인정과 표준
인정과 인증은 다른 말입니다. 검사하는 자를 검사하는 제도인 인정의 개념과, 시험 결과의 신뢰를 뒷받침하는 국제 표준의 역할을 설명합니다.
인정과 인증
두 용어는 자주 혼용되지만 층위가 다릅니다.
- 인증(Certification): 제품, 서비스, 시스템, 사람이 특정 기준에 적합함을 제3자가 확인해 주는 것입니다.
- 인정(Accreditation): 그 인증이나 시험을 수행하는 기관 이 그럴 자격과 능력을 갖췄음을 공인 기구가 확인해 주는 것입니다.
혼동하기 쉬우니 한 번 더 짚습니다. 인증은 대상 이 기준에 맞는지를 봅니다. 인정은 그 판단을 내리는 기관 이 그럴 능력이 있는지를 봅니다. 그래서 KOLAS 는 인증기관이 아니라 인정기관 입니다.
즉 인정은 검사하는 자를 검사하는 제도입니다. 시험 결과를 믿으려면 그 시험을 수행한 기관을 믿을 수 있어야 하고, 그 기관을 믿으려면 누군가 그 기관을 확인해 주어야 합니다. 신뢰의 사슬을 한 칸 위로 올려 두는 장치인 셈입니다.
신뢰는 어디에서 오는가
어떤 주장을 믿는 방법은 크게 셋입니다. 스스로 확인하거나, 주장하는 사람을 믿거나, 제3자의 검증을 믿는 것입니다.
첫 번째는 대부분의 경우 불가능합니다. 시험 결과를 직접 확인하려면 같은 장비와 같은 전문성이 있어야 하는데, 그럴 수 있다면 애초에 시험을 의뢰하지 않았을 것입니다. 두 번째는 이해관계가 걸리는 순간 무너집니다. 결과에 따라 손해를 보는 쪽이 그 결과를 낸 사람의 선의를 믿어 줄 리 없습니다. 남는 것은 세 번째이고, 인정과 인증은 그 세 번째를 제도로 만든 것입니다.
왜 필요한가
시험 결과는 그 자체로는 하나의 주장에 불과합니다. 어떤 절차로 시험했는지, 장비는 교정되어 있었는지, 담당자는 자격을 갖췄는지, 결과가 재현되는지에 따라 결론은 달라질 수 있습니다. 같은 시료를 두 기관이 시험해 다른 결과를 내놓는 일도 실제로 벌어집니다.
인정 제도는 이런 요소들을 개별 시험 건이 아니라 기관 차원 에서 관리하도록 요구함으로써, 그 기관이 내놓는 모든 결과의 신뢰를 함께 끌어올립니다. 결과 하나하나를 검증하는 대신, 결과를 만들어 내는 시스템을 검증하는 접근입니다. 매번 답을 채점하는 대신 채점자를 검증하는 쪽이 훨씬 효율적이기도 합니다.
표준이라는 공통 언어
인정의 기준이 되는 것이 국제 표준입니다. 표준이 없으면 인정 기구마다 다른 잣대를 쓰게 되고, 그러면 A 나라의 인정과 B 나라의 인정이 서로 무엇을 보증하는지 알 수 없게 됩니다.
표준은 그래서 기술 문서이면서 동시에 약속입니다. 시험기관에는 ISO/IEC 17025, 검사기관에는 ISO/IEC 17020, 인증기관에는 ISO/IEC 17065 처럼 대상에 따라 적용되는 표준이 다르고, 각 표준은 그 유형의 기관이 갖춰야 할 최소한을 규정합니다.
포렌식에서의 의미
디지털 포렌식에서도 같은 논리가 적용됩니다. 같은 분석 결과라도 인정받은 절차와 품질 시스템 아래에서 산출되었다면, 법정에서 다툼이 생겼을 때 그 신뢰도를 설명하기가 훨씬 수월합니다.
반대로 절차가 문서화되어 있지 않고 담당자의 숙련도에만 기대는 조직은, 담당자가 아무리 유능해도 그 유능함을 제3자에게 증명할 방법이 없습니다. 법정에서 "저는 20년 경력입니다" 는 답변이 되지 못합니다. 개인의 실력을 조직의 신뢰로 바꾸는 장치가 표준과 인정입니다.
KOLAS
시험기관의 능력을 국가가 평가해 인정하는 인정기관입니다. 인증기관과 무엇이 다른지, 무엇을 평가하고 공인 성적서가 무엇인지 설명합니다.
정의
KOLAS(Korea Laboratory Accreditation Scheme)는 한국인정기구를 가리키며, 국가기술표준원이 운영하는 국가 공인 인정 기구입니다. 시험기관, 교정기관, 검사기관이 특정 분야의 업무를 수행할 능력을 갖추었는지를 국제 기준에 따라 평가하고 인정합니다.
KOLAS 는 인정기관 입니다. 인증기관이 아닙니다. 이름 그대로 인정(accreditation)을 하는 기구이지, 시험을 대신 해 주거나 제품에 인증을 붙여 주는 곳이 아닙니다. 시험은 인정을 받은 기관이 수행하고, KOLAS 는 그 기관이 그럴 자격이 있는지를 판정합니다. 이 구분을 헷갈려 "KOLAS 에서 시험받았다" 고 표현하는 경우가 있는데, 정확히는 "KOLAS 인정을 받은 기관에서 시험받았다" 입니다.
무엇을 평가하나
평가의 기준은 국제 표준입니다. 시험기관과 교정기관의 경우 ISO/IEC 17025 가 적용되며, 다음과 같은 요소를 봅니다.
- 시험을 수행하는 인력의 자격, 교육, 숙련도 유지
- 사용하는 장비의 교정 상태와 관리 이력
- 시험 방법의 타당성과 절차의 문서화
- 결과의 기록, 보고, 보관 체계
- 공정성과 기밀 유지를 보장하는 조직 구조
- 시험 환경과 시설이 결과에 영향을 주지 않도록 관리되는지
인정은 한 번 받으면 끝나는 자격이 아닙니다. 주기적인 사후 평가를 통해 유지 여부를 확인하고, 요건을 충족하지 못하면 인정이 정지되거나 취소될 수 있습니다.
국제상호인정
KOLAS 는 국제시험기관인정협력체(ILAC)의 상호인정협정에 가입되어 있습니다. 이에 따라 KOLAS 가 인정한 기관이 발행한 성적서는 협정에 참여한 다른 나라에서도 동등한 것으로 받아들여집니다.
취지는 명확합니다. 한 번 시험한 결과를 나라마다 다시 시험하게 하면 비용과 시간이 낭비되므로, 서로의 인정 제도를 신뢰하기로 약속한 것입니다. 무역에서 시작된 이 발상은 이제 시험 결과가 오가는 모든 영역으로 확장되었습니다.
공인 성적서와 인정 범위
인정받은 범위 안에서, 인정받은 절차에 따라 수행한 시험의 결과에 인정 기구의 마크를 붙여 발행하는 문서를 공인 성적서라고 합니다.
여기서 인정 범위 라는 개념이 결정적입니다. 인정은 기관 전체에 백지수표로 주어지는 것이 아니라, 특정 시험 항목과 방법에 대해 주어집니다. 같은 기관이 시험하더라도 인정 범위를 벗어난 항목은 공인 성적서로 발행할 수 없습니다.
그래서 성적서를 받았을 때는 마크의 유무만 볼 것이 아니라, 문제의 그 시험 항목이 인정 범위 안에 있는지를 함께 확인해야 합니다. 마크가 찍힌 성적서라고 해서 그 안의 모든 항목이 공인된 것은 아닙니다.
공인 성적서가 보증하는 것과 하지 않는 것
공인 성적서는 그 시험이 인정된 절차에 따라 수행되었다 는 것을 보증합니다. 그 이상은 보증하지 않습니다.
구체적으로, 성적서에 적힌 시험 결과가 사건의 결론까지 확정해 주지는 않습니다. 예를 들어 어떤 파일이 특정 시각에 USB 로 복사된 흔적이 있다는 시험 결과가 공인 성적서로 발행되었다고 해서, 그것이 곧 특정인의 유출 행위를 입증하는 것은 아닙니다. 그 시각에 누가 그 자리에 있었는지, 계정을 다른 사람이 쓰지는 않았는지는 여전히 별도로 다퉈야 할 문제입니다.
성적서가 하는 일은 사실의 한 조각을 흔들리지 않게 고정해 주는 것입니다. 그 조각들을 엮어 결론을 세우는 것은 조사와 재판의 몫입니다.
디지털 포렌식 분야의 인정
디지털 포렌식이 인정 제도 안으로 들어온 것은 비교적 최근의 일입니다. 물질을 다루는 시험과 달리 대상이 데이터이고, 기술이 빠르게 바뀌며, 같은 도구라도 버전에 따라 결과가 달라질 수 있어 표준화가 까다롭기 때문입니다.
그럼에도 방향은 분명합니다. 증거의 신뢰를 개인의 경력이 아니라 검증 가능한 절차로 설명해야 한다는 요구가 계속 커지고 있고, 인정은 그 요구에 답하는 현재로서 가장 정착된 방식입니다.
ISO/IEC 17025
시험기관과 교정기관의 능력에 관한 국제 표준입니다. 절차를 지키는 것을 넘어 그 절차가 타당한 결과를 낸다는 것까지 증명하라고 요구하는 표준입니다.
정의
ISO/IEC 17025 는 시험기관과 교정기관의 능력에 대한 일반 요구사항을 규정한 국제 표준입니다. 어떤 기관이 기술적으로 유효한 결과를 낼 능력이 있는지를 판단하는 기준이 되며, KOLAS 를 비롯한 각국 인정 기구가 이 표준을 근거로 인정을 부여합니다.
ISO 9001 과의 차이
ISO 9001 은 품질경영시스템이 갖춰져 있는지를 봅니다. 절차가 정해져 있고 그대로 운영되며 개선되는지가 관심사입니다. 극단적으로 말하면, 틀린 결과를 일관되게 내놓는 조직도 절차만 지키면 ISO 9001 요건은 충족할 수 있습니다.
ISO/IEC 17025 는 여기에 더해 기술적 능력 을 요구합니다. 절차를 지키는 것만으로는 부족하고, 그 절차가 실제로 타당한 결과를 낸다는 것까지 증명해야 합니다. 두 표준의 결정적인 차이가 여기에 있습니다.
주요 요구사항
- 공정성: 결과에 영향을 줄 수 있는 상업적, 재정적, 인적 압력으로부터 독립적이어야 합니다. 의뢰인이 원하는 결과를 내주는 기관은 이 표준의 관점에서 자격이 없습니다.
- 기밀성: 업무 과정에서 알게 된 고객의 정보를 보호해야 합니다.
- 인력: 각 업무를 수행할 자격과 능력을 갖춘 인력을 지정하고, 그 능력을 지속적으로 관리해야 합니다.
- 장비: 필요한 장비를 갖추고 정해진 주기에 따라 교정하며, 교정 이력을 기록해야 합니다.
- 방법의 타당성 확인: 사용하는 시험 방법이 그 목적에 적합함을 확인하고 근거를 남겨야 합니다. 표준화된 방법이 아니라 자체 개발한 방법을 쓴다면 요구는 더 엄격해집니다.
- 측정 불확도: 결과에 따르는 불확실성의 범위를 평가하고 보고해야 합니다. 어떤 측정도 완벽하지 않다는 것을 인정하고, 그 오차의 크기를 명시하라는 요구입니다.
- 숙련도 시험: 다른 기관과 같은 시료를 시험해 결과를 비교하는 등, 자기 기관의 능력을 외부와 견주어 확인해야 합니다.
- 기록: 결과를 재현할 수 있을 만큼 충분한 기록을 남기고 정해진 기간 보관해야 합니다.
디지털 포렌식과의 관계
디지털 포렌식을 이 표준의 틀 안에서 수행한다는 것은, 분석 도구를 검증하고, 절차를 문서화하고, 인력의 자격을 관리하고, 결과의 재현 가능성을 조직 차원에서 보장한다는 뜻입니다.
포렌식 도구는 대부분 상용 소프트웨어이지만, 도구가 내놓는 결과를 그대로 믿는 것과 그 도구가 우리 환경에서 정확히 동작함을 확인해 두는 것은 다릅니다. 표준이 요구하는 것은 후자입니다. 결국 이 표준의 정신은 한 문장으로 요약됩니다. 개인의 숙련도에 기대지 말고, 시스템으로 신뢰를 담보하라.
