퇴직자 PC에서 나온 USB 연결 기록, 반출 단정 전에 확인할 것들

퇴직 예정자 PC를 점검하다 보면 USB 저장장치 연결 기록이 나오는 일이 드물지 않습니다. 연결 시각이 퇴사 통보 이틀 전이라면 담당자의 고민이 시작됩니다. 이 기록을 보고서에 어떻게 적을 것인가.

'자료 반출 정황'이라고 적으면 면담과 징계 검토, 경우에 따라 법적 검토까지 이 문구를 근거로 진행됩니다. 문제는 연결 기록 하나로 확인되는 사실이 그 근거가 되기에는 좁다는 점입니다.

[핵심 요약]

USB 연결 기록으로 확인되는 사실은 특정 시각에 특정 장치가 연결되었다는 것까지입니다. 어떤 파일이 옮겨졌는지는 이 기록에 나타나지 않습니다.

반출 판단에는 연결 전후의 파일 사용 흔적, 장치 식별 정보, 실물 확보 여부, 같은 시기의 다른 기록이 함께 필요합니다.

판단보다 보존이 먼저입니다. PC를 계속 사용하면 남아 있던 흔적이 새 기록으로 덮입니다.

연결 기록에서 확인되는 것과 확인되지 않는 것

업무용 PC에는 USB 저장장치가 연결되면 장치의 종류와 모델명, 일련번호 같은 식별 정보와 연결 시각이 남습니다. 어떤 장치가 언제 꽂혔는지는 이 기록으로 상당 부분 확인됩니다.

거기까지입니다. 그 장치로 어떤 파일이 복사되었는지, 복사라는 행위가 있었는지조차 연결 기록에는 나타나지 않습니다. 자료 유출 방지 솔루션이 설치된 환경이라면 파일 이동이 따로 기록되지만 그런 솔루션이 없는 일반 사무 환경에서는 복사 행위를 개별적으로 남기는 기록이 없는 경우가 대부분입니다.

반대 방향도 마찬가지입니다. 연결 기록이 없다고 자료가 나가지 않았다고 볼 수는 없습니다. 보관 기간이 지나 기록이 지워졌을 수 있고 웹하드 업로드나 개인 이메일처럼 USB를 거치지 않는 경로도 있습니다. 연결 기록 하나는 반출을 입증하는 자료도, 반출이 없었다는 근거도 되지 못합니다.

무엇을 더 봐야 반출을 판단할 수 있는가

연결 기록을 어디까지 근거로 쓸 수 있는지 묻는 질문을 자주 받습니다. 답은 함께 남아 있는 흔적의 범위에 따라 달라집니다.

먼저 연결 시각 전후의 파일 사용 흔적입니다. PC에는 최근에 연 문서나 폴더를 탐색한 흔적처럼 파일 사용 흔적이 여러 형태로 남습니다. 연결 직전에 어떤 파일들을 열었는지, 외장 장치 경로에서 파일을 연 흔적이 있는지를 봅니다. 외장 장치에 담긴 파일을 그 PC에서 열면 해당 경로가 흔적으로 남는 경우가 있어 장치 안에 무엇이 있었는지 추정하는 단서가 됩니다. 다만 이 흔적도 파일을 열었다는 사실까지만 보여 줍니다.

다음은 장치가 무엇이었는지입니다. 업무에서 늘 쓰던 회사 지급 외장하드와 그날 처음 나타난 개인 장치는 같은 연결 기록이라도 해석이 달라집니다. 식별 정보로 장치가 특정되면 실물 확보를 요청할 근거도 생깁니다.

실물을 확보할 수 있는지도 판단 범위를 좌우합니다. 장치 안에 남은 파일과 저장 시각을 직접 확인하면 추정에 기대는 부분이 줄어듭니다. 삭제된 파일이 복구되기도 합니다. 실물이 없다면 PC에 남은 흔적만으로 판단해야 하므로 결론의 범위를 그만큼 좁게 잡아야 합니다.

마지막으로 같은 시기의 다른 기록입니다. 출입 기록, 원격 접속 이력, 대용량 메일 발송 내역을 연결 시각과 맞춰 봅니다. 서로 다른 기록이 시간 순서대로 맞아떨어지면 판단의 근거가 쌓입니다. 어긋나는 기록이 하나라도 있으면 단정을 미룰 이유가 됩니다.

판단이 뒤집히는 경우들

시간 정보부터 검증이 필요합니다. 연결 시각은 그 PC의 시스템 시간을 기준으로 남습니다. 시간 설정이 어긋난 PC라면 기록된 시각과 실제 시각이 다를 수 있고 파일에 남는 시각과 시스템 기록의 시각이 서로 다른 기준을 쓰기도 합니다. 시각 검증 없이 '퇴사 직전'이라는 해석부터 앞세우면 이후 다툼에서 반박당하기 쉽습니다.

사용자 특정 문제도 있습니다. 공용 PC이거나 계정을 함께 쓰는 부서라면 그 시각의 사용자가 본인이었는지를 따로 살펴야 합니다.

업무 관행이라는 설명이 성립하는 경우도 적지 않습니다. 정기 백업, 자료 이관 지시, 승인받은 반출이 여기에 해당합니다. 반출 승인 이력이나 업무 지시 기록과 대조해 보면 가려지는 부분입니다.

이런 확인을 건너뛴 단정 보고는 면담 한 번에 뒤집히기도 합니다. 보고가 한 번 뒤집히면 같은 조사에서 나온 다른 결론까지 신뢰를 잃습니다. 확인 단계를 줄여 아낀 시간보다 잃는 것이 큽니다.

보고서에 적을 수 있는 문장, 아직 적을 수 없는 문장

가장 먼저 할 일은 판단이 아니라 보존입니다. 그 PC를 계속 쓰게 두면 파일 사용 흔적이 새 기록으로 덮입니다. 장비 상태를 원본 그대로 복제해 보관하는 절차를 거치면 이후 분석 결과를 두고 원본이 훼손되었다는 논란이 생길 여지가 줄어듭니다.

보고서에는 확인된 사실과 추정을 구분해 적습니다. '이 시각에 이 장치가 연결되었다'는 지금 적을 수 있는 문장입니다. '자료가 반출되었다'는 파일 사용 흔적과 장치 정보, 주변 기록이 갖춰진 뒤에야 적을 수 있는 문장입니다. 확인되지 않은 항목은 확인되지 않았다고 적는 편이 안전합니다. 빈칸을 추정으로 메운 보고서보다 확인 범위를 밝힌 보고서가 이후 절차에서 근거로 쓰입니다.

연결 기록은 조사를 시작할 근거로 충분합니다. 반출을 결론지을 근거가 되려면 위의 확인들이 더 필요합니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.