관리 연속성 (Chain of Custody)

정의

관리 연속성은 증거물이 확보된 순간부터 법정에 제출되기까지, 그것을 누가 점유하고 어떤 처리를 했는지를 시간 순서대로 빠짐없이 기록한 이력을 말합니다. 보관의 사슬이라고 옮기기도 합니다. 사슬이라는 비유가 정확한 이유는, 고리 하나만 끊겨도 전체가 제 기능을 못 하기 때문입니다.

왜 필요한가

디지털 데이터는 흔적을 남기지 않고 바꿀 수 있습니다. 그래서 상대측은 언제든 이렇게 물을 수 있습니다. "제출된 그 파일이 수집 당시의 그 파일과 같다는 것을 어떻게 아느냐." 이 질문에 답하는 장치가 관리 연속성입니다.

중요한 것은 이 기록이 결백을 증명하는 문서가 아니라 의심을 차단하는 문서라는 점입니다. 실제로 아무도 증거를 건드리지 않았더라도, 건드릴 수 있었던 공백이 있었다면 그 공백만으로 신뢰가 흔들립니다. 조사기관의 성실함을 믿어 달라고 요구하는 대신, 믿음이 필요 없도록 만드는 것이 이 제도의 취지입니다.

기록에 담기는 것

• 수집 일시와 장소, 수집한 사람과 입회한 사람
• 대상 기기의 식별 정보 (모델, 일련번호, 외관 상태)
• 수집 방법과 사용한 도구, 도구의 버전
• 수집 직후 산출한 해시값
• 봉인 여부와 봉인 번호
• 이후 보관 장소, 접근한 사람, 인수인계 일시와 서명
• 분석 수행 내역, 그리고 반환 또는 폐기 기록

기록의 밀도는 사안의 무게에 따라 달라지지만, 원칙은 하나입니다. 제3자가 이 문서만 읽고도 증거의 이동 경로를 처음부터 끝까지 따라갈 수 있어야 합니다.

해시값과의 역할 분담

해시 함수는 데이터를 입력받아 고정된 길이의 값을 내놓습니다. 원본이 1비트만 달라져도 결과가 전혀 다른 값이 되므로, 수집 시점의 해시와 제출 시점의 해시가 같다면 그사이 데이터가 바뀌지 않았다고 볼 수 있습니다.

다만 해시값만으로는 부족합니다. 해시는 "이 데이터가 그때 그 데이터와 같다" 는 것만 말해 줄 뿐, "이 데이터가 그 PC 에서 나왔다" 는 것은 말해 주지 못합니다. 출처를 말해 주는 것은 사람이 남긴 기록, 즉 관리 연속성 문서입니다. 해시값이 데이터의 동일성을 수학적으로 보증하고, 관리 연속성 문서가 그 데이터의 출처와 이동을 서술적으로 보증합니다. 둘은 함께 쓰일 때만 의미가 있습니다.

사슬이 끊어지는 순간들

• 수집한 디스크를 잠금장치 없는 책상 서랍에 두고 퇴근한 경우
• 사본을 여러 사람이 돌려 보면서 누가 언제 열었는지 기록하지 않은 경우
• 수집 당시 해시값을 산출하지 않아 나중에 비교할 기준이 없는 경우
• 기기를 인수인계하면서 서명이나 일시를 빠뜨린 경우

어느 것도 고의적인 조작이 아닙니다. 그래서 더 위험합니다. 조사의 실력이 아니라 사무의 성실함에서 무너지는 사례가 실제로는 훨씬 많습니다.