회사가 PC 조사를 통보했을 때, 절차는 어떤 순서로 진행되나

인사팀 면담 자리에서 업무용 노트북을 며칠 맡겨 달라는 요청을 받는 경우가 있습니다. 사유는 확인할 사항이 있다는 정도로만 전달되고 장비는 그 자리에서 회수됩니다. 조사가 언제까지 이어지는지, 어디까지 들여다보는지는 설명되지 않은 채 시작되기도 합니다.

PC 조사는 정해진 순서로 진행되는 것이 일반적입니다. 순서를 알아 두면 통보를 받은 시점에 무엇을 물어볼 수 있는지, 장비를 넘기는 단계에서 무엇을 확인할 수 있는지가 분명해집니다.

통보 단계에서 확인할 수 있는 세 가지

조사 통보를 받으면 장비를 넘기기 전에 아래 세 가지를 먼저 확인합니다.

조사 사유와 대상 기간: 어떤 사안과 관련된 조사인지, 어느 기간의 기록을 보는지입니다. 사유가 정해져야 분석 범위도 그에 맞춰 정해집니다.

점검의 근거: 사내 보안 규정이나 입사 때 작성한 동의서에 회사 장비 점검이 포함되어 있는지입니다.

대상 장비의 소유: 회사가 지급한 PC와 개인 소유 PC나 휴대전화는 취급이 다릅니다. 개인 소유 기기는 회사 규정만으로 점검 범위가 정해지지 않는 경우가 있어 동의한 범위를 확인해야 합니다.

세 가지는 구두 설명으로 끝나는 경우가 많습니다. 문서나 메일로 받아 두면 이후 단계에서 범위를 다시 확인할 때 기준이 됩니다.

PC를 넘긴 뒤에는 네 단계로 진행됩니다

장비를 접수한 이후의 절차는 회사마다 세부가 다르지만 대체로 아래 순서를 따릅니다.

1. 장비 접수와 상태 기록

장비를 받은 시각, 일련번호, 외관과 전원 상태를 기록합니다. 이후 장비를 누가 보관하고 누가 열어 보았는지도 같은 기록에 이어서 남깁니다. 대상자가 접수 현장에 있으면 이 기록을 함께 확인할 수 있습니다.

2. 저장장치 복제

저장장치 전체를 그대로 복제해 사본을 만듭니다. 복제할 때는 쓰기 방지 장치를 거쳐 원본의 내용이 바뀌지 않게 합니다. 사본이 원본과 같은지는 해시값(수집한 사본이 원본과 동일함을 확인하는 값)으로 확인합니다. 이후 분석은 사본에서만 진행하고 원본은 따로 보관합니다.

3. 조사 사유에 맞춘 범위 분석

현장에서 자주 받는 질문은 개인 사진이나 금융 앱 기록까지 모두 보느냐는 것입니다. 분석은 조사 사유와 관련된 기간, 파일 종류, 검색어로 자료를 선별해 진행합니다. 사유와 무관한 개인 자료는 분석 대상에서 제외하는 것이 기준입니다. 다만 제외하는 구체적인 방식은 회사의 조사 절차마다 다르므로 통보 단계에서 물어보는 것이 좋습니다.

4. 결과 정리와 보고

확인된 기록과 확인되지 않은 부분을 나누어 보고서로 정리합니다. 보고서는 회사의 조사 담당 부서에 전달되고 이후 대상자의 소명을 듣는 절차나 징계 여부를 판단하는 자료로 쓰이기도 합니다. 장비의 반환 시점과 방법도 통보 단계에서 확인해 두는 것이 좋습니다.

보고서에 적힌 사실은 어떤 기록에서 나온 것인가

PC에는 외부 저장장치 연결, 파일 열람, 파일 삭제처럼 사용 흔적이 남습니다. 기록마다 보여주는 사실이 다르므로 보고서의 표현이 어떤 기록에 근거했는지 구분해서 읽어야 합니다.

외부 저장장치 연결 기록: 장치가 연결되었다는 사실을 보여줍니다. 그 장치에 어떤 파일이 복사되었는지는 복사 기록이 따로 있어야 확인됩니다.

파일의 존재: 파일이 PC에 있다는 사실이 그 파일을 열어 보았다는 뜻은 아닙니다. 열람 여부는 최근 사용 기록과 응용프로그램 기록으로 따로 확인합니다.

삭제 흔적: 파일이 삭제되었다는 사실을 보여줍니다. 삭제한 이유까지는 알려주지 않으며 프로그램의 자동 정리로도 같은 흔적이 남습니다.

보고서의 해석과 다른 설명이 가능하다면 소명 단계에서 설명하게 되며 그 설명은 다른 기록과 맞춰 확인됩니다. 기록 하나만으로 결론을 낸 문장이 있다면 그 근거 기록이 무엇인지부터 보고서에서 확인해야 합니다.

통보를 받은 직후 요청할 수 있는 사항

아래 항목은 장비를 넘기기 전에 요청하거나 확인해 볼 사항입니다. 요청이 받아들여지는지는 회사의 절차에 따라 다릅니다.

조사 사유, 대상 기간, 점검 근거를 문서나 메일로 받기

장비 접수 기록의 내용을 확인한 뒤 서명하기

복제를 마친 뒤 해시값 기록을 받을 수 있는지 문의하기

복제와 분석 과정에 입회할 수 있는지 문의하기

개인 자료를 분석 대상에서 제외하는 방식과 장비 반환 시점 문의하기

통보를 받은 뒤에는 장비 안의 파일을 지우거나 초기화하지 않기

마지막 항목에는 이유가 있습니다. 통보 이후 파일을 지우거나 장비를 초기화하면 그 작업도 기록으로 남아 무엇을 왜 했는지 설명해야 하는 상황이 생길 수 있습니다.

PC 조사는 통보, 장비 접수, 복제, 범위에 맞춘 분석, 결과 보고의 순서로 진행됩니다. 대상자는 각 단계에서 사유와 범위, 접수 기록, 해시값, 반환 시점을 확인하고 보고서의 사실이 어떤 기록에서 나왔는지도 구분해서 볼 수 있습니다. 조사를 받는 개인이 기록의 의미를 확인하려는 경우에는 HM ADFS의 개인 대상 디지털 포렌식 상담을 이용할 수 있습니다. 안내는 www.hmadfs.com에 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.