이 자료가 중요한 이유
분석표에는 원본 위치와 생성 시각을 적습니다. 실제 사용자와 누락 구간도 구분하십시오. “기기·계정별 실제 사용자의 원본 시각과 누락 구간은 어디인가”에 답하려면 “기기·계정별 실제 사용자”의 출처와 “사건 관련 정보의 선별 기준”의 판단 근거를 나누어야 합니다.
자료가 보여주는 사실
“기기·계정별 실제 사용자”에서는 작성자·사용자·시각·행동을 확인합니다. 출처와 보관 경위도 표시하십시오. 그래야 다른 기록과 정확히 대조할 수 있습니다.
- 기기·계정별 실제 사용자.
- 포렌식 선별·참여 관련 통지.
- 데이터 생성 시각과 전체 대화 맥락.
- 압수수색영장 사본 또는 기재 내용.
자료만으로 단정할 수 없는 부분
“기기·계정별 실제 사용자”만으로 “임의제출 요구와 영장 집행의 구분”까지 결론 내리기는 어렵습니다. 사각지대와 누락 구간을 표시하십시오. 실제 사용자처럼 직접 보이지 않는 부분도 구분합니다.
- 임의제출 요구와 영장 집행의 구분.
- 사건 관련 정보의 선별 기준.
- 압수 자료의 작성자·사용자·맥락.
다른 기록과 대조하는 방법
“포렌식 선별·참여 관련 통지”의 시각을 먼저 맞춥니다. 이어 “데이터 생성 시각과 전체 대화 맥락”과 비교하십시오. 생성 방식이 다르면 차이를 기록합니다.
- 포렌식 선별·참여 관련 통지.
- 데이터 생성 시각과 전체 대화 맥락.
- 압수수색영장 사본 또는 기재 내용.
확인되지 않은 부분을 남기는 방법
모든 질문에 즉시 결론을 낼 필요는 없습니다. “사건 관련 정보의 선별 기준” 가운데 기록으로 확인되지 않는 부분은 ‘추가 확인 필요’라고 표시하고, “기기·계정별 실제 사용자”의 원본이나 보관자에게서 확인할 사항을 적습니다. 먼저 “조사 전 압수자료와 진술의 정합성 점검” 항목을 점검하십시오. 모르는 부분을 추측으로 메우지 않아야 뒤의 답변과 충돌을 줄일 수 있습니다.
최초 메모와 보완 메모에는 작성 날짜를 적으십시오. “기기·계정별 실제 사용자의 원본 시각과 누락 구간은 어디인가”의 답이 바뀌었다면 이유를 남깁니다. “기기·계정별 실제 사용자”를 언제 확인했는지도 표시합니다. 그래야 “사건 관련 정보의 선별 기준”을 새 자료로 바로잡은 경위를 설명할 수 있습니다.
흔한 오해
“압수목록을 확보하지 않는 행동”은 전체 의미를 흐릴 수 있습니다. 원본과 제출본을 구분하십시오. 잘라낸 화면이나 재저장 파일에는 생성 경위를 붙입니다.
- 압수목록을 확보하지 않는 행동.
- 기기나 계정의 실제 사용자를 정리하지 않는 대응.
- 삭제·초기화 등 자료 상태를 임의로 바꾸는 행동.
실제 준비 방법
준비는 압수목록·포렌식 절차 기록 자료별로 확인된 사실을 적으십시오. 확인되지 않은 부분과 추가 확보 기록은 다른 칸에 둡니다.
- 압수목록·포렌식 절차 기록.
- 기기·계정 사용자와 데이터 맥락 정리.
- 조사 전 압수자료와 진술의 정합성 점검.
진술과 자료의 구조를 점검하는 방법
“기기·계정별 실제 사용자”의 날짜·작성자·보관 경위를 한 표에 놓습니다. 그다음 “사건 관련 정보의 선별 기준”을 별도 쟁점으로 표시합니다. 첫 준비 항목은 “압수목록·포렌식 절차 기록”입니다. 이어 자료 사이의 연결을 확인합니다.
- 압수목록·포렌식 절차 기록.
- 기기·계정 사용자와 데이터 맥락 정리.
- 조사 전 압수자료와 진술의 정합성 점검.