USB 연결기록과 파일 반출 판단

사례로 보는 문제

가상의 사례입니다. 퇴직 예정자의 PC에서 외장 저장장치 연결기록과 중요 문서의 최근 사용 흔적이 같은 날 발견됐습니다. 두 흔적의 시간대가 가깝다는 사실만으로 그 문서가 해당 USB에 복사됐다고 단정할 수 있을까요?

각 흔적이 설명하는 사실을 구분합니다

장치 연결 흔적은 저장장치가 인식된 정황을, 최근 문서·바로가기·점프목록 등은 파일이나 경로가 사용된 정황을 보여줍니다. 개별 흔적이 곧 사람의 직접 열람이나 복사를 뜻하지는 않습니다. 기록의 생성 조건과 시각의 의미를 먼저 확인해야 합니다.

원본 파일의 접근시각도 설정과 파일시스템에 따라 갱신이 지연되거나 생략될 수 있고, 프로그램의 자동 처리로 바뀔 수 있습니다. USB의 드라이브 문자는 바뀌거나 재사용될 수 있으므로 장치 식별정보·볼륨 정보와 함께 대조합니다.

USB에서 같은 이름의 파일을 찾았다면 내용과 해시값, 경로 및 시각을 비교합니다. SHA-256 등 적절한 알고리즘으로 계산한 전체 파일의 해시 일치는 비교한 바이트열의 동일성을 강하게 뒷받침하지만, 어느 PC에서 누가 언제 복사했는지를 단독으로 입증하지는 않습니다. 파일시스템 기록도 파일 생성·변경을 보여주는지, 전송 경로까지 설명하는지 구분해야 합니다.

반출 결론은 근거를 연결해 작성합니다

DLP·EDR의 전송기록, 장치·파일시스템 흔적과 확보한 매체를 시간순으로 대조합니다. 제품별 기록의 의미, 시간대와 시스템 시계 오차도 확인합니다. USB가 없거나 로그가 남지 않았다는 이유만으로 반출이 없었다고 결론 내리지 않습니다.

실무에서 확인할 사항

• 장치·볼륨 식별정보와 연결시각의 의미
• 파일 경로·내용·해시값과 최근 사용 흔적
• 생성·쓰기·전송기록의 구체적 내용과 상호 일치 여부
• 정상 백업·동기화 등 다른 설명 가능성
• 로그 설정·보존기간과 확인하지 못한 자료 범위