디지털 포렌식 증거의 원칙

핵심 정리

디지털 포렌식 증거의 원칙은 디지털 증거를 식별·수집·분석·제출하는 전 과정에서 증거로서의 신뢰성을 확보하기 위한 기준이다. 디지털 증거는 현실적으로 손상되기 쉽고 부적절한 취급이나 분석 중에 변경되거나 조작될 수 있다. 그래서 디지털 증거를 다루는 사람은 행위의 결과와 위험을 관리할 수 있어야 하며, 처리의 모든 행위와 그 근거를 문서화해야 한다. 적절한 수단으로 처리에 실패하면 증거를 사용하지 못할 수도 있다. 신뢰성은 증거가 원래 상태 그대로이고, 같은 방법으로 다시 확인할 수 있으며, 법이 정한 절차로 얻었다는 조건이 함께 갖춰질 때 확보된다.

원칙의 뼈대는 요건과 효과, 그리고 한계로 나뉜다. 첫째 요건은 증거가 위변조되지 않았음을 보이는 무결성이다. 무결성의 원칙은 증거가 수집, 이송, 분석 과정에서 위변조되지 않아야 한다는 원칙이다. 압수·수색·검증의 기본 원칙은 원본성·무결성·신뢰성의 확인과 유지이다.

둘째 요건은 같은 조건에서 같은 결과가 나오는 재현성이다. 재현의 원칙은 같은 조건과 상황에서 동일한 결과가 재현되어야 증거로서 신뢰성을 가진다는 디지털 포렌식 원칙이다. 이는 분석 과정을 다른 사람이 다시 확인할 수 있어야 한다는 뜻이다.

셋째는 정당성이다. 정당성의 원칙은 디지털 포렌식 증거가 적법한 절차로 수집되어야 한다는 원칙이다. 절차를 어겨 얻은 증거는 위법수집증거로 다뤄질 수 있으므로, 이 요건은 법적 효력과 직접 이어진다.

넷째는 시간과 기록에 관한 요건이다. 휘발성 정보 우선 수집이 신속성이며, 신속성의 원칙은 디지털 포렌식의 전 과정을 지체 없이 진행해야 한다는 원칙이다. 기록 측면에서는 연계 보관성이 있어 각 처리 단계의 관리 기록을 요구한다.

자세히

재현의 원칙

재현은 같은 도구와 방법을 같은 상황에 적용했을 때 같은 결과가 나오는지를 묻는다. 같은 상황의 피해 시스템에 도구를 적용하면 피해 상황과 같은 결과가 나와야 한다. 분석 결과도 동일한 조건과 상황에서 항상 같은 결과가 나와야 한다. 디지털 증거는 같은 환경에서 같은 결과가 재현되어야 법정에 제출할 수 있다. 분석을 맡는 사람이 바뀌어도 결과가 같아야 재현이 성립한다. 같은 조건 같은 결과는 이 원칙의 핵심이다.

재현을 실현하려면 도구 자체가 믿을 만해야 한다. 디지털 증거는 신뢰할 수 있는 도구와 방법으로 수집·분석·관리해야 한다. 도구가 검증되지 않으면 같은 결과가 나오더라도 그 결과가 무엇을 증명하는지 설명하기 어렵다. 재현과 무결성은 혼동하기 쉬우나 묻는 것이 다르다. 무결성은 증거 자체가 바뀌지 않았는지를 묻고, 재현은 분석이 다시 같은 결과를 내는지를 묻는다.

무결성과 원본성

수집된 디지털 포렌식 증거는 결함 없이 위·변조되지 않았음을 증명할 수 있어야 하며, 이 원칙이 무결성이다. 무결성은 수집, 이송, 분석의 각 단계에서 계속 유지되어야 하는 성질이다. 원본성은 무결성과 짝을 이룬다. 압수한 전자정보의 원본성은 해시값 생성 등으로 확보한다.

실무에서는 원본 데이터를 바꾸지 않는 것이 출발점이다. 작업 요구 사항상 변경이 불가피하면 실무자의 행동이 원본 데이터에 미치는 영향을 명확히 식별하고, 변경을 초래한 과정을 정당화해야 한다. 원본과 모든 사본의 취급에 관한 활동은 완전히 기록해야 하며, 해싱 같은 검증 과정을 거쳐야 한다. 실무자는 자신의 능력이나 지식을 넘어서는 활동을 해서는 안 된다는 점도 같은 맥락에 있다.