벌하는것은극히자연스러운것이다. 그러나우리나라의경우에는이러한사례가보고된바도없고, 판례는더욱이찾아볼수없다. 다만 2008년 5월은행의무선인터넷공유기를해킹해관리자아이디와 패스워드를탈취하려던피의자가경찰에체포된언론보도가있었을뿐이다 ( 매일경제TV, 2008). 문제는이러한경우에무선랜을개방된상태로두어서타인이위법행위를할수있는환경을조성한 AP 보유자에게책임을부과할수있겠는가하는점이다. 이문제는법적으로는매우까다로운것이다. 그이유는민법제756조의공동불법행위의하나의유형으로불법행위자의불법행위에기여한일체의행위인방조에의한불법행위도공동불법행위로서불법행위자와동일한책임을연대하여부담하도록되어있으며, 판례 12) 에따르면과실에의한방조도가능하다고인정하고있으므로 AP 보유자도위법한행위를한접속자와연대하여불법행위책임을부담해야한다고볼여지도있다. 특히과거 P2P 서비스제공자가업로더와다운로더의불법행위를방조한것으로보아공동불법행위책임을지워온우리나라판례 13) 의경향을살펴보면, 무선랜을개방된상태로두어제3자가불법행위를할수있는여건을결과적으로조성하는것을위법하다고볼가능성도배제할수없다. 전술한독일연방대법원판례에서는공개된무선랜에접속하여저작권으로보호되는음악파일을다운로드한자의불법행위에대해 AP 제공자는저작권침해의책임을부담하지는아니한다고판시한바가있다. 이러한판례는 AP 제공자에게타인의위법행위에대한책임을부담시키지아니할근거로적용될수있을것이다. 법이론적으로살펴보면, 무선랜보유자에게접속인증조치를설정할의무를부과하지아니하고정당한방법으로무해하게합법적으로사용하는것을허용한다는묵시적의사가있는것으로해석 10) 대체로무선 AP 는 4 개채널의접속이가능한데, 동시에 2 개채널을초과하여접속하는것을 AP 보유자가통제하는것이기술적으로용이하지않은것이일반적이므로, 동시에 3 개채널이상무선접속하는것에대한책임을전적으로이용자에게부담시킬수는없을것이다. 11) (Retrieved on July 17, 2010). 12) 대법원 선고, 99 다 판결. 13) 대법원 선고, 2005 다 판결 년 11 월호

10 사설무선랜보안과활성화의조화를위한법적의무와책임 한다면, 무선랜보유자는접속자의불법행위에기여한자라기보다는접속자에의해자신의무선랜에대한권리를침해받는또다른피해자라고보는것이법리상타당하다고생각된다. 왜냐하면무선랜을공개하는전제에는정당한방법으로무해하게합법적으로사용하는경우에만이용을허용한것이나이를접속자가위반하여위법한행위를추가적으로한것이므로, AP 보유자의권리가침해된것으로보아야지 AP 보유자가접속자의공동불법행위자라고보는것은타당하지않다. 2) AP 제조자에대한정책방향 (1) 접속인증기능의무화사설 AP 보유자가접속인증조치를취할것인가의여부는법으로강제할것이아니라, 사설 AP 보유자의자유로운판단에맡겨야한다. 그러나사설 AP 보유자가스스로자신의 AP에접속인증조치를취하고자하는경우에이를용이하게실행할수없다면, 무선랜보안의확보를위해서는심각한장애요소로작용하게될것이다. 왜냐하면접속인증조치를실행하기위해서는이미 AP에접속인증을위한기능이기술적으로포함되어야있어야만현실적으로가능하며, 이러한기능을사설 AP 보유자가 AP를구매한이후에추가하는것은불가능에가깝게기대하기가어렵기때문이다. 따라서사설 AP의접속인증조치를위해서는 AP 제작자가접속인증기능을 AP에포함시키는것이매우중요하다. 무선랜보안을위해 AP 제작자에게무선랜접속인증기능을포함시키는것을의무화하는정책에대한논의도활발하게이루어지고있다. 미국캘리포니아주 Business and Professions Code 조에서는소프트웨어에해당장치의환경설정과정중에발생할수있는보안경고를포 함시킬것, 사용을위해경고스티커를장치에부착하여자신의무선네트워크연결을보호하는방법을알릴것, 소비자의동의없이활성화된기기의경우사용전보호방법을제공할것등을규정하고있다. 그러나아직 AP 제작자에게무선랜접속인증기능을반드시포함시킬것을의무화하거나, 또는출하시에접속인증을요구하는상태를초기값으로설정할것을의무화하는법률은비교법적으로도찾아보기어렵다. AP 제조자에대한무선랜보안정책의가장기초로서 AP 제조자에게접속인증기능을포함시킬것을의무화하는것은무난할것으로생각된다. 왜냐하면이미모든 AP에접속인증을위한초보적인형태의패스워드를설정하는정도의기능은예외없이다포함되어있기때문에 100% 실천되고있는사양이기때문이다. (2) 구매자에대한보안관련설명의무 AP를구입하여이용하는자가자신의AP를개방된상태로둘것인지아니면보안을설정할것인지는자유로운의사에맡겨야하며, 보안설정을국가가강제해서는곤란하다고판단한바있다. 하지만무선랜보안을위해서가장중요한점은, AP 보유자가자신의 AP에보안을설정하고자하나보안을설정하는방법이너무복잡하고어려워서원치않게개방된상태도두는것은반드시방지해야한다. 기술에대해문외한인일반이용자가 AP에보안을설정하는것은현재로서는그리손쉬운일은아니라고생각된다. 지금도 WPS(Wi-Fi Protection Setup) 기능이내장된 AP가대부분이지만, 이용자들이무선랜보안을설정하는데는여전히어려움을겪는것이현실이다. 그러므로 AP 제조자가 AP를판매하면서, 구매자가원한다면손쉽게보안을설정할수있도록 Internet and Information Security 73

11 IIS 제 1 권제 2 호 그방법을상세히알기쉽게설명하는것이매우중요하다. 따라서 AP 제조자에게이용자의보안설정에관한상세하고이해하기쉬운안내를포함시킬의무까지부과하는것도하나의정책으로고려해볼수있을것이다. 자신의 AP를다른패스워드로바꾸거나또는아예무 ( 無 ) 인증의개방된상태로전환하는것이매우용이하도록하여야할것이다. 3) AP 접속이용자에대한정책방향 (3) AP 출하시보안설정의무무선랜보안을위해 AP에보안기능을반드시포함시키고, 이용자에대해보안설정방법에대해상세하고이해하기쉬운안내를제공하여야하는동시에, 아예공장출하시초기값을접속인증이요구되는상태로두는것까지의무화하는것도가능할것이다. 만약특정제조업자가생산하는특정모델의 AP의패스워드를다다르게설정하면이용자가패스워드를잊어버렸을때편의성이저해될것이고, 모든패스워드를다동일하게설정하면실질적으로패스워드를설정하지않은것과아무런차이가없을것이다. 따라서이에대한대안으로는 AP 제조자가 AP 기기를제조할때각기기의일련번호 (serial number) 를자동으로패스워드로설정하는방법을고려해볼필요가있다. 기기의일련번호를패스워드로설정하면, 기기의밑면등에일련번호가기재된스티커가붙어있는경우가일반적이므로설령패스워드를잊어버린다고하더라도이용자의편의성에는아무런지장이없다. 또임의의제3자는기기의일련번호를쉽게알아낼수없을것이고, 기기밑면의일련번호를알정도로소유자와긴밀한관계에있는사람의이용까지제한할필요는없으므로적절한보안이유지될수있을것이다. 그러므로모든 AP에대해기기의일련번호를패스워드로하여초기값을보안설정상태로출하할의무를부과하는것도무선랜보안을위한 AP 제조자에대한보안대책중하나로신중히검토될수있을것이다. 다만이경우에도 AP 보유자가 (1) 인증이필요한 AP에의무단접속사설 AP 보유자가접속인증조치를취하였음에도불구하고무단으로제3자가접속한경우는이미잘알려진 해킹 개념에해당된다고할수있다. 정보통신망법제48조에서는 누구든지정당한접근권한없이또는허용된접근권한을넘어정보통신망에침입하여서는아니된다 라고규정하고있어서인증이필요한무선랜에무단으로접속하는것을이미금지하고있다. 즉, AP 보유자가패스워드를통해정당한접근권한을부여시에만접속하도록한경우, 이패스워드를몰래알아내서접속한경우에는정보통신망법제48조를직접위반한것이된다. 그러므로정보통신망법제 72조의벌칙이적용되어 3년이하의징역또는 3 천만원이하의벌금에처할수있게된다. 접속인증이설정된 AP에무단으로접속하는것에대한법적통제장치는이미확보되어있으므로, 추가적으로고려할정책사항은없다고생각된다. (2) 개방무선랜의접속규제임의의제3자가타인의개방된무선랜에접속하는것이합법적인행위로서허용되어야하는것인가의문제도무선랜보안과관련하여심각한논쟁점중에하나이다. 특히영국의사례를살펴보면, 2005년영국의 Gregory Straszkiewicz 라는청년이주거지역에서타인의건물밖에서무선접속이가능한노트북을들고타인의무선네트워크를무단으로이용하려고했다는이유로 Comminication Act 위반및유죄를선고한 년 11 월호

12 사설무선랜보안과활성화의조화를위한법적의무와책임 사례가있다 (Ilett, 2005). 그러나우리나라의현실을살펴보면, 인구가밀집해있는수도권의경우에는상당수의지역에서개방된상태의무선랜이검색되고스마트폰에서는자동으로무선랜신호를검색하여개방된무선랜에는접속할수있으며심지어이미접속한적이있는개방된무선랜은기기가별도의절차없이자동으로접속하는기능까지도갖고있다. 이런상태에서개방된무선랜에접속하는그자체를법적으로금지하는것은무선랜에대한사회적요구에정면으로반하는규제가될가능성이높고, 이는무선랜의이용활성화에부정적인영향을줄것이라고생각한다. 전술한바와같이 AP 보유자가자신의 AP를개방된상태로둘것인가아니면인증된자만이접속할수있도록할것인가의여부는자유롭게결정할수있으며, 설령개방된상태로두더라도모든방법의이용을다허락하는것이아니라정당한목적으로무해하게합법적으로사용하는것만을허용한다는묵시적인의사가있다고볼수있다. 따라서접속자도정당한목적으로무해하게합법적으로무선랜을이용하는것이라면 AP 제공자의묵시적인의사와합치되는이용으로서정당화되어야할것이라고생각된다. 4) ISP에대한정책방향 ISP는무선랜보안에서상당히중요한역할을할수있을것으로기대된다. 왜냐하면무선랜에서무선구간은 AP와단말기기와의직접적인접속노드에불과하므로극히짧은부분이고, 그뒤쪽단은모두유선으로구성되어있기때문에유선인터넷접속을제공하는 ISP가없으면거의대부분무선랜을통한인터넷접속은불가능해질것이다. 특히카페나레스토랑과같이사설 AP를보유하여소규모로접속을제공하지만, 그접속이용 자가불특정다수인경우, 가장무선랜보안에취약함은이미영국의디지털경제법제정과정에서의논란에서잘살펴볼수있다. 이와같이대중을상대로제공하는사설 AP의경우에전술한바와같이접속인증보안설정을의무화할수는없지만, 카페나레스토랑과 ISP와의 ISP 계약을통해사설 AP 보유자로하여금이용자에게보안의중요성과위험성을고지하도록하는계약상의의무를부과할수는있을것이다. 즉, 가입자와 ISP와의계약에서 가입자가무선 AP를설치하는경우에는개방된상태로 AP를운영할수는있으나, 고객과같은이용자가접속할때에보안의중요성과위험성을알리는초기화면을제공하고이용자가쉽게알아볼수있는곳에동일한내용의정보를게시하여야한다. 이를위반하는경우에는 ISP 계약을해지할수있다. 라는계약내용을포함시키는것이다. 또이러한계약내용이 ISP 계약에포함될수있도록국가가적절히 ISP 에대해계도하고홍보하는것이필요할것이다. 5) 개인정보취급자에대한정책방향무선랜을통해개인정보를취급하는정보통신서비스제공자에대해서는특히정보통신망법제 28조제1항제2호에서이미 개인정보에대한불법적인접근을차단하기위한침입차단시스템등접근통제장치의설치 운영 을의무적으로부과하고있으므로, 기존의법규를통해서충분히보안이유지될수있다. 따라서특별한추가적인정책은필요하지않다고생각된다. 3. 데이터암호화 1) 사설 AP 보유자의데이터암호화무선랜보안을위해민간 AP에데이터암호화를의무화할것인가의문제는정보통신서비스제공 Internet and Information Security 75

13 IIS 제 1 권제 2 호 자가아닌사설 AP에적용하기에는정책적으로부적절하다. 현재일반적으로개인이구입해서사용하는저가형 AP에포함된 WEP(Wired Equivalency Protocol) 수준의데이터암호화가가능할뿐이다. 그러나이러한수준의데이터암호화는기술적으로는상당히취약한것이어서의도하기만하면그리어렵지않게보안침해가가능하다. 그러나그이상의 WPA2 수준의암호화를사설 AP 보유자에게요구하는것은사실상불가능하다. 무선랜보안을위해서데이터암호화보다간편한 ID/PW 방식의접속인증조차사설 AP에대해서의무화하는것이적절하지않은데, 그보다한걸음더나아간데이터암호화를의무화하는것은더욱타당하다고보기어렵다. 따라서사설 AP에대해서는 WEP나 WPA 등기존의 AP에내장되어있는암호화기능을사용하도록권장하는것이상의부담을지워서는안될것이다. 2) ISP의데이터암호화 Hot-spot과같이기간통신사업자들이제공하는상용서비스의경우에는데이터암호화를고려해볼여지가있다. 최근언론에따르면 WPA 방식의데이터암호화를 KT가도입하여무선랜보안을강화한다는보도가발표된바있다 ( 백인성, 2010). 정보통신서비스제공자인 ISP들이유상으로제공하는무선랜의경우에는보안이확보되지않으면영업목적을달성하기어려우므로자발적으로이러한데이터암호화를도입할것이다. 그러므로국가가우회적인방법으로데이터암호화를유도하는것도고려해볼수있을것이다. 3) 암호화된데이터의침해암호화된데이터를침해하는것은이미해킹에대 한법적규율에포함될수있는것이므로현행정보통신망법제48조에의해규율이가능하므로별도의정책이추가적으로필요하다고생각되지는않는다. III. 구체적인법제도정비방안 1. 입법론적정비방안 1) 정보통신망법제2조제3호의정보통신서비스제공자의개념정의 (1) 현행규정의의의 정보통신망법제2조 3호는정보통신서비스제공자라함은 전기통신사업법 제2조제8호에따른전기통신사업자와영리를목적으로전기통신사업자의전기통신역무를이용하여정보를제공하거나정보의제공을매개하는자를말한다. 라고정의하고있다. 이개념정의에따르면정보통신서비스제공자는전기통신사업자와영리목적의정보제공자또는정보제공매개자이므로공공기관이나영리목적이아닌개인은이에해당되지않게된다. 이와같이정보통신서비스제공자의개념을좁게정의하는것은첫째로, 지금까지정보통신서비스를제공하기위해서는막대한시설투자가소요되는것이일반적이므로전기통신사업자또는영리를목적으로하는자들외에는이와같은행위를할가능성이매우낮다는현실적인이유를들수있다. 둘째로, 정보통신망법은주로정보통신망에대한규제의수범자로서 정보통신서비스제공자 만을규정하는경우가매우많다. 14) 이러한규제는일반국민인개인을수범대상으로하기에는강도가높은것으로서일정한규모이상의사 14) 특히규제관련내용을포함하는대표적인조항인제 44 조, 제 44 조의 2, 제 45 조는실질적인규제대상을정보통신서비스제공자에국한하고있다 년 11 월호

14 사설무선랜보안과활성화의조화를위한법적의무와책임 업자를대상으로하여야하므로고도의영리성을추구하는제한된주체만을따로수범자로서구분하여정의할필요가있었다. (2) 현행규정의문제점정보통신서비스제공자를 전기통신사업자와영리목적의정보제공자또는정보제공매개자 로매우좁게규정하는것이지금까지는법현실과잘조화를이루고있었다. 그러나기술의발달로인해평범한일반시민들도정보통신서비스를개인적인목적으로극히소규모로제공할수있게되었고, 그대표적인것이지금문제가되고있는사설 AP를통해 Wi-Fi 신호를제공하는것을들수있다. 그러므로정보통신망법의정보통신서비스제공자의개념정의에사설무선랜보유자도해당되는것으로볼것인가의문제가발생한다. 그러나사설 AP 제공자는영리의목적으로정보의제공을매개하는것이라기보다는개인적목적으로무선랜네트워크를제공하는것이므로정보통신서비스제공자라고보기는어렵다. 그렇다고한다면정보통신망법제45조이하의정보통신망의안정성확보에관한규정은모든사설무선랜 AP 보유자에게는적용되기어렵다고해석할수밖에없다. 즉, 정보통신망법제45조 1항의 정보통신서비스제공자는정보통신서비스의제공에사용되는정보통신망의안정성및정보의신뢰성을확보하기위한보호조치를하여야한다. 는것을근거로하여당장무선랜 AP 보유자에대한접속인증조치의의무화는불가능하다고봐야할것이다. 영국디지털경제법제정과정에서도서관, 카페, 극장등일반대중들의접속제공을전제로하나다만영리목적이결여되어있는경우에는보안을의무화하여야한다는계획을발표하여논란을일으켰다. 그러나결국보안의무화계획을축소하 여 40만명이상의가입자를가진 ISP에게만보안의무화를적용한바있다. 생각해보건대, 도서관, 카페, 극장등의경우에까지개인가정용의 AP와동일하게다루는것은정책적으로적절하지않지만, 현행정보통신망법의개념정의가그대로유지되는한이들에대해안전성과신뢰성확보를위한조치를의무화하기는결국어려울것이다. 결국세상을시끄럽게만들었던영국디지털경제법의최종귀결과같이이들에게보안을의무화하는해석은현실적으로나현행법규상으로나당장은어렵다고판단된다. (3) 개선방안민간부문무선랜보안을위한정책으로사설 AP 보유자에대해접속인증등보안조치를취할일반적인의무를부과하는것은적절하지않다고이미밝힌바있다. 만약 AP 보유자가개인이라면위와같이보안조치를의무화하지않는것이적절할것이고, AP 보유자가기간통신사업자와같은정보통신서비스제공자라면스스로영업상필요한보안조치를자율적으로마련하겠지만, 영국에서문제가되었던것처럼대학, 도서관, 커피숍과같은어느정도규모가있는민간주체라면정보통신서비스제공자에해당되지않는다고하여개인처럼보안조치를취할의무를전혀부과하지아니한것도바람직하다고보기는어렵다. 현행정보통신망법이그대로유지되는한, 정보통신서비스제공자의개념정의가비교적명확하므로영국디지털경제법의제정논의과정에서와같은논란이우리사회에서일어나지는않을것이다. 그러나정보통신서비스를제공하는주체가기술변화에따라매우다양해지고있는현실을감안한다면, 정보통신망법의정보통신서비스제공자의개념을수정하거나또는해당조문에서수범자를정보통신서비스제공자뿐만아니라 개인적인 Internet and Information Security 77

15 IIS 제 1 권제 2 호 용도를넘어일반대중을상대로정보통신서비스를제공하는자 도포함시킬수있는개정을검토할필요가있을것이다. 다만이와같이범위를확대하면, 영국디지털경제법논의과정과같은논란이예상되고따라서무선랜활성화에어느정도부정적으로작용할것이라생각된다. 영국디지털경제법에관한논란에서는통신부 (Ofcom) 의 Regulatory Code에서 40만이상의가입자를가진고정형 ISP 만을무선랜보안조치를의무화하는대상으로제한함으로써구체적타당성을확보하는것도이와유사한대응이라고생각된다. 2) 각종하위규범의정비 (1) 공공장소무선랜에대한보안점검개인이가정에설치한 AP와달리공공장소에서불특정다수인을대상으로 Wi-Fi를공급하는경우에는이를통해저작권을침해하는파일공유나해킹시도와같은위법한행위의출발점이될우려가매우높다. 따라서이에대한보안을확보하는것이중요하다. 그러나현재공공장소에서제공되는무선랜에대한보안점검을할수있는법적근거가명확하게마련되어있지는않다. 그러므로이에대한입법적해결방안을모색하는것도무선랜보안을위한하나의대책이될수있을것이다. 민간부문의공공장소무선랜은이른바 Hotspot 이라고하며, 대부분은기간통신사업자에의해제공되는경우가대부분이다. 정보통신서비스제공자에해당되는경우에는무선랜에대한보안점검을실시하지않아도, 정보통신망법제45조제1항의보안관련기본조항에의해정보통신망의안정성과신뢰성을확보하기위한보호조치를하여야할명시적의무가존재하므로이에따라보안점검을자발적으로실시할수밖에없을것이다. 이들정보통신서비스제공자에대해서는정보통신망법제46조제2항에서보호조치의구체적내용을정한정보보호조치및안전진단의방법 절차 수수료에관한지침 ( 이하정보보호지침 ) 을정하여고시하고정보통신서비스제공자에대하여이를지키도록권고하고있다. 이정보보호지침에서정보통신서비스제공자스스로무선랜에대한보안점검을자율적으로하도록규정하는것을고려해볼필요가있다. 또다른법적근거로는정보통신망법제46조의 3 제1항이있다. 이조문에서정한기준에해당하는자는안전진단수행기관으로부터자신의정보통신망또는집적정보통신시설에대하여매년정보보호지침에따른정보보호안전진단을받도록의무화하고있다. 이안전진단수행기관으로부터받는정보보호안전진단에무선랜보안안전점검을포함시키는것도하나의방법이될것이다. 문제는대학, 도서관, 카페와같은정보통신서비스제공자는아니지만불특정다수가이용할수있는 Wi-Fi의경우에도보안점검이필요할수도있을것이다. 그러나이들은정보통신서비스제공자가아니므로위와같은무선랜보안안전점검대상에포함되지않는다. 또안전점검의대상이라하더라도자율적으로점검을시행할것이라고기대하는것도현실적으로어렵다. 그러므로정보통신서비스제공자가아닌공공장소무선랜공급자에대한보안점검을시행할수있는방안이모색될필요가있다. 그입법적해결방법으로기존의고시를개정하는것만으로불가능한이유는고시의법적근거가되는정보통신망법에서정보통신서비스제공자만을수범대상으로정하고있으므로, 정보통신서비스제공자아닌민간공공장소무선랜공급자를고시에포함시킬수없다. 따라서정보통신망법제45조제1항을개정하여 년 11 월호

16 사설무선랜보안과활성화의조화를위한법적의무와책임 또한영리의목적없이전기통신사업자의전기통신역무를이용하여정보의제공을매개하는자도동일한보호조치를하여야한다. 는내용을추가하는것이필요하다. 그리고이에따라정보보호지침에이러한비영리무선랜공급자에대한안전진단등구체적인조치사항을포함시켜야할것이다. (2) 무선설비규칙에무선랜보안설정관련사항포함전술한바와같이, 민간부문무선랜보안을위한가장효과적인정책수단은 AP 제조자에게무선랜보안을위한기능을 AP에포함시키게하고, 이용자가 AP에보안을설정하고자하는경우에는매우쉽게설정할수있게지원하도록의무화하는것이다. 물론 AP 제조자에게어느정도로강한의무를부과할것인가는법현실과조화를이루는내용으로정책적으로신중하게검토되어져야할것이지만, 적어도무선랜보안을위한기능을포함시키고보안설정에대한상세한안내를이용자에게제공하도록하는정도라면 AP 제조자가수용하기에적절한수준이될것이라생각한다. 이를위해전파법제45조에따른무선설비규칙제98조제7항제1호에무선랜보안과관련된사항을포함시키는것도입법적인해결대책이될것이다. 즉, 해당무선랜설비는보안취약성이있으므로반드시보안설정후사용하십시오 라는문구를동설비의외부의잘보이는곳에표시할것, 해당무선랜설비제조자는보안설정방법등보안을위해필요한사항을설명서나홈페이지게시등의방법으로사용자에게충분하고알기쉽게고지할것을추가하는것이적절할것이다. 다만무선설비규칙제98조제7항은블루투스도대상이므로이를명확히할필요가있으며, 5GHz 대역의무선랜이존재하는것도고려하여제98조제5항 에도관련내용을포함시켜야할것이다. (3) ISMS 심사기준에무선랜추가정보통신망법제47조제2항에따른 정보보호관리체계인증등에관한고시 (ISMS 심사기준 ) 에무선랜보안조치항목을포함시켜서인증심사의기준으로설정하는것도무선랜보안을위한하나의방법으로고려해볼수있다. 이렇게되면정보보호관리체계인증을득하기위해무선랜보안조치를확실하게갖추게될것이므로, 간접적으로무선랜보안을유도하는정책수단이될것이다. ISMS 심사기준제11조별표6 11.7에통제목적은 무선랜보안, 통제사항은 무선랜 으로하여 무선랜사용시에사업정보, 개인정보등정보를보호하기위하여사용자인증, 암호화, 무선인터넷공유기의보안설정등필요한보안정책을수립하여야한다 고통제내용을신설하는것이바람직할것이다. 2. 법해석학적정비방안 1) 정보통신망법제48조제2항현행정보통신망법제48조제2항의 누구든지정당한접근권한없이또는허용된접근권한을넘어정보통신망에침입하여서는아니된다 는규정은유선네트워크의해킹을염두에두고제정된규정이다. 이규정은거의대부분의국가들도가지고있는매우보편적인규정이다. 이것이과연무선랜, 특히개방된무선랜에도그대로적용될것인가는전세계적으로논란이되고있는법적과제이다. 특히 정당한접근권한 이무엇을의미하는가? 개방된무선랜에접속하는것이정당한접근권한이있는것으로다룰것인지아니면정당한접근권한이없는것으로다룰것인지는해석론상으로매우어려운문제이다. Internet and Information Security 79

17 IIS 제 1 권제 2 호 접속인증이필요한무선랜과달리개방된무선랜에는기술적으로는누구나접속이가능하므로누가 정당한접근권한 을갖는가는기술적인관점이아니라규범적인관점에서판단하여야할것이다. 누구나접근가능한상황에서정당한접근권한이있는가를판단하기위해서는접속제공자의주관적의사를기준으로할수밖에없을것이다. 예를들어, 저작권으로보호되는음악파일의경우에누구나기술적으로복제가가능하지만이에대해정당한권한이있는가는규범적으로판단하게되며, 이러한규범적판단의기준은 저작권자가이용자에게저작물을이용할수있게하는의사를갖고있느냐 의여부로결정될것이다. 저작권의경우에는저작물의이용에대해저작권자와이용자간의계약관계로정당한접근권한이주어지는것이일반적이지만, 개방된무선랜의경우에는계약관계가존재하지아니하므로일방적으로개방하는무선랜제공자의주관적의사에따라결정될수밖에없을것이다. 앞서살펴본바와같이민간부문무선랜의경우에는 AP 보유자가자신의 AP를타인도정당한방법으로무해하게합법적으로사용하는한도에서는자유롭게이용하도록하겠다는묵시적인의사를갖고있는것으로이론을구성하였다. 이러한묵시적의사에따른이용인경우에는임의의이용자는정당한접근권한을갖고개방된무선랜에접속한것으로해석되어야할것이다. 이러한법해석학적이론구성을통해민간부문의무선랜을개방할수있는법적근거와이를정당한방법으로무해하게제3자가이용하는것이합법적인것으로허용되어야하는법적근거가마련될수있을것이다. 2) 공동불법행위에관한법이론적검토전술한바와같이 P2P에의한저작권침해에대한기존의판례는일관되게 P2P 운영자의방조에의한공동불법행위책임을인정하여왔다. 이러한법논리를형식적으로개방된사설 AP를통한불법행위에적용하면무선 AP 제공자에게방조에의한공동불법행위책임을지워야하는문제가생긴다. 그러므로법이론적으로개방무선랜을통해위법행위가이루어지더라도개방된상태로무선랜을제공한자에게불법행위책임을부담시키지않을법논리를검토할필요가있을것이다. 민간부문의개방된무선랜에제3자가접속하여불법복제나해킹과같은타인의권리를침해하는위법한행위를한경우에도무선랜제공자는제3 자의가해행위에기여한것으로해석되어서는아니된다. 왜냐하면첫째, 타인의불법행위에대해과실에의한방조가가능하지만, 과실에의한방조가성립하기위한 과실의내용은불법행위에도움을주지않아야할주의의무가있음을전제로하여이의무에위반하는것을말한다 는것이판례의확고한태도이다. 15) 따라서무선랜보유자에게접속인증조치를설정할의무를부과하지아니하고정당한방법으로무해하게합법적으로사용하는것을허용한다는묵시적의사가있는것으로해석한다면, 무선랜보유자에게는접속인증을통해타인의불법행위를방지해야할주의의무자체가없으므로과실자체가성립되지않는다고보아야할것이다. 둘째로, 개방된 AP 보유자는제3자의불법행위 ( 불법복제나해킹등 ) 에도움을준것이아니라, 오로지불법행위가가능할수있는환경을무차별적으로제공한것에불과하므로아예주의의무위반자체가성립되지않는다. 예를들어누구에게 15) 대법원 선고, 99 다 판결 년 11 월호

18 사설무선랜보안과활성화의조화를위한법적의무와책임 나먹을수있도록자신의우물을개방하여주변사람들에게식수를공급해온자에게, 누군가가그우물에독극물을투입하여주민들의건강을침해한경우에우물소유자에게그위법행위에도움을주었다고볼수는없는것이다. 오히려우물의소유권을위법하게침해당한것으로보는것이더적절한법적용이라고볼것이다. 따라서개방된 AP 보유자는접속자의불법행위에기여한자라기보다는접속자에의해자신의무선랜에대한권리를침해받는또다른피해자라고보는것이법리상타당하다고생각된다. 왜냐하면무선랜을공개하는전제에는정당한방법으로무해하게합법적으로사용하는경우에만이용하도록허용한것이나이를접속자가위반하여위법한행위를추가적으로한것이므로, AP 보유자의권리가침해된것으로보아야지 AP 보유자가접속자의공동불법행위자라고보는것은타당하지않다. 그러므로개방 AP 보유자는설령임의의제3자가그무선랜을이용하여위법한행위를하더라도, 그불법행위에대해구체적인위험을인식하고있는경우가아니라면, 그불법행위에대한방조에의한불법행위라고해석되어서는아니된다. 또한개방 AP와연결되어인터넷을접속할수있도록해준 ISP 역시공동불법행위책임을부담하지않을것이다. IV. 결론 무선랜보안과관련하여우리나라가취할정책방향으로무선랜제공주체에따라민간부문과공공부문으로나누어살펴보면, 먼저민간부문의무선랜에대해서는사적자치의원칙을적용하여, 무선랜보안은자율적으로시행하는것을기본으로한다. 따라서사설 AP 보유자가자신의 AP를개방된상태로공개하는것을허용하고, 개방 AP에 임의의제3자가접속하여이용하는것도적법한것으로허용한다. 다만개방 AP 보유자는 제3자가정당한방법으로접속하여무해하게합법적으로사용하는것만을허용한다는묵시적의사 가있는것으로간주하고, 이용자도묵시적의사에합치하는이용만이합법적인것으로허용될뿐이러한묵시적의사에반하는접속이용에대해서는책임을지워야할것이다. 또제3자가 AP 보유자의묵시적의사에반하여저작권침해나해킹등의위법행위를한경우에도 AP 보유자는또다른피해자로서공동불법행위자책임을지지않는다고할것이다. 민간부문의무선랜보안을위해서가장중요한것은 AP 제작자에대해서 AP 보유자가보안설정을원하는경우에용이하게보안설정을할수있도록정책적인수단을마련하는것이라생각된다. 따라서 AP 제작자에게보안기능을 AP에반드시내장시키고보안설정방법을이용자에게이해하기쉽게알려주며경우에따라서는공장출하시보안설정이된상태로출하할의무를부과하는것도고려해볼수있다. 무선랜보안을위해서입법적으로는정보통신망법제2조제3호의정보통신서비스제공자의개념정의를수정하거나또는보안의무의주체에대중을상대로하는적절한규모의비영리무선랜제공자를포함시키는시도가요구된다. 또공공부문의무선랜에대해보안설정을의무화하는법적근거를국가정보화기본법에포함시키고, 보안관련하위법규를무선랜보안을고려하여정비하는방안도요구된다. 그리고각국에서논란이되고있는개방 AP에임의로접속하는그자체가 정당한접근권한 없이정보통신망에접속하는것으로보아야하는가에대한법해석론과개방 AP 보유자가임의의접속자의불법행위에대한책임으로부터자유로울수있는범위와그법이론적근거도적절히마련되어야한다. Internet and Information Security 81

19 IIS 제 1 권제 2 호 참고문헌 김준호 (2008). 민법강의. 서울 : 법문사. 김현섭 ( ). WIPI 의무화규정폐지, 모바일게임계가술렁인다 검색, 김현아 ( ). [ 국감 ] 서갑원, 무선랜공유차단과도하다. IT뉴스. 김효정 ( ). 허원제, 무선랜인증해도무료사용가능. ZDNet Korea. 매일경제TV ( ). 무선인터넷이용은행해킹첫적발 검색, mk.co.kr/pages/news/newsview.php?news _seq_no=348248&category=mbn00009 백인성 ( ). KT, 데이터암호화보안강화. 경향신문. 오병철외 (2010). 해외무선랜보안법제도연구. 서울 : 한국인터넷진흥원. Ilett, D. (2005, July 22). Wireless network hijacker found guilty. Retrieved July 17, 2010, from Leyden, J. (2007, August 1). WiFi spam man avoids can probation for smut site junk mail miscreant. Retrieved July 17, 2010, from theregister.co.uk/2007/08/01/smut_spam_wifi/ 년 11 월호