A.5.28
증거 수집
조직적 통제확인사항 5증적 6사례 6
통제 목적
정보보안 이벤트(나중에 사고로 판정되는 경우 포함)가 남긴 자료를 찾아내고 확보하여 안전하게 보존하는 방식을 다루는 통제이며, 그 자료를 이후 징계, 소송, 규제 신고, 원인 규명에 신뢰성 있게 사용할 수 있도록 합니다. 증거의 무결성과 연계보관성(chain of custody)이 유지되지 않으면 사고 발생 이후 아무리 많은 자료를 확보해도 법적/징계 절차에서 증거로서의 효력을 잃을 수 있습니다. 따라서 사고가 일어나기 전에 절차, 역할, 도구, 외부 협조 체계를 준비하여, 사고 발생 시 신속하고 정당성을 입증할 수 있는 방식으로 증거를 확보하는 것이 목적입니다.
주요 확인사항
- 정보보안 이벤트 및 사고 관련 증거의 식별/수집/획득/보존 절차가 문서화되어 있고, 적용 법령 및 관할지역의 증거 채택 기준을 반영하는가?
- 증거의 연계보관성(chain of custody)을 기록하고 유지하는 표준 양식과 절차가 마련되어 있으며, 취득 시점, 취급자, 이동 및 인계 경로가 추적되는가?
- 디지털 증거 수집 시 원본 무결성을 보존하기 위한 방법(포렌식 이미징, 해시값 산출 및 검증, 쓰기 방지 등)이 정의되어 있는가?
- 증거를 수집하고 취급할 자격 있는 내부 인력이나 협조할 외부 전문기관(포렌식 업체, 수사기관)이 사전에 지정되어 있는가?
- 증거의 저장, 봉인, 접근통제 및 보관 기간이 정의되어 있고, 무단 변경 및 훼손을 방지하는가?
이행 지침
- 증거 유형별(로그, 디스크 이미지, 메모리 덤프, 네트워크 패킷, 문서, 물리 매체 등) 수집 절차와 우선순위를 정의하고, 휘발성이 높은 증거(메모리, 세션, 임시 데이터)를 먼저 확보하는 순서를 규정합니다.
- 연계보관성 기록서를 표준화하여 증거의 취득 일시, 장소, 취급자, 인계 내역, 보관 위치를 공백 없이 기록하고, 이동/열람 때마다 갱신합니다.
- 안정된 저장매체는 가능한 경우 검증된 이미지를 취득하여 사본에서 분석합니다. 실시간 시스템이나 클라우드 자료는 허용된 수집 방식과 한계를 기록하고, 취득물의 해시를 보관해 이후 변경을 탐지합니다. 원본과 직접 비교할 수 없는 경우 해시만으로 원본 동일성을 주장하지 않습니다.
- 대상에 맞는 쓰기 방지 수단과 검증된 수집 도구를 사용합니다. 수집 장비의 신뢰할 수 있는 시간과 증거 원본의 시간대/시계 오차를 기록하되, 시간을 맞추기 위해 증거 원본의 시계를 변경하지 않습니다. 불가피한 상태 변경은 이유와 영향을 기록합니다.
- 증거 취급 권한을 자격 있는 최소 인원으로 제한하고, 봉인 및 잠금 보관소와 접근 로그로 증거를 보호하며, 보관 기간과 폐기 절차를 정합니다.
- 개인정보 또는 기밀정보가 포함된 증거를 취급할 때는 관련 법령 및 프라이버시 요구사항을 준수하고, 사고 조사 목적에 필요한 최소 범위로만 수집하고 열람합니다.
- 외부 포렌식 전문기관 또는 수사기관과의 협조가 필요한 상황을 사전에 식별하여 계약/협약과 연락 체계를 준비하고, 인계 시에도 연계보관성이 끊기지 않도록 절차를 정의합니다.
증적자료
- 증거 수집/보존 절차서 및 연계보관성(chain of custody) 기록 표준 양식
- 실제 사고 시 작성된 연계보관성 기록서, 증거물 목록 및 봉인/개봉 기록
- 포렌식 이미징 로그, 해시값 산출 및 검증 기록
- 증거 보관소 접근 로그, 보관 기간 관리 대장 및 폐기 기록
- 포렌식 전문기관/수사기관 협조 계약 또는 협약서, 비상 연락 체계
- 증거 취급 담당자 지정 문서 및 관련 교육 기록
부적합 사례
- 증거 수집 절차가 문서화되어 있지 않아 사고 발생 시 담당자가 임의 판단으로 증거를 수집하는 경우
- 원본 디스크를 직접 열람/분석하여 타임스탬프가 변경되고 증거 무결성이 훼손된 경우
- 연계보관성 기록이 없어 증거의 취급 이력을 추적할 수 없고 법적/징계 절차에서 효력을 입증하지 못하는 경우
- 취득물의 무결성 기준값이나 수집 경로/한계 기록이 없어 이후 변경 여부와 출처를 검증할 수 없는 경우
- 증거 보관소에 접근통제가 없어 다수 인원이 증거에 무단으로 접근할 수 있는 경우
- 개인정보가 포함된 증거를 목적/범위 제한 없이 과도하게 수집하여 프라이버시 요구사항을 위반하는 경우