<C7D1B1B9C6F7B7BBBDC4C7D0C8B85FB1B9C1A6B1E2C1D8BFA120C0FBC7D5C7D120B5F0C1F6C5D020C6F7B7BBBDC420B1E2BCFAB1B3C0B0C0C720C7A5C1D8B8F0B5A8B0B3B9DF5FB3BBC1F6BCF6C1A4342E687770>

Transcription

1 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 2012 성균관대학교 법학전문대학원 교수 노명선

2 본 연구보고서는 2012년도 교육과학기술부의 용역과제로서 연구내 용은 교육과학기술부의 공식견해가 아님. 연구책임자 노 명 선 (성균관대학교 법학전문대학원 교수)

3 제 출 문 교육과학기술부 장관귀하 본 보고서를 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발에 관한 연구의 최 종연구 보고서로 제출합니다. 2012년 월 일 수탁 책임자 : 노 명 선 (인)

4

5 C ONTENTS 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제1장 서 론 1 제1절 디지털 포렌식의 의의 3 제2절 디지털 포렌식의 유용성 4 1. 업무운용상 문재해결 4 2. 로그기록감시 4 3. 데이터 복구 5 4. 데이터의 추출 6 5. 법적 책임 이행태세 확립 6 제3절 소송당사자의 의무성 7 제4절 디지털 증거의 특성 11 제5절 선행연구 현황 14 제6절 문제의 제기 디지털 포렌식 전문가 양성기관의 부족 교육내용의 표준화 필요 교육 인재상 부재 교수의 교류 취직 진로지도 자격시험제도와의 연계 부족 산학 연계가 불투명 19 제2장 포렌식 수요와 준비도 21 제1절 모바일 인터넷의 증가와 상용화 23 제2절 현재 컴퓨터 보안 상태/바이러스 통계 26 제3절 과학적증거의 허용성 29

6 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제4절 디지털 포렌식의 수요 수요개요 수사 또는 조사담당 국가기관의 수요 기업 법무에 있어서 수요 법무법인 등 소송관련 업무 보험조사관 등 민간 조사업의 수요 40 제5절 전문가 증언의 필요성 41 제6절 포렌식 준비도 43 제7절 연구범위 45 제3장 한국 디지털 포렌식 교육 현황 47 제1절 한국 디지털 포렌식 교육 체계 현황 교육기관 수사기관 등 교육 현황 55 제2절 설문조사 및 문제제기 설문조사 실시 및 결과 문제제기 60 제4장 외국의 디지털 포렌식 교육 현황과 시사점 63 제1절 서론 65 제2절 미국의 교육체계현황 미국의 디지털 포렌식 교육기관들 미국 수사기관 디지털 포렌식 교육 현황 110 제3절 미국의 디지털 포렌식 자격 제도 116 제4절 영국의 교육체계현황 123 제5절 외국의 디지털 포렌식 산학 협력 현황 스테가노그래피 분석(스테그아날리시스, Steganalysis) 모바일 포렌식 클라우드 포렌식 136

7 목차 4. 일본 저작권 침해 감지 시스템 미네소타 주 통상부(Department of Commerce) 산하 보험사기방지단(Division of Insurance Fraud Prevention, IFD)의 포렌식활동 미국 세관 디지털 포렌식 유닛 140 제6절 미국의 판례동향 소송 당사자의 의무성 전문가 증언의 필요성 형사 사건 주요 판례 동향 151 제7절 시사점 160 제5장 바람직한 디지털 포렌식 교육방안 모델 161 제1절 바람직한 인재상 서설 디지털 포렌식 인재상 제시 교육의 방향 165 제2절 학과 개설방법 서론 계약학과를 두는 방법(정원 외 입학) 일반학과로 두는 방법 소결 173 제3절 디지털 포렌식 교육방안 모델 개요 학사과정 석사과정 로스쿨과정에서의 디지털 포렌식 강의 수사기관 등의 실무교육과정(단기) 196 제4절 디지털 포렌식 전문가 제도와의 연계 자격제도의 필요성과 시행경과 자격시험과의 연계강화 207

8 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제6장 총결 211 부 록 포렌식 절차 매뉴얼 215 제1장 서설 개요 포렌식 관계자 포렌식 정책, 지침, 그리고 절차 기술적 준비 219 제2장 포렌식절차 수행하기 데이터 수집 조사 및 분석 보고 223

9 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제1장 서 론

10

11 제1장 서론 서 론 제1장 제1절 디지털 포렌식의 의의 전통적으로 포렌식(forensic)이라는 개념은 법의학 분야에서 주로 사용되었다. 즉, 지문, 모 발, DNA 감식, 변사체 검시 등 분야에 사용되었다. 그러나 최근 다양한 정보기기들의 활용으로 포렌식 개념은 물리적 형태의 증거뿐만 아니라 특수매체에 저장된 전자적 증거(Electronic Evidence)를 다루는 분야에도 포렌식이라는 용어가 확장되는 추세에 있다. 이와 같이 특수저장매체인 컴퓨터에 기억된 전자적 정보를 정확히 식별하여 수집하고, 이를 보존, 분석을 통해 관련된 정보를 특정하여 법정에 증거로 제출하고, 언제든지 검증이 가능한 형태로 자료를 준비하는 절차를 디지털 포렌식(Digital forensics)이라고 한다. 소송당사자의 적절한 증거수집의 절차 준수를 위한 디지털 포렌식의 수행의무 Gates Rubber Co. v. Bando Chemical Industries, Ltd., 167 F.R.D. 90 (D.Colo. 1996) 3

12 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제2절 디지털 포렌식의 유용성 컴퓨터 및 네트워크 포렌식은 이제까지 범죄의 증거를 법정에 제출하는 것에 초점을 두고 진 화되어 왔다. 포렌식 도구와 기술 또한 따라서 컴퓨터 보안사고 처리와 범죄의 수사라는 맥락에 서만 고려된 것이 보통이다. 하지만 포렌식 도구 및 기술은 그 외에도 여러 가지 분야의 업무를 수행하는 데에 있어서 굉장히 유용할 수 있는데, 예를 들면 다음과 같다. 1. 업무운용상 문제해결 대부분의 포렌식 도구와 기술은 일반적인 업무운용상의 문제를 해결하는 데에도 활용이 가능 하다. 예를 들어, 네트워크 설정이 잘못 잡혀 있는 시스템의 위치를 파악한다든지, 응용 프로그 램의 기능오류를 해결한다든지, 현재 설치된 운영체제를 검토하고 설정을 확인하는 데에도 사 용이 가능하다. 2. 로그기록 감시 다양한 도구와 기술을 사용하여 시스템 로그를 감시할 수 있다. 예를 들어 다수의 시스템으로 부터 로그를 추출하고 분석하여 상호 연관성을 판단하고, 이로써 사고처리, 정책위반사실 적발, 감사 등에 활용할 수 있다. 최근 꾸준히 문제가 되고 있는 피싱이나 해킹 등의 문제를 해결하는 데에 이러한 로그기록의 감시기법 또한 도움이 될 수 있다. 요즘에는 스마트폰에서 즉시 인터넷에 접속할 수 있는 환경 이 잘 갖추어져 있으므로, 이메일이나 문자메시지로 보안승급이 필요하다 라는 허위의 보안경 고를 보내어 스마트폰으로 위조된 사이트에 접속되도록 한 후, 주민등록번호와 계좌번호, 보안 카드번호의 입력을 유도하여 사용자가 걸려들면 예금을 인출해가거나 하는 등으로 운용되는 것 이다. 1)2) 1) (피싱사이트 주소의 한 예로, 현재는 단속으로 폐쇄된 상태) 2) 2012년 4월 20일 MBC 뉴스데스크, 보안승급 받으세요 인증서 재발급 대출피싱 4

13 제1장 서론 물론 이러한 피싱 사건에 사후적인 범죄수사로서 대응할 수도 있을 것이지만, 피싱 사이트로 의 관문역할을 하는 피싱 메시지를 사전 차단하는 방식으로 대응할 가능성을 생각해볼 수 있다. 이를 위해서는 포렌식 절차를 활용하여 메시지 서버의 로그를 분석하여 데이터베이스 化 하고, 피싱 메시지의 패턴을 파악하여 차단 시스템을 구축할 필요가 있을 것이다. 3. 데이터 복구 포렌식 툴 중에는 시스템에서 소실된 데이터를 복구할 수 있는 능력을 갖춘 것들이 많다. 또 한 의도적으로 삭제하였거나 변조된 데이터도 복원이 가능하다. 3) 물론 상황에 따라 복구율에는 많은 차이가 있을 수 있지만, 일부 강력한 포렌식 도구는 심각 하게 훼손된 컴퓨터나 디스크에서도 소실 삭제된 데이터를 복구해낼 수 있다. 3) Matthew Geiger, Counter-Forensic Tools: Analysis and Data Recovery, PDT Forensics Team 5

14 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 4. 데이터의 추출 일부 기관은 포렌식 도구를 사용하여 재배치 또는 폐기하는 시스템으로부터 데이터를 추출하 여 보관하기도 한다. 예를 들어 사용자가 퇴사하는 경우 그 사용자의 컴퓨터로부터 정보를 추출 하여 나중에 활용할 수 있는 형태로 별도 저장하고, 컴퓨터를 다시 사용할 수 있도록 남아 있는 민감데이터(sensitive data)를 파기할 수 있다. 포렌식 도구는 이러한 민감데이터가 확실히 파 기되었는지 여부를 검사하는 데에도 활용할 수 있다. 실제로 데이터를 파기한 후 포렌식 도구를 실행함으로써 복구율을 진단하고, 복구에 실패하면 그만큼 데이터가 안전하게 파기되었다고 판 단할 수 있기 때문이다. 5. 법적 책임 이행태세 확립 다양한 법령과 규정에 의하여 각 기관들에게는 추후 감사에 활용할 수 있도록 민감한 데이터 를 보호하고 특정한 기록을 보존할 책임이 부여된다. 또한 보호된 민감정보가 자칫 유출된 경우 다른 국가기관이나 피해당사자에게 이를 통지할 의무가 있을 수 있다. 6

15 제1장 서론 포렌식 절차가 수립되어 있는 경우 이러한 법적 책임과 의무를 수행하는 데에 큰 도움이 된다. 제3절 소송당사자의 의무성 미국에서는 이미 1996년 Gates Rubber Co. v. Bando Chemical Industries. Ltd. 4) 사건에 서 컴퓨터 증거를 사용하기 위해서는 디지털 포렌식의 중요성을 인정하면서, 이러한 조사를 소 송당사자 또는 당사자가 될 소송당사자에 대한 법적의무라는 점을 분명히 하고 있다. 그래서 2006년도를 기준으로 미국의 Fortune 500대 기업 중 100개의 기업이 Guidance Software의 디지털 포렌식 솔루션인 EnCase를 이미 기업법무활동에서 활용하고 있다. 5) 외부인으로부터 해킹만이 아니라 내부 직원의 의심스러운 행동을 감시하고, 공금 횡령이나 기업비밀의 유출사고시 그 혐의자를 색출하고, 그 과정에서 동일성과 진정성이 확보된 신뢰할 수 있는 디지털 증거의 수집이 관련 소송에서 필수적이라는 생각이 널리 확산되고 있다는 증거 이다. 디지털 포렌식은 한마디로 정보기기에 내장된 디지털 자료를 신뢰성 있는 법정증거로 만들어 어떤 사고의 사실 관계를 규명하고 증명해가는 촉망받는 신규 서비스분야라고 할 수 있다. 4) Gates Rubber Co. v. Bando Chemical Industries, Ltd., 9 F.3d 823 (10th Cir. 1993). 5) 7

16 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 Gates Rubber Co. v. Bando Chemical Industries, Ltd 6) 사실개요 게이츠 사와 반도 사는 산업용 벨트를 제작하는 회사로 상호 경쟁관계에 있다. 게이츠의 시장 점유율은 38%, 반도의 시장점유율은 7% 정도로 게이츠가 압도적 시장우위에 있었다. 반도는 일본의 반도그룹의 계열사로서 그 미국지부로 반도아메리칸을 두고 있다. 여기서는 모두 반도 로 통칭한다. 게이츠는 상기한 바와 같이 시장지배자로서 고객의 각종 공장설비에 최적화된 벨 트사이즈를 산출하기 위하여 자체적으로 디자인 플렉스 4.0 과 라이프 인 아워스 라는 프로 그램을 개발하여 사용하고 있었으며 이는 게이츠의 큰 경쟁력요소이기도 하였다. 피고 중 알렌 하나노 는 과거 게이츠의 사원이었지만 퇴사하여 반도아메리칸의 CEO가 되었 다. 또한 피데리트와 뉴먼도 과거 게이츠의 사원이었으나, 하나노에 의하여 채용되어 1988년 반 도아메리칸으로 이직하였다. 1989년 6월, 게이츠는 트레이드컨벤션에서 반도에 고용된 상기 인원들이 쇼퍼(Chauffer)라 는 프로그램을 시연하였다는 사실을 알게 되었는데, 이 프로그램은 그 작동과 기능이 디자인 플 렉스와 극히 유사하였다. 게이츠는 반도로 이전한 과거 자사의 직원들이 디자인 플렉스 소프트 웨어를 훔쳐 게이츠에 대항하려 한다는 혐의를 포착하고 손해배상소송을 제기하였다. 이들은 과거에 경업금지계약과 충실의무계약에 서명한 바 있다. 게이츠는 곧이어 법원에 임시제한명령 (temporary restraining order)를 청구하였으나 이는 기각되었고, 판사는 대신 심리를 통하여 실제로 반도가 게이츠의 저작권을 의도적으로 침해하고 기업비밀을 빼돌렸음을 밝혀냈다. 반도는 제10차 연방순회항소법원에 항소하였고, 항소법원은 기업비밀의 절도에 대한 것은 원 심을 지지하였으나 저작권 침해에 대한 부분은 파기환송하였다. 최종적으로 디자인 플렉스는 저작권 보호의 대상이 아님이 확인되었다. 그런데 이 과정에서 게이츠는 뉴먼이 자신의 컴퓨터 에서 증거가 될 만한 파일을 무단으로 삭제하였고, 특정 프로그램을 변조하여 라이프 인 아워 스 소프트웨어에 대한 모든 자료를 삭제하도록 조치한 사실을 발견하였다. 게이츠는 이에 1992 년 9월 15일, 긴급개시명령을 청구하였고 그 이유로 반도가 증거를 무단 파기하려 하며 컴퓨터 파일을 삭제하고 있어 이를 방치할 수 없다는 것을 들었다. 이 청구는 받아들여져 게이츠의 변 호사단이 기술자를 대동하여 반도의 사무실 및 시설로 진입, 자료를 수집하게 되었다. 이 절차 는 판사가 임명한 특수감독관(Special Master)의 감독하에 이루어졌다. 특수감독관의 지시에 따라 수집된 모든 증거는 조건부로만 개시가 가능하도록 조치되었으며, 개시를 위해서는 그에 6) Gates Rubber Co. v. Bando Chemical Industries, Ltd., 9 F.3d 823 (10th Cir. 1993). 8

17 제1장 서론 합당한 청구 명령이 있어야 했다. 현장조사 과정 중 게이츠의 변호사는 소송과 관련된 중요 증거자료의 고의적 파기를 시사하 는 몇 가지 의문점을 발견하였고, 이에 대한 제재로서 자백간주판결(default judgment)을 청구 하였다. 이에 대해 판사는 게이츠의 여러 가지 청구 중 중요성이 떨어지는 것을 직권으로 배제하고, 변호사들에게 오로지 증거인멸에 집중하도록 지시하였다. 관련쟁점 여기서 게이츠가 제기한 쟁점은 크게 두 가지이다. 첫째는 뉴먼이 스스로 라이프 인 아워스 프로그램을 훔쳤다는 증거를 파기하였다는 것이고, 둘째는 뉴먼이 반도에서 이 프로그램을 사 용하였음을 증명할 수 있는 워드 프로세서 파일을 삭제하였다는 것이다. 반도측의 컴퓨터 전문가는 로버트 웨디그라는 자로서 스탠포드 대학에서 컴퓨터 공학 박사학 위를 취득하였다. 게이츠측은 이에 대해 로버트 부어히라는 컴퓨터 전문가를 증인으로 세웠는 데 판사는 부어히를 학력 실력 면에서 웨디그에 한참 미치지 못하는 수준이라 보았다. 첫째 쟁점에 대해서 판사는 한 가지 사실에 주목하였다. 반도는 디스크와 그 내용물의 목록을 인쇄한 것을 증거로서 제출하였는데, 인쇄물에는 45개 파일이 리스트되어 있었지만 막상 디스 크에는 파일이 44개였다. 이에 대해 게이츠는 반도가 악의적으로 법원을 기망하려 들었으므로 제재하여야 한다고 주장하였다. 이에 대해 웨디그는 해당 파일은 삭제된 형태로 디스크에 존재 하였으며, 누군가에 의하여 다른 프로그램이 실행되는 경우 이 파일이 삭제될 수 있음 을 입증 하였다. 워드 프로세서 파일의 삭제에 관한 쟁점은 다소 복잡하였다. 뉴먼은 자신이 일부 워드 프로세 서 파일을 삭제하였음을 시인하였다. 하지만 뉴먼은 본 소송과 관계있는 문서는 지우지 않았다 고 주장하였으며, 또한 삭제된 파일들은 그 외 기타의 방법(인쇄 등)으로 그 내용이 복원되었다. 삭제된 파일을 복구하기 위하여 부어히는 반도의 컴퓨터의 하드 드라이브에 삭제된 파일을 복구하는 프로그램인 노턴 삭제복구(Norton Unerase)를 설치하고, 일부 파일을 되살려 파일 단위로 복사하였다. 이 프로그램을 적절히 사용하면 삭제된 파일에 대한 정보를 복구해낼 수 있 었다. 이에 대해 게이츠는 부어히가 적절한 방법으로 컴퓨터에서 정보를 되살렸다고 주장하였 다. 9

18 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 판결요지 법원은 부어히가 반도의 컴퓨터에서 파일을 복원한 방법은 전혀 적절하다고 할 수 없다고 판 단하였다. 노턴 삭제복구 프로그램을 사용함에 있어서 이 프로그램을 하드 디스크에 복사할 필 요는 없었다. 그럼에도 불구하고 이 프로그램을 하드 디스크에 설치한 결과 하드 디스크에 있던 지워진 파일들 중 약 7~8%가 무작위로 복구할 수 없도록 삭제복구 프로그램에 의해 덮어씌워 져 결국 파괴되었다. 나아가 부어히는 파일의 삭제 시점을 판별하는 데 도움이 되는 정보를 얻 어내는 데 실패하였다. 웨디그는 부어히가 파일 대 파일 방식의 복사가 아니라 이미지 백업 복사 방식을 사용하였어야 한다고 지적하였다. 이미지 백업을 사용해야 하드 디스크에 저장된 정보를 완전히 얻어낼 수 있기 때문이다. 이러한 이미지 백업 방식은 사용 빈도가 낮긴 하지만 분명히 그 당시 존재하였다. 법정에서 사용할 목적으로 증거를 수집한다면 게이츠는 가장 완벽 하고 정확한 결과를 도출하는 방법을 채택할 의무가 있었다. 게이츠는 이미지 백업이 그렇게 중요하다면 반도가 이미지 백업을 수행할 책임을 지게 된다 고 주장하였지만 이는 타당치 못하다고 하였다. 왜냐하면 제재를 요청한 쪽은 게이츠이며, 게 이츠야말로 증거의 부재 를 최대한 활용하여 소송상의 이득을 보려 하고 있기 때문이다. 그러 므로 활용할 수 있는 가장 높은 수준의 기술을 사용하여 증거를 수집할 의무는 당연히 게이츠에 있다고 보았다. 또한, 게이츠는 삭제된 파일 중 7~8%가 손상된 것은 크게 중요하지 않다고 주장하였는데, 이 는 게이츠가 주장하는 논리 즉 증거로 사용될 가능성이 있는 파일 중 일부분이 소실되었으며 누구도 그 내용을 알 수 없으므로 자백간주판결을 구한다 는 것에 스스로 모순되는 것이라고 하 여 기각하였다. 단, 뉴먼이 워드 프로세서 파일을 삭제한 것은 확실히 입증되었는데, 추후에 증거 개시 과정 에서 이에 대한 입증자료가 제시되거나 또는 이를 대체할 만한 인쇄 자료가 제출되어 게이츠측 이 불필요한 소송비용을 부담하게 된 점을 감안하여, 반도는 게이츠에게 소송비용의 10%를 지 급할 것만을 명하고 게이츠의 그 외 주장을 모두 배척하였다. 영국은 2007년 10월 정부기관 간에 2500만명의 국민 개인과 725만 가구의 개인정보가 저장 된 CD가 정부기관 간 전송 중 분실되어 유출되는 사고가 발생하자, 영국정부는 사건 조사에 착 수하여 <Data Handling Procedures in Government: Final Report>라는 검토보고서를 공개 했는데, 이 보고서에서는 정부부처간 데이터를 주고받는 관행을 향상시키기 위한 핵심적인 방 10

19 제1장 서론 안에 대해 명시하고 있으며 데이터 교환 시 준수해야 하는 일련의 최소요구사항의 필요성을 명 시하고 있다. 후속보고서로 발표된 <Cross Government Actions: Mandatory Minimum Measures>에서 는 모든 정부부처가 준수해야 할 22가지 요구사항을 담고 있는데, 그 중 하나로 모든 부처가 소 송대응 및 관리적 목적으로 정보통신시스템으로부터 디지털 증거들을 수집, 분석, 이용할 수 있 는 능력을 극대화하기 위해 포렌식 준비도 정책을 갖출 것을 의무화하고 있다. (Mouhtaopoulos & Grobler, 2011) 7)8)9) 제4절 디지털 증거의 특성 포렌식의 주 대상인 디지털 정보는 아날로그식 증거와 달리 많은 특수성이 인정되고 있어서 압수 수색과 분석절차에서 특수한 요령이 필요하다. 7)U.K. Cabinet Office(2008). Data Handling Procedures in Government: Final Report 8)U.K. Cabinet Office(2008). Cross Government Action: Mandatory Minimum Measures. 9)Mouhtaopoulos, A. & Grobler, M. (2011). Digital Forensic Readiness: An Insight into Governmental and Academic Initiatives, 11

20 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 먼저, 무체정보성을 지적할 수 있다. 전자적 정보는 눈에 보이지 않는 0과 1의 조합인 전자적 형태로 저장되어 이를 쉽게 은닉할 수 있을 뿐만 아니라 육안으로 식별할 수 없고, 판독장치가 있어야만 그 내용을 확인할 수 있다. 컴퓨터를 작동하여 파일을 열어보는 행위는 형사소송법 제 120조에 의한 압수수색에 필요한 처분으로 인정된다. 다만 불가시성과 불가독성으로 인하여 실제로 그 파일의 내용을 확인해 보지 않고는 범죄사 실과의 관련성을 따져보기 어렵다는 점에서 그 수집과 증명에 일정한 한계가 있다. 위에 언급한 바와 같이 파일을 확인하기 위하여 컴퓨터를 작동하여 파일을 열어보는 것은 형사소송법 제120 조에 의하여 정당하다. 그런데 범죄사실과의 관련성을 따지기 위하여 파일을 하나하나 열어보 던 중 영장에 기재되지 않은 범죄사실의 증거가 발견된 경우에, 미국에서는 이들 파일이 그대로 plain view 하에 있다고 볼 것인지에 대해 논의가 엇갈리고 있다. 컴퓨터를 작동시키고 파일을 열어보는 것은 해당 정보가 저장된 container'를 열어보는 것인데, 이 container의 범위를 파 일로 볼 것인지, 저장매체 전체로 볼 것인지 여부에 대하여 법원 간의 의견이 일치하지 않고 있 다. 즉 저장매체 전체로 보게 된다면 한번 그 저장매체를 열어본 이상 그 안에 들어있는 나머지 파일들은 자동적으로 개봉된 container에 들어 있는 것으로 보아 plain view가 긍정될 것이고, 파일로 보게 된다면 파일을 열 때마다 새로운 container를 여는 것이므로 plain view가 부정될 것이다. 둘째로, 변조용이성이다. 전자적 정보는 위 변조가 쉬운 반면, 그 사실을 밝혀내기가 어려워 법정에 제출된 전자적 정 보에 대한 조작여부나 증거획득 과정에서 적정절차가 이루어졌는가의 문제가 제기될 수 있다. 이는 컴퓨터 포렌식의 일반원칙 중 정당성의 원칙, 동일성의 원칙, 무결성의 원칙 등을 서로 연관지어 볼 수 있는 문제이기도 하다. 따라서 수사기관은 적정절차에 의하여 컴퓨터나 프로그램 상에 저장되어 있는 전자적 정보를 수집하여야 하고, 수집된 증거를 분석 보관하는 과정 중에 있을 수 있는 위 변조의 주장을 배제 할 수 있어야만 법정에 제출된 증거가 증거능력을 가지고 증거로서 사용될 수 있기 때문이다. 이러한 변조용이성이라는 측면 때문에 전자적 정보는 신속한 보존을 요하는 경우가 있다. 즉 증 거를 은닉하거나 변조하기 전에 신속하게 확보할 필요가 있다. 이에 대해서도 법적 근거가 필요 하다. 동일성의 입증에 대해서는 해시값(hash value)을 기준으로 하는 것이 일반적이다. MD5 와 같은 구형 해시 알고리즘의 경우 변조가 가능함이 널리 알려져 있으므로 검증된 최신의 해시 알고리즘을 사용하여야 한다. 12

21 제1장 서론 셋째로, 원본과의 구분이 용이하지 않다. 전자적 정보들은 0과 1의 전자적 형태로 되어 있어 원본과 동일하게 복제될 수 있으며, 복제 된 것은 원본과의 구별이 쉽지 않다. 따라서 수사기관에서는 원본과 동일성을 입증하기 위해 해 쉬 값을 통해 원본과의 동일성을 입증하여야 한다. 넷째로, 대량성이다. 전자적 정보는 기업의 전산 회계자료인 데이터베이스 자료나 파일서버에 문서자료 등의 형태 로 존재한다. 이러한 데이터의 양은 수백 또는 수천 기가바이트에 이를 만큼 방대한 양을 차지 하고 있어 전문가나 특수한 기계장치에 의해서만 범죄의 단서나 증거를 찾을 수 있다. 따라서 방대한 양의 개인정보 등이 수록되어 있는 경우 특히 개인정보보호법과의 관련하여 집행상 어려움이 예상된다. 다섯째로, 전문성이다. 컴퓨터 내에 존재하는 데이터의 유형이나 존재방식은 전문가에 의해서만 그 유형을 분류 분 석할 수 있는 전문성을 요하는 경우가 많다. 이 때 조사관의 분석능력 및 법정에서의 증언능력 이 주로 문제된다. 여섯째로, 익명성이다. 일반 문서와는 달리 컴퓨터나 네트워크상에 있는 정보들은 작성자의 서명이나 자필에 의한 확인이 불가능하다. 따라서 누구에 의하여 만들어진 정보인지 확인하지 못하게 되어 증거능력 을 인정받는데 어려움이 따른다. 예를 들면, 이메일의 경우 작성자(ID 소지자)라고 일컬어지는 사람이 실제로 이메일을 보냈다 는 사실이 입증되지 않는 이상, 그 사람이 작성하지 않았다는 가능성은 언제나 존재하게 된다. 따라서 조사관은 증거파일에 대해 성립의 진정에 관한 입증이 문제가 된다. 13

22 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제5절 선행연구 현황 현재 디지털 포렌식의 법제도와 관련하여 국내에서 이루어진 연구논문을 살펴보면 다음과 같다. 제목 저자 출처 년도 법과학 증거의 수집절차와 증명력 판단 천진호 동아법학 제51호 2011 국립과학수사연구소의 현황과 과제 심희기 법학연구 제18권 4호 2008 디지털 포렌식 업무의 법ㆍ제도적인 개선방향 이상복 서강법학 제10권 2호 2008 Computer Forensics의 법적 문제 연구 김형성 김학신 성균관법학 제18권 3호 2006 디지털 정보 관련 압수수색 규정 도입을 위한 전제적 고찰 이경렬 성균관법학 제21권 2호 2009 디지털 포렌식 법률체계 구축 방안 권양섭 법학연구 제35집 2009 디지털증거의 수집과 증거능력 전명길 법학연구 제41집 2011 디지털 포렌식 수사의 문제점과 개선방안 곽병선 법학연구 제42집 2011 디지털증거 압수수색의 문제점 및 개선방안 김기표 형사소송 이론과 실무 제3권 1호 2011 전자증거의 압수 수색에 관한 일고찰 탁희성 형사정책연구 통권 제57호 2004 컴퓨터증거의 수집절차상의 문제점 이철 형사정책연구 통권 제58호 2004 디지털 포렌식과 법적 문제 고찰 양근원 형사정책연구 통권 제66호 2006 유전자감식정보의 형사절차상 활용방안 황만성 형사정책연구 통권 제69호 2007 과학적 증거의 증거능력과 증명력 황만성 형사정책연구 통권 제71-2호 2007 우리나라의 법과학연구 및 과학수사 실태와 발전방안 조병인 형사정책연구 통권 제77호 2009 미국에서의 컴퓨터에 대한 압수수색 개관 김상우 해외연수검사 연구논문집 12집 2권 1996 디지털 포렌식의 기술 동향과 전망 미국의 수사과정에서의 컴퓨터 압수/수색 및 전자증 거의 획득에 관한 고찰 전상덕 홍동준 한기준 오정돈 컴퓨터 압수 수색에 관한 연구이종상 전자우편에 대한 증거수집과 관련된 문제점 고찰 김기준 미국의 컴퓨터에 대한 압수/수색절차 연구박문수 비상임 연구관 기초자료집 XVII 첨단범죄수사 관련 자료집 비상임 연구관 기초자료집 XVII 첨단범죄수사 관련 자료집 해외연수검사 연구논문집 17집 1권 p327 해외연수검사 연구논문집 17집 2권 p127 해외연수검사 연구논문집 18집 1권 p

23 제1장 서론 제목 저자 출처 년도 미국의 수사과정에서의 컴퓨터 압수/수색 및 전자증 거의 획득에 관한 고찰 오정돈 미국의 디지털증거 활용실태 김현선 영국의 전자증거 및 컴퓨터 포렌식 오원근 개정 형사소송법상 디지털 증거의 증거능력 - 관련 성, 신뢰성, 진정성, 원본성, 무결성을 중심으로 - 박혁수 해외연수검사 연구논문집 19집 1권 p109 해외연수검사 연구논문집 23집 1권 p433 해외연수검사 연구논문집 23집 2권 p729 해외연수검사 연구논문집 25집 2권 p193 독일의 디지털 증거 증거능력 입증절차에 관한 연구천관영 해외연수검사 연구논문집 제26집 3권 2011 디지털 증거의 증거능력에 관한 비교법적 연구최성필 해외연수검사 연구논문집 제26집 3권 2011 미국 수사기관의 전자우편 취득 절차 및 한계 강지식 해외연수검사 연구논문집 제26집 3권 2011 미국 증거법상 디지털 증거의 증거능력 최지석 해외연수검사 연구논문집 제26집 3권 2011 영국 수사기관의 전자우편 취득절차 및 한계 정희도 해외연수검사 연구논문집 제26집 3권 2011 전자적 증거의 수집과 증거능력에 관한 몇 가지 검토 노명선 형사법의 신동향 제16호 2008 디지털 증거 압수수색과 법제 박종근 형사법의 신동향 제18호 2009 디지털 증거의 압수ㆍ수색과 증거능력 이윤제 형사법의 신동향 제23호 2009 미국의 디지털 포렌식 전문수사관 교육 김신희 형사법의 신동향 제24호 2010 디지털증거의 압수와 공판정에서의 제출방안 정교일 형사법의 신동향 제25호 2010 디지털 증거의 법적 지위 향상을 위한 무결성 보장 방안 조상수 형사법의 신동향 제27호 2010 컴퓨터로 생성된 증거의 증거능력 이등원 해외연수검사 연구논문집 9집 1993 컴퓨터 압수수색이나 수사과정, 증거에 관한 일반 논의는 이와 같이 몇 차례 있었지만, 포렌 식 전문가의 양성에 관한 논문은 전무한 실정이다. 나아가 주로 형사사건에 국한된 것이어서 민 사, 형사를 아우르는 법정 전문가 제도에 관한 연구 또한 필요하다. 한편, 디지털 포렌식 분야는 다음과 같은 점에서 난제를 겪고 있다. 저장장치의 용량이 날이 갈수록 크게 증가하여, 압수장소에서 저장매체를 발견하여도 이를 이미징할 시간이 부족한 경우가 있다. 시간을 들여 이미지를 생성해 수사기관으로 가져와도 너무나 방대하여 분석 및 처리하는데 시간이 너무 많이 걸린다. 플래시 메모리 형식의 저장매체를 내장한 기기가 점점 증가하고, 하드웨어 인터페이스가 다양 해짐에 따라 저장장치를 손쉽게 분리해 가져오거나 이미지를 생성하기가 어려워지고 있다. 15

24 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 운영 체제 소프트웨어의 종류가 다양해지고, 파일 형식이 다변화됨에 따라 데이터를 추출하 고 분석하는 과정이 기하급수적으로 어려워지고 있으며 관련 툴의 개발비용 또한 크게 증가 하고 있다. 과거에는 한 개의 장치를 분석하면 증거데이터가 쏟아져 나왔지만, N스크린 등 점점 디바이 스가 여러 가지로 분화되고 그 수가 많아짐에 따라 여러 개의 장치를 분석하고 이로써 도출 된 결과물을 서로 연결시켜야 하는 경우가 점점 늘어나고 있다. 암호화 도구의 사용이 점점 쉬워지고, 암호화에 사용되는 컴퓨팅 파워가 증가하여 누구나 암호화 솔루션을 사용할 수 있게 되어, 결과적으로 데이터를 현장에서 채취해 오더라도 이 를 처리하기가 불가능한 경우도 많다. 클라우드 기술을 사용한 원격 처리 저장 서비스의 이용이 증가함에 따라 아예 목적한 데이 터나 코드의 압수 자체에 실패하는 경우가 발생하고 있다. 최근의 악성코드 중에는 저장매체에 기록되지 않고 기억장소(RAM)을 직접 장악하여 기능 하는 것들이 존재하는데, 이러한 악성코드를 조사하기 위해서는 RAM 포렌식 기술이 필요 하다. 이러한 기술은 까다롭고 비용이 많이 든다. 포렌식 조사의 범위는 점점 법적으로 더 큰 규율을 받고 있으며 조사관의 재량권이 축소되 는 경향에 있다. 위와 같은 문제를 방치할 경우 앞으로 디지털 포렌식은 최신 기술 동향에 크게 뒤처지게 될 것이며, 자연스럽게 디지털 증거의 법정제출 또한 원천적으로 불가능해질 위험 또한 있다. 정확 성을 담보하고 진정성을 확보할 수 있는 방법이 도출되지 않은 상태에서 기존의 포렌식 기술로 획득 분석할 수 없는 정보를 검증되지 않은 방법으로 채취하여 법정에 제출할 수 없기 때문이 다. 이에 대하여 나날이 발전하는 기술에 뒤처지지 않도록, 늦기 전에 이러한 문제들을 체계적 으로 연구하고, 연구의 성과를 교육과정에 반영 포함하여야 한다. 16

25 제1장 서론 제6절 문제의 제기 디지털 포렌식 학문에 대한 중요성과 민간기업과 공공기관의 수요는 급격히 늘어나고 있다. 하지만 수요에 비해 공급은 대체로 원활히 되고 있는 것이 사실이지만, 정작 국내에서 디지털 포렌식을 독립된 학문으로서 제대로 연구하고 있는 곳은 거의 없는 실정이다. 1. 디지털 포렌식 전문가 양성기관의 부족 디지털 포렌식을 연구하는 10개 이하의 소규모 대학에서는 거의 대부분이 학사과정을 제외하 고, 석사, 박사과정만 제공하고 있다. 이는 한국의 디지털 포렌식을 연구, 교수하는 대학이 체계 화 되어 있지 않고 전문성이 부족하다는 것을 나타낸다고 볼 수 있다. 특히 국가기관, 공공기관, 일반기업에서는 컴퓨터 공학을 전공한 사람을 채용하여 기숭적인 측면에서 경험을 쌓아 가면서 법제도적인 면을 보충해가는 실정이다. 따라서 컴퓨터공학과 더불어 법률지식을 공유하는 융복 합적 사고를 갖는 인재를 양성할 필요가 있음에도 그러한 체계적인 교육이 제대로 이루어지지 않고 있다. 이에 감정인 제도를 도입하는 것이 바람직하다. 감정인 제도는 특별한 지식과 경험을 가지고 있는 전문가로서 사실의 법칙 또는 그 법칙을 구체적 사실에 적용하여 얻은 판단을 법정에서 보 고하도록 하는 제도이다. 법원의 명령에 의한 경우(형사소송법 제169조)와 수사기관의 촉탁(동 제221조의3)에 의해 형 사소송절차에 들어온다. 이에 대한 문제점은 전문수사관이 처음부터 수사에 참여하고, 피의자 17

26 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 를 조사하고, 공판정에서 증인으로서 증언하는 경우에 과연 증언적격을 갖추고 있고, 일정한 분 야의 전문가로서 과연 어느 정도 전문적인 지식이나 기술적인 능력을 가져야 하며, 전문수사관 이 직접 조사하여 분석한 결과물인 증언내용에 대하여 수사기록과 다른 독립한 증거로 인정할 수 있는지 여부가 중요하다. 2. 교육내용의 표준화 필요 우리나라에서는 10개 이하의 주로 소규모 대학에서 디지털 포렌식을 다루고 있다. 디지털 포 렌식에 대하여 필요한 만큼의 투자가 이루어지지 않음은 물론이고, 이러한 대학들에서조차 표 준화된 교육방법이 존재하지 않는다. 교육 내용을 살펴보아도 상황은 그다지 나아지지 않아서, 법 기술 간의 균형을 이루지 못하고 주로 기술 쪽으로 치우쳐있거나, 디지털 포렌식과 관련된 주제와 현안을 심도있게 다루고 있지 못하다. 특히 디지털 포렌식 실무, 즉 수사현장이나 실제 증거분석실에서 필수적인 업무절차나 지식에 대한 연구가 부족하며, 산 학 연계 또한 극히 미미 한 실정이다. 이러한 국내의 디지털 포렌식 학문의 연구와 교육의 외적, 내적인 열악한 상황 때 문에, 국내의 디지털 포렌식의 연구와 교육은 체계화, 표준화 되지 않고 있다. 현재 국내에서는 표준화도니 교육 모델이 없어, 디지털 포렌식을 연구, 교육하고 있는 기관 임의대로 연구, 교수 되고 있다. 이는 한국의 디지털 포렌식의 발전의 저하로 이어지고 있다. 3. 교육 인재상 부재 교육을 앞서 나아가기 전 대학에서는 융합성 인재상이 부재하며 그것을 이루기 위해서는 어 떠한 체계를 갖춰야 되는지 나와 있지 않다. 4. 교수의 교류 각 대학은 교수의 임의로 되어진 교육모델을 바탕으로 작업 하고 있기에 각 대학의 교수마다 의 교류도 없기에 더 나은 정보를 꾸려 나아가지 못한다. 법률과 정보통신분야등 다양한 관련 통합 강의와 연계가 불투명하다. 18

27 제1장 서론 5. 취직 진로지도 또한 대학에서 졸업을 하더라도 어떠한 기관에 취직을 해야 되는지 인재상의 부재와 향후 진 로지도에 관한 방향이 없기에 졸업생들은 취직의 어려움을 격을 것이다. 6. 자격시험제도와의 연계 부족 국내에서 디지털 포렌식 학사과정이 있는 대학은 군산대에서만 학사과정을 제공하고 있다. 하지만 군산대에서는 디지털 포렌식 전문가의 능력을 공식적으로 측정할 수 있는 민간, 공인자 격증이나 시험이 없어, 한국 포렌식 학회의 디지털 포렌식 자격증의 시험을 응시하여 디지털 포 렌식의 능력을 측정하고 있다. 한국에서 디지털 포렌식 자격증 제도는 한국 포렌식 학회에서 유일하게 제공 되고 있다. 하지만 한국 포렌식 학회의 자격증은 아직 국가 공인된 자격증이 아니다. 지금 현재 국가 공 인 심사만 남은 상황이고, 한국 포렌식 학회에서 제공하는 자격증은 곧 국가 공인이 될 예정이 다. 현재 미국은 한국과 마찬가지로, 디지털 포렌식과 관련한 민간자격증은 존재하지만, 공인된 자격증은 없다. 한국 포렌식 학회의 자격증이 곧 공인 자격증이 된다면 미국보다 자격증제도의 부분에서는 우수하다 말할 수 있다. 7. 산학 연계가 불투명 디지털 포렌식의 산학 연계가 지금은 절실히 필요한 상황이다. 산학 연계가 잘되어 있지 않은 상황이라 학생들이 졸업 전 실무나 직접적인 경험을 하기는 불가능한 상황이라고 본다. 그러하여, 디지털 포렌식 분야의 전문가의 수요가 급격히 늘고 있고 앞으로도 수요의 증가는 계속 될 것이다. 디지털 전문가의 수와 능력을 향상시키기 위해서는 체계적이고 전문화된 교육 과정이 필요성이 더욱 강조된다. 하지만 현재와 같은 한국의 디지털 포렌식의 체계적이고 표준 화, 전문화 되지 못한 교육 현황과 상태로는 전문가 수요를 만족 시킬 수 도 없을뿐더러, 전문가 의 디지털 포렌식에 관련한 능력도 보장 할 수 없다. 19

28

29 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제2장 포렌식 수요와 준비도

30

31 제2장 포렌식 수요와 준비도 포렌식 수요와 준비도 제2장 제1절 모바일 인터넷의 증가와 상용화 모바일 인터넷은 지금 개인용 컴퓨터 인터넷이 발전 한 속도보다 몇 배는 더 빠르게 확산되고 있다. 그래프에서 보는 것과 같이 인터넷이 제공되는 시점에서부터 모바일 인터넷은 11분기 만 에 미국에서 850만 사용자라는 기록을 세웠다 (모바일 인터넷이 데스크톱 인터넷보다 급성장하는 통계) 23

32 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 모바일 인터넷이 이와 같이 급속도로 성장함에 따라 사용자들의 사용패턴은 기존의 PC를 벗 어나 모바일 스마트기기로 옮겨가는 실정이다. 즉 과거에 PC를 통해서 하던 이메일, 웹서핑, 메 시징 등의 작업이 이제는 스마트폰과 스마트패드에서 이루어지고 있다. 그에 따라 디지털 증거 가 저장되는 위치가 바뀌고 있으며, 스마트기기의 운영체제 또한 급속도로 다변화되고, 저장공 간이 점점 네트워크화됨에 따라 증거의 수집 또한 그 방법이 달라지고 있다. 아래 표에 의하면 2014년에는 모바일 인터넷 사용량이 개인용 컴퓨터 인터넷 사용량을 능가 할 것이라고 예측하고 있다. (모바일 인터넷 사용자가 데스크톱 인터넷 사용자를 능가할것이라는 통계) 이로 인해 모바일 포렌식 분야는 빠른 속도로 기존의 PC 기반 디지털 포렌식 시장을 잠식하 고 있으며, 앞으로 2020년경에는 모바일 포렌식 시장이 기존 디지털 포렌식 시장보다 더 커질 가능성도 배제할 수 없다. 또한 안드로이드와 아이폰 OS는 모든 스마트폰의 시장에 56%와 23%의 점유율로 79%의 스마 트폰 시장을 점유하고 있다. 10) 24

33 제2장 포렌식 수요와 준비도 세계에서 3G 사용자 즉, 모바일 사용자는 2012현재 약 20억명 정도이며, 전 인구의 33%에 해당하는 수치이며, 2014년에는 28억명, 전 인구의 43%가 일생생활에서 모바일을 사용할 것이 라고 한다. (2014년에는 전세계의 43퍼가 3G를 사용할것이라는 통계) 이러한 빠른 기술의 혁명과 발전은 수사기관에서도 간과해서는 안 된다. 이러한 통신 매체를 통신 수수되는 정보를 수집하기 위해서는 매체개발 속도에 맞추어 포렌식 도구를 개발해야 하 고, 그 수명 또한 빠른 기술의 혁명에 의해 매순간마다 업데이트 되지 않으면 안 된다. 한편 수 사기관으로서는 포렌식 도구를 매 분기 마다 새롭게 개발한다 하더라도 포렌식 도구의 교육과 도입, 그리고 경제적인 측면을 따라가지 못할 것이다. 10) -gartner-says/ 25

34 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제2절 현재 컴퓨터 보안 상태/바이러스 통계 <연도별 모바일 악성코드 통계> 11) 모바일 시대를 맞아 이제 스마트 기기를 대상으로 한 악성코드가 대거 출현하고 있는 실정이 다. 특히 플랫폼이 개방되고 자율성이 보장되는 안드로이드 OS를 목표로 한 공격코드가 2012년 한 해 동안 엄청나게 증가하였다. (2011년 한해 보고된 바이러스 통계) <분기별 신규 발견 모바일 악성코드> 12) 2012년의 악성코드 증가세가 두드러진 경향을 볼 수 있다. 우리나라의 경우 안드로이드 OS의 보급률이 굉장히 높은 데다, 모바일 어플리케이션에 대한 정품 사용 인식이 희박하여 불법 복제 어플리케이션을 다운로드하고 설치하는 과정에서 악성 코드 감염이 될 가능성이 크기 때문에 이러한 모바일 악성코드의 급격한 증가는 우리나라에게 더욱 심각한 위협으로 다가오고 있다. 11) McAfee Labs, McAfee Threats Report: Second Quarter 2012 (2012) p ) McAfee Labs, McAfee Threats Report: Second Quarter 2012 (2012) p.4 26

35 제2장 포렌식 수요와 준비도 <월별 악성코드 통계> 13) 아래의 그래프는 2011년 7월부터 2012년 6월까지 수집된 악성코드의 누적 총수를 나타낸 것 이다. 매월 상당한 폭으로 증가하고 있으며, 1년간 약 2천만 개의 악성코드가 새롭게 발견된 것 을 볼 수 있다. <신종 루트킷 형태 악성코드 발견 건수> 14) 운영체제의 핵심부분에 파고든 후 은닉하여, 탐지와 제거가 극히 곤란한 루트킷 형태 악성코 드의 분기별 적발 현황이다. 전체적으로 보아 2010년 4분기 이후로 루트킷의 증가 속도가 늘어 13) McAfee Labs, McAfee Threats Report: Second Quarter 2012 (2012) p.6 14) McAfee Labs, McAfee Threats Report: Second Quarter 2012 (2012) p.7 27

36 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 나고 있다. <사용자를 기만하도록 허위로 디지털 서명된 악성코드 수> 15) 허위의 디지털 인증서로 서명하여 피해자에게 신뢰감을 주도록 설계한 악성코드의 적발현황 을 나타낸 그래프이다. 대부분의 사용자들이 디지털 인증서로 서명된 프로그램을 신뢰하는 경 향이 있으므로 이러한 맹점을 파고드는 소셜 엔지니어링의 전형적인 형태이다. 15) McAfee Labs, McAfee Threats Report: Second Quarter 2012 (2012) p.10 28

37 제2장 포렌식 수요와 준비도 제3절 과학적증거의 허용성 과학적이고 전문적인 분야에서 관련 증거가 법정에 들어와 사실인정에 기여하기 위해서는 법 원의 확지, 입법에 의한 승인, 당사자의 동의 등 소송관계자의 합의이외에 특정 분야에 있어서 전문적인 지식을 가진 전문가의 증언에 의한 방식을 생각해 볼 수 있다. 과학적 증거를 사실인정의 자료로서 허용성을 인정하기 위해서는 과학적 법칙 및 그것을 이 용한 과학적 검사기술의 타당성이 선행되어야 한다. 이러한 법칙이나 기술은 날로 개발되고, 발 전하게 된다. 새로운 기술이나 법칙이 주장되면 동료들의 반복적인 실험과 검증을 거쳐 하나의 일반원칙으로 승인되는 과정을 거치게 된다. 그렇다면 이러한 과학기술이나 법칙이 언제 실험 적인 단계에서 법원의 확증에 이르는 단계로 이동하는가. 법원의 확지, 법률상 추정이나 당사자 가 동의한 경우라면 법원이 이를 사실인정의 자료로 삼더라도 큰 문제가 없을 것이다. 그러나 새로운 기술이 그러한 법원의 확증을 기다리기에는 시간상 너무나 많은 증거를 잃게 될 우려도 있다. 따라서 비록 확증이 없더라도 관련 분야의 전문가의 지식을 활용하여 어느 정도 중간단계 에서 사실인정자료로 삼을 수밖에 없을 것이다. 미국의 연방항소법원은, Frye v. Unate States 16) 사건의 판례를 통해 인정된 과학적 원리 내지 발견으로부터 연역된 전문가 증언을 허용하는 것은 사건해결에 도움이 되지만, 그 연역의 근거가 되는 사항은 그것이 속하는 특정 분야에 있어서 일반적인 승인을 얻은 충분히 확증된 것 이어a야 한다 고 하여 특정 분야 에서 일반적으로 승인 을 요구함으로써 거짓말탐지기 검사결 과에 대하여 허용성을 부인하고 말았다. 즉, 과학기술에 대한 일반적인 승인을 요하는, 엄격한 기준을 적용하다 보니 상당기간 과학적 인 증거의 대다수를 잃고 말았다. 동 판결의 기준은 연방과 주 법원을 불문하고, 거짓말탐지기 결과만이 아니고 성문감정, 권총발사의 잔류물, 최면법, 모발감정 기타 법의학적 검사에도 널리 적용되었기 때문이다. 이러한 기준에 대해서는 과학기술이 속하는 특정분야가 무엇인지, 일반적인 승인의 개념이 분명하지 않은 경우가 많다는 비판이 가능하다. 즉, 과학기술은 단일 학문분야의 성과라고 하기 16) 293 F. 1013(D. C. Cir. 1923). 29

38 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 곤란한 경우가 많고, 이러한 관련 분야의 선택이 일반적으로 승인된 기준 결정에도 상당한 영향 력을 행사할 수도 있기 때문이다 17). 이러한 비판에 따라 과학적 증거의 허용성에 관하여 기준을 완화하거나 별도의 기준을 두기 보다는 차라리 다른 일반적인 증거와 같이 관련성만 있으면 족하다는 이론들이 제시되고 있다. 전문가의 증언은 우리 현행법상 감정 증언제도(형사소송법 제169조)이외에 전문수사자문위원 제도(제245조의2)를 통해 도입되어 있다. 즉, 현행법은 검사가 공소를 제기함에 있어서 사실관 계를 분명하게 하기 위하여 필요한 경우에는 직권이나 피의자 또는 변호인의 신청에 의하여 전 문수사자문위원을 지정하여 수사절차에 참여하게 하고 자문을 들을 수 있다. 다만 이러한 감정인이나 수사전문자문위원 제도 이외에 특정분야의 전문가가 초동수사에서부 터 개입하여 증거수집을 하고, 이를 분석하여 수사에 참고하도록 하고, 일부를 보전하여 검증용 에 제공함과 동시에 기소 후 법정에 증인으로 출석하여 증언을 하는 제도를 생각해 볼 수 있다. 우리 현행법 상 이러한 조사자가 법정에서 진술할 수 있는 제도적 장치로서는, 감정증인, 일 반적인 증인과 수사전문자문위원제도의 활용, 형사소송법 제316조에 의한 조사자의 증언제도 등을 검토해 볼 수 있다. 수사전문관은 이미 초동수사단계에서부터 직접 수사에 관여한 만큼 객 관적이고 공정성이 담보되고 있는 감정증인과 같은 증언능력을 인정할 수는 없을 것이다. 가사 이를 허용한다고 하더라도 증언의 신용성은 많이 떨어 질 것이라는 점에 대해서는 쉽게 상상할 수 있다. 한편으로는, 비록 수사전문관이 수사관의 직책을 수행한다고 하더라도 당해 분야의 전문가인 이상 관련 물적증거나 자료의 성립의 진정이나 성상, 형태에 대해서 사실 인정자에게 보고적 기 능을 수행할 수는 있을 것이다. 그러한 한도에서 진술증거의 신용성과 객관성을 확보하기 위해 서 어떠한 방법이 있을 수 있는가 하는 문제가 여전히 남게 된다. 미국에서는 법관이 특정 분야의 증거나 사실관계를 이해함에 있어서 과학적, 기술적, 또는 기 타 전문지식의 조력을 받기 위해 전문가를 증인으로 소환하는 경우, 당해 전문가가 증인으로서 자격을 갖추기 위해서는, 그에 관련된 주제에 대한 "지식, 기술, 경험, 훈련, 아니면 교육"을 갖 17) United States v. Williams, 443 F. Supp. 269, 273(S.D.N.Y. 1977); Commonwealth v. Devlin, 310 N.E. 2d 353, 356 (Mass. 1974); 2d 1194, 1198(2d Cir. 1978). 30

39 제2장 포렌식 수요와 준비도 추고 있음을 입증하면 충분하다는 것으로 연방 증거법 제702조 18) 를 근거로 하고 있다. 이 규정 에 근거하여 훈련 받은 컴퓨터 포렌식 수사전문관들은 자격을 갖춘 전문가로서 증언능력을 인 정받고 있다. 많은 주에서는 연방 증거법 901(b)(9) 19) 규정이나 이에 상응하는 주( 州 ) 법령에 의해 검증되 거나 조사과정에서 더 객관적이고 경험적인 조사결과물을 제시하는 경우에는 전문가증언에 대 신하여 이러한 수사전문관을 증인으로 출석시켜 증언케 하고 있다. 주요사례로서, United States v. Scott-Emuakpor 20) 사건에서 컴퓨터 포렌식 수사를 수행 한 미국 재무부 비밀 검찰국 직원(U.S. Secret Service agents 21) )이 스스로 찾아낸 증거의 증 거능력을 부여하기 위해서 당해 수사관이 전문가로서 증언능력을 갖추는가. 즉, 컴퓨터 포렌식 분야에서 필요한 능력이 있는 전문가라고 할 수 있는지에 대하여 직접적으로 다투어 졌다. 동사 18) 연방 증거법 제702조, 사실인정자가 증거를 이해하거나 사안의 사실관계를 결정하는 데에 있어서 과학적, 기술적, 또 는 기타 전문지식의 조력을 받을 경우, 지식과 기술 및 경험을 갖추고 훈련, 교육을 받은 전문가로서 검증된 증인은 (1) 증언이 충분한 사실 또는 자료에 근거하였고, (2) 증언이 검증된 이론과 수단에 의하여 도출되었으며, (3) 증인이 그 이론과 수단을 해당 사안에 적절히 적용한 경우에 한하여, 의견 또는 그 밖의 형태로 진술할 수 있다. (If scientific, technical, or other specialized knowledge will assist the trier of fact to understand the evidence or to determine a fact in issue, a witness qualified as an expert by knowledge, skill, experience, training, or education, may testify thereto in the form of an opinion or otherwise, if (1) the testimony is based upon sufficient facts or data, (2) the testimony is the product of reliable principles and methods, and (3) the witness has applied the principles and methods reliably to the facts of the case.) 19) 연방 증거법 제901조, (a) 총설 인정가능성에 선행하는 조건으로서 증명이나 검증이 요구되며, 이는 안건이 당사자의 주장과 일치한다는 판 단을 지지하기에 충분한 증거에 의하여 충족된다. (The requirement of authentication or identification as a condition precedent to admissibility is satisfied by evidence sufficient to support a finding that the matter in question is what its proponent claims.) (b) 본조의 조건을 충족하는 증명이나 검증의 예는 다음과 같다. 단 이에 국한되지 아니한다. (By way of illustration only, and not by way of limitation, the following are examples of authentication or identification conforming with the requirements of this rule:) (9) 과정 또는 체계. 특정한 과정 또는 체계를 기술한 증거. 그 과정 또는 체계에 의하여 어떤 결과를 도출할 수 있다는 것과, 정확한 결과를 도출할 수 있음이 증명되어야 한다. (Process or system. Evidence describing a process or system used to produce a result and showing that the process or system produces an accurate result.) 20) 2000 WL (W.D.Mich. 2000). 21) 미합중국 비밀검찰국의 임무는 국가의 재정적 기반과 지불수단체계를 수호하여 국가경제의 건전성을 확보하고, 국가의 지도자, 타국 또는 미합중국을 구성하는 주의 지도자, 중요한 특정 지역과 국가특수보안상황을 보위하는 데에 있다. (The mission of the United States Secret Service is to safeguard the nation's financial infrastructure and payment systems to preserve the integrity of the economy, and to protect national leaders, visiting heads of state and government, designated sites and National Special Security Events.). 따라서 1)금융 업무: 미국의 화폐와 국채의 위조 사건을 조사 및 방지하고 대규모의(major) 사기 사건을 조사하고, 2)보호 업무: 국가 중요인사의 경호. 경호 대상은 주로 대통령(과 그 가족), 전 대통령(과 그 가족), 부통령, 대통령후보(와 그 가족), 외국의 대사 및 주요인사 경호 업무를 주된 업무로 하고 있다( 31

40 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 건의 발달은 피고인 측에서 특히 컴퓨터 포렌식 분야에서 전문가가 아님을 자인하고 있는 재무 부 비밀검찰국 직원은 컴퓨터 조사 결과들에 대한 증언을 할 자격이 없다고 반박하면서 예비적 으로 재정신청을 하였다. 이에 대해서 법원은 어느 쪽 증인이라도 컴퓨터 장비를 조사하거나 그 조사의 결과들을 증언 하지 못할 이유가 없다. 이러한 문제는 증인들이, 예를 들어, 정교한 소프트웨어 프로그램을 개 발할 수 있는 전문적 지식이 있는지의 여부가 중요하지 않다. 문제는, 그들이 하드 드라이브나 zip드라이브에 무엇이 들어있는지를 알아낼 수 있는 기술이 있는지 문제이다. 분명히, 그들은 드라이브에 들어있는 내용을 조사하였기 때문에 적절한 기술이 있었을 것이다. 영문학 전문가 가 아니어도 글을 읽을 수 있듯이 USSS 요원이 컴퓨터 포렌식 분야 전문가가 아님을 자인하 였다는 사실은 법원에 대해 법적 구속력이 없다 고 하고 있다. 계속해서 Galaxy Computer Services, Inc. v. Baker 22) 사건에서도 비슷한 취지의 판결을 하고 있다. 동 사건은 피고 측이 Paul Taylor에 대한 전문가의 증언을 막으려고 예비적으로 재 정신청을 하였다. 컴퓨터 포렌식 분야에서 5년 동안 일해 온 테일러는 아홉 개의 하드 드라이브 를 분석하였으며 피고가 삭제한 특정파일을 복구하여 동 파일에 기록된 내용을 전문가 보고서 에 상세히 기재하였다. 원고는 복구된 문서를 증거로서 인정하고, 증거문서의 불법 파기에 관한 고의적인 범행을 저질렀다는 사실을 배심원 설시(jury instruction)에 포함시킬 수 있도록 허용 해줄 것을 요구하면서 테일러를 증인으로 신청하였다. 23) 한편, 피고 측은 테일러 조사관은, 컴퓨터 전문가로서 증언할 자격이 없다. 왜냐하면, (1) 그 는 컴퓨터과학 학위를 가지고 있지 않았다. (2)그는 다른 컴퓨터 언어를 유창하게 구사하지 못 한다. (3)그는 컴퓨터 프로그래머가 아니다. (4)그는 컴퓨터과학 증명서를 가지고 있지 않았다. (5)그는 마이크로소프트 증명서를 받기 위한 특별한 교육이나 훈련을 받지 못하였다 등의 주장 을 하였다. 이에 대해 법원은 조사관의 지식, 기술, 경험, 훈련, 그리고 교육을 근거로 그는 전문가 증인 으로서 자격이 충분하다 고 판결하였다. 결론적으로 컴퓨터 포렌식 전문가로서 컴퓨터 프로그래밍이나 또는 코드를 읽고 쓰는 전문적 22) Galaxy Computer Services, Inc. v. Baker, 325 B.R.544 (E.D.Va.2005). 23) Id. at

41 제2장 포렌식 수요와 준비도 인 지식을 요구하는 것은 아니다. 위 테일러와 같이 일정한 기간 즉, 컴퓨터 포렌식 분야에서 5년 동안 일해 왔고, 그 기간 동안 그러한 조사결과물을 근거로 전문가 보고서를 작성하고, 이 를 증언한 것이라면 전문가 증인으로서 인정할 수 있다는 것이다. 나아가, United States v. Hilton 24) 사건은 컴퓨터 수사전문관에 의한 전문가적 증언 에 의 해 사실인정을 한 아주 좋은 표본이다. 검찰 측 증인인 막스는, 본건 범죄사실인 아동포르노 사진의 소지와 인터넷을 통한 유통혐의 를 입증하는 자료로서, 다음의 두 가지 사실을 증언하였다. 먼저, 본건 아동 포르노 파일은 MIRC 디렉토리(subdirectory)에서 발견되었으며, 이 디렉 토리에는 인터넷 채팅방(IRC: Internet Relay Chat)에 참여하여 대화를 가능케 하는 소프트웨 어(mIRC)가 들어 있다는 사실을 발견하였다. 따라서 막스 요원은 법정에서 자신의 전문적 견해 에 의하면 아동 포르노 파일은 인터넷을 통해 다운받았다는 것을 추정할 수 있다 는 증언을 하 였다. 둘째로, 각 아동포르노파일의 날짜와 시간 정보(time stamp)는 당해 파일이 모뎀을 통하여 전송되었음을 나타낸다 고 증언하였다. 피고인은, 모뎀의 역할과 기능에 대해서 일반적으로 모르는 사실이고, 이를 증거로 이용한다 는 사실에 대하여 사전 또는 사후에 당사자에게 알려 주지 않았고, 따라서 연방증거법 201조에 의해 1)해당 사실이 일반적으로 알려졌거나, 또는 반박할 수 없는 근거에 의하여 간단히 증명될 수 있고, 2)사실 인정을 전후하여 각 당사자들이 그 사실 인정에 대하여 이의를 제기할 기회가 주어져야 한다는 규정을 근거로 본 건 모뎀과 관련된 사실인정은 부정되어야 한다고 주장하였 다. 또한, 막스의 추상적인 증언(speculative testimony) 만으로는 합리적 의심 을 초월하는 증언에 이르지 못하였다고 주장하였다. 이에 대해 법원은 검찰은 모뎀 전송에 대한 직접적 인 증거를 제시할 필요는 없고, 막스 수 사전문관의 법정 증언은 그 파일들이 인터넷 또는 전화망을 통하여 전송되었음을 인정하기에 부족하지 않다 25) 고 하여 인터넷을 통하여 포르노그래피를 주고받은 사실에 대해 유죄를 인정 24) 257F.3d 50 (1stCir. 2001). 25) But the government was not required to provide direct evidence of interstate transmission, Blasini-Lluberas, 169 F.3d at 62, and we cannot say that Marx's unchallenged expert testimony was 33

42 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 하였다. 즉 미국의 경우 수사전문관의 경우 자신이 사용한 도구와 그 결과물에 대하여 전문가로서의 증언을 할 수 있고, 전문가 증언으로서 독립된 가치를 인정하고 있다. 해당 부분에 대한 특별한 자격이 없다고 하더라도 일정한 훈련을 받았거나 일정기간 업무를 담당하였다면 전문가로서의 증언을 함에 있어서 다르지 않다고 하고 있다. 서울중앙지방법원 26) 은 속칭 일심회 국가보안법위반 사건 판결에서 법원의 검증절차에 참 여하여 이를 주도적으로 진행한 증인 정 무의 전자적 정보 분석능력과 그 증언은 신뢰할 수 없 으므로, 위 문건들은 독립적인 증거로 사용할 수 없다 는 변호인 측의 주장에 대해서 이 법원 의 검증조서, 증인 정 무의 증언 및 기타 이 사건 변론에 나타난 제반 사정을 종합하면, --- 피고인들 및 검사, 변호인들이 모두 참여한 가운데 이 법원의 전자법정시설 및 EnCase프로그램 을 이용하여 법원의 검증절차가 이루어졌는바, 검증 당시 규격에 적합한 컴퓨터와 EnCase프로 그램을 이용하여 적절한 방법으로 검증절차가 진행되었으므로, 컴퓨터의 기계적 정확성, 프로 그램의 신뢰성, 입력, 처리, 출력의 각 단계에서의 컴퓨터 처리과정의 정확성, 조작자의 전문적 기술능력 등의 요건이 구비되었다고 보이고, 달리 그 요건의 흠결을 의심하거나 신뢰성을 배척 할 만한 사정은 보이지 아니하며, 위와 같은 검증절차를 거쳐, 디지털 저장매체 원본을 이미징 한 파일에 수록된 컴퓨터파일의 내용이 압수물인 디지털 저장매체로부터 수사기관이 출력하여 제출한 문건들에 기재된 것과 동일하다는 점이 확인되었으므로, 앞서 본 증거의 요지 란에 거 시된 문건들은 증거능력이 적법하게 부여되었다고 할 것이어서 변호인들의 이 부분 주장은 이 유 없다 고 하였다. 이는 검증조서 등 서면의 증거에 대하여 독립적인 증거로서의 가치는 물론 수사전문관의 사용도구와 엔케이스 프로그램 등에 관한 전문적인 증언능력을 인정하였다는 점 에 의의가 있다. 동 사건에 대한 대법원의 판례 27) 또한, --각 디지털 저장매체가 봉인된 상태에서 서울중앙 지방검찰청에 송치된 후 피고인들이 입회한 상태에서 봉인을 풀고 세계적으로 인정받는 프로그 램을 이용하여 이미징 작업을 하였는데, 디지털 저장매체 원본의 해쉬(Hash) 값과 이미징 작업 을 통해 생성된 파일의 해쉬 값이 동일한 사실, 제1심법원은 피고인들 및 검사, 변호인이 모두 insufficient for a finding that the images were transmitted over the Internet or telephone lines. United States v. Czubinski, 106 F.3d 1069, 1074 n. 5 (1st Cir.1997). 26) 서울중앙지법 선고 2006고합1365 등 27) 대판 선고 2007도7257[공2008상,80] 34

43 제2장 포렌식 수요와 준비도 참여한 가운데 검증을 실시하여 이미징 작업을 통해 생성된 파일의 내용과 출력된 문건에 기재 된 내용이 동일함을 확인한 사실을 알 수 있는바, 그렇다면 출력된 문건은 압수된 디지털 저장 매체 원본에 저장되었던 내용과 동일한 것으로 인정할 수 있어 증거로 사용할 수 있다 고 함으 로써 이에 관한 수사전문관의 증언능력을 인정하고 있다. 그러면서도 피고인이 성립의 진정을 부인하는 나머지 서류 등에 대해서는 전문법칙의 예외규정인 형사소송법 제313조의 소정을 요 건을 갖추지 못하였다는 이유로 증거능력을 부인함으로써 위 수사전문관의 증언에 의한 문서의 성립의 진정을 부인하고, 독립한 증거로서의 가치도 부인하였다. 결국 수사초기단계에서부터 법정의 증언에 이르기까지 일련의 과정을 일관되게 설명해 주기 위한 수사전문관의 증언에 대해 독립적인 가치가 있는 증거로서 평가 받을 수는 없는가. 문제는 이러한 수사전문관의 증언에 대해 어떻게 공정성을 유지할 것인가에 달려 있고, 이를 객관적으 로 담보할 수 있는 방안 연구가 향후 과제로 남는다. 35

44 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제4절 디지털 포렌식의 수요 1. 수요개요 여러 차례의 세계대전을 통해 수많은 인명살상을 경험한 인류는 서로에게 막심한 피해를 입 힐 수 있는 물리적인 전면전을 되도록 피하고 있다. 하지만 물리적 전쟁이 물러난 공간에는 첨 단기기를 이용한 사이버전쟁이 새롭게 자리잡고 있다. 각종 디지털기기의 발달과 함께 해킹이 전 세계적으로 산업화 조직화되고 있으며 산업전쟁의 시대와 맞물려 각 기업들은 내 외부자에 의한 산업기술유출 문제로 골머리를 앓고 있다. 우리나라도 예외가 아니다. 반도체, 조선, 자동차 등 다양한 분야의 기술을 비약적으로 발전 시킨 우리나라 핵심기업을 노린 기술유출시도는 2000년대 들어 교묘하고 집요하게 나타나며 국 부 유출의 주범이 되고 있다. 국정원 산업기밀보호센터에 따르면, 지난 2003년부터 국내 첨단기술의 해외유출 사건 발생 건수가 매년 두 배 이상 꾸준히 증가해 2011년 현재 누적 피해 금액이 400조원을 넘어선 상태 다. 2012년도 한해 예산이 325조원 수준임을 감안하면 부실한 사내 정보 관리를 통해 국가기술 과 기업의 가치가 얼마나 심각하게 훼손되고 있는지 알 수 있다. 실제 전문가들은 반도체 LCD 등 일부 국가핵심기술의 경우 다양한 경로의 유출을 통해 중국 등 후발주자들과 기술 격차가 크게 줄어들었다고 분석하고 있다. 산업기밀은 다양한 경로로 유출된다. 특히 중국 업체로의 산업기밀유출사례가 빈번하게 발생 하고 있다. 지난 2009년 국내 3D 제조업체인 A사의 연구소장과 동종업체 B사의 대표는 중국에 3D입체영상을 개발하는 자회사를 설립키로 하고 A사의 3D제조기술이 담긴 파일을 유출해 중국 업체에 넘기려다 정보당국에 적발됐다. 이같은 유출을 방지하려면 USB 사용 차단, 웹메일 첨부파 일 차단 및 기록 등으로 사전에 유출을 방지하고, 정보 유출을 확인했을 시 유출된 파일에 대한 접근기록 분석 및 메일 민 인터넷 사용흔적 분석 등을 통해 정확한 유출 경로를 조사해야 한다. 또 협력업체 직원을 통한 기술 유출이 핵심기술을 보유한 기업에 가장 큰 위협이 되고 있다. 2010년 국내 반도체제조회사 C사에 반도체 장비를 납품하는 협력업체 D사는 애프터서비스를 36

45 제2장 포렌식 수요와 준비도 빙자해 영업비밀서류를 절취하거나 친분을 이용해 C사의 영업기밀을 빼내는 수법을 통해 국가 핵심기술로 지정돼 있는 C사의 반도체 핵심기술을 유출하려다 정보기관에 적발됐다. 이를 막기 위해서는 대외비 파일접근 인허가 및 기록관리 시스템을 도입하고 외주직원과 프로젝트 완료시 반출 전 디스크이미지를 복제하고 사고발생시 확보한 증거이미지를 통한 디지털 포렌식 정밀분 석을 수행하는 작업이 필요하다. 디지털 포렌식 이란 디지털데이터(전자정보)를 과학적 절차와 기법을 사용해 수집하고 분석 해 증거로 제출하는 제반 행위를 일컫는 말로 일반적으로 컴퓨터나 디지털증거의 수집, 보존, 분석, 문서화 이후 법정 제출의 단계로 이뤄집니다. 현재 포렌식은 범죄수사, 민사분쟁, 침해사 고 대응 등 다양한 분야에 유용하게 쓰이고 있으며 기업 내 정보감사 및 산업기밀유출방지를 위 한 활동에도 포렌식이 도입되고 있다. 2. 수사 또는 조사담당 국가기관의 수요 디지털 포렌식을 활용해 각종 기술유출을 방지하고 적법한 수사기록을 확보해 법원에 증거로 제출하고 증거로 인정받기 위해서는 무결성 을 유지하는 것이 핵심입니다. 검색파일에 대한 해 시값 추출로 파일에 대한 무결성을 유지한 채 법원에 증거로 제출되어야 그 효력을 인정받을 수 있기 때문이다. 디지털 포렌식 도구로는 원본 디스크에 손상이나 변경이 가해지는 것을 방지하고 증거제출 등을 위해 동일한 형태로 미러 이미지 파일을 생성하기 위한 디스크 복제 이미징 도구, 증거물 이 부당하게 훼손되거나 변경되지 않았다는 것을 검증하는 데이터 무결성 검증 도구, 디스크에 서 삭제되거나 손상된 데이터를 복구 분석하기 위한 데이터 복구 및 분석 도구, 시스템이나 문 서파일에 암호가 설정돼 있는 경우 이를 복원해내는 암호복구 도구 등 디지털 정보 유출자의 발자취를 꼼꼼하게 추적할 수 있는 다양한 기술이 있다. 국내 정부 기관은 디지털 포렌식을 다양하게 활용하고 있다. 2010년 공정위원회와 국세청은 디지털 포렌식팀을 설치했고, 국세청도 과학적 과세증거 확보 등을 전담할 첨단탈세방지센터 를 설치하는 등 각종 수사영역에 디지털 포렌식을 활용하고 있다. 공정위는 카르텔 조사를 위해 증거를 인멸하기 위해 컴퓨터 하드디스크에서 지워진 파일을 복구하고 증거를 찾아내기 위해 포렌식을 도입했으며 국세청도 탈세 적발에서 각종 자료의 진본 여부 감정을 위해 포렌식 기술 37

46 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 을 적극 활용하고 있다. 수사기관은 첨단범죄를 수사할 수 있는 전문팀을 꾸리고 디지털 포렌식을 활발하게 활용해 각종 범죄 수사에 포렌식을 적극 활용중이다. 검찰 경찰 국정원 등 수사기관은 각종 해킹사건 수사부터 범죄사건 수사까지 포렌식을 활용하고 있다. 일상생활에서 벌어지는 고소-공갈 수사 를 위한 휴대폰 모바일 분석부터 최근 벌어진 일부 정당의 선거 부정 선거 의혹 조사 28) 등까지 포렌식 기술의 적용은 전방위로 확대되고 있다. 2010년 7월 접수된 한 내연남에 의한 강간사건 수사에서는 수사기관이 내연기간 중 주고받은 문자 내용을 복원해 피의자에 무죄를 선고하는 등 각종 조작과 파손으로 인한 디지털 증거의 변형은 수사기관이 포렌식 기술을 통해 복원해 범 죄혐의를 입증해내고 있다. 특별한 훈련과 전문자격증이 요구되어지는 가장 중요한 전담요원은 바로 사건반장(the case supervisor)과 2명의 컴퓨터증거채집팀(technical evidence seizure and tagging team)이다. 팀별로 구성하면 다음과 같다: 컴퓨터 영장수색팀 구성 직무(role) 임무(duties) 비고 사건반장 (The case supervisor) 인터뷰팀 (interview team) 현장사진팀 (sketch and photo team) 현장수색팀 (physical search team) 검거팀 팀의 총 책임자 팀원과 장비에 대한 관리와 계획 사건에 대한 감독과 상부에 보고의무 예산편성 수색영장청구 증인과 용의자에 대한 심문 현장에 대한 스케치 현장 내부와 외부 전체에 대한 사진 촬영 모든 증거물에 대한 사진 촬영 모든 현장에 대한 수색 모든 증거물과 증거물 위치에 대한 색표시 작업 사건현장에 대한 보안 유지 총괄 수사관 28) 2012년 5월 12일 경향신문 기사, 검찰, 경선부정 의혹 통합진보당 전격 압수수색 38

47 제2장 포렌식 수요와 준비도 직무(role) 임무(duties) 비고 (security and arrest team) 컴퓨터증거채집팀 (a technical evidence seizure and logging team) 증거물에 대한 보호 용의자 체포 증거물의 압수 증거물 자료에 대한 접속 증거물을 박스나 가방에 보관하고 식별표시 해둠 컴퓨터를 끄고 안전한 곳을 옮김 조사관 3. 기업 법무에 있어서 수요 향후 기업 영역에서도 산업유출방지 및 사내 감사를 위한 디지털 포렌식 활용이 늘어날 전망 이다. 이에 발맞춰 법무법인 회계법인 등에서도 관련 팀을 꾸리고 늘어나는 기업 내 디지털 포 렌식 수요에 대응하고 있다. 포렌식 업무를 수행하는 사고처리사 들은 포렌식 원칙, 지침, 절차, 도구, 그리고 기술에 대 한 포괄적지식이 있어야하며, 데이터를 은폐하거나 파괴할 수 있는 안티 포렌식 도구와 기술에 대한 학식도 있어야 한다. 또한, 사고처리 사 들이 가장 흔히 사용되는 OS, 파일시스템, 응용 프로그램, 그리고 네트워크 프로토콜과 같은 정보보안이나 특수한 기술적 주체에 대한 전문지 식이 있으면 유리할 수도 있다. 이와 같은 지식은 사고에 더욱 빠르고 효율적으로 응답할 수 있 도록 한다. 사고처리 사 들은 흔하지 않은 응용프로그램 데이터의 조사와 분석 같이 특정한 포 렌식업무에 어떤 팀 및 직원이 가장 적절한 전문적 기술을 제공할 수 있는지를 빨리 결정할 수 있도록 시스템과 네트워크를 포괄적이고 광범위하게 이해하고 있어야 한다. 포렌식 업무를 수행하는 직원이 다른 업무를 수행해야 할 수도 있다. 예를 들어, 조사의 결과 가 법정에서 사용된다면 사고처리 사 들은 법원에서 증언을 하고 조사결과를 보강해야 할 수도 있다. 사고처리 사 들은 기술지원 직원, 시스템과 네트워크 관리자, 그리고 다른 IT 전문가들 에게 포렌식에 대한 교육을 할 수도 있다. 교육에 대한 주제로 포렌식 도구와 기술의 개요, 특 정한 도구에 대한 조언, 그리고 새로운 종류의 공격 신호 등이 있다. 사고처리 사 들은 IT 전문 가 단체와 대화형 세션(interactive session)을 가져 포렌식 도구에 대한 전문가들의 견해를 듣 고 현재의 포렌식 역량의 잠재적인 취약점들을 확인하기를 원할 수도 있다. 사고처리 팀에서는 일원의 부재로 인한 타격을 최소한으로 하기 위하여 한명 이상의 팀 일원 39

48 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 이 모든 보편적인 포렌식업무를 수행할 수 있어야한다. 사고처리 사 들은 포렌식 도구와 기술 의 사용법과 절차적 주제들을 서로 가르칠 수 있다. 실질적인 훈련과 외부적 IT와 포렌식 교육 코스도 새로운 도구와 기술의 능력을 쌓고 유지하는데 큰 도움이 될 수 있다. 추가적으로, 새로 운 도구나 기술을 실연해 팀 일원들에게 보이거나 실험실에서 포렌식과 안티포렌식 도구들을 시험해 보는 것도 유익할 것이다. 이것은 특히 사고처리 사 들이 휴대전화나 PDA같은 장치에 서의 데이터 수집, 조사, 그리고 분석과정을 더욱 익숙케 할 때 유용하다. 사고처리 사 들은 새로운 포렌식 기술, 기법 그리고 절차에 대한 최신 정보를 알고 있어야 한다. 4. 법무법인 등 소송관련 업무 변호사들이 업무 또한 디지털 포렌식과 직결된 업무이다. 포렌식 절차가 전자적 증거의 적절 한 수집과 분석, 증거개시와 증거조사와 관련된 업무인 만큼 이를 주된 업무로 처리하는 변호사 의 입장에서는 이러한 포렌식 절차를 숙지하지 않으면 안 된다. 일부 법무법인에서는 이미 포렌 식 팀을 가동하여 송무활동에 도움을 주고 있다. 5. 보험조사관 등 민간 조사업의 수요 보험조사관의 경우 향후 민간조사업법이 제정되면 민간조사관의 경우에도 포렌식 교육이 필 요하다. 더존정보보호서비스 이찬우 대표는 디지털 범죄조사를 위해 시작된 포렌식이 회계부정 등 기업 내부감사 등 조사가 필요한 영역에서 필수요소로 떠오를 것이라고 전망하고 있다 면서 정 보 유출사고 발생 후 빠른 원인분석과 효과적인 대응을 가능하게 할 수 있는 디지털 포렌식준 비도 의 마련이 시급하다 고 강조하고 있다. 29) 29) 40

49 제2장 포렌식 수요와 준비도 제5절 전문가 증언의 필요성 시험제도의 빠른 정착을 위해서는 무엇보다도 법원의 송무과정에서 전문조사관이 법정증인으 로 참여하거나 국가기관이나 법무법인, 일반기업으로부터 분석, 검증의뢰 등 업무에 관여하는 것이다. 전문가가 법정에 증언을 함에 있어서는, 1)일정한 분야의 전문가로서 과연 어느 정도 전문적 인 지식이나 기술적인 능력을 가져야 하는가의 문제와 2)전문수사관이 직접 조사하여 분석한 결 과물인 증언내용에 대하여 수사기록과 다른 독립한 증거로 인정할 수 있는가 하는 문제가 포함 되어 있다. 전자는 전문가 증언의 증거능력에 관한 문제이고, 후자는 수사관여자 진술의 증명력 의 문제이다. 먼저, 미국에서는 법관이 특정 분야의 증거나 사실관계를 이해함에 있어서 과학적, 기술적, 또는 기타 전문지식의 조력을 받기 위해 전문가를 증인으로 소환하는 경우, 당해 전문가가 증인 으로서 자격을 갖추기 위해서는, 그에 관련된 주제에 대한 지식, 기술, 경험, 훈련, 아니면 교육 을 갖추고 있음을 입증하면 충분하다고 한다. 즉, 연방 증거법 제702조 30) 가 이를 규정하고 있 다. 이 규정에 근거하여 훈련 받은 컴퓨터 포렌식 전문수사관들이 자격을 갖춘 전문가로서 미국 의 법정에서 증언하고 있다. 주요사례로서, United States v. Scott-Emuakpor 31) 사건에서 법원은 어느 쪽 증인이라도 컴퓨터 장비를 조사하거나 그 조사의 결과들을 증언하지 못할 이유가 없다. 이러한 문제는 증인 들이, 예를 들어, 정교한 소프트웨어 프로그램을 개발할 수 있는 전문적 지식이 있는지의 여부가 중요하지 않다. 문제는, 그들이 하드 드라이브나 zip드라이브에 무엇이 들어있는지를 알아낼 수 있는 기술이 있는지 문제이다. 분명히, 그들은 드라이브에 들어있는 내용을 조사하였기 때문에 30) 연방 증거법 제702조, 사실인정자가 증거를 이해하거나 사안의 사실관계를 결정하는 데에 있어서 과학적, 기술적, 또 는 기타 전문지식의 조력을 받을 경우, 지식과 기술 및 경험을 갖추고 훈련, 교육을 받은 전문가로서 검증된 증인은 (1) 증언이 충분한 사실 또는 자료에 근거하였고, (2) 증언이 검증된 이론과 수단에 의하여 도출되었으며, (3) 증인이 그 이론과 수단을 해당 사안에 적절히 적용한 경우에 한하여, 의견 또는 그 밖의 형태로 진술할 수 있다. (If scientific, technical, or other specialized knowledge will assist the trier of fact to understand the evidence or to determine a fact in issue, a witness qualified as an expert by knowledge, skill, experience, training, or education, may testify thereto in the form of an opinion or otherwise, if (1) the testimony is based upon sufficient facts or data, (2) the testimony is the product of reliable principles and methods, and (3) the witness has applied the principles and methods reliably to the facts of the case.) 31) 2000 WL (W.D.Mich. 2000). 41

50 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 적절한 기술이 있었을 것이다. 영문학 전문가가 아니어도 글을 읽을 수 있듯이 USSS 요원이 컴퓨터 포렌식 분야 전문가가 아님을 자인하는 사실은 법원에 대해 법적 구속력이 없다 고 하 고 있다. 전문수사관의 경우 자신이 사용한 도구와 그 결과물에 대하여 전문가로서의 증언을 할 수 있 다고 생각된다. 해당 부분에 대한 특별한 자격이 없다고 하더라도 일정한 훈련을 받았거나 일정 기간 업무를 담당하였다면 전문가로서의 증언을 함에 있어서 다르지 않다. 다음, 필요한 자료의 압수 수색에서부터 피의자의 조사에 이르기까지 수사의 전 과정에 관여 한 전문수사관의 경우, 비록 전문가로서 증언을 할 수 있다고 하지만 과연 이러한 전문가로서의 소견증언은 어느 정도 증명력을 가질 것인가. 수사과정에서 접하게 되는 다른 증거 즉 자백이나 기타 다른 증거물 등과 다른 별개의 독립된 증거로서 가치를 인정받을 수 있는가. 전문가의 증언이 증거로서 작용하는 사례를 기능별로 보면 1)자백의 신용성을 보강하는 보조 증거가 되는 경우로서 독극물로 살해 하였다는 자백에 대해서 사체에서 독극물이 검출되었다 는 감정결과가 이에 해당한다. 32) 2) 다음으로 범죄현장에 유류된 정액이나 타액의 혈액형이 피고인의 것과 일치한다 는 법의감정은 피고인이 살해하였다는 직접증거는 아니지만 범행시 범 죄현장에 피고인의 존재 라고 하는 제1차 간접사실을 증명하는 정황증거가 된다. 나아가 3)위 양자의 기능을 모두 겸하는 경우가 있다. 전문가의 증언은 위와 같이 주요사실을 인정하는 직접증거라기보다는 자백의 신용성을 높이 는 보조증거이거나 주요사실을 추인케 하는 간접사실을 증명하는 정황증거에 불과하다. 이러한 정황증거도 증명하려는 주요사실 또는 간접사실과의 관계에서 제1차, 제2차 간접사실로서 주요 사실의 입증과는 점점 멀어지는 경우도 있다. 전문수사관의 경우에는 처음부터 수사과정에 개입하면서 증거능력의 유무를 불문하고 수사과 정에서 얻게 되는 정보와 자료들을 접하게 된다. 따라서 수사과정에서 획득한 다른 수사 자료와 의 상호관계를 무시할 수 없고, 그런 점에서 조사관의 증언의 신빙성은 크게 떨어진다고 하여야 한다. 전문수사관의 증언은 주요사실을 직접 입증하는 증거라기보다는 자백의 신빙성을 담보하거나 32) 이 경우에도 과연 범행시간대 범인으로부터 유래한 것이라는 별도의 판단이 필요함은 물론이다. 42

51 제2장 포렌식 수요와 준비도 간접사실을 입증하는 정황증거에 불과하다. 그럼에도 불구하고 전문가로서의 증언이라는 이유 로 과대평가 될 수 있다는 점은 항상 유의하여야 한다. 전문수사관의 경우에는 수사기록 일체를 접하고 있으므로 1)수사기록으로부터 영향을 받게 되어 부당한 예단을 갖게 될 수 있고, 2)반대로 피의자나 중요 참고인에게 영향을 주는 경우가 있을 수 있다. 따라서 전문수사관의 증언의 신용성, 공정성을 높이기 위해서는 증언에 참고한 자료가 무엇이 었는지를 진술서에 자세히 기재하게 하고, 이를 상대방에게 열람 등사 제공하는 것이 필요하다. 특히, 신용성을 제고하기 위해서는, 자격을 취득한 사람들에 대해 법원의 감정인 명부상 등재 를 권장하거나 각 수사관이나 일반기업으로부터 감정시료에 대한 분석과 감정 또는 검증형식의 기회에 참여를 확대해 갈 수 있도록 노력할 필요가 있다. 제6절 포렌식 준비도 최근에 발생한 농협 보안사고 33)34) 에서 초기 증거확보가 미흡하여 수사에 혼선이 발생하였 으며, 사고 원인 분석과 적절한 대응이 적시에 이루어지지 못하여 농협에 대한 불신과 사회적 혼란이 가중되었다. 농협 사건 이후 사고 해당 조직에 예방을 위한 합리적 보호조치뿐만 아니라 사고 발생 후에도 피해를 최소화하기 위한 적절한 조치를 해야 할 책임이 요구되고 있다. 이처 럼 최근 해킹 사고의 급증에 따라 사이버 사고 발생 상황 및 원인을 분석할 수 있는 신속한 증거 수집과 효과적 분석을 위한 능력이 개별 기업에 요구되면서 전사적 차원의 포렌식 준비도에 대 한 관심이 높아지고 있다. 해외에서도 다양한 조직에서 사이버공격 및 내부자 위협을 방지하기 위한 디지털 포렌식 대응 기능 마련을 목적으로 디지털 포렌식 준비도가 국가적, 조직적 차원에 서 도입되고 있다. 특별히 사이버 침해사고에 대해 포렌식 준비도가 필요한 이유는 사이버 공격에 소요되는 비 33) 전자신문, 농협 서비스 장애 복구 검찰은 이번 주 수사결과 발표 예정 ( ) 34) 서울경제, '불가항력' 강조에 "구멍가게냐" 거센 비난 ( ) 43

52 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 용에 비해 조사비용이 엄청나게 소요되기 때문이다. 허니팟 프로젝트(Honeypot Project) 35) 에 따르면 공격자가 30분 해킹하였을 때, 이에 대한증거를 수집하고 분석을 통해 원인을 밝히는데 수사관 1인당 34시간이 소모된다고 한다. 즉, 해킹에 소요되는 시간 보다 해킹 조사 분석 시간 이 몇 십배 이상 소요되는 불균형이 존재한다. 따라서 이러한 불균형을 최소화하기 위해서는 효 과적인 증거확보를 위한 철저한 사전준비가 필요한데 바로 이 사전준비 과정이 포렌식 준비도 라고 할 수 있다. 디지털 포렌식 준비도를 통한 조직의 혜택으로는 내부 조사에 드는 비용과 시간의 절감을 통 해 사고 수사의 지연에 의해 발생 가능한 시스템 중단시간 및 복구 시간을 최소화하여 비즈니스 방해를 최소화 할 수 있고, 신속한 사고의 원인 분석을 통한 적시 대응을 가능하게 해준다는 것 이다. 또한 디지털 증거의 법적 증거능력을 확보할 수 있게 해주어 공격자에게 적절한 법적 책임을 물릴 수 있게 된다. 간접적으로는 기업이 합리적인 보호조치를 취하고 있음을 보여줌으로써 기 업의 정보시스템에 대한 신뢰도를 높여주고 사이버 보안 관련 보험료 인하와 함께 사이버 침해 사고 소송에서 승소 가능성과 면책 가능성을 높여주는 효과를 제공할 수 있다. 35) 44

53 제2장 포렌식 수요와 준비도 제7절 연구범위 이하에서 연구의 흐름도를 간단히 살펴보면 다음과 같다. 제1장 서론 디지털 포렌식의 의의와 유용성 미국에서는 소송당사자의 의무 디지털 증거의 특성 제2장 포렌식수요와 준비도 제3장 한국 디지털 포렌식 교육현황 포렌식 수요의 증대 스마트폰 등 기술의 혁명 현재 컴퓨터 보안상태 디지털 포렌식의 수요와 바이러스유포 등 관련통계 디지털 포렌식의 준비도 교육 체계 현황 설문조사결과 반영 문제제기 제4장 외국의 교육현황과 시사점 미국의 교육 체계 현황 조지메이슨, 로드 아일랜드, 앨라배마, 센트럴 플로리다, 솔라노 커뮤니티, 웨 스트우드대학, 콜로라도 주립대, 월밍턴대, 아메리칸 인터컨티넨탈대, 앤 아룬 멜 커뮤니티, 센츄리대, 미들섹스커뮤니티, 존제이형사사법대학, 유티카대, 버 틀러카운티 커뮤니티, 데살스대, 쳄벌레인대, 조지메이슨대, 조지워싱턴대, 하 이라인 커뮤니티 수사기관 재교육 기관과 현황 디지털 포렌식 자격제도 일반 디지털 포렌식 분야의 산학협력 미국의 주요판례동향 우리에게 시사점 제5장 바람직한 디지털 포렌식 교육방안모델 제6장 총결 표준적 교육체계 모델(안) 산학협력모델 포렌식 자격제도와 연계방안 검토 바람직한 인재상 구현 과학기술 + 법률 = 융합효과거양 포렌식 전문가제도와 입법적 정비 45

54

55 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 제3장 한국 디지털 포렌식 교육 현황

56

57 제3장 한국 디지털 포렌식 교육 현황 한국 디지털 포렌식 교육 현황 제3장 제1절 한국 디지털 포렌식 교육 체계 현황 1. 교육기관 성균관대 역량 강화 교육 과정 36) 교육 목표 및 비전 컴퓨터는 일상 법률생활에서 빼 놓을 수 없는 필수적인 도구가 되었다. 컴퓨터에 의해 생성되 는 여러 가지 자료는 여러 가지 편리함에도 불구하고, 그 자료의 방대성, 전문성, 변조용이성 등 디지털 증거가 갖는 특성에 의해 원래의 의미가 왜곡되는 부작용도 가지고 있다. 그래서 디지털 증거는 수집에서부터 보전, 분석 그리고 법정에의 증거제출에 이르기까지 절 36) 한국디지털 포렌식학회, 디지털 포렌식 역량강화 과정, 한국디지털 포렌식학회, (2012) 디지털 포렌식 역량강화 과정_카 다로그6.hwp 49

58 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 차의 적정성이 확보되어야 하고, 이를 위해 디지털 포렌식 전문가의 양성과 객관적인 시험제도 를 통한 자격제도가 절실히 요청된다. 미국에서는 1990년대 이후 포렌식 절차의 수행은 소송당사자의 법적의무(Gates Rubber Co. v. Bando Chem. Ind., Ltd.)라고 하고 있다. 반면 IT강국이라고 하는 우리나라는 법정에서조차 이에 대한 인식이 부족한 상태이다. 디지털 포렌식 전문가 2급자격시험의 국가공인에 발맞추어 디지털 포렌식의 중요도에 대한 인식을 제고하고, 동 자격제도에 대한 저변을 확산시키기 위해서 최소한의 비용으로 공개 교육 과정을 개설하고 있다. 동 과정은 성균관대학교 산학협력단과 함께 공동운영할 예정이며, 국가기관의 공무원, 공공 기관, 기업, 법무법인의 임직원은 물론 변호사, 로-스쿨생, 대학원과 대학생 이에 관심을 가지 는 모든 사람들이 참여 할 수 있다. 디지털 포렌식 역량 강화 교육 과정 교육은 5일로 이루어지며, 정보화에 따른 디지털기기 사용 급증으로 디지털 포렌식 수요 증 가 예상과 국가 공인에 대비하여 디지털 포렌식의 중요도에 대한 인식 제고 및 저변 확산을 위 하여 교육을 실시하고 있다. 1일차 2일차 3일차 4일차 5일차 - 포렌식 개론 (기초 법률) - 파일시스템과 운영체제 - 개인정보보호 - 컴퓨터 구조와 디지털 저장 매체 - 데이터 베이스 - 응용 프로그램과 네트워크 이해 - 디지털 증거 분석 실습 - 포렌식 개론 (판례 동향) - 디지털 증거 분석 실습 이외 로스쿨 교육과정에서 디지털 포렌식 이라는 과목을 개설하여 기업법무 특성화 과목에 편입하려고 하고 있다. 이에 대한 구체적인 강의계획서는 제5장 3. 디지털 포렌식 교육방안 모 델 해당부분 참조. 50

59 제3장 한국 디지털 포렌식 교육 현황 고려대 전문대학원 디지털 포렌식 교육과정 교육 목표 및 비전 디지털 포렌식 전문가를 양성하기 위해 필요한 다양한 분야의 강좌를 개설함. 정보보호 관련 강좌, 법학 및 범죄학 강좌, 법과학 강좌, 디지털 포렌식 기술 강좌 그리고 디지털 포렌식 응용 강좌를 개설함. 우수 인력들이 최적화된 환경에서 교육을 제공함. 이를 통해 지능화되는 사이버 범죄에 대응할 법률, 수사, 디지털 분석 역량을 겸비한 디지털 포렌식 전문가 양성을 목표로 함 디지털 포렌식학과 교육 과정 본 과정에서 운영되는 교과목은 정보보호 기초과목, 디지털 포렌식 이론 및 응용 과목으로 분류하여, 본 교과목 이수 시 정보보호 전반, 디지털 포렌식을 위한 기반 기술, 그리고 디지 털 포렌식 실무에 대한 이해를 기반으로 디지털 포렌식 전문가 양성에 도움을 줄 수 있도록 구성함 분류 분야 교과목 과목 요약 전공 필수 정보보호기초 과목 법학 및 범죄학 법과학 정보보호이론 침해사고 분석 및 대응 사이버범죄학 디지털증거법 디지털법과학이론 모의법정 정보보호와 관련된 여러 가지 기초적인 이론을 다룬다. 비밀 키 암호, 공개키암호, 해쉬함수, 전자서명, 정보보호 프로토콜, 키 관리 등에 관련된 기본 이론을 습득 네트워크 취약점, 보안 프로토콜, 컴퓨터 해킹 등과 관련한 기 본적 기술적 이론을 학습하고, 이와 관련된 침해사고 발생 시 신속한 대응을 위한 관리방안을 연구 사이버범죄 관련 법제도 및 정책, 범죄원인론, 범죄예방정책, 국제협력 방안 등 사이버 공간 상에서 발생하는 문제에 대한 각국의 법제도와 사례 연구 디지털 증거의 압수수색 및 증거능력 등 법정절차의 제약 하 에서의 디지털 증거수집과 형소법, 형법 및 특별법 등 실체법 과 디지털 포렌식 업무와의 조화 등을 연구 디지털 포렌식을 통계적으로 해석하고 분석하는 방법에 대해 학습함. 통계학 이론을 디지털 포렌식에 응용하기 위해 필요 한 통계적 기법, 과학적 상식 등을 다룸 디지털기기 수집 및 분석에 관한 보고서 작성법을 학습함. 또 한 모의 법정 역할극을 통해 법정 증언하는 방법을 학습 51

60 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 분류 분야 교과목 과목 요약 전공 선택 디지털 포렌식기술 정보보호기초 과목 디지털 포렌식응용 디지털 포렌식기술 포렌식랩 운영 사이버법률 포렌식어카운팅 역공학 및 악성코드분석 디지털 증거의 법적 허용성 강화와 디지털 포렌식의 성공적인 수행 및 활성화를 위해서는 디지털 포렌식 기술뿐만 아니라 효과적인 디지털 포렌식 정책이 필수적으로 요구됨. 따라서 본 과목에서는 디지털 포렌식 분야의 기본적인 기술, 정책, 법 률 등을 개론 수준에서 학습 디지털 포렌식 수사관에 적합한지를 검사하는 인증 및 적격성 검사를 소개함. 또한 디지털 포렌식 랩을 운영과 관리하기 위 한 이론과 실무에 대해 학습. 인터넷 관련 법제도 및 정책, 프라이버시권, 지적재산권, 관할 권 등 사이버 공간에서 발생할 수 있는 각 국의 법 제도와 원 칙 등을 다룸 포렌식어카운팅의 필요성에 대해 이해함. 또한 국내외 포렌식 어카운팅 동향을 파악하고, 기업의 회계부정 조사방법론을 학습 소프트웨어 및 하드웨어의 구조를 깊이 있게 이해하여 디지털 증거의 생성, 삭제 및 수정 등의 과정을 파악할 수 있는 역공 학 기법 습득. 또한 해킹 사고의 근본적인 원인인 악의적인 코드를 분석할 수 있는 능력을 배양함. 군산대 디지털 포렌식 학사 과정 교육 목표 및 비전37) 과거 산업사회에서의 대학교육은 다양한 분야로 세분화되고 전문화된 영역으로 구분되어 왔으 나, 21세기 디지털 사회에서는 학문영역간의 벽이 허물어지고 융합하는 현상이 일어나고 있다. 서로 다른 두 영역이 융합하는 현상은 비단 학문영역에서만 일어나는 현상이 아니며, 산업영 역에서도 이미 다양한 융합현상이 진행되고 있습니다. 따라서 오늘날 사회가 요구하는 인재는 통합적 능력을 갖춘 융복합형 인재이다. 본 교육의 목적은 법학과와 컴퓨터공학과가 연합하여 단순한 물리적 결합을 뛰어 넘어 학문 간 화학적 융합을 통해 디지털 포렌식 교육을 실시함으로써, 오늘날 사회가 요구하는 통합적 능력을 갖춘 인재를 양성 하는데 목적이 있다. 37) 국립군산대학교, 디지털 포렌식 전공 교육목표, 국립군산대학교, (2012) 52

61 제3장 한국 디지털 포렌식 교육 현황 디지털 포렌식 교육 특성화를 위한 전략 군산대학교는 현장 실무인력을 공급하는 역할을 수행할 수 있도록 특성화 방향을 설정하고 있으며, 특성화 분야로 6개 분야(기계/자동차/조선, IT융합, 생물/바이오, 부품소재/환경/에너 지, 해양/문화/관광, 국제비지니스)를 선정하고 있다. 디지털 포렌식은 군산대학교 특성화 분야 중 IT(융합)분야 에 해당되며, 본 전공이 목표로 하는 통합적 능력을 갖춘 실무형 인재 양성 은 본 대학이 추구하는 특성화 전략과 일치한다. 본 전공은 군산대학교 교육역량강화를 위하여 디지털 포렌식 특성화를 위한 다음과 같은 사업 을 추진하고 있다. 53

62 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 100% 포렌식 자격증 취득을 통한 100% 취업 법무부에서는 포렌식 국가 자격증 제도를 시행할 예정이며, 이외에도 국제공인 자격증이 미 국에서 시행되고 있는바, 실무교육을 실시하여 전공자 모두 포렌식 자격증을 취득하게 하고자 합니다. 포렌식 자격증을 취득할 경우 100% 취업이 가능하다고 판단하고 있다. 산 관 학 협력체계 구축 관공서 및 민간기업과 맞춤형 고용계약을 체결하거나 기업의 보안담당자 위탁교육을 실시하여 특성화를 위한 토대를 마련하고 있다. 디지털 포렌식학과 교육 과정 38) 학년 학기 교과목명 개요 디지털 포렌식 개론 디지털 포렌식 교육과정을 배우기 위한 기초적인 지식을 습득하는 교과목으로써 법률적인 기본 지식과 공학에 관한 기초적인 내용을 배우는 과목이다. 컴퓨터구조와 저장매체 컴퓨터 하드웨어의 특성, 컴퓨터 명령어, 메모리 조직, 입출력방식, 중앙처리장치 실행 구조 와 원리를 이해하고 디지털 저장매체의 원리에 대하여 학습한다. 디지털범죄(1) 개별적인 디지털 범죄를 배우기 전에 범죄가 성립하기 위한 요건과 그에 대한 효과로써 형 벌의 내용을 습득하는 교과목이다. 포렌식절차법 디지털 저장매체에서 범죄와 관련된 디지털 증거를 수집하기 위한 수집절차와 수집한 증거 를 분석하기 위한 분석절차를 학습한다. 파일시스템과 운영체제 파일시스템에 대해 학습하고, 프로세스, 기억장치, 파일 시스템 및 입출력 장치를 관리하는 실시간 운영체제에 대한 개념을 이해하고 활용할 수 있는 능력을 배운다. 디지털범죄(2) 범죄수사에 있어서 디지털 포렌식의 대상인 디지털 범죄의 유형과 개별 구성요건에 대하여 배우는 교과목이다. 응용프로그램과 네트워크 38) 국립군산대학교, 디지털 포렌식 전공 교과과정, 국립군산대학교, (2012) 54

63 제3장 한국 디지털 포렌식 교육 현황 학년 학기 교과목명 개요 응용프로그램과 네트워크의 원리를 이해하고, 네트워크의 종류, 네트워크의 보안 및 네트워 크 공격유형에 대하여 학습한다. 포렌식 DB이해 본 교과과정에서는 기업의 IT 컴플라이언스 환경의 주요 솔루션, 데이터베이스 구축 사례 와 데이터베이스의 개념, 트랜젝션, 데이터모델, SQL과 SQL 인젝션 공격 등을 학습한다. 포렌식증거법 디지털 매체에서 수집되고, 분석되어진 디지털 증거가 법정에서 사실인정의 증거로써 사용 되기 위한 절차와 요건을 학습한다. 4 1 디지털증거분석 본 교과과정에서는 디지털 증거물의 안전한 보존방법, 하드드라이브 등 각종 디지털 저장매 체에 대한 이미징, 획득과정후 봉인 등 무결성 확보, 라이브 시스템에 대한 이미징 및 각종 Data 확보 관련 절차 및 분석 방법을 학습한다. 포렌식수사연습 4 2 디지털 범죄 혹은 기업의 영업비밀유출행위를 디지털 포렌식을 통해 수사ㆍ조사하는 전 과 정을 실제 사례 케이스에 적용하여 해결하는 교과목이다. 포렌식조사실무 개별적 디지털 포렌식 유형을 통하여 습득한 포렌식 기술을 실제 사건 케이스에 적용하여 해결하는 과정을 학습한다. 2. 수사기관 등 교육 현황 대검찰청에서 6개월 단위로 디지털 포렌식 전문가 양성과정을 운영하고 있다. 교육과정 소개 디지털 증거 압수 수색 및 분석 업무를 수행하기 위한 디지털 포렌식 전문가를 양성하는 과정 으로 컴퓨터 기반의 디지털 포렌식 이론 및 실무 교육과 현장 실습 위주로 편성 교육기간 약 6개월 (이론/실습 : 3개월, 실무훈련 : 3개월) 55

64 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 교육생 선발 기준 교육이수, 근무경력, 어학 및 컴퓨터 능력, 복무 태도 등 다면 평가 수행 <교육생 선발 기준표> 구 분 경력사항 평가 항목 비율 (100) 수사 경력 5 가점 부여 사항 인지수사경력을 참조하여 기간이 길수록 가점 부여 비고 신청서 특이사항 5 신청서 추천사항 자격사항 교육훈련 공식 추천 10 일선청 공식 추천자 가점 부여 공문 전문가 추천 5 IT 전문 자격증 10 정보화 관련 자격증 5 IT 관련 학과 10 포렌식 관련 단기 교육 이수 5 복무태도 근무 성실도 15 신청사항 자기소개서 충실도 15 기타사항 해당 기수별 특이사항 15 디지털 포렌식 전문가 과정을 이수한 직원 의 추천서가 첨부된 경우 가점 부여 CISA, CISSP, CIA, OCP, CCNA, MCSE, 정보처리기사, 정보처리산업기사 등 소지자 가점 부여 사무자동화기사, MOUS, 워드프로세스 등 오피스 관련 자격증 소지자 가점 부여 컴퓨터공학, 전산공학 등 IT 관련 학과 졸 업자 가점 부여 포렌식 관련 검찰 내/외부 단기 교육 수료 자 가점 부여 소속청의 평판 등을 간접적으로 조사하여 그 결과에 따라 가점 부여 신청서에 첨부된 자기소개서의 기재 내용 의 충실도에 따라 가점 부여 외국어 능통자 우대 당해 년도 교육 수요 해당 여부 추천서 신청서 증빙서류 신청서 증빙서류 신청서 증빙서류 신청서 타과협조 신청서 증빙서류 기타 56

65 제3장 한국 디지털 포렌식 교육 현황 교육 내용 단계 기간 과정명 (12개) 교육 과목 (37개) 컴퓨터의 구조 (1일) 5일 컴퓨터/윈도우 일반 저장장치 등 디지털 기기 일반 (2일) 윈도우 시스템의 구성 및 동작 원리 (2일) 윈도우 명령어 (1일) 1 5일 리눅스 일반 리눅스 시스템의 구성 및 동작 원리 (3일) 리눅스 명령어 (2일) 데이터베이스 개념 (2일) 5일 데이터베이스 일반 My SQL 설치 및 구성 (2일) SQL 명령어 (1일) 2 3 5일 5일 4일 4일 4 7일 디지털 포렌식 입문Ⅰ 디지털 포렌식 입문Ⅱ 파일시스템 Ⅰ 파일시스템 Ⅱ 디지털 포렌식도구 사용법 5 5일 윈도우 포렌식 디지털 포렌식 개론 (3일) 디지털증거법 이해 (1일) PC 분해 및 조립 (1일) 이미징 기법 (1일) CFT를 활용한 현장압수수색 (2일) 수의 체계와 데이터의 표현 (1일) 네트워크의 이해 (1일) 디스크 구조 (1일) FAT File System (3일) NTFS (3일) 파일시스템 실습 (1일) DEAS (1일) CFT Lab (1일) Encase (2일) FTK (2일) Open Source (1일) 윈도우 아티팩츠 Ⅰ(1일) 윈도우 아티팩츠 Ⅱ(1일) 레지스트리 포렌식 (2일) 57

66 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 메모리 포렌식 (1일) 6 5일 특수 포렌식 DB 포렌식 (2일) Mobile 포렌식 (1일) 분석회피대응 및 통화계좌분석 (1일) 사이버범죄 수사 (1일) 7 7일 사례 연습 분석보고서 작성 및 분석사례 소개 (1일) 사례연습 및 논문작성 (6일) 8 60일 실무 훈련 압수수색, 증거분석 교육 평가 이론 교육 실무 훈련 구분 1차시험 2차시험 과제제출 실무수습 평가항목 배점 (300점) 비고 선수과목 (컴퓨터/윈도우, 리눅스, 데이터베이스 일반) 20 필기 디지털 포렌식 개론, 압수 수색 절차 및 방법, CFT 15 필기 증거법, 이미징 기법, 네트워크 일반, 수의 체계 15 필기 FAT, NTFS 20 필기 DEAS, CFT, EnCase, FTK, 윈도우 포렌식 20 필기 특수 포렌식 (DB, 모바일, 네트워크, 암호, 통화계좌 등) 분석보고서 (예제이미지 2개에 대한 분석보고서 제출) 논문 (포렌식 관련 논문 제출 및 PT, A4지 10장 내외) 10 필기 50 실기 50 논문 실무수습일지 50 실무평가 실무수습태도 50 실무평가 교육 수료 후 관리 - 수료증 수여 - 디지털 포렌식 전문 수사관 데이터베이스 등재 - 디지털 포렌식 관련 업무 결원 발생 시, 우선 선발 기회 부여 58

67 제3장 한국 디지털 포렌식 교육 현황 제2절 설문조사 및 문제제기 1. 설문조사 실시 및 결과 아래 설문조사는 2012년 8월 6일부터 10월 5일까지 피조사자 12명과 2012년 9월 17일부터 26일까지 검찰조사관 50명, 경찰관 87명을 상대로 한 조사이다 39). 설문조사 결과 수사관들의 전공이 주로 IT계열에 집중 약 50%가량되어 법률지식이 상대적으로 부족하였고, 법학 출신 또한 21퍼가량 다소 높은 점유율을 나타내었지만 정보통신기술분야에 대한 취약점을 드러내고 있다. 수사관들은 사이버수사가 중요성을 널리 인식하고 있었으며 약 80.9퍼센트가 사건해결에 결 39) 설문조사는 군산대 관병선 교수, 권양섭 교수, 노명선 교수가 실시하였다. 59

68 국제기준에 적합한 디지털 포렌식 기술교육의 표준모델 개발 정적인 도움을 받았다고 답변하고 있다. 또한 영장에 의한 강제수집 방법에 의하여 디지털 증거에서 범죄와 관련된 비율이 매우 높은 것으로 보아(82%) 사실상 자발적 수사 협조만이 아닌 강제적인 수사 처분이 필요한 것으로 지 적되고 있다. 다만 피조사자 전원이 컴퓨터 압수수색에 의한 강제 수사방법에 대하여 개인의 프라이버시에 대한 중대한 침해가 될 수 있다고 답변하고 있다. 2. 문제제기 디지털 포렌식 학문에 대한 중요성과 민간기업과 공공기관의 수요는 급격히 늘어나는 반면 60