ISO/IEC 17025
시험기관과 교정기관의 능력에 관한 국제 표준입니다. 절차를 지키는 것을 넘어 그 절차가 타당한 결과를 낸다는 것까지 증명하라고 요구하는 표준입니다.
정의
ISO/IEC 17025 는 시험기관과 교정기관의 능력에 대한 일반 요구사항을 규정한 국제 표준입니다. 어떤 기관이 기술적으로 유효한 결과를 낼 능력이 있는지를 판단하는 기준이 되며, KOLAS 를 비롯한 각국 인정 기구가 이 표준을 근거로 인정을 부여합니다.
ISO 9001 과의 차이
ISO 9001 은 품질경영시스템이 갖춰져 있는지를 봅니다. 절차가 정해져 있고 그대로 운영되며 개선되는지가 관심사입니다. 극단적으로 말하면, 틀린 결과를 일관되게 내놓는 조직도 절차만 지키면 ISO 9001 요건은 충족할 수 있습니다.
ISO/IEC 17025 는 여기에 더해 기술적 능력 을 요구합니다. 절차를 지키는 것만으로는 부족하고, 그 절차가 실제로 타당한 결과를 낸다는 것까지 증명해야 합니다. 두 표준의 결정적인 차이가 여기에 있습니다.
주요 요구사항
- 공정성: 결과에 영향을 줄 수 있는 상업적, 재정적, 인적 압력으로부터 독립적이어야 합니다. 의뢰인이 원하는 결과를 내주는 기관은 이 표준의 관점에서 자격이 없습니다.
- 기밀성: 업무 과정에서 알게 된 고객의 정보를 보호해야 합니다.
- 인력: 각 업무를 수행할 자격과 능력을 갖춘 인력을 지정하고, 그 능력을 지속적으로 관리해야 합니다.
- 장비: 필요한 장비를 갖추고 정해진 주기에 따라 교정하며, 교정 이력을 기록해야 합니다.
- 방법의 타당성 확인: 사용하는 시험 방법이 그 목적에 적합함을 확인하고 근거를 남겨야 합니다. 표준화된 방법이 아니라 자체 개발한 방법을 쓴다면 요구는 더 엄격해집니다.
- 측정 불확도: 결과에 따르는 불확실성의 범위를 평가하고 보고해야 합니다. 어떤 측정도 완벽하지 않다는 것을 인정하고, 그 오차의 크기를 명시하라는 요구입니다.
- 숙련도 시험: 다른 기관과 같은 시료를 시험해 결과를 비교하는 등, 자기 기관의 능력을 외부와 견주어 확인해야 합니다.
- 기록: 결과를 재현할 수 있을 만큼 충분한 기록을 남기고 정해진 기간 보관해야 합니다.
디지털 포렌식과의 관계
디지털 포렌식을 이 표준의 틀 안에서 수행한다는 것은, 분석 도구를 검증하고, 절차를 문서화하고, 인력의 자격을 관리하고, 결과의 재현 가능성을 조직 차원에서 보장한다는 뜻입니다.
포렌식 도구는 대부분 상용 소프트웨어이지만, 도구가 내놓는 결과를 그대로 믿는 것과 그 도구가 우리 환경에서 정확히 동작함을 확인해 두는 것은 다릅니다. 표준이 요구하는 것은 후자입니다. 결국 이 표준의 정신은 한 문장으로 요약됩니다. 개인의 숙련도에 기대지 말고, 시스템으로 신뢰를 담보하라.
