서울특별시 민생사법경찰단

디지털 증거의 수집․분석 및 관리 지침

〈제정 2017. 8. 21.〉

제1장  총칙

제1조(목적) 이 규정은 컴퓨터 디스크, 그 밖에 이와 비슷한 정보저장매체(이하 “정보저장매체 등”)로부터 디지털 증거의 수집, 분석 및 관리 등 전 과정에서 준수하여야 할 기본사항과 업무처리절차를 규정함으로써 디지털 증거의 증거능력을 유지하는 것을 목적으로 한다.

제2조(적용범위) 디지털 증거의 수집, 분석 및 관리 등의 업무에 대하여 다른 법령 및 규칙에 특별한 규정이 있는 경우를 제외하고는 이 규칙에 따른다.

제3조(정의) 이 규정에서 사용하는 용어의 뜻은 다음과 같다.

1. “디지털 증거”란 범죄와 관련하여 디지털 형태로 저장되거나 전송되는 증거로서의 가치가 있는 정보를 말한다.

2. “디지털포렌식”이란 디지털 증거를 수집·분석 또는 보관하거나 현출하는데 필요한 기술 또는 절차를 말한다.

3. “디지털 데이터”란 전자적 방법으로 저장되어 있거나 네트워크 및 유·무선 통신 등을 통해 전송 중인 정보를 말한다.

4. “디지털 저장매체”란 컴퓨터용 디스크, 그 밖에 이와 비슷한 정보저장매체를 말한다.

5. “디지털 압수물”이란 범죄와 관련 있는 것으로 판단되어「형사소송법」제106조 및 제215조부터 제218조까지의 규정에 따라 압수한 디지털 데이터 또는 디지털 저장매체를 말한다.

6. “하드카피·이미징(이하 “복제”라 한다)”이란 디지털 저장매체 내에 삭제된 형태로 존재하는 정보를 포함하여 원형대로 읽어내어 동일한 형태로 다른 디지털 저장매체에 저장하는 것을 말한다.

7. “이미지 파일”이란 법률적으로 유효한 증거로 사용될 수 있도록 정보저장매체 등에 저장된 전자정보를 동일하게 비트열 방식으로 복제하여 생성한 파일을 말한다.

8. “디지털포렌식 수사관”이란 제6조의 규정에 따라 선발된 자로서 디지털 증거수집 및 처리와 관련된 업무를 수행하는 자를 말한다.

9. “업무관리시스템”이란 서울시 행정포털을 통해 제공되는 전자문서시스템으로 보고서(공문) 작성과 결재를 위한 시스템을 말한다.

10. “디지털증거자료 저장장치”란 증거분석서버와 네트워크로 연결된 대용량 저장장치를 말한다.

제4조(인권보호 원칙) 디지털 증거의 수집, 운반, 분석 및 보관 업무를 수행하는 자는 개인의 인권을 존중하고 사건 관계인의 명예를 훼손하지 않도록 주의하여야 하며, 직무상 알게 된 비밀을 지켜야 한다.

제5조(증거수집 및 처리의 원칙)

1. 디지털 증거는 압수·수색·검증한 때로부터 법정에 제출하는 때까지훼손 또는 변경되지 아니하여야 한다.(디지털 증거의 무결성 유지)

2. 디지털 증거는 그 수집 및 분석 과정에서 이용된 도구와 방법의 신뢰성이 유지되어야 한다.(디지털 증거의 신뢰성 유지)

제6조(디지털포렌식 수사관의 자격 및 임명) ① 디지털포렌식 수사관은 제1호 또는 제2호에 해당하고 제3호의 자격을 갖춘 수사관 중에 민생사법경찰단장이 임명한다.

1. 검찰청․경찰청 교육기관의 디지털포렌식 관련 전문교육을 수료한 자

2. 디지털 포렌식, 컴퓨터공학, 전자공학, 정보보호공학 등 관련 분야 학사학위를 소지하고, 자격증을 보유한 자

3. 3개월 이상 디지털포렌식 수사실무를 수행한 경력이 있는 자

② 디지털포렌식 수사관으로 임명된 자는 전문성 향상을 위하여 검찰청, 경찰청이나 국내외 국가기관, 전문교육기관 또는 학회에서 실시하는 디지털포렌식 관련 교육을 이수하여야 한다.

제7조(디지털포렌식센터 설치 및 운영) ① 민생사법경찰단은 별도의 기구로 디지털포렌식센터를 설치하고 다음 각 호의 경우 디지털 증거분석업무를 수행한다.

1. 민생사법경찰단내 수사팀에서 증거분석을 요청한 경우

2. 고도의 기술이나 특정 분석장비 등이 필요하여 서울시 소속(자치구포함) 특별사법경찰관이 증거분석을 요청한 경우

3. 그 밖에 상당한 이유로 증거분석을 하여야 정당성과 필요성을 민생사법경찰단장이 인정하는 경우

② 디지털포렌식센터는 디지털포렌식 수사관으로 구성한다.

제2장  디지털 증거의 수집․분석 지원요청

제8조(지원요청) ① 민생사법경찰단의 각 수사팀은 디지털 증거의 압수․수색․검증이 필요한 경우에는 디지털포렌식센터 운영팀장(이하 “수사총괄팀장”)에게 지원을 요청한다.

② 그밖에 서울시 기관(부서) 또는 자치구 특사경 업무에 필요한 경우 수사총괄팀장에게 다음 각 호의 지원을 요청할 수 있다.

1. 디지털 증거의 분석․현출

2. 제1호 내지 디지털 증거의 압수․수색․검증과 관련된 기술적 자문

3. 제1호 내지 디지털 증거의 압수․수색․검증과 관련된 법정 증언

③ 제1항, 제2항의 지원요청시 디지털포렌식 수사지원 내용을 포함한 공문을 작성하여 수사총괄팀장의 결재를 받는다.

④ 제2항 제1호의 지원을 요청할 경우에는 다음 각 호의 절차에 따라 정보저장매체 등을 송부하여야 한다. 다만, 긴급을 요하는 등 부득이한 경우에는 다른 형식으로 봉인한 후 확인․서명을 받을 수 있다.

1. 정보저장매체 등을 훼손 또는 변경의 우려가 없는 봉투에 넣는다.

2. 별지 제1호 서식의 압수물 확인(봉인)지를 작성하여 피압수자, 형사소송법 제123조에 정한 참여인(이하 ‘피압수자 등’이라고 한다) 또는 임의제출자의 확인․서명을 받은 다음 위 봉투에 부착한다.

3. 별지 제3호 서식의 정보저장매체 제출 및 이미징 참관여부 확인서 사본과 함께 직접 또는 우송 기타 적절한 방법으로 디지털포렌식 센터로 송부한다.

제9조(협조의무)

제8조 제1항, 제2항의 지원요청자는 디지털 증거의 수집․분석 및 관리가 원활하게 이루어질 수 있도록 디지털포렌식 수사관에게 수집 대상 및 범위와 관련된 정보를 제공하는 등 디지털포렌식 수사관에게 협조하여야 한다.

제3장  디지털 증거의 압수․수색․검증

제10조(과잉금지의 원칙) 디지털 증거를 압수․수색․검증할 때에는 수사에 필요한 범위에서 실시하여햐 하고, 모든 과정에서 적법절차를 엄격히 준수하여야 한다.

제11조 (압수․수색․검증의 실시자) 디지털 증거의 압수․수색․검증은 디지털포렌식 수사관이 하여야 한다.

제12조 (사전준비)

① 수사총괄팀장 등은 제8조 제1항, 제2항의 지원을 할 경우에는 정보저장매체 등의 유형과 규모 등을 고려하여 적정한 인원의 디지털포렌식 수사관을 지정하여 지원한다.

② 제1항의 지정을 받은 디지털포렌식 수사관은 정보저장매체 등을 압수․수색․검증할 경우 사전에 사건의 개요, 압수․수색 장소 및 대상, 정보저장매체 등의 유형과 규모 등 필요한 사항을 고려하여 준비하여야 한다.

제13조 (디지털 증거의 압수․수색․검증)

① 압수의 목적물이 정보저장매체 등인 경우에는 기억된 정보의 범위를 정하여 출력하거나 복제하여 압수하여야 한다. 다만, 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 경우, 또는 피압수자 등의 동의가 있는 경우에는 정보저장매체 등을 직접 압수하거나 정보저장매체 등에 기억된 전자정보 전부를 복제할 수 있다.

② 압수․수색의 대상인 정보저장매체와 정보통신망으로 연결되어 있고 압수․수색의 대상이 되는 디지털 증거를 저장하고 있다고 인정되는 다른 정보저장매체에 대하여 압수․수색 대상인 정보저장매체를 통하여 접속한 후 수색을 할 수 있다. 이 경우 압수․수색․검증 대상 정보저장매체가 정보통신망에 연결되어 있고, 압수․수색대상자가 정보통신망으로 접속하여 기억된 정보를 임의로 삭제할 우려가 있을 경우에는 정보통신망 연결 케이블을 차단할 수 있다.

③ 제1항 본문의 압수․수색을 행하는 경우에는 해당 사건 수사팀장 주도하에 피압수자 등을 참여시킨 상태에서 사건과 관련성이 있는 정보를 선별하고 압수․수색한 디지털 증거에 대하여 해시값(Hash Value)을 생성한 후, 다음 각 호의 내용이 포함된 확인서를 작성하여 피압수자 등의 확인․서명을 받아야 한다. 다만, 확인서는 사용된 디지털포렌식 도구에 의해 자동생성된 자료로 갈음할 수 있다.

1. 확인서 작성일시 및 장소

2. 정보저장매체 등의 종류 및 사용자

3. 해시값, 해시함수

4. 확인자의 인적사항 및 연락처, 확인자와 피압수자와의 관계

5. 기타 진정성․무결성․신뢰성을 확인하는데 필요한 사항

④ 제1항 단서의 경우에는 제8조 제4항을 준용하여 별지 제1호 서식의 압수물 확인(봉인)지 및 별지 제3호 서식의 정보저장매체 제출 및 이미징 참관여부 확인서를 작성하여야 한다.

⑤ 정보저장매체의 피압수자 등에게 디지털 증거의 출력, 복제, 정보저장매체의 작동, 정보통신망으로 연결되어 있는 다른 정보저장매체의 접속, 기타 필요한 협력을 요구할 수 있다.

제14조 (정보저장매체 등의 운반)

정보저장매체 등을 운반할 경우에는 정전기 차단, 충격방지 등의 조치를 취하여 그 매체가 파손되거나 기억된 정보가 손상되지 않도록 주의하여야 한다.

제15조 (복귀 및 보고)

제12조 제1항의 지정을 받은 디지털포렌식 수사관이 출장하여 지원

하는 경우에는 지원이 종료되면 수사총괄팀장 등에게 보고하고, 지체 없이 복귀하여야 한다.

제4장 디지털 증거의 등록

제16조 (선별 이미지 파일 등의 등록)

제13조 제1항 본문에 따라 정보저장매체 등에 기억된 정보의 범위를 정하여 선별 압수된 증거파일 또는 선별 이미지 파일을 디지털 증거자료 저장장치에 등록한다. 다만, 제13조 제1항 단서의 경우에는 예외로 한다.

제17조 (정보저장매체 등의 이미지 등록 및 피압수자 등의 참여)

① 제13조 제1항 단서 중 정보저장매체 등을 직접 압수한 경우 또는 제8조 제2항의 분석 의뢰를 받은 경우에는 대상 정보저장매체 등의 봉인을 해제한 후 사건과 관련성이 있는 전자정보를 선별하여 증거파일 또는 선별이미지 파일을 만든 다음 디지털증거자료 저장장치에 등록하고, 대상 정보저장매체 등은 재봉인하여 지원요청자에게 인계 한다.

② 제13조 제1항 단서 중 정보저장매체 등에 기억된 전자정보 전부를 이미지 파일로 압수한 경우에는 사건과 관련성이 인정되는 전자정보를 선별하여 증거파일 또는 선별 이미지 파일로 만든 다음 디지털증거자료 저장장치에 등록한다.

③ 제1항 내지 제2항의 선별 과정에서 피압수자 등의 참여를 보장하여야 한다. 피압수자 등이 참여한 경우에는 별지 제4호의 서식에 따라
확인서를 작성토록 한다.

④ 피압수자 등이 참여를 하지 않겠다는 의사표시를 한 경우에는 신뢰성과 전문성을 담보할 수 있는 상당한 방법으로 사건과 관련성이 있는 정보를 선별하여 압수한다.

제18조 (디지털 증거의 무결성 유지 등을 위한 조치)

정보저장매체 등의 봉인 해제․복제, 디지털증거자료 저장장치에 등록하는 과정에서 디지털 증거의 진정성, 무결성, 신뢰성 유지를 위하여 필요한 조치를 취하여야 한다.

제5장 디지털 증거의 분석

제19조 (분석원칙)

디지털 증거의 분석은 신뢰성을 유지할 수 있도록 디지털포렌식 수사관이 분석에 적합한 장비와 프로그램을 사용하여 행하여야 한다.

제20조(분석실 등의 출입제한) 분석실은 디지털포렌식 수사관 등
관계자 외 출입을 제한한다.

제21조 (이미지 파일 등에 의한 분석)

① 디지털 증거의 분석은 디지털증거자료 저장장치에 등록한 이미지 파일과 해시값이 동일한 이미지 파일로 한다. 다만, 이미지 파일로 복제하는 것이 곤란한 경우에는 압수 또는 복제한 정보저장매체 등을 직접 분석할 수 있으며, 이 경우에는 정보저장매체 등의 형상이나 내용이 훼손·변경되지 않도록 적절한 조치를 취하여야 한다.

② 전항 단서의 경우 분석 과정에서 생성된 전자정보의 등록은 제4장의 절차를 준용한다.

제22조 (분석보고서 작성)

① 디지털포렌식 수사관은 디지털 증거에 대한 분석을 종료한 때에는 별지 제2호 서식에 따라 분석보고서를 작성한다. 다만, 필요한 경우 약식보고서를 활용할 수 있다.

② 디지털포렌식 수사관은 디지털 증거를 분석하는 과정에서 생성된 자료가 있는 경우에는 이를 디지털 증거자료 저장장치에 등록하거나, CD, DVD, USB 등 별도의 정보저장매체에 저장하여 지원요청자에게 인계할 수 있고, 인계사실을 분석보고서에 기재한다.

제23조 (분석결과 통보)

① 디지털포렌식 수사관은 디지털 증거의 분석을 종료한 때에는 분석보고서를 업무관리시스템에 등록하고, 지원요청자에게 통보하여야 한다. 다만, 긴급을 요하는 경우에는 구두 또는 전화 등 기타 방법으로 분석결과를 통보할 수 있으며, 긴급성이 소멸된 경우 즉시 분석보고서를 업무관리시스템에 등록하여야 한다.

② 디지털포렌식 수사관은 정보저장매체 등 분석 대상물을 압수 또는 수령한 때로부터 10일 이내에 분석결과를 지원요청자에게 통보해야 한다. 다만 부득이한 경우 그 지원요청자에게 중간 분석결과를 통지하고 상당한 기간을 연장할 수 있다.

③ 디지털 증거의 분석을 담당한 디지털포렌식 수사관은 지원요청자에게 분석 결과 통보 후 디지털증거자료 저장장치 이외의 저장매체에 보관된 디지털 증거 및 분석과정에서 생성된 자료를 지체 없이 폐기하여야 한다.

제6장 디지털 증거의 관리

제24조 (디지털 증거의 보관)

① 수사총괄팀장은 디지털 증거자료 저장장치에 등록된 디지털증거의 진정성․무결성이 훼손되지 않도록 체계적으로 보존, 관리하기 위해 필요한 조치를 취하여야 한다.

② 수사총괄팀장은 디지털 증거의 보존․관리 및 폐기와 관련된 업무를 전담할 디지털증거관리책임자를 지정할 수 있다.

제25조 (디지털 증거의 폐기)

디지털증거관리책임자 등은 디지털증거자료 저장장치에 등록된 디지털 증거에 대해 해당 사건 담당수사관의 폐기 요청이 있으면 해당 디지털 증거를 폐기하여야 한다.

부 칙

제1조(시행일) 이 규칙은 2017년 8월 21일부터 시행한다.

제2조(경과조치) 이 규칙 시행일 현재 서울시 민생사법경찰단 디지털포렌식 수사관으로 근무하고 있는 자는 제5조의 디지털포렌식 수사관의 자격을 취득한 것으로 본다.

[별지 제1호 서식] 압수물 확인(봉인)지

	압수물 확인(봉인)지
봉인일시 : 해제일시 : 해제사유 : ․ 이 물건을 봉인합니다. ․ 권한 없이 봉인을 해제하여서는 안 됩니다.
사 용 자
피압수자
제 조 사 모 델 명 S / N
시스템시간		년 월 일 시 분
압수물유형		□ 원본 □ 사본
압수일시
압수장소
압수자
피압수자 등 참관인서명

[별지 제2호 서식] 분석보고서

분석보고서
접수일자
지원번호
증거번호
분석일자
장소
분석대상
요청기관
요청사항
종합분석결과	○ - - - ○ - - -
	20 . . . 서울시 민생사법경찰단 디지털포렌식센터 디지털포렌식 수사관

상세내역

1.사건개요

-

2. 분석 요청 사항

가.

나.

다.

3. 분석대상 정보

증거번호	사용자	종류	제조사	모델명	용량
	고유(Serial)번호			제조일자	비고

4. 분석 시스템 도구

가. 분석시스템 운영체계 :

나. 복구․분석에 사용한 프로그램 :

5. 증서사본작성 및 분석방법

가. 증거사본 작성

1) 증거번호 :

작성일시

작 성 자

파 일 명

크    기

해 시 값

해시함수

사용도구

사용버전

기   타

Write Blocked :

Disk Signature :

Partition

Name	Id	Type	Start Sector	Total Section	Size

나. OS 정보 및 Time Zone setting 확인

증거번호	OS	OS 설치 일시	Time Zone	비 고

다. 수행한 분석방법

-

6. 상세분석 결과

첨 부 :       끝.

[별지 제3호 서식] 정보저장매체 제출 및 이미징 참관여부 확인서

【정보저장매체 제출 및 이미징 참관여부 확인서】

피압수자

(임의제출자)

성    명 :

생년월일 :

기기의 종류 등

기기의 종류 :

제조사 및 모델(S/N) :

(모바일의 경우) 전화번호 :

이미징 등 참관

위와 같이 압수 또는 임의제출된 정보저장매체 등에 대하여 하드카피․이미징, 전자정보의 탐색, 복제(이미징 포함) 또는 출력등 증거물 확보 과정에

(  □ 참관하겠음,    □ 참관하지 않겠음 )

참관 시

참관 범위

하드카피․이미징

전자정보탐색

전장정보 복제․출력

【  】
【  】

【  】

참  관

예정자

성     명:

생년월일 :

연락처(전화번호) :

위 이미징 등 과정은 서울시 민생사법경찰단 디지털포렌식센터에서 시행 예정임을 수사관 박 완1111 용  으로부터 통지받음

※(모바일 기기의 경우) 유의사항 등 :

- 기기의 이미징 과정에서 분해․재조립, 내부배선, 펌웨어 체인지(휴대폰의 관리자권한 획득을 위한 펌웨어의 업로드 및 복귀) 등 방법이 필요한 모델의 경우 기기 손상 또는 데이터 초기화가 될 수 있음

- 특히 삼성전자의 일부 안드로이드 기기는 이미징 과정에서 ‘녹스’(삼성의 모바일 기기에 탑재된 보안 솔루션)에 영향을 미쳐 이를 기반으로 동작하는 앱(삼성Knox, 삼성페이 등)을 이후 사용할 수 없게되고, 해당 앱의 기존 데이터는 유실됨

녹스 관련 앱(삼성Knox, 삼성페이)의 사용 여부(※ 사용 시 체크 표시)

삼성Knox □	삼성페이 □	기타 ( )

※ 압수 및 임의제출 기기의 패스코드․잠금패턴, 암호(※애플 아이튠스 백업암호 등)는 해제 또는 아래 표기

▣ 패스코드․암호 :                 ▣ 잠금패턴      ●    ●    ●

●    ●    ●

●    ●    ●

․ 작성일 : 20  .   .   .

․ 위 정보저장매체의 제출 및 참관 등 절차를 확인하고, 수사 또는 재판 목적

소멸시 전자정보는 폐기 예정임을 고지 받았으며 위와 같은 사실에 동의함

피압수자․임의제출자 등 :                           (서명)

수 사 관 :                            (서명)

[별지 제4호 서식] 이미징 등 참관 확인서

【이미징 등 참관 확인서】

20 지원 호 사건과 관련하여 압수(임의제출)된 아래 기재 정보저장매체 등에 대하여 20 . . . : 부터 20 . . . : 까지 서울시 민생사법경찰단 디지털포렌식센터에서 이미징 파일 작성 등 과정에 참관하였음을 확인합니다.
정보저장매체 등 목록
번호	소유자 /사용자	저장매체 종 류		제조사 모델명(S/N)		이미지 파일명	해시값
1
2
3
참 관 범 위
번호	하드카피 이미징		전자정보 탐 색	전자정보 복제․출력	기타 특이사항 (일부 참관 시 그 사유 등)
1
2
3
작성일 : 20 . . . 위 확인자(참관이) : (서명)