유출 사고 대응
유출이 의심될 때 무엇을 먼저 해야 하는가. 탐지부터 보존·조사·신고까지의 순서를 정리합니다.
첫 단계는 증거 보존
유출이 의심되면 원인을 빨리 밝히고 싶은 마음에 기기를 만지거나 재설치하기 쉽지만, 그 순간 결정적인 흔적이 사라집니다. 대응의 첫 원칙은 성급한 조치보다 현 상태의 보존입니다.
대응 순서
- 탐지·인지: 이상 징후나 제보로 사고를 인지합니다.
- 범위 파악·차단: 어떤 자료가 어디까지 영향을 받았는지 가늠하고 확산을 막습니다.
- 증거 보존: 관련 로그와 기기를 원본 그대로 확보하고 관리 연속성을 기록합니다.
- 원인·경로 조사: 디지털 포렌식으로 유출 경로와 행위자를 규명합니다.
- 통지·신고: 법이 정한 통지·신고 의무가 있는지 확인하고 기한 내에 이행합니다.
- 재발 방지: 드러난 취약점을 보완하고 통제를 강화합니다.
포렌식의 역할
사고 대응에서 포렌식은 누가·언제·무엇을·어떤 경로로 반출했는지를 증거능력 있는 형태로 규명합니다. 이는 내부 징계나 법적 대응의 근거가 될 뿐 아니라, 무엇이 뚫렸는지 정확히 알아야 제대로 된 재발 방지가 가능하기 때문에 중요합니다.
