개인 PC 포렌식에서 '필요한 범위만 수집한다'는 말이 뜻하는 것

개인 노트북을 조사에 제출해 달라는 요청을 받거나 다툼에 필요한 대화 기록을 찾으려고 본인 PC의 포렌식을 맡기려는 경우가 있습니다. 상담에서 가장 먼저 나오는 질문은 대개 같습니다. 포렌식을 하면 가족사진이나 금융 기록, 사적인 대화까지 PC 안의 자료를 전부 보게 되느냐는 질문입니다.

포렌식은 저장장치를 통째로 가져가 안에 있는 것을 모두 살펴본다는 이해는 절반만 맞습니다. 저장장치 전체를 복제하는 경우는 있습니다. 하지만 복제했다고 해서 그 안의 자료를 전부 열어 보지는 않습니다. 어떤 자료를 수집하고 분석할지는 조사 목적에 맞춰 미리 정하는 것이 원칙입니다.

복제하는 일과 열어 보는 일은 다른 단계입니다

포렌식 절차는 크게 수집과 분석으로 나뉩니다. 수집은 원본 저장장치에서 자료를 복제해 사본을 만드는 단계이고 분석은 그 사본에서 조사 목적과 관련된 기록을 찾아 내용을 확인하는 단계입니다.

수집 방식은 두 가지입니다. 저장장치 전체를 그대로 복제하는 전체 복제가 있고 정해진 기준에 맞는 파일만 골라 복제하는 선별 수집이 있습니다. '필요한 범위만 수집한다'는 말은 보통 선별 수집을 가리킵니다. 전체 복제를 한 경우에도 분석은 목적과 관련된 범위로 제한합니다.

어느 방식이든 사본이 원본과 같은지는 해시값(수집한 사본이 원본과 동일함을 확인하는 값)으로 확인합니다. 선별 수집에서는 복제한 파일마다 해시값을 계산해 목록으로 남깁니다.

범위는 무엇을 기준으로 정하나

범위는 조사 목적에서 출발합니다. 확인하려는 사실이 정해지면 그 사실과 관련된 자료를 아래 기준으로 좁힙니다.

• 기간: 문제가 된 일이 있었던 시기 전후의 기록만 대상으로 합니다.
• 자료 종류: 문서 파일, 메신저 대화, 메일, 사진 가운데 목적과 관련된 종류만 고릅니다.
• 위치: 특정 폴더나 특정 프로그램의 저장 공간처럼 자료가 있을 만한 곳으로 한정합니다.
• 검색어와 대화 상대: 사안과 관련된 단어나 특정 상대방과 나눈 대화만 추립니다.

예를 들어 특정 거래처와 주고받은 계약 관련 대화가 쟁점이라면 해당 기간에 그 상대방과 나눈 메신저 대화와 관련 문서가 대상이 됩니다. 같은 PC에 있는 가족사진이나 인터넷 뱅킹 기록은 목적과 관련이 없으므로 수집과 분석 대상에서 빠집니다.

범위를 너무 넓게 잡으면 사생활 침해 문제가 생깁니다. 너무 좁게 잡으면 필요한 기록을 놓치게 됩니다. 범위는 분석 도중에 조정되기도 하며 그때는 조정한 이유를 기록으로 남깁니다.

선별 수집으로는 확인하기 어려운 기록도 있습니다

선별 수집이 항상 가능한 것은 아닙니다. 선별 수집은 현재 남아 있는 파일을 골라 복제하는 방식이어서 이미 삭제된 파일의 흔적이나 저장장치의 빈 공간에 남은 기록은 대개 담기지 않습니다.

여기서 수집 방식이 달라집니다. 삭제 여부가 쟁점이거나 어떤 파일이 언제 만들어지고 옮겨졌는지 시간 순서로 재구성해야 하는 사안이라면 전체 복제가 필요할 수 있습니다. 이 경우에도 분석은 목적과 관련된 기록으로 한정하고 관련 없는 자료는 열어 보지 않습니다.

범위를 확인할 수 있는 지점

수사기관이 개인의 PC를 압수하는 경우 형사소송법은 범위를 정해 복제하는 방식을 원칙으로 둡니다. 제106조 제3항은 정보저장매체를 압수할 때 기억된 정보의 범위를 정해 출력하거나 복제해 제출받도록 정하고 있습니다. 저장매체 자체를 압수하는 것은 그 방법이 불가능하거나 압수 목적을 달성하기 현저히 곤란한 경우로 제한됩니다. 이 조항은 수사기관의 압수에도 준용되며(제219조) 압수·수색에는 당사자나 변호인이 참여할 수 있습니다(제121조).

회사 조사나 개인 의뢰처럼 형사 절차가 아닌 경우에는 범위를 정하는 법조문이 따로 없습니다. 장비를 넘기거나 포렌식을 의뢰하기 전에 아래 사항을 서면으로 확인해 두면 이후 범위를 두고 다툼이 생겼을 때 기준이 됩니다.

• 조사 또는 의뢰 목적과 대상 기간이 문서로 정리되어 있는가
• 전체 복제와 선별 수집 가운데 어느 방식이며 그 이유는 무엇인가
• 선별 수집이라면 수집한 파일 목록과 해시값을 받을 수 있는가
• 수집과 선별 과정에 참여하거나 결과를 확인할 수 있는가
• 분석이 끝난 뒤 사본과 범위 밖 자료는 어떻게 반환하거나 삭제하는가

'필요한 범위만 수집한다'는 말은 조사 목적에 맞춰 기간, 자료 종류, 위치, 검색어로 대상을 좁혀 복제하고 분석한다는 뜻입니다. 전체 복제가 필요한 사안에서도 열어 보는 범위는 목적과 관련된 기록으로 제한됩니다. 수집 방식, 파일 목록과 해시값, 사본의 처리 방법은 장비를 넘기기 전에 문서로 확인할 수 있습니다.

본인 PC에서 필요한 기록만 골라 확인하려는 경우나 조사에서 정한 수집 범위를 검토받으려는 경우에는 HM ADFS에서 개인 대상 디지털 포렌식 상담을 받을 수 있습니다. 상담 안내는 www.hmadfs.com에 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.