KR101182692B1

KR101182692B1 - 퇴직자 또는 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법 및 시스템

Info

Publication number: KR101182692B1
Application number: KR1020100114354A
Authority: KR
Inventors: 박원준; 김종현
Original assignee: 주식회사 더존정보보호서비스
Priority date: 2010-11-17
Filing date: 2010-11-17
Publication date: 2012-09-14

Abstract

본 발명에 따라서 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법이 제공되는데, 상기 방법은 (a) 퇴직자가 발생하거나 혹은 감사 대상자의 감사 이슈가 발생한 경우, 퇴직자 혹은 감사 대상자가 아닌 관리자의 컴퓨터로부터 상기 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 요청 신호를 수신하는 단계로서, 상기 요청 신호에는 퇴직자 혹은 감사 대상자의 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 운영체제(OS), 주요 설치 소프트웨어 및 증거 보전 처리 요청일자 중 하나 이상의 정보가 포함되는 것인, 상기 요청 신호 수신 단계와; (b) 상기 증거 보전 처리 요청 신호에 포함된 퇴직자 혹은 감사 대상자 컴퓨터에 대한 정보에 기초하여, 상기 퇴직자 혹은 감사 대상자 컴퓨터에 데이터 통신 가능하게 원격 접속하는 단계와; (c) 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터에 원격 데이터 수집 프로그램을 설치하는 단계로서, 상기 프로그램은 상기 퇴직자 혹은 가사 대상자 컴퓨터를 원격 제어하여 해당 컴퓨터의 하드 디스크 이미지 자체를 복사하는 agent 프로그램과 그 복사된 데이터를 업로드하기 위한 업로드 솔루션을 포함하는 것인, 상기 프로그램 설치 단계와; (d) 상기 설치된 원격 데이터 수집 프로그램을 이용하여, 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 활성 데이터를 수집하고, 해당 컴퓨터의 입출력 인터페이스를 이용하여 그 컴퓨터의 저장 매체에 기록된 데이터 원본과 동일한 복제본을 생성하여 저장하는 단계와; (e) 상기 저장된 활성 데이터 및 복제본에 대하여 레지스트리 정보 분석, 수집된 데이터를 파일의 확장자별로 분류하는 분석, 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구 중 적어도 하나의 분석 처리를 수행하고 그 결과를 저장하는 단계와; (f) 상기 분석 결과를 상기 관리자의 컴퓨터로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력하는 단계를 포함하는 것을 특징으로 한다.

Description

퇴직자 또는 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법 및 시스템{METHOD AND SYSTEM FOR PRESRVING DIGITAL INFORMATION EVIDENCE FOR COMPUTER OF RETIRED OR INSPECTION OBJECT}

본 발명은 통신망을 이용한 증거 보전 방법 및 시스템에 관한 것으로서, 보다 구체적으로는 퇴직자 또는 내부 직원의 정보 유출 증거를 확보할 수 있는 통신망을 이용한 퇴직자 또는 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법 및 시스템에 관한 것이다.

최근 들어 산업기술 유출이 사회문제가 되고 있다. 최근 5년간 산업기술 유출시도 대략 200건, 피해액 추정 235조에 이르고 있으며, 기업들 대부분의 기술 및 영업비밀의 유출 사건은 기업 내부자에 의해 이루어지고 있다. 이러한 기술유출은 대부분 유출자 자신이 갖고 있는 컴퓨터에 기술 관련 파일을 저장하는 방식으로 기술을 유출한 뒤 퇴직하는 방식으로 많이 이루어지고 있다. 이러한 기술 유출과 관련하여 기존에 여러 디지털 증거 확보 노력이 이루어지고 있으나, 그 한계가 있다.

예컨대, 기업에서는 기업 정보의 유출을 방지하기 위해 영구 삭제 솔루션을 많이 사용하고 있으며, 산업기술 유출이나 영업비밀 유출 사건의 인지 시점이 너무 늦다(예컨대, 평균적으로 사건 발생 이후 최소 6개월에서 3년 이내에 해당 사건을 인식한다). 게다가, 퇴직자 발생시 해당 컴퓨터 및 하드디스크가 재활용되는 경우가 많아, 기술유출이 있었다 하더라도 그 기술유출의 흔적을 찾아낼 수 없고 또 기술유출의 증거를 확보하기가 어렵다. 예컨대, 퇴직자의 하드 디스크를 후임자가 사용하거나 타인이 사용하는 경우, 퇴직자에 의한 정보 유출 증거를 확보할 수가 없다. 더욱이, 퇴직자가 고의적으로 데이터를 삭제하거나 하드 디스크를 포맷하게 되면, 그 증거 확보가 어려울 수가 있다.

또한, 대부분의 기업에서는 디지털 증거 분석을 위한 전담부서를 갖고 있지 않으며, 이러한 전담 부서를 운영하기에는 투자 비용 및 유지 보수 비용이 높다는 문제가 있다. 더욱이, 최근 프로그램의 발달로 일반인도 삭제 프로그램을 이용하여 하드디스크 내의 데이터를 영구적으로 삭제할 수 있게 되어, 증거 확보도 점점 어려워지고 있어, 혹 기술유출이 발생하는 경우 그에 대한 증거 수집이 사실상 불가능할 수도 있다는 문제점이 있다.

본 발명은 상기한 종래 기술에서 나타나는 문제점을 해결하기 위한 것으로서, 내부 직원 혹은 퇴직자에 의한 디지털 자료의 유실을 방지할 수 있는 통신망을 이용한 증거 보전 방법 및 시스템을 제공하는 것이다.

본 발명의 다른 목적은 내부 직원 혹은 퇴직자에 의한 기술 유출시 해당 직원 또는 퇴직자의 컴퓨터를 통해 해당 이슈(내부 감사 혹은 퇴직시) 발생시 즉각적으로 기술 유출의 증거를 확보할 수 있는 통신망을 이용한 증거 보전 방법 및 시스템을 제공하는 것이다.

본 발명의 또 다른 목적은 퇴직자의 컴퓨터에 저장된 데이터를 보전하여, 해당 퇴직자에 의한 기술 유출과 관련하여 소송이 발생하는 경우, 신속하게 관련 증거를 확보할 수 있도록 해주는 통신망을 이용한 증거 보전 방법 및 시스템을 제공하는 것이다.

본 발명의 또 다른 목적은 투자 비용 및 유지 보수 비용이 많이 드는 디지털 증거 분석을 위한 전담 부서를 설치하지 않아도, 기술유출과 관련한 증거를 확보할 수 있도록 해주는 통신망을 이용한 증거 보전 방법 및 시스템을 제공하는 것이다.

상기 목적을 달성하기 위하여, 본 발명에 따라서 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법이 제공되는데, 상기 방법은 (a) 퇴직자가 발생하거나 혹은 감사 대상자의 감사 이슈가 발생한 경우, 퇴직자 혹은 감사 대상자가 아닌 관리자의 컴퓨터로부터 상기 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 요청 신호를 수신하는 단계로서, 상기 요청 신호에는 퇴직자 혹은 감사 대상자의 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 운영체제(OS), 주요 설치 소프트웨어 및 증거 보전 처리 요청일자 중 하나 이상의 정보가 포함되는 것인, 상기 요청 신호 수신 단계와; (b) 상기 증거 보전 처리 요청 신호에 포함된 퇴직자 혹은 감사 대상자 컴퓨터에 대한 정보에 기초하여, 상기 퇴직자 혹은 감사 대상자 컴퓨터에 데이터 통신 가능하게 원격 접속하는 단계와; (c) 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터에 원격 데이터 수집 프로그램을 설치하는 단계로서, 상기 프로그램은 상기 퇴직자 혹은 가사 대상자 컴퓨터를 원격 제어하여 해당 컴퓨터의 하드 디스크 이미지 자체를 복사하는 agent 프로그램과 그 복사된 데이터를 업로드하기 위한 업로드 솔루션을 포함하는 것인, 상기 프로그램 설치 단계와; (d) 상기 설치된 원격 데이터 수집 프로그램을 이용하여, 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 활성 데이터를 수집하고, 해당 컴퓨터의 입출력 인터페이스를 이용하여 그 컴퓨터의 저장 매체에 기록된 데이터 원본과 동일한 복제본을 생성하여 저장하는 단계와; (e) 상기 저장된 활성 데이터 및 복제본에 대하여 레지스트리 정보 분석, 수집된 데이터를 파일의 확장자별로 분류하는 분석, 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구 중 적어도 하나의 분석 처리를 수행하고 그 결과를 저장하는 단계와; (f) 상기 분석 결과를 상기 관리자의 컴퓨터로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력하는 단계를 포함하는 것을 특징으로 한다.

한 가지 실시예에 있어서, 상기 (e) 단계의 분석에 앞서, 미리 데이터 통신 가능하게 설정된 공증인 컴퓨터에 공증 요청 신호를 전송하고, 상기 공증인 컴퓨터로부터 상기 증거 보전 처리 대상의 컴퓨터에 저장된 데이터와 관련된 온라인 공증 결과 신호를 수신하는 공증 처리를 수행하는 단계를 더 포함할 수 있다.

한 가지 실시예에 있어서, 상기 (d) 단계에서의 활성 데이터는 시스템의 상태 정보, 네트워크의 상태 정보 및 메모리 상의 시간 정보를 포함할 수 있다.

한 가지 실시예에 있어서, 상기 (d) 단계에서 복제본 데이터 저장시 상기 해당 컴퓨터의 시간 정보를 외부의 시간 확인 가능 장치의 시간 정보와 비교하여, 일치하지 않는 경우 상기 해당 컴퓨터의 시간 정보를 상기 외부의 시간 확인 가능 장치의 시간 정보로서 확정하고, 그 시간 정보와 함께 상기 복제본 데이터를 저장할 수 있다.

한 가지 실시예에 있어서, 상기 (d) 단계에 있어서, 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 전원이 켜져 있으나, 화면 보호기가 작동하고 있는 경우, 그 화면 보호 상태를 해제한 후에 해당 컴퓨터의 활성 데이터를 수집할 수 있다.

한 가지 실시예에 있어서, 상기 (d) 단계에서의 복제본 생성시 복제본에 대하여 해쉬(Hash) 함수를 이용하여 원본과 동일하다는 것을 확인하는 복제본의 원본성을 보증하는 처리를 수행할 수 있다.

한 가지 실시예에 있어서, 상기 (d) 단계에서 생성된 복제본을 저장하기 전에 그 복제본에 대하여 암호화 처리 및 쓰기 방지 처리 중 하나 이상을 수행할 수 있다.

한 가지 실시예에 있어서, 상기 (e) 단계에 있어서, 상기 분석 결과 저장시 미리 정해진 등급에 따라 분석 결과의 보관일을 달리 지정하여 저장할 수 있다.

본 발명의 다른 양태에 따라서, 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 시스템이 제공되는데, 상기 시스템은 관리자의 컴퓨터로부터 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 요청 신호를 수신하는 증거보전 처리 요청 신호 수신부로서, 상기 요청 신호에는 퇴직자 혹은 감사 대상자의 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 운영체제(OS), 주요 설치 소프트웨어 및 증거 보전 처리 요청일자 중 하나 이상의 정보가 포함되는 것인, 상기 증거보전 처리 요청 신호 수신부와; 상기 증거 보전 처리 요청 신호에 포함된 퇴직자 혹은 감사 대상자 컴퓨터에 대한 정보에 기초하여, 상기 시스템을 퇴직자 혹은 감사 대상자 컴퓨터에 데이터 통신 가능하게 원격 접속하는 원격 접속부와; 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터에 원격 데이터 수집 프로그램을 설치하여 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 활성 데이터를 수집하고, 해당 컴퓨터의 입출력 인터페이스를 이용하여 그 컴퓨터의 저장 매체에 기록된 데이터 원본과 동일한 복제본을 생성하여 저장하는 원격 데이터 수집부로서, 상기 프로그램은 상기 퇴직자 혹은 가사 대상자 컴퓨터를 원격 제어하여 해당 컴퓨터의 하드 디스크 이미지 자체를 복사하는 agent 프로그램과 그 복사된 데이터를 업로드하기 위한 업로드 솔루션을 포함하는 것인, 상기 원격 데이터 수집부와; 상기 저장된 활성 데이터 및 복제본에 대하여 레지스트리 정보 분석, 수집된 데이터를 파일의 확장자별로 분류하는 분석, 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구 중 적어도 하나의 분석 처리를 수행하고 그 결과를 저장하는 데이터 분석부와; 상기 분석 결과를 상기 관리자의 컴퓨터로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력하는 분석 결과 출력부와; 상기 원격 데이터 수집부에 의해 수집되는 데이터를 상기 퇴직자 또는 감사 대상자별로 저장하는 증거 보전 데이터베이스와; 상기 데이터 분석부에 의해 분석된 분석 결과를 상기 퇴직자 또는 감사 대상자별로 저장하는 분석 결과 데이터베이스를 포함하는 것을 특징으로 한다.

한 가지 실시예에 있어서, 상기 시스템은 미리 데이터 통신 가능하게 설정된 공증인 컴퓨터에 공증 요청 신호를 전송하고, 상기 공증인 컴퓨터로부터 상기 증거 보전 처리 대상의 컴퓨터에 저장된 데이터와 관련된 온라인 공증 결과 신호를 수신하는 공증 처리부를 더 포함할 수 있다.

한 가지 실시예에 있어서, 상기 원격 데이터 수집부는 상기 복제본 데이터 저장시 상기 해당 컴퓨터의 시간 정보를 상기 시스템의 시간 정보와 비교하여, 일치하지 않는 경우 상기 해당 컴퓨터의 시간 정보를 상기 시스템의 시간 정보로서 확정하고, 그 시간 정보와 함께 상기 복제본 데이터를 저장할 수 있다.

한 가지 실시예에 있어서, 상기 원격 데이터 수집부는 상기 복제본 생성시 복제본에 대하여 해쉬(Hash) 함수를 이용하여 원본과 동일하다는 것을 확인하는 복제본의 원본성을 보증하는 처리를 수행할 수 있다.

한 가지 실시예에 있어서, 상기 원격 데이터 수집부는 상기 생성된 복제본을 저장하기 전에 그 복제본에 대하여 암호화 처리 및 쓰기 방지 처리 중 하나 이상을 수행할 수 있다.

한 가지 실시예에 있어서, 상기 데이터 분석부는 상기 분석 결과 저장시 미리 정해진 등급에 따라 분석 결과의 보관일을 달리 지정하여 상기 분석 결과 데이터베이스에 저장할 수 있다.

본 발명에 따르면, 퇴직자가 발생한 경우 혹은 감사 이슈가 발생한 경우, 관리자가 자신의 컴퓨터를 이용하여 본 발명의 시스템에 접속하여 소정의 정보를 포함하는 증거 보전 처리 요청 신호를 전송하기만 하면, 해당 요청일에 바로 상기 퇴직자 혹은 감사 대상자의 컴퓨터에 저장된 데이터에 대한 증거 보전 절차를 수행할 수가 있다. 따라서, 내부 직원에 의한 기술 유출의 위험을 방지할 수 있고 혹 유출이 된 경우에도 바로 유출 증거를 확보할 수 있어, 소송과 같은 만일의 사태에 대비할 수가 있다.

도 1은 본 발명의 한 가지 실시예에 따른 시스템의 접속 관계를 보여주는 도면이다.
도 2는 본 발명의 한 가지 실시예에 따른 시스템의 하드웨어 구성을 보여주는 기능 블록도이다.
도 3은 본 발명의 한 가지 실시예에 따라 퇴직자가 사용한 컴퓨터에 대한 증거 보전 처리를 수행하는 과정을 보여주는 흐름도이다.

이하에서는 첨부 도면을 참조하여 본 발명의 바람직한 실시예를 설명한다. 이하의 설명에 있어서, 당업계에 이미 널리 알려진 구성에 대한 설명은 생략한다. 이러한 설명을 생략하더라도 당업자라면 이하의 설명을 통해 본 발명의 특징적 구성을 쉽게 이해할 수 있을 것이다.

도 1에는 본 발명의 한 가지 실시예에 따라 퇴직자가 사용한 컴퓨터에 대한 증거 보전 처리를 수행하는 시스템(300)과, 증거 보전을 요청하는 수요자(예컨대, 기업)측 컴퓨터(100)와, 상기 증거 보전 처리를 수행함에 있어서 공증을 수행하는 공증인(예컨대, 변호사) 컴퓨터(200)의 통신 접속 관계가 개략적으로 도시되어 있다.

도 1에 도시한 바와 같이, 본 발명의 시스템(300)은 통신망(예컨대, 인터넷)을 통해 수요자측 컴퓨터(100) 및 공증인 컴퓨터(200)와 접속되어 있다. 수요자측 컴퓨터(100)는 퇴직자 혹은 감사 대상인의 컴퓨터(110)와 증거보전을 요청하는 관리자 컴퓨터(120)를 포함한다. 관리자 컴퓨터(120)로부터 증거 보전 요청이 있으면, 상기 시스템(300)은 상기 요청을 수신하여 이하에서 설명하는 바와 같이, 증거 보전 처리를 수행한다. 이하에서는, 상기 시스템(300)의 하드웨어 구성을 도 2를 참조하여 설명한다.

도 2에는 본 발명의 한 가지 실시예에 따른 시스템(300)의 하드웨어 구성이 기능 블록도 형태로 도시되어 있다. 증거보전 처리 요청 수신부(310)는 관리자 컴퓨터(120)로부터 증거 보전 처리 요청 신호를 수신한다. 즉 관리자가 자신의 컴퓨터(120)를 이용하여 상기 시스템(300)에 접속한 후, 증거 보전 처리 대상(감사 대상자 혹은 퇴직자)의 컴퓨터에 대한 정보(예컨대, 직원 또는 퇴직자 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 사용기간, OS, 주요 SW, 증거보전처리 요청 일자 등의 정보를 포함한다)를 작성한 후, 증거 보전 처리를 요청하면, 상기 정보를 포함한 증거 보전 처리 요청 신호가 증거보전 처리 요청 수신부(310)에 의해 수신된다.

상기 요청 신호가 수신되면, 원격 접속부(320)는 그 신호에 포함된 정보, 즉 정보 보전 처리를 수행할 대상의 컴퓨터 관련 정보에 기초하여, 본 실시예에서는 퇴직자 컴퓨터(110)에 원격으로 접속하여, 본 발명의 시스템(300)과 퇴직자 컴퓨터(110)를 데이터 전송 가능하게 접속한다.

이어서, 실시예에 따라서는 공증 관리부(330)가 기동하여, 공증인 컴퓨터(200)와 접속한다. 즉 추후 정보 유출 등과 관련하여 소송 자료로 사용하기 위해서, 증거 수집에 앞서 퇴직자 컴퓨터(110)에 기록된 데이터들에 대해 공증을 수행할 필요가 있을 수 있다. 이러한 경우에 대비하여, 원격 접속부(320)에 의해 퇴직자 컴퓨터(110)와 본 발명의 시스템(300)이 접속됨과 아울러, 공증 관리부(330)는 공증인 컴퓨터(200)에 대해 공증 요청 신호를 전송한다. 상기 공증 요청 신호를 수신한 공증인은 자신의 컴퓨터(200)를 통해, 증거 보전 처리 대상의 컴퓨터(110)에 저장되어 있는 데이터와 관련한 공증을 수행하고, 그 온라인 공증 결과를 송신한다. 공증 관리부(330)는 상기 공증 결과 데이터를 수신하여 퇴직자 컴퓨터(110)와 연관시켜 증거 보전 DB(370)에 저장한다.

한편, 원격 접속부(320)에 의해 퇴직자 컴퓨터(110)와 시스템(300)이 접속되면, 원격 데이터 수집부(340)는 원격 접속부가 접속한 퇴직자 컴퓨터(110)로부터 데이터를 수집하기 위한 프로그램, 예컨대 agent 프로그램과 업로드 솔루션을 전송하여, 상기 퇴직자 컴퓨터에 설치한다. 상기 설치된 데이터 전송 프로그램을 이용하여, 원격 데이터 수집부(340)는 퇴직자 컴퓨터(110)의 하드 디스크에 저장되어 있는 모든 데이터를 수집한다. 이때, 단순히 하드 디스크의 데이터를 백업하는 것이 아니라, 하드 디스크의 이미지 자체를 복사하여, 관련 모든 데이터를 수집하는데, 이러한 데이터에는 하드 디스크에 저장된 데이터, 삭제 데이터 등 하드 디스크 자체에 남아 있는 모든 데이터를 포함한다. 이러한 원격 데이터 수집부의 기능을 좀 더 상세하게 설명하면 다음과 같다.

먼저, 원격 데이터 수집부(340)는 퇴직자 컴퓨터(110)의 활성 데이터를 수집한다. 활성 데이터란 컴퓨터가 동작 중일 때 획득할 수 있는 정보로서, 시스템의 상태, 네트워크의 상태, 메모리 상의 데이터 시간 정보 등을 포함한다. 한편, 컴퓨터의 전원이 켜져 있으나 화면 보호기가 작동하고 있는 경우에는, 원격 데이터 수집부(340)는 그 화면 보호 상태를 해제시킨다. 이때, 임의의 키에 해당하는 입력을 이용하여 화면 보호 상태를 해제시킬 수 있는데, 엔터 키 등과 같이 현재 운영중인 화면 및 내부 데이터를 변경시킬 수 있는 키 입력 대신에, 가급적 컴퓨터 동작에 영향을 미치지 않는 키, 예를 들면 시프트 키에 해당하는 명령을 입력하는 것이 바람직하다. 또한, 원격 데이터 수집부(340)는 대상 컴퓨터(110)의 시간 정보를 확인한다. 즉 경우에 따라서, 증거 보전 처리 대상 컴퓨터(110)의 시간이나 날짜 등의 정보가 현재 증거 보전 처리를 수행하는 시간 정보와 일치하지 않을 수 있다. 따라서, 원격 데이터 수집부(340)는 본 발명의 시스템(300)의 시간 정보와 해당 컴퓨터(110)의 시간 정보를 비교한 후, 일치하지 않으면 본 발명의 시스템(300)을 기준으로 해당 컴퓨터(110)의 시간 정보를 확정한 후, 해당 컴퓨터로부터 수집되는 데이터 파일 정보와 상기 확정된 시간 정보를 함께 기록하여, 관련 데이터 파일이 정확히 언제 추출 및 저장되어 증거 보전 처리를 수행하였는지를 확인할 수 있도록 한다. 이어서, 원격 데이터 수집부(340)는 퇴직자 컴퓨터(110)의 하드 디스크 등의 저장 매체에 기록되어 있는 데이터를 수집한다. 이 데이터 수집 단계에서 원격 데이터 수집부(340)는 저장 매체(예컨대, 하드 디스크)에 기록된 데이터와 관련하여, 퇴직자 컴퓨터(110)의 입출력 인터페이스를 이용해 데이터의 복제본을 생성한다. 즉 퇴직자 컴퓨터(110)에 저장된 데이터는 원본으로서 보관하고, 원격 데이터 수집부(340)는 그 원본과 동일한 데이터를 포함하는 복제본을 생성하고, 이 복제본을 데이터 획득일, 생성된 데이터 정보와 함께 증거 보전 DB(370)에 저장한다. 이러한 복제본은 백업본이 아니라, 상기한 바와 같이, 하드디스크 전체의 이미지를 그대로 복사한 것으로서, 백업본과는 달리 삭제 파일 등의 데이터 등도 포함한다. 한편, 원격 데이터 수집부(340)는 복제본에 대하여 MD5, SHA1 등의 해쉬(Hash) 함수를 이용하여 원본과 동일하다는 것을 확인하는 과정을 수행하여 복제본의 원본성을 보증하는 처리를 실시할 수도 있다. 또한, 실시예에 따라서는 원격 데이터 수집부(340)는 상기 생성한 복제본을 증거 보전 DB(340)에 저장하기 전에, 그 복제본 대하여 암호를 설정하여 허락되지 않은 제3자에 의한 복제본 활용을 방지하기 위한 암호화 처리 기능 및/또는 한번 생성된 복제본의 데이터의 변경을 방지하기 위한 쓰기 방지 처리 기능을 수행하는 것이 바람직하다.

상기와 같이 원격 데이터 수집부(340)에 의해 퇴직자 컴퓨터(110)의 데이터가 수집되어 저장되면, 데이터 분석부(350)가 그 데이터에 대한 분석 작업을 수행한다. 구체적으로 데이터 분석부(350)는 증거 보전 DB(370)에 저장되어 있는 퇴직자 컴퓨터(110)의 데이터 복제본을 분석하여, 기본적으로 레지스트리 정보(예컨대, 윈도우 설치일, USB 사용 흔적 등) 분석을 포함하는 기본 분석을 수행하고, 그 분석 결과를 분석 결과 DB(380)에 저장한다. 본 발명에 따르면, 데이터 분석부(350)는 수집된 데이터를 파일의 확장자별로 분류하는 분석(확장자 변조된 파일 분석 및 시그니처 검색 포함), 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구를 수행한다. 한편, 데이터 분석부는 상기와 같은 분석 결과를 미리 정해진 등급에 따라 분석 결과 보관일을 지정하여 분석 결과 DB(380)에 저장한다. 예컨대, 중요 기밀 문서를 다루는 사람이 퇴직한 경우, 등급을 A 등급으로 설정하여, 예컨대 2년 동안 그 보관일을 지정하여 상기 DB에 저장할 수도 있다.

상기와 같은 분석이 완료되면, 분석 결과 출력부(360)는 데이터 분석부(350)에 의해 수행된 분석 결과를 관리자 컴퓨터(120)로 전송하여 디스플레이하거나, 별도의 출력 장치를 통해 출력한다.

이와 같이 본 발명에 따르면, 어느 기업에서 고용인의 퇴직이 발생한 경우 혹은 내부 직원에 대한 감사 이슈가 발생한 경우, 관리자가 그 퇴직자의 퇴직일 혹은 감사일에 맞춰 감사 대상자 혹은 퇴직자 컴퓨터(110)의 정보를 포함하는 증거 보전 처리 요청 신호를 본 발명의 시스템(300)에 전송하는 절차를 수행하기만 하면, 다른 특별한 조치 없이도, 감사 대상자 혹은 퇴직자 컴퓨터에 저장된 데이터와 관련한 증거 보전 절차를 수행할 수가 있다. 따라서, 내부 직원의 퇴직으로 인한 디지털 자료의 유실을 방지할 수 있고, 퇴직자에 의한 기술 유출시 퇴직자의 컴퓨터를 통해 기술 유출의 증거를 확보할 수 있으며, 퇴직자의 컴퓨터에 저장된 데이터를 보전하여, 해당 퇴직자에 의한 기술 유출과 관련하여 소송이 발생하는 경우, 신속하게 관련 증거를 확보할 수 있다. 더욱이, 투자 비용 및 유지 보수 비용이 많이 드는 디지털 증거 분석을 위한 전담 부서를 설치하지 않아도, 기술유출과 관련한 증거를 확보할 수가 있게 된다.

이하에서는 도 3을 참조하여, 본 발명의 한 가지 실시예에 따라 퇴직자가 사용한 컴퓨터에 대한 증거 보전 처리의 전체적인 과정을 설명한다. 이하의 실시예에서는 퇴직자가 발생한 예에 관한 것이지만, 퇴직자가 아니라 근무 중인 직원의 경우, 즉 감사 대상자인 경우도 퇴직자에 대한 증거 보전 처리와 동일하다.

먼저 퇴직자가 발생하면, 관리자는 자신의 컴퓨터(120)를 이용하여, 본 발명의 시스템(300)에 접속하고, 증거 보전 처리 대상 컴퓨터(110)에 대한 정보를 작성하고, 그 정보를 포함하는 증거 보전 처리를 요청한다(S301). 상기 증거 보전 처리 대상 컴퓨터에 대한 정보는 퇴직자 정보, 대상 컴퓨터의 용량, 시리얼 넘버, 모델명, IP 주소, 주요 SW 등에 대한 정보를 포함할 수 있다.

관리자 컴퓨터(120)로부터 전송된 상기 요청 신호가 증거보전 처리 요청 수신부(310)를 통해 수신되면, 원격 접속부(320)는 상기 정보에 기초하여 해당 퇴직자 컴퓨터(110)에 접속하여, 퇴직자 컴퓨터와 본 발명의 시스템(300)을 데이터 전송 가능하게 접속한다(S302).

한편, 추후 발생할 소송 등과 관련하여 발생할 수도 있는 문제를 예방하기 위하여, 공증 관리부(330)는 공증인 컴퓨터(200)에 대해 공증 요청 신호를 전송하여, 공증인이 퇴직자 컴퓨터(110)에 저장된 데이터와 관련한 공증을 수행하도록 하고, 그 공증 결과를 수신하여 증거 보전 DB(370)에 저장한다(S303). 한편, 이러한 공증 절차는 후술하는 데이터 수집 직후에 수행될 수도 있다는 것에 유의하여야 한다.

이어서, 원격 데이터 수집부(340)는 시스템(300)과 접속된 퇴직자 컴퓨터(110)에 데이터를 수집하기 위한 프로그램을 전송하여 그 컴퓨터에 설치한다(S304). 상기 프로그램 설치 후, 원격 데이터 수집부(340)는 우선 퇴직자 컴퓨터의 활성 데이터를 수집한다(S305). 이어서, 원격 데이터 수집부(340)는 시스템 상의 시간과 상기 대상 컴퓨터의 시간 정보를 확인하고, 하드 디스크와 같은 저장 매체에 기록된 데이터를 수집한다(S306). 또한, 원격 데이터 수집부(340)는 퇴직자 컴퓨터의 입출력 인터페이스를 이용해 데이터의 복제본을 생성하여 저장하고, 이때 상기 확인된 시간 정보를 함께 기록한다(S307). 즉 퇴직자 컴퓨터에 저장된 데이터는 원본으로서 별도 보관하고, 그 원본과 동일한 데이터를 포함하는 복제본을 생성함과 아울러, 그 데이터 획득일 등의 정보와 함께 증거 보전 DB(370)에 저장한다. 한편, 원격 데이터 수집부(340)는 상기 복제본 저장 전에, 복제본에 대해 암호화 처리 및/또는 쓰기 방지 처리를 수행할 수도 있다.

상기 과정에 따라 복제본이 저장되면, 데이터 분석부(350)는 복제본의 데이터 분석을 수행하며, 이때 레지스트리 정보를 분석하고, 삭제 데이터의 복구 등을 수행한 후, 그 결과를 분석 결과 DB(380)에 저장한다(S308). 상기 분석 과정이 완료되면, 분석 결과 출력부(360)는 그 분석 결과를 관리자 컴퓨터(120)로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력한다(S309).

이상 본 발명을 바람직한 실시예를 참조하여 설명하였지만, 본 발명은 상기 실시예에 제한되지 않는다는 것을 이해하여야 한다. 즉 본 발명은 이하의 특허청구범위 내에서 상기 실시예를 다양하게 변형 및 수정할 수 있으며, 이들은 모두 본 발명의 범위 내에 포함된다. 따라서, 본 발명은 특허청구범위 및 그 균등물에 의해서만 제한된다.

Claims

퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템을 통한 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법으로서,
(a) 퇴직자가 발생하거나 혹은 감사 대상자의 감사 이슈가 발생한 경우, 상기 시스템의 증거 보전 처리 요청 신호 수신부가, 퇴직자 혹은 감사 대상자가 아닌 관리자의 컴퓨터로부터 상기 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 요청 신호를 수신하는 단계로서, 상기 요청 신호에는 퇴직자 혹은 감사 대상자의 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 운영체제(OS), 주요 설치 소프트웨어 및 증거 보전 처리 요청일자 중 하나 이상의 정보가 포함되는 것인, 상기 요청 신호 수신 단계와;
(b) 상기 증거 보전 처리 요청 신호에 포함된 퇴직자 혹은 감사 대상자 컴퓨터에 대한 정보에 기초하여, 상기 시스템의 원격 접속부가 상기 시스템을 상기 퇴직자 혹은 감사 대상자 컴퓨터에 데이터 통신 가능하게 원격 접속하는 단계와;
(c) 상기 시스템의 원격 데이터 수집부가 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터에 원격 데이터 수집 프로그램을 설치하는 단계로서, 상기 프로그램은 상기 퇴직자 혹은 가사 대상자 컴퓨터를 원격 제어하여 해당 컴퓨터의 하드 디스크 이미지 자체를 복사하는 agent 프로그램과 그 복사된 데이터를 업로드하기 위한 업로드 솔루션을 포함하는 것인, 상기 프로그램 설치 단계와;
(d) 상기 원격 데이터 수집부가 상기 설치된 원격 데이터 수집 프로그램을 이용하여, 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 활성 데이터를 수집하고, 해당 컴퓨터의 입출력 인터페이스를 이용하여 그 컴퓨터의 저장 매체에 기록된 데이터 원본과 동일한 복제본을 생성하여 저장하는 단계와;
(e) 상기 시스템의 데이터 분석부가 상기 저장된 활성 데이터 및 복제본에 대하여 레지스트리 정보 분석, 수집된 데이터를 파일의 확장자별로 분류하는 분석, 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구 중 적어도 하나의 분석 처리를 수행하고 그 결과를 저장하는 단계와;
(f) 상기 시스템의 분석 결과 출력부가 상기 분석 결과를 상기 관리자의 컴퓨터로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력하는 단계
를 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (e) 단계의 분석에 앞서, 상기 시스템의 공증 처리부가 미리 데이터 통신 가능하게 설정된 공증인 컴퓨터에 공증 요청 신호를 전송하고, 상기 공증인 컴퓨터로부터 상기 증거 보전 처리 대상의 컴퓨터에 저장된 데이터와 관련된 온라인 공증 결과 신호를 수신하는 공증 처리를 수행하는 단계를 더 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (d) 단계에서의 활성 데이터는 시스템의 상태 정보, 네트워크의 상태 정보 및 메모리 상의 시간 정보를 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (d) 단계에서, 상기 원격 데이터 수집부는 상기 복제본 데이터 저장시 상기 해당 컴퓨터의 시간 정보를 외부의 시간 확인 가능 장치의 시간 정보와 비교하여, 일치하지 않는 경우 상기 해당 컴퓨터의 시간 정보를 상기 외부의 시간 확인 가능 장치의 시간 정보로서 확정하고, 그 시간 정보와 함께 상기 복제본 데이터를 저장하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (d) 단계에 있어서, 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 전원이 켜져 있으나, 화면 보호기가 작동하고 있는 경우, 상기 원격 데이터 수집부는 상기 화면 보호 상태를 해제한 후에 해당 컴퓨터의 활성 데이터를 수집하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (d) 단계에서, 상기 원격 데이터 수집부는 상기 복제본 생성시 복제본에 대하여 해쉬(Hash) 함수를 이용하여 원본과 동일하다는 것을 확인하는 복제본의 원본성을 보증하는 처리를 수행하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 6에 있어서, 상기 (d) 단계에서, 상기 원격 데이터 수집부는 상기 생성된 복제본을 저장하기 전에 그 복제본에 대하여 암호화 처리 및 쓰기 방지 처리 중 하나 이상을 수행하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
청구항 1에 있어서, 상기 (e) 단계에 있어서, 상기 데이터 분석부는 상기 분석 결과 저장시 미리 정해진 등급에 따라 분석 결과의 보관일을 달리 지정하여 저장하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 방법.
퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리를 위한 시스템으로서,
관리자의 컴퓨터로부터 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 요청 신호를 수신하는 증거보전 처리 요청 신호 수신부로서, 상기 요청 신호에는 퇴직자 혹은 감사 대상자의 정보, 대상 컴퓨터의 매체 용량, 시리얼 넘버, 모델명, IP 주소, 운영체제(OS), 주요 설치 소프트웨어 및 증거 보전 처리 요청일자 중 하나 이상의 정보가 포함되는 것인, 상기 증거보전 처리 요청 신호 수신부와;
상기 증거 보전 처리 요청 신호에 포함된 퇴직자 혹은 감사 대상자 컴퓨터에 대한 정보에 기초하여, 상기 시스템을 퇴직자 혹은 감사 대상자 컴퓨터에 데이터 통신 가능하게 원격 접속하는 원격 접속부와;
상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터에 원격 데이터 수집 프로그램을 설치하여 상기 접속된 퇴직자 혹은 감사 대상자 컴퓨터의 활성 데이터를 수집하고, 해당 컴퓨터의 입출력 인터페이스를 이용하여 그 컴퓨터의 저장 매체에 기록된 데이터 원본과 동일한 복제본을 생성하여 저장하는 원격 데이터 수집부로서, 상기 프로그램은 상기 퇴직자 혹은 가사 대상자 컴퓨터를 원격 제어하여 해당 컴퓨터의 하드 디스크 이미지 자체를 복사하는 agent 프로그램과 그 복사된 데이터를 업로드하기 위한 업로드 솔루션을 포함하는 것인, 상기 원격 데이터 수집부와;
상기 저장된 활성 데이터 및 복제본에 대하여 레지스트리 정보 분석, 수집된 데이터를 파일의 확장자별로 분류하는 분석, 빠른 키워드 검색을 위한 데이터 인덱싱, 미리 지정된 특정 단어 검색을 위한 자동 키워드 검색, 삭제 파일 복구 중 적어도 하나의 분석 처리를 수행하고 그 결과를 저장하는 데이터 분석부와;
상기 분석 결과를 상기 관리자의 컴퓨터로 전송하여 디스플레이하거나 별도의 출력 장치를 통해 출력하는 분석 결과 출력부와;
상기 원격 데이터 수집부에 의해 수집되는 데이터를 상기 퇴직자 또는 감사 대상자별로 저장하는 증거 보전 데이터베이스와;
상기 데이터 분석부에 의해 분석된 분석 결과를 상기 퇴직자 또는 감사 대상자별로 저장하는 분석 결과 데이터베이스
를 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 9에 있어서, 미리 데이터 통신 가능하게 설정된 공증인 컴퓨터에 공증 요청 신호를 전송하고, 상기 공증인 컴퓨터로부터 상기 증거 보전 처리 대상의 컴퓨터에 저장된 데이터와 관련된 온라인 공증 결과 신호를 수신하는 공증 처리부를 더 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 9에 있어서, 상기 원격 데이터 수집부에 의해 수집되는 활성 데이터는 시스템의 상태 정보, 네트워크의 상태 정보 및 메모리 상의 시간 정보를 포함하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 9에 있어서, 상기 원격 데이터 수집부는 상기 복제본 데이터 저장시 상기 해당 컴퓨터의 시간 정보를 상기 시스템의 시간 정보와 비교하여, 일치하지 않는 경우 상기 해당 컴퓨터의 시간 정보를 상기 시스템의 시간 정보로서 확정하고, 그 시간 정보와 함께 상기 복제본 데이터를 저장하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 9에 있어서, 상기 원격 데이터 수집부는 상기 복제본 생성시 복제본에 대하여 해쉬(Hash) 함수를 이용하여 원본과 동일하다는 것을 확인하는 복제본의 원본성을 보증하는 처리를 수행하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 13에 있어서, 상기 원격 데이터 수집부는 상기 생성된 복제본을 저장하기 전에 그 복제본에 대하여 암호화 처리 및 쓰기 방지 처리 중 하나 이상을 수행하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.
청구항 9에 있어서, 상기 데이터 분석부는 상기 분석 결과 저장시 미리 정해진 등급에 따라 분석 결과의 보관일을 달리 지정하여 상기 분석 결과 데이터베이스에 저장하는 것을 특징으로 하는 퇴직자 혹은 감사 대상자의 컴퓨터에 대한 디지털 정보 증거 보전 처리 시스템.