데이터 소거

NIST SP 800-88 Rev.2에서 미디어 소거는 주어진 수준의 노력, 즉 시간, 예산, 자원 제약을 고려했을 때 대상 데이터에 접근하는 것을 현실적으로 불가능하게 만드는 과정으로 정의됩니다. 목적은 단순히 파일 목록을 지우는 것이 아니라 민감 데이터의 기밀성을 유지할 수 있도록 잔존 데이터 접근 가능성을 통제하는 것입니다.

NIST는 소거 방법을 Clear, Purge, Destroy로 구분합니다. Clear는 사용자가 접근 가능한 인터페이스를 통한 복구를 어렵게 만드는 수준이고, Purge는 최신 실험실 기법을 사용한 복구도 현실적으로 불가능하게 하면서 매체를 재사용할 수 있는 상태로 유지할 수 있습니다. Destroy는 최신 실험실 기법으로도 대상 데이터 복구가 불가능하도록 하고 이후 저장 매체로 사용할 수 없게 만듭니다.

소거 방법은 정보의 민감도, 매체 유형, 재사용 계획, 조직 통제 범위와 위험을 함께 고려해 선택해야 합니다. 작업 후에는 Verification으로 소거 기술이 정상 완료되었는지 확인하고, Validation으로 그 결과가 실제 기밀성 요구 수준을 충족했는지 승인 또는 거부해야 합니다.

모든 소거 기술이 모든 저장매체에 적합한 것은 아닙니다. NIST는 SSD 같은 비자성 플래시에 디가우징을 적용해서는 안 된다고 설명하며, 단순 쓰기 기반 Clear는 오버프로비저닝 영역의 데이터를 남길 수 있음을 Validation 고려사항으로 제시합니다. 따라서 도구가 완료 메시지를 냈다는 사실만으로 소거가 효과적이라고 판단하면 안 됩니다.

단순 파일 삭제와 구분하며 정보 민감도, 매체 특성 및 이후 사용 목적을 함께 고려합니다. NIST SP 800-88 Rev. 2는 소거 프로그램과 적용 가능한 통제의 관점에서 안내합니다.

장비 재사용이나 반출 전에 저장매체별 지원 기능과 대상 범위를 확인하고 수행 결과와 판단 근거를 기록하는 경우입니다.

Clear, Purge와 Destroy는 보호 목표와 적용 조건이 다른 소거 범주입니다. 암호화 삭제는 키와 암호 구현의 조건을 충족해야 하며 장치의 단순 초기화와 항상 같은 결과가 아닙니다.

운영체제가 보이는 영역만 처리했다고 모든 숨은 영역과 사본까지 소거됐다고 단정하지 않습니다. 선택 방법의 적합성, 수행 확인과 결과 판단을 구분하고 원본 증거와 승인 범위를 보존합니다.

이 절의 용어: Clear / 논리적 소거 범주

Clear는 표준 읽기 및 쓰기 인터페이스로 접근할 수 있는 사용자 저장 위치를 논리적으로 처리해 단순한 비침습적 복구를 어렵게 하는 범주입니다. 적절한 덮어쓰기 등이 여기에 해당할 수 있으나 빠른 포맷은 같은 뜻이 아닙니다. 숨은 영역과 플래시의 이전 물리 페이지까지 모두 처리됐다고 확대하지 않습니다. Purge나 Destroy와의 선택은 매체 특성과 보호 목표에 따릅니다.

이 절의 용어: Purge / 강화된 소거 범주

Purge는 최신의 실험실 수준 복구 기법까지 고려해 대상 데이터의 회수를 실행하기 어렵게 하되 매체는 재사용할 수 있는 소거 범주입니다. 지원되고 검증된 장치 소거 기능이나 조건을 충족한 암호화 삭제 등이 대상이 될 수 있습니다. 장치가 제공하는 명령 이름만으로 Purge로 판정하지 않으며 구현, 처리 범위, 키 관리와 결과를 확인해야 합니다.

이 절의 용어: Destroy / 재사용할 수 없게 하는 파기 범주

Destroy는 대상 데이터의 복구를 실행하기 어렵게 하면서 매체를 저장용으로 다시 사용할 수 없게 하는 범주입니다. 적합한 분쇄나 해체 등의 공정과 처리 결과가 함께 필요합니다. 구멍 하나, 외관 손상 또는 부팅 불가는 이 범주의 충족을 자동으로 뜻하지 않습니다. 디가우징 역시 장치가 고장났다는 이유만으로 Destroy로 바꾸어 분류하지 않습니다.

장치와 버전에 따른 지원 조건은 각 공식 자료를 구분해 확인합니다. 이 글은 실제 파기 작업의 수행 증빙이나 외부 기관의 인증서가 아닙니다.

NIST SP 800-88 Revision 2, September 2025