DRM으로 암호화한 문서도 회사 밖에서 발견됩니다

"그 파일은 DRM이 걸려 있어서 밖으로 나가도 열리지 않습니다."

유출 의심 정황을 놓고 조사 범위를 정하는 자리에서 자주 듣는 답변입니다. 문서 암호화를 도입한 회사일수록 이 전제를 강하게 신뢰합니다. 절반은 맞는 말입니다. 승인 없이 복사되어 나간 암호화 파일은 외부 PC에서 열리지 않습니다. 문제는 문서에 담긴 내용이 파일 복사가 아닌 경로로도 회사 밖에서 발견된다는 점입니다.

DRM은 문서를 암호화해 권한이 있는 사용자와 기기에서만 열리도록 통제하는 방식입니다. 파일 단위의 통제로는 효과가 분명합니다. 그런데도 유출 조사가 시작되는 회사 가운데는 DRM을 오래전에 도입한 회사가 적지 않습니다. 이 간극이 어디에서 생기는지부터 살펴보겠습니다.

DRM이 잠그는 것은 파일입니다

DRM 정책이 적용되는 단위는 파일입니다. 암호화된 파일이 통째로 복사되어 나가는 상황에서는 통제가 작동합니다. 그런데 조사에서 확인하는 대상은 파일이 아니라 정보입니다. 같은 내용이 파일 밖의 다른 형태로 존재하면 DRM의 적용 범위를 벗어납니다.

적용 범위 자체가 생각보다 좁은 경우도 많습니다. 도입 이전에 만들어진 문서가 암호화되지 않은 채 공유 폴더에 남아 있기도 합니다. 특정 파일 형식이나 부서·시스템이 업무 편의를 이유로 예외 등록된 경우도 있습니다. 예외 목록은 도입 후 시간이 지날수록 늘어나는 경향이 있습니다. 조사를 시작하면 현재 정책이 아니라 문제가 된 시점의 적용 범위와 예외 목록부터 확인하는 이유입니다.

파일이 잠겨 있어도 내용은 업무 과정에서 화면에 표시되고 보고서와 메일, 회의 자료에 인용됩니다. 조사에서 파일 이동 기록과 함께 메일 본문과 메신저 대화를 확인하는 것도 이 때문입니다.

해제 승인을 받은 문서는 어디로 갔는가

회사 정보는 업무상 외부로 나가야 할 때가 있습니다. 고객사에 보내는 제안서, 협력사와 공유하는 도면, 자문사에 전달하는 계약서가 그렇습니다. 이때는 해제 신청과 승인을 거쳐 암호화를 푼 사본이 만들어집니다. 여기까지는 정상 업무입니다.

문제는 그다음입니다. 암호화가 풀린 사본은 그 시점부터 DRM 통제 밖에 있습니다. 승인받은 목적대로 한 곳에만 전달됐는지, 다른 곳으로도 보내졌는지, 몇 달 뒤 어느 PC에 남아 있는지는 DRM 시스템에 기록되지 않습니다. 조사 자리에서 해제 이후의 행방을 물으면 답변이 멈추는 경우가 많습니다.

유출 조사에서는 이상 징후를 찾기 전에 정상 절차의 기록부터 대조합니다. 해제 승인 이력에 적힌 목적·수신처와 실제 발송 내역이 일치하는지 확인하는 작업입니다. 기록이 가장 잘 남아 있는 경로여서 대조에 걸리는 시간도 짧습니다.

DRM 로그만으로 결론이 나지 않는 이유

DRM 로그에는 누가 언제 어떤 문서를 열람했는지, 권한이 언제 바뀌었는지, 해제 요청과 승인이 언제 있었는지가 남습니다. 제품과 설정에 따라 인쇄 이력이 남기도 합니다. 조사에 유용한 기록입니다. 다만 읽을 때 구분해야 할 것이 두 가지 있습니다.

먼저 열람 기록은 반출 기록이 아닙니다. 퇴직을 앞둔 직원이 문서 수백 건을 열람했다는 로그는 조사 범위를 정하는 단서가 되지만 그 자체로 정보가 밖으로 나갔다는 근거는 되지 않습니다. 반출 여부는 발송 기록, 저장장치 연결과 파일 접근 흔적 같은 별도 기록을 맞춰 확인할 문제입니다.

로그에 이상이 없다는 결과가 유출이 없었다는 결론이 되지도 않습니다. DRM 로그는 통제 범위 안의 일만 기록합니다. 적용 범위 밖의 문서, 해제된 뒤의 사본, 내용 단위의 이동은 처음부터 이 로그에 나타나지 않습니다.

로그가 남는 기간도 변수입니다. 제품과 설정에 따라 기록 항목과 보관 기간이 다릅니다. 조사에 들어가기 전에는 어느 기간의 어떤 기록이 남아 있는지부터 확인합니다.

그래서 무엇을 더 확인해야 하는가

유출 의심 정황이 생기면 확인 작업에 앞서 해 둘 일이 있습니다. 대상 PC와 각 시스템의 로그가 일상 운영으로 덮어써지기 전에 보존하는 조치입니다. 로그는 보관 기간이 지나면 삭제되고 PC의 흔적은 계속 사용하는 동안 바뀝니다.

보존이 끝나면 성격이 다른 기록을 같은 기간에 놓고 대조합니다. DRM 로그의 열람·해제 이력, 해제 승인 문서, 메일과 메신저의 발송 기록, 대상 PC의 저장장치 연결과 파일 접근 흔적입니다. 서로 다른 시스템의 기록이 같은 시간대에서 이어지는지 맞춰 본 뒤에야 실제로 어떤 일이 있었는지 정리할 수 있습니다.

DRM은 도입할 이유가 분명한 통제 수단입니다. 승인 없이 복사된 파일이 외부에서 열리지 않는 것만으로 줄어드는 위험이 있습니다. 다만 유출 여부를 판단하는 자리에서 DRM 로그는 여러 기록 가운데 하나입니다. 문서 암호화를 도입했다는 사실이 조사에서 확인할 기록의 목록을 줄여 주지는 않습니다. 판단의 근거는 적용 범위와 해제 이력, 발송 기록, PC 사용 흔적을 시간 순서대로 맞춘 결과에서 나옵니다.

HM ADFS는 2011년부터 기업의 정보유출·비위 의심 상황에서 디지털 기록을 수집하고 분석해 사실관계를 확인해 온 조사 전문 조직입니다. 관련 서비스로 정보유출 조사, 디지털 포렌식 서비스, 정보보호 리스크 진단을 운영합니다.

www.hmadfs.com

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.