디지털 포렌식

왜 배우는가: 디지털 포렌식은 사이버 범죄 수사와 기업 내부 조사에서 증거의 적법성과 무결성을 입증하는 기본 절차이다. 기술사 시험에서는 정의, 등장 배경, 필요성을 묻는 1교시 용어 문제와 수집·검사·분석·보고 단계를 묻는 논술 문제로 반복해 출제된다. 정의와 배경을 정확히 쓰는 것이 이후 단계별 기능 설명의 출발점이 된다.

출제 이력: 제140회 4교시 1번, 제128회 3교시 3번, 제111회 1교시 11번

1. 한 줄 정의와 핵심 키워드

답안 첫 줄에 쓸 정의는 다음과 같다.

디지털 포렌식은 디지털 증거를 법적 효력이 인정되도록 수집·보존·분석·보고하는 과학적 절차와 기술이다.

핵심 키워드

• 증거 무결성(Integrity): 수집·이송·분석·제출 과정에서 위변조되지 않았음을 입증하는 성질.
• 디스크 이미징(Disk Imaging): 원본 매체와 섹터 단위로 동일한 사본을 만드는 작업.
• 해시값(Hash Value): 원본과 이미지가 동일함을 확인하는 검증 값.
• 휘발성 데이터(Volatile Data): 전원 차단 시 사라지는 메모리·프로세스 정보.
• 연계보관성(Chain of Custody): 증거의 이동과 관리 이력.
• 재현성: 같은 조건에서 같은 결과가 나오는지 보장하는 성질.

2. 개념 풀이

쉬운 말로 풀면 컴퓨터나 스마트폰에 남은 흔적을 법정에서 믿을 수 있도록 찾고 보존하는 일이다. 원본을 건드리면 증거 가치가 사라지므로, 원본은 그대로 두고 복제본에서 분석하는 것이 기본이다.

정식 정의는 디지털 기기와 네트워크에 저장·전송된 전자적 정보를 수집하고 검사·분석하여 그 결과를 사법 절차나 내부 조사에 사용할 수 있도록 제시하는 과학적 체계이다. 기준 절차는 사전 준비, 증거 수집, 증거 포장 및 이송, 조사 분석, 정밀 검토, 보고서 작성의 6단계로 정리된다.

포렌식 원칙은 다섯 가지다. 정당성은 적법 절차에 따른 수집 여부, 무결성은 위변조 없음, 연계보관성은 단계별 관리 기록, 신속성은 전 과정의 지연 최소화, 재현성은 동일 조건에서 동일 결과를 뜻한다. 이 중 무결성과 재현성은 해시값 비교와 작업 기록으로 확인한다.

디지털 포렌식의 핵심 조건은 증거의 무결성과 결과의 재현성이다.

3. 등장 배경과 필요성

정보화 사회에서 전자상거래와 금융 서비스가 확대되면서 컴퓨터를 이용한 범죄, 즉 사이버 범죄가 늘었다. 실생활 범죄에서 증거를 모아 범행을 입증하듯, 사이버 범죄에서도 컴퓨터에서 증거를 확보하고 입증할 방법이 필요해졌다. 이 요구에서 포렌식 분야가 발전했다.

등장의 기술적 배경은 디지털 증거의 특성에 있다. 디지털 증거는 생성, 복사, 변경, 삭제가 쉬워서 압수 이전에 위변조되었는지 확인할 수 있어야 한다. 파일 확장자를 바꾼 흔적을 찾고 삭제된 파일을 복구하는 능력도 필요하다. 이러한 특성 때문에 특별한 획득·보관 절차가 요구된다.

포렌식이라는 용어는 1991년 International Association of Computer Specialists에서 처음 사용된 것으로 알려져 있다. 이후 법정 증거 채택과 기업 내부 감사의 요구가 커지면서 제도와 도구가 함께 발전했다. 국내에서도 학계와 산업계가 정보보호 기술 차원에서 연구를 이어 왔다.

필요성은 세 가지로 요약된다. 첫째, 형사·민사 재판에서 입증 또는 반증 자료를 제공한다. 둬째, 기업 내부 조사와 침입 사고 조사에 활용한다. 셋째, 증거를 용의자에게 귀속시키고 알리바이나 발언의 진위를 확인한다. 이 세 기능이 포렌식 수요의 근거이다.