유락 “증거 찾던 포렌식, AI 적용해 데이터 위험 관리까지 확장”

기업의 기밀 자료가 외부로 나갔는지 확인하려면 파일 하나만 찾아서는 부족하다. 누가 언제 자료를 만들었는지, 외부 저장장치나 클라우드로 옮긴 흔적은 없는지 관련 기록을 전부 살펴봐야 한다. 경찰 등 수사기관도 현장에서 확보한 방대한 데이터 중 사건과 관련된 증거를 가려낸다. 이처럼 디지털 기록에 남은 흔적을 수집·분석해 사건의 경위를 확인하는 작업이 디지털 포렌식이다.

2018년 창업한 디지털 포렌식 전문기업 ‘유락(UROCK)’은 디지털 증거를 분석실로 옮기기 전, 조사 현장에서 필요한 기록부터 선별하는 도구를 개발해왔다. 최근에는 현장 포렌식에 인공지능(AI)를 접목하면서, 데이터 분류와 위험 점검으로 포렌식 제품의 활용 범위를 넓히고 있다.

유봉석 유락 대표는 “사고 원인을 찾는 기술을 사고 이전의 위험을 점검하고 내부통제를 검증하는 기술로 확장하는 것”이라고 설명했다. 포렌식에서 축적한 분석·검증 역량을 기업의 상시 ‘데이터 위험 관리’에 적용한다는 구상이다.

사고 뒤 증거 조사에서 상시 정보 유출 위험 점검으로

유 대표는 포렌식 수요가 수사기관의 사건 조사에서 기업의 일상적인 보안 점검으로 넓어지고 있다고 봤다. 그는 “퇴직자와 외부 인력의 정보 반출 위험, 내부 정보 감사 등 기업의 상시 관리 수요가 빠르게 늘고 있다”고 설명했다. 사고가 발생했을 때 원인을 밝히는 데 더해, 평소 데이터 접근과 이동 이력을 살펴 정보 유출 위험을 확인하려는 수요가 늘고 있다는 것이다.

기업이 확인하려는 대상에는 정상 계정과 권한으로 자료에 접근하는 직원이나 협력업체도 포함된다. USB 연결, 심야 로그인, 대용량 파일 접근, 개인 클라우드 업로드는 각각만 보면 일상적인 업무 과정에서 발생할 수 있다. 유 대표는 “이런 행위를 시간순으로 연결하고 어떤 자료를 다뤘는지 함께 살펴야 정보 유출 정황을 판단할 수 있다”고 설명했다.

유 대표가 창업 때부터 풀려고 했던 문제는 전문 인력에게 집중된 조사 절차였다. 유 대표는 인턴 시절 통신사 포렌식 프로젝트에 참여한 뒤 더존비즈온 포렌식센터에서 수사기관과 기업의 사건 분석, 분석실 구축과 해외 컨설팅을 맡았다. 창업의 직접적인 계기는 2015년 오만 국가 포렌식랩 구축 사업이었다. 그는 “현지 기관에 맞춰 분석 환경과 절차를 설계하고 교육하면서, 데이터를 분석실로 옮겨 전문 분석관이 처리하는 방식만으로는 늘어나는 수요를 감당하기 어렵겠다는 판단이 섰다”고 말했다.

국내에서는 외산 도구에 대한 의존도와 복잡한 사용 절차도 장벽이었다. 이에 유 대표는 현장 수사관이나 기업 담당자가 초동 조사에 쉽게 활용할 수 있는 도구를 만들고자 2018년 유락을 설립했다. 주력 제품인 ‘디파스 프로(DFAS Pro)’는 별도 설치 없이 대상 PC에 연결해 파일과 사용 흔적 등 필요한 자료를 선별·수집한다. 저장장치 전체를 복제해 분석실로 가져가기 전에 현장에서 사건과 관련된 기록을 확인하도록 설계했다.

출시 초기에는 국산 도구로 확보한 증거를 신뢰할 수 있겠느냐는 반응도 있었다. 그는 “반응에 맞춰 사용 절차를 단순화한 점이 일선 수사 현장에서 평가받았고, 현재 경찰의 산업기술 유출 사건 대응에 쓰이고 있다”고 설명했다. 기업에서는 주로 보안·감사 담당자가 퇴직자 조사나 외부 인력 점검 과정에서 초기 사실관계를 확인하는 데 활용된다.

유 대표는 “고객이 원하는 건 어떤 일이 일어났는지를 신뢰할 수 있는 근거(증거)로 입증하는 것”이라고 짚었다. 조사 목적과 기간을 먼저 정해 필요한 기록을 선별하고, 분석 결과를 원본과 대조해야 한다는 설명이다. 조사와 무관한 개인정보와 사생활 영역은 최대한 배제한다는 원칙도 강조했다.

PC 성능 대신 별도 GPU 장비 활용, 온디바이스 AI로 안전하게 분석

유락은 이런 현장 조사에 AI를 더하는 방법으로 하드웨어와 소프트웨어를 함께 개발하고 있다. ‘디파스 프로’가 조사 대상 PC에 연결해 정해진 절차에 따라 자료를 찾는 도구라면, 현재 개발 중인 ‘디파스 엣지’는 별도 장비에 AI 연산 자원을 담는다. 유 대표는 “기존 방식은 연결한 PC의 성능에 의존하다 보니, AI가 분석할 때 한계가 있다”며 “외부 장비가 (PC에) 연산을 지원하면 현장 환경의 차이를 줄일 수 있다”고 설명했다.

디파스 엣지는 엔비디아 그래픽처리장치(GPU) 기반 소형 컴퓨터에서 경량 LLM과 포렌식 기능을 구동하는 방향으로 개발 중이다. 조사자가 사고 유형과 확인할 사항을 자연어로 입력하면 AI가 관련 파일과 로그를 우선 찾아주고, 문서·이미지·음성 등 형식이 다른 자료도 함께 분석할 수 있다. 예컨대 특정 기술 자료의 반출 여부를 조사할 때 파일명 검색에만 기대지 않고 내용과 접근·이동 흔적을 함께 검토하도록 돕는다. 실제 사건의 해석과 최종 판단은 분석관이 원본 기록을 확인해 내린다.

장비 안에서 AI 모델을 실행하는 이유는 조사 대상 자료를 외부 AI 서비스로 전송하기 어려워서다. 수사 자료나 영업비밀, 개인정보가 담긴 파일은 민감 정보가 많아서 인터넷이 차단된 환경에서 다뤄져야 하는 경우가 많다. 유락은 소형 장비 자체가 AI 분석을 수행하도록 해 폐쇄망에서도 활용할 계획이다. 디파스 엣지는 아직 개발 단계로, 올해 12월 출시를 목표로 하고 있다.

유락은 2025년 중소벤처기업부의 스케일업 팁스(Scale-up TIPS) 지원 대상으로 선정됐다. 3년간 약 11억4000만원의 정부 연구개발(R&D) 지원을 받는 ‘멀티모달 AI 기반 디지털포렌식 솔루션 개발’ 과제에서 텍스트·이미지·음성 등 여러 형태의 자료를 통합 분석하고 디지털 증거의 의미를 해석하는 기술을 개발 중이다.

유 대표는 “엔비디아의 협업 프로그램을 계기로 엣지 장비의 연산 방식을 GPU 기반으로 정했다”고 설명했다. 제품 개발 조직도 바꿨다. 사내 AI랩의 연구 속도를 확인한 뒤 기존 연구개발 조직을 AI랩 중심으로 통합했다. 현장 포렌식 경험을 모델 개발과 장비 설계에 연결하기 위해서다.

디스커버리·아크로 이어지는 ‘데이터 위험 관리’ 전략

유락의 제품군은 데이터를 찾는 단계에서 데이터의 중요도를 분류하는 단계로까지 확장된다. 디파스 프로가 개별 현장의 초동 조사에 초점을 맞춘다면, 디스커버리는 여러 사업장과 원격 PC의 자료를 모아 분석하는 역할을 한다. 유락은 앞으로 디스커버리를 중심 플랫폼으로 삼아 프로와 엣지, 아크, 보안진단 도구 ‘디파스 고(DFAS Go)’를 필요한 기능별로 연결할 계획이다.

‘아크’는 문서·이미지 등 형태가 다른 데이터를 내용에 따라 분류하는 솔루션이다. 유락은 이를 공공에서 시범 사업을 추진 중인 국가망보안체계(N2SF)의 기밀·민감·공개(C·S·O) 등급 분류와 연결하려고 하고 있다. 파일 제목이나 특정 단어만으로 등급을 정하면 문서가 실제로 담고 있는 정보의 중요도를 놓칠 수 있다. 아크는 AI가 내용과 맥락을 분석해 등급과 판단 근거를 제시하고, 담당자가 이를 검토해 최종 결정하는 구조다. 분류 결과가 이후 보안 정책에 맞게 관리됐는지 확인하는 기능으로도 확장할 계획이다.

유 대표는 아크의 내용 분석 기술을 규제 대응으로 넓히는 방안도 구상하고 있다. 기업의 문서·이메일에서 법규 위반 소지가 있는 내용을 AI가 먼저 추려주고, 담당자가 관련 조항과 원문을 대조해 판단하는 방식이다.

‘디파스 고’는 PC와 디지털 업무 환경의 보안 상태 및 관리 사각지대를 점검하는 제품이다. 유 대표는 “생성형 AI 이용 현황과 외부 서비스에 올리는 자료의 위험을 살펴보는 방향으로도 실증을 진행하고 있다”고 설명했다. 현장 조사에서 찾은 기록, 원격으로 수집한 자료, 중요도 분류 결과와 위험 점검을 한 흐름에서 확인하게 된다.

유 대표는 자료를 분류하는 AI 기반의 포렌식 기술에 대해 “꼭 포렌식 조사에만 쓰는 게 아니다”며 “사고가 났을 때 파일의 행방을 추적하는 기술로 평소에도 어떤 자료가 어디에 있고 누가 접근하는지도 확인할 수 있다”고 강조했다. 이처럼 오랜 현장 포렌식 기술과 데이터를 기반으로 데이터 사이의 관계를 연결해 맥락을 파악하는 ‘데이터 인텔리전스’를 구축하는 게 유락의 다음 목표다.

유 대표는 실제 적용 사례로 한 제조사의 해외 지사에서 발생한 사고를 들었다. 당시 제조사의 본사 담당자가 현지로 이동하거나 저장장치의 전체 데이터를 국내로 보내는 대신, 원격 포렌식 시스템으로 사고와 관련된 자료를 우선 선별해 확인했다. 이를 통해 자료 전송량과 초기 대응 부담을 줄였다는 설명이다.

해외 수사기관에는 포렌식 구축·교육, 국내는 데이터 분류로 공략

유락은 국내에서는 수사기관 대상 포렌식 사업을 바탕으로 데이터 위험 관리 분야를 넓히고, 해외에서는 현지 파트너사와 국가 수사기관 시장을 공략한다는 계획이다.

일본·대만·인도·오만·사우디아라비아 등에서는 현지 파트너를 통해 포렌식 도구를 공급해 각 기관의 수사 환경에 맞춘 분석실 구축, 교육, 표준운영절차 설계를 지원한다. 특히 인도를 중점 시장으로 보고 현지 수사·법과학 기관과의 기술 교류 및 실증을 통해 사업을 넓힐 계획이다. 해외에 진출한 한국 기업에는 모바일 보안 관리 제품도 공급한다.

국내에서는 N2SF에 따른 데이터 등급 분류와 기업 내부통제 시장을 공략한다. 유 대표는 “기업이 중요 데이터를 지속적으로 식별·분류·검증하고 위험을 상시 관리하는 체계로 확장하고자 한다”며 “포렌식에서 축적한 데이터 분석·검증 기술을 다양한 업무 의사결정에 활용할 수 있는 데이터 인텔리전스 플랫폼으로 발전시키는 것이 목표”라고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network