포렌식 보고서의 해석 범위

미발견을 읽는 순서

한 사안에서 받은 포렌식 보고서에 "외부 전송 흔적이 발견되지 않았다"고 적혀 있었습니다. 이 한 문장을 근거로 유출이 없었다고 결론지으려는 움직임이 있었지만, 같은 결과도 분석 범위에 따라 뜻이 달라집니다.

대상 PC만 확인했는지, 메일과 클라우드 기록도 포함했는지, 필요한 기간의 로그가 남아 있었는지 먼저 봅니다. 확인할 기록이 없는 상태와, 충분한 자료를 검토했지만 흔적을 찾지 못한 상태는 구분해야 합니다.

보고서의 세 층위

저는 결과를 읽을 때 다음을 나누어 봅니다.

• 관찰 사실: 확보한 자료에서 직접 확인한 값이나 기록.
• 분석 의견: 여러 기록과 동작 원리를 바탕으로 해석한 내용.
• 확인 한계: 자료나 방법의 제약으로 판단하지 못한 부분.

"가능성이 높다"는 표현이 있으면 무엇을 근거로 한 것인지 살피고, 수치 평가를 하지 않았다면 통계적 확률처럼 받아들이지 않습니다.

기술적 결과와 조직의 결정

파일 이동이 확인되어도 승인된 업무였는지는 추가 검토가 필요하며, 징계나 법적 책임은 규정·권한·경위와 함께 판단합니다. 저장매체 연결, 파일 접근, 복사, 외부 전달은 각각 다른 행위라, 앞 단계 기록이 있다는 이유로 뒤 단계까지 확인된 것으로 읽지 않습니다.

추가 분석을 요청할 때

"더 자세히 분석해 달라"는 요청보다 남은 질문을 구체적으로 적는 편이 낫습니다. 어떤 파일의 이동인지, 어느 기간인지, 어떤 경로를 추가 확인하려는지 정하는 것입니다. 필요한 자료가 남아 있지 않으면 범위를 늘려도 답을 얻기 어렵습니다. 보고서의 제한은 추가 작업의 필요성뿐 아니라 가능성을 판단하는 기준이 됩니다.

정리

정리하면, 보고서의 결론은 분석 범위 안에서만 유효합니다. 미발견이 무엇을 뜻하는지 먼저 확인하고, 관찰 사실과 의견과 한계를 나눠 읽어야 후속 결정을 그르치지 않습니다.