임의조사로서의 디지털 포렌식 (Digital Forensic as a discretional Investigation)

서지정보

· 발행기관 : 중앙법학회
· 수록지 정보 : 중앙법학 / 23권 / 2호 / 161 ~ 188페이지
· 저자명 : 정혜욱

초록

기업을 경영하는 입장에서 제일 우선되는 관심사는 물론 이윤의 극대화 일 것이지만 소속 임직원의 업무수행이 준법의 틀 내에서 이루어지도록 하는 일도 장기적인 측면에서 이윤추구 못지않게 중요한 일이다. 기업체의 준법감시 기능을 수행하는 감사실과 같은 조직의 입장에서는 업무수행에서의 위법의 가능성을 방지하고 싶다. 이를 위하여 위법한 업무수행의 흔적을 찾아내서 적시에 적절한 조치를 취하여야 한다. 이러한 흔적이 과거에는 대부분 종이 서류에 남아있었다.
그런데 모든 업무가 거의 다 전산화가 되면서 종이 기록보다 전자 기록이 점차 더 큰 중요성을 가지고 되고 있다. 전자 기록을 들여다보지 않고는 위법의 흔적 가운데 많은 부분을 놓치게 되었다. 이 때문에 기업체에서도 위법행위의 증거를 찾기 위한 디지털 포렌식이 필요하게 되었다. 그런데 디지털 포렌식은 그 분야에 대한 전문지식을 필요로 하는 영역이다. 그러한 인력을 단위 기업체가 자체적으로 보유하는 것은 비용 측면에서 감당하기 힘든 일이다.
이러한 상황에서 디지털 포렌식 전문 업체가 등장하였고 기업체는 이들 업체에게 디지털 포렌식 업무를 외주 주고 있다. 디지털 포렌식 업무를 위탁받은 업체는 보통 다음과 같은 절차로 그 임무를 수행한다: ① 업무용 컴퓨터 수거, ② 수거된 컴퓨터 외관 검사, ③ 하드디스크 적출, ④ 이미징 방식으로 하드디스크 복제, ⑤ 주제어 검색을 통한 내용 분석.
이와 같은 작업을 수행하기 직전에 디지털 포렌식 업체는 기업체 임직원들로부터 업무용 컴퓨터에 저장되어 있는 전자기록을 수집, 복제, 열람해도 좋다는 취지의 동의서를 받고 있다. 그런데 디지털 포렌식 업체가 기업체 임직원들 퇴근 이후에 업무용 컴퓨터들을 수거하기 위해서는 사무실 공간에 들어가야 한다. 이렇게 사무실 공간에 들어가는 점에 대해서는 동의서에 아무런 언급이 되어 있지 않다.
만약 기업체의 사무공간의 주거권자가 사용자라면 아무 문제가 되지 않을 것이다. 이 문제는 사용자와 노동자 가운데 누가 사무공간의 주거권자인가에 따라 결론이 달라진다. 형법 제319조에서 정하고 있는 주거침입죄의 보호법익은 ‘사실상의 주거의 평온’이라고 보는 것이 타당하다. 판례의 입장도 같다. 따라서 사무실 공간의 주거권자는 현재 그 공간을 사실상 지배하고 있는 노동자들이라고 보아야 한다. 해당 공간의 주거권자인 임직원들의 동의가 없다면 그 공간에 들어가는 것은 주거권자의 의사에 반하여 들어가는 것이라고 보아야 한다. 디지털 포렌식 관련 동의서는 자발적으로 서명하는 것이라고 보기 어렵다. 그렇기 때문에 더구나 동의서에 언급이 되어 있지 않은 부분까지 묵시적으로 동의했다고 보는 것은 부당하다. 이 문제는 동의서의 내용을 보완함으로써 해결하여야 한다.
기업체 임직원의 업무용 컴퓨터에는 거래처 연락처, 고객 연락처, 이메일 주소록 등 엄청난 분량의 개인정보가 저장되어 있다. 기업체가 개인정보처리자임은 명백하다. 그리고 디지털 포렌식 업체가 개인정보 처리를 회사로부터 위탁받는 것이 아니므로 제3자에 해당한다. 개인정보처리자가 제3자에게 개인정보를 제공하려면 정보주체의 동의가 있거나 법률에 의해서 허용하는 사유가 인정되어야 한다. 디지털 포렌식의 경우에는 두 가지 모두 해당하지 않는다. 따라서 개인정보보호법 위반이고 형사처벌 대상이다. 이 문제는 현재로서는 해결방법이 없다. 당분간 임의조사로서의 기업체 디지털 포렌식은 하지 말아야 할 것이다. 위법사항을 찾아내기 위해서 위법행위를 할 수는 없다.

영어초록

From the perspective of managing a company, of course, the most important concern is maximization of profits, but ensuring that employees' work is performed within the framework of compliance is as important as pursuing profits from a long-term perspective. From the point of view of a department such as the audit office that performs the corporate compliance function, we want to prevent the possibility of illegality in the performance of our business. To this end, it is necessary to find traces of illegal business practices and take appropriate measures promptly. Most of these traces were left on paper documents in the past.
However, as almost all tasks are computerized, electronic records are increasingly becoming more important than paper records. Without looking at the electronic records, many of the traces of the offense were missed. Because of this, digital forensics is needed to find evidence of misconduct in businesses as well. However, digital forensics is an area that requires expertise in the field. It is cost prohibitive for a company to have such a workforce on its own.
In this situation, digital forensics companies have appeared, and companies outsource digital forensics work to these companies. A company entrusted with digital forensic work usually carries out its duties in the following manner: ① Collection of business computers, ② Visual inspection of the collected computer, ③ Hard disk extraction, ④ Hard disk copying by imaging method, ⑤ Search by keyword content analysis.
Just before carrying out such work, digital forensics companies are obtaining consent from corporate executives and employees to the effect that they may collect, reproduce, and view electronic records stored in business computers. However, in order for digital forensics companies to collect work computers after corporate employees leave the office, they have to enter the office space. Nothing is stated in the consent form regarding this entry into the office space.
If the owner of the corporate office space is the user, it will not be a problem. The conclusion of this issue differs depending on who is the owner of the office space, the employer or the worker. It is reasonable to view the protection and interest of the crime of trespassing under Article 319 of the Criminal Act as ‘de facto serenity of residence. The position of the courts is also the same. Therefore, the right to reside in the office space should be regarded as the workers who currently dominate the space. Without the consent of the executives and employees who are the right to live in the space, entering the space should be regarded as entering against the will of the owner of the space. A digital forensic-related agreement cannot be regarded as a voluntary signature. Therefore, it is unreasonable to assume that they implicitly consented to the parts not mentioned in the consent form. This issue should be resolved by supplementing the contents of the consent form.
A huge amount of personal information such as business contacts, customer contacts, and e-mail address books is stored on the work computers of corporate executives and employees. It is clear that the enterprise is the controller of personal data. And since the digital forensic company does not entrust the processing of personal information from the company, it is a third party. In order for the personal information controller to provide personal information to a third party, the consent of the information subject or reasons permitted by law must be recognized. In the case of digital forensics, neither is the case. Therefore, it is a violation of the Personal Information Protection Act and is subject to criminal punishment. There is currently no solution to this problem. For the time being, corporate digital forensics as a discretional investigation should not be done. You can't commit an offense to find out what's wrong.

참고자료

· 없음