디지털 증거

정의

디지털 증거는 컴퓨터나 디지털 저장 매체에 이진 형태로 기록되어 있으면서, 사건의 사실관계를 입증하는 데 사용될 수 있는 정보를 말합니다. 문서 파일과 이메일처럼 사람이 만든 데이터도 있고, 접속 로그와 시스템 기록처럼 기계가 자동으로 남긴 데이터도 있습니다.

둘의 성격은 꽤 다릅니다. 사람이 만든 데이터는 내용 자체가 주장이므로 진위를 따져야 하고, 기계가 남긴 데이터는 의도가 개입하지 않는 대신 그 기록을 만든 시스템이 제대로 작동했는지를 따져야 합니다. 조사에서 로그가 중시되는 이유는 그것이 거짓말을 하지 않아서가 아니라, 거짓말을 하려면 시스템 자체를 건드려야 하고 그 흔적이 또 남기 때문입니다.

물리적 증거와 다른 점

• 비가시성: 데이터 자체는 눈으로 볼 수 없고, 반드시 소프트웨어라는 매개를 통해 해석해야 내용이 드러납니다. 따라서 해석에 사용한 도구의 신뢰성까지 함께 따집니다.
• 취약성: 전원을 켜거나 파일을 열어보는 것만으로도 접근 시각 등이 변경됩니다. 지문이나 혈흔과 달리, 관찰하는 행위 자체가 증거를 훼손할 수 있습니다.
• 매체 독립성: 원본과 사본이 비트 단위로 완전히 같기 때문에 물리적 원본이라는 개념이 희미합니다. 대신 해시값으로 동일성을 증명합니다.
• 대량성: 저장 용량이 커서 수집 대상이 수백 기가바이트에 이르는 일이 흔하고, 그중 사건과 관련된 데이터를 걸러 내는 선별이 분석만큼 중요해집니다.
• 변조 가능성: 물리적 증거는 위조하려면 흔적이 남지만, 디지털 데이터는 이론적으로 완벽한 위조가 가능합니다. 그래서 데이터 자체보다 그것을 둘러싼 절차가 신뢰의 근거가 됩니다.

증거능력의 요건

디지털 증거가 재판에서 받아들여지려면 일반적으로 다음 요소가 확인되어야 합니다.

• 진정성: 그 데이터가 주장하는 출처에서 나온 것이 맞는가.
• 무결성: 수집 이후 변경되지 않았는가. 해시값 비교와 관리 연속성 기록으로 뒷받침합니다.
• 신뢰성: 데이터를 만들어 낸 시스템과 분석에 사용한 도구가 믿을 만한가.
• 적법성: 수집 절차가 법이 정한 요건을 지켰는가. 위법하게 수집된 증거는 내용이 아무리 결정적이어도 배제될 수 있습니다.

기업 내부 조사에서 특히 자주 걸리는 것이 적법성입니다. 회사 소유의 PC 라 해도 직원의 개인 영역까지 무제한으로 들여다볼 수 있는 것은 아니며, 사전에 고지된 정책과 동의의 범위가 어디까지인지가 늘 쟁점이 됩니다.

휘발성과 수집 순서

디지털 데이터는 사라지는 속도가 서로 다릅니다. CPU 캐시와 메모리의 내용, 네트워크 연결 상태는 전원을 끄는 순간 사라지고, 임시 파일은 재부팅이나 정리 작업으로 없어지며, 디스크에 기록된 파일은 상대적으로 오래 남습니다.

이 차이 때문에 수집에는 휘발성이 높은 것부터 확보한다는 순서 원칙이 있습니다. 실행 중인 시스템을 만났을 때 무작정 전원을 뽑으면 메모리에만 있던 암호키나 실행 중이던 프로세스 정보가 통째로 사라집니다. 반대로 시스템을 계속 켜 두면 디스크의 데이터가 조금씩 덮어써집니다. 어느 쪽 손실을 감수할지 판단하는 것이 현장 대응의 핵심이며, 그 판단의 근거를 기록으로 남기는 것 또한 절차의 일부입니다.