e-Discovery 절차 : EDRM vs. EDBP 비교분석

EDRM과 EDBP 모델의 주요 특징 및 장단점 비교 분석해보니...

연방민사소송규칙 명시된 내용 확인해 양대 모델 선별 적용 바람직

본지에서는 현재 우리나라에서 이슈가 되고 있는 e-Discovery에 대한 개념적인 이해를 돕고, 나아갈 방향을 제시하기 위해 현재 기업보안담당자로 근무하고 있는 유정호 씨의 기고를 6회에 걸쳐 연재합니다. 독자 여러분들의 많은 관심 부탁드립니다. [편집자주]

연재목차-----------------------------

1회 e-Discovery의 필요성과 수행환경

2회 e-Discovery의 정의와 목적

3회 e-Discovery와 Digital Forensics

4회 e-Discovery 절차(1)

5회 e-Discovery 절차(2) EDRM vs. EDBP

6회 우리나라에서의 e-Discovery

7회 e-Discovery를 위한 준비

------------------------------------

[보안뉴스=유정호, 기업보안담당자] 4회에서는 EDRM(Electronic Discovery Reference Model)이라는 참조모델을 기준으로 e-Discovery의 전체적인 절차에 대한 흐름을 설명했다.

EDRM을 이해하면 소송이 예상되는 시점에서 소송이 시작되고, 법정에서 재판이 이루어지는 과정까지 어떤 형태와 목적으로 ESI가 사용되는지 알 수 있다.

이는 e-Discovery 시장에서 표준과 가이드라인이 없던 2005년에 법정과 기업들에게 통일된 기준을 제시하기 위해 탄생한 EDRM 연구가 2006년에 완성된 참조 모델을 통해 법조인과 기술자들에게 e-Discovery 절차에서 그들의 역할과 의미를 제시하고자 했고, 이러한 목표를 달성하기 위해 법률과 기술적 보완을 지속적으로 해 왔기 때문이라고 볼 수 있다.

5회에서는 EDRM의 절차에서 법률적인 부분을 중심으로 세부적인 모델을 제시한 EDBP(Electronic Discovery Best Practice)와 EDRM의 특징에 대한 비교를 통해 e-Discovery 절차에서 EDRM과 EDBP가 제시하는 모델의 적절한 수행방향을 제시하고자 한다.

EDRM이 제시된 이후 e-Discovery가 수행된 재판이 계속되는 동안, ESI에 대한 법률적 해석의 변화와 기술적인 특징의 세부적인 이해 필요성이 지속적으로 대두되면서 법률가들을 중심으로 e-Discovery 절차에 EDRM보다 더 구체적인 표준이 필요하다는 여론이 형성됐다.

그래서 EDRM이 추구하는 e-Discovery의 법률적, 기술적 가이드라인에 대한 제시와는 달리 법률적인 분야에 더 세부적인 절차와 의미를 제시하기 위한 EDBP라는 모델이 탄생했다.

EDBP는 EDRM에서 제시하는 9가지 절차를 준용하되 법률회사나 자체적으로 e-Discovery팀을 운용하는 기업들에게 법률 서비스에 해당하는 분야를 더 구체적으로 제시한 모델이다.

이들은 의도적으로 디지털 포렌식 기법이나 컴퓨터 공학적인 접근 등 e-Discovery의 기술자 역할을 하는 벤더의 활동을 제외하고, 법률적인 분야에 대한 내용만 제시하기 위해 e-Discovery의 모든 절차의 근거가 되는 법률적 사실들을 반영하고자 했다.

그래서 EDBP는 연방민사소송규칙에 명시된 절차를 중심으로 모델을 구성했고, 모델에서 제시하는 각각의 절차에 대한 법률적 해석과 판례를 근거로 세부적인 방향을 제시하고자 한다.

모델의 구성과 내용에 대한 보완은 세도나 회의(Sedona Conference)에서 제시하는 e-Discovery 관련 문서를 활용하기도 하고, e-Discovery에 대한 특징적인 판례가 나오면 판례에서의 해석을 반영하기도 한다.

또한, EDBP는 변호사들의 자발적인 참여를 유도하기 위해 e-Mail과 같은 수단을 통해서도 모델에 대한 의견을 제시할 수 있도록 하고 있고, 모델의 보완 등을 제시한 사람들은 그들의 의사에 따라 익명으로 활동하거나 실명으로 활동할 수도 있도록 한다.

EDBP(http://www.edbp.com/)에서 제시하는 e-Discovery 모델은 아래와 같다.

EDRM과 비교해보면 소송(Litigation)이나 증거(Evidence)와 같은 법률적 용어들을 확인할 수 있다. 또한 세부적인 절차에서도 관련 법률의 각 조문과 판례를 근거로 절차를 제시하고, 연방민사소송규칙 조문이나 판례를 링크하여 법적인 근거를 확인할 수 있도록 하고 있다.

특히, ‘소송을 준비’하는 단계를 비교해 보면 EDRM은 정보의 관리에 대해서 많은 언급을 하고, 기업에서 취급하는 정보의 생산과 분류에 대한 구체적인 모델을 제시하고 있는 것을 볼 수 있다. 반면에 EDBP는 ‘소송 전 절차’에서 정책과 관련된 분야를 많이 강조하고 있는데, EDRM에서 ‘정보관리’를 소송 전 절차 중 가장 중요하게 다루는 것과 달리 정보관리를 소송 전 절차의 일부로 보고 있다.

EDBP에서 다음 단계의 준비를 위한 소송 전 절차로 제시하는 내용은 아래와 같다.

1. 소송이 시작되었을 때의 정책(Policies for Hold Triggers)

2. 보존에 대한 정책(Policies for Hold Implementation)

3. e-Mail 보존 정책(e-Mail Retention Policies)

4. 정보관리(Information Governance)

5. ESI 지도(Maps of ESI with Rule 26(b)(2)(B))

6. 법적으로 인정되는 파기(Certified 37(e) Destruction)

EDBP의 소송 전 단계에서 제시하는 내용은 상당히 구체적이고, 정책적인 분야가 많다. EDBP에서 제시하는 소송 전 단계에서의 소송과 관련된 준비가 체계적으로 이루어진다면 e-Discovery 소요 비용을 상당 부분 절감할 수 있다.

또한, EDBP가 제시하는 소송 전 단계에서의 조치는 법률적으로 문제가 될 수 있는 부분에 대한 사전 확인과 정책 수립에 대해서 효과적으로 제시하고 있다.

e-Discovery 관련 판례를 보면, 기업에서의 삭제된 ESI에 대한 정책과 기록이 명확하지 않아 정상적인 정보관리를 위한 성실한 의도(good faith)에서의 기록 삭제를 입증하지 못한 내용들을 종종 확인할 수 있다. 이는 사전에 해당 기업에서 명확한 정보관리에 대한 정책을 수립하고, 이를 규정 등에 반영하여 성문화시켰다면 수월하게 입증할 수 있는 부분이다.

경영진과 법무팀, 보안팀, 기획팀 등 소송과 관련될 수 있는 부서들은 EDBP의 소송 전 단계에서 제시된 내용을 활용하여 해당 기업이 시스템 상 문제점이 없는지 점검해 볼 필요가 있다. 이를 e-Discovery 뿐만 아니라 기업이 전체적인 위기관리 시스템에 대한 점검 툴로 발전시킨다면 다양한 우발 상황이 발생했을 시 피해를 최소화시킬 수 있을 것이다.

앞서 언급한 것처럼 EDBP에서는 ‘정보관리’를 소송 전 준비단계의 전체적인 부분으로 제시한 EDRM과는 달리 소송 전 단계의 일부로 제시한다.

EDBP에서 제시하는 정보관리를 보면 EDRM과는 달리 다양한 주제에 대해 고려하고 있다는 것을 알 수 있는데, 이는 우리나라의 기업 환경에서 더 효과적인 역할을 할 수 있을 것으로 보인다. 특히, 사적인 정보에 대한 문제 인식과 정책을 제시하는 부분은 우리나라와 같이 개인정보보호에 대한 강력한 제도적 장치가 마련된 시스템에서 반드시 고려해야 할 요소이다.

EDBP는 ‘정보의 보존’에 있어 보존 여부를 결정하기 위해 고려할 내용들을 정리했다. 이는 불필요한 정보보존으로 인해서 불합리한 비용이 발생하는 것을 예방하고, 접근성이 제한되는 정보를 실질적으로 소송에 활용하기 위한 확인사항을 효과적으로 반영하기 위해 아래와 같은 절차를 제시한다.

EDBP는 보존의 필요성 여부를 접근 가능성과 비용을 고려해 판단했다. 이는 Zubulake 판례에서 본 것과 같이 소송을 진행하는 당사자가 소송의 본래 목적과는 다른 비용의 부담으로 손해를 입는 것을 예방하기 위한 보존절차를 제시한다. 접근 가능성의 여부를 우선 판단하더라도 마지막 단계에서 소송의 비용을 초과하는지 여부를 확인하는 것은 이러한 의도가 반영된 것이라고 볼 수 있다.

EDRM은 정보를 식별하는데 팀을 구성하고, 관련 키워드를 검색하는 기능을 중심으로 절차를 구성한 반면, EDBP는 정보를 식별하는 과정에서 소송과 관련된 사람들을 중심으로 면담하는 것을 제시한다. 물론 EDRM에서도 소송에 필요한 정보를 식별하기 위해 소송과 관련된 기업이나 사람을 만나서 필요한 내용을 확인하는 작업을 하지만 EDBP는 면담에 관련된 방향을 더 구체적으로 제시한다.

EDBP가 제시하는 면담은 소송당사자인 기업에 소속된 변호사와 소송을 의뢰받은 법률회사에서 소속된 변호사의 대화에서 출발하여 많은 사람들 중에 소송과 관련된 사람들을 식별하고, 그들로부터 소송에 필요한 정보에 대한 내용을 확인하는 방법을 제시한다.

이러한 면담의 방법은 일상적인 대화 형태의 면담이 될 수도 있고, 법정에서의 증언으로 연결될 수 있는 엄격한 형태가 될 수도 있다. 또한, 최초 면담을 통해서 관련 인물들을 선정할 때 소송과 관련된 정보를 수집하는 활동 외에도 법정에서 분야별 진술 역할을 담당할 수 있는 인물을 선정하는 것까지 병행해야 한다.

EDBP에서는 검토의 과정을 정보의 선별(Culling)과 컴퓨터를 활용한 검토(C.A.R, Computer Assisted Review), 정보의 보호(Protection) 3가지로 구분하여 제시하고 있다.

정보의 선별은 EDRM에서 제시하는 것과 유사하게 수집된 정보들을 확인하여 불필요한 정보들을 제거하고, 소송을 준비하는데 필요한 검토의 대상이 되는 정보들을 선별하는 절차를 말한다. 이러한 선별작업은 소송과 관련된 인물들로부터 수집된 정보들을 이용해 변호사들에 의해 수행되기도 하고, 당사자들이 직접 불필요한 정보를 제시해 이를 제거하기도 한다.

또한, e-Discovery 소프트웨어를 사용하여 복제된 정보를 제거하거나 소송과 관련 없는 기간에 생성된 정보, 저장된 정보의 파일 형태와 관련없는 파일 등을 제거하는 방법으로 선별하기도 한다.

이러한 과정은 EDRM에서 제시하는 정보의 검토 및 선별 과정과 대부분 유사하지만, 사적인 정보와 독점적 권한이 있는 정보 등에 대한 사전 검토 및 보호를 중심으로 보호절차를 제시한 것은, 많은 판례와 민사소송규칙에서 명시한 핵심적인 내용이 반영된 EDBP의 장점이라고 볼 수 있다.

또한, EDBP는 소송 전 활동에서 시작하여 증거 제출까지 전개되는 e-Discovery 전 과정에 소송 비용 감소를 위한 검토가 전반적으로 반영되어 있음을 볼 수 있다. 이러한 이유에서 EDBP는 e-Discovery를 평소부터 준비하고, 소송에 직면하여 계획 수립 및 실행을 하는 과정에서 효율적인 예산계획 수립과 집행을 유도할 수 있는 참조 모델로 인식되고 있다.

앞서 언급한 것처럼 EDBP는 참조 모델을 제시할 때 ‘최초 EDBP는 EDRM의 단계들이 반영된 것 이고, 이들 중 기술지원을 하는 벤더의 역할을 제외한 법률 서비스에 해당하는 내용을 구체화시킨 것’ 이라고 명시하고 있다.

하지만 EDBP의 내용은 EDRM과 같이 e-Discovery의 내용을 전반적으로 전개하고 있을 뿐만 아니라 모든 과정에서 이루어지는 세부 절차들의 법률적인 근거와 의미를 제시하고 있다는 측면에서 조금 더 발전적인 모델이라고 할 수 있다.

이것이 EDBP라는 모델이 EDRM에 비해 다소 상업적인 모습으로 비춰짐에도 불구하고, 많은 e-Discovery 관련 법률회사나 컨설턴트들이 EDBP 모델을 활용하는 이유일 것이다.

향후에도 EDBP는 지속적으로 법률의 개정안과 판례에 대한 내용을 반영할 것으로 보인다. EDRM과 EDBP는 모두 장점과 단점이 있겠지만 e-Discovery를 체계적으로 수행하기를 원한다면 두 가지 모델을 모두 이해하고, 연방민사소송규칙에 명시된 내용을 확인하여 세부적인 절차 수행 간 선별적인 적용을 하는 것이 좋을 것으로 생각된다.

[글_유 정 호(griphis77@me.com) 기업보안담당자]

필자는-----------------------------------

유 정 호(griphis77@me.com)

다년간 군 수사기관에서 디지털 포렌식과 사이버 수사교관 등을 지내면서 경찰수사 연수원, 지방경찰청 사이버수사대 등 국가기관의 강사로 활동했고, 디지털 포렌식 관련 매뉴얼집 등 다수 서적을 집필했으며, 각종 번역 작업에 참여한 바 있다. 현재는 기업에서 e-Discovery, 디지털 포렌식, 개인정보보호 등의 업무를 담당하고 있다.

-----------------------------------------

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)