해시는 비교한 두 데이터의 비트열이 같은지 확인하는 데 도움을 줍니다. Chain of custody 기록은 증거를 누가 언제 인계받고 어떤 행동을 했는지 추적합니다. 해시가 일치한다고 중간의 모든 취급 이력이나 법적 적정성이 자동으로 증명되지는 않습니다.
NIST 문서는 해시 비교 실패가 항상 증거 내용 변경을 의미하지 않을 수도 있다고 설명합니다. 따라서 해시 결과와 관리 기록을 함께 검토하고, 법적 증거능력은 이 기술적 구분만으로 판단하지 않습니다.
해시는 데이터 비교이고 인계 기록은 취급 과정의 기록입니다
디지털 증거의 해시값은 파일이나 이미지의 비트열에서 계산한 요약값입니다. 비교한 두 시점의 값이 같으면 두 입력의 비트열이 동일하다는 강한 확인 근거가 됩니다. NIST IR 8387은 한 비트만 달라져도 안전한 해시값은 달라질 수 있다고 설명하면서, 해시는 증거 파일을 식별하고 변경 여부를 확인하는 데 쓰일 수 있다고 안내합니다. 반면 chain of custody는 자료가 수집·보관·분석되는 과정에서 누가 다루었고, 언제 어떤 행동이나 인계가 있었는지 기록하는 관리 이력입니다. NIST SP 800-86은 사람, 행동, 시각, 보관 장소와 원본·사본 확인을 기록하도록 설명합니다. 두 근거는 서로 보완하지만 같은 내용을 증명하지 않습니다.
해시는 같지만 인계 서명이 빠진 가상 사례를 봅니다
| 관찰 | 해시가 보태는 근거 | 인계 기록이 보태는 근거 |
|---|---|---|
| 수집 직후 해시와 분석 사본의 해시가 일치 | 비교한 두 시점의 데이터가 같은 비트열임을 지지 | 누가 수집했는지, 사본을 누가 인계했는지는 별도 기록 필요 |
| 중간 보관실 이동 때 담당자 서명이 누락 | 해시가 일치해도 이동 담당자나 보관 경로를 특정하지 못함 | 해당 구간의 시각·인계자·이유를 조사할 기록 공백이 남음 |
| 다음 날 재계산한 해시가 불일치 | 비교 지점의 값이 다르다는 사실을 보여 줌 | 복사·열람·파일 형식 변환 등 당시 취급 과정과 함께 조사 |
첫 행은 해시가 데이터 자체에 관한 비교를 제공하지만, 분석 사본을 누가 만들고 전달했는지까지 설명하지 않는다는 점을 보여 줍니다. 둘째 행의 기록 공백은 해시가 일치해도 사라지지 않습니다. 셋째 행에서는 해시 불일치를 곧바로 고의 변조라고 결론 내기보다, 비교 대상 파일이 정확히 같은 형식과 범위였는지, 수집·전달 과정에서 정당한 변환이나 오류가 있었는지 확인해야 합니다. NIST IR 8387은 해시 비교가 실패하더라도 변경이 증거의 내용 자체를 바꾸지 않은 경우가 있을 수 있다고 말합니다. 이때 보관 사본, 추가 해시, 인계 기록과 파일의 변환 경로를 평가해야 합니다.
두 종류의 증거를 별도 칸에 기록합니다
- 수집 시점, 대상 파일·이미지의 범위와 해시 알고리즘·값을 기록합니다.
- 해시 비교 대상이 원본·사본 중 무엇인지와 비교 시점을 함께 적습니다.
- 증거를 가진 사람, 인계·보관 시각, 장소, 사유, 수행한 행동을 추적합니다.
- 불일치가 나타나면 비교 입력과 작업 기록을 확인하고, 원인을 미확정으로 둘 수 있습니다.
- 마지막으로 해시가 증명하는 범위와 관리 이력에서 남은 공백을 분리해 보고합니다.
해시를 만드는 구체적인 절차와 알고리즘 선택은 조직 정책과 현재 표준을 따릅니다. NIST IR 8387은 가능한 한 수집에 가까운 시점에 해시를 계산하는 방안, 별도 보관, 해시 실패 시 평가 필요성을 설명합니다. 이 자료는 법원에서 어떤 증거를 받아들일지 판정하지 않습니다. 또한 chain of custody가 완벽하다는 주장도 해시 하나로 대체할 수 없습니다. 보고서에서는 비교된 데이터의 일치 여부, 인계 기록의 완전성, 미확인 지점을 서로 다른 문장으로 적어야 합니다.
해시 일치를 취급 이력 전체의 증명으로 쓰지 않습니다
가장 흔한 오류는 ‘해시가 같으니 그 자료는 아무도 바꾸지 않았고, 언제나 적법하게 관리됐다’고 범위를 넓히는 것입니다. 해시는 계산에 들어간 두 데이터의 비교를 지원하지만 비교 사이에 누가 자료를 보관했는지, 파일이 어떤 장소를 거쳤는지, 작업이 승인됐는지는 말해 주지 않습니다. 반대로 인계 기록이 잘 작성됐어도 내용의 동일성을 독립적으로 비교하지 않았다면 비트열 비교 근거는 별도로 필요합니다. 둘을 함께 사용해야 변경 여부와 관리 경로를 각각 점검할 수 있습니다. 어느 하나의 공백이 다른 하나의 증거로 자동 채워진다고 생각하지 마세요.
해시 칸과 인계 기록 칸을 따로 회상합니다
가상 사례에서 수집·분석 전후 해시는 같지만, 중간 보관실 이동 때 담당자 서명이 빠졌습니다. ‘해시가 확인하는 것’에는 무엇을 적나요? 비교한 두 파일의 비트열이 같다는 점입니다. ‘관리 기록에서 남은 질문’에는 무엇을 적나요? 누가 언제 어떤 이유로 인계했는지, 보관 장소가 어디였는지입니다. 둘째 답은 첫째 답으로 대체할 수 없습니다. 시험 답안에서도 해시 일치와 chain of custody 완전성을 각각 설명하고, 인계 공백은 추가 조사할 사항으로 남기세요.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
수집 직후와 분석 전의 가상 파일 해시는 일치하지만 보관실 이동 때 인계 서명이 빠졌다. 해시로 확인한 내용과 추가로 조사해야 할 기록을 나누어 답하세요.
정답과 해설 확인
해시가 일치한다는 사실은 비교한 두 시점의 파일 비트열이 같다는 근거입니다. 이동 담당자·시각·장소·이유는 해시에서 알 수 없으므로 보관·접근 기록과 인계 경로를 별도로 확인해야 합니다.NIST IR 8387은 해시를 데이터 변경 확인에 활용하고, NIST SP 800-86은 증거를 다룬 사람과 행동·시각·보관을 기록하는 chain of custody를 설명합니다. 해시와 인계 기록은 상호 대체되지 않습니다.