보안팀들은 e-디스커버리 요건 사항을 처리하는데 있어 그들이 담당해야 할 역할의 중요성을 배우고 있다.

태만한 사업체에 대한 한 여성의 기록적인 법정 승리에 관한 이야기를 그린 영화 ‘에린 브로코비치’에는 634명 고소인의 서류 파일로 사무실이 하나 가득 채워진 장면이 나온다. 엄청난 양의 정보였다.

그러나 오늘날 조직 내 정보의 가장 큰 몫을 차지하는 것은 전자(Electronic)다. 이 전자 정보(ESI : Electronically Stored Information)는 민사 사건에서 각 측의 법률 팀이 서로에게 광범위한 증거를 요구하면서 점점 더 소송의 중심으로 등장하고 있다.

2006년 12월 미 연방 민사소송 절차법(FRCP : Federal Rules of Civil Procedure)의 변화와 함께 ESI는 종이 서류로 가득한 기존의 박스들이 갖고 있던 모든 법적 권한을 부여받았다. 즉, 전자 정보(ESI)가 중요한 증거가 될 수 있다는 것을 의미하며 따라서 그에 걸맞게 처리되어야만 한다. IT 팀들은 중요한 ESI의 저장, 검색 및 생산에 있어 중요한 역할을 한다. 그런데 왜 e-디스커버리가 보안 이슈인가? 그것은 e-디스커버리가 정보의 통합과 가용성, 일부 경우에는 기밀성과도 관련 있기 때문이다. 이와 같은 근본적인 보안의 목표에 도달하기 위해 보안팀이 e-디스커버리에 관련된 요건 사항과 과제를 이해해야만 한다는 것이 분명해지고 있다.

일반적인 함정

민사 소송 초반, 법률 팀은 소송과 관련 있는 증거들의 유형 결정에 직면한다. 이러한 개시(開示 : Discovery) 절차는 이메일, 워드 프로세싱 문서, 트랜잭션 로그뿐만 아니라 변호사가 소송에서 승리하는데 도움이 될 것이라고 생각하는 다른 데이터에 대한 요구를 동반한다. IT와 보안팀은 e-디스커버리를 처리하는 방법에 대해 숙고하는 과정에서 종종 실수를 저지르는데 그것은 그들이 요건 사항을 완전히 이해하지 못하거나 변호사와의 커뮤니케이션이 원활하지 못하기 때문이다. 일반적인 실수 세 가지는 다음과 같다.

1. 위기관리를 위한 최고의 방법은 모든 정보를 영원히 저장하는 것이라는 생각

이는 사실이 아니다. 솔직히 모든 정보를 저장하는 것은 비용면에서 효율적이지도 않다. 비록 스토리지의 비용이 계속 낮아지는 추세라 할지라도 기업이 연간 생성하는 ESI의 양은 압도적이다.

또한 모든 정보를 저장하는 것이 고가의 비용을 요구하는 것이 아니라 할지라도 법원은 기업이 이러한 과정을 따르기를 기대하지 않는다. 정보는 업무의 정상적인 흐름에서 파괴되어야 한다. 중요한 것은 보관 및 파기 정책들이 잘 연관되어있고 조직 전반에 잘 알려져 있으며 적절하게 지속적으로 준수되고 있는가 하는 것이다. 주요 절차 보류 통고란 합리적으로 분명하게 예상되는 사건에 관련된 정보는 정보 수명 주기의 정상적인 파기 단계에서 제외되어야만 한다는 것이다. 즉, 저장되어야만 한다.

게다가 과도한 정보 저장은 있어서는 안 되는 또 다른 위험을 야기한다. 오래된 정보를 막연히 보관함으로써 기업들은 해당 사건에는 필수적이지 않은 그 정보가 일상적으로 폐기되었더라면 종결될 수도 있었던 또 다른 사건수사에 길을 열어주게 된다. 따라서 기밀성을 보호하던 사실들을 노출시킬 수도 있는 것이다. 어떠한 변호사도 고의적인 증거 폐기에 대해 조언할 수 없기는 하지만 비즈니스 기록은 편리한 수명을 가지고 있으며 그 수명이 다하면 그 정보는 처분되어야만 한다는 것은 분명한 사실이다. 이때 중요한 고려사항들은 다음과 같다.

●어떠한 외부 요건들이 정보의 지속적인 보관을 요구하는가? 이것은 법정 소송들뿐만 아니라 규정 요건 사항이나 조사 등을 포함할 수 있다.

●표준 폐기 절차의 보류를 요구하는 진행 중인 소송이나 또는 앞으로 있을 법한 소송이 무엇인가? 이것은 공식적으로 ‘법정 보존’으로 알려져 있으며 법률 팀이 결정해야 하는 것이다.

2. 검색의 편의를 위해 데이터가 대규모로 집중화되어야 한다는 생각

레포지토리나 실제 생산품의 수가 감소하는 것이 도움이 된다해도 ‘슈퍼 스토리지 저장소’를 만드는 것은 적합하지 않다. e-디스커버리에 대한 모든 분별 있는 대응은 필연적으로 다중 데이터 소스와 다양한 기술적 접근을 수반할 것이다.

기업들은 문제에 착수하기 위해 검색, 맵핑, 카테고리 구분 및 분류를 포함한 수많은 다양한 기술을 채택해야만 할 것이다. 예를 들어 SAP의 배치 수를 20에서 10까지 줄이는 것은 분명 도움이 될 수 있다. 그러나 많은 기업들의 경우, 관련 문서와 기록들의 위치를 아는 것만으로도 그들의 현 상황보다 한 단계 업그레이드 될 것이다.

3. 대부분의 e-디스커버리 문제들은 단연 이메일과 관련 있다는 생각

이러한 실수는 일부 업체와 미디어의 보도에 의해 와전된 탓이라고 할 수 있다. 이메일은 물론 중요하고 종종 법적 증거의 중요한 부분이 되기도 하지만 그것은 검색되고 보관되며 제시될 필요가 있는 수많은 기록들 중 하나일 뿐이다. 어떠한 기업도 단순히 이메일 아카이브와 검색 툴을 배치하는 것만으로 e-디스커버리 과제를 만족시킬 수 없을 것이다. 이메일의 적절한 관리는 필수조건 중 하나 일뿐, 충분조건은 아니다.

모래밭에서 바늘 찾기

데이터가 저장되고 비즈니스의 정상적인 과정의 일부로 사용된다면 그것은 디스커버리에 이용 가능할 것이다. 법원은 모래밭에서 바늘을 찾는 것은 너무 어렵다는 주장에 대해 관용을 베풀지 않는다.

이메일 메시지나 전자 비즈니스 문서와 같이 일부 데이터 유형은 분명하다. 그러나 보안팀들은 종종 비디오나 이벤트로그와 같은 소스에 관해 혼란을 겪는다(‘증거 소스’ 참조). 궁극적으로 법률 변호사는 정보의 적용에 관한 규칙을 지켜야 하지만 수많은 유형의 ESI가 감사나 보안 목적으로 생성되고 저장되기 때문에 이것은 법정에서 만만한 사냥감이 된다. 예를 들어 어떤 기업은 접근 통제 로그를 HIPAA와 같은 규정에 대한 통제의 증거로 사용하기로 결정할 수도 있다. 이러한 로그들은 항상 저장되고 비즈니스를 위해 사용되기 때문에 기업의 e-디스커버리 범주에 속하게 된다.

비디오의 경우도 마찬가지다. 많은 기업들은 물리적인 보안을 위해 디지털 보안 비디오를 저장하고 주기적으로 검토하고자 한다. 그 외의 기업들도 테이프들이나 디지털로 저장된 음성 메시지 기록들을 보관한다. 이러한 데이터는 법정 소송에서 장기적인 관리에 영향을 끼칠 수도 있다.

궁극적으로 ESI 수명주기와 보유에 관련된 비즈니스 프로세스에 있어 불확실성이란 결코 있을 수 없다. 기업은 그들이 보관하고 있는 것, 보유와 폐기에 관한 정책, 그리고 기업 전반(IT뿐만 아니라 비즈니스 단체와 개별 사용자 의무까지)에 걸친 데이터 관리자의 책임에 대해 분명히 해야 한다. 또한 향후의 소송 건을 모니터하고 정보 관리 실무를 이해하며 적절히 처리되어(관련 정보를 파기하지 않는) 보관된 것들을 확실히 하기 위해 법률 변호사와 IT그룹 사이에 친밀한 관계가 형성되어야만 한다. IT 팀은 데이터의 위치, 수집 시기, 접근 및 통제하는 사람, 업무 외 시간 동안의 관리 방법뿐만 아니라 그것이 얼마나 빨리 복구 및 검색될 수 있는지에 대한 질문에 대한 답을 할 수 있어야만 한다.

성숙 모형

어떤 기업이 e-디스커버리에 대해 충분히 준비되지 않았다면 신중하게 취해야 할 단계에는 무엇이 있을까? 여기에서 만큼은 비용 삭감이 IT와 보안에 관해 논쟁의 대상이 될 수 있다. 수동 기록 검색에는 엄청난 비용이 요구되고 부정적인 판결은 기업에 좋을 것이 없기 때문에 저장, 위치 지정, 전자 증거 생성의 절차를 자동화하기 위한 인프라스트럭처 증대와 정책 변화를 위한 사례를 만드는 것이 합리적이다.

대부분의 선진 기업들은 e-디스커버리를 정보 관리 표준 수명 주기에 통합시킬 것이다(‘개선 방향’ 참조). 예를 들어 정보 생성을 하는 동안 기업들은 컨텍스트를 설정하고 정책 실행을 돕는 데이터에 표시어를 적용할 것이다. ‘프로젝트 : WidgetCo’, ‘최종 수정 : <일시>’, ‘비즈니스 단위 : 제조’ 등을 예로 들 수 있다. 데이터가 저장되면 e-디스커버리 툴은 위치, 정책 및 정보의 관련 특징 등을 표시할 것이다. 이것은 ‘WidgetCo 데이터가 어디 있는가?’하는 질문과 해당 리소스의 간략한 리스트를 수신하는데 중심적인 수단을 제공한다.

이처럼 데이터는 보관되는 것이기 때문에 디듀플리케이션 될 수 있고(따라서 단 하나의 정식 복제본만 존재한다), 민감한 메타데이터(거래 기밀 등)가 이동되거나 주지된 법정 소송이 계류 중이라면 저장을 위해 표시될 수 있다.

그러나 정보 수명 주기 관리에 있어 까다로운 부분은 점점  증가하고 있는 모바일 세상의 사용자들이 종종 그들의 개별 시스템에서 생성하는 중요한 데이터들이다. 이것은 “사용자의 PC는 어떻게 해야 하는가?”하는 질문을 던진다.

두 가지 해법이 있다. 한 가지 방법은 이 문제를 솔직하게 법률 전문가와 상의하는 것이다. ESI 규칙이 여전히 비교적 새로운 것이라는 점을 생각해보면 법정이 어떻게 반응할지는 아직 분명치 않으며 오직 기업의 변호사들만이 최종 변론을 할 수 있기 때문이다. 다른 하나는 사용자 환경에 대해 가능한 추가적인 통제를 평가하고 실시하는 것이다. 컨텐츠 인지 에이전트, 모니터링, 또는 권한 관리 솔루션보다는 무작위 또는 광범위한 감사의 탐지 및 억제 효과를 통한 개선된 호스트 정책을 시행하는 것이 하나의 접근 방법이 될 수 있다. 궁극적으로 모든 기술 선택은 정책과 과정, 그리고 사용자에 관해 예측되는 것에 대한 분명한 인식과 사용자 훈련으로 보강되어야만 한다.

툴(Tool)

업체들이 e-디스커버리 요건 사항에 대응하고 있기는 하지만 e-디스커버리 시류에 완전히 적응한 것은 아니다. 많은 기업들은 여전히 소송에 필요한 데이터를 생성하고 찾을 수 있도록 도와주는 특정한(또한 높은 가격의) 서비스 제공사들로 향한다.

그러나 많은 IT 솔루션들은 ESI의 스토리지, 위치, 보존 및 생성과 관련 있다. 예외가 있다면 아마도 안티 맬웨어 솔루션, 방화벽, 그리고 기타 유사 기술과 같이 순수 보안 인프라스트럭처 제품들일 것이다. 반면 보안 제품들은 상당히 중요한 ESI 통합을 보호하는데 도움이 될 것이다.

해당 툴의 유형은 다음과 같다.

●e-디스커버리 포인트 솔루션 : 일부 업체들은 e-디스커버리 수명 주기를 명확하게 지정하는 것으로 알려져 왔다. 이러한 툴은 정보 레포지토리 내의 중요한 데이터의 위치를 설정하고 법적인 보유와 워크플로우를 추적하는 것을 도와주며 소송에 필요한 정보의 사본들을 보관함으로써 ‘원 스톱 쇼핑’을 제공한다. 이러한 카테고리 내에서 예로 들 수 있는 업체들은 PSS 시스템즈(PSS Systems)와 아이언 마운틴(Iron Mountain)사의 스트래터파이(Stratify) 부서가 있다.

●비즈니스 정보 저장 : 문서 관리, 웹 컨텐츠 관리, 레코드 관리, 이메일 보관, 파일 시스템(로컬, 스토리지 범위, 네트워크 와이드)과 다른 많은 장소들이 중요한 기록의 저장소에 해당된다. 보안팀을 위한 중요한 교훈은 사법, 또는 규제 영향의 위협 하에서는 모든 수단을 다 동원해야 한다는 것이다. 또한 부차적인 정보 레포지토리들은 보관 및 생성과 관련될 수 있다. 특히 비즈니스 수행의 일부로 사용되는 다양한 IT로그들은 디스커버리의 범위에 해당될 수 있다. 예를 들어 어떤 이벤트 로그가 특정한 이메일이 발송된, 또는 트랜잭션이 실행된 시기에 관한 주장을 뒷받침 할 수도 있다. 네트워크 관리 콘솔, 로그 관리 솔루션, 그리고 보안 정보 관리(SIM : security information management) 제품들이 모두 이 분야에서 활약하고 있다.

●정보 위치 설정 : 분류 툴은 차후 데이터 검색에 유용한 메타데이터를 포함하는 레포지토리나 정보에 표시하는 것을 돕는다. 일반적으로 분류 툴이 디스커버리 목적으로 사용된 적은 없지만 업체들은 실제 사례에 빠르게 적용하고 있다. EMC의 인포스케이프(InfoScape)와 스토어드 IQ(StoredIQ)를 예로 들 수 있다. 향후의 디스커버리를 위해 컨텐츠를 다양한 리소스로 구분하는 방법을 제공하는 검색 툴이 보다 일반적이다. 웹 검색, 데스크 탑 검색, 기업 검색 및 분류 관리 제품들이 이에 해당한다.

●정보 변환 : e-디스커버리 규정은 상대편이 정보를 본래의 포맷뿐만 아니라 다른 포맷으로 요구하는 것을 허용한다. 어떤 경우에 어떤 종류의 데이터 변환이 요구될지를 사전에 예측하기는 어렵다. 다양한 제품들이 파일의 포맷을 변경할 수는 있지만 그것들 중 어떤 것도 구성적인 사항을 고려하는 수준까지는 도달하지 못 했다. 그것은 그때그때 사용되는 전략적인 툴에 불과할 뿐이다.

커뮤니케이션

e-디스커버리 과정에서 중요한 단계는 e-디스커버리의 의미를 이해하기 위해 법률 팀과 대화하는 라인을 여는 것이다. 이것은 쉽지 않을 것이다. IT와 법률 팀 사이의 줄다리기는 목적의 성취를 위해 필요한 것에 관한 논쟁에서 비롯된 것일 수도 있다.

예를 들어 법률은 비용 및 리소스 집약적인 정보 검색 시스템과 기록 보관을 요구함으로써 IT 예산을 공중분해 시킬 수도 있다. 통보도 없이 IT 팀에게 엄청난 양의 일을 안겨주는 법적 보류(보관 요구)를 막판에 요청하는 것도 또 다른 예가 될 수 있다. 이것은 비용과 수요의 균형을 잡기 위해 어떤 비즈니스 관리 감독을 필요로 하는 미묘한 관계일 수도 있다.

또한 내부적인 리더십을 개발하는 것이 현명하다. 수많은 대기업들이 회사 전반에 걸친 IT 성과를 끌어내기 위해 필요했던 것과 마찬가지로 e-디스커버리 역시 그것을 위한 특정한 역할을 생성할 필요가 있는 매우 중요한 것으로 생각하고 있다. 이러한 ‘e-디스커버리 전문가들’은 법률 팀과 IT/보안 단체 사이의 틈을 메운다. 그들은 업무상의 이슈들에 관한 커뮤니케이션을 용이하도록 하며 e-디스커버리 개선을 위한 프로젝트를 관리를 돕는다.

신중한 기술의 변화 역시 필요할 것이다. 기업들이 모든 것을 저장해서는 안 된다 할지라도(너무 많은 비용과 위험이 동반되므로) 그들에게는 저장할 필요가 있는 것을 적절히 보관하고 민감한 메타데이터를 알맞게 처리하며 법률 팀의 요구 사항에 맞춰 데이터를 변환할 수 있는 자동화된 시스템이 필요하다.

정책을 강화하고 주의 깊은 기술 선택을 통해 기업들은 시간이 흐를수록 e-디스커버리 대응을 개선할 수 있다. 법률과 보안팀이 보다 밀접하게 협업하게 됨에 따라 정보 수명 주기의 실행을 정의하고 준수하여 기업들이 법정에서 결과를 놓치는 일이 없도록 하는 것이 중요한 이슈가 될 것이다.

[PROCEDURES]

고정관념을 버려라

전자 증거를 처리하기 위해  과도한 주의를 기울일 필요는 없다.

기업들은 보안의 순환 내에서 끊임없이 존재하고 있는 일련의 보관 신화에서 벗어날 필요가 있다. 비유적으로 말하자면 흰 장갑을 낀 채 비닐봉지와 집게를 들고 증거를 다뤄야만 한다는 생각은 신화에 불과하다. 다시 말해 ESI가 극도로 변질 방지되어야하고 순결한 처리 과정을 거쳐 법정에 제출될 때 흰 눈처럼 순수해야만 한다는 가정은 결코 사실이 아니다.

기업들은 법을 시행하는 단체가 아니며 대개 그들이 관련된 사건들도 범죄와 관련된 것이 아니다. ESI는 비즈니스 기록을 의미하며 그것이 정책에 맞게 저장되는 한, 그리고 비즈니스를 유지하는 정상적인 IT 수행의 일부에 해당하기만 한다면 그것은 e-디스커버리의 목적에 적합하다.

미 연방 증거법(Federal Rules of Evidence)에 따르면 ‘데이터가 조작될 수 있기 때문’이라는 것은 그것이 사용될 수 없다는 것을 의미하는 것은 아니다. 기업은 단지 정보를 수집하고 저장하기 위해 사용한 방법이 근본적으로 신뢰할만한 것인지를 보여주어야만 할 뿐이다.

접근 통제, 또는 정보를 삭제하고 수정할 수 있는 관리자의 행위에 관한 로그와 같은 신중한 통합 보안을 채택해야 하지만 정교한 디지털 서명 인프라스트럭처나 암호 체크섬(checksum)이 요구되지는 않을 것이다.

이것은 법률 팀과 논의할 가치가 있는 문제다. 수십억의 안티트러스트 조사에 응해야 했던 마이크로소프트사의 고위 간부들을 생각해보라. 그 사건에도 ESI를 위한 복잡한 변경금지 메커니즘 따위는 없었지만 증거는 유효했다.

<글·트렌트 헨리(Trent Henry)>

[정보보호21c (info@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>