덮어쓰기도 포맷도 마땅치 않은 매체라, 기준을 정해두지 않으면 몇 년이 그대로 흘러갑니다

새 테이프 라이브러리가 들어오던 날, 전산실 앞 복도는 온종일 어수선했습니다. 랙이 자리를 잡고 드라이브가 하나씩 장착되는 사이, 한쪽에서는 지난 세대 카트리지들이 플라스틱 상자에 담겨 나오고 있었습니다. 바코드 라벨이 붙은 카트리지가 상자마다 스무 장씩, 상자는 열댓 개. 담당자는 그 것들을 일단 지하 창고 선반으로 올려두라고 했습니다. 아직 안에 뭐가 들었는지 확인을 못 했으니 급하게 처리할 일은 아니라고 판단한 것입니다.

그 판단 자체는 합리적이었습니다. 다만 그날 이후 그 선반을 다시 들여다본 사람이 없었을 뿐입니다. 담당자가 부서를 옮기고, 라이브러리가 한 번 더 교체되고, 계약이 갱신되는 동안에도 카트리지는 그 자리에 있었습니다. 몇 년 뒤 감사 자리에서 "저기 있는 테이프들은 언제 어떻게 처리하기로 되어 있느냐"는 질문이 나왔을 때, 답할 수 있는 사람이 아무도 없었습니다.

테이프는 줄어드는 매체가 아닙니다

백업테이프를 한물간 물건으로 여기는 인식이 아직 남아 있지만, 시장 수치는 반대 방향을 가리킵니다. LTO 기술을 관리하는 3개 제조사 협의체가 발표한 연간 출하 자료에 따르면 2024년 한 해에 출하된 테이프 용량은 압축 기준 176.5엑사바이트로 사상 최대치를 기록했고, 전년 대비 15퍼센트 넘게 늘면서 4년 연속 성장세를 이어갔습니다. 랜섬웨어에 대비한 오프라인 격리 사본의 가치가 재평가된 것, 그리고 AI 학습과 분석을 위해 버리지 않고 쌓아두는 비정형 데이터가 폭증한 것이 배경으로 지목됩니다.

세대 자체도 빠르게 올라가고 있습니다. 2025년 하반기 공개된 10세대 규격은 카트리지 한 장에 30테라바이트를 담고, 뒤이어 발표된 고용량 사양은 새로운 베이스 필름 소재를 적용해 같은 크기 카트리지의 용량을 40테라바이트까지 끌어올렸습니다. 앞으로의 로드맵은 세대를 거듭해 한 장에 수백 테라바이트를 담는 지점까지 그려져 있습니다. 문제는 이 흐름의 뒷면입니다. 새 세대가 들어온다는 것은 곧 이전 세대 카트리지가 대량으로 밀려난다는 뜻이고, 밀려난 카트리지는 언젠가 조직 밖으로 나가야 합니다. 들어오는 물량은 구매 품의와 도입 일정이라는 절차를 거치지만, 나가는 물량에는 대개 그만한 절차가 없습니다. 그래서 창고 선반이 채워집니다.

한 가지 더 있습니다. 조직 안에 여러 세대가 동시에 남는 현상입니다. 백업 정책은 보통 몇 년 단위로 바뀌고 장비 교체 주기도 부서마다 다르기 때문에, 실제로 창고를 열어보면 대여섯 해 간격의 서로 다른 세대 카트리지가 한꺼번에 나옵니다. 세대마다 물리적 특성이 조금씩 다르고 요구되는 처리 조건도 달라지는데, 이를 한 덩어리로 뭉뚱그려 "테이프 몇 상자"로 세는 순간 처리 계획을 세우기가 어려워집니다. 목록을 만들 때 카트리지 세대와 도입 연도를 함께 기록해 두어야 하는 이유입니다. 이 한 줄이 나중에 처리 방식을 정하는 기준이 됩니다.

읽을 수 없다는 말과 지워졌다는 말은 다릅니다

구세대 카트리지가 방치되는 가장 흔한 이유는 의외로 단순합니다. 읽을 방법이 없어서입니다. 8세대 이후 LTO 드라이브는 바로 앞 세대까지만 읽고 쓸 수 있도록 호환 범위가 좁아졌고, 7세대까지 유지되던 두 세대 하위 호환은 사라졌습니다. 10세대에 이르러서는 하위 호환이 아예 제공되지 않아, 새 드라이브로는 이전 세대 매체를 읽지도 쓰지도 못합니다. 라이브러리를 교체하는 순간 예전 카트리지의 내용을 확인할 수단이 조직 안에서 사라지는 셈입니다.

여기서 판단이 어긋나기 쉽습니다. 우리 장비로 못 읽으니 사실상 못 쓰는 물건이라는 감각이 생기고, 못 쓰는 물건이니 위험하지도 않을 것 같다는 결론으로 이어집니다. 그러나 읽을 수 없다는 것은 우리 조직의 사정일 뿐입니다. 구세대 드라이브는 중고 시장에서 어렵지 않게 구할 수 있고, 카트리지에 기록된 자기 신호 자체는 손상되지 않은 채 그대로 남아 있습니다. 오히려 오래된 테이프일수록 내용을 확인할 수 없다는 이유로 목록에서 빠지고, 목록에서 빠졌기 때문에 파기 대상으로도 올라가지 않는 악순환이 생깁니다. 실제로 사고는 그 지점에서 터집니다.

미국의 한 아동병원 재단은 건물 리모델링 공사가 진행되던 중 잠금 캐비닛에 보관돼 있던 암호화되지 않은 백업테이프 세 개가 사라진 사실을 뒤늦게 확인했습니다. 그 안에는 1990년대 중 반부터 2000년대 초반까지의 환자와 보증인, 직원 정보가 담겨 있었고, 통지 대상은 약 160만 명에 달했습니다. 문제의 테이프는 시스템 전환 작업을 마친 뒤 그대로 보관돼 온 것이었습니다. 전환이 끝난 시점에 처리 여부를 결정했더라면 애초에 존재하지 않았을 위험입니다.

덮어쓰기가 통하지 않는 매체입니다

디스크였다면 선택지가 넓습니다. 검증된 소프트웨어로 덮어쓰고 결과 리포트를 받으면 재사용도 가능합니다. 테이프는 다릅니다. 순차 기록 방식이라 전체 구간을 덮어쓰려면 카트리지 한 장마다 처음부터 끝까지 기 록을 다시 해야 하고, 용량이 커진 최신 세대일수록 그 시간은 몇 시간 단위로 늘어납니다. 수백 장을 처리한다면 드라이브를 몇 주 동안 그 작업에만 붙들어 두어야 한다는 뜻입니다.

시간보다 더 곤란한 것은 검증입니다. 덮어쓰기가 끝났다는 사실을 확인하려면 결국 그 테이프를 다시 읽어야 하는데, 앞서 본 것처럼 구세대 카트리지는 읽을 드라이브부터가 없습니다. 이어쓰기 방식으로 운영되던 구간이나 물리적으로 손상된 구간이 남아 있으면 덮어쓰기가 그 부분을 지나칠 수도 있는데, 이 역시 확인할 방법이 마땅치 않습니다. 게다가 규정 준수를 위해 한 번 쓰면 수정할 수 없도록 만들어진 WORM 카트리지는 설계 자체가 덮어쓰기를 허용하지 않습니다. 장기 보존 자료일수록 이 유형을 쓰는 경우가 많다는 점을 생각하면, 정작 파기가 가장 절실한 테이프에서 덮어쓰기라는 선택지가 먼저 사라지는 셈입니다.

국내 규정이 인정하는 파기 방법은 세 가지입니다. 소각이나 파쇄를 통한 완전파괴, 자기장을 이용해 저장장치의 데이터를 삭제하는 전용 소자장비의 사용, 그리고 데이터가 복원되지 않도록 하는 초기화 또는 덮어쓰기입니다(안전성 확보조치 기준 제13조 1항). 테이프에서는 세 번째 항목이 사실상 배제되므로, 남는 것은 소자와 물리적 파괴 두 가지입니다. 이 구조를 처음부터 알고 있으면 "일단 창고에 두고 나중에 지우자"는 결정이 왜 실행되지 않는지도 설명이 됩니다. 나중에 지울 방법이 애초에 없기 때문입니다.

실무에서 이 차이는 생각보다 큽니다. 디스크는 담당자가 마음만 먹으면 사내에서 처리하고 결과를 확인할 수 있는 여지가 있지만, 테이프는 처음부터 전용 장비나 물리적 파괴 설비가 있어야 처리가 시작됩니다. 다시 말해 테이프의 파기는 개인의 부지런함으로 메울 수 있는 종류의 일이 아니라, 예산과 일정과 업체 선정이 함께 걸린 결정입니다. 결정이 필요한 일은 결정하는 사람이 정해져 있지 않으면 미뤄집니다. 창고에 카트리지가 쌓이는 진짜 원인은 여기에 있습니다.

디가우징은 유효하지만, 장비 등급이 전제입니다

테이프는 자성 매체이므로 디가우징이 원리적으로 유효합니다. 폴리에스터 필름 위에 도포된 자성 입자의 배열이 곧 데이터이고, 이 배열을 무너뜨리면 신호 자체가 의미를 잃습니다. 플래시 메모리를 쓰는 SSD에는 통하지 않는 방식이지만, 테이프에는 정확히 들어맞습니다.

다만 조건이 붙습니다. 디가우저가 만들어내는 자기장이 대상 매체의 보자력을 충분히 넘어서야 한다는 조건입니다. 테이프는 세대가 올라갈수록 기록 밀도를 높이기 위해 보자력이 높은 소재를 쓰고, 그만큼 요구되는 자기장 세기도 함께 올라갑니다. 여기서 실무상 가장 위험한 상황이 생깁니다. 등급이 맞지 않는 장비로 처리하면 겉으로는 작업이 끝난 것처럼 보이지만 실제로는 상당 부분의 데이터가 복구 가능한 상태로 남습니다. 오디오 카세트용 소거기 수준의 장비나 사양이 확인되지 않은 중고 장비로 최신 세대 카트리지를 처리하는 경우가 대표적입니다. 처리했다는 기록만 남고 데이터는 남는, 가장 나쁜 결과입니다.

또 하나 알아둘 점은 소자를 거친 테이프는 다시 쓸 수 없다는 사실입니다. LTO 카트리지에는 헤드 위치를 잡아주는 서보 트랙이 공장 출하 단계에서 기록되는데, 디가우징은 이 서보 신호까지 함께 지웁니다. 제조사 기술 자료도 서보 신호가 기록된 매체는 매체를 못 쓰게 만들 목적이 아니라면 소자해서는 안 된다고 명시하고 있습니다. 파기가 목적이라면 이는 단점이 아니라 오히려 원하는 결과입니다. 데이터가 사라지는 동시에 매체가 재사용 경로로 흘러갈 가능성까지 차단되기 때문입니다. 민감도가 높은 자료를 담았던 카트리지라면 소자 이후 분쇄나 소각까지 이어 물리적 형상 자체를 없애는 편이 더 확실합니다.

암호화했으니 괜찮다는 판단의 함정

4세대 이후 LTO 드라이브에는 하드웨어 암호화 기능이 들어가 있고, 최신 10세대는 양자 컴퓨팅 환경까지 염두에 둔 키 교환 방식을 지원합니다. 그래서 실무에서 이런 판단이 나오곤 합니다. 어차피 암호화해서 기록했으니 키만 없애면 파기한 것과 다름없지 않느냐는 것입니다.

국제 기준은 이 방식을 일정 조건 아래 인정합니다. 2025년 9월 개정된 미국 표준 문서는 암호 소거를 완전소거 수준의 기법으로 다루면서, 승인된 알고리즘을 사용했을 것, 키가 복구 불가능하게 파기됐을 것, 구현이 검증됐을 것, 작업 이력을 추적할 수 있을 것이라는 요건을 함께 제시합니다. 문제는 국내 규정과 실제 운영 환경입니다. 앞서 본 국내 고시가 열거한 세 가지 방법에는 키 파기가 별도 항목으로 들어 있지 않고, 테이프 환경에서는 요건 충족을 증명하기도 어렵습니다.

테이프 암호화 키는 복구를 위해 별도 키 관리 서버에 보관되고, 보존 연한이 긴 아카이브일수록 키도 함께 오래 남깁니다. 그 키가 백업의 백업에도 남아 있지 않다고 단언할 수 있는 조직은 많지 않습니다. 무엇보다 암호화를 도입하기 전에 기록한 테이프가 같은 선반에 섞여 있는 경우가 흔한데, 이런 카트리지에는 키 파기 논리 자체가 적용되지 않습니다.

결국 암호화는 파기를 대체하는 수단이 아니라 파기 전까지의 위험을 낮춰주는 보조 수단으로 보는 편이 안전합니다. 실제로 앞서 언급한 사고들에서 문제가 커진 이유도 테이프가 사라졌다는 사실 자체보다, 그 테이프가 암호화되지 않은 상태였고 그 사실을 사고가 난 뒤에야 확인했다는 점에 있었습니다. 운영 중에는 암호화로 위험을 낮추고, 수명이 끝난 시점에는 규정이 인정하는 방법으로 파기하는 두 단계를 각각 갖춰두는 것이 순서에 맞습니다.

한 장이 사라졌을 때의 무게가 달라졌습니다

카트리지 한 장의 용량은 세대를 거치며 급격히 늘었습니다. 예전이라면 한 장을 잃어버려도 특정 기간의 부분 자료였지만, 지금은 한 장에 수십 테라바이트가 담깁니다. 재고 대사에서 숫자가 하나 맞지 않는다는 것이 예전과는 완전히 다른 의미를 갖게 된 것입니다. 해외의 한 공공 의료 프로그램에서는 위탁업체 직원의 차량에 있던 백업테이프가 도난당해 약 490만 명 규모의 정보가 영향권에 들었고, 한 금융기관은 보관업체로 옮기던 암호화되지 않은 테이프 한 장이 운송 도중 사라져 수백만 명의 계좌 정보가 문제가 됐습니다. 두 사례 모두 매체가 사무실 문을 나선 뒤 발생했다는 공통점이 있습니다.

그래서 테이프는 대량 처리일수록 수량 대사가 중요해집니다. 카트리지는 크기가 작고 생김새가 똑같아 상자 단위로 옮기다 보면 한두 장이 빠져도 눈에 띄지 않습니다. 파기 대상 목록을 상자 개수가 아니라 바코드와 일련번호 단위로 만들어 두고, 인계 시점과 처리 완료 시점의 수량이 정확히 맞아떨어지는지 확인하는 절차가 있어야 "몇 장을 맡겼는데 몇 장이 처리됐는지" 나중에 답할 수 있습니다.

같은 이유로 외부 보관소에 맡겨둔 테이프는 별도의 관리 항목으로 다뤄야 합니다. 오프사이트 보관은 그 자체로 개인정보 처리의 위탁에 해당하므로, 위탁자는 수탁자가 정보를 안전하게 처리하는지 관리하고 감독할 의무를 집니다(제26조). 계약이 끝나거나 보관업체를 바꾸는 시점에 보관 중이던 테이프를 어떻게 반환받고 어떤 방식으로 파기할지, 그 결과를 어떤 문서로 확인할지가 계약서에 들어 있지 않다면, 그 테이프들은 통제 범위 밖에 놓인 상태로 계속 남게 됩니다.

결정을 내리기 좋은 시점은 정해져 있습니다

테이프의 처리 여부를 판단하기 가장 좋은 순간은 세 번 찾아옵니다. 첫째는 시스템 전환이나 데이터 마이그레이션이 끝난 직후입니다. 새 환경에서 복구 시험까지 마쳐 데이터가 실제로 살아 있다는 사실이 확인된 시점이면, 옛 매체를 계속 안고 있을 근거는 대부분 사라집니다. 둘째는 라이브러리나 드라이브를 교체하는 시점입니다. 새 장비가 읽지 못하는 세대의 카트리지는 그 순간부터 조직 안에서 확인이 불가능한 자산이 되므로, 도입 품의에 구세대 매체의 처리 계획을 함께 넣어두는 것이 가장 확실합니다. 셋째는 외부 보관 계약이 갱신되거나 종료되는 시점입니다. 보관 비용을 다시 지불할지 결정하는 자리는 그 테이프가 정말 필요한지 되묻기에 가장 자연스러운 자리이기도 합니다.

반대로 이 세 시점을 모두 지나치고 나면 판단의 계기가 사라집니다. 아무 일도 일어나지 않는 상태에서 "저 테이프들을 없애자"고 먼저 제안하는 사람은 드물기 때문입니다. 새 백업 장비로 넘어갈 때 복구 시험을 먼저 거치고, 그 결과가 확인된 뒤에 옛 매체를 처리 대상으로 넘기는 순서만 지켜도 대부분의 위험은 정리됩니다. 확인 없이 옛 매체부터 없애면 되돌릴 지점 자체가 사라지고, 확인만 하고 처리를 미루면 창고가 채워집니다.

규정은 시점과 결과를 함께 묻습니다

법이 요구하는 기준은 명확합니다. 개인정보처리자는 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요하게 됐을 때 지체 없이 파기해야 하고(제21조 1항), 파기할 때에는 복구나 재생이 되지 않도록 조치해야 합니다(제21조 2항). 전자적 파일은 복원이 불가능한 방법으로 영구 삭제하고, 그 밖의 기록매체는 파쇄하거나 소각하도록 방법도 구분해 정해져 있습니다(시행령 제16조 1항). 창고에 쌓인 테이프는 이 두 요건을 동시에 어기기 쉬운 상태입니다. 시점은 이미 지났고, 결과를 증명할 방법도 없습니다.

파기 누락이 별개의 제재 사유가 된다는 점도 짚어둘 필요가 있습니다. 한 글로벌 외식 브랜드의 국내 법인은 이용자 개인정보가 담긴 백업 파일에 접근이 가능하도록 통제를 소홀히 해 대규모 유출을 낸 사안에서, 보유기간이 지난 70만 명이 넘는 이용자 정보를 파기하지 않은 사실이 함께 지적돼 억대 과징금과 과태료를 부과받았습니다. 유출 사고를 다루는 조사에서 파기 이행 여부가 함께 확인된다는 뜻입니다. 여기에 더해 고의나 중대한 과실, 반복적이거나 대규모인 침해에 대해 과징금 상한을 전체 매출액의 10퍼센트까지 올리는 개정 개인정보 보호법이 곧 시행을 앞두고 있습니다. 방치된 매체 한 무더기가 조사 과정에서 어떤 무게를 갖게 될지는 예전과 같지 않을 것입니다.

알테크코리아가 맡는 구간

알테크코리아는 이 흐름의 마지막 구간을 담당합니다. 자체 브랜드 DieHDD™를 통해 자성 매체에 대해서는 디가우징으로 기록된 자기 신호를 무력화하고, 필요에 따라 유압천공과 분쇄파기, 소각파기를 적용해 물리적 복원 가능성까지 차단합니다. 하드디스크와 마찬가지로 LTO를 비롯한 자기 테이프도 디가우징이 유효한 매체이며, 민감도가 높은 자료를 담았던 카트리지는 소자 이후 분쇄나 소각으로 마무리하는 이중 절차를 적용할 수 있습니다. 재사용을 전제로 데이터만 완전히 지워야 하는 디스크와 플래시 매체에 대해서는 블랑코(Blancco) 코리아 공식 파트너로서 인증된 영구삭제와 검증 리포트를 함께 제공합니다.

절차 역시 앞에서 짚은 문제들을 그대로 반영합니다. 처리 대상 카트리지의 세대와 수량, 담긴 자료의 민감도를 먼저 확인해 목록을 만들고, 바코드와 일련번호 단위로 대사가 되도록 정리합니다. 매체가 사내를 벗어나는 것 자체가 부담스러운 상황이라면 현장 파기 방식을 택해 통제가 끊기는 구간을 없앨 수 있고, 반출이 필요한 경우에는 인수인계 시점과 운송 책임 범위를 문서로 남깁니다. 작업이 끝난 뒤에는 처리 대상 목록과 작업 일시, 적용한 파기 방식, 파기 전후 사진이 담긴 결과 증빙을 전달해, 담당자가 바뀐 뒤에도 같은 내용을 다시 확인할 수 있게 합니다.

마무리

백업테이프의 파기가 유독 미뤄지는 이유는 담당자가 게을러서가 아닙니다. 읽을 수단이 없어 내용을 확인하기 어렵고, 덮어쓰기라는 손쉬운 선택지가 막혀 있으며, 당장 급한 일도 아니기 때문입니다. 그래서 이 매체는 다른 어떤 저장매체보다도 사전에 기준을 정해두는 일이 중요합니다. 라이브러리를 교체할 때 구세대 카트리지의 처리 시점을 함께 결정해 두는 것, 외부 보관 계약에 반환과 파기 조항을 넣어두는 것, 소자 장비의 등급이 대상 세대에 맞는지 확인하는 것, 그리고 처리 결과를 카트리지 단위로 남겨두는 것.

이 네 가지만 정해져 있어도 창고 선반이 몇 년씩 채워지는 일은 대부분 막을 수 있습니다. 사고가 났을 때 조직을 곤란하게 만드는 것은 대개 사고 자체가 아니라, 그 이후를 설명하지 못하는 상황입니다. 어떤 매체를 언제 어떤 방식으로 처리했는지 답할 수 있는 조직과 그렇지 못한 조직의 차이는 사고 전에는 잘 드러나지 않다가, 조사와 감사 앞에서 한꺼번에 드러납니다. 지금 사무실 지하나 외부 보관소에 언제 만들었는지 모르는 카트리지가 남아 있다면, 그 목록을 꺼내 보는 것이 이 문제를 푸는 첫 단계입니다.