"보안 외주 인력 디지털 포렌식으로 상시 점검해야"
기업들의 IT 인프라 확장과 인건비 절감 수요가 맞물리면서 개발부터 보안, 내부 감사 등 다양한 영역에서 외주 활용이 보편화하고 있다. 그러나 수탁, 재수탁 등으로 이어지는 복잡한 외주 구조 속에서 계정 및 크리덴셜(인증 정보) 관리 부실로 인한 침해사고는 더욱 빈번해지는 현실이다. 특히 사고 발생 후 증거 확보나 책임 추적은 복잡한 외주 환경 탓에 더욱 어려워지고 있어 기업들의 고민도 깊어지고 있다. 김장훈 유락 전략사업본부 이사는 지디넷코리아와 인터뷰에서 외주 인력 활동 등을 디지털 포렌식으로 점검하는 상시 감사의 필요성이 커지고 있으며, 사고 전후의 위험 행위를 확인하고 내부통제를 검증하는 상시 보안 수단으로 활용할 필요가 있다고 강조했다. 유락은 현장에서 즉시, 누구나 활용할 수 있는 인공지능(AI) 디지털 포렌식 전문 업체다. 김 이사는 유락 전략사업본부에서 디지털 포렌식 솔루션의 개발, 기획 등 영역을 총괄하고 있다. 어느 한 기술 영역에만 국한되는 것이 아니라 사업화 등 경영 차원에서도 역량을 발휘하는 만능 엔터테이너다. 김 이사는 "인력 TO는 그대로인데 IT 인프라가 확대되면서 개발 수요는 늘어 외부 인력, 외주를 적극 활용하는 추세다. 심지어 수탁사가 재수탁하는 구조까지 더해지며 이같은 구조는 더욱 활성화된 상태"라며 "문제는 외주 개발자가 어떤 권한이나 크리덴셜을 갖고 있는지는 추적하지 않는다는 점"이라고 강조했다. 그는 "또한 퇴직자의 경우 퇴직 즉시 권한을 회수하고 조직 클라우드에 접근할 수 없도록 하는 것이 기본 원칙이지만, 통제가 뒤따르지 않는 문제가 발생한다"며 "이에 프로젝트 수행 중 승인되지 않은 개인정보 저장소 사용, 평문으로 저장된 토큰·계정정보, 깃허브·구글 드라이브 등 외부 플랫폼 업로드, 개인 계정 사용, 중요 파일의 비정상적인 복사·반출과 같은 문제가 발생한다"고 진단했다. 외주가 많아지면 많아질수록 침해사고 발생 가능성이 커지고, 퇴사자의 경우 침해사고 발생 이후에도 증거 확보나 책임 추적에 어려움이 뒤따르고 있다는 지적이다. 유락의 '디파스 디스커버리는(DFAS Discovery)'는 이 과정을 케이스 단위로 운영하는 모델을 지향한다. 감사 목적과 대상, 단말기, 수집 기간·범위를 지정하고, 승인된 범위의 데이터만 선별 수집한 수집·분석한다. 이후 파일과 브라우저 기록, 외부 저장장치·업로드 흔적을 시간 흐름과 관계 정보로 분석해 흔적을 보안정책이 실제로 작동했는지 객관적인 증거로 확인한다. 이를 통해 분산된 증거의 연결과 선제적 위험 탐지, 나아가 사람이 어떤 의도를 갖고 데이터를 반출하려 했는지 등 행위 관점에서 통합 분석한다. 이를 통해 개별 파일이나 단일 저장소 기록만으로 원인을 단정하지 않고, 사용자·단말기·파일·접속기록을 시간의 흐름과 관계 정보로 교차 검토해 실제 데이터 이동 경로와 행위 주체를 규명할 수 있도록 지원한다. 이 기술로 사고 이전에 위험을 발견할 수 있으며, 외주 인력이 운영 데이터를 개인 PC에 반복 저장하거나 종료를 앞두고 대량의 파일을 복사하는 정황이 포착되면 실제 유출로 번지기 전에 접근권한을 조정하고 사실관계를 확인할 수 있다. 사고가 발생하더라도 기준 상태와 점검 이력이 남아 있어 조사 착수 시간을 줄이고 유출 경로와 영향 범위를 더 빠르게 규명할 수 있다. 김 이사는 "회사 프로젝트를 오픈소스 저장소인 깃허브(Github)에 공개하거나 개인 계정에 업로드하는 일이 비일비재하다. 심지어 API키를 하드코딩(소스코드 내에 직접 입력하는 방식)하는 등 보안의 기본 중의 기본은 물론 사내 보안 정책을 위반해 피해가 확산되는 안타까운 사례가 국내·외로 빈번해지고 있다"면서 "유락의 솔루션들은 사전에 외주 환경이나 보안 정책을 위반한 프로젝트를 상시적으로 감사하며 위협을 사전에 예방함으로써, 사후 결과 검증에 초점을 맞춘 기존 포렌식 기법의 한계를 한층 진화시켰다"고 밝혔다. 그는 "특히 외주 업무의 전 생애주기를 증거 기반으로 관리함으로써 착수 단계에서는 데이터 처리 범위와 점검 기준을 정하고, 수행 중에는 중요정보의 저장·복사·반출 여부를 점검하며, 종료 단계에서는 접근권한 회수와 데이터 파기를 기술적으로 검증한다"며 "기존의 계약서와 파기 확인서에 의존하는 관리에서 벗어나 데이터가 어디에 있었고, 어떻게 사용됐으며, 실제로 삭제됐는지를 지속적으로 확인·입증하는 체계를 구축함으로써 사고 가능성과 피해 범위를 실질적으로 낮추는 데 초점을 맞췄다"이라고 부연했다. '현장성·사용성' 앞세운 유락 차별점…비전문가도 쓰는 '디파스' 시리즈 김 이사는 유락만의 차별점으로 '현장성'과 '사용성', 그리고 AI를 꼽았다. 침해사고가 빈번해지면서 디지털 포렌식의 역할이 사고 이후의 사후 분석에서 예방 점검, 내부감사, 외주 인력 관리와 사고 초기 대응까지 확장되고 있다. 이런 가운데 유락 디지털포렌식의 차별점은 현장에서 즉시 필요한 증거를 신속하게 확보할 수 있도록 지원한다. 일반적인 포렌식은 대상 장비를 별도 연구실로 옮겨 전체 데이터를 분석해야 한다. 이 기간은 통상 길면 수주, 수개월까지도 소요된다. 그러나 유락의 '디파스 프로(DFAS Pro)'는 별도의 연구실로 장비를 옮기지 않고도 현장에서 필요한 데이터를 선별 수집·분석할 수 있도록 지원한다. 또 전문적인 지식이 없더라도 디지털 포렌식이나 감사가 가능하도록 지원하는 것도 특징이다. 디지털 포렌식은 아무리 쉽게 지원한다고 하더라도 보안팀이나 포렌식 장비를 운용할 수 있는 전문 인력이 필요하다. 그러나 현재 조직 내 감사팀은 회계 감사, 인사팀 등에 치중돼 있다. IT 관련 지식이 없어 자체 포렌식이 가능한 기업은 일부 대기업에 한정된다. USB 기반 포터블 운용과 자동화된 절차를 통해 비전문가도 초기 증거 확보와 판단을 신속하게 수행할 수 있는 것이다. 디파스 프로는 내년 3월께 출시될 예정이다. 뿐만 아니라 AI 기반 멀티모달 데이터 분석도 가능하다. 이미지와 동영상 등 복잡한 데이터도 파일명이나 메타데이터를 넘어 내용과 의미를 기준으로 관련 자료를 탐색할 수 있도록 개발하고 있다. 이를 통해 조사자는 키워드와 개인정보, 문맥, 이미지, 음성·영상 등 서로 다른 형식의 데이터를 하나의 검색 흐름에서 분석할 수 있다. 조사자가 AI 분석의 근거를 직접 확인하는 것도 가능하다. 디지털 포렌식은 그럴듯한 설명을 생성하는 것보다 증거의 무결성을 확보하고 증거를 바탕으로 어떤 결과를 도출했는지 확인하는 것이 중요하다. 따라서 유락은 본 증거와 분석 과정에서 생성된 파생 데이터를 명확히 구분하고, 관측된 사실과 시스템의 해석, 상관관계 후보, 조사관의 판단과 AI의 설명을 하나의 확정된 결론으로 혼합하지 않는다. 최종 판단은 조사자가 원본 증거를 직접 검토한 뒤 내리도록 설계한 것도 특징이다. 김 이사는 "이 외에도 PoC 중인 제품 중의 하나로, '디파스 고'가 있다. '디파스 고'는 AI 사용을 감사한다"며 "조직 내에서 수많은 AI 모델이 활용되고 있다. 사용 형태도 웹, API 등 그 형태마저 다양한데, 이를 추적하고 감사하며 가시성까지 확보하기란 쉬운 일이 아니다"라고 말했다. 그는 이어 "AI 모델에 업로드하는 내부 데이터, 민감한 데이터를 첨부하는 경우는 DLP(데이터 유출 방지) 등 기존 보안 솔루션으로 차단이 가능하지만, 왜 이런 데이터를 외부로 반출하려 했는지 감사하고 추적하는 데에는 한계가 있다"며 "디파스 고는 이같은 한계를 극복할 수 있으며 기밀이나 민감·개인정보의 특정 패턴을 마스킹하고 외부로 반출되는 것을 사전에 차단하며, 경영자가 가시성을 확보할 수 있도록 지원하는 셈"이라고 설명했다. 김 이사는 "또한 디파스 엣지(DFAS Edge)를 통해 인터넷 연결이 제한된 폐쇄망과 현장에서도 AI를 활용해 데이터를 수집·분석할 수 있는 온디바이스 AI 포렌식을 개발하고 있다"며 "이를 통해 별도의 대규모 분석 인프라 없이도 증거가 존재하는 현장에서 신속하게 데이터를 분석하고 초기 의사결정을 내릴 수 있도록 지원할 계획"이라고 밝혔다. 인도·중동 등 9개국 영토 확장…민간 부문 매출 49% 유락의 고객 포트폴리오는 공공·수사기관에서 출발해 민간기업과 금융권, 해외시장으로 확대되고 있다. 2018년 설립부터 2026년까지의 누적 매출 기준으로 민간 부문이 49%로 가장 크고, 해외 26%, 공공·수사기관, 금융 순이다. 공공·수사 분야에서는 경찰청과 국방부 등이 현장형 디지털 포렌식 솔루션 '디파스 프로(DFAS Pro)'를 활용하고 있다. 현장 압수수색과 초동 조사 단계에서 디지털 증거를 신속하게 선별·분석하는 제품 특성을 바탕으로 초기 핵심 레퍼런스를 확보했다. 민간 분야에서는 국내 대표 반도체·제조 대기업과 거래 실적을 보유하고 있다. 해외에서는 ▲탄자니아 ▲브루나이 ▲오만 ▲중국 ▲대만 ▲일본 ▲사우디아라비아 ▲인도 ▲미국 등 9개국 이상에 디지털 포렌식 솔루션을 공급하고 있다. 최근에는 인도 경찰 납품과 정부 전자조달 플랫폼 GeM 등록을 기반으로 주요 주 경찰청과 국립과학수사대학교(NFSU)를 대상으로 현장형 디지털 포렌식 기술 실증을 추진하고 있다. 특히 가시적인 성과는 인도와 중동에서 주로 나타나고 있다. 인도에서는 정부 전자조달 플랫폼인 GeM 등록을 완료하고, 안드라프라데시·우타르프라데시·구자라트·텔랑가나 등 주요 4개 주의 경찰청과 법과학연구기관을 대상으로 기술 시연과 실증 사업을 추진하고 있다. 인도 국립과학수사대학교(NFSU)와도 협력 가능성을 논의하며 힌디어 OCR과 현지 개인정보 형식, 수사 절차에 맞춘 기술 현지화를 진행하고 있다. 중동에서는 오만 왕립오만경찰청(ROP)의 디지털 포렌식 시스템 현대화 사업에 참여해 기술 평가를 진행 중이다. 김 이사는 "향후에는 미국으로 사업을 더욱 확대할 계획이다"라며 "국가별 수사 절차와 증거 기준에 맞춘 현지화, 현지 파트너십, 포렌식 랩 구축과 교육·컨설팅을 결합해 실증을 실제 계약으로 전환하는 데 집중하고 있다"고 밝혔다. "내부통제 증명하는 '포렌식 인텔리전스' 리더로 성장할 것" 김 이사는 유락의 비전을 기존 디지털 포렌식의 패러다임에서 벗어나 기업과 기관의 내부통제를 객관적인 증거로 입증할 수 있도록 돕는 '포렌식 인텔리전스 기업'으로 성장시키는 것이 목표다. 그는 "침해사고 대응뿐 아니라 직장 내 괴롭힘, 메신저 분석 등 기업 전반에서 내부 통제 차원의 포렌식을 지원하는 것이 목표다. 또한 모든 사람이 어디서든 유락의 솔루션을 통해 감사의 효율성을 크게 높일 수 있도록 만드는 것"이라고 다짐했다. 김 이사는 1980년 출생, 가천대학교 경제학과를 졸업했다. 동국대 국제정보보호대학원에서 석사 학위를 취득했으며, CISA·EnCE·ACE 등 정보보안 및 디지털 포렌식 관련 자격을 보유하고 있다. 2006년 정보보호진흥원(현 한국인터넷진흥원)에서 보안 업무에 뛰어 들었으며, 한국정보기술연구원(KITRI), 더존비즈온 등 공공과 민간 부문에서 디지털 포렌식 관련 경력을 쌓았다. 2025년부터는 중앙대학교 산업보안학과에서 산업보안 조사와 포렌식, 보안시스템 운영·활용을 강의하며 전문 인력 양성을 활동을 하고 있다. 유락은 2023년에 합류했다. ◆김장훈 이사 약력 - 정보보호진흥원(현 한국인터넷진흥원) 조사분석팀 - 더존정보보호서비스(현 더존비즈온) 디지털 포렌식 컨설팅 - 한국정보기술연구원(KITRI) 연구원 - 쿠팡 내부 부정 조사 및 사내 감사 - 유락 전략사업본부 이사
