[시큐리티 Q&A] 디지털 증거 조작 방지와 사생활 침해

Q. 만약 디지털 포렌식 기술을 역이용하면 디지털 증거를 조작할 가능성도 있는 건 아닌가? 이를 방지할 수 있는 대안이 있다면? 또한, 디지털 포렌식 업무수행에 있어 개인정보보호법이나 정보통신망법 상에서의 사생활 침해 가능성에 대해 설명해 달라.

A-1. 모든 디지털 증거는 조작이 가능하다. 하지만, 이러한 조작 가능성에도 무결성을 보장하는 기술들이 있다. 이론적으로 디지털증거를 조작 가능하지만, 실제 적용했을 경우 조작된 것에 대한 흔적도 같이 남기 때문에 확인이 가능하다고 판단된다.

그리고 디지털 포렌식 업무 수행을 하면서 압수수색을 하게 되는데 과거에는 거의 모든 증거자료를 채증했다. 그러나 최근 형사소송법 개정을 통해 범죄와 관련된 자료만 선별해서압수수색을 진행하고 있다.

이는 개인정보보호법 시행과 더불어 개인의 사생활의 중요성이 부각되면서 개정된 것으로 보인다. 하지만 압수수색을 하면서 범죄와 관련되지 않는 것으로 보이는 것을 판단하기 어렵고 압수수색하면서 개인정보를 자연스럽게 수집하게 되므로 항상 사생활 침해 가능성이 높다고 본다.

(박원형 극동대학교 사이버안보학과 교수/whpark@kdu.ac.kr)

A-2. 디지털 포렌식 기술을 잘 아는 전문가라면 디지털 증거를 조작할 수 있는 충분한 능력이 있다. 증거물의 복제(이미징) 후, 증거 분석하는 과정에서 디지털 기기에 기록된 사실들을 삭제하거나 그 사실이 일어난 날짜와 시각, 내용 등을 변경할 수 있다.

이러한 안티포렌식을 방지하기 위해 증거물을 복제할 때, 피의자나 변호사의 입회하 또는 CCTV 작동하에 쓰기 방지 기능과 무결성을 보장하는 검증된 포렌식 도구를 이용해야 한다. 복제가 끝난 후 그 결과물에 대한 해쉬값을 계산해 입회한 모든 참석자가 확인하고 나누어 가져야 향후 복제한 결과 물에 대한 조작 여부를 확인할 수 있다.

개인정보의 유출 및 사생활 침해의 심각성이 부각되는 현실에서, 포렌식 분석관은 시간 및 내용기반필터링, 검색을 지원하는 포렌식 도구를 이용해 사건발생 추정시간 범위와 공소 사실에 관련된 내용만을 발췌 분석하여 증거로 제출해야 한다.

(김현수 한국디지털포렌식학회/visionhskim@hanmail.net)

A-3. 디지털 데이터의 조작 가능성은 항상 존재한다. 하지만 조작되었다고 입증해야 만 증거능력이 없어진다. 조사자가 디지털 데이터를 조작하는 것은 범죄행위이다. 이를 방지하기 위해서 디지털 데이터를 수집한 이후부터는 어떠한 변조도 없음을 입증하기 위해 통상 해당데이터에 대한 해쉬값을 계산하고 그 해쉬값을 출력, 조사자와 피조사자가 서명하여 보관함으로써 추후 무결성을 입증한다. 이러한 방식 이외에도 절차적으로 데이터에 대한 변조가 없었음을 입증하거나 디지털 서명을 하는 것도 가능하다.

디지털 포렌식을 하게 되면 사생활 침해가 발생한다. 따라서 조사 과정에 의해 알게 된 범죄 사실과 관련 없는 내용은 비밀로 해야 하는 것이 윤리이다. 디지털 데이터에는 사생활 정보가 많아 일반 조사 과정보다 더 엄격하게 프라이버시가 침해되지 않도록 해야 한다.

이를 반영하여 형사소송법106조에서도 범죄와 관련된 정보만을 한정하여 조사하도록 규정하고 있다.

(이상진 고려대학교 사이버국방학과 교수·디지털포렌식연구센터장/sangjin@korea.ac.kr)

A-4. 한국엔 디지털 증거의 압수에 대해 형사소송법의 일부 규정이 적용되고 있지만, 미국은 광범위한 디지털 증거 관련 법률이 있다. 미국의 경우 민사소송에서는 ‘e-디스커버리 법’이 적용된다.

지난해 적용되기 시작한 이 법은 법원의 증거 제출 명령에 따라 디지털 증거를 자진해서 제출해야 되며 이 때, 디지털 증거를 훼손·조작·누락한 사실이 드러나면 재판 결과에 부정적인 영향을 주게 된다.

하지만 아직 국내에는 이러한 법이 존재하지 않는다. 디지털 포렌식의 업무 수행에 있어 또 다른 문제가 있다. 바로 사생활 침해의 가능성이다.

예를 들면, 최근 대기업 등에서는 정보 감사 및 기술보호 측면에서 디지털 포렌식을 많이 활용하고 있는데 무엇보다 중요한 것은 사전에 직원들에게 고지하고 동의 절차를 밟는 것이 가장 중요하다.

특히, 디지털 포렌식을 하기 전에 사원들에게 충분한 이유와 이해할 수 있는 설명을 해야 하고 이와 관련해서 사원들이 해야 할 일과 하지 말아야 할 일에 대해서도 고지를 해야만 사생활 침해 등의 법적 분쟁을 막을 수 있다.

(왕재윤 한국산업기술보호협회 관제운영팀 연구원/jywang@kaits.or.kr)

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)