신입 수사관을 위한 디지털 증거 압수 및 포렌식 절차 FAQ,24

환영합니다, 신입 수사관님! 디지털 증거는 현대 수사에서 매우 중요하며, 그만큼 정확하고 적법한 절차가 필수적입니다.

아래 FAQ를 통해

(대검찰청) 디지털 증거의 수집·분석 및 관리 규정
[시행 2024. 10. 1.] [대검찰청예규 제1449호, 2024. 10. 1., 일부개정]
기본적인 지침을 숙지하시고 궁금증을 해소하시길 바랍니다.

1장: 총칙 및 기본 원칙

Q1. 이 규정은 왜 중요한가요?

이 규정은 디지털 증거를 수집, 보존, 분석, 현출, 관리하는 전 과정에서 지켜야 할 기본 사항들을 정하고 있습니다. 이는 실체적 진실을 발견하고, 동시에 국민의 인권을 보호하기 위한 목적으로, 법정에서 증거의 유효성을 확보하는 데 필수적입니다.

Q2. '전자정보'와 '디지털 증거'는 무엇이 다른가요?

"전자정보"는 단순히 정보저장매체(컴퓨터, 스마트폰 등)에 저장된 모든 정보를 의미합니다. 반면, "디지털 증거"는 범죄와 관련되어 증거로서의 가치가 있는 디지털 형태의 정보를 말합니다. 즉, 모든 디지털 증거는 전자정보이지만, 모든 전자정보가 디지털 증거는 아닙니다.

Q3. '디지털포렌식'은 무엇인가요?

"디지털포렌식"은 디지털 증거를 법정에서 유효하게 사용하기 위해 수집, 보존, 분석, 현출하는 데 적용되는 과학기술 및 절차를 총칭하는 말입니다. 쉽게 말해, 디지털 증거를 다루는 과학적인 수사 기법입니다.

Q4. 디지털 증거를 다룰 때 가장 중요한 원칙은 무엇인가요?

네 가지 핵심 원칙이 있습니다:
1. 적법절차 준수: 모든 과정은 법에 정해진 절차를 따라야 합니다.
2. 원본성 유지: 원본과의 동일성을 법정에서 재현하거나 검증할 수 있어야 합니다.
3. 무결성 유지: 증거가 훼손되거나 변경되지 않도록 해야 합니다.
4. 신뢰성 유지: 전문가와 신뢰할 수 있는 도구, 방법으로 처리해야 합니다.
5. 보관의 연속성 유지: 최초 수집 상태 그대로 보관되고, 인계인수 과정이 연속적으로 관리되어야 합니다.

2장: 디지털포렌식 수사 지원 및 협력

Q5. 제가 직접 디지털 증거를 압수할 수 있나요?

원칙적으로 "디지털포렌식 수사관"이 전자정보의 압수·수색·검증을 해야 합니다. 다만, 부득이한 사유가 있고 포렌식 도구 교육을 이수했거나 관련 교육을 이수한 검찰공무원이라면 업무 수행이 가능합니다. 전문성을 위해 지원 요청을 적극 활용하는 것이 좋습니다.

Q6. 디지털포렌식 지원은 어떻게 요청하나요?

"압수·수색·검증 지원요청 협의서"를 작성하여 디지털수사과장에게 송부하고 협의합니다. 이후 '업무관리시스템'에 접속하여 정식으로 지원을 요청해야 합니다. 이때 사건번호 입력 시 시스템의 검색 기능을 활용하는 것이 중요합니다.

Q7. 지원을 요청할 때 제가 준비해야 할 것이 있나요?

네, 사건과 관련된 디지털 증거를 구별하는 데 필요한 정보를 제공해야 합니다.

예를 들어, 특정 인물이나 대상, 검색 기간, 파일명, 확장자 등 선별에 필요한 정보와 그 외 수집 대상 및 범위를 정하는 데 필요한 자료를 디지털포렌식 수사관에게 제공해야 합니다.

Q8. 정보저장매체를 분석 의뢰하려면 어떻게 해야 하나요?

정보저장매체를 봉인하는 절차가 중요합니다. 봉인지에 피압수자(또는 임의제출자)의 확인·서명을 받고, 훼손 우려가 없는 봉투에 넣어 봉인합니다.

그 후 충격 방지 봉투에 요청 정보와 함께 넣어 밀봉하여 배정받은 디지털포렌식팀에 송부해야 합니다. 긴급한 경우에도 신뢰할 수 있는 방식으로 봉인해야 합니다.

Q9. 압수물을 포렌식팀에 보냈는데, 돌려받을 때 절차가 있나요?

네, 디지털포렌식 수사관이 매체를 주임검사님께 인계할 때는 "정보저장매체 등 인계인수서"에 주임검사님의 확인·서명을 받아 관리하게 됩니다.

3장: 디지털 증거의 압수·수색·검증 절차

Q10. 압수·수색·검증은 현장에서 바로 끝내야 하나요?

원칙적으로는 현장에서 범죄사실과 관련된 전자정보만 출력하거나 복제하는 방법으로 압수합니다.

하지만 현장 압수가 불가능하거나 현저히 곤란한 경우, 전자정보 전부를 복제하여 현장 외로 반출하거나, 정보저장매체 원본을 봉인하여 반출할 수 있습니다.

Q11. 압수·수색·검증 시 피압수자나 변호인이 참여를 거부하면 어떻게 해야 하나요?

참여를 거부하더라도 신뢰성과 전문성을 담보할 수 있는 상당한 방법으로 압수·수색·검증을 진행해야 합니다. 피압수자의 소재 불명, 참여 지연, 불응 등의 사유가 있을 경우 형사소송법 제123조에 따른 참여인을 참여시켜야 합니다.

Q12. 압수가 끝나면 피압수자에게 무엇을 교부해야 하나요?

전자정보의 탐색·복제·출력이 완료되면 지체 없이 "전자정보 상세목록"을 교부해야 합니다.

서면뿐만 아니라 파일 형태로 복사해주거나 전자우편으로 전송하는 것도 가능합니다.

Q13. 상세목록에 없는 전자정보는 어떻게 처리하나요?

상세목록에 포함되지 않은 전자정보는 지체 없이 삭제 또는 폐기하거나 반환해야 합니다.

이때 "정보저장매체 등 반환 확인서" 또는 "전자정보 삭제·폐기 확인서"를 작성하여 피압수자에게 교부해야 합니다.

Q14. 현장 외에서 디지털 증거를 수집할 때 피압수자가 참여하지 않으면 어떻게 하나요?

피압수자에게 참관일시와 장소를 통지해야 합니다. 피압수자가 명시적으로 참여를 거부하거나 불가능/급속을 요하는 경우가 아니라면, 다시 일시를 정하여 통지해야 합니다. 불참 사유가 피압수자의 책임(소재불명, 도주, 증거인멸 목적 등)이라면 디지털포렌식 수사관이 포렌식 도구를 이용해 수색·검증을 진행할 수 있습니다.

Q15. 암호가 걸린 디지털 증거는 어떻게 처리하나요?

암호가 설정되어 있거나 물리적으로 손상되는 등 접근이 어려운 경우, 저장된 전자정보에 접근하여 탐색할 수 있는 기술적 조치가 이루어진 후에 압수를 진행합니다. 필요한 경우 업무관리시스템에 등록하여 필요한 조치를 취할 수 있습니다.

4장: 디지털 증거의 등록 및 분석

Q16. 디지털 증거는 어디에 등록해야 하나요?

압수한 디지털 증거는 '업무관리시스템'에 등록하여 관리하는 것이 원칙입니다. 이는 증거의 무결성, 보관 연속성을 유지하고 접근 권한을 체계적으로 관리하기 위함입니다. 대용량 등의 이유로 등록이 어렵다면 내용 변경·훼손 방지 조치를 취해야 합니다.

Q17. 현장 또는 현장 외에서 압수한 디지털 증거는 언제 등록하나요?

현장에서 압수한 증거(이미지 파일, 증거파일 포함)와 해시값은 지원 종료 후 지체 없이 등록합니다. 현장 외에서 선별된 전자정보는 해시값과 함께 업무관리시스템에 등록하고, 피압수자에게 교부한 전자정보 상세목록도 등록해야 합니다.

Q18. 디지털 증거 분석은 누가, 어떻게 해야 하나요?

디지털포렌식 수사관이 분석 결과의 신뢰성을 확보할 수 있도록 적합한 장비와 프로그램을 사용하여 분석해야 합니다. 주로 이미지 파일을 이용하며, 곤란한 경우에만 압수·복제한 정보저장매체등을 직접 분석할 수 있습니다.

Q19. 분석이 끝나면 무엇을 해야 하나요?

"분석보고서"를 작성하여 업무관리시스템에 등록하는 방법으로 회신해야 합니다.

☆☆분석 과정에서 생성된 자료가 있다면 사후 검증을 위해 업무관리시스템에 등록해야 합니다.

Q20. 분석 과정에서 생성된 이미지 파일 등은 계속 보관하나요?
A20. 분석을 위해 생성한 이미지 파일이나 분석 과정에서 생성된 일체의 전자정보는 분석 결과 회신 후 지체 없이 삭제해야 합니다.
다만, 업무관리시스템에 등록된 전자정보와 분석보고서는 정확성, 신뢰성 검증을 위해 계속 보관할 수 있습니다.

5장: 디지털 증거의 관리 및 폐기

Q21. 디지털 증거는 어떻게 관리되나요?

디지털수사과장이 업무관리시스템에 등록된 디지털 증거의 원본성·무결성이 훼손되지 않도록 체계적으로 보존·관리합니다. 이를 위해 디지털 증거 관리담당자를 지정하여 생애주기를 관리하고, 반기별로 현황을 점검합니다.

Q22. 업무관리시스템에 등록된 디지털 증거에 아무나 접근할 수 있나요?

아니요, 엄격한 접근 통제가 이루어집니다. 이미지 파일 및 증거파일은 디지털 증거 관리담당자 외에는 접근이 통제되며, 추출파일은 해당 지원을 요청한 주임검사 외에는 접근이 통제됩니다.

☆☆예외적인 접근은 소속 청 인권보호관의 승인을 받아 디지털수사과장에게 요청해야 합니다.

Q23. 더 이상 필요 없는 디지털 증거는 어떻게 폐기하나요?

수사 또는 재판 과정에서 범죄 관련성이 없거나, 종국처분 또는 판결 확정으로 보관 필요성이 없어진 경우 폐기합니다. 복원이 불가능한 기술적 방법으로 삭제해야 하며, 주임검사 또는 압수전담검사의 요청으로 폐기 절차가 개시됩니다.

Q24. 압수물로 수리되지 않은 디지털 증거는 어떻게 처리되나요?

업무관리시스템에 등록 후 6개월이 지나도록 압수물로 수리되지 않은 경우, 디지털수사과장이 해당 청에 목록을 송부하고 1개월 내 수리를 요청할 수 있습니다.

그럼에도 수리되지 않으면 디지털수사과장이 직권으로 폐기할 수 있습니다. 폐기 후에는 해당 주임검사에게 통보합니다.

궁금한 점이 있을 때마다 이 FAQ를 참고하시고, 항상 규정을 숙지하여 적법하고 신뢰성 있는 디지털 증거 수사를 수행하시길 바랍니다.