디지털 증거분석의 법적 기반 마련돼야

고려대학교 정보보호대학원 임종인 원장

임종인 한국디지털포렌식학회장이자 고려대학교 교수는 디지털 증거분석 활용 범위는 범죄 수사에만 그치는 것이 아니라고 강조한다. 앞으로는 경영 기밀 유출과 지적재산권 보호에도 적극 이용된다는 것. 이를 위해선 개인정보보호법 제정이나 정보통신망법 개정이 필요하다고 말하고 있다.

“한국형 디지털 포렌식 표준화로 깨끗한 사이버 세상 만들자”

디지털 증거분석이란 무엇인가.

디지털 증거분석(Digital Forensics, 디지털 포렌식)이란 저장매체에 담겨 있는 자료를 통해 범죄 단서를 찾는 최신 수사기법이다. 그러나 최근 미국을 중심으로 수사뿐만 아니라 다양한 활용 영역들이 속속 등장하고 있어 이를 법·제도적으로 뒷받침하기 위한 움직임이 활발해지고 있다.

<고려대학교 정보보호대학원 임종인 원장>

개인정보보호법 제정과 정보통신망법 개정이 필요하다고 주장했는데.

지난 2003년 미국 캘리포니아 주는 ‘개인정보보호법(Data Bridge Act)’을 통과시켰으며 이후 23개 주가 이와 유사한 법률을 제정해 디지털 증거분석의 법적 기반을 마련하고 있다. 연방법에서도 올해 12월부터 모든 민사소송에서 디지털 증거를 확보해야 한다는 규정을 실행할 예정이다. 통신사업자만을 규제하는 정보통신망법은 사인과 사인의 개인정보 유출 문제 등에는 대응할 수 없기 때문에 이를 고쳐 활용하자는 얘기다.

이렇게 될 경우 연예인들의 사생활을 담은 문서를 유출하는 것이나 P2P 사이트를 통해 다른 사람의 개인정보를 수집하는 행위를 솜방망이 처벌이 아닌 피해 규모에 맞는 처벌을 할 수 있게 된다.

그러나 문제는 현재 국회에 계류돼 있는 개인정보보호법의 통과 가능성이 높지 않다는 것인데, 이는 각 정당들이 이를 시급한 과제로 여기지 않고 있는 데다 행정자치부와 정보통신부 등 관련 부처들의 권한 조정 문제가 걸려 있기 때문이다. 앞으로 관심을 갖고 지켜봐야 한다.

디지털 포렌식 장비 프로그램 국내 개발이 시급하다는 지적에 대해.

사이버상에서 불법행위에 대해 ‘책임소재’를 확보한다는 차원에서 시장은 계속 증가할 것이다. 미국 디지털 증거분석 시장은 지난해 15억 달러에 달했으며 최근 3년간 60% 이상의 성장률을 보이고 있다. 그런 미국도 엔케이스란 직원 300명을 둔 기업체에서 거의 도맡아 하다시피 하고 있다.

이것은 기술력을 연마하고 합리적 노력을 기울이면 자본력이 부족하다고 하더라도 국내 업체들에게 해볼 만한 시장이 되어 줄 거란 생각이다. 기업 정보보안과 저작권 보호 흐름을 봤을 때 우리나라에서도 2~3년 내에 민간 디지털 분석시장이 자리를 잡게 될 것이다.

활용범위는 어디까지로 보면 되는지.

지금의 범인들은 굉장히 지능화 되어 있어서 일산에서 살인사건이 일어났다 하더라도 원격접속프로그램을 이용해 타지역에서 접속해 있었던 것처럼 교묘하게 알리바이를 만드는 수준까지 온 것이다. 하지만, 포렌식 수사를 펼쳐 진짜 범인을 잡은 사례가 얼마 전 있었다. 이처럼 수사 목적으로 사용되던 포렌식이 점차 그 범위를 확대해 나가고 있다. 내부정보 유출로 막대한 피해의 위험에 놓여있는 대기업과 보안에 취약한 중소기업 등 포렌식이 활용될 것은 너무나 많다. 그렇기 때문에 보안의 스펙트럼을 더 넓혀 놓았는다는 관점으로 해석하는 것이 맞다.

디지털 증거분석의 활성화는 사회전반에 어떠한 효과를 줄까.

첨단 수사가 커질 것이므로 사이버 범죄율이 많이 낮아지는데 영향을 끼칠 것이다. ID, 패스워드 등이 도용되었다고 하더라도 이메일, 통화기록, 로그기록 등 전 과정을 포렌식을 적용하기 때문에 범죄자들은 더 이상 사이버 상에서 안전지대를 찾을 수 없게 된다. 또한 증거가 확실하게 수집된다는 인식들이 확산되면 범죄를 도모하는 침입자들을 심리적으로 압박할 수 있어 사전 범죄를 예방하는데 효과가 있다. 이는 회사 기밀을 유출시키는 경우도 해당된다.

앞으로의 전망은.

앞으로 정보보호의 목적은 프라이버시를 지키는 것뿐만 아니라 대규모 금전 손해를 방지하는 것으로 확장될 것이다. 포렌식 툴이 점점 좋아져서 키워드 서치 등 혐의점이 있는 것만 뽑아낸다면 기술이 오히려 프라이버시를 보호해 주는 결과를 낳게 되는 것처럼 말이다.디지털 증거분석이 이 과정에서 중요한 역할을 하게 되는 것은 당연하다. 우리사회가 훨씬 더 투명해 질 것이다. 아울러 보안의 수준과 의식도 높아질 것으로 전망된다.

[보안뉴스(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)