정보보안 침해 범죄의 형벌 및 제재 규정에 관한 연구 - 정보통신망법 및 기반보호법을 중심으로 -

Research on Penalties against Information-Security Infringing Crimes : centering on so called the Network Act and the Infrastructure Protection Act

2008년 이래 우리는 매년 정부 ․ 금융기관의 전산망에 대한 무단침입, DDos 공격, 악성 프로그램 투입, 대규모의 개인정보의 무단 유출을 반복하여 경험하고 있으며, 최근 들어 스마트폰에 악성 코드를 투입시켜 금융정보를 무단 수집하는 사건들까지 나타나고 있다. 그럼에도 이러한 정보통신망에로의 무단 침입, 기능의 장애 야기, 악성 프로그램의 유포와 같은 범죄-정보보안 침해 범죄-에 대한 형사처벌 규정을 체계적으로 검토하고 그 적정성에 관한 법이론적 분석을 시도한 예는 많지 않았다. 본 논문은 정보보안 침해에 관한 행위의 규제의 법적 근거가 되는 정보통신망법과 기반보호법상에서 형벌의 대상이 되는 행위와 그에 대한 제재수단으로서의 형벌을 면밀히 검토하였다. 또, 비교법적 검토의 예로서 정보통신망법과 정보통신기반보호법에 대응하는 미국의 정보통신망 보호에 관한 입법에서 특히 정보통신망에 대한 공격행위를 대상으로 한 제재, 처벌 규정들을 소개하였다. 이를 통해, 본 논문은 결과적 가중범 또는 결합범 형태의 입법 필요성, 예비 ․ 음모 및 미수처벌 규정 도입 필요성과 함께 양형기준의 확립, 행정 기관의 명령 불이행 또는 거부죄의 비범죄화 및 사이버범죄의 처벌에 관한 법 제정이라는 제안을 해 보았다. 전산망을 통한 소통, 정보의 집적 및 유통이 확대되고 있는 상황에서 정보보안 침해 범죄와 제재수단에 대한 입법적 개선이 시급하다.

South Korea has experienced large-leveled hacking or DDos attack on information network systems or leakage of mass personal information since 2008. In spite of the successive information-security infringing activities, there have been rare, if any, researches on examining provisions criminalizing and penalizing the activities under Act on Promotion of Utilization of Information and Communication Network and Protection of Personal Information, and Act on the Protection of Information and Communications Infrastructure. This thesis analyzed the provisions under both legislations from the perspective of criminal law theory, and comparative research of American legislation and Convention on Cybercrime of European Union. On the basis of the analysis and the study, several legislative improvements are to be suggested. Firstly, the definition of‘mala-ware program’ should be extended to cover a device and date which support unauthorized access to the network system or collect personal information without permission. Secondly, provisions of attempt, conspiracy, and erfolgsqualifiziertes Delikt which aggravates penalty against the crimes causing deaths or serious injuries of human-beings, should be adopted. Thirdly, sentencing guidelines should be announced as regards cybercrime, including information-security-infringing ones. Fourthly, refusal to abide by administrative agency’s order should be dealt with administrative sanctions rather than criminal penalty. Finally, an integrated bill dealing with cybercrimes is to be designed in order to meet challenges of a rapid growth of cybercrimes from information-technology-based society.