데이터로 움직이는 시대, 당신의 정보는 안전한가요?

우리는 지금 정보가 곧 자산이 되는 시대를 살고 있습니다. 개인의 일상부터 기업의 전략, 정부의 정책 결정에 이르기까지 거의 모든 활동이 '데이터'라는 이름으로 저장되고 있으며, 이렇게 축적된 데이터는 디지털 공간을 넘어 현실 경제와 사회 전반에 직접적인 영향을 미치고 있습니다. 비즈니스 의사결정, 신용 평가, 의료 진단, 행정 서비스, 그리고 인공지능 모델의 학습까지 거의 모든 영역에서 데이터는 핵심 자원으로 기능하고 있으며, 그 가치는 시간이 흐를수록 더욱 커지고 있습니다.

그렇다면 이 중요한 자산을 안전하게 지키는 '정보 보안'은 지금 어떤 의미를 지니고 있을까요? 과거에는 정보 보안이 일부 IT 부서나 보안 전문가들만의 영역으로 인식되었지만, 지금은 상황이 완전히 달라졌습니다. 데이터를 다루지 않는 조직은 사실상 존재하지 않으며, 데이터를 안전하게 관리하지 못하는 기업과 기관은 시장에서 도태될 수밖에 없는 환경이 형성되었습니다. 본 글에서는 정보 보안이 왜 더 이상 선택의 문제가 아닌지, 기업과 기관이 반드시 갖춰야 할 관리 체계는 무엇인지, 그리고 정보 보안의 마지막 관문인 저장장치 폐기까지 어떻게 책임져야 하는지를 단계적으로 살펴보겠습니다.

왜 정보 보안은 이제 '선택'이 아닌가?

2025년 한 해 동안 국내에서 발생한 침해사고는 우리 사회가 얼마나 큰 사이버 위협에 노출되어 있는지를 적나라하게 드러냈습니다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 집계한 2025년 상반기 침해사고 신고 건수는 1,034건으로, 전년 동기 대비 약 15% 증가한 수치를 기록하였습니다. 같은 기간 서버 해킹 신고는 531건에 달하였고, DDoS 공격은 238건으로 전년 상반기와 비교해 55% 이상 늘어났습니다. 랜섬웨어 신고 건수 자체는 82건으로 다소 감소하였지만, 악성코드 감염 사고 가운데 여전히 70% 이상의 비중을 차지하며 가장 파괴적인 위협의 자리를 지키고 있습니다.

실제 사례를 살펴보면 위협의 심각성은 더욱 분명해집니다. 2025년 4월 발생한 SK텔레콤 유심 정보 유출 사건에서는 가입자 2,324만여 명의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종에 이르는 정보가 외부로 유출되었으며, 개인정보보호위원회는 위원회 출범 이후 역대 최대 규모인 1,347억 9,100만 원의 과징금을 부과하였습니다. 같은 해 6월에는 예스24가 랜섬웨어 공격을 받아 웹과 앱 서비스가 장시간 마비되는 사태를 겪었고, 9월에는 KT가 불법 펨토셀을 통한 침해를 당해 이용자 22,227명의 IMSI·IMEI·전화번호가 유출되고 368명이 약 2억 4,300만 원 상당의 무단 소액결제 피해를 입었습니다. 이 외에도 글로벌 가상자산 거래소 해킹, 다크웹 기반의 크리덴셜 스터핑 공격 등이 끊임없이 이어지며 우리 사회의 디지털 신뢰 기반을 흔들었습니다.

이러한 사고들이 보여주는 핵심 메시지는 명확합니다. 정보 보안은 더 이상 IT 부서의 기술적 과제가 아니라, 기업 경영진과 조직 전체의 책무라는 사실입니다. 단 한 번의 보안 사고로 수천억 원의 과징금과 함께 수십 년간 쌓아온 브랜드 신뢰가 무너질 수 있는 시대가 도래하였습니다. 정보 보안은 '안 하면 안 되는' 생존 조건이 되었고, 이를 외면한 조직에게는 시장의 가혹한 심판이 기다리고 있습니다.

기업에게 보안은 곧 브랜드 가치입니다

고객 정보, 재무 자료, 내부 기획안, 특허 설계도, 제품 로드맵, 인사 기록까지. 기업이 보유한 데이터의 종류는 헤아릴 수 없이 다양하며, 이러한 데이터가 한꺼번에 유출된다면 단순한 금전적 손해를 넘어 시장에서의 존립 자체가 위협받게 됩니다. 특히 B2C 기업의 경우 고객 신뢰가 곧 매출과 직결되기 때문에, 개인정보 유출 사고 한 건만으로도 이탈 고객의 규모가 폭발적으로 늘어나는 패턴이 반복적으로 관측되고 있습니다.

규제 환경 역시 빠르게 바뀌고 있습니다. 2026년 2월 12일 국회 본회의를 통과한 개인정보보호법 개정안은 고의나 중과실, 또는 반복적이고 대규모의 침해가 발생한 경우 과징금 상한을 전체 매출액의 최대 10%까지 부과할 수 있도록 대폭 강화하였습니다. 기존 3% 상한과 비교하면 세 배 이상 강화된 수치이며, 이는 유럽연합의 일반개인정보보호규정(GDPR)이 정한 전 세계 매출액의 4% 상한이나 1천만 유로 가운데 더 큰 금액을 부과하는 기준보다도 한층 더 강력한 수준입니다. 정부는 또한 정보보호 사고가 반복 발생하는 기업에 매출의 3% 이하를 과징금으로 부과하는 별도의 징벌적 제재안도 추진하고 있으며, 최고경영자(CEO)의 보안 책임을 법령에 명문화하고 정보보호최고책임자(CISO)의 권한을 실질적으로 보장하는 방안을 함께 마련하고 있습니다. 보안에 소홀한 기업은 기업의 존립 자체가 위태로워질 수 있는 환경이 만들어진 것입니다.

여기에 더해 ESG 공시 의무화 일정도 본격화되고 있습니다. 금융위원회는 2028년부터 연결자산총액 30조 원 이상 코스피 상장기업을 시작으로 ESG 공시를 단계적으로 의무화하고, 2029년에는 자산총액 10조 원 이상 기업까지 적용 범위를 확대하기로 발표하였습니다. 가치사슬 전반의 배출량을 다루는 스코프3 공시는 3년의 유예기간을 거쳐 2031년부터 적용될 예정입니다. ESG 평가 항목 안에는 정보보호 거버넌스, 개인정보 관리 체계, 협력사 보안 관리까지 포함되어 있어, 보안은 이제 환경·사회·지배구조 평가의 한 축을 구성하는 핵심 요소로 자리잡았습니다. 정보 보안 투자는 비용이 아니라 기업가치를 결정하는 전략적 투자라는 인식 전환이 시급해진 시점입니다.

기술적 방어만으로는 부족합니다: 인증과 관리체계의 중요성

정보 보안을 체계적으로 운영하기 위해서는 단편적인 보안 솔루션 도입을 넘어선 종합적인 관리체계가 필요합니다. 국내에서 가장 권위 있는 인증 제도인 ISMS-P(정보보호 및 개인정보보호 관리체계)는 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항 등 세 개 영역에서 총 101개의 인증기준을 통해 조직의 보안 수준을 정밀하게 검증합니다. ISMS 인증을 받고자 하는 기관은 관리체계 수립·운영 영역과 보호대책 요구사항 영역에서 80개의 인증기준을 적용받게 되며, ISMS-P 인증을 받기 위해서는 개인정보 처리 단계별 요구사항 21개가 추가로 적용됩니다.

국제적으로는 ISO/IEC 27001:2022가 정보보안경영시스템(ISMS)의 글로벌 표준으로 활용되고 있으며, 미국 국립표준기술연구소(NIST)가 발표한 사이버보안 프레임워크(CSF) 2.0, CIS Controls v8.1, 그리고 결제카드 산업의 PCI DSS 등도 글로벌 기업들이 참조하는 핵심 가이드라인입니다. 이러한 표준들은 위험 식별(Identify), 보호(Protect), 탐지(Detect), 대응(Respond), 복구(Recover)라는 일관된 사이클을 통해 조직이 사이버 위협에 체계적으로 대비할 수 있도록 돕습니다. 단순히 방화벽이나 백신, 비밀번호 정책 같은 기술적 조치만으로는 오늘날의 정교한 공격을 막아낼 수 없으며, 거버넌스와 프로세스, 사람과 기술이 유기적으로 결합된 다층 방어 체계가 반드시 필요합니다.

정보 보안의 사각지대: 저장장치 폐기의 함정

정보 보안 논의에서 가장 빈번하게 누락되는 영역이 바로 저장장치의 생애 종결(End-of-Life) 단계입니다. 데이터는 생성되고 활용되는 동안에만 위험에 노출되는 것이 아닙니다. 더 이상 사용하지 않는 하드디스크, SSD, 서버 장비, 백업 테이프 안에도 민감한 정보가 여전히 남아 있으며, 이를 적절히 폐기하지 않으면 그 안의 데이터는 언제든 복구되어 제3자의 손에 들어갈 수 있는 보안 사각지대가 됩니다.

일반적인 파일 삭제나 운영체제 포맷은 데이터를 진정으로 제거하지 않습니다. 운영체제에서 '삭제'된 파일은 실제로는 파일 시스템의 인덱스에서만 제거되며, 디스크의 물리적 영역에는 원본 데이터가 그대로 남아 있는 경우가 대부분입니다. 시중에 유통되는 무료 복구 도구만으로도 손쉽게 되살릴 수 있는 수준의 '삭제'를 진정한 폐기라고 부를 수는 없습니다. 따라서 저장매체를 폐기할 때는 데이터의 민감도와 매체의 종류, 향후 재사용 여부에 따라 적합한 방식을 선택해야 합니다.

미국 NIST가 2025년 9월 26일 발표한 SP 800-88 Revision 2 'Guidelines for Media Sanitization'은 매체 파기의 국제 표준으로 자리잡고 있습니다. 새 개정판은 기존 Clear(소거), Purge(정화), Destroy(파괴)라는 세 가지 처리 등급을 유지하면서도 SSD, NVMe, M.2 폼팩터, 임베디드 플래시 메모리 등 현대적 저장매체에 맞춘 기술 지침을 대폭 강화하였습니다. 매체별 세부 기법은 IEEE 2883-2022 표준을 함께 참조하도록 권고하고 있으며, 암호 소거(Cryptographic Erase) 기법을 사용할 때에는 더 엄격한 문서화와 키 관리 검증을 요구하고 있습니다. 또한 매체 파기 프로그램의 거버넌스, 위탁 업체에 대한 신뢰 검증, 감사 가능한 증빙 문서화를 한층 더 엄격하게 요구하고 있어, 단순히 '파기했다'고 주장하는 수준을 넘어 '파기를 입증할 수 있어야' 한다는 점이 강조되고 있습니다.

국내 기준 역시 이에 못지않게 엄격합니다. 국가정보원이 배포한 정보시스템 저장매체 불용처리지침은 비밀 자료가 저장된 매체의 경우 파쇄 조각 크기를 0.25mm 이하로 처리하도록 규정하고 있으며, 자성 소거 장비를 사용할 때에는 반드시 저장매체의 자기력보다 더 큰 자기력을 갖춘 장비를 사용하도록 명시하고 있습니다. 개인정보보호법 시행령과 ISMS-P 인증기준 또한 완전포맷 3회 이상, 데이터 영역에 무작위 값·'0'·'1' 등으로 덮어쓰기 3회 이상 등 구체적인 기술 요건을 제시하고 있어, 기업이 임의로 폐기 방식을 선택하기보다는 법정 기준에 부합하는 절차를 따라야 합니다. 종이 문서나 인쇄물 형태의 개인정보는 파쇄 또는 소각으로 처리하도록 규정되어 있으며, 이를 위반할 경우 과태료 처분 대상이 됩니다.

데이터의 마지막 1바이트까지 책임지는 RTECH KOREA(알테크코리아)

RTECH KOREA(알테크코리아)는 단순한 데이터 삭제 서비스 제공자를 넘어, 데이터의 생애 전 주기 가운데 가장 취약한 폐기 단계를 법과 표준에 부합하는 방식으로 책임지는 데이터 파기 전문 기업입니다. 자기력으로 하드디스크의 데이터를 영구히 제거하는 디가우징(Degaussing)은 매체 자체를 사용 불가능한 상태로 만들어 복구 가능성을 원천 차단하며, 국가정보원 자기력 기준을 충족하는 장비로 운영되어 정부 및 공공기관의 매체 파기 요건을 만족시킵니다.

재사용이 가능한 저장장치에 대해서는 NIST SP 800-88 Rev.2와 국정원 기준을 모두 충족하는 Blancco 인증 영구삭제 솔루션을 적용하여, 매체 자체는 보존하면서 데이터만을 복구 불가능한 상태로 처리합니다. 물리적 파기가 요구되는 경우에는 강한 압력으로 매체를 천공·파쇄하는 유압천공파쇄와 두 차례에 걸쳐 분쇄하여 복구 가능성을 완전히 제거하는 더블크러쉬 공정을 제공하며, 보안 등급이 높아 외부 반출이 어려운 매체에 대해서는 차량방문파쇄 서비스를 통해 현장에서 즉시 파기를 수행합니다. 마지막으로 모든 잔여 매체에 대해서는 소각폐기 처리를 통해 데이터의 흔적 자체를 소멸시킵니다.

이러한 모든 과정은 작업 전 자산 식별부터 파기 작업 영상 기록, 파기 증명서 발급에 이르기까지 감사 가능한 증빙 체계로 운영됩니다. ISMS, ISMS-P, ISO 27001 인증 기업의 컴플라이언스 요구사항을 충족하는 문서가 함께 제공되며, 폐기된 매체의 자원 회수와 친환경 처리까지 ESG 경영 관점에서 책임지고 있습니다. 데이터의 생성에서 폐기까지 전 생애 주기를 안전하게 닫아주는 마지막 한 걸음, RTECH KOREA(알테크코리아)가 그 책임을 함께 짊어집니다.

기업 정보 보안 점검 체크리스트

• 조직 차원의 정보보호 정책과 절차가 문서화되어 있고, 경영진이 이를 주기적으로 검토하고 있는지 점검합니다.

• 개인정보 처리 흐름도(데이터 맵)를 작성하여 수집·활용·보관·파기 단계별 위험 요소를 식별하고 있는지 확인합니다.

• 임직원 대상 정보보안 및 개인정보 보호 교육이 연 1회 이상 정기적으로 시행되고 있는지 점검합니다.

• 접근통제, 암호화, 로그 관리, 백업 등 기술적 보호조치가 ISMS-P 인증기준에 부합하는 수준으로 운영되고 있는지 확인합니다.

• 침해사고 대응 매뉴얼과 비상 연락 체계가 마련되어 있으며, 모의 훈련을 통해 실효성이 검증되고 있는지 점검합니다.

• 위탁 처리 및 협력사 보안 관리 절차가 수립되어 있고, 정기적인 점검이 이루어지고 있는지 확인합니다.

• 사용이 종료된 저장매체에 대한 폐기 절차가 NIST SP 800-88 Rev.2 및 국정원 지침에 부합하며, 파기 증명서가 보관되고 있는지 점검합니다.

• 디가우징, 영구삭제, 물리적 파쇄 등 매체별로 적합한 파기 방식이 적용되고 있는지 확인합니다.

• ISMS, ISMS-P, ISO 27001 등 인증 보유 여부와 갱신 일정을 관리하고 있는지 점검합니다.

• 2026년 개정 개인정보보호법 및 2028년 ESG 공시 의무화 일정에 맞춰 단계적 대응 로드맵이 수립되어 있는지 확인합니다.

정보 보안, 지금 준비하지 않으면 늦습니다

누구나 피해자가 될 수 있고, 누구나 가해자가 될 수도 있는 시대입니다. 정보 보안은 일부 부서의 업무가 아니라 모두의 책임이며, 조직 전체의 기본 전략이 되어야 합니다. 기업이라면 정보의 생성과 수집, 활용, 보관, 그리고 폐기에 이르는 전 생애 주기에서 빈틈없는 보안 체계를 갖추는 것이 필수입니다. 강화된 규제와 거세지는 사이버 위협 앞에서, 보안을 미루는 것은 더 이상 비용 절감이 아닌 가장 비싼 의사결정이 되었습니다.

정보를 만드는 단계부터 그 흔적을 지우는 마지막 순간까지, 데이터의 모든 여정에 책임을 다하는 기업, RTECH KOREA(알테크코리아)가 여러분의 든든한 보안 파트너가 되어드리겠습니다.