디지털포렌식 시장 추산 및 예측에 관한 연구

백현정 성균관대학교 일반대학원 2023 국내석사

ICT 기술의 발전과 비례하여 가속되는 디지털 전환의 시대인만큼 온라인과 오프라인의 경계가 사라지고 있다. 사이버 공간에서의 더 나은 삶을 위해 다양한 디바이스를 활용한 디지털포렌식에 대한 수요가 발생하고 있다. 시장 논리에 따라 공급도 늘어나고 있고, 디지털포렌식 시장 꾸준히 성장에 있다. 시장 발전 추세를 증가시키기 위해서는 철저한 실태조사와 규모 추산 및 예측, 그리고 이를 기반으로 한 효과적인 전략 수립이 필요하다. 따라서 본 논문에서는 디지털포렌식 시장 실태조사를 기반으로 한 추산 및 예측에 대한 방법론을 제시하고, 디지털포렌식 산업의 발전 방안을 제시하였다. 먼저, 제 2장에서는 시장 규모 추산 및 예측과 관련된 이론을 요약 제시하고, 제 3장에서는 기업정보시스템과 전문가 인터뷰를 활용한 실태조사와 시장추산, 시장 예측을 회귀분석과 곰페르츠 성장 모형을 활용하여 진행하였다. 디지털포렌식 기업 대상의 실태조사를 통해 국내 디지털포렌식 시장의 범위와 규모를 측정할 수 있었으며, 추산 및 예측 작업을 통해 디지털포렌식 시장은 발전 단계 중 기대의 발생(On the Rise) 단계임을 확인하였다. 제 4장에서는 디지털포렌식 산업 발전을 위한 육성 및 체계 확립에 대해 디지털포렌식 시장 추산 모델의 정교화, 법적 근거 마련, 산업 분류체계 개선, 해외 디지털포렌식 시장과의 비교·분석의 4가지 방안을 제시하였다. 지금까지의 연구와는 다르게 처음으로 국내 디지털포렌식 시장에 집중하여 측정을 시도하고, 다양한 방법론을 적용해 결과값을 도출했다는 점에서 이 연구는 의미가 있으며, 이를 통해 디지털포렌식 산업 발전에 기여하기를 바란다. 그러나 디지털포렌식의 개념이 확장되고 있어 어디까지를 디지털포렌식의 영역으로 간주하고 시장을 측정할 지에 대해 애매한 점이 있다. 또한, 일정한 조건을 두고 대상 기업을 선정하였기에 누락이 되거나 과대 포장된 경우가 있을 수 있으며, 공시 데이터 외의 현업에서의 상황이 충분히 반영되지 않았을 수 있다. 그리고, 해외와의 비교가 부족하다는 한계를 가진다. 디지털포렌식의 수요가 계속해서 증가하는 만큼 산업의 발전 속도에 맞춰 시장 활성화 전략을 세워 성장을 더욱 촉진시켜야 한다. 이 연구를 기반으로 디지털포렌식 산업의 실태조사 및 예측에 더욱 관심을 가져야할 것이다. 향후 해외 상황이 반영된 글로벌 디지털포렌식 시장과 규모에 따른 고용유발계수를 도출하는 등의 연구가 계속되기를 기대한다.

IOT기기의 포렌식 방법에 관한 연구 : 사례분석을 중심으로

정경모 고려대학교 정보보호대학원 2018 국내석사

지금까지 대부분의 디지털 포렌식은 정형화된 디지털기기 즉, 컴퓨터, 휴대폰, 등 분석기법들이 기 연구되었거나, 새로운 기법을 연구·개발하여 적용 하여 왔다. 하지만 최근 들어 IoT기기, 임베디드 기기, 기타 저장장치를 사용하는 기기등 분석기법이 개발되지 않고, 정의되지 않은 디바이스들이 수시로 증거분석 의뢰가 들어오고 있다. 분석기법을 보유하고 있지 않은 디지털기기들은 시급을 다투는 사건의 경우 디지털 포렌식의 ’제로데이’라 할 수 있을 것이다. 기법이 개발되지 않는 한 디지털증거는 영원히 디지털기기 내에서 잠들어 있을 것이다. IoT 기기가 소형화, 고도화, 지능화 되면서 임베디드 기술을 활용한 디바이스들이 빠르게 발전하고 있고, 수요가 급증할 것으로 예상 된다. IoT기기, 임베디드 디바이스들이 일상생활과 밀접하게 운영되고, 이러한 디지털기기들은 사용자의 정보를 저장, 전송 되는 형태로 운영되어 질 것이다. 산업현장, 교통, 의료등 실생활에서 많이 사용되어지는 임베디드 기기들이 사건과 연관되어 증거분석의뢰가 더욱더 증가할 것으로 판단된다. 본 논문은 정형화된 디지털 포렌식 기법이, IoT기기 증거분석에 적합하지 않은 문제점을 제시하고, 이를 해결 할 수 있는 방안을, 실제 사건의 분석 사례를 통하여 IoT분석기법 모델 및 분석기법을 제시 하고자 한다.

디지털 포렌식 수사관의 법정증언과 분석결과의 신뢰성 확보 방안 연구

천영준 서울대학교 대학원 2017 국내석사

우리 대법원은 1954년 제정된 형사소송법 제313조의 전문법칙 적용으로 디지털 증거인 전자 문서의 증거능력에 대하여 그 작성자 또는 진술자의 진술에 의하여 그 성립의 진정함이 증명된 때에 한하여 이를 증거로 사용할 수 있다고 판시하였다. 그러나 2016. 5. 29. 형사소송법 제313조가 55년 만에 개정·시행됨으로써 디지털 증거에 대한 피고인 등 작성자의 진정 성립 부인에도 불구하고 “과학적 분석결과에 기초한 디지털 포렌식 자료나 감정 등 객관적 방법으로 성립의 진정함이 증명”되는 때에는 증거로 사용할 수 있게 되었다. 개정 형사소송법이 시행됨에 따라 디지털 증거의 성립의 진정을 증명하기 위한 디지털 포렌식 수사관의 역할이 그 어느 때보다 중요하다고 할 것이다. 따라서 진정 성립 증명을 위한 객관적 방법에 대한 연구는 물론 디지털 포렌식 수사관의 디지털 증거 분석결과와 법정증언에 대한 신뢰성 확보를 위한 연구 또한 더욱 더 필요하게 되었다. 이에 따라 디지털 포렌식 수사관의 분석결과와 법정증언에 대한 신뢰성 문제 제기에 대한 국내외 판례와 신뢰성 확보를 위한 방안으로써 디지털 포렌식 수사관에 대한 국내외 수사기관과 대학 등의 교육과정과 교육과정에 대한 인정제도 그리고 디지털 포렌식 수사관에 대한 인증제도를 살펴보고, 국내 수사기관과 연구소 등에 적용 가능한 디지털 포렌식 교육과정 및 인정․인증제도의 도입을 제안하고자 한다.

AHP를 활용한 디지털포렌식 전문가 역량의 우선순위에 대한 연구 : 지식, 기술, 태도를 중심으로

이승용 연세대학교 정보대학원 2016 국내석사

본 연구는 디지털포렌식 전문가 역량의 우선순위 선정을 통해 현행 디지털포렌식 전문가 교육과정 및 자격제도에서 목표로 하는 전문가 역량과 실제 현장에서 필요로 하는 전문가 역량의 차이를 제시함으로써 향후 관련 제도 개선에 도움이 될 수 있는 자료를 제공하는 것이다. 본 연구에 사용된 디지털포렌식 전문가의 역량의 세부항목은 “경찰청 사이버범죄 대응능력 향상을 위한 교육훈련 체계 개발”(박노섭 외, 2015)에서 발췌하고 디지털포렌식 전문가 자격시험 과목 등을 참고하여 재구성하였다. AHP 설문은 디지털포렌식 경력과 교육 그리고 자격을 보유한 20명에 대해 실시하였으며 회수된 19부 중에 일관성 비율이 떨어지는 3부를 제외한 16부를 AHP로 분석하였다. AHP 설문에서 디지털포렌식 전문가에게 필요한 역량을 지식, 기술, 태도로 구성된 1계층과 “디지털 증거 관련 법률/규정/판례”등 총 20개 항목의 2계층으로 구분하여 우선순위를 비교하였다. AHP 분석 결과 1계층에서 디지털포렌식 전문가에게 가장 중요한 항목은 기술이었고 그 다음이 지식과 태도 순이었으나 그 차이는 그리 크지 않았다. 2계층 20개 항목 중에서 가장 중요한 항목은 “디지털포렌식 장비/도구 프로그램 활용 기술”이었고 그 다음은 “디지털장비에서 저장매체 데이터 추출 및 이미징 기술”이었다. 그리고 3위부터는 “판단력”, “도덕성”, “소통능력”, “집중력” 등 태도와 관련된 항목들 순이었다. 그리고 가장 중요하지 않은 항목은 “사건관련 실체법”으로 나타났다. 선행연구에서 디지털포렌식 전문가에 대한 교육과정은 대부분 법과 IT지식 및 디지털포렌식 분석도구 사용법에 집중되어 있었고 자격제도도 디지털포렌식 전문도구 사용능력을 주로 평가하고 있었다. 하지만 본 연구에서 중요하게 나타난 “태도” 관련 항목은 상대적으로 부족한 것으로 나타났다. 그 활용이 날로 광범위해지고 급격한 기술의 발달과 법제도 개선에 따라 항상 새로운 난관에 봉착하고 있는 디지털포렌식 분야에서 전문가의 역할이 더욱 중요해 지고 있다. 향후 디지털포렌식 전문가 교육과정과 자격제도 설계에 있어서 본 연구결과가 도움이 되길 기대한다. This study prioritizes capabilities of digital forensics experts and suggests differences between aimed capabilities set in training courses or qualification systems and actual capabilities required on the scene. It aims to provide policy implications in order to revamp the related systems. Specific items adopted in this study were reconstructed based on "Development of training systems for the improvement of cybercrime countermeasures in Korea National Police Agency"(Park No-Seob, etc. 2015) and qualification tests for digital forensics experts. AHP survey questionnaires were distributed to 20 people who had proper work experience, training, and qualifications. Among them, 19 questionnaires returned to the researcher. Finally, 16 questionnaires were analyzed through AHP after excluding 3 questionnaires because of inconsistency. The survey distinguished first-tier questions which consisted of knowledge, technology, and attitude for digital forensics experts from second-tier ones which have 20 items of "law/regulation/precedent related to digital evidence". Priorities from the two sets of questions were compared. AHP analyses showed that the most required capability was technology, followed by knowledge and, subsequently, attitude but no significant difference was found. Among 20 items in the second-tier, the most important capability was "digital forensics equipment/tool program utilization skill" and it was followed by "data extraction and imaging skill from storage devices". Attitude such as "judgement", "morality", "communication ability", "concentration" were subsequently followed. The least crucial one was "substantial law related to actual cases". Previous studies on training courses for digital forensics experts focused on law, IT knowledge, and usage of analysis tools. Also, studies on qualification systems mostly evaluated usability of specialized tools. However, "attitude"-related items which fared well in this study were not given proper attention. In particular, capabilities such as "judgement" which are hard to be developed via training and education need to be examined during employment process. Nowadays, digital forensics field is facing new obstacles due to its extensive use, rapid development of technologies and reformation of laws. Against this backdrop, the role of experts is becoming more crucial. It is hoped that this study aims to improve learning curriculum and qualification systems of the experts.

행정조사 디지털포렌식 절차 통제방안

송창수 성균관대학교 일반대학원 2022 국내석사

With the expansion of gigabyte internet network in a modern society and the development of cloud computing, handling digital data has become convenient regardless locations. Digital devices have been completely absorbed in our lives due to the introduction of smartphones in which has lead to the possession of a type of Palm Top-type portable computers for each individual and the growth of information and communication technology (ICT) such as wearable devices and so on. The role of digital forensics has become crucial as the target for administrative investigations has moved over to digital data from paper-based documentation. Administrative agencies using digital forensics include special judicial police agencies such as the Ministry of Culture, Sports and Tourism and the Ministry of Employment and Labor, and agencies without special judicial police systems such as the Fair Trade Commission and the National Election Commission. As Fair Trade Commission investigating any violation of Monopoly Regulation and Fair Trade Act conducts on-site investigation against corporations, it is likely to look into data storage devices like PC, notebook, servers, and so on. In comparison, Central Election Commission would likely investigate data storage sources like mobile phones(smartphones), and CCTV through the course of an administrative investigation against election crimes. Despite of the type of digital data being collected is distinct based on the characteristics of each agency the overall procedure of collecting digital data ought to obey the due process of the preparation of investigation, on-site response, collection, transfer, analysis, custody, administration, disposal, and to ensure to have the person under investigations observe. It consists of experts with expertise in digital forensics, uses reliable digital forensics tools, and is procedurally similar, such as selecting and collecting with Proportionality. Administrative investigation agencies are conducted as "voluntary administrative investigation", but strong administrative dispositions of administrative agencies, exclusive right to excuse, and penalties for investigative obstruction are accompanied by coercion through the superior status of investigative officials. Therefore, this paper intends to present a control measures on digital forensics procedures in administrative investigations. To this end, a theoretical review of the digital forensics in the administrative investigation was conducted, and the digital forensics procedures for each agency were checked to confirm that digital data was collected through similar procedures. Due to lacking the legal bases for collecting digital data by digital forensics, and processing comprehensive digital data collection, it is concerning that the person under investigations’ right to observe and the basic right may not be honored. Therefore, as the digital data collection conducted by an administrative investigating agency, in reality, is a compulsory investigation it is required to have strict Control Measures equivalent to those on the criminal procedure law. By establishing the regulation about digital forensics for administrative investigation agencies on framework act on administrative investigations in which stipulate the common entry of administrative investigations the principle of solidifying and duplication which regulates whose digital data must be collected and how it ought to be collected must be declared. The right to participate for the person under investigations and his or her legal attorney must be guaranteed, and the plan for administrative control on digital forensics in relation to each agency must be provided. Finally, we hope that it will help protect fundamental rights by improving the treatment of digital forensics personnel by administrative agencies and allowing survey subjects to receive digital forensics assistance through Professional Observer System. 현대사회의 기가비트 인터넷망 활성화와 클라우드 컴퓨팅의 발전으로 위치에 상관없이 디지털 자료의 관리가 용이해졌다. 스마트폰의 등장으로 개인마다 팜탑(Palm ToP)계열의 휴대용 컴퓨터를 소지하고 있고 웨어러블 등 ICT기술의 발달로 디지털 기기는 우리 생활에 깊게 관여하고 있다. 행정조사의 대상이 종이문서에서 디지털 자료로 변경되면서 디지털포렌식의 역할이 중요해지고 있다. 디지털포렌식을 활용하는 행정기관은 문화체육관광부, 고용노동부와 같이 특별사법경찰에 의한 기관과 공정거래위원회, 중앙선거관리위원회와 같이 특별사법경찰 제도가 없는 기관이 있다. 「독점규제 및 공정거래에 관한 법률」 위반행위 등을 조사하는 공정거래위원회의는 기업을 대상으로 현장조사를 수행하기에 PC, 노트북, 서버 등의 정보저장매체의 조사의 비중이 높다. 중앙선거관리위원회는 선거범죄를 대상으로 행정조사를 수행하고 있어 휴대전화, CCTV 등의 정보저장매체의 비중이 상대적으로 높다. 각 기관의 특성으로 인한 수집되는 디지털 자료의 종류에 차이는 존재하나 전체적인 디지털자료의 수집절차는 조사준비, 현장대응, 수집, 운반, 분석, 보관, 관리, 폐기의 과정을 걸치고 피조사자의 참관을 보장하며 적법절차를 준수한다. 디지털포렌식 전담인력의 전문성을 지닌 전문가로 구성되며, 신뢰할 수 있는 디지털 포렌식 도구를 사용하며, 과잉금지를 위한 선별수집을 원칙으로 하는 등 절차적으로 유사하다. 행정조사기관은 임의조사로 진행되지만 행정기관의 강력한 행정처분과 전속고발권, 조사방해의 벌칙 등에 의해 조사공무원의 우월적 지위를 통한 강제력이 동반된다. 따라서 본 논문에서는 행정조사에서 디지털포렌식 절차에 대한 통제방안을 제시하고자 한다. 이를 위해 행정조사에서의 디지털포렌식에 이론적 검토를 하고 기관별 디지털포렌식 절차를 확인하여 유사한 절차에 의해 디지털 자료의 수집이 이루어지는 것을 확인하였다. 디지털포렌식에 의한 디지털 자료 수집 등에 대한 법률적 근거가 부족하고, 포괄적인 디지털 자료의 수집이 진행되기 때문에 피조사자의 참여권과 기본권 침해가 우려된다. 따라서 사실상 강제조사가 이루어지는 행정조사기관의 디지털 자료 수집은 「형사소송법」에 의하여 엄격하게 진행되는 수사에 준하는 통제방안이 필요하며 행정조사기관의 디지털포렌식에 대한 법률을 행정조사의 공통사항을 규정한 「행정조사기본법」에 신설하여 디지털 자료의 수집대상 및 방법을 규정하여 출력·복제의 원칙에 대한 선언을 해야 한다. 피조사자와 변호인의 참여권을 보장해야하며, 이에 대한 기관별 디지털포렌식 행정규칙을 규정하는 통제방안을 마련해야한다. 마지막으로 행정조사기관의 디지털포렌식 전담인력의 처우개선과 전문입회인제도를 통한 피조사자가 디지털포렌식에 조력을 받을 수 있는 방안을 마련하여 기본권 보호에 도움이 되기를 바란다.

원격공동분석 모델이 디지털포렌식 생산성에 미치는 영향연구

최보윤 아주대학교 정보통신대학원 2009 국내석사

New trend called ubiquitous leads the recent business by standardization and integration. It should be the main issue how to guarantee the Integration and accountability on each business. The ubiquitous surroundings bring the change in the field of criminal investigation. The needs of digital forensics are increasing on every crime scene not just on computer crime. The court ask for more accurately analysed results. Investigators in the crime scene need real-time analysis for against the crime armed with new technology. It seems to be needs of Real-Time-Enterprise on business. Digital forensic system in present status depends on know-how of each investigator and is hard to expect professional analysis on every field. I set up a hypothesis "Co-working of professional investigators on each field will rise Performance and Integrity" and suggest "Online co-work analysis model." At the conclusion, it proved the statistical research that is performed by forensic specialists. 유비쿼터스로 대표되는 현대의 비즈니스는 표준화와 통합화로써 변화의 트렌드를 주도하고 있다. 현대 사회의 주요한 이슈는 개별 비즈니스에 대한 비즈니스 무결성(Integrity) 또는 책임추적성(Accountability) 유지방안이 될 것이며, 이미 정부는 “정보시스템의 효율적 도입 및 운영등에 관한 법률”을 공표하여 정보시스템감리를 위한 기반을 마련해 운영 중이다. 디지털세상으로의 변화는 범죄수사 분야에도 영향을 미치고 있다. 디지털포렌식 수요는 컴퓨터범죄에 국한되지 않고 강력범죄, 경제범죄, 보안․외사범죄 등 모든 범죄수사 분야로 확대되고 있다. 최근 한국의 ○○도 지역 경찰관서에서 압수한 12만건의 디지털매체 중 디지털증거분석 의뢰한 것은 고작 0.5%에 해당하는 640 여건뿐이었다. 먼 미래가 아닌 현 시점에도 약 200배 가량의 분석수요가 더 잠재되어 있다는 점은 놀라운 사실이다. 포렌식 결과에 대한 질적요구 수준도 높아지고 있다. 법원은 더 높은 신뢰수준의 분석결과를 요구하고 있다. 범죄자들은 새로운 범죄수법과 증거인멸 방법을 연구하고 있어 수사현장 실무자들은 실시간의 분석결과를 요구하고 있다. 마치 실시간 기업경영(Real-Time-Enterprise)의 이슈와 맥락을 같이 하는 것이다. 하지만, 현행 한국경찰의 디지털포렌식 조직 구조하에서는 분석관 개인의 경험과 지식에 의존하고 있어 모든 분야의 전문성을 기대하기 곤란한 문제점이 있다. 아무리 우수한 분석관이라고 할지라도 모든 정보통신분야의 전문지식과 형사소송 법률체계 및 수사실무 경험을 고루 겸비할 것을 기대하기 곤란하기 때문이다. 전문성 부족은 분석결과의 오류와 직결되어 억울한 피의자가 발생하거나 중요한 증거를 유실하여 결국 실체적 진실을 밝히지 못하게 된다. 이렇듯 디지털포렌식 분야에는 수요의 급증, 실시간분석 필요성, 엄격한 법률적 신뢰수준 부담, 전문지식 공유부족 등과 같은 위기가 도래하였다. 이러한 디지털포렌식 분야의 위기를 해결하기 위해서 분야별 전문가들이 참여하는 “다자간 원격공동분석시스템”을 제안한다. 제안모델은 증거수집 및 증거분석 단계에서 해당분야 전문가가 원격제어 기능을 이용하여 협력 지원을 할 수 있는 방법이다. 피터 드러커는 “지식경영이란 조직구성원 개개인의 지식이나 노하우를 체계적으로 발굴하여 조직내 보편적인 것으로 공유함으로써, 조직 전체의 문제 해결능력과 기업가치를 비약적으로 향상시키는 경영방식” 이라고 하였다. 본 연구에서는 제안모델을 적용하였을 경우 디지털포렌식의 생산성과 무결성에 미치는 영향을 연구한 결과, 분야별 전문가들이 상호간 전문지식과 숙련된 경험을 공유하게 되면 디지털포렌식의 정확성, 객관성, 신속성 등 3대 생산성 향상에 영향을 주고, 이를 통해 표준절차 준수 기회도 늘게 되어 결국 무결성도 향상 될 수 있다는 가능성을 확인하였다.

감리점검항목을 적용한 웹 기반 디지털 포렌식 표준절차의 개선연구

엄기원 아주대학교 정보통신대학원 2010 국내석사

최근 정보통신기술의 발전과 인터넷 보급이 빠르게 확산 됨에 따라 우리가 사용하고 있는 인터넷 환경과 서비스도 다양한 발전을 거듭하고 있다. 인터넷은 사회 전반에 걸친 거의 모든 분야에 활용되고 있으며, 유비쿼터스 컴퓨팅, 초고속 인터넷 등으로 유•무선 네트워크로 연결되어있어 언제 어디서나 인터넷과 컴퓨터가 연결되는 편리한 세상이 도래하였다. 그러나 이러한 인터넷 환경의 긍정적인 영향에도 불구하고 이를 악용하는 사례 또한 점차 증가하고 있으며, 도박, 음란, 자살, 성 매매사이트에 이르기까지 불법•유해사이트에 대한 폐해가 속출하면서 심각한 사회적 문제로 대두되고 있다. 이와 같은 불법•유해사이트의 확산 방지 대책마련과 강력한 단속이 시급한 시점이다. 불법•유해사이트는 해마다 증가하며 다양해지고 있지만, 사이트 운영자와 프로그램 개발자 등 주범의 검거는 쉽지 않은 실정이다. 수사를 통해 사이트의 불법성이 발견되면 서버를 압수하기 전에 운영자 위치추적에 필요한 IP, 계좌, 회원정보 등 핵심정보를 빠르게 확보할 수 있어야 하지만, 실시간 분석에 있어서 전문인력의 부족과 체계적인 표준절차의 미흡에 따른 한계점으로 수사에 어려움이 있다. 그러나 현재 운영되고 있는 불법, 유해사이트를 분석해보면 대부분의 웹사이트가 유지보수성과 확장성을 고려하여 웹사이트 관리자들이 보기 쉽도록 공통의 표준양식을 따라 설계•개발되는 경향이 있다. 따라서 웹 기반 정보시스템에서 설계•구축 시 고려되어야 할 감리점검항목을 도출하여 디지털 포렌식 표준절차에 적용하여 본다면, 기존의 표준절차가 언급하지 못하였으나 감리점검항목에서 얻을 수 있는 차이점을 도출할 수 있을 것이라 생각된다. 본 연구에서는 이와 같은 웹 기반 사이버수사의 한계점을 해결하기 위하여 기존 웹사이트의 설계•구축에 필요한 감리점검항목을 디지털 포렌식 사이버수사에 활용하여 웹 기반 디지털 포렌식 표준절차 점검항목을 제안하고자 한다. 제안모델에서는 디지털 포렌식의 체계적인 표준절차를 확립하여 사이버수사의 신속성, 객관성, 정확성을 향상할 수 있을지 검증하였다. 연구결과, 제안모델을 사이버수사에 적용하였을 경우 발생할 수 있는 디지털 포렌식의 생산성에 미치는 영향을 분석한 결과, 디지털 포렌식 사이버수사의 신속성, 객관성, 정확성 등에 영향을 주고 생산성이 향상 될 수 있다는 가능성을 확인하였다.

삭제 후 복구된 디지털 파일의 증거능력 인정 요건에 관한 연구

김방글 서울대학교 대학원 2020 국내석사

세계에서 생성되는 정보의 약 90% 이상이 디지털 형태로 만들어지고 있다고 한다. 민사소송, 증거개시절차에서도 전자적 자료의 중요성이 커지고 있고, 수사 및 형사소송에서도 디지털 형태의 증거가 더욱 중요해 지고 있다. 그런데 디지털 증거는 기존의 물리적 증거와는 다른 특징들을 가지고 있어서 형사소송에서 디지털 증거에 대한 적법성, 압수‧수색과 증거 분석의 방법 및 증거능력 인정 요건 등의 중요성이 더욱 커지고 있다. 피압수자가 디지털 파일을 작성하여 정보저장매체에 저장한 후 실수로 이를 삭제해 버리거나 정보저장매체 용량의 부족 또는 디지털 파일 보관의 필요성이 없다는 이유로 디지털 파일을 삭제하는 경우가 존재한다. 또한 최근 안티포렌식을 목적으로 디지털 파일을 삭제하는 경우가 증가하고 있고, 이를 위해 디가우징 등 전문적인 방법까지 이용되고 있다. 디지털 포렌식은 이러한 디지털 증거를 수집, 복원, 분석, 보고서 작성 및 증거 보존하는 일련의 작업을 의미하는데, 기존의 디지털 포렌식은 정보저장매체의 비할당된 영역에서 삭제된 파일을 복구하는 것보다는 할당된 영역에 존재하는 파일을 수집하고 분석하는데 초점을 맞추고 있었다. 그런데 위와 같이 디지털 파일이 다양한 이유로 삭제되는 경우가 증가하고 있어 향후 비할당된 영역에서 삭제된 파일을 복구하는 것이 중요해질 것으로 보이는데, 삭제된 파일의 복구와 이에 대한 논의는 부족하였다. 사용자가 정보저장매체에서 저장되어 있던 디지털 파일을 삭제하고 나면, 사용자의 입장에서는 삭제 처리된 디지털 파일이 보이지 않아 완전히 사라진 것처럼 보인다. 그런데 정말 삭제 처리된 디지털 파일은 정보저장매체에서 영구 삭제, 완전히 사라진 것일까. 정답은 그렇지 않다. 삭제된 디지털 파일의 정보는 정보저장매체의 비할당된 영역에 저장되어 있는 경우가 많고, 복구가 가능하다. 물론, 안티포렌식 기술의 발달과 HDD 등 새로운 정보저장매체의 등장 등으로 디지털 파일의 복구가 어렵거나 불가능한 경우도 증가하고 있지만, 이로 인하여 수사기관이 삭제된 파일을 발견해 복구해 내는 것은 더 중요해지고 있고, 삭제된 디지털 파일의 복구 기법도 역설적으로 활발히 연구되어 발달하고 있다. 그렇다면 수사기관에서 삭제된 디지털 파일을 복구하여 그 복구된 디지털 파일을 형사소송에서 증거로 사용되는 경우, 증거능력을 어떻게 인정받을 것인지 여부가 문제된다. 기존 실무와 판례에서는 할당된 영역에 존재하는 파일을 압수하여 이를 증거로 사용하는 경우가 대부분이었기 때문에 증거능력에 대한 논의는 정보저장매체에 저장된 디지털 파일과의 동일성, 무결성을 입증하는데 집중되어 왔다. 또한, 디지털 증거의 대량성 특징으로 인하여 관련성이 중요시됨에 따라 ‘원칙적 선별 압수, 예외적 매체 압수’가 강조되었고, 개별 디지털 파일을 단위로 하여 범죄사실과 관련성이 있는 개별적 디지털 파일만을 선별하여 압수하면서 동일성, 무결성의 입증도 정보저장매체 전체에서 개별 디지털 파일로 확장되어 왔다. 디지털 파일이 삭제 후 복구된 경우에는, 복구 이후의 시점부터는 기존과 동일하게 압수된 복구 파일이 복구 시점 이후에 변경되지 않고 동일하다는 것에 대한 입증은 가능하다. 그런데 피압수자의 입장에서 삭제되었던 디지털 파일은 실제 정보저장매체의 비할당영역에 존재했던 것이지만 전문적인 디지털 복구 도구를 이용하지 않고는 접근할 수 없고, 삭제되기 전 디지털 파일을 존재하지 않으며, 삭제되기 전 디지털 파일의 해시값도 알 수 없기 때문에 삭제되기 전 디지털 파일을 원본으로 본다면 기존과 같이 단순히 해시값의 비교로 증거능력을 인정할 수 없다. 이에 삭제 후 복구된 디지털 파일의 증거능력의 인정 요건, 즉 무엇을 원본으로 볼 것인지, 원본과의 동일성, 무결성을 입증하는 방법 및 그 입증 정도 등이 문제된다. 디지털 증거가 무엇인지 살펴보면, 디지털 증거는 ‘디지털 형태로 저장되거나 전송되는 정보’를 의미하므로, 한컴오피스, Microsoft Word, Excel, Powerpoint 등 각종 소프트웨어 프로그램을 통해 보고 읽을 수 있는 개별 디지털 파일이 아니라 정보저장매체에 저장된 데이터, 정보 그 자체로 보아야 한다. 삭제 후 복구된 디지털 파일의 경우, 삭제되기 전이 아닌 삭제되고 난 이후, 압수 시점에서의 정보저장매체에 저장된 디지털 형태의 정보를 원본으로 보아야 한다. 또한, 증거능력의 인정 요건으로 원본과의 동일성, 무결성 및 신뢰성이 있다. 수사 실무적으로 디지털 증거 중 삭제 후 복구된 디지털 파일을 압수하는 방법으로 정보저장매체에서 삭제된 디지털 파일들을 복구한 후 선별하여 관련성이 있는 복구된 디지털 파일들만을 이미징하여 압수하는 방법(‘복구 후 선별 압수 방법’이라 한다)과 정보저장매체 자체를 이미징한 후 삭제된 디지털 파일들을 복구한 이후에 선별하여 압수하는 방법(‘전체 이미징 후 복구 및 선별 압수 방법’이라 한다)이 있다. 각각의 경우에 따라 해시값 비교의 대상을 무엇으로 볼 것인지, 재현가능의 입증 정도도 달라진다. 먼저 복구 후 선별 압수 방법에서는 삭제 후 복구된 디지털 파일들과 다른 파일들을 이미징하여 복사한 것이기 때문에 정보저장매체 전체가 아닌 복구된 디지털 파일들을 포함한 압수된 디지털 파일들과 그것을 이미지한 파일의 해시값을 비교하는 방법으로 동일성, 무결성을 증명할 수 밖에 없다. 이미징 이전의 단계, 즉 복구 과정이 문제된다면 재현가능성을 입증하기 위하여 저장저장매체나 그 정보저장매체 전체에 대한 이미지 파일이 필요한데, 정보저장매체나 그 정보저장매체 전체에 대한 이미지 파일 모두 없는 상황에서 복구가 제대로 이루어졌는지 여부를 증명하기 곤란한 상황이 발생한다. 따라서 재현가능성에 대한 입증의 정도를 완화하여 디지털 증거 분석 도구의 신뢰성, 디지털 포렌식 수사관의 전문성 등으로 이를 보완하는 것이 필요하다. 다음으로, 전체 이미징 후 복구 및 선별 압수 방법에서는 정보저장매체 자체를 이미징하였기 때문에 정보저장매체에 저장되어 있던 전체 정보를 원본으로 보고, 정보저장매체 전체의 해시값과 이미지 파일의 해시값을 비교한 후, 이미지 파일에서 삭제된 디지털 파일이 복구되었고, 그 복구된 파일의 사본이라는 것을 증명하여야 한다. 이 경우, 재현가능성을 입증하기 위하여 원본 정보저장매체나 이미지 파일이 필요하다. 보통 원본 정보저장매체는 피압수자에게 반환하고 이미지 파일은 복구 및 선별 압수 후 삭제하나 이러한 경우 재현가능성 입증을 위해 이미지 파일을 보관하는 것이 필요하고, 이미지 파일의 보관 방법 등을 논의할 필요성이 있다. 현재까지 삭제 후 복구된 파일의 증거능력 인정 요건에 대해 명시적으로 판결한 판례가 존재하지 않는다. 판례는 디지털 증거의 증거능력 인정 요건에 대하여 종합판단설의 입장을 취하고 있으므로, 비할당영역에 압수할 데이터가 존재하였고, 전문성을 갖춘 디지털포렌식 수사관이 신뢰할 수 있는 복구 도구를 이용하여 복구하였으며, 이를 재현할 수 있음을 종합적으로 증명함으로써 동일성, 무결성 및 신뢰성을 인정받을 수 있다고 생각한다. 구체적으로, 디지털 증거분석 도구의 신뢰성, 디지털 포렌식 수사관의 법정 증언 및 재현가능성 검증, 저장매체에 저장되어 있는 디지털 정보 자체의 확인, 부수데이터의 분석, 제3의 전문기관 등에 의한 감정 등 다양한 방법으로 이를 효과적으로 입증할 수 있다. 앞으로도 정보저장매체 원본이 존재하지 않거나 HDD 등 저장매체의 특성상 해시값이 변경되는 상황이 존재할 것이다. 과학기술은 계속적으로 발전하면서 변화하고 있고, 디지털 포렌식 및 이에 대응하는 안티포렌식도 계속적으로 발전하면서 변화하고 있다. 따라서 디지털 증거의 특징을 고려하여 다양한 방법으로 증거능력의 인정 요건인 진정성, 무결성 및 신뢰성을 입증할 수 있도록 해야 하는 방안이 계속적으로 연구되어야 할 것이라고 생각한다.

안티포렌식 환경에 대한 대응과 디지털 포렌식 준비도에 관한 연구

문병갑 서울대학교 대학원 2022 국내석사

현대 사회에 있어서 각종 디지털기기가 출시되고 그 사용이 보편화됨에 따라 디지털기기의 저장 용량이 대용량화가 되어가고 있으며 종래 일반문서 형태로 보관하던 종이문서가 사라지고 디지털 형태로 보관하는 디지털문서화가 가속화되고 있다. 이와 같은 디지털문서화로 인해 개인 뿐 아니라 특히 기업의 중요자료 대부분 이 디지털 문서형태로 저장되어 관리되고 있다. 이러한 변화는 범죄수사에서 더 두드러지는데 특히 회계부정이나 영업비밀유출과 같은 기업범죄의 경우 대부분의 증거가 디지털 증거 형태로 변화하게 되었다. 이러한 이유로 디지털 증거를 수색하고 수집하는 일은 범죄수사에 있어 더욱 중요한 위치를 점하게 되었고, 현재 디지털포렌식 기술 연구를 통해 디지털 증거를 수집하고자 하는 노력과 안티포렌식 기술을 통해 이를 저해하고자 하는 노력이 공존하면서 서로 경쟁하게 되었다. 안티포렌식에 활용되고 있는 기술은 디지털기기에 저장된 데이터를 고의로 은닉 또는 삭제하거나 기업의 자료유출방지나 정보보호를 위해 고안된 DRM 기술 등 암호화에 이르기까지 다양하다. 또한 비용 등의 이유로 많은 기업들이 사용자 시스템 로그 기록이나 파일변경 이력 등을 추적하기 위한 시스템 환경을 구축하고 있지 않고, 스토리지 부족 또는 개인정보 보호 정책 등의 이유로 업무용 이메일이나 사내 메신저의 보관기간을 짧게 하는 등 디지털 증거 수집을 지연․방해하는 다양한 안티포렌식 환경에 직면한지 이미 오래다. 이러한 문제를 해소하고자 미국에서는 2000년초반부터 민사소송에서 e-discovery(전자증거개시제도)를 도입해 소송개시전 전자증거를 제출하게 함으로써 소송의 신속성과 효율성을 기하고, 증거 제출명령에 불이행하는 상대방에게 소송에서 제재를 가하거나 패소판결로 이어지는 불이익을 주고 있다. 영국에서는 2009년경부터 형사소송에서 디지털증거를 수집할 수 있는 환경을 사전에 구축하도록 하는 디지털 포렌식 준비도(Digital Forensic Readiness)를 제도화하여 디지털문서관리시스템과 데이터 인덱싱 소프트웨어 등 포렌식 장비를 구축하여 활용하고 있다. 그러나 국내의 관련 법제는 이러한 안티포렌식 환경에 대응하기에는 다소 어려움이 있다. 특히 압수의 방법을 최종적으로 선별 압수로 제한하는 획일화된 규율은 안티포렌식 환경을 극복하면서 디지털 증거를 압수해야 하는 동태적인(Dynamic) 압수·수색 현실을 규율하는 데 한계가 있다. 디지털증거 압수와 관련된 우리 법제는 ‘개인 정보 보호’ 및 ‘방어권 보호’의 측면에서 관계자의 참여하에 필요최소한의 범위에서 수행하도록 법제화되어왔고, 이는 ‘피고인, 참고인 등의 정보 보호 및 인권 보호’ 등을 확보하는 데는 기여하였지만 필연적으로 압수·수색시 정보 접근의 장벽, 포렌식 기술 활용 및 자율성에 대한 제한을 부여하게 되어 특히 안티포렌식 환경에서는 국내 디지털 증거 수집의 한계점을 드려내게 되었다. 본고에서는 먼저 동태적인 압수·수색 현실에서 디지털 증거를 수집함에 있어 당면한 기술적 측면에서의 제약 및 한계에 대하여 살펴보겠다. 특히 안티 포렌식 유형과 한계에 대하여 살펴보고, 다음으로 국내의 법제를 고찰해보고 안티포렌식 환경에 대응하기에 부적합한 다양한 요인들을 살펴보겠다. 마지막으로 미국의 민사소송에서 시행되는 e-discovery 제도와 영국의 형사소송에서 시행되는 포렌식 준비도의 개념과 사례를 연구하고 이 두 제도의 비교를 통해 국내 환경에 적합한 포렌식 준비도의 가이드라인을 제안하고 이를 제도화하기 위한 방안을 모색하고자 한다. ‘실체적 진실발견’과 ‘피고인의 인권보장’이라는 두 이념은 상호 양보할 수 없는 원칙이다. 그러므로 상호 대등한 가운데 조화롭게 실현되어야 한다. 이 논문을 계기로, 안티포렌식 환경을 극복하고 피고인의 인권을 보장함과 동시에 실체적 진실발견에 한 걸음 더 다가갈 수 있기를 희망한다. In modern society, as various digital devices are released and their use is common, the storage capacity of digital devices is increasing and digital documentation is accelerating, in which paper documents stored in the conventional form of general documents disappear. Due to such digital documentation, most important data of not only individuals but especially companies are stored and managed in the form of digital documents. This change is more pronounced in criminal investigations. In particular, in the case of corporate crimes such as accounting fraud or trade secret leakage, most of the evidence has been converted into digital evidence. For this reason, the search and collection of digital evidence has taken a more important position in criminal investigations. Currently, efforts to collect digital evidence through digital forensic technology research and efforts to inhibit it through anti-forensic technology coexist and compete with each other. In order to solve this problem, in the United States, since the early 2000s, e-discovery (electronic disclosure system) was introduced in civil litigation, requiring electronic evidence to be submitted before the commencement of litigation, thereby increasing the speed and efficiency of litigation, and sanctioning the counter party who fails to comply with the order to submit evidence in litigation. or give a disadvantage that leads to a losing judgment. In the UK, since around 2009, Digital Forensic Readiness, which allows an environment to collect digital evidence in criminal litigation to be established in advance, has been institutionalized and forensic equipment such as digital document management system and data indexing software has been established and utilized. However, the relevant legal system in Korea has some difficulties in responding to such an anti-forensic environment. In particular, the uniform discipline that ultimately restricts the method of seizure to selective seizure has limitations in regulating the dynamic reality of seizure and search that requires the seizure of digital evidence while overcoming the anti-forensic environment. In terms of 'protection of personal information' and 'protection of right to defense', our legal system related to the seizure of digital evidence has been enacted to be carried out with the participation of relevant parties to the minimum necessary extent, which contributes to securing such as 'protection of information and human rights of defendants, witnesses, etc'. However, it inevitably imposes barriers to information access and restrictions on the use of forensic technology and autonomy in case of seizure and search, especially in the anti-forensic environment, which exposes the limitations of domestic digital evidence collection. In this paper, we will first look into the restrictions and limitations in the technical aspects we face in collecting digital evidence in the dynamic reality of seizure and search. In particular, we will look at the types of anti-forensics and their limitations. Next, we will probe the domestic legislation and various factors that are inappropriate to respond to the anti-forensic environment. Lastly, the concept and case of both e-discovery system enforced in civil litigation in the United States and forensic readiness is implemented in British criminal litigation are studied. By comparing the two systems, I will propose a guideline for forensic readiness suitable for the domestic environment, and seek a way for companies to voluntarily participate in order to institutionalize it. The two ideologies of ‘discovery of the substantive truth’ and ‘guaranteeing the human rights of the accused’ are mutually incompatible principles. Therefore, it must be realized in harmony and in mutual equality. With this thesis as an opportunity, I hope to overcome the anti-forensic environment, guarantee the human rights of the accused, and take one step closer to discovering the substantive truth.

회계부정조사의 디지털포렌식 절차 개선에 관한 연구

구희진 성균관대학교 일반대학원 2021 국내박사

Article 22 of 「the Act on External Audit of Stock Companies」 which is amended on 2017 stipulates that if an auditor discovers a violation of the company's accounting standards, he/she shall notify the auditors or audit committee. Upon receipt of such notification, the auditors or audit Committee shall appoint an "external expert" to investigate the violation, and the company shall pay for the investigation. The fraud investigations are aimed at detecting accounting fraud. Accounting fraud detection can increase accounting transparency. An accounting fraud investigation is a substitute for administrative work. It is generally recognized to use digital forensics during the investigation process. However, the procedure is not clearly prescriptive. Therefore, digital forensics investigations are being conducted based on the judgment of each individual expert. 「The Act on External Audit of Stock Companies」 stipulates accounting fraud investigation obligations and describes the role and duties of the company, the role and duties of the auditors or audit committee, and the role of external experts, respectively. Furthermore, digital forensics procedures feature a linked architecture called 'chain of custody' that requires clarification and tracking of the performers of each step of the procedure. However, the practice of accounting fraud investigation that has been conducted since the introduction of the legal system does not clarify the performers at each stage, but an external expert performs the entire digital forensics procedure. These current procedures can cause numbers of problems both side of subjects and investigators. Therefore, procedures should be clarified and only the steps with role and authority should be carried out. Especially, although 「the Act on External Audit of Stock Companies」 limits the scope of data or information that can be submitted to "essential" data or information for investigation, it is a representative misunderstanding that the entire data in the information storage media is collected. Furthermore, the results of an accounting fraud investigation, a company may be subject to multiple penal sanctions simultaneously. Therefore, the Constitutional Court at the Korea and EU interprets that the principle of due process should not be limited to criminal procedures, but should be applied to the overall state action. Therefore, the principle of due process must also be observed in accounting fraud investigations on behalf of administrative affairs. Therefore, the assistance of digital forensics experts is needed to guarantee the custodian's right to defense in the digital forensics process, which is a professional area, and efforts should be made to minimize damage to the custodian in the process of technical investigation. In this paper discusses the role and scope of authority of accounting fraud investigations under 「The Act on External Audit of Stock Companies」. Then, examined current procedural problems and conducted a constitutional review of accounting fraud investigations. Then, drew implications by Comparative law review the contents of the United States, Germany and the European Convention on Human Rights. It also proposed legislation of digital forensics guidelines for accounting fraud investigations, digital forensics procedures for accounting fraud investigations, and expansion of digital forensics expert’s assistance. Moreover, hope that this discussion will contribute to the study of digital forensics procedures and the improvement of practical procedures that are ultimately conducted in the private sector. 2017년 「주식회사 등의 외부감사에 관한 법률(이하 ‘외부감사법’)」은 전부개정을 통해 감사인의 독립성과 책임을 강화하고 회계처리기준 위반에 대한 행정조치를 정비하는 등 개혁적 변화를 이루었다. 개정 「외부감사법」 제22조는 외부감사인이 회사의 회계처리기준 위반 등 부정행위를 발견하면 이를 내부감사기구인 감사 또는 감사위원회에 통보하여야 하고, 이를 통보 받은 감사 또는 감사위원회는 회사의 비용으로 ‘외부전문가’를 선임하여 위반사실을 조사해야 한다는 조사의무를 규정하고 있다. 이러한 회계부정조사는 회계부정 적발을 통한 회계투명성 제고를 목적으로 하는 공업무 대행 성격을 띠며 조사 과정에서 디지털포렌식 기법을 활용하는 것이 일반적으로 인정되고 있으나 그 절차가 명확히 규범화 되어 있지 않아 각 개별 전문가의 판단에 근거하여 디지털포렌식 조사가 수행되고 있는 실정이다. 「외부감사법」은 회계부정조사 제도를 규정하며 그 내용 상 회사의 역할 및 의무, 내부감사기구인 감사 또는 감사위원회의 역할 및 의무, 외부전문가의 역할을 각각 분류하여 서술하고 있고 디지털포렌식 절차는 각 절차 단계의 수행자를 명확히 하고 추적 가능하게 해야 한다는 연계보관성을 특징으로 한다. 그러나 제도의 도입 이후 현재까지 수행되어 온 회계부정조사에서는 각 단계 별 수행자를 명확히 하는 것이 아닌 외부전문가가 디지털포렌식 절차 전(全)단계를 수행하는 절차가 자리잡고 있다. 이러한 현행 절차는 조사대상자 측면과 조사인 측면 모두에서 여러 문제점을 야기할 수 있어 절차를 명확히 하고 주어진 역할∙권한 외 단계는 수행하지 않도록 방향을 제시할 필요가 있다. 특히 「외부감사법」이 제출 요구할 수 있는 자료 또는 정보를 ‘조사에 필요한’ 자료 또는 정보로 범위를 제한하고 있음에도 불구하고, 완전한 감사증거수집을 이유로 정보저장매체 내 전체 데이터를 수집하고 있는 점은 대표적인 해석의 오류라 할 수 있다. 또한 회계부정조사의 결과 회사는 여러 처벌적 제재를 병과 받을 수 있는데, 국내외 헌법재판소는 적법절차의 원칙이 형사 절차에 국한되는 개념이 아닌 국가 작용 전반에 적용되어야 하는 개념이라고 해석하고 있는 바, 행정업무를 대행하는 회계부정조사에서도 적법절차의 원칙이 준수되어야 한다. 특히, 전문영역인 디지털포렌식 과정에서 피조사인의 방어권 보장을 위하여 디지털포렌식 전문가의 조력이 필요하며, 기술의 활용 과정에서 피조사인의 피해를 최소화 할 수 있도록 노력해야 한다. 이에 본 논문에서는 「외부감사법」에 의한 회계부정조사의 역할과 권한 범위를 서술하고, 현행 절차 상 문제점을 살펴본 뒤 회계부정조사에 대한 헌법적 고찰을 수행하였다. 또한 미국과 독일 그리고 유럽인권협약의 내용을 비교법적 고찰하여 시사점을 도출하고, 회계부정조사 업무 시 기준이 될 수 있는 회계부정조사제도 디지털포렌식 감독지침 법제화 제안, 회계부정조사제도 디지털포렌식 절차 제안, 디지털포렌식 전문가 영역의 확대를 제안하였다. 그리고 이러한 논의 과정을 통해 궁극적으로 민간영역에서 수행되는 디지털포렌식 절차 연구 및 실무 절차 개선에 이바지하고자 한다.