연구/논문 실적
논문 등록초록
정보통신기술이 발달함에 따라 의료기관에서 사용하는 장비·도구와 서류가 급속도로 디지털화되고 있다. 의료기관에서는 이미 의료정보시스템(HIS)을 바탕으로 전자의무기록(EMR), 처방전달시스템(OCS), 의료영상저장전송시스템(PACS) 등 디지털화된 의무기록을 사용하고 있다. 이와 같은 의무기록은 수사기관이 의료범죄를 수사할 때 중요한 증거가 되고 있다. 따라서 본 연구에서는 의무기록 중에서 의료범죄 수사에서 핵심적인 증거가 되고 있는 의료영상에 대한 디지털 포렌식 활용방안에 대해서 연구하였다. 제2장에서는 의료영상의 개념과 의료영상 종류를 살펴보고, 제3장에서는 의료영상저장전송시스템(PACS)과 의료영상 표준 파일 포맷인 DICOM 파일의 구조를 살펴보았다. 나아가 의료영상의 생성 절차와 단계별 조작 방법에 대해서도 분석하였다. 제4장에서는 의료영상 조작 행위를 유형화하고 유형별로 사례와 판례를 조사하였다. 조작행위는 크게 의료사고 증거 은폐를 위한 조작 행위, 보험사기를 위한 조작 행위, 요양급여 부당청구를 위한 조작 행위로 구분하였다. 제5장에서는 의료기기, 의료영상저장전송시스템(PACS), DICOM 파일을 조작할 경우 어떠한 증거가 남는지를 실험을 통해 분석하였다. DICOM 파일 내부에 남아있는 조작 기록과 C 드라이브에 존재하는 Log기록, MAC TIME 등을 비교하여 조작 가능성과 이를 확인할 수 있는 방법을 제시하였다. 제6장에서는 의료영상 조작 행위에 대한 입증의 한계와 이에 대한 개선방안을 제시하였다. 먼저, 의료영상 디지털 포렌식과 관련하여 압수·수색 절차를 제안하였다. 의료영상저장전송시스템(PACS)의 사용자에 대한 접근 통제와 인증을 강화하고, 로그기록에 대한 정기적 감사가 필요하다고 보았다. 또한 원본과 Log기록을 포함한 의료영상 사본을 제공하여야 한다고 주장하였다. DICOM 파일의 무결성 입증을 위한 기술적 조치도 구현되어야 하며 나아가 의료영상 추가기재·수정 접속기록도 의무기록으로 해석하여야 한다고 주장하였다. 향후 의료범죄 근절을 위하여 의료정보시스템(HIS)과 의료영상저장전송시스템(PACS)에 대한 디지털포렌식 연구가 활발히 이루어져 의료범죄 근절에 기여해야 할 것이다. 더불어 보건복지부, 건강보험심사평가원, 국민건강보험공단과 의료기관, 의료정보시스템 제작 회사들에서는 의료영상에 대한 조작을 최소화할 수 있도록 기술적, 제도적 개선방안을 마련해 나가야 할 것이다.
초록
디지털 기기의 보급과 인터넷 망의 발전, 그리고 새로운 형태의 전자 기기들의 출현으로 각종 범죄와 연관된 디지털 증거를 다루는 기관들이 점차 늘어나고 있고, 이에 따라 디지털 증거를 취급하는 디지털 포렌식 시험기관의 절차, 직원, 도구, 보고서 등 전체 프로세스에 대한 신뢰를 확보할 수 있는 국제 표준에 부합하는 디지털 포렌식 공인시험기관의 필요성이 국제적으로 대두되고 있다. 디지털 포렌식 시험기관에 적용되는 국제 표준으로는 ISO/IEC 17025가 있으며, 이 표준에서는 시험 및 교정 기관의 역량에 관한 일반적인 요구사항을 시험기관의 경영 측면, 프로세스 요건, 지원 활동, 그리고 품질 경영 프로세스로 나누어 명시하고 있다. 이 표준에 대한 인정을 획득한 시험기관은 각 국가의 인정 기구에 의해 평가되며 인정 기구는 상호인정협정을 통해 국제 인정 협회에 의해 관리된다. 우리나라의 디지털 포렌식 공인시험기관 인정에 대한 평가는 KOLAS에서 하고 있는데 디지털 포렌식 공인시험기관 인정 제도의 운영과 현황 상의 문제점으로는 이 분야의 인정 제도 인프라가 부족하고, 인정 범위가 모호하게 정의되어 있다. 그리고 국내 디지털 포렌식 공인시험기관은 수사기관 1곳, 정부기관 2곳, 검찰 1곳으로 전체 4곳만 국제 표준 인정을 획득하여 현저히 부족한 상황이다. 미국과 영국, 중국의 디지털 포렌식 공인시험기관 인정 제도에서는 그 인정 범위를 세분화하여 관리하고 있고, 그에 따른 가이드라인도 충분히 제공하고 있으며, 각 국가의 규정에 의해 법과학 기관에 대한 국제 표준 인정 획득을 의무화 하고 있다. 특히 미국은 총 83곳, 영국은 총 46곳, 중국은 총 143곳이 디지털 포렌식 시험기관에 대한 ISO/IEC 17025 인정을 획득하였다. 단순 비교로는 한계가 있지만 해당 국가들은 우리나라와 비교하였을 때 이 분야에 대한 인정 제도가 상당히 활성화되어 있다. 이에 따라 본고에서는 우리나라 디지털 포렌식 공인시험기관 인정 제도의 발전을 위해 다음과 같은 활성화 방안을 제시한다. 첫째, 디지털 포렌식 공인시험기관 인정 제도의 인프라를 구축해야 한다. 이를 위해 평가사 및 기술전문가를 양성하고 이 분야에 대한 전문 숙련도 시험 운영 기관을 운영해야 한다. 둘째, KOLAS의 가이드라인을 개선해야 한다. KOLAS의 디지털 포렌식 분야에 대한 인정 범위를 세분화하여 정의하고, 디지털 포렌식 공인시험기관 인정을 위한 가이드라인을 개발해야 한다. 셋째, 국가 시험기관에 대한 인정 획득을 의무화 해야한다. 디지털 포렌식 시험기관 인정 획득을 의무화 시키기 위해 관련 규정을 제정해야 한다. 국가 수사 및 감정기관에 대해서는 결과의 품질을 높이기 위해 국가에서 적극적으로 인정 획득을 지원해야 한다.
초록
디지털 시대의 발전으로 인하여 개인의 스마트폰 보유율이 지속적으로 증가하고 있고, 스마트폰 이용률이 증가함에 따라 범죄에 사용된 모바일 기기 증거 분석율 역시 증가하고 있다. 특히 디지털 포렌식에 대한 인식이 높아지면서 수사망을 피하기 위한 안티 포렌식 방법도 다양해지고 있다. 그러나 모바일 포렌식은 모바일 기기 특성상 지속적으로 새로운 기기와 OS가 등장하고 있고, 애플리케이션들의 업데이트도 실시간으로 진행되고 있어 도구에 의존하여 수집 및 분석을 하고 있는 것이 현실이다. 국내 수사기관에서 모바일 기기 수집 시 전원을 차단한 후 현장에서 모바일 포렌식 수집 도구를 이용하여 데이터를 수집한다. 이렇게 수집된 데이터는 비휘발성 데이터로 스마트폰에 저장된 것을 대부분 확인할 수 있다. 그러나 시스템 전원을 차단하는 순간 휘발성 증거들이 소멸된다는 단점이 있다. 본 논문에서는 모바일 기기에서 휘발성 메모리를 분석하는 방법과 절차에 대하여 연구하였다. 첫 번째로, 카카오톡의 ‘나에게서만 삭제’ 기능으로 메시지를 삭제할 경우 상용 도구에서도 카카오톡 DB 내 메시지가 0으로 덮어써지기 때문에 복구가 불가능하다. 그러나 휘발성 메모리 상에서는 비활성 영역에 저장되는 것처럼 DB 형태로 저장되는 것이 아니므로 삭제되기 전 메시지를 확인할 수 있었다. 두 번째로, 대화 내용을 기기에 저장할 때 암호화하여 저장하는 메신저 앱에 대하여 상용 도구에서는 이를 복호화하여 보여준다. 그러나 주기적으로 변경되는 암호화 키 업데이트로 인하여 상용 도구 사에서 키 업데이트를 적용하는 기간 동안 복호화가 불가능하다는 문제가 있다. 휘발성 메모리에는 이 복호화된 메시지가 저장되기 때문에 상용 도구에서 복호화를 하지 못하더라도 휘발성 메모리 내부에서 평문의 대화 내용을 확인할 수 있다. 세 번째로, 모바일 기기 압수 전 사용하던 앱을 삭제할 경우 상용 도구에서 분석하려면 미리 삭제한 앱을 알고 있어야하는데, 자주 사용하지 않는 앱을 범죄에 사용하고 삭제를 한다면 분석이 필요하다는 것을 알기 어렵다. 휘발성 메모리 상의 다른 앱에 삭제된 앱에 대한 기록이 남아있을 수 있으며, 삭제된 앱을 알게 되면 상용 도구에서 비활성 영역을 분석하기도 용이하다. 네 번째로, 안티 포렌식 앱인 데이터 완전삭제 앱은 실행할 경우 비활성 영역의 데이터가 삭제되므로 상용 도구에서는 복구가 불가능하다. 그러나 휘발성 데이터에서는 삭제한 내용이 그대로 남아 있었다. 위와 같은 이유로 모바일 증거 수집 시 휘발성 메모리 분석이 반드시 필요하다. 따라서 본 논문에서는 휘발성 메모리 분석과 모바일 증거 수집 절차의 개선방안을 제안하였다. 또한, 모바일 기기 특성 상 수집 및 분석 자동화 도구가 필수적이므로 휘발성 메모리 분석 도구 개발의 필요성도 주장하였다. 현재 수사기관의 모바일 증거 수집 절차에 포함되지 않던 휘발성 메모리를 수집 및 분석하여 모바일 기기 증거 획득의 범위를 넓히고, 그동안 증명하기 어려웠던 행위들을 증명함으로서 모바일 기기 수사 기법이 고도화 되어 범죄 수사 발전에도 도움이 되기를 기대한다.