정보보호의 시작에는 모두가 투자하지만, 끝은 비어 있습니다

정보보호를 이야기할 때 대부분의 논의는 앞단에 집중됩니다. 어떤 방화벽을 쓸 것인지, 접근권한을 어떻게 차등 부여할 것인지, 암호화 수준을 어디까지 끌어올릴 것인지에 대해서는 시장에 수많은 솔루션과 전문가가 존재합니다. 조직의 예산 역시 대부분 이 영역에 배정됩니다.

그러나 정보의 생애주기에는 반드시 끝이 있습니다. 수집되고 저장되고 활용된 데이터는 언젠가 불필요해지며, 그 데이터를 담고 있던 저장매체는 언젠가 조직을 떠납니다. 그리고 바로 그 지점에서 발생하는 사고는 앞단에 쌓아 올린 모든 통제를 한순간에 무력화합니다. 아무리 정교한 접근통제를 운영했더라도, 그 시스템에서 떼어낸 하드디스크가 통제 없이 외부로 흘러나가면 지금까지의 투자는 의미를 잃습니다.

폐기를 앞둔 저장매체가 만들어내는 위험은 추상적인 가정이 아닙니다. 실제로 창고에 방치된 노후 서버, 담당자가 바뀌면서 존재 자체가 잊힌 백업 디스크, 위탁업체 차량에 실려 나간 뒤 행방이 묘연해진 매체가 조직 전체의 신뢰를 무너뜨린 사례는 반복되어 왔습니다. 실제 인증심사 현장에서도 회수한 폐기 대상 하드디스크가 완전 삭제되지 않은 상태로 잠금장치조차 없는 장소에 방치되고 있는 경우, 외부업체를 통해 저장매체를 폐기하면서 계약서에 안전한 폐기 절차가 누락되고 이행 증적 확인이나 실사조차 이루어지지 않은 경우가 결함으로 지적되고 있습니다. 이는 특정 조직의 부주의가 아니라, 파기 단계에 원칙이 없을 때 어디서든 발생하는 구조적 문제입니다.

알테크코리아는 데이터 파기 현장에서 예외 없이 적용하는 세 가지 원칙을 운영하고 있습니다. 즉시파기, 현장파기, 그리고 불가피한 이동 시의 1차 보안조치입니다. 이 세 가지는 작업 편의를 위한 내부 지침이 아니라, 파기 단계에서 실제로 사고가 발생하는 지점을 역산해 도출한 기준입니다. 이 글에서는 각 원칙이 왜 필요한지, 그리고 어떤 법적·제도적 근거 위에 서 있는지를 차례로 살펴보겠습니다.

제1원칙 — 즉시파기: 지연 그 자체가 위반입니다

파기 대기 상태라는 사각지대

파기 대상으로 지정된 저장매체는 이미 조직의 관리 체계 바깥으로 반쯤 나와 있는 상태입니다. 운영 중인 서버의 디스크에는 접근 로그가 남고 책임자가 지정되어 있으며, 이상 징후가 있으면 모니터링에 걸립니다. 그러나 "폐기 예정"이라는 딱지가 붙는 순간, 그 매체는 관심의 대상에서 벗어납니다. 자산 대장에서는 이미 제외되었으나 물리적으로는 여전히 존재하고, 그 안에 담긴 데이터는 조금도 사라지지 않은 채 그대로 남아 있습니다.

이 상태를 정확히 표현하면, 데이터는 살아 있는데 그 데이터를 지키던 통제는 이미 해제된 구간입니다. 조직의 정보보호 체계가 관리하는 대상 목록에서는 빠져 있으면서, 유출되면 조직이 온전히 책임을 져야 하는 정보는 그대로 남아 있는 상태입니다.

시간이 길어질수록 위험은 누적됩니다

이 공백기가 길어질수록 위험은 선형이 아니라 누적적으로 증가합니다. 담당자가 바뀌면 해당 매체의 존재 자체가 인수인계에서 누락되고, 사무실 이전이나 조직 개편 과정에서 소재가 불분명해지며, 몇 년이 지난 뒤 예상치 못한 장소에서 발견되는 일이 실제로 벌어집니다. 발견되었다면 그나마 다행이고, 발견되지 않은 채 유출된 경우 조직은 유출 사실 자체를 인지하지 못합니다. 인지하지 못한 유출은 신고도, 통지도, 피해 확산 차단도 불가능합니다.

축적을 전제로 한 처리 방식은 이 위험을 키웁니다. 매체가 일정 수량 쌓일 때까지 기다렸다가 한 번에 처리하는 방식은 비용 효율적으로 보이지만, 그 대기 기간 전체가 리스크 구간이 됩니다. 한 번에 처리하는 물량이 클수록 대기 기간은 길어지고, 대기 기간이 길수록 그 사이에 일어날 수 있는 사고의 가짓수는 늘어납니다.

법은 이미 시한을 정해두고 있습니다

즉시파기는 알테크코리아가 스스로 만든 기준이 아니라, 이미 법령이 요구하고 있는 사항입니다. 개인정보 보호법은 보유기간이 지났거나 처리 목적이 달성되어 개인정보가 불필요해졌을 때 지체 없이 파기하도록 규정하고 있습니다(제21조 제1항). 여기서 "지체 없이"라는 표현은 행정적 수사가 아닙니다. 이를 위반하여 개인정보의 파기 등 필요한 조치를 하지 않은 경우 3천만원 이하의 과태료가 부과됩니다(제75조 제2항 제4호). 즉 파기하지 않은 것뿐 아니라, 파기를 미룬 상태 자체가 제재 대상이 될 수 있다는 의미입니다.

더 나아가 표준 개인정보 보호지침은 이 "지체 없이"에 구체적인 시한을 부여하고 있습니다. 개인정보가 불필요하게 되었을 때에는 정당한 사유가 없는 한 그로부터 5일 이내에 파기하여야 한다고 명시하고 있습니다(제10조 제1항). 5일이라는 숫자는 실무자에게 매우 중요한 기준선입니다. 파기 대상이 발생한 시점부터 카운트가 시작되며, 이를 넘기려면 "정당한 사유"를 설명할 수 있어야 합니다. 물량이 모일 때까지 기다렸다는 사정이 정당한 사유로 인정받기는 어렵습니다.

또한 파기는 실행으로 끝나지 않습니다. 같은 지침은 개인정보처리자가 개인정보의 파기에 관한 사항을 기록·관리하여야 하며(제10조 제3항), 개인정보 보호책임자가 파기 시행 후 그 결과를 확인하여야 한다고 규정하고 있습니다(제10조 제4항). 즉 즉시 파기하고, 기록으로 남기고, 책임자가 확인하는 세 단계가 하나의 의무로 묶여 있습니다.

실무에서의 즉시파기

실무적으로 즉시파기는 파기 일정의 예측 가능성을 전제로 합니다. 파기 결정이 내려진 시점과 실제 파기가 집행되는 시점 사이의 간격을 최소화하면, 그 사이에 일어날 수 있는 모든 사고 시나리오가 함께 제거됩니다. 존재하지 않는 대기 기간에서는 아무 일도 일어나지 않습니다.

이는 조직 입장에서 절차를 단순화하는 효과도 있습니다. 대기 중인 매체를 어디에 어떻게 보관할 것인지, 누가 관리할 것인지, 잠금장치는 어떻게 할 것인지, 대기 목록은 어떻게 갱신할 것인지에 대한 고민이 대기 기간과 함께 사라집니다. 관리해야 할 위험이 줄어드는 것이 아니라, 위험이 성립할 조건 자체가 없어지는 것입니다.

제2원칙 — 현장파기: 이동 구간은 통제가 끊기는 구간입니다

가장 많은 질문을 받는 원칙

두 번째 원칙은 보관된 장소에서 이동시키지 않고 그 자리에서 파기한다는 것입니다. 세 원칙 중 가장 많은 질문을 받는 항목이기도 합니다. "어차피 파기할 물건인데 옮겨서 처리하면 안 되나"라는 의문이 자연스럽게 나오기 때문입니다.

이 질문에 대한 답은 명확합니다. 파기할 물건이기 때문에 옮겨도 되는 것이 아니라, 아직 파기되지 않았기 때문에 옮기면 안 되는 것입니다. 파기 대상으로 지정되었다는 사실은 그 매체의 법적 지위를 바꾸지 않습니다. 파기가 완료되기 전까지 그 안의 개인정보는 여전히 개인정보이며, 유출되면 그대로 유출 사고입니다.

이동 구간에서 벌어지는 일

문제의 핵심은 이동 구간이 통제의 사각지대라는 점입니다. 저장매체가 보관 장소를 벗어나 차량에 실리고, 도로 위를 지나, 처리 시설에 도착해 하역되는 전 과정에서 관리 주체는 사실상 위탁업체의 성실성에 의존하게 됩니다. 이 구간에서 발생하는 분실, 절취, 오배송, 중간 유출은 사후에 추적하기가 대단히 어렵습니다. 매체 하나가 사라져도 즉시 인지되지 않으며, 인지되었을 때는 이미 되돌릴 수 없습니다.

특히 위험한 것은 수량 불일치가 잘 드러나지 않는다는 점입니다. 100개를 실어 보냈는데 99개가 도착했다면, 그 사실을 확인할 수 있는 절차가 없는 한 아무도 알아채지 못합니다. 파기 증명서에는 처리 시설에 도착한 수량만 기록되고, 사라진 한 개는 애초에 존재하지 않았던 것처럼 처리됩니다. 그 한 개에 무엇이 담겨 있었는지는 영원히 알 수 없습니다.

인증심사가 실제로 지적하는 것들

이러한 우려는 제도적으로도 확인됩니다. ISMS-P 인증기준 2.9.7은 정보자산의 재사용과 폐기 과정에서 개인정보 및 중요정보가 복구·재생되지 않도록 안전한 절차를 수립·이행할 것을 요구합니다. 이 기준의 주요 확인사항에는 외부업체를 통해 정보자산 및 저장매체를 폐기할 경우 폐기 절차를 계약서에 명시하고 완전히 폐기했는지 여부를 확인하고 있는지가 포함되어 있습니다.

실제 결함사례를 보면 이 요구가 얼마나 구체적인지 알 수 있습니다. 외부업체를 통해 저장매체를 폐기하면서 계약 내용상 안전한 폐기 절차 및 보호대책이 누락되어 있고 폐기 이행 증적 확인이나 실사 등의 관리·감독이 이루어지지 않은 경우가 결함으로 지적됩니다. 폐기된 하드디스크의 일련번호가 아닌 시스템명을 기록하거나 폐기 대장을 아예 작성하지 않아 폐기 이력과 추적 가능한 증적을 확인할 수 없는 경우도 마찬가지입니다.

여기서 주목할 점은 "일련번호"라는 단어입니다. 시스템명이 아니라 매체 개별 일련번호 단위로 추적이 되어야 한다는 뜻이며, 이는 100개 중 99개만 도착하는 상황을 식별할 수 있는 유일한 방법이기도 합니다. 그리고 일련번호 단위의 확인은 매체를 눈앞에 두고 있을 때 가장 확실하게 이루어집니다.

현장파기는 이동 구간 자체를 없앱니다

현장파기는 이 구간 자체를 제거합니다. 데이터가 담긴 상태로 조직의 물리적 경계를 넘어가는 일이 발생하지 않으며, 경계를 넘어가는 것은 이미 복구가 불가능한 상태가 된 물리적 잔해뿐입니다. 통제의 연속성이 끊기지 않는다는 점에서, 현장파기는 절차상의 선호가 아니라 구조적 안전장치입니다.

또한 현장파기는 입회의 가능성을 보장합니다. 정보보호 담당자가 파기 과정을 직접 목격하고, 대상 매체의 일련번호를 하나씩 대조하며, 파기 결과를 그 자리에서 검증할 수 있습니다. 위탁 처리 후 사후에 발급되는 증명서만으로는 확보하기 어려운 수준의 확실성입니다. 앞서 언급한 표준 개인정보 보호지침 제10조 제4항이 요구하는 개인정보 보호책임자의 파기 결과 확인 역시, 현장 입회를 통해 가장 직접적으로 충족됩니다. 서류를 받아 확인하는 것과 눈앞에서 파기되는 것을 확인하는 것은 증적의 성격이 다릅니다.

데이터가 아니라 장비가 움직입니다

알테크코리아가 이동식 장비 기반의 출장 파기를 표준으로 삼는 이유가 여기에 있습니다. 디가우징 장비와 천공·파쇄 장비를 고객사 현장으로 이동시켜, 매체가 아니라 장비가 움직이도록 설계된 방식입니다. 움직여야 하는 것이 데이터인지 기계인지의 차이는, 사고 발생 가능성에서 결정적인 차이를 만듭니다. 장비가 이동 중 분실되어도 그것은 회사의 자산 손실일 뿐 고객사의 정보보호 사고가 아닙니다. 반대로 매체가 이동 중 분실되면 그것은 즉시 고객사의 유출 사고가 됩니다. 감당해야 할 위험의 성격이 완전히 다릅니다.

제3원칙 — 이동 시 1차 보안조치: 예외에도 기준이 있습니다

현실의 제약을 인정하되, 무원칙을 허용하지 않습니다

현실에서는 현장파기가 불가능한 경우가 존재합니다. 공간이 협소해 장비 반입이 어렵거나, 건물 구조와 층고 제약으로 작업이 제한되거나, 전원 용량이 부족하거나, 매체 수량이 극단적으로 많아 현장 작업 시간이 업무에 지장을 주는 상황이 발생합니다. 이런 제약을 인정하지 않고 원칙만 주장하는 것은 현실적이지 않습니다.

그러나 원칙을 지킬 수 없다는 이유로 아무 기준 없이 반출하는 것과, 반출하되 정해진 선조치를 반드시 거치는 것은 전혀 다릅니다. 알테크코리아의 세 번째 원칙은 후자입니다. 외부로 이동시켜야 한다면, 이동 전에 반드시 1차 보안조치를 적용합니다.

이동하는 것을 무해한 물건으로 만듭니다

1차 보안조치의 핵심은 이동하는 매체를 "데이터가 살아 있는 물건"이 아니라 "이미 복구 불가능한 물건"으로 만들어서 내보내는 것입니다. 자성 매체라면 반출 전 디가우징을 통해 자기적 기록을 소거하고, 비자성 매체라면 인증된 영구삭제 절차를 선행합니다. 이 조치가 완료된 이후에 이동하는 물건은 설령 분실되더라도 데이터 유출로 이어지지 않습니다.

이는 원칙의 예외가 아니라 원칙의 연장입니다. 제2원칙의 목적이 데이터가 통제를 벗어나지 않도록 하는 것이라면, 1차 보안조치는 물리적 이동이 불가피할 때 동일한 목적을 다른 수단으로 달성하는 방법입니다. 이동을 허용하되, 이동하는 대상에서 위험을 먼저 제거하는 순서입니다. 순서가 뒤바뀌면 의미가 없습니다. 도착해서 파기하겠다는 약속은 도착할 때까지의 구간을 보호하지 못합니다.

매체 특성에 따라 방법이 달라집니다

여기서 중요한 것은 1차 보안조치의 방법이 매체의 물리적 특성에 따라 달라져야 한다는 점입니다. 개인정보의 안전성 확보조치 기준은 개인정보를 파기할 경우 완전파괴(소각·파쇄 등), 전용 소자장비를 이용한 삭제, 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행 중 어느 하나의 조치를 하도록 규정하고 있습니다(제13조 제1항). 이때 전용 소자장비는 자기장을 이용해 저장장치의 데이터를 삭제하는 장비를 뜻합니다.

주목할 점은 이 세 가지가 "어느 하나"로 규정되어 있다는 것입니다. 조문상으로는 선택지처럼 보이지만, 실제로는 매체의 특성이 선택지를 좁힙니다. 자기장을 이용한 소자는 자성 매체에서만 작동합니다. 플래시 기반 저장장치, 즉 SSD나 eMMC, USB 메모리, NVMe는 자기적 방식으로 데이터를 기록하지 않으므로 소자장비를 아무리 강력하게 적용해도 데이터가 지워지지 않습니다. 매체를 잘못 판단하고 소자장비에 넣은 뒤 "파기했다"고 기록하는 것은, 기록상으로만 파기되고 실제로는 데이터가 온전히 남아 있는 최악의 상황을 만듭니다.

이 지점은 국제 표준에서도 명확히 다뤄지고 있습니다. 미국 국립표준기술연구소가 2025년 9월 발표한 NIST SP 800-88 Rev.2는 2014년의 Rev.1을 대체하는 최신 개정판으로, Clear·Purge·Destroy라는 세 가지 분류 체계는 유지하면서도 기술별 세부 절차를 문서에서 덜어내고 IEEE 2883-2022 등 외부 표준을 참조하도록 구조를 바꾸었습니다. 즉 무엇을 달성해야 하는지는 NIST가 정의하고, 어떻게 달성할 것인지는 IEEE 표준이 담당하는 방식입니다. 또한 Rev.2는 개별 장비 단위의 지시보다 정책과 역할, 판단 기준, 기록과 증적을 포함하는 미디어 새니타이제이션 프로그램을 갖출 것을 강조합니다. 절차를 수행했는지보다, 수행 근거와 결과를 설명할 수 있는 체계가 있는지를 묻는 방향입니다.

여기서 실무자가 반드시 알아야 할 사실이 있습니다. 소자, 즉 디가우징은 플래시 기반 저장장치에는 유효한 방식이 아닙니다. 나아가 최근의 고밀도 자성 매체 중 일부는 보자력이 높아져, 소자장비의 자기력이 충분하지 않으면 소거가 완전하지 않을 수 있다는 점도 함께 지적되고 있습니다. 소자장비를 보유하고 있다는 사실만으로 모든 매체를 안전하게 처리할 수 있는 것이 아니며, 매체 종류와 장비 사양의 조합을 검증하는 과정이 반드시 필요합니다.

알테크코리아가 자성 매체에는 DieHDD™ 장비를 이용한 디가우징을, 비자성 매체에는 블랑코(Blancco) 기반의 인증 영구삭제를 구분해 적용하는 이유가 여기에 있습니다. 매체를 가리지 않고 하나의 방식을 밀어붙이는 것이 아니라, 매체의 물리적 성질에 맞는 방식을 선택하는 것이 파기의 실효성을 보장하는 유일한 길입니다.

조치와 기록은 함께 가야 합니다

여기에 반출 목록의 작성, 봉인, 인수인계 기록이 결합됩니다. 무엇이 몇 개 나갔고 어디에 도착했는지가 문서로 남지 않으면, 1차 보안조치를 했다는 사실 자체를 사후에 입증할 수 없습니다. 앞서 살펴본 인증심사 결함사례가 일련번호 기록의 부재를 지적하는 것도 같은 맥락입니다. 조치를 실제로 했는지와, 했다는 것을 증명할 수 있는지는 별개의 문제이며, 감사와 심사의 자리에서는 후자가 판단 근거가 됩니다.

세 원칙이 하나로 작동하는 방식

이 세 가지는 각각 독립된 규칙이 아니라 하나의 논리로 연결되어 있습니다.

즉시파기는 시간축의 위험을 제거합니다. 파기 대상이 발생한 시점부터 실제 파기까지의 시간을 없애면, 그 시간 동안 벌어질 수 있는 모든 일이 함께 사라집니다. 현장파기는 공간축의 위험을 제거합니다. 매체가 통제된 공간을 벗어나지 않으면, 그 바깥에서 벌어질 수 있는 모든 일이 함께 사라집니다. 그리고 1차 보안조치는 공간축의 위험을 제거할 수 없을 때 대상 자체를 무해하게 만들어 위험의 성립 조건을 없앱니다.

정보보호 사고의 상당수는 통제가 없어서가 아니라 통제와 통제 사이의 틈에서 발생합니다. 파기 결정과 파기 집행 사이, 보관 장소와 처리 시설 사이가 바로 그 틈입니다. 운영 단계에는 촘촘한 통제가 있고 파기 완료 후에는 더 이상 지킬 것이 없지만, 그 사이 구간은 자주 비어 있습니다. 세 원칙은 이 틈을 하나씩 닫아가는 구조입니다.

법령과 인증기준이 요구하는 바도 결국 같은 방향입니다. 지체 없이 파기할 것, 복구되지 않는 방법으로 처리할 것, 그 과정을 기록하고 책임자가 확인할 것, 외부에 위탁한다면 절차를 계약에 명시하고 완전히 폐기되었는지 확인할 것. 세 원칙은 이 요구들을 현장의 언어로 옮겨 놓은 것에 가깝습니다.

맡기시기 전에 확인하실 세 가지 질문

많은 조직이 정보보호 생애주기의 시작점에 자원을 집중합니다. 그러나 마지막 단계, 즉 데이터가 완전히 사라지는 지점을 전문적으로 다루는 곳은 드뭅니다. 알테크코리아는 이 종착점에 특화된 사업자로서 디가우징, 천공·파쇄, 블랑코 기반 인증 영구삭제, 그리고 자원순환에 이르는 파기 이후의 처리까지를 담당하고 있으며, 즉시파기·현장파기·이동 시 1차 보안조치라는 세 원칙을 현장 운영의 기준으로 삼고 있습니다. 원칙은 지켜질 때만 원칙입니다. 파기를 맡기실 때 다음 세 가지를 확인하시기 바랍니다.

첫째, 언제 파기됩니까. 파기 대상이 발생한 시점과 실제 파기 시점 사이가 얼마나 벌어지는지, 그 사이 매체는 어디에 어떤 상태로 보관되는지를 확인하십시오. 법이 정한 기준선은 정당한 사유가 없는 한 5일입니다.

둘째, 어디서 파기됩니까. 우리 사업장 안에서 이루어지는지, 아니면 어딘가로 실려 나가는지를 확인하십시오. 실려 나간다면 그 구간의 위험은 누가 지는지도 함께 물으셔야 합니다.

셋째, 옮겨진다면 무엇이 선행됩니까. 반출 전에 어떤 조치가 이루어지는지, 그 조치가 우리 매체의 물리적 특성에 맞는 방식인지, 그리고 일련번호 단위의 목록과 기록이 남는지를 확인하십시오.

이 세 가지 질문에 명확히 답할 수 있는 절차라면, 그 조직의 파기 단계는 이미 상당한 수준의 안전성을 확보하고 있는 것입니다. 그리고 이 질문들은 결국 감사와 인증심사의 자리에서 똑같이 던져질 질문이기도 합니다. 미리 답을 준비해 두는 편이 언제나 유리합니다.

조문 원문

개인정보 보호법 제21조 제1항 : 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

개인정보 보호법 제21조 제2항 : 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

개인정보 보호법 제75조 제2항 제4호 : 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자 (3천만원 이하의 과태료)

개인정보의 안전성 확보조치 기준 제13조 제1항 : 개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다. 1. 완전파괴(소각ㆍ파쇄 등) 2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

표준 개인정보 보호지침 제10조 제1항 : 개인정보처리자는 개인정보의 보유 기간이 경과하거나 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과, 해당 서비스의 폐지, 사업의 종료 등 그 개인정보가 불필요하게 되었을 때에는 정당한 사유가 없는 한 그로부터 5일 이내에 그 개인정보를 파기하여야 한다.

표준 개인정보 보호지침 제10조 제2항 : 영 제16조제1항제1호의 '복원이 불가능한 방법'이란 현재의 기술수준에서 사회통념상 적정한 비용으로 파기한 개인정보의 복원이 불가능하도록 조치하는 방법을 말한다.

표준 개인정보 보호지침 제10조 제3항 : 개인정보처리자는 개인정보의 파기에 관한 사항을 기록ㆍ관리하여야 한다.

표준 개인정보 보호지침 제10조 제4항 : 개인정보 보호책임자는 개인정보 파기 시행 후 파기 결과를 확인하여야 한다.