디지털 증거의 진정성과 신뢰성 확보 및 기본권 보호를 위한 디지털 증거 계층구조의 특성과 비례적 접근 원칙 doc_id CNTS-00118875215_2

‘디지털 증거 계층구조’에서 최하위계층으로 이루어진 ‘물리계층(Physical Layer)’은 하드디스크나 메모리와 같은 주ㆍ보조기억 장치나 네트워크카드 장치 등과 같이 물리매체의 성격을 그대로 갖고 있는 계층을 말한다. 이 계층의 증거는 전통적 증거들과 동일한 성격을 갖는다. Carrier’s Layer의 ‘물리계층’과 Goldfoot의 ‘Physical Perspective’에 해당한다. 다음으로 물리매체 위에 디지털 정보를 기록하기 위한 체계 공간인 ‘상자계층(Container Layer)’이 있다. C드라이브나 D드라이브와 같은 볼륨과 파일시스템이 여기 속한다. Carrier’s Layer에서의 ‘볼륨계층’과 ‘파일시스템 계층’의 ‘파일 시스템 범주’ 중 파일시스템 구조에 관한 사항 즉, 파일시스템 메타정보가 여기 해당된다. 또한 기능과 역할에 비추어 볼 때 메모리 안에서는 ‘페이지(Page)’, 네트워크 장치에서는 ‘프로토콜(Protocol)’을 같은 계층으로 볼 수 있다. 마지막 계층은 저장된 정보를 사람에게 의미 있는 형태로 변환하여 표현하는 단계인 ‘표현계층(Rendering Layer)’이다. Carrier’s Layer에서 ‘응용 계층’과 응용프로그램 상위 단계에서 표현되는 모든 형태를 말한다. 디지털 정보는 비가시적인 특성으로 인하여 같은 값이라도 응용프로그램이나 설정에 따라 표현 결과가 달라지고, 그로 인해 정보가치에 영향을 끼칠 가능성이 많기 때문에 이를 고려한 접근이 필요하다. 특히 물리적 장치이나 응용프로그램과 매체에 저장된 정보가 상호 의존적으로 존재하여 복제 후 정보가치를 보존할 수 없거나 기술적 ㆍ정책적인 이유로 정보의 복제가 제한되는 경우 표현계층 단위로 접근할 필요가 있다. 표현계층은 그 특성상 디지털 정보의 수집과정이 아닌 제출과정에서 가장 효과적으로 참조할 수 있는 계층이다. 문서파일의 인쇄물, 모니터에 출력된 사내 업무 시스템 전용 전자결재 문서 등이 표현계층 단위의 디지털 증거이다. 계층화된 구조에서 정보는 하위계층으로 갈수록 기록과 보존에 효율적이며 구체적인 형태(actualization)를 갖고, 상위계층으로 갈수록 사람에게 의미 있는 형태를 갖게 되어 사람이 이해하기 쉽도록 추상화(abstraction) 된다. 따라서 상위계층으로 갈수록 정보의 선별에 많은 시간이 소요되지만 요증사실과 관련성 높은 정보를 선별할 수 있게 된다. 또 하위계층으로 갈수록 그 계층이 포함하고 있는 정보량이 늘어남에 따라 다양한 정보를 교차 검증하여 디지털 증거의 진정성과 신뢰성을 높일 수 있게 되지만, 기본권 침해 위험도 같이 높아진다. 이러한 계층 구조의 일반적인 특성을 고려하면 사안에 따라 디지털 증거의 접근 대상을 비례적으로 정하는데 참조할 수 있다. 지털 증거는 비가시적 형태로 대량의 민감 정보가 혼재되어 있고, 개인의 기본권은 한번 침해가 발생하면, 이 피해를 복구하는 것이 사실상 어려운 비가역적 특성을 가지고 있다. 때문에 디지털 저장매체 수색에 앞서 요증사실에 비례적으로 그 대상의 적절성과 합리성을 고려하는 것이 당연하다. 사법기관은 민감도 높은 정보가 응집되어 있는 시스템일수록 요증사실 관련 정보의 선별을 엄격히 하고, 반대의 경우 시간적 제한과 소송비용 등의 현실 여건을 고려하여 효율적인 대응을 해야 할 것이다. 하위저장소 관점은 정보의 접근을 세밀하게 통제할 수 있다는 장점이 있긴 하나, 하위저장소를 구분 짓는 기준이 없기 때문에 객관적인 기준으로 사용하기 적합하지 않다. 또한, 엑셀이나 데이터베이스와 같이 복합구조를 갖는 파일에서 하위저장소를 식별하는 것과 그 안에서 원하는 정보를 발췌하는 방법의 구체적 기준이 없다면 현장 실무자의 임의적 판단이 개입할 여지가 많아지기 때문에 개인의 지식에 따라 발췌 기준에 큰 차이가 발생할 수 있고 이는 현장에서의 혼란으로 이어질 수 있다. 예를 들어, 이메일폴더 파일인 PST안에 단일 이메일 파일인 EML 파일들이 들어 있고, 이 이메일 파일에는 압축파일인 ZIP파일 첨부되었고, 이 첨부파일에 엑셀 형식의 파일인 XLS가 압축되어 있고, 이 엑셀 파일 안에 범죄현장이 찍힌 사진인 JPG가 객체로서 포함되어 있다면, 압수ㆍ수색 현장에서는 어느 단계까지 선별하여 발췌해야 충분한지 알 수가 없다. 더욱이 중간에 삭제되거나 암호화된 정보가 섞여 있다면, 분석이 선별보다 선행하는데 이와 같은 경우를 모두 가정하여 하위저장소 선별 기준이나 방법을 제시하는 것은 현실적으로 불가능하다. 디지털 증거에 대한 계층적 접근의 필요성을 종합적으로 보여주는 사례가 모바일 폰에 대한 증거 확보 사례이다. 모바일 폰은 개인의 민감한 정보를 다수 포함하고 있어 엄격한 선별이 반드시 필요한 장치지만 장치와 저장매체의 분리가 어렵고, 분리로 인한 손상 회복이 사실상 불가능한 점으로 인해 일반적으로 물리계층 단위의 수집이 이뤄지게 된다. 그러나 이 경우에도 기본권 보호를 위해 일반적인 기준인 명칭계층 단위까지의 선별이 필요하므로 선별의 완료까지를 압수ㆍ수색의 종료로 보고 있다. 한편, 모바일 환경 특유의 효율적인 정보저장체계로 인하여 단일 파일 선별로는 정보의 정확한 의미를 확인하기 어려울 수 있다. 따라서 장치에 저장된 파일 그대로가 아닌 자료계층 단위에서 의미있는 형태로 가공한 결과를 추출할 필요가 있다. 뿐만 아니라, 아직 분석 환경이 마련되지 않은 최신형 모바일 폰의 경우에는 표현계층 단위의 정보 확보라도 적법하게 이뤄지도록 방안을 마련해야 한다. 이와 같이 변화무쌍한 디지털 정보의 사용 환경에서 디지털 증거를 수집ㆍ분석ㆍ제출하기 위해 계층화하여 접근하고 각 계층에 따라 정보의 원 출처와 확보 대상, 확보 방법 등을 적시하는 것은 디지털 증거의 진정성을 합리적으로 판단하기 위한 가장 기초적인 장치인 것이다. 또한, 비례성 원칙에 따라 압수ㆍ수색의 대상 계층이 특정되었다 하여도 암호화 상태와 매체의 물리적 보존상태 등에 따라 정보 접근이 제한되는 경우 소유자 혹은 관리자로부터 압수ㆍ수색 대상까지 접근하기 위한 기본적인 협조를 기대할 수 없다면, 원래의 압수ㆍ수색 대상 계층보다 하위 계층으로 압수ㆍ수색 대상이 확장되는 것이 정당하다 보아야 할 것이다. 예를 들어 피압수자가 운영체제 접속이나 암호화된 볼륨의 접근을 위해 필요한 암호를 알려주지 않는 상황에서는 요증사실과 연관된 정보를 저장하고 있을 것으로 기대되는 매체의 물리계층 혹은 상자계층 단위로 압수하는 것이 합리적이고, 자료계층인 데이터 베이스에 저장된 정보 추출 협조가 이뤄지지 않는 경우 요증사실의 자료를 저장하고 있는 데이터베이스 파일을 명칭계층 단위에서 복제하는 것 역시 정당하게 보아야 할 것이다. 그러나 소유자 혹은 관리자의 협조 의지가 있는데도 불구하고 사법기관의 기술적, 환경적인 문제로 현장 집행이 곤란하여 ‘정보저장매체’ 혹은 일부 복제물을 이동하는 경우 원래의 압수ㆍ수색 대상 계층 단위의 선별 완료까지를 압수ㆍ수색 단계로 보는 것이 합리적이다. 그러나 상위계층이 그 하위계층에 포함되는 일반적인 구조와 다르게 특정 상황에서는 하위계층이 상위계층을 정보 값으로 포함한다. 이때는 정보 값이 '디지털 증거의 계층구조'에 따라 다시 그로부터의 상위계층을 포함하고 있는 재귀적 특성을 갖게 된다. 예를 들어 가상머신 프로그램에서 사용하는 ‘가상머신 파일’은 명칭계층에 속하나 그 안에는 상자계층의 성격을 갖는 정보가 저장되기 때문에 재귀적 특성이 나타나는 대표적인 예로 볼 수 있다. 또 리눅스 시스템에서는 명칭계층인 디렉토리에 상자계층인 볼륨을 마운트 시키는 방식을 사용하여 저장장치에 접근하고 있는데 이때 마운트 된 디렉토리는 재귀적 특성을 갖게 되는 것이다. 다만, 이러한 재귀적 특성은 디지털 정보의 가치나 내용에 따른 것이 아니고 정보 저장 및 활용의 기술적 환경에 의해 나타나는 것이므로, 디지털 증거 수집 이전 단계에서 재귀적 특성을 고려하고 비례성 원칙을 적용하기보다는, 사후 단계에서 디지털 증거 출처로 명시된 재귀적 경로를 확인하고 그 진정성에 대하여 판단하는 방법으로 통제하는 것이 합리적이라 할 것이다.