서울중앙지방법원-2012고합810

공소사실의 요지 피고인 B은 1994년경 7급 공채 전산사무직으로 중앙선거관리위원회(이하 '선관위'라고 한다)에 입사하여 2007. 3.경부터 2011. 12. 31.까지 선관위 정보화담당관실 소속 전산사무관으로 전산, 네트워크 및 정보보안 업무를 총괄하며 전자정부법에 따른 행정안전부 고시와 기술표준에 따른 정보시스템 운영·관리계획을 수립, 시행하고 분산서비스거부(DDoS, 이하 'DDoS'라고 한다) 공격에 대비한 정보보호책임자 및 정보보호실무자로서 DDoS 공격 대응 모의훈련을 실시하고, 정보자산에 대한 보안점검 및 기술대응절차서 마련 등 보안강화방안을 수립하고, DDoS 공격시 대응을 주관하며 DDoS 공격피해 복구 방안을 수립·시행하는 임무를 담당하였다. 피고인 A는 1995. 7.경 (주)데이콤에 입사하여 네트워크 운영, 계획 관련 업무를 담당하다가 2002년경부터 J팀에서 근무하였고 2009년경부터 (주)엘지유플러스(LG U+, 이하 'LG U+'라고 한다) K팀 차장으로 공공기관 지원업무를 담당하면서 선관위가 LG U+로부터 대여하여 사용하는 선관위와 LG U+ 사이의 인터넷 ATM망 회선(이하 'LG U+회선'이라고 한다)에 대해 고객요청사항을 처리하는 등 공공기관 대여회선들에 대한 고객지원 업무를 담당하였다. 가. 피고인 B 선관위는 2010. 10.경 DDoS 공격으로 인한 사이버 침해사고를 예방하고 DDoS 공격에 대한 효율적인 대응, 신속한 피해복구 등을 위해 DDoS 방어장비를 도입하고 모의훈련을 실시하였다. 피고인은 선관위 정보보안 업무를 총괄하는 전산사무관으로서 실제 DDoS 공격상황과 유사한 모의훈련을 실시하여 모의훈련에서 나타난 문제점을 분석하고 이에 대한 보완사항을 선관위 시스템에 적용하기 위한 방안을 수립하여야 할 것이다. DDoS 공격의 주된 형태는 대역폭 소진형 공격으로 이러한 공격에 대응하는 모의훈련을 위해서는 선관위 회선의 바깥인 퍼브넷쪽에서 선관위 회선으로 공격 트래픽이 유입되는 상황을 설정하고 이에 대한 대응 및 복구 훈련을 하여야 효율적인 훈련을 할 수 있다. 그런데 피고인의 주관하에 선관위에서 2010. 11. 26. 실시한 DDoS 공격대응 모의훈련은 선관위 내부에 트래픽 발생기를 설치하고 이를 DDoS 방어장비에 연결하여 공격 트래픽을 차단하는 훈련을 실시하였는데, 이는 DDoS 방어장비가 공격 트래픽을 차단하는지에 관한 점검에 불과하고 대역폭 소진형 공격에 관한 훈련은 되지 못하였다. 또한, DDoS 공격의 실시간탐지를 위한 알람 설정, DDoS 공격은 많은 경우 자체대응이 어려우므로 이렇게 자체대응 불가시에 대비한 사이버대피소로의 대피훈련 등의 내용이 DDoS 모의훈련에 주요하게 반영되어야 함에도 이날의 대피훈련은 이런 주요한 훈련도 실시하지 아니하였다. 1) DDoS 공격대비 관련 직무유기 선관위는 지능화·대형화하는 DDoS 공격으로 인한 사이버 침해사고를 예방하고 공격발생시 효과적인 대응능력 확보 및 신속한 피해복구 등 선관위 정보통신망 서비스가 중단 없이 제공될 수 있도록 담당직원이 준거하여야 할 사항을 정하기 위하여 2011. 3. 23. 구 전자정부법 제27조, 정보통신기반보호법 제10조를 근거로 제정된 '선거관리위원회 정보통신보안업무규정(중앙선거관리위원회 훈령 제350호)'에 따라 선관위 자체의 '분산서비스거부(DDoS)공격대응지침(2011. 3. 23., 이하 'DDoS공격대응지침'이라 한다)'을 작성하게 되었고, 피고인은 당시 정보화담당관실 담당사무관으로서 국가정보원의 'DDoS 공격 대응 매뉴얼'을 기초로 하여 DDoS공격대응지침을 직접 작성하였다. 선관위 DDoS공격대응지침은 DDoS 공격이 짧은 시간에 집중된 공격으로 네트워크 기능을 마비시키는 특성이 있으므로 공격 초기 신속한 대응이 요구되고 이를 위해서는 DDoS 공격시 장비별 탐지지표를 미리 마련하여 각 탐지결과에 따라 단계별로 DDoS 공격 대응절차를 미리 수립하고 이러한 절차에 따라 신속히 공격을 차단해야 하기에 정보보호담당 실무자는 DDoS 공격 발생시 신속한 대응조치를 위하여 담당실무자와 협조하여 운영 장비에 맞는 기술대응절차서를 작성·구비하고 항상 최신상태로 유지하며, 평시 및 선거시 확보한 기준자료를 반영하여 각급 기관의 실정에 맞는 DDoS 공격탐지지표를 작성하도록 규정하고 있다. 그러므로 DDoS 공격대응지침의 작성자로서 정보보호책임자이자 정보보호실무자인 피고인은 이러한 기술대응절차서를 작성하여 공격 초기 신속한 대응을 할 수 있도록 하고, DDoS 공격탐지지표를 작성하여 각 탐지결과에 따라 단계별로 DDoS 공격대응절차를 미리 수립하고 이러한 절차에 따라 신속히 공격을 차단할 수 있도록 대비하여야 할 직무상 임무가 있다. 그러나 피고인은 2011. 4. 27. 실시된 2011년 상반기 재보궐선거시 DDoS 공격으로 인한 선거방해를 대비하여 선거 전에 위 직무를 수행하여 예상되는 DDoS 공격에 대비하여야 함을 잘 알고 있었음에도 이를 이행하지 아니하였고, 나아가 2011. 8. 24. 시행된 서울시 무상급식 주민투표에 대비하여서도 투표 전에 위 직무를 수행하여 예상되는 DDoS 공격에 대비하여야 함을 잘 알고 있었음에도 이를 이행하지 아니하였으며, 2011. 10. 26. 시행된 서울시장 보궐선거 등 2011년 하반기 재보궐선거에 대비하여서도 위 직무를 수행하여 예상되는 DDoS 공격에 대비하여야 함을 잘 알고 있었음에도 이를 이행하지 아니하는 등 3번의 선거, 투표에 걸쳐 정당한 사유없이 DDoS공격대응지침에 규정된 기술대응절차서와 DDoS 공격탐지지표를 작성하여 DDoS 공격에 대비하여야 할 선관위 정보보호책임자이자 정보보호실무자로서의 직무를 유기하였다. 2) DDoS 공격대응 관련 직무유기 선관위가 위와 같이 DDoS 공격에 대한 훈련 및 대비를 제대로 하지 못한 상태에서 2011. 10. 26. 서울시장 등 2011년 하반기 재보궐선거일에 국회의원 L의 비서인 M과 N의 O 등으로부터 선관위 홈페이지에 대한 DDoS 공격이 감행되었다. 2011. 10. 26. 00:58경부터 01:03경까지 감행된 1차 DDoS 공격시(이하 '1차 DDoS 공격'이라고 한다) 피고인은 DDoS 공격 탐지를 위한 선거당일 야간 상황근무, DDoS 방어장비 등에 대한 알람시스템 최적화 설정 등 사전조치를 하지 않았을 뿐 아니라, DDoS공격대응지침에 따라 운영장비의 부하량, 차단·탐지 로그, 자원사용량 등을 지속적으로 모니터링하지도 아니하였고, DDos 공격탐지지표조차 준비되어 있지 아니하였기에 선관위는 이러한 1차 DDoS 공격을 탐지하지도 못하였다. 같은 날 05:50경부터 시작된 2차 DDoS 공격시(이하 '2차 DDoS 공격'이라고 한다) 정보보호책임자이자 정보보호실무자인 피고인은 DDoS 공격을 탐지하였기에 DDoS공격대응지침에 단계별 조치사항으로 기재되어 있는 임무들, 즉 보안장비들의 트래픽차단임계치(네트워크트래픽 bps/pps, 연결된 TCP pps/session, 소스IP주소별 Syn패킷 개수, HTTP 요청개수)를 낮추고 상태를 모니터링할 임무, 서버장비 자원사용 임계치 조정 및 상태 모니터링을 하여 DDoS 상황을 완화시킬 임무, DDoS 대응장비 및 IPS 등에 최신 차단정책을 적용할 임무, 수립된 차단조치방안 및 기술대응절차서를 이용 장비별 담당실무자와 각 장비의 설정변경을 통하여 DDoS 상황을 완화시키고 최신 차단정책을 적용시킬 임무, 통신사업자인 KT와 LG U+에 공격IP주소 차단조치 요청을 하여 공격트래픽을 통신사업자 차원에서 막아 공격트래픽으로 인한 회선대역폭 소진을 근본적으로 막을 임무, URL Redirection 등 사전준비된 별도 대응조치와 함께 차단조치를 수행할 임무, 대역폭을 확대하기 위해 통신사업자(ISP)와 협조하여 대역폭 증설 등 조치를 할 임무, 공격이 완화되지 않을 경우 유관기관에 재협조 요청, 차단조치의 반복적 수행 등을 행하여 DDoS 상황을 완화, 공격 트래픽의 근본적 차단, 별도 대응조치 수행, 대역폭 확대 등의 조치를 취할 임무를 수행하였어야 하였다. 그러나 정보보호책임자이자 정보보호실무자인 피고인은 정당한 사유 없이 DDoS공격대응지침에 규정된 위 임무들을 수행하지 아니하여 DDoS 상황의 완화, 공격트래픽의 근본적 차단, 별도 대응조치 수행, 대역폭 확대 등의 조치를 취하여야 할 위 직무들을 유기하였다. 3) KT회선단절 관련 직무유기 DDoS 공격에 대한 궁극적인 방어방법으로 사이버대피소로의 대피가 필요하다는 점은 선관위 DDoS공격대응지침의 작성 근거인 국가정보원 작성의 DDoS 공격 대응매뉴얼에 3단계로 구분한 공격단계 중 제3단계로 대응불가시에 '(자체 대응 불가시)공동 대피소 활용(사전 확보 필요)'이라 되어 있고, 2010. 5.경 지방선거를 앞두고선관위 홈페이지 서비스가 잠시 중단되었을 때 피고인 스스로 KT에 DDoS 공격에 대한 대응방안으로 사이버대피소 활용방안을 문의한 바도 있으며, 이후 선관위 정보화담당관실에서 작성한 2011. 8. 10.자 '정보보호종합관리대책', 2011. 10. 7.자 '전산망 안전측정조치결과' 등 문건에서 확인되는 바와 같이 DDoS 공격에 대비하여 사이버대피소 활용방안을 검토하였으므로, 피고인은 DDoS 공격때 자체대응불가시는 즉시 선관위 홈페이지를 사이버대피소로 이동하여 선관위 홈페이지가 정상 운영되도록 할 직무상 임무가 있다. 2011. 10. 26. 05:50경부터 시작된 DDoS 공격에 대해 위 2)항과 같이 피고인이 별다른 대응조치를 취하지 아니하여 DDoS 사태가 진정되지 않고 1시간 동안 계속되었고, 이런 경우 정보보호책임자이자 정보보호실무자인 피고인은 자체대응이 불가하였기에 즉시 선관위 홈페이지를 사이버대피소로 이동하여 선관위 홈페이지가 정상 운영되도록 할 직무상 임무가 있다. 그런데 정보보호책임자이자 정보보호실무자인 피고인은 정당한 사유 없이 선관위 홈페이지를 사이버대피소로 이동하여 선관위 홈페이지가 정상 운영되도록 할 직무를 유기함에 더하여 정보보호책임관인 P에게 보고도 하지 아니하고 06:51경 KT 1회선을 단절하여 선관위 회선의 대역폭을 축소시켰으며, 07:00경에는 KT 2회선을 모두 단절하여 KT 2회선(155Mbps × 2 = 310Mbps)을 주회선으로 하고 LG U+ 1회선(당시는 증속되지 아니하여 45Mbps)을 보조회선으로 사용하던 선관위 대역폭을 LGU+ 1회선만 사용토록 함으로써 디도스사태를 극도로 심화시켰다. 그 결과 KT 2회선을 단절하기 전까지는 디도스사태로 선관위 홈페이지 접속이 어렵지만 10분당 투표소조회건수가 십여건 정도는 있었으나 KT 2회선 단절 이후로는 10분당 투표소조회를 한 건도 못할 정도로 디도스사태가 심화되었다. 이로써 피고인은 선관위 정보보호책임자이자 정보보호실무자로서 정보보호책임관인 P에게 보고도 하지 아니하고 KT 회선을 단절하여, DDoS 공격때 자체대응불가시는 즉시 선관위 홈페이지를 사이버대피소로 이동하여 선관위 홈페이지가 정상 운영되도록 하였어야 할 직무를 유기하였다. 나. 피고인 A 선관위는 2011. 9. 28. 서울시장 등 하반기 재보궐선거(2011. 10. 26.)(이하 '이 사건 선거'라고 한다)에 대비하여 45Mbps의 대역폭으로 운영되고 있던 LG U+회선을 최대 대역폭인 155Mbps로 증속해 줄 것을 LG U+에 요청하였고, 이에 LG U+는 네트워크 운영부문 남부네크워크팀 사원 Q으로 하여금 2011. 10. 5. LG U+회선의 대역폭을 155Mbps로 증속하는 작업을 하도록 하였으나, Q이 LG U+ 구로국사에서 원격으로 여의국사에 있는 라우터(제품명: 주니퍼 M320)에 증속작업을 하면서(회선의 대역폭 증속은 회선 양단에 설치되어 있는 라우터에 설정값을 변경하는 방식으로 한다) 증속값을 최고정상치 설정범위(135,631,698bit)를 초과한 '155M'으로 입력하는 바람에 LG U+ 회선은 증속되지 않고 여전히 45Mbps의 대역폭만 유지하게 되었다. 이 사건 선거 당일 선관위의 투표장소 안내업무를 방해하기 위하여 국회의원 L의 비서인 M과 N의 O 등이 선관위 홈페이지에 일시에 대량의 패킷 신호를 보내는 DDoS 공격을 감행, 선관위 홈페이지가 마비되도록 하여 선관위 홈페이지에서 제공하는 투표소 검색 서비스를 통해 자신의 투표소를 확인해 투표하려는 다수의 선거인들로 하여금 투표소 검색 등의 선거안내서비스를 받지 못하게 하였다. 2011. 10. 26. 06:51경 선관위 정보화담당관실 사무관 B은 위와 같은 DDoS 공격으로 선관위의 KT회선이 마비되자 KT회선을 단절하였고, 이에 따라 DDoS 공격 트래픽이 보조회선인 LG U+회선으로 옮겨가면서 LG U+회선 또한 마비되었는데, B과 선관위 정보화담당관실 주무관 R은 당시 정보화담당관실 사무실에 설치된 NMS(Network Monitering System) 및 DDoS 방어장비 모니터 화면을 통하여 LGU+회선에 흐르는 최고 트래픽이 40Mbps정도에 불과한 사실을 알게 되었다. 같은 날 07:10경 R은 LG U+ 공공고객2팀 S에게 전화하여 DDoS 공격으로 회선이 마비되었다는 장애신고를 하였고, 08:07경 LG U+ BS고객품질팀 직원 T는 S로부터 장애신고를 전달받아 일명 '타스크'에 위 신고내용을 입력하는 과정에서 선관위 측 회선대역폭이 155Mbps가 아닌 45Mbps로 되어 있는 것을 발견하고 '타스크'상에 회선상태의 이상 유무를 확인할 것을 요구하는 회선상태 확인이라는 메시지를 남겨 놓았고, 피고인 등은 그 무렵 '타스크'에서 자동 송신되는 '중앙선관위 4174159(회선번호) 45M 장애접수'라는 문자메시지를 받았으며, 피고인은 그 당시 LG U+ 직원 T가 고객정보 및 장애내용을 기재한 '타스크'에 회선 대역폭이 45Mbps로 감속되어 있다는 이력을 확인해 LG U+회선이 증속되지 아니하고 45Mbps에 머물러 있다는 사실을 알게 되었다. 또한, BS고객품질팀으로부터 회선상태를 점검해 달라는 요청을 받은 전달망 운영팀 U은 08:11:52경 LG U+ 라우터에서 트래픽양을 측정하였고, 같은 팀 사원 V은 같은 날 08:13:26경 LG U+ 라우터에 접속하여 트래픽 흐름을 살펴보았는데, 당시는 DDoS 공격을 받고 있기에 회선 대역폭이 최대로 사용되고 있었음에도 그 최대대역폭이 40Mbps정도밖에 되지 않는 것을 발견하는 등 피고인을 비롯한 LG U+직원들은 당시 155Mbps로 증속되어 있어야 하는 LG U+회선이 증속되지 않은 채 증속 이전의 상태인 45Mbps에 머물러 있다는 사실을 알게 되었다. 피고인은 2011. 10. 31.경 선관위 네트워크 담당자인 R 주무관으로부터 LG U+ 공공고객2팀 S을 통해 이 사건 선거 당일 LG U+회선에 유입된 트래픽이 최고 40Mbps에 머물렀던 원인에 대한 설명 및 자료제출을 요구받게 되자, 이 사건 선거 당시 LG U+회선 대역폭이 155Mbps로 증속되지 않았다는 사실을 잘 알고 있음에도 이러한 사실을 은폐하고, LG U+측의 법률적 책임 및 사회적 비난을 모면할 목적으로 증속작업의 효과, 실제 트래픽의 양 등을 확인할 수 있는 로그자료를 비롯한 객관적인 자료를 제출하지 아니하고 명확한 설명을 해 주지도 않았다. 또한, 피고인은 그 이후 S을 통하여 R로부터 수차례에 걸쳐 LG U+회선에 유입된 트래픽이 최고 40Mbps에 머물렀던 원인에 대한 설명 및 자료제출을 독촉받게 되자, 2011. 11. 23. 서울 관악구 남부순환로 272길 23, 선관위 관악청사에서 R에게 10. 26. DDoS 공격 당시 LG U+회선에서 선관위로 200Mbps 이상의 트래픽이 유입되었다고 허위의 진술을 하면서 LG U+회선에서 선관위로 유입된 트래픽의 양이 최고 219Mbps인 것처럼 보이는 데이터 자료를 제출하였다. 그러나 피고인이 제출한 자료는 LG U+ 라우터에서 선관위로 유입하려고 대기하고 있는 트래픽의 양이었고 실제로 선관위로 유입된 트래픽의 양이 아니었다. 한편, 선관위 통신·보안장비 유지보수업체인 W는 2011. 11. 하순경부터 12, 초순경까지 '이 사건 선거 서비스장애 분석보고서'를 작성하여 계속 보완하고 2011. 12. 6. 최종 완성하여 선관위에 제출하였는데, 이 분석보고서는 '2011. 10. 26. 07:00경 이후 08:30경까지 LG U+ 망을 통해 서비스를 하였으나 서비스가 중단'된 이유를 분석하기 위해서는 LG U+를 상대로 LG U+회선에 대한 구체적인 자료를 받아 볼 것을 권고하였다. 피고인은 2011. 12. 7.경 R로부터 재차 10. 26. DDoS 공격 당시 LG U+회선에서 선관위로 유입된 트래픽과 관련된 정확한 자료를 제출하도록 요구받자, R에게 이전에 제출한 트래픽 자료를 근거로 LG U+회선에서 선관위로 200Mbps 이상 트래픽을 보냈으나 선관위 측 회선에 40Mbps 정도밖에 나타나지 않은 것은 LG U+와 선관위 MRTG(Multi Router Traffic Grapher: 네트워크의 트래픽 양을 모니터링하고 측정하는 소프트웨어) 프로그램의 알고리즘(계산방식)이 차이가 있고, LG U+의 트래픽은 Peak치를 기준으로 표현되었고, 06:48경~08:54경까지는 BGP 라우팅이 사라졌다 복구되는 과정에서 트래픽의 변동이 발생하여 5분 평균 트래픽이 감소(1/10)하여 보내주기 때문이며, KT회선의 MRTG자료가 Peak(155M)를 보여주는 이유는 KT는 BGP Session을 2회선으로 구성하였고 2회선이 번갈아가면서 down/up되므로 계속적으로 트래픽이 유입되기 때문이라는 등 허위의 내용으로 이메일을 송부하였다. 그리하여 2011. 12. 일자 미상경 이러한 사실을 모르는 선관위 정보화담당관실 사무관 X은 LG U+회선은 제대로 증속이 되었고 이 사건 선거 당일 LG U+회선에 200Mbps 이상의 트래픽을 송출하였다는 MRTG자료와 이에 대한 피고인의 설명 및 피고인이 보낸 이메일의 내용을 믿고 LG U+회선의 대역폭이 증속작업의 오류로 155Mbps로 증속되지 않고 45Mbps로 그대로 남아 있다는 사실을 전혀 알지 못한 채 LG U+회선은 155Mbps로 증속되어 이 사건 선거 당일 선관위는 총 465Mbps의 대역폭을 보유하고 있었고, 선관위 회선에 200Mbps 이상의 트래픽이 유입되었다는 잘못된 내용의 기술분석결과보고서를 작성하였고, 2011. 12. 13. 선관위에서 개최된 '중앙선거관리위원회 DDoS 공격의 기술적 이슈에 대한 전문가 자문회의'에서 피고인이 참석한 가운데 내·외부 자문위원 7명에게 위 기술분석결과보고서를 기초로 위와 같이 LG U+ 회선이 증속작업의 오류로 155Mbps로 증속되지 않고 45Mbps로 그대로 남아 있다는 사실을 제대로 알리지 아니하고 LG U+회선이 155Mbps로 정상적으로 증속되었고 200Mbps 이상의 트래픽이 유입되었다는 취지의 보고를 하였다. 같은 달 하순경 피고인은 X으로부터 자문회의에서 논의된 LG U+회선에 흐른 정확한 트래픽양 및 219Mbps 그래프에 대한 해명을 재차 요구받자 이전에 제출한 MRTG자료를 제시하며 여전히 선관위 회선이 155Mbps로 정상적으로 증속되었고, 200Mbps 이상의 트래픽이 유입되었다는 취지로 허위의 설명을 하였다. 2011. 12. 23.경 대한민국 국회 행정안전위원회에서 선관위 사무총장 Y, 기획조정실장 Z은 행정안전위원회 위원장 AA, 위원 AB 등 위원 10여 명 앞에서 선관위 홈페이지 DDoS 공격에 대한 현안보고를 하면서, 위와 같은 피고인이 제출한 MRTG자료를 그대로 믿고 사이버 공격에 대한 대응체계와 관련하여 선관위 LG U+회선이 155Mbps로 정상적으로 증속되어 전체 회선을 465Mbps로 증속, 운영하여 서울시장 보궐선거에서 통신량증가 및 사이버 공격에 대비하였다는 취지로 보고하였다. 또한, 2012. 2.경 참여연대는 선관위가 발표한 '기술분석결과보고서'의 내용 중 12쪽에 기재된 'LG U+회선에 유입된 200M 이상의 트래픽양 및 회선사업자(LG U+) 측 송신 트래픽을 나타내는 그래프(219M)'를 지적하면서 LG U+회선이 제대로 작동하지 않은 이유와 관련하여 계속 의문을 제기하고 '위 그래프만으로는 LG U+망에 200Mbps가 유입된 흔적을 찾기 어렵다.'는 의견을 제시하며 선관위에 참여연대 및 시민사회단체 등과 토론회를 통해 그동안 선관위에 제기되어 왔던 각종 의혹에 대해 국민들에게 설명하는 자리를 갖자고 제안하였다. 2012. 2. 22.경 선관위는 다음날로 예정된 참여연대 토론회('이 사건 선거시 중 앙선관위 인터넷서비스 장애 어떻게 볼 것인가.')를 대비하고자 준비회의를 하였고, 이 회의에 피고인을 포함한 LG U+, KT 등 회선업체 담당자 및 W 등 선관위 네트워크 장비 유지보수업체 담당자 등 10여 명이 참석하였다. 피고인은 선관위 준비회의에서 선관위 정보화담당관실 사무관 X으로부터 이 사건 선거 당일 LG U+회선에 200Mbps가 유입된 흔적을 찾기 어렵고, LG U+회선이 비정상적으로 작동을 한 이유가 무엇인지에 대한 해명을 요구받자, X 및 회의 참석자 10여 명에게 219Mbps가 유입된 MRTG자료를 제시하면서 선관위 회선으로 흐른 트래픽의 양이 MRTG자료에 나타난 바와 같이 최고 정상치 219Mbps이고, 선관위 측 라우터에 나타난 30Mbps의 트래픽 양은 통신장비간 상호응답 송·수신실패(BGP업다운)로 인한 것으로 LG U+회선이 정상적으로 증속되어 작동하였다는 취지로 허위의 내용으로 설명하였다. 2012. 2. 23. 참여연대 느티나무홀에서 개최된 참여연대 토론회('이 사건 선거시 중앙선관위 인터넷서비스 장애 어떻게 볼 것인가.')에서 선관위 정보화담당관 AC 및 X은 위와 같은 LG U+회선 증속이 제대로 되었으며 이 사건 선거 당일 LG U+회선에 200Mbps 이상의 트래픽을 송출하였다는 피고인의 허위의 MRTG자료 및 보고를 그대로 믿고, 사회자 변호사 AD, 발제자 AE대 로스쿨 교수 AF 등 2명, 토론자 AG대 교수 AH 등 4명, 방청객 언론사 기자 등 30여 명 앞에서 AI 등이 생중계하는 가운데 219Mbps가 유입된 MRTG자료를 제시하면서 선관위 회선으로 흐른 트래픽의 양이 MRTG자료에 나타난 바와 같이 최고정상치 219Mbps이고, 선관위 측 라우터에 나타난 30Mbps의 트래픽양은 통신장비간 상호응답 송·수신실패(BGP업다운)로 인한 것으로 선관위 회선이 정상적으로 증속되어 작동하였다는 취지로 허위의 내용으로 설명하였다. 피고인은 이와 같이 위계로써 선관위 사무총장 Y, 기획조정실장 Z, 정보화담당관 AC, 정보화담당관실 사무관 X, 주무관 R 등의 2011. 10. 26. DDoS 공격에 대한 원인분석 및 정보통신망 운영 관리, 국회보고업무, 대국민 홍보업무 등에 관한 정당한 직무집행을 방해하였다. 2. 피고인 B에 대한 판단 가. 직무유기죄 관련 법리 1) 직무유기죄는 이른바 부진정부작위범으로서 구체적으로 그 직무를 수행하여야 할 작위의무가 있는데도 불구하고 이러한 직무를 버린다는 인식하에 그 작위의무를 수행하지 아니함으로써 성립한다(대법원 1983. 3. 22. 선고 82도3065 판결 등 참조). 그리고 이러한 직무유기죄는 공무원이 법령·내규 등에 의한 추상적 충근의무를 태만히 하는 일체의 경우에 성립하는 것이 아니라, 직무에 관한 의식적인 방임 내지 포기 등 정당한 사유 없이 직무를 수행하지 아니함으로써 국가의 기능을 저해하고 국민에게 피해를 야기시킬 구체적 위험성이 있고 불법과 책임비난의 정도가 높은 법익침해의 경우에 한하여 성립하는 것이므로, 공무원이 태만, 분망, 착각 등으로 인해 직무를 성실히 수행하지 아니한 경우나 형식적으로 또는 소홀히 직무를 수행하였기 때문에 성실한 직무수행을 못한 것에 불과한 경우에는 직무유기죄는 성립하지 아니한다고 할 것이고, 또한, 어떠한 형태로든 직무집행의 의사로 자신의 직무를 수행한 경우에는 그 직무집행의 내용이 위법한 것으로 평가된다는 점만으로 직무유기죄의 성립을 인정할 것은 아니다(대법원 1997. 8. 29. 선고 97도675 판결, 대법원 2007. 7. 12. 선고 2006도1390 판결 등 참조). 2) 직무유기죄의 입법목적은 공무원의 직무성실성을 관철함으로써 국가의 기능을 보호하는 데 있다. 그런데 일반적으로 공무원이 직무상의 의무를 위반하여 직무를 태만히 할 경우 징계조치로도 제재를 가할 수 있으므로 그 의무이행확보의 수단으로 형벌을 부과할 것인지 여부는 신중히 판단하여야 한다. 나. 양측 주장의 개요(쟁점에 관한 정리) 1) 이 사건 공소사실은, 피고인은 정보보호책임자이자 정보보호실무자로서 DDoS공격대응지침에 따라 기술대응절차서를 작성하여 DDoS 공격 초기 신속한 대응을 할 수 있도록 하고, DDoS 공격탐지지표를 작성하여 각 탐지결과에 따라 단계별로 DDoS 공격대응절차를 미리 수립하며, 이러한 절차에 따라 신속히 공격을 차단할 수 있도록 사전에 대비하여야 할 직무상 임무가 있음에도 3번의 선거, 투표에 걸쳐 정당한 사유 없이 위 임무를 유기하였고(DDoS 공격대비 관련 직무유기), 1차 DDoS 공격시 야간 상황근무, DDoS 방어장비 등에 대한 알람시스템 최적화 설정 등의 사전조치 및 DDoS공격대응지침에 따라 운영장비의 부하량 등을 지속적으로 모니터링하지 않았으며, 2차 DDoS 공격시 DDoS공격대응지침에 단계별 조치사항으로 기재되어 있는 임무들을 수행하지 않아 직무를 유기하였고(DDoS 공격대응 관련 직무유기), DDoS 공격대응지침의 작성 근거인 국가정보원 작성의 DDoS 공격 대응 매뉴얼에 '자체 대응불가시에는 공동대피소 활용(사전 확보 필요)'이라고 기재되어 있고, 이 사건 선거일 이전에 선관위와 피고인은 사이버대피소 활용방안을 검토하기도 하였으므로, 자체 대응이 불가한 시점에서 즉시 선관위 홈페이지를 사이버대피소로 이동하여 선관위 홈페이지가 정상 운영되도록 할 직무상 임무가 있음에도 정당한 사유 없이 위 임무를 유기함에 더하여 정보보호책임관인 P에게 보고도 하지 아니하고 KT 2회선을 모두 단절하여 DDoS 사태를 심화시켰다는 것이다(KT회선단절 관련 직무유기). 2) 이에 대해 피고인 및 변호인은, DDoS 공격대비 직무유기 관련 공소사실에 관해, 피고인은 정보보호책임자이지 정보보호담당실무자가 아니므로 DDoS공격대응지침에 따라 DDoS 공격을 대비하여 기술대응절차서와 DDoS 공격탐지지표를 작성할 직무상의 책임이 없고, 오히려 과중한 업무에 시달리는 정보보호담당실무자인 AJ의 업무에 도움을 주기 위하여 스스로 기술대응절차서와 공격탐지지표를 작성하기 위한 참고자료를 수집하는 외에 기술대응절차서와 공격탐지지표 초안을 작성하기까지 하였고, DDoS 공격대응 직무유기 관련 공소사실에 관해, 피고인은 이 사건 선거일 06:20경 출근 중에 선거관리프로그램 접속에 문제가 있다는 직원의 연락을 받은 후 출근 즉시 DDoS공격대응지침 상의 일부 조치를 수행하였으며, KT회선단절 직무유기 관련 공소사실에 관해, 피고인은 공격 트래픽이 KT 회선으로만 집중되어 있고, 투표율 첫 보고시점인 07:00가 다가오고 있어 매우 급박한 상황이었기 때문에 상황 타개를 위해 KT 회선을 단절한 것이고, 이 사건 선거일 당시 선관위와 통신사업자 사이에는 사이버대피소 이용에 대한 별도의 계약이나 협약이 없는 상태였기 때문에 사이버대피소를 현실적으로 이용할 수도 없었는바, 결과적으로 피고인이 당시의 상황분석 및 판단 과정에서 착오 등의 사유로 직무수행을 만족스럽게 하지 못하였다고 하더라도, 그것만으로 피고인이 직무에 대한 의식적인 방임 내지 포기 등 정당한 사유 없이 직무를 수행하지 않은 것으로 볼 수 없어 직무유기죄가 성립하지 아니한다는 취지로 다툰다. 다. 쟁점에 관한 판단 1) DDoS 공격대비 관련 직무유기에 관한 판단 가) 피고인에게 DDoS공격대응지침에 따른 기술대응절차서와 DDoS 공격탐지지표를 작성할 직무상 작위의무가 있는지 여부 주장 검사 피고인은 선관위의 정보보호책임자이자 DDoS공격대응지침상 정보보호담당실무자의 지위에 있었으므로, 기술대응절차서와 DDoS 공격탐지지표를 작성할 직무상 작위의무가 있다. 변호인 피고인은 선관위의 정보보호책임자이고, 당시 정보보호담당실무자는 AJ이었으므로, 피고인에게는 DDoS공격대응지침에 따른 기술대응절차서와 DDoS 공격탐지지표를 작성할 직무가 없다. 판단 관련 규정 및 DDoS공격대응지침 선관위 정보통신보안업무규정 제2장 정보보안 관리 제6조(정보보안책임자) 소관내의 정보보안에 대해 책임을 지고 정보보안담당관의 정보보안업무수행을 지원하기 위하여 부서별로 정보보안책임자를 두며, 정보보안책임자는 각 과장이 된다. 제7조(정보보안실무자의 지정) 정보보안담당관은 정보보안 및 정보통신기반보호업무 수행을 보조하기 위하여 정보통신기반 및 정보보호시스템을 관리.운영하는 실무자(이하 '기반보호실무자'라 한다)를 지정.운영하여야 하며, 기반보호실무자는 원칙적으로 전산직 공무원 또는 전산담당직원으로 한다. 제20조(정보보안사고의 처리) 정보보안담당관 또는 정보보안책임자는 정보보안사고가 발생한 때에는 즉시 피해확산을 방지하기 위한 조치를 취하고 일시 및 장소, 사고 원인, 피해현황 등 개요, 사고자 및 관계자의 인적사항, 조치내용 등을 보고하여야 한다. 제3장 정보통신기반 보호관리 제21조(정보보호책임관 등의 지정) 정보보호책임관은 주요정보통신기반시설의 안전한 운영.관리 및 보호를 효율적으로 수행하기 위하여 각급위원회에 정보보호책임자를 지정.운영할 수 있다. 이 경우 중앙위원회는 소관 5급 공무원을 지정한다. 제22조(침해사고대응팀 구성) 정보보호책임관은 전자적 침해사고의 신속한 대응 및 복구를 위하여 중앙위원회에 다음 각 호에 따라 침해사고 대응팀을 구성.운영하여야 한다. 1. 팀장 : 정보보호책임관 또는 중앙위원회 정보보호책임자 2. 팀원 : 중앙 및 시.도위원회 기반보호실무자 침해사고대응팀장은 다음 각 호의 사항을 총괄한다. 1. 침해사고 대응 및 복구 업무 2. 정보통신기반의 정보보호상태 점검 업무 침해사고대응팀원은 다음 각 호의 사항을 수행하여야 한다. 1. 침해사고 접수 및 보고 2. 침해사고에 관한 정보관리 3. 침해사고 예방을 위한 업무 제24조(정보통신기반의 보호) 기반보호실무자는 정보통신기반의 보호를 위하여 다음 각 호의 사항을 상시 점검하거나 준수하여야 한다. 1. 정보통신기반 업무 및 전산장비의 보호책임 및 보안기능 설정 2. 정보통신기반의 세부구성도, 운영환경 설정정보 등 중요자료의 유출 방지 및 보안관리 3. 정보보호 관련 법령 및 지침 등의 준수에 관한 사항 기반보호실무자는 주기적으로 진단도구를 이용하여 정보통신기반의 보안취약점을 진단하여야 한다. 이 경우 해당 장비에 대한 접속.접근기록을 관리하여야 한다. 기반보호실무자는 자동 수록된 접근자료를 다음 각 호와 같이 관리하여야 한다. 1. 접근자료는 접속의 성공여부와 무관하게 기록 유지 2. 정보통신기반 접근기록은 매일 점검하고, 특이사항은 즉시 정보보호책임자에게 보고 3. 자동 수록된 자료는 보안사고 발생시 확인 등을 위하여 3개월 이상 보관(백업자료 포함) 4. 접근자료의 외부유출 방지를 위한 보안대책 강구 5. 3회 이상 접속시도의 오류가 발생하는 경우 경보 발생 및 기반보호 실무자에 통보기능 부여 제39조(침해사고 대응조치) 기반보호실무자는 정보통신기반에 대한 해킹 등 전자적 침해사고의 징후가 있거나 전자적 침해사고의 발생을 인지한 때에는 접속차단 등 초동조치를 취하고 바로 정보보호책임관 또는 정보보호책임자에게 보고하여야 한다. 제2항에 따른 보고를 받거나 이를 알게된 정보보호책임관 또는 정보보호책임자는 제20조 제1항을 준용하여 보고하여야 한다. DDoS공격대응지침 II. 2. 역할별 임무 나. 정보보호책임자 소관 정보시스템 DDoS공격 발생시 대응 주관 피해범위 및 상황보고서 작성, 규정 제39조 제3항에 따라 보고 정보보호책임관 및 국가사이버안전센터에 사고통보 및 협조 DDoS공격 피해 복구방안 수립 및 수행 DDoS공격 대응 모의훈련 수행 홈페이지 접속불가 등 위기상황 발생시 대외홍보대책 마련 다. 기반보호실무자 정보보호담당 - 정보자산에 대한 보안점검 및 대응절차서 마련 등 보안강화방안 수립 - 이상징후 발생시 모니터링 결과 등을 종합.분석하여 공격여부인지 - 보안장비, 네트워크, 서버 및 홈페이지 담당실무자(이하 '장비별 담당실무자'라고 함)와 협조, 긴급조치 수행 - 공격내용 분석 및 피해범위 파악을 통한 현황 보고 - 대응조치 수행 총괄 및 통신사업자 협조 - DDoS공격 후 복구방안 수립 및 복구수행 실무 총괄 보안장비, 네트워크, 서버 및 홈페이지담당 - 평시 장비 설정, 트래픽 모니터링 및 로그, 통계분석을 통한 최적화 수행 - 이상징후 발생시 정보보호담당실무자에게 통보 - 장비별 담당실무자 상호 간에 정보 공유 - 장비별 유지.보수업체 또는 위탁운영업체와 협력 - DDoS공격 인지시 장비별 상태 확인 후 긴급조치 수행 - DDoS공격 대응절차에 따라 피해 최소화를 위한 대응 수행 - DDoS공격 후 장비별 복구방안 수립 협조 및 복구 수행 IV. 1. DDoS공격 대응 개요 담당실무자는 대응절차 및 요령을 숙지하고, 평시 운영장비 모니터링 중 이상 징후를 인지하는 경우에는 정보보호담당실무자에 통보하여 초동조치 등 DDoS공격에 적절히 대응할 수 있도록 하여야 한다. 정보보호담당실무자는 DDoS공격 발생시 신속한 대응조치를 위하여 담당실무자와 협조하여 운영장비에 맞는 기술대응절차서를 작성.구비하여야 하며, 항상 최신상태로 유지하여야 한다. 2. DDoS공격 대응절차 가. 1단계 : 모니터링 정보보호담당실무자는 장비별 담당실무자 및 유지.보수업체와 협의하여 평시 및 선거시 확보한 기준자료를 반영한 DDoS공격탐지지표를 작성하고, 이를 DDoS공격 여부를 판단하는 데 활용한다. 나. 2단계 : 공격탐지 담당실무자는 운영장비 모니터링 중 네트워크 트래픽 등이 평소와 현저히 다르게 급격히 증가하는 등 DDoS공격으로 의심되는 상황이 발생하면, 즉시 정보보호담당실무자에게 통보하여야 한다. 정보보호담당실무자는 장비별 담당실무자와 협의를 통해 DDoS공격탐지지표 및 전체 상황을 분석.종합하여 공격탐지 여부를 결정하고 정보보호책임관 또는 정보보호책임자에게 보고하며, 초동조치를 수행한다. 다. 3단계 : 초동조치 DDoS공격으로 판명되면, 정보보호담당실무자는 기술대응절차서에 따라 장비별 담당실무자로 하여금 피해규모를 최소화하기 위하여 공격IP주소차단, 장비 임계치 조정 등 기본조치를 수행하도록 한다. 정보보호담당실무자는 초동조치 수행 후 국가사이버안전센터 및 통신사업자(ISP) 등 유관기관과 유지.보수업체 등에 통보하여 필요시 공격대응을 위한 협조를 요청하여야 한다. 정보보호담당실무자는 DDoS공격에 의한 피해확산 여부를 지속적으로 모니터링하며, 피해발생 장비를 파악하고 공격유형을 식별하는 등 상세 분석을 위한 정보를 수집하여야 한다. 라. 4단계 : 상세분석 정보보호담당실무자는 장비별 담당실무자와 장비상태를 확인하고 수집된 공격 관련 정보를 분석하여 공격기법 식별 및 원인, 피해범위를 파악한다. 정보보호담당실무자는 장비별 담당실무자와 DDoS공격탐지지표를 참조하여 장비 설정 변경 및 별도 대응조치 등 차단조치 방안을 수립하고, 공격분석보고서를 작성한다. 마. 5단계 : 차단조치 정보보호담당실무자는 수립된 차단조치 방안 및 기술대응절차서를 이용하여 장비별 담당실무자와 각 장비의 설정을 변경하고, URL Redirection 등 사전 준비된 별도 대응조치와 함께 차단조치를 수행하여야 한다. 정보보호담당실무자는 DDoS공격 차단조치 수행 후, 모니터링을 통해 공격차단 성공 여부를 확인하여 공격이 진화되고 소강상태에 들었다고 판단되면, 유관기관에 통보하고 피해복구절차를 수행하여야 한다. 정보보호담당실무자는 DDoS공격 차단조치 수행 후에도 공격이 완화되지 않을 경우 유관기관에 재협조 요청하고, DDoS공격탐지지표에 대한 상세 분석과 차단조치를 반복적으로 수행하여야 한다. 정보보호담당실무자는 DDoS공격에 대한 지속적 차단조치에도 불구하고 피해범위가 계속 확산되고 방어조치가 원활히 이루어지지 않는다고 판단되면, 정보보호책임관 및 정보보호책임자에게 보고하고 네트워크 케이블의 일시단절 및 서버 재부팅 등 강력한 대응조치를 수행할 수 있다. V. 1. 피해복구 범위결정 정보보호담당실무자는 DDoS공격에 의한 장비별 피해현황을 종합 분석하여 피해수준을 산정하고 피해복구범위를 결정하여야 한다. 피해복구범위는 장비별 담당실무자와 협의한다. 2. 피해복구 우선순위 결정 정보보호담당실무자는 피해복구범위와 우선순위를 결정하는 경우 정보시스템서비스에 영향이 없도록 서버 등 장비 운영상황을 확인하여야 한다. 3. 피해복구 장비별 담당실무자는 서버 등 장비가 정상적으로 운영될 수 있도록 복구를 수행한다. 정보보호담당실무자는 피해복구가 완료된 후, 전반적인 정보시스템서비스의 정상동작 여부를 최종 점검하여야 한다. VI. 보칙 2. DDoS공격 대응 관련 작성자료의 현행화 및 보안관리 정보보호담당실무자는 DDoS공격 대응장비 등 주요 장비에 대한 DDoS공격 기술대응절차서를 작성하고, 비상연락망, 구성장비목록, 공격탐지지표 등과 함께 상시 현행화 관리하여야 한다. 선관위 정보화담당관실 정보기획계 업무분장 내역(2011. 10. 26. 현재) 판단 위 관련 규정 및 공격대응지침의 내용, 선관위 업무분장 내역과 이 법원의 적법한 증거조사에 의하여 인정되는 아래와 같은 각 사정, 즉 DDoS공격대응지침상 선관위의 기반보호실무자가 담당하는 업무로는 정보보호담당, 보안장비담당, 네트워크장비담당, 서버 및 홈페이지 담당이 있는데, 그 중 보안장비 담당은 AJ, 네트워크장비 담당은 R, 서버 및 홈페이지 담당은 AL으로 되어 있으나, 정보보호담당은 명확하게 정해져 있지 아니한 점, 피고인은 검찰에서 "내가 직접 기술대응절차서, DDoS공격탐지지표를 작성하여야 할 직무상 임무가 있었고, 이 사건 선거 당시 작성을 준비중이었다."라는 취지로 진술한 점, DDoS공격대응지침에 의하면, 정보보호담당은 '정보자산에 대한 보안점검 및 대응절차서의 마련 등 보안강화방안 수립, 장비별 담당실무자와 협조하여 긴급조치 수행, 대응조치 수행 총괄 및 통신사업자 협조, 디도스 공격 후 복구방안 수립 및 복구수행 실무 총괄 등'의 임무를 수행하고, DDoS공격으로 의심되는 상황이 발생하면 장비별 담당실무자는 정보보호담당실무자에게 이를 통보하고, 정보보호담당은 DDoS공격 대응절차 내 각 단계별 대응 전반에 관하여 상황 분석, 대응조치 실무 총괄, 공격 상황 발생 후 공격분석보고서 등을 작성하도록 되어 있는바, 이에 의하면 정보보호담당은 정보보안 및 정보통신기반보호업무 수행의 보조 역할에 그치는 것이 아니라 각 장비별 담당실무자의 통보에 기초하여 DDoS공격에 대한 예방방안, 공격 후의 복구방안 등 기획업무와 공격 발생시 대응조치 주관, 실제적인 복구의수행, 복구 후 분석보고서의 작성 등 업무를 주관하는 실무 책임자로서의 역할을 수행해야 하는 것으로 볼 수 있는 점, 또한 위와 같은 정보보호담당의 실제 업무는 선관위 정보통신보안업무규정 제22조 제3항 제1호에서 규정한 정보보호책임자(침해사고대응팀장)로서의 업무(침해사고 대응 및 복구 업무, 정보통신기반의 정보보호상태 점검 업무의 총괄)에 해당하고, 한편 같은 업무규정 제22조 제4항 제1호는 기반보호실무자(침해사고대응팀원)의 임무로서 '침해사고 접수 및 보고'를 규정하고 있어 장비별 기반보호실무자는 정보보호책임자에게 보고하여야 하고, 같은 업무규정 제39조 제3항에 의해 준용되는 제20조 제1항은 정보보호책임자가 침해사고 발생 후 일시 및 장소, 사고 원인, 피해현황 등 개요 등을 보고하도록 규정하고 있는데, DDoS공격대응지침에서는 정보보호담당이 장비별 기반보호실무자로부터 이를 보고받아 공격분석보고서를 작성하도록 되어 있어 사실상 정보보호책임자가 DDoS공격대응지침상의 정보보호담당 업무를 수행해야 하는 것으로 보이는 점, 피고인은 이 법정에서 AJ이 정보보호실무자로 기재된 DDoS공격 대응 담당자 비상연락망을 제출한 바 있으나, 한편 AJ이 특검에서 "DDoS공격 당시 피고인이 DDoS공격대응지침대로 했다고 말을 하여 그때서야 DDoS공격대응지침을 봤다. DDoS공격탐지지표는 2011년도에 만들어진 것이 있는 것으로 알고 있으나 자세한 것은 모른다. 기술대응절차서는 작성되어 있지 않고 본 적도 없다."라는 취지로 진술한 내용 등에 비추어 보면, 이 사건 선거 당시 AJ은 위 비상연락망에 기재된 '정보보호실무자'의 직책과 해당 업무 및 역할을 거의 인지하지 못했던 것으로 보이고, 위 비상연락망의 기재만으로 DDoS공격대응지침상의 정보보호담당이 사실상 AJ의 직무 범위에 해당하였다고 보기 어려운 점, 나아가 피고인은 정보보호담당실무자의 직무범위에 속하는 DDoS공격대응지침에 따른 기술대응절차서나 DDoS공격탐지지표의 작성 책임에 관해 그동안 AJ에게 업무지시를 별도로 내린 바가 전혀 없고, 오히려 피고인 스스로가 뒤에서 보는 바와 같이 기술대응절차서 초안 등을 직접 작성하였고, 이 사건 선거 당일에도 DDoS공격대응지침상의 정보보호담당 업무 중 일부를 직접 수행한 것으로 보이는 점, 피고인은 국가사이버안전센터(NCSC) 및 국가보안기술연구소(NSRI)가 발간한 DDoS 공격대응매뉴얼을 기초로 2011. 3.경 DDoS공격대응지침을 완성하였다고 하는바, 위 DDoS 공격대응매뉴얼 중 "제1절 DDoS 공격대응조직의 운영, 1. 대응조직 및 역할별 임무표"에 의하면, "기관장 아래 정보보호책임자, 정보보호책임자 아래 정보보호 실무책임자, 네트워크 담당, 보안장비 담당, 서버 담당"의 위계 체제를 갖추고 있어서 이를 선관위 정보화담당관실 업무분장내역과 연계할 경우 피고인의 직속상관인 P(정보화담당관)을 정보보호책임자로, 전산사무관인 피고인을 정보보호 실무책임자로, 네트워크 담당을 R로, 보안장비 담당을 AJ로, 서버 담당을 AL으로 볼 수 있고, 그 결과 DDoS공격대응지침상 정보보호담당을 피고인으로 보아야 함이 당시의 조직체계 및 업무분장내역 취지에도 부합하는 점 등의 제반 사정을 종합하면, 이 사건 선거 당시 피고인은 정보보호책임자일뿐만 아니라 DDoS공격대응지침상 정보보호담당 업무를 실제 겸임하였던 것이고, 따라서 피고인으로서는 DDoS공격대응지침에 따른 기술대응절차서와 DDoS공격탐지지표를 작성할 직무상 작위의무가 있었다고 할 것이다(피고인이 DDoS공격대응지침을 작성하면서 정보보호담당을 기반보호실무자의 업무 범주에 포함시켰다고 하더라도, 이는 피고인이 당시 참조하였던 DDoS 공격 대응 매뉴얼의 조직도와 일치하지 아니하고, 나아가 정보보호담당이 사실상 정보보호책임자의 권한과 책임에 준하는 역할을 수행하는 것으로 규정되어 있는 이상 지침의 형식보다는 실체관계로 책임의 소재를 파악하는 것이 합당하다.). 나) 피고인이 기술대응절차서 및 공격탐지지표를 작성하지 아니한 행위가 직무에 관한 의식적인 방임 내지 포기 등 정당한 사유 없이 이루어진 것으로 볼 수 있는지 여부 앞서 본 바와 같이 정보보호책임자이자 정보보호담당 업무를 겸했던 피고인은 기술대응절차서와 공격탐지지표를 작성할 의무가 있다. 그러나 이 법원의 적법한 증거조사에 의하여 인정되는 아래와 같은 각 사정에 비추어 보면, 피고인이 그와 같은 작성 의무를 제대로 이행하지 않은 것이 직무의 불성실성, 소홀한 직무수행으로 평가할 수 있는지는 별론으로 하더라도, 검사가 제출한 증거들만으로는 피고인이 직무에 관한 의식적인 방임 내지 포기 등의 사유로 기술대응절차서 및 공격탐지지표를 작성하지 않은 것이라고 단정하기 어렵고, 달리 이를 인정할 증거가 없다. 선관위는 DDoS공격에 대비하여 DDoS 방어장비를 도입하고, 피고인의 주관하에 2010. 11. 26. DDoS 공격대응 모의훈련을 실시하였는바, 검사의 주장과 같이 당시 피고인이 위 모의훈련과정에서 선관위 내부에 트래픽 발생기를 설치하고 이를 DDoS 방어장비에 연결하여 공격 트래픽을 차단하는 훈련만을 하게 하고, 대역폭 소진형 공격에 관한 훈련, DDoS 공격의 실시간탐지를 위한 알람 설정, 사이버대피소로의 대피훈련 등을 실시하지 않았다고 하더라도, 특별한 사정이 없는 한 그와 같은 사정만으로 피고인이 직무를 버린다는 인식하에 그 작위의무를 수행하지 않은 것으로 평가하기 어렵다. AJ은 2010. 9. 1.자로 R의 후임으로 정보화담당관실 정보기획계 보안 담당자로 배치되었으나 이전 부서의 업무 인수인계 절차로 인해 정보기획계로 출근하지 못하다가 2011. 1. 1.이 되어서야 정보기획계로 출근하였다. 이후 AJ은 R로부터 정보기획계의 정보보안업무를 인수인계 받는데 약 5개월 정도가 소요되어 2011. 1. 1.경부터 2011. 5.경까지 피고인과 R은 AJ의 업무를 일부 도와주게 되었는데, 정보기획계는 당시 각종 전산행정업무, 국회 및 행정부 등에 대한 대내외 업무, 국가사이버안전센터의 보안진단과 그에 따른 후속조치, 행정안전부 정부통합전산센터의 선거정보통신망 전문기술지원 등의 과다한 업무를 진행하고 있어 업무강도가 매우 과중한 상태이었다. 피고인은 DDoS 방어장비 유지·보수업체인 W의 직원인 AM을 통하여 디도스장비 준비절차서와 DDoS 공격 대응 지침서를 제공받는 등 기술대응절차서와 공격탐지지표를 작성하기 위한 기초자료를 수집하였고, 2011. 3.경 DDoS공격대응지침을 완성하는 외에 나름대로 기술대응절차서와 탐지지표 초안까지 마련하려고 노력하였는바, 피고인이 기술대응절차서와 공격탐지지표의 작성을 완료하여 최종 결재까지 받아야 할 직무를 성실하게 수행하지 못한 업무상 성실의무위반의 책임을 물을 수 있는지는 별론으로 하고, 그와 같은 사정만으로 당시 피고인이 직무를 방임하거나 포기한 것이라고 섣불리 단정하기 어렵다. 2) DDoS 공격대응 및 KT회선단절 관련 직무유기에 관한 판단 가) 인정사실 이 법원의 적법한 증거조사에 의하면 아래와 같은 사실을 인정할 수 있다. 이 사건 선거 당시 선관위 홈페이지와 서울시장 AN당 후보인 AO의 홈페이지에 DDoS 공격이 있었는데, 당시 공격자들은 좀비 PC를 조종해 선관위 홈페이지에 일시적으로 대량의 패킷 신호를 보내어 선관위 홈페이지에 대한 인터넷 접속을 마비시켜 다수의 선거인들로 하여금 선관위 홈페이지에서 제공하는 투표소 검색 등의 선거안내 서비스를 받지 못하게 하였다. 이 사건 선거 당일 공격자들은 1차 DDoS 공격(2011. 10. 26. 00:58경 같은 날 01:03경)을 감행한 뒤 2차 DDoS 공격(같은 날 05:50경 ~ 같은 날 08:32경)을 하였는데, 2차 DDoS 공격 당시 선관위의 대응조치는 아래와 같다. 피고인은 이 사건 선거 당일 06:20경 출근 도중 선거관리프로그램 접속에 문제가 있다는 선관위 직원의 연락을 받고, 사무실에 들어와 모니터링 시스템을 보면서 상황을 확인하였으며, 방화벽 로그를 확인하고 인터넷 제어 메시지 프로토콜을 차단하여 DDoS 공격 패턴을 알아낸 뒤 같은 날 06:30경 KT 국가망운용실에 장애상황과 트래픽 확인을 요청하고, 출근한 직원들에게 DDoS 방어장비 등 유지보수업체에 연락하여 지원을 요청할 것을 지시하였다. 피고인은 KT회선에만 공격 트래픽이 집중되자 KT회선 중 1회선을 단절시키고 다시 연결한 뒤 06:58경 KT 2회선을 모두 단절시켰다. 이후 선관위 직원들은 선관위 홈페이지서비스가 정상적으로 열리는지 확인하였고, 피고인은 정보보호책임관인 P에게 전화로 상황을 보고하였다. 선관위 홈페이지는 같은 날 07:10경 1차 정상화되었다가 같은 날 07:35경 다시 장애가 발생하였고, 피고인은 같은 날 08:20경 KT 사이버대피소로 선관위 홈페이지를 대피시켰다. 이 사건 선거 당시 선관위는 KT의 국가망(Pubnet)을 이용하고 있었는데, KT의 사이버대피소는 국가망이 아닌 상용 서비스망(Kornet)을 이용하는 이용자에게만 제공되고 있었고, 선관위는 사이버대피소의 이용에 관해 어떠한 사이버대피소 제공자와도 별도의 계약을 체결하지 않은 상태이었다. 일부 시민단체는 이 사건 당시 선관위가 LG U+회선으로 유입된 트래픽양이 30Mbps에 불과함에도 KT회선을 모두 단절함으로써 트래픽을 LG U+회선으로 몰려들게 하였다는 점을 들어 선관위 홈페이지 장애는 DDoS공격으로 인한 것이 아니라 선관위 내부자의 공모로 인해 발생한 것이라는 의혹을 제기하였다. 나) 판단 위 인정사실에 이 법원의 적법한 증거조사에 의하여 인정되는 아래와 같은 각 사정에 비추어 보면, 검사가 제출한 증거들만으로는 피고인이 직무에 관한 의식적인 방임 내지 포기 등 정당한 사유 없이 "1차 DDoS 공격시 야간 상황근무, DDoS 방어장비 등에 대한 알람시스템 최적화 설정 등의 사전조치를 수행하지 않고, 2차 DDoS 공격시 DDoS공격대응지침에 단계별 조치사항으로 기재되어 있는 임무들을 수행하지 않았으며, KT회선을 모두 단절하여 DDoS 사태를 심화시킴으로써 직무를 유기하였다."는 공소사실을 인정하기에 부족하고, 달리 이를 인정할 증거가 없다. 이 사건 선거일 당시 피고인이 야간 상황근무, DDoS 방어장비 등에 대한 알람시스템 최적화 설정 등의 사전조치를 수행하지 않은 것은 맞으나, 그것만으로 피고인이 사전조치를 수행할 직무를 버린다는 인식하에 이를 수행하지 않았다고 볼 만한 자료가 부족하다. 피고인은 2차 DDoS 공격 당시 DDoS공격으로 인해 선관위 홈페이지가 정상적으로 열리지 않는다는 것이 명백한 상황에서 모니터링 시스템을 주시하며 당시 상황 및 방화벽 로그를 확인하고, KT 국가망운용실에 장애상황과 트래픽 확인을 요청하였으며, 직원들에게 DDoS 방어장비 등 유지보수업체에 연락하여 지원을 요청할 것을 지시하였는바, 피고인은 DDoS공격대응지침상 3단계 초동조치 중 일부 조치를 취한 것으로 볼 수 있다(DDoS공격대응지침상 1, 2단계 조치는 서버 장애가 DDoS공격으로 인한 것인지 여부를 확인하기 위한 조치이다.). 피고인은 2차 DDoS 공격 당시 KT회선으로만 공격 트래픽이 몰리고, 선거과 직원으로부터 오전 7시 투표율 최초 보고에 관한 재촉을 받게 되자 다급한 상황에서 KT회선을 모두 단절한 것으로 보이는바, 앞서 본 바와 같이 이 사건 선거 당시 선관위는 사이버대피소를 이용하는 것이 사실상 곤란한 상황이었던 점, 피고인이 처음부터 KT회선을 모두 단절한 것이 아니라 2회선 중 1회선을 단절한 뒤 다시 연결하고 공격 트래픽의 경로를 재차 확인한 뒤 KT 2회선을 모두 단절한 점, 실제로 피고인이 KT회선을 모두 단절한 직후인 07:10경부터 07:35경까지는 선관위 홈페이지서비스가 정상적으로 재개되었던 점, 피고인은 KT회선을 단절할 당시 LG U+ 회선이 155Mbps로 증속되어 있는 것으로 알고 있었던 점, 피고인은 07:35경 선관위 홈페이지가 다시 DDoS 공격을 받자 1시간여 만인 08:32경 선관위 홈페이지를 사이버대피소로 이동하였던 점 등에 비추어 보면, 피고인은 KT 2회선을 단절할 당시 상황 분석 및 판단의 착오로 다소 부적절하게 업무를 수행하였던 것으로 평가함은 별론으로 하고, 직무에 관한 의식적인 방임이나 포기 등의 사유로 직무를 수행하지 아니한 것으로 보기는 어렵다. 피고인은 정보보호담당관인 P에게 보고하지 않고 KT회선을 단절하였으나, P은 이 사건 선거일에 선관위 직원인 AP로부터 선관위 홈페이지의 접속장애에 관한 이야기를 듣고 같은 날 06:48경 피고인에게 전화하여 "어서 복구조치를 취하고 특이한 사항이 발생하면 전화를 하라."는 취지로만 지시하였고, P은 2011. 1. 1.부터 정보화담당관 직책을 맡게 되기는 하였으나 처음 맡는 업무라 어려움을 느끼면서 평소 기술적인 부분은 기술팀에 의존하였던 것으로 보이는바, 피고인은 급박한 상황에서 P에 대한 보고를 누락한 채 DDoS 사태의 신속한 해소를 위해 자신의 판단으로 KT회선을 단절하였을 뿐, 피고인이 직무를 버린다는 인식하에 P에게 보고를 하지 않았다고 보기 어렵다. 3. 피고인 A에 대한 판단 가. 위계공무집행방해죄 관련 법리 위계에 의한 공무집행방해죄는 상대방의 오인, 착각, 부지를 일으키고 이를 이용하는 위계에 의하여 상대방으로 하여금 그릇된 행위나 처분을 하게 함으로써 공무원의 구체적이고 현실적인 직무집행을 방해하는 경우에 성립한다(대법원 1996. 10. 11. 선고 96도312 판결, 대법원 2000. 3. 24. 선고 2000도102 판결, 대법원 2009. 4. 23. 선고 2007도1554 판결 등 참조). 나. 양측 주장의 개요(쟁점에 관한 정리) 1) 이 사건 공소사실은, 피고인은 이 사건 선거 당시 155Mbps로 증속되어 있어야 하는 LG U+회선이 증속되지 않은 채 증속 이전의 상태인 45Mbps에 머물러 있었다는 사실을 알면서도 고의적으로 이를 은폐하고(미증속 은폐 위계 행위), 선관위 측에 LG U+ 라우터에서 선관위로 유입 대기 중인 트래픽의 양을 나타내는 데이터 자료를 마치 LG U+회선에서 선관위로 유입된 트래픽의 양을 나타내는 자료인 것처럼 허위의 MRTG 자료를 제출하고, 또한 선관위 측 라우터에서 측정한 트래픽양과 LG U+ 라우터에서 측정한 트래픽양이 다른 이유를 BGP UP/DOWN 현상으로 인한 것이라는 취지로 허위의 설명을 하는 등으로 선관위 측의 DDoS 공격에 대한 원인 분석 및 정보통신망 운영 관리, 국회보고업무, 대국민홍보업무 등에 관한 정당한 직무집행을 방해하였다는 것이다(허위 자료 제출 및 허위 설명으로 인한 위계 행위). 2) 이에 대해 피고인 및 변호인은, 미증속 은폐 부분에 관해, 피고인은 LG U+회선에 관한 증속작업이 제대로 이루어지지 않았다는 사실을 알지 못하였고, 허위 자료 제출 및 허위 설명 부분에 관해, 피고인은 LG U+의 트래픽 자료를 출력하여 아무런 가감 없이 이를 그대로 선관위에 제출하였으며, 선관위 측 로그 자료 등을 전혀 받지 못한 상태에서 선관위에 LG U+ 라우터 MRTG에서 확인 가능한 트래픽 측정 수치에 대해 나름대로 의견을 제시하였던 것뿐이고, 나아가 이미 선관위는 피고인보다 더 많은 정보를 가지고 LG U+회선의 증속조치가 이루어지지 않았을 수도 있다는 사정을 알고 있었으므로, 피고인에게는 위계공무집행방해죄의 고의가 없었고, 또한 피고인의 행위로 선관위의 구체적이고 현실적인 직무집행이 방해되지도 않아 위계공무집행방해죄가 성립하지 아니한다고 주장한다. 다. 쟁점에 관한 판단 1) 인정사실 이 법원의 적법한 증거조사에 의하면 아래와 같은 사실을 인정할 수 있다. 가) 선관위 홈페이지의 회선은 주회선인 KT 2회선(각 155Mbps)과 백업을 위한 보조회선인 LG U+회선으로 구성되어 있다. 선관위는 평상시에는 LG U+회선을 10Mbps ~ 45Mbps로 유지하다가 선거기간에만 155Mbps로 증속하여 왔다. 나) 선관위는 2011. 9. 28.경 이 사건 선거에 대비하여 LG U+에 45Mbps의 대역폭으로 운영되고 있던 회선을 최대 대역폭인 155Mbps로 증속해 줄 것을 요청하였다. 이에 LG U+는 네트워크 운영부문 남부네크워크팀 사원 Q으로 하여금 2011. 10. 5.경 LG U+회선의 대역폭을 155Mbps로 증속하는 작업을 하도록 하였고, 회선의 대역폭 증속은 회선 양단에 설치되어 있는 라우터의 설정값을 변경하는 방식으로 이루어지므로, Q은 자신의 사무실에서 원격으로 선관위에 연결된 LG U+ 라우터에 접속한 뒤 선관위 측의 증속작업을 담당한 AQ의 직원인 AR과 전화통화를 하면서 선관위 측과 동시에 증속작업을 수행하였다. Q은 이 사건 선거 이전에 증속작업을 수행하였던 LG U+의 직원인 AS으로부터 받은 스크립트에 따라 우선 LG U+ 라우터에 접속하여 config file에 'set interface peak 155Mbps'라는 명령어를 입력하였고, 다시 'commit check'라는 명령어를 입력하니 화면에 'configuration check succeeds'라는 메시지가 나타났고, 이어서 'commit'이라는 명령어를 입력하니 화면에 'commit complete'라는 메시지가 나타났으며, 회선속도 상태를 확인하기 위하여 'show interface'라는 명령어를 입력하니 화면에 'VBR, Peak 155Mbps, sustained:155Mbps'라는 메시지가 나타났고, 화면에 증속작업에 대한 에러메시지는 전혀 표시되지 않았다. 당시 AR은 Q에게 선관위 측 라우터에는 155Mbps의 값이 입력되지 않는다고 말한 뒤 입력이 가능한 'cbr 149760'을 입력하였고, 이후 Ping Test를 통해 회선의 연결 상태를 확인하였다. 다) 당시 Q이 입력한 155Mbps는 LG U+ 라우터(제품명 : 주니퍼 M320)의 최고정상치 설정범위를 초과한 값이어서 LG U+회선은 증속되지 않고 여전히 45Mbps의 대역폭만 유지하게 되었다. 라) 선관위는 이 사건 선거 당일 2차 DDoS 공격에 대응하는 과정에서 DDoS 방어장비 모니터 화면을 통하여 LG U+회선에 흐르는 최고 트래픽이 40Mbps에 불과하다는 사실을 알게 되었고, 이에 LG U+ 공공고객2팀 S에게 전화하여 장애신고를 하였는데, 같은 날 08:07경 LG U+ BS고객품질팀 직원인 T는 장애신고를 전달받아 타스크에 신고내용을 입력하였고, 피고인, S, AT은 그 무렵 타스크에서 자동 송신되는 '중앙선관위 4174159(회선번호) 45M 장애접수'라는 문자메시지를 받았으며, LG U+ BS고객품질팀으로부터 회선상태의 점검을 요청받은 LG U+ 전달망운영팀 직원인 U, V은 LG U+ 라우터에서 트래픽 상황을 확인하였다. 마) 피고인은 2011. 11. 23.경 선관위 관악청사에서 R에게 LG U+ 라우터의 트래픽을 측정한 MRTG 자료(이 사건 선거일 당시 5분 평균 최대 219Mbps의 트래픽이 발생한 것으로 되어 있다.)를 제출하고, 이후 R로부터 이 사건 선거 당시 LG U+회선에서 선관위로 유입된 트래픽과 관련된 정확한 자료를 제출하도록 요구받자 2011. 12. 7.경 S을 통하여 R에게 "1. LG U+ MRTG 자료와 선관위 MRTG 자료가 다른 이유 - 두 개의 MRTG 프로그램상의 알고리즘의 차이가 있는 것으로 사료됨(당사 시스템은 RRDtool 사용), 실제 5분 평균 트래픽은 선관위의 그래프가 정확한 것으로 사료됨, LG U+의 트래픽은 Peak치를 기준으로 표현된 것으로 사료됨, 06:48 ~ 08:54까지는 BGP session이 down/up되는 과정에서 LG U+회선을 통해 유입되는 트래픽이 BGP 라우팅이 사라졌다 복구되는 과정에서 Peak(122Mbps) ~ 0으로 트래픽의 변동이 발생하여 5분 평균 트래픽이 감소(1/10)하여 보여주는 것으로 사료됨."이라는 취지의 이메일을 송부하였다. 바) 선관위 정보화담당관실 사무관 X은 피고인이 선관위에 보낸 자료와 이메일 등을 토대로 이 사건 선거 당시 LG U+회선을 통해 선관위 회선에 200Mbps 이상의 트래픽이 유입되었다는 내용의 기술분석결과보고서를 작성하였고, 2011. 12. 13.경 선관위에서 개최된 '선관위 DDoS 공격의 기술적 이슈에 대한 전문가 자문회의'에서 피고인이 참석한 가운데 내·외부 자문위원 7명에게 기술분석결과보고서를 기초로 LGU+회선이 155Mbps로 정상적으로 증속되었고 200Mbps 이상의 트래픽이 유입되었다는 취지의 보고를 하였다. 사) 선관위 사무총장 Y, 기획조정실장 Z은 2011. 12. 23.경 대한민국 국회 행정안전위원회에서 선관위 홈페이지 DDoS 공격에 대한 현안보고를 하면서 선관위 LGU+회선이 155Mbps로 정상적으로 증속되어 전체 회선을 465Mbps로 증속하여 이 사건 선거 당시 통신량증가 및 사이버 공격에 대비하였다는 취지로 보고하였다. 아) 2012. 2. 22.경 참여연대 토론회를 대비하기 위한 선관위의 준비회의가 개최되었는데, 이 회의에서도 피고인은 219Mbps가 유입된 MRTG자료를 제시하면서 선관위 회선으로 흐른 트래픽양이 최고 정상치 219Mbps이고, 선관위 측 라우터에 나타난 30Mbps의 트래픽양은 BGP업다운으로 인한 것이라는 취지로 설명하였고, 이에 따라 선관위 정보화담당관 AC과 X은 2012. 2. 23.경 개최된 참여연대 토론회에서 LGU+회선 증속이 제대로 되었으며 선관위 회선으로 흐른 트래픽의 양이 최고정상치 219Mbps이고, 선관위 측 라우터에 나타난 30Mbps의 트래픽양은 BGP업다운으로 인한 것이라고 설명하였다. 2) 위계공무집행방해의 고의가 있었는지 여부에 관한 판단 형사재판에서 공소가 제기된 범죄의 구성요건을 이루는 사실은 그것이 주관적 요건이든 객관적 요건이든 그 입증책임이 검사에게 있으므로(대법원 2010. 11. 25. 선고 2009도12132 판결 참조), 공소사실이 진실한 것이라는 확신을 가지게 하는 증명력을 가진 증거가 없다면 설령 피고인에게 유죄의 의심이 간다고 하더라도 피고인의 이익으로 판단할 수밖에 없는 것이다. 또한, 피고인이 일정한 사정의 인식 여부와 같은 내심의 사실에 관하여 이를 부인하는 경우에는 이러한 주관적 요소로 되는 사실은 사물의 성질상 그 내심과 상당한 관련이 있는 간접사실 또는 정황사실을 증명하는 방법에 의하여 이를 입증할 수밖에 없고, 이 때 무엇이 상당한 관련성이 있는 간접사실에 해당할 것인가는 정상적인 경험칙에 바탕을 두고 사실의 연결상태를 합리적으로 분석·판단하는 방법에 의하여야 한다(대법원 2006. 2. 23. 선고 2005도8645 판결 참조). 위 인정사실에 이 법원의 적법한 증거조사에 의하여 인정되는 아래와 같은 각 사정에 비추어 보면, 검사가 제출한 증거들만으로는 피고인이 LG U+회선에 관한 증속작업이 제대로 이루어지지 않았다는 사실을 알면서도 이를 은폐한 채 선관위의 직무집행을 방해할 의사로 선관위 측에 허위의 설명을 하고 허위의 자료를 제출하였다고 단정하기 어렵고, 달리 이를 인정할 증거가 없다. 따라서 피고인이 선관위의 구체적이고 현실적인 직무집행을 방해하였는지 여부에 관하여 더 나아가 살필 필요 없이 피고인에게 위계공무집행방해죄가 성립한다고 할 수 없다. 가) 이 사건 선거 당일 T가 타스크에 기재한 신고내용과 피고인이 타스크에서 수신받은 문자메시지의 내용은 선관위에 대한 LG U+회선에 접속장애신고가 들어왔다는 내용일 뿐 선관위에 대한 LG U+회선의 증속작업의 실패를 지적하는 내용이 아니었다. 또한 LG U+는 장애, 민원, 점검 등의 업무를 수행하기 위하여 Toss 시스템을 구축하였는데, Toss 시스템은 내부 사무처리를 위한 것으로서 라우터 기기의 작업과는 연동되지 않으므로, Q이 증속작업을 한 뒤 별도로 Toss 시스템에 증속여부를 입력하여야만 Toss 시스템 상에도 선관위에 대한 회선이 155Mbps로 증속된 것으로 표시되는바, Q은 이 사건 선거를 위한 증속작업 당시 Toss 시스템에 이를 입력하지 않은 관계로 T가 타스크에 장애내용을 기재할 당시 선관위에 대한 LG U+회선이 45Mbps로 표시된 것으로 보이고, T는 선관위에 대한 LG U+회선임을 특정하기 위하여 Toss 시스템에 기재되어 있는 대역폭인 45Mbps를 타스크에 기재하게 되었다. 이후 선관위는 이 사건 선거 다음날인 2011. 10. 27.경 LG U+에 감속작업을 요청하였는데, Toss 시스템상 기존 증속청약이 완료되어 있지 않아 감속청약을 기재할 수 없게 되자 같은 날 Q은 Toss 시스템에 2011. 10. 5.자 증속작업의 완료를 사후적으로 기재하였다. 나) 2차 DDoS 공격 당시 피고인, S, AT은 '중앙선관위 4174159(회선번호) 45M 장애접수'라는 문자메시지를 받았고, LG U+ BS고객품질팀으로부터 회선상태의 점검을 요청받은 LG U+ 전달망운영팀 직원인 U, V은 LG U+ 라우터에서 트래픽 상황을 확인한 바 있으나, 당시 LG U+ 직원들은 선관위에 대한 회선의 DDoS공격문제의 해결에 집중하였을 뿐 선관위에 대한 LG U+회선의 증속 여부 자체에 대해서는 이를 중요시하지 않았던 것으로 보인다. 설사 U, V 등 LG U+ 전달망운영팀 직원들이 당시 회선점검 결과 LG U+회선의 미증속 사실을 인지하게 되었다고 가정하더라도, LG U+ 기업의 규모, 조직체계 및 업무분장 등에 비추어 U, V 등이 그와 같은 사실을 피고인에게 알려 주었다는 등의 정황이 확인되지 않는 한 K팀에서 고객지원업무를 담당한 피고인이 미증속 사실을 당연히 인지하게 되었다고 보기도 어렵다. 다) LG U+회선의 증속업무를 담당하였던 Q, AR은 증속작업 당시 증속이 이루어진 것으로 생각하였고, 2012년경 수사를 받는 과정에서 증속이 이루어지지 않았다는 사실을 비로소 알게 되었다. 라) 피고인은 LG U+에서는 200Mbps를 보냈는데 선관위가 45Mbps만을 받은 이유에 대해 선관위 측의 해명 요구에 "모르겠다."라고 하거나 "LG U+와 선관위의 MRTG 프로그램상 알고리즘의 차이가 있는 것으로 사료됨." 등의 추정에 기한 답변을 하였을 뿐, 사실관계를 명확히 인지한 상태에서 단정적으로 허위의 설명을 하였다고 볼 만한 자료가 부족하다. 마) R은 2011. 12. 9.경 LG U+에 LG U+ 라우터에 대한 로그 자료 일체를 제공하여 달라고 요청하였고, S과 피고인을 통해 그와 같은 요청을 전달받은 LG U+ 전달망운영팀 AU은 2011. 10. 한 달간의 로그 자료를 추출한 후 피고인을 통해 S에게 이를 전달하였으며, S은 2011. 12. 14.경 전자메일로 선관위에 위 로그 자료를 발송하였는바, 로그 자료에는 LG U+회선에 대한 증속작업이 제대로 이루어지지 않았다는 사실이 확인되기는 하나, 위 로그 자료는 출력할 경우 202페이지에 이르는 방대한 분량으로 당시 로그 자료를 추출한 LG U+ 전달망운영팀도 위 로그 자료를 제대로 확인하지 않았던 것으로 보이고, 미증속 사실을 인식하지 못한 상황에서 로그 자료를 전달해 주기만 하였던 피고인 역시 이 사건 선거일도 아닌 증속작업일에 불과한 2011. 10. 5.경의 로그 기록을 확인하지는 않았을 것으로 보인다. 바) 선관위에 대한 LG U+의 라우터는 주니퍼 M320인바, 2012. 5. 24.경 한국 주니퍼네트워크 기술본부장과 LG U+ 네트워크 본부 AV이 공동시험한 결과 위 라우터에 증속속도 값으로 155Mbps를 입력하면 최고 정상 설정범위(135.6Mbps)를 초과한 155Mbps가 정상 입력·변경된 것으로 표시되기는 하지만, 155Mbps로 증속되지는 않고 입력 오류에 대한 로그가 생성되며, Logical Interface의 Output 트래픽을 SNMP로 모니터링시 219Mbps로 표시되는 버그가 존재하는 것으로 사후에 확인되었다. 사) LG U+는 이 사건 선거 이전에 3회에 걸쳐 선관위에 증속작업을 하면서 라우터에 155Mbps를 입력하였고, 이 사건 선거 이후인 2012. 1. 13.경에도 또다시 선관위에 증속작업을 하면서 라우터에 155Mbps를 입력하기도 하였으며, 이 사건 선거 당시 증속작업이 완료되었음을 전제로 선관위에 대해 2011. 10.분 요금을 청구하였는바, LG U+가 이 사건 선거 당시 증속작업이 제대로 이루어지지 않았다는 사정을 알았다면 선관위에 대해 증속작업이 완료되었음을 전제로 2011. 10.분 요금을 청구하지 않았을 것이고, 이 사건 선거 이후에도 같은 방법으로 증속작업을 하지는 않았을 것으로 판단된다. 아) 피고인이 2011. 11. 23.경 R에게 제출한 LG U+ 라우터의 트래픽을 측정한 MRTG 자료(이 사건 선거일 당시 5분 평균 최대 219Mbps)는 S을 통한 선관위의 요청에 의한 것이고, 당시 피고인은 LG U+ 관리화면에 접속하여 2011. 10. 26.자 트래픽 자료를 그대로 출력한 후 해당 자료에 별도의 변형을 가하는 등의 별다른 조치 없이 이를 그대로 R에게 제출한 것뿐이고, 나아가 선관위의 해명 요구에 대해서는 피고인이 관련 업무에 상당 기간 종사하면서 나름대로 업무상 취득한 기술적·경험적 판단에 기초하여 자신의 의견을 답변의 형식으로 진술하였던 것으로 평가할 여지가 다분하며, 이에 더 나아가 선관위에 허위의 사실과 의견을 보고할 의도로 선관위를 적극적으로 기망하였다고 볼 만한 자료 역시 부족하다. 4. 결론 그렇다면 이 사건 각 공소사실은 모두 범죄사실의 증명이 없는 경우에 해당하므로 형사소송법 제325조 후단에 의하여 피고인들에게 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 피고인들에 대한 무죄판결의 요지를 공시한다.