기업포렌식, 회사 자료 유출·퇴사자 PC·USB 사용 기록은 어떻게 확인할까?

회사에서 중요한 자료가 사라지거나 내부정보가 외부로 유출된 것으로 의심된다면 어떻게 해야 할까요?

퇴사자가 사용하던 컴퓨터에서 고객 명단이 삭제되었거나, 업무용 PC에 USB 저장장치가 연결된 흔적이 발견되는 경우가 있습니다. 직원이 회사 문서를 개인 이메일이나 클라우드로 옮긴 것은 아닌지 확인해야 하는 상황도 발생합니다.

이럴 때 활용할 수 있는 기술이 바로 기업포렌식입니다.

기업포렌식은 회사에서 적법하게 확보할 수 있는 컴퓨터, 저장장치, 업무용 스마트폰, 서버 등의 디지털 데이터를 분석하여 자료 삭제, 정보 유출, 파일 접근 및 시스템 사용과 관련된 사실관계를 확인하는 작업입니다.

기업포렌식의 핵심은 누군가의 잘못을 미리 단정하는 것이 아니라, 실제로 남아 있는 디지털 기록을 객관적으로 분석하는 것입니다.

이번 글에서는 기업포렌식이 필요한 상황부터 PC 포렌식, USB 사용 기록, 삭제파일 복구, 내부정보 유출 조사, 법원 제출용 보고서까지 자세히 알아보겠습니다.

 

---

목차

1. 기업포렌식이란?
2. 기업포렌식이 필요한 대표적인 상황
3. 퇴사자 PC 포렌식으로 확인할 수 있는 내용
4. USB 사용 기록과 회사 자료 유출 분석
5. 삭제된 회사 파일도 복구할 수 있을까?
6. 이메일·클라우드 자료 유출 흔적 분석
7. 기업포렌식에서 MFT 분석이 중요한 이유
8. 업무용 스마트폰도 포렌식이 가능할까?
9. 기업 내부정보 유출과 타임라인 분석
10. 기업포렌식 전 원본 보존 방법
11. 기업포렌식 진행 절차
12. 법원 제출용 기업포렌식 보고서
13. 기업포렌식 비용은 어떻게 결정될까?
14. 기업포렌식 자주 묻는 질문

---

1. 기업포렌식이란?

**기업포렌식(Corporate Digital Forensics)**은 기업에서 발생한 디지털 사건과 관련된 데이터를 수집·보존·분석하여 사실관계를 확인하는 디지털포렌식 분야입니다.

일반적인 데이터복구가 삭제되거나 손상된 파일을 다시 확보하는 데 중점을 둔다면, 기업포렌식은 파일의 존재 여부뿐 아니라 생성·수정·삭제 기록과 사용자의 시스템 활동 흔적 등을 함께 분석합니다.

대표적인 분석 대상은 업무용 PC, 노트북, USB 메모리, 외장하드, 업무용 스마트폰, 서버 및 관련 로그 등입니다.

다만 기업이 보유한 장비라고 해서 모든 데이터를 제한 없이 조사할 수 있는 것은 아닙니다. 분석 목적과 접근 권한, 개인정보 보호 문제를 먼저 검토해야 합니다.

2. 기업포렌식이 필요한 대표적인 상황

기업포렌식은 다양한 업무상 분쟁과 내부조사에서 활용될 수 있습니다.

대표적인 상황은 다음과 같습니다.

• 퇴사자의 회사 자료 삭제 또는 반출 의심
• 고객 명단 및 영업자료 유출 의심
• USB·외장하드를 이용한 자료 반출 조사
• 회사 문서의 무단 수정·삭제 여부 확인
• 업무용 PC의 사용기록 분석
• 이메일 및 클라우드 서비스 사용 흔적 조사
• 영업비밀 관련 민사·형사 분쟁의 디지털 자료 분석

이때 중요한 것은 의심되는 행동과 실제 확인된 디지털 기록을 구분하는 것입니다.

예를 들어 USB가 연결되었다는 사실만으로 회사 자료가 유출되었다고 판단할 수는 없습니다.

3. 퇴사자 PC 포렌식으로 무엇을 확인할 수 있을까?

기업포렌식에서 자주 다루는 분야가 퇴사자 PC 포렌식입니다.

퇴사자가 사용하던 업무용 컴퓨터에 남아 있는 파일과 시스템 기록을 분석하여 사건과 관련된 활동을 확인합니다.

분석 가능한 기록이 남아 있다면 다음과 같은 내용을 검토할 수 있습니다.

• 중요 문서의 존재 및 사용 흔적
• 파일 생성·수정·삭제 관련 기록
• USB 저장장치 연결 흔적
• 프로그램 실행 및 브라우저 사용 기록
• 퇴사 전후의 파일 접근 관련 시간정보

다만 Windows가 모든 사용자 행동을 완벽하게 기록하는 것은 아닙니다.

따라서 하나의 기록만으로 결론을 내리기보다 여러 디지털 흔적을 함께 분석해야 합니다.

 

4. USB 사용 기록과 회사 자료 유출 분석

회사 자료 유출이 의심될 때 자주 확인하는 항목이 USB 사용 기록입니다.

Windows 운영체제에는 USB 저장장치 연결과 관련된 정보가 레지스트리 및 일부 시스템 로그에 남을 수 있습니다.

대표적으로 USBSTOR, MountedDevices, SetupAPI 로그 등을 분석할 수 있습니다.

이러한 기록을 통해 USB 장치 식별정보나 연결 관련 시간정보를 확인할 가능성이 있습니다.

하지만 반드시 기억해야 할 점이 있습니다.

USB 연결 기록이 있다는 사실과 특정 회사 파일이 USB로 복사되었다는 사실은 서로 다릅니다.

실제 자료 반출 여부를 검토하려면 파일 접근 흔적, 저장장치 정보, 관련 시스템 기록 등을 함께 분석해야 합니다.

5. 삭제된 회사 파일도 복구할 수 있을까?

퇴사자가 파일을 삭제했다고 해서 모든 데이터가 반드시 즉시 사라지는 것은 아닙니다.

저장장치 종류와 삭제 방식, 파일시스템, 삭제 이후 사용량 등에 따라 일부 파일을 복구할 수 있는 경우가 있습니다.

하지만 복구를 100% 보장할 수는 없습니다.

특히 SSD는 TRIM과 내부 저장관리 기능 때문에 삭제된 파일의 원본을 복구하기 어려운 경우가 많습니다.

여기서 중요한 것은 삭제파일 복구와 삭제 흔적 분석은 서로 다른 작업이라는 점입니다.

파일 원본이 복구되지 않더라도 파일명, 경로, 시간정보 등 관련 흔적이 남아 있는지 별도로 검토할 수 있습니다.

6. 이메일·클라우드 자료 유출 흔적도 확인할 수 있을까?

최근 기업 내부자료 유출은 USB뿐 아니라 이메일이나 클라우드 서비스를 통해서도 문제가 될 수 있습니다.

업무용 PC에 남아 있는 브라우저 기록, 관련 프로그램 실행 흔적, 다운로드 정보 등을 분석하면 특정 서비스 사용 여부를 검토할 수 있습니다.

하지만 웹메일에 접속했다는 사실만으로 회사 문서를 실제로 전송했다고 판단할 수는 없습니다.

클라우드 서비스 방문기록 역시 파일 업로드를 자동으로 증명하지 않습니다.

실제 전송 여부를 확인하려면 적법하게 확보한 관련 서비스 로그나 파일 기록 등 추가 자료가 필요할 수 있습니다.

7. 기업포렌식에서 MFT 분석이 중요한 이유

Windows의 NTFS 파일시스템에서는 **MFT(Master File Table)**가 중요한 분석 대상이 될 수 있습니다.

MFT는 파일과 폴더의 이름, 크기, 시간정보 등 메타데이터를 관리하는 구조입니다.

기업포렌식에서는 MFT를 비롯해 다음과 같은 기록을 함께 검토할 수 있습니다.

• MFT: 파일 및 폴더 메타데이터
• Windows 이벤트 로그: 시스템 활동 관련 기록
• Prefetch: 프로그램 실행 관련 흔적
• LNK 파일: 파일 접근 및 바로가기 정보
• Jump List: 프로그램에서 사용한 파일 관련 기록
• 브라우저 기록: 웹사이트 방문 및 일부 다운로드 흔적

다만 각 기록은 생성 조건과 해석상의 한계가 있으므로 종합적인 분석이 필요합니다.

 

8. 업무용 스마트폰도 기업포렌식이 가능할까?

기업포렌식의 분석 대상은 컴퓨터에만 한정되지 않습니다.

회사에서 지급한 업무용 스마트폰도 사건에 따라 분석 대상이 될 수 있습니다.

예를 들어 업무 관련 문자메시지, 통화기록, 파일, 앱 데이터 등을 확인해야 하는 경우가 있습니다.

다만 분석 가능 범위는 스마트폰 기종, 운영체제, 암호화 상태, 데이터 보존 여부 등에 따라 달라집니다.

또한 회사 지급 스마트폰이라도 개인정보와 사적인 통신 내용이 포함될 수 있으므로 적법한 접근 권한과 분석 범위를 확인해야 합니다.

9. 기업 내부정보 유출과 타임라인 분석

기업포렌식에서는 여러 디지털 기록을 시간순으로 정리하는 **타임라인 분석(Timeline Analysis)**이 중요합니다.

예를 들어 퇴사 전 특정 기간 동안 중요 문서 접근, 파일 삭제, USB 연결, 프로그램 실행 등의 기록을 비교할 수 있습니다.

이러한 기록을 시간순으로 정리하면 사건과 관련된 활동을 체계적으로 파악하는 데 도움이 됩니다.

하지만 시간정보가 비슷하다는 이유만으로 두 행동 사이의 인과관계가 증명되는 것은 아닙니다.

타임라인 분석은 확인된 디지털 기록을 정리하는 과정이지 사용자의 의도나 위법성을 자동으로 판단하는 기술은 아닙니다.

10. 기업포렌식 전 원본 보존이 중요한 이유

회사 자료 유출이 의심된다고 해서 해당 PC를 계속 사용하거나 복구 프로그램을 설치하는 것은 신중해야 합니다.

컴퓨터를 사용하는 과정에서 새로운 로그와 임시파일이 생성되고 기존 데이터 상태가 변경될 수 있기 때문입니다.

법적 분쟁 가능성이 있다면 원본을 최대한 보존하고, 상황에 따라 포렌식 이미지나 분석용 복제본을 확보하는 것이 좋습니다.

또한 해시값 등을 활용해 데이터의 동일성을 확인하고 분석 과정을 기록할 수 있습니다.

다만 전원이 켜진 PC는 암호화와 휘발성 데이터 문제를 고려해야 하므로 장비 상태에 맞는 보존 절차를 선택해야 합니다.

11. 기업포렌식은 어떤 절차로 진행될까?

일반적인 기업포렌식 진행 과정은 다음과 같습니다.

① 사건 내용 및 분석 목적 확인

자료 유출 의심 상황과 분석 대상, 기간, 적법한 접근 권한을 확인합니다.

② 원본 장비 및 데이터 보존

PC, 저장장치, 관련 로그 등의 원본 상태를 최대한 보존합니다.

③ 포렌식 데이터 확보

상황에 따라 디스크 이미지나 분석용 복제본을 확보합니다.

④ 디지털 흔적 분석

파일시스템, USB, 프로그램 실행, 브라우저 및 관련 시스템 기록 등을 분석합니다.

⑤ 타임라인 구성

사건과 관련된 활동을 시간순으로 정리합니다.

⑥ 포렌식 보고서 작성

확인된 사실, 분석 방법, 결과 및 한계사항 등을 객관적으로 정리합니다.

 

12. 법원 제출용 기업포렌식 보고서

기업포렌식 결과가 영업비밀 관련 분쟁이나 손해배상청구 등 법적 절차에 활용될 예정이라면 분석 과정의 객관성이 중요합니다.

보고서에는 분석 대상, 데이터 확보 과정, 분석 방법, 확인된 기록과 시간정보 등을 정리할 수 있습니다.

특히 실제로 확인된 사실과 분석자의 추정을 명확하게 구분해야 합니다.

또한 자료 확보의 적법성, 개인정보 보호, 원본 보존 및 분석 과정의 신뢰성도 고려해야 합니다.

포렌식 보고서가 작성되었다는 이유만으로 법원에서 자동으로 증거로 인정되는 것은 아닙니다.

실제 제출 방법과 증거가치는 사건에 따라 달라질 수 있으므로 법률전문가와 함께 검토하는 것이 좋습니다.

13. 기업포렌식 비용은 어떻게 결정될까?

기업포렌식 비용은 분석 대상과 작업 범위에 따라 달라질 수 있습니다.

대표적인 고려 요소는 다음과 같습니다.

• 분석할 PC와 저장장치의 수량
• 저장장치 용량과 상태
• 삭제파일 복구 필요 여부
• USB 및 파일 사용 기록 분석 범위
• 서버·스마트폰 등 추가 분석 대상
• 분석 기간과 데이터의 복잡성
• 보고서 작성 및 결과 설명 범위

예를 들어 USB 연결 기록만 확인하는 작업과 여러 대의 PC에서 내부자료 유출 정황을 종합 분석하는 작업은 범위가 다릅니다.

따라서 정확한 비용은 사건의 목적과 분석 대상을 확인한 뒤 산정하는 것이 합리적입니다.

---

14. 기업포렌식 자주 묻는 질문(FAQ)

Q1. 기업포렌식으로 퇴사자가 삭제한 파일을 복구할 수 있나요?

저장장치 종류와 삭제 방식, 이후 사용 상태 등에 따라 일부 복구가 가능한 경우가 있습니다. 하지만 모든 삭제파일을 복구할 수 있는 것은 아닙니다.

Q2. USB로 회사 자료를 복사했는지 확인할 수 있나요?

USB 연결 흔적을 확인할 수 있는 경우가 있습니다. 다만 연결 기록만으로 특정 파일의 복사 여부를 단정할 수는 없으며 다른 관련 기록을 함께 분석해야 합니다.

Q3. 퇴사자가 인터넷 사용 기록을 삭제했다면 어떻게 하나요?

브라우저 기록 외에 다른 관련 시스템 흔적이 남아 있는지 검토할 수 있습니다. 다만 모든 삭제 기록을 복구할 수 있는 것은 아닙니다.

Q4. 기업포렌식은 SSD에서도 가능한가요?

가능합니다. 다만 SSD의 TRIM과 내부 저장관리 특성 때문에 삭제된 파일의 원본 복구가 어려울 수 있습니다. 시스템 기록 등 다른 분석 가능성은 별도로 검토할 수 있습니다.

Q5. 기업포렌식 결과를 법원에 제출할 수 있나요?

사건과 관련된 디지털 자료와 분석 보고서를 제출 자료로 검토할 수 있습니다. 다만 적법한 확보 과정, 신뢰성, 사건과의 관련성 등을 함께 고려해야 합니다.

 

---

마무리｜기업포렌식, 회사 자료 유출은 디지털 기록으로 확인해야 합니다

기업포렌식은 회사 컴퓨터와 저장장치 등에 남아 있는 디지털 흔적을 분석하여 자료 삭제, USB 사용, 파일 접근, 이메일·클라우드 사용 등과 관련된 사실관계를 확인하는 작업입니다.

특히 퇴사자 PC 조사나 내부정보 유출이 의심되는 상황에서는 원본 보존과 객관적인 분석이 중요합니다.

하지만 USB 연결이나 파일 삭제 기록이 있다는 이유만으로 회사 자료 유출을 단정해서는 안 됩니다.

실제로 확인된 기록과 추정을 구분하고 여러 디지털 흔적을 종합적으로 검토해야 합니다.

회사 자료 삭제나 내부정보 유출이 의심된다면 PC를 초기화하거나 재사용하기 전에 원본을 보존하고, 적법한 범위에서 기업포렌식을 검토하는 것이 좋습니다.

디지털포렌식의 목적은 원하는 결론을 만드는 것이 아니라 실제로 남아 있는 데이터를 통해 당시 상황을 객관적으로 확인하는 것입니다.

 

파주포렌식데이터복구기술원 경기 파주시 금바위로 42