자체 포렌식 LAB 구축, 무엇부터 준비해야 하나

외부 업체에 맡기는 조사 의뢰가 해마다 늘면 경영진은 이런 질문을 하게 됩니다. 우리가 직접 하면 비용과 시간이 줄지 않겠느냐는 질문입니다. 지시를 받은 담당자는 대개 장비 견적부터 받습니다. 현장에서 가장 흔한 시작 순서입니다. 중간에 가장 자주 되돌아가는 순서이기도 합니다.

장비는 분석 환경의 일부일 뿐입니다. 어떤 사안을 어떤 수준으로 다룰지 정해지지 않으면 무엇을 얼마나 사야 하는지도 정해지지 않습니다.

장비 견적보다 먼저 정해야 하는 세 가지

세 가지가 정해지면 필요한 장비 사양과 인력 규모를 계산할 수 있습니다.

1. 어떤 사안을 다룰 것인가 임직원 비위 조사, 정보유출 의심 건 확인, 소송을 앞둔 자료 확보는 요구되는 수준이 서로 다릅니다. 내부 징계 판단에 쓸 자료와 법정에 낼 자료는 수집 절차의 엄격함이 다릅니다. 지난 의뢰 내역에서 연간 몇 건을 어떤 유형으로 맡겼는지 먼저 뽑아 보면 필요한 범위가 보입니다.

2. 누가 조사하고 누가 승인하는가 업무용 PC나 메신저를 조사하려면 근거가 되는 사내 규정과 임직원 고지가 있어야 합니다. 개인정보가 섞인 자료를 다루므로 조사 목적에 맞는 범위만 수집하도록 승인 절차도 필요합니다. 조사자가 조사 대상 부서와 이해관계가 없는지도 이 단계에서 정합니다.

3. 결과를 어디에 쓸 것인가 내부 보고서에만 쓰는지, 수사기관이나 법원에 제출할 가능성이 있는지에 따라 작업 기록의 상세도와 검증 수준이 달라집니다. 제출 가능성이 있다면 처음부터 그 기준으로 절차를 설계해야 나중에 보완할 부분이 줄어듭니다.

분석 환경은 어떤 요소로 이루어지는가

증거가 거치는 순서대로 점검하면 빠뜨리는 요소가 줄어듭니다. 아래 다섯 가지는 수집에서 보고까지의 흐름에 맞춰 나눈 것입니다.

1. 증거 수집 장비 저장매체를 연결할 때 원본에 기록이 더해지지 않도록 쓰기 방지 장치를 거쳐 사본을 만듭니다. 사본이 원본과 같다는 사실은 해시값으로 확인합니다. 해시값은 데이터 전체에서 계산하며 내용이 조금만 달라져도 값이 달라지는 값입니다. 노트북, 서버, 모바일 기기는 필요한 장비가 서로 다르므로 앞에서 정한 사안 유형에 맞춰 대상 기기부터 확인합니다.

2. 증거물 보관과 관리 원본 저장매체와 사본을 두는 잠금 공간, 접근 권한자 명단, 반입과 반출을 적는 관리 대장이 필요합니다. 누가 언제 증거물을 꺼내 무엇을 했는지 이어서 설명하지 못하면 분석 결과가 정확해도 신뢰를 얻기 어렵습니다.

3. 분석 작업 공간 압축하지 않은 사본은 원본 저장매체와 같은 크기여서 저장 용량이 빠르게 늘어납니다. 사건별로 저장 공간을 나누고 분석 PC는 외부 인터넷과 사내망에서 분리해 두는 편이 안전합니다. 분석 중인 자료가 밖으로 나가거나 다른 사건의 자료와 섞이는 일을 막기 위해서입니다.

4. 분석 도구와 검증 절차 도구는 라이선스와 버전을 기록해 두고 새 버전을 들일 때마다 결과를 이미 아는 샘플 자료로 같은 결과가 나오는지 확인합니다. 도구가 화면에 보여 주는 항목을 옮겨 적는 일과 그 항목이 어떤 행위를 의미하는지 해석하는 일은 다릅니다. 중요한 결과는 다른 도구나 다른 자료로 교차 확인하는 절차를 문서로 정해 둡니다.

5. 작업 기록과 보고서 양식 수행한 작업과 시각, 사용한 도구와 버전, 확인한 사실과 확인하지 못한 사항을 사건별로 남깁니다. 보고서 양식도 확인된 사실과 추가 확인이 필요한 사항을 나누어 적도록 처음부터 만들어 둡니다.

다섯 가지에 들어가지 않는 항목이 인력입니다. 장비는 구매하면 갖춰지지만 분석 결과를 해석하는 능력은 교육과 사안 경험이 쌓여야 안정됩니다. 담당자 한 명의 역량에 맞춰 설계하면 그 사람이 자리를 옮길 때 운영이 멈추므로, 두 명 이상이 서로의 작업을 검토하는 구조가 필요합니다.

사안의 성격에 따라 직접 수행과 외부 위탁은 나뉩니다

자체 LAB이 모든 사안을 처리하는 구조는 아닙니다. 어디까지 직접 하고 어디부터 맡길지 기준을 미리 적어 두면 사안이 닥쳤을 때 판단이 빨라집니다.

직접 수행하기에 맞는 사안: 반복되는 유형의 점검, 초기 확인, 외부 제출 가능성이 낮은 내부 조사처럼 절차가 정형화된 건입니다.

외부 전문기관을 함께 쓰는 사안: 소송이나 수사 제출 가능성이 있는 건, 조사 대상이 경영진이어서 내부 조사자의 독립성을 확보하기 어려운 건, 손상된 매체나 특수 장비가 필요한 건입니다.

공인 성적서가 필요한 사안: 자체 LAB의 분석 결과는 KOLAS 공인 성적서와 같은 지위가 아닙니다. 공인 성적서는 KOLAS 인정을 받은 시험기관이 발행합니다. 자체 LAB이 인정을 받으려면 ISO/IEC 17025 기준의 품질체계와 심사 대응이 별도로 필요합니다.

예산안에 담기 전에 확인할 점

장비 목록은 가장 나중에 완성됩니다. 다룰 사안, 조사 권한, 결과 사용처를 먼저 정하고 다섯 가지 요소를 증거가 거치는 순서대로 점검하면 필요한 장비와 인력, 위탁 범위가 함께 정해집니다.

HM ADFS는 디지털 기록으로 사실관계를 확인하는 조사·진단 전문 조직이며 민간기업 최초 KOLAS 국제공인 1호입니다. 자체 분석 환경의 설계는 디지털 포렌식 LAB 구축, 인정 준비는 KOLAS 컨설팅, 담당자 역량은 기업 맞춤형 포렌식 교육과정에서 다룹니다.

www.hmadfs.com

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.