[법률칼럼] DLP 오탐으로 인한 영업비밀 유출 의심, 디지털 포렌식 검증이 필요한 이유

최근 기업들 사이에서 핵심 기술과 영업비밀 유출을 방지하기 위한 사내 보안 솔루션(DLP) 도입이 일반화되고 있다. 날로 교묘해지는 산업 기술 유출 범죄나 내부 직원에 의한 자료 반출을 조기에 탐지하고 이를 선제적으로 차단하기 위해서다. 하지만 보안 시스템이 생성한 경보 자체에 오류가 있다면 이야기는 달라진다.

사내 보안 솔루션에 의한 영업비밀 침해 사건에서의 쟁점은 보안 시스템이 생성한 탐지 로그의 법적 증명력이다. 대다수의 기업은 대량의 파일 유출 알람이 울리는 순간 시스템에 찍힌 객관적 수치와 로그 기록만을 맹신하여 이를 범죄의 결정적 증거로 삼으려 한다. 하지만 노동위원회의 구제절차, 나아가 형사 재판에서 이러한 증거가 법적 효력을 인정받기 위해서는 엄격한 무결성과 신뢰성이 요구된다.

단편적인 보안 로그는 유출을 의심해 볼 수 있는 단서일 뿐 그 자체로 범행을 확정 짓는 완벽한 증거가 될 수 없다. 진정한 유출 여부를 가리기 위해서는 네트워크 대역폭상 실제 전송 가능성 등을 단말기 내부의 로컬 아티팩트와 철저히 교차 검증하는 과정이 반드시 필요하다.

실제로 보안 솔루션이 단말기 내부의 정상적인 문서 작업이나 프로그램 구동 등 로컬 입출력 이벤트를 외부 네트워크 반출로 잘못 인식하는 오탐(False Positive) 사례가 발생할 가능성이 존재하기 때문이다.

실제로 첨단 장비를 제조하는 한 회사에서 이와 유사한 사례가 발생한 바 있다. 사내 보안 시스템에 한 직원의 PC로부터 막대한 용량의 CAD 도면이 외부 협업 메신저와 웹으로 대량 유출되었다는 경보가 울린 것이다. 사측은 즉각 형사 고소를 준비했으나 징계를 유예하고 전문 포렌식 기관에 교차 검증을 의뢰했다.

감정 결과 해당 알람은 CAD 프로그램이 도면을 열람할 때 하위 부품 파일들을 로컬 메모리로 일괄 호출하는 정상 동작을 보안 필터가 외부 전송으로 오인한 시스템 오류로 밝혀졌다. 아울러 지목된 협업 메신저는 해당 PC에 설치된 적조차 없음이 증명됐고 해당 직원은 억울한 누명을 벗을 수 있었다.

만약 이러한 크로스체크 없이 보안 알람만 믿고 섣불리 징계 처분이나 해고를 강행한다면 기업은 훗날 법적·경제적 리스크를 떠안게 될 수 있다. 근로기준법상 정당한 이유 없는 해고는 무효이므로 노동위원회를 통해 부당해고로 판정될 경우 기업은 직원의 해고 기간 중 임금 상당액을 전액 배상해야 한다.

나아가 무고한 직원을 산업스파이로 몬 것에 대한 명예훼손 등 불법행위에 기한 민사상 손해배상 책임을 질 수 있을 뿐만 아니라 무너진 노사 신뢰 속에서 조직의 핵심 R&D 인재들이 경쟁사로 이탈하는 뼈아픈 결과를 초래할 수 있다.

사내 보안 솔루션의 오탐은 생각보다 빈번하게 발생하고 있으므로 단일 탐지 로그의 결과치만 맹신해 곧바로 수사기관에 고소장을 제출하거나 직원을 중징계하는 것은 기업과 근로자 모두에게 돌이킬 수 없는 피해를 남긴다.

따라서 보안 경보가 발생했을 때 기업은 가장 먼저 원본 탐지 로그를 안전하게 보존하고 초기부터 신속하게 디지털 포렌식 감정을 통해 단말기 로컬 기록과의 정밀한 교차 검증을 진행해야 한다. 로그의 기술적 신뢰성과 법적 증명력을 객관적으로 따지는 것이 곧 억울한 노사 분쟁을 막고 기업의 핵심 자산을 지키는 현명한 대응책이다.

법무법인 대륜 김윤중 변호사

[기사전문보기]
[법률칼럼] DLP 오탐으로 인한 영업비밀 유출 의심, 디지털 포렌식 검증이 필요한 이유 (바로가기)