NIST SP 800-88
더 많은 작업
NIST SP 800-88(Guidelines for Media Sanitization)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 정보 저장매체 소거 지침으로, 저장매체의 재사용·반납·양도·폐기 과정에서 민감정보가 복구되지 않도록 소거 수준을 결정하고 수행 결과를 검증·관리하기 위한 기준을 제시하는 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-88은 정보 저장매체에 기록된 데이터를 복구하기 어렵거나 불가능한 상태로 만드는 매체 소거(Media Sanitization)에 관한 지침이다.
일반적인 파일 삭제나 포맷은 저장매체의 실제 데이터를 제거하지 않을 수 있다. 파일시스템의 관리정보만 삭제되거나 저장공간을 재사용 가능한 상태로 표시하는 경우에는 기존 데이터가 남아 복구될 수 있다.
이러한 데이터 잔존(Data Remanence)은 저장장치의 폐기·재사용·반납·수리 과정에서 정보유출의 원인이 될 수 있다.
NIST SP 800-88은 이러한 위험을 줄이기 위해 다음 세 가지 소거 방법을 구분한다.[1]
- Clear(소거): 일반적인 소프트웨어 기반 복구로 원래 데이터에 접근할 수 없도록 처리.
- Purge(제거): 고도의 전문적인 복구 기술을 사용하더라도 원래 데이터에 접근할 수 없도록 처리.
- Destroy(파괴): 저장매체를 물리적으로 파괴하여 데이터 복구와 매체 재사용을 불가능하게 처리.
현행 Revision 2는 개별 저장장치의 삭제 방법을 설명하는 데 그치지 않고, 조직 차원의 매체 소거 정책·절차·책임·검증·기록을 포괄하는 매체 소거 프로그램(Media Sanitization Program)의 구축을 강조한다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-88 |
| 문서명 | Guidelines for Media Sanitization |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 최초 발행 | 2006년 |
| 현행 개정판 | Revision 2 |
| 현행판 발행일 | 2025년 9월 26일 |
| 작성자 | Ramaswamy Chandramouli, Eric A. Hibbard |
| 주요 분야 | 정보보호, 저장매체 관리, 데이터 소거, 정보자산 폐기 |
| 핵심 소거 방법 | Clear, Purge, Destroy |
| 관련 표준 | IEEE 2883, ISO/IEC 27040, NIST SP 800-53 |
| 공식 문서 | NIST SP 800-88 Rev. 2 |
2026년 10월 23일 기준 현행 최종 발행본은 Revision 2이다. 2025년 9월 26일 발표되었으며, 2014년의 Revision 1을 대체했다.[2]
NIST SP 800-88은 2006년 처음 발행되었다.
초기 문서는 하드디스크, 자기테이프, 광학매체 등 다양한 저장매체에 대해 데이터 소거 방법을 선정하고 수행하는 지침을 제공했다.
특히 정보의 기밀성 수준과 저장매체의 특성에 따라 적절한 소거 방법을 결정하도록 했다.
2014년 12월 17일 Revision 1이 발행되었다.
Revision 1은 저장매체별 소거 방법을 상세하게 설명하는 기술 지침의 성격이 강했다.
부록 A에는 다양한 매체 유형에 대한 소거 기법이 표로 제시되었다.
주요 내용은 다음과 같다.
- 저장매체의 종류별 소거 방법.
- Clear·Purge·Destroy의 구분.
- 하드디스크와 플래시 저장장치의 소거.
- 암호학적 삭제(Cryptographic Erase).
- 소거 결과 검증.
- 소거 증명서(Certificate of Sanitization).
- 저장매체 폐기 및 재사용 의사결정.
Revision 1은 오랫동안 저장매체의 안전한 폐기와 데이터 완전 삭제에 관한 대표적인 참고자료로 활용되었다.
2025년 7월 21일 Revision 2의 공개 초안이 발표되었고, 같은 해 9월 26일 최종본이 발행되었다.
Revision 2는 이전 개정판과 비교하여 문서의 목적과 구성에 상당한 변화가 있었다.[3]
주요 변경사항은 다음과 같다.
- 개별 매체의 기술적 소거 방법보다 조직 차원의 소거 프로그램 구축을 강조.
- 기존의 매체별 상세 소거 기법을 삭제하고 IEEE 2883 등 관련 표준을 참조하도록 변경.
- 소거 결과의 검증(Verification)과 타당성 확인(Validation)을 구분.
- 클라우드·가상 저장소 등 논리적 저장매체의 특성을 반영.
- 암호학적 삭제의 적용 조건과 암호키 관리 요구사항을 구체화.
- 소거 정책과 책임, 증거 및 기록 관리 강화.
- 매체의 재사용 여부와 정보의 기밀성에 따른 소거 의사결정 절차 정비.
| 구분 | Revision 1 | Revision 2 |
|---|---|---|
| 발행 | 2014년 12월 | 2025년 9월 |
| 중심 내용 | 매체별 소거 기술과 절차 | 조직 차원의 매체 소거 프로그램 |
| 매체별 상세 기법 | 부록 A에 수록 | IEEE 2883 등 외부 표준 참조 |
| 소거 방법 | Clear, Purge, Destroy | Clear, Purge, Destroy |
| 클라우드 저장소 | 제한적인 고려 | 논리적·가상 저장매체를 명시적으로 포함 |
| 암호학적 삭제 | 적용 방법과 고려사항 설명 | 암호 강도·키 종류·키 소거·구현 신뢰성 등 구체화 |
| 소거 결과 확인 | 검증 중심 | 검증과 타당성 확인 구분 |
| 현행 상태 | 대체됨 | 현행 최종 발행본 |
2026년 7월 16일에는 Revision 2의 주요 변경사항과 적용 방법을 설명하는 공식 FAQ가 추가로 발행되었다.[4]
매체 소거(Media Sanitization)는 주어진 시간·비용·자원 등의 조건에서 저장매체의 대상 데이터에 접근하는 것을 사실상 불가능하게 만드는 과정이다.
매체 소거는 저장매체 자체를 반드시 파괴해야 한다는 의미는 아니다.
저장매체를 계속 사용할 수 있도록 데이터를 제거하는 방법과 저장매체를 물리적으로 파괴하는 방법을 모두 포함한다.
소거 방법은 다음과 같은 사항을 고려하여 결정한다.
- 저장된 정보의 기밀성.
- 저장매체의 종류와 기술적 특성.
- 저장매체의 재사용 여부.
- 저장매체가 조직의 통제 범위를 벗어나는지 여부.
- 데이터 복구에 필요한 기술과 자원.
- 소거에 필요한 시간과 비용.
- 적용되는 법령 및 규제.
- 소거 결과에 요구되는 신뢰 수준.
Revision 2는 저장매체를 크게 두 가지 유형으로 구분한다.[1]
| 구분 | 영문 | 주요 대상 |
|---|---|---|
| 물리적 문서 매체 | Hard Copy | 종이 문서, 필름, 마이크로피시, 인쇄 관련 소모품 |
| 정보 저장매체 | Information Storage Media(ISM) | HDD, SSD, 플래시 메모리, 광학디스크, 자기테이프, 메모리, 모바일 기기, 클라우드·가상 저장소 |
Information Storage Media(ISM)는 Revision 2에서 사용하는 주요 용어이다.
ISM은 전자적 데이터를 저장하는 물리적 장치뿐 아니라 물리적 저장장치를 추상화하여 제공하는 논리적·가상 저장소도 포함한다.
대표적인 예시는 다음과 같다.
- 하드디스크 드라이브(HDD).
- 솔리드 스테이트 드라이브(SSD).
- USB 메모리.
- SD 카드.
- 자기테이프.
- 광학디스크.
- 스마트폰과 태블릿.
- 네트워크 장비의 내장 저장장치.
- 프린터 및 복합기의 저장장치.
- 클라우드 스토리지.
- 객체 스토리지.
- 가상화된 저장공간.
이처럼 Revision 2는 개별 물리적 저장장치뿐 아니라 분산 저장과 가상화된 저장 환경까지 고려한다.
일반적인 삭제(Delete)는 파일이나 데이터에 대한 논리적 참조를 제거하는 작업일 수 있다.
반면 매체 소거는 데이터 복구 가능성을 고려하여 기밀성을 보호하는 작업이다.
| 방법 | 주요 동작 | 데이터 복구 가능성 |
|---|---|---|
| 일반 파일 삭제 | 파일시스템의 관리정보 변경 | 데이터가 남아 복구될 수 있음 |
| 빠른 포맷 | 파일시스템 관리구조 초기화 | 기존 데이터가 남을 수 있음 |
| 일반 초기화 | 장치 설정 및 사용자 데이터 초기화 | 구현 방식에 따라 다름 |
| Clear | 사용자 접근 가능 영역의 데이터를 소거 | 일반적인 복구를 방지 |
| Purge | 고도의 복구 기술에도 대응하는 소거 | 전문적인 복구도 사실상 불가능하도록 처리 |
| Destroy | 저장매체 자체를 물리적으로 파괴 | 적절히 수행된 경우 복구 불가능 |
운영체제의 삭제 명령이나 포맷 기능을 실행했다는 사실만으로 NIST SP 800-88의 소거 요구사항을 충족했다고 판단할 수 없다.
실제 수행된 소거 기법과 매체의 특성, 검증 결과를 함께 확인해야 한다.
NIST SP 800-88은 세 가지 소거 방법을 정의한다.
이 세 가지는 저장매체에 남은 데이터의 복구 가능성과 매체의 재사용 가능성에 따라 구분된다.
| 방법 | 보호 수준 | 대표적인 기법 | 매체 재사용 |
|---|---|---|---|
| Clear | 일반적인 비침습적 데이터 복구 방지 | 덮어쓰기, 적절한 장치 초기화 | 가능 |
| Purge | 고도의 실험실 복구 기술에 대한 보호 | 장치 전용 소거 명령, 블록 삭제, 암호학적 삭제, 적합한 자기 매체의 디가우징 | 가능할 수 있음 |
| Destroy | 매체 파괴를 통한 데이터 복구 방지 | 분해, 소각, 용융, 분말화, 파쇄 | 불가능 |
세 가지 방법은 서로 다른 소거 목표를 나타낸다.
특정 기법이 어느 수준을 충족하는지는 매체의 특성, 기법의 구현 방식 및 수행 결과에 따라 판단해야 한다.
Clear는 저장매체의 일반적인 인터페이스를 이용한 단순하고 비침습적인 데이터 복구를 방지하는 소거 방법이다.
주로 저장매체의 사용자 접근 가능 영역(User-Addressable Storage)에 적용한다.
대표적인 기법은 다음과 같다.
- 저장공간 덮어쓰기(Overwriting).
- 장치가 제공하는 적절한 초기화 기능.
- 일반적인 읽기·쓰기 명령을 이용한 데이터 교체.
Clear는 일반적으로 저장매체의 사용 가능 상태를 유지한다.
다만 사용자 접근 가능 영역 밖에 남아 있는 데이터까지 모두 제거한다고 보장하지는 않는다.
다중 덮어쓰기의 불필요성
과거에는 데이터를 여러 차례 덮어쓰는 방식이 널리 사용되었다.
특히 DoD 5220.22-M과 관련된 다중 덮어쓰기 방식이 데이터 삭제 도구에서 자주 언급되었다.
그러나 Revision 2는 여러 차례 덮어쓰는 것이 현대 저장매체에서 추가적인 기밀성 보호 효과를 거의 제공하지 못할 수 있다고 설명한다.
특히 SSD의 오버프로비저닝 영역은 일반적인 덮어쓰기 명령으로 접근할 수 없기 때문에 여러 번 덮어쓰더라도 잔존 데이터 문제가 해결되지 않을 수 있다.
NIST는 더 높은 보호 수준이 필요한 경우 덮어쓰기 횟수를 늘리는 대신 Purge 또는 Destroy를 사용하도록 권고한다.[4]
Purge는 고도의 전문적인 실험실 기술을 사용하더라도 대상 데이터의 복구가 사실상 불가능하도록 처리하는 소거 방법이다.
Clear보다 강한 보호를 목표로 한다.
Purge는 논리적 기법과 물리적 기법을 모두 사용할 수 있다.
대표적인 기법은 다음과 같다.
- 저장장치 전용 소거 명령.
- 블록 삭제(Block Erase).
- 암호학적 삭제(Cryptographic Erase).
- 적절한 자기 저장매체에 대한 디가우징(Degaussing).
Purge는 저장매체를 계속 사용할 수 있는 상태로 유지하는 것을 목표로 하지만, 모든 기법이 매체의 재사용 가능성을 보장하는 것은 아니다.
예를 들어 디가우징은 자기 저장매체의 일부 기능을 손상시켜 장치를 사용할 수 없게 만들 수 있다.
NIST는 가능한 경우 Clear보다 Purge를 사용하는 것을 권고한다.[1]
장치 전용 소거 명령
현대 저장장치는 일반적인 파일 읽기·쓰기 명령과 별도로 데이터 소거를 위한 전용 명령을 제공할 수 있다.
이러한 명령은 저장장치 내부의 데이터 관리 기능을 이용하므로 일반적인 덮어쓰기보다 효과적으로 데이터를 제거할 수 있다.
다만 명령의 명칭이나 지원 여부만으로 Purge 충족을 보장할 수는 없다.
해당 장치의 구현 방식과 적용 가능한 표준을 확인해야 한다.
Destroy는 저장매체를 물리적으로 파괴하여 대상 데이터를 고도의 전문적인 기술로도 복구할 수 없도록 하는 방법이다.
Destroy를 수행한 저장매체는 더 이상 데이터를 저장하는 용도로 사용할 수 없어야 한다.
Revision 2에서 설명하는 대표적인 파괴 기법은 다음과 같다.
| 기법 | 영문 | 설명 |
|---|---|---|
| 분해·분리 | Disintegrate | 매체를 구성요소 또는 작은 입자로 분해 |
| 소각 | Incinerate | 고온으로 태워 매체를 재로 만듦 |
| 용융 | Melt | 고온으로 매체를 녹여 원래 구조를 파괴 |
| 분말화 | Pulverize | 분쇄하여 미세한 분말이나 입자로 만듦 |
| 파쇄 | Shred | 매체를 작은 조각으로 절단하거나 찢음 |
물리적 손상과 파괴의 차이
저장매체가 작동하지 않는다고 해서 Destroy가 완료된 것은 아니다.
다음과 같은 작업은 저장매체의 일부만 손상시킬 수 있다.
- 저장장치를 구부리는 행위.
- 저장장치를 일부 절단하는 행위.
- 저장장치에 구멍을 뚫는 행위.
- 저장장치의 일부 부품을 파손하는 행위.
이러한 작업은 장치의 정상적인 작동을 방해하더라도 일부 데이터가 남아 복구될 가능성이 있다.
따라서 저장장치가 고장 났거나 물리적으로 손상되었다는 사실만으로 데이터 파괴가 완료되었다고 판단해서는 안 된다.
파쇄와 분말화의 한계
Revision 2는 정보 저장매체의 데이터 밀도가 높아짐에 따라 파쇄와 분말화가 충분한 파괴 효과를 제공하지 못할 수 있다고 설명한다.
특히 중간·높은 기밀성 수준의 정보 저장매체에는 이러한 기법을 신중하게 적용해야 한다.
2026년 7월의 공식 FAQ는 현대 저장매체의 높은 데이터 밀도로 인해 일부 파쇄·분말화 방식이 충분하지 않을 수 있으며, 적절한 용융·소각 등의 기법을 검토하도록 설명한다.[4]
파쇄 기법을 사용했다는 사실만으로 모든 저장매체와 기밀성 수준에서 Destroy를 충족한다고 볼 수 없다.
Revision 2는 개별 매체에 대한 상세 소거 명령을 직접 제공하지 않는다.
대신 매체의 특성을 고려하여 IEEE 2883 등 관련 표준에 따라 적절한 기법을 선정하도록 한다.
다음은 저장매체별로 고려해야 하는 대표적인 특성이다.
| 매체 | 주요 특성 | 소거 시 고려사항 |
|---|---|---|
| HDD | 자기 기록 방식 | 덮어쓰기, 장치 전용 소거, 적합한 디가우징, 물리적 파괴 |
| SSD | 플래시 메모리와 내부 주소 변환 | 일반 덮어쓰기의 한계, 장치 전용 소거, 암호학적 삭제 |
| USB 메모리 | 플래시 메모리 사용 | 내부 예비 영역과 장치별 소거 기능 확인 |
| 자기테이프 | 자기 기록 방식 | 적절한 디가우징 또는 파괴 |
| 광학디스크 | 기록 방식과 재기록 가능 여부가 다양 | 매체 유형에 적합한 파괴 기법 검토 |
| 스마트폰 | 플래시 저장장치와 암호화 기능 사용 | 제조사 초기화 기능과 암호화 구현 확인 |
| 복합기 | 내장 저장장치에 문서가 남을 수 있음 | 장치 내 저장영역과 소거 기능 확인 |
| 클라우드 저장소 | 물리적 매체가 추상화됨 | 암호학적 삭제와 서비스 제공업체의 소거 보증 검토 |
하드 디스크 드라이브(HDD)는 자기 기록 방식으로 데이터를 저장한다.
일반적인 파일 삭제나 빠른 포맷 이후에도 데이터가 남아 있을 수 있다.
HDD는 일반적인 덮어쓰기를 통해 Clear를 수행할 수 있다.
더 높은 보호 수준이 필요한 경우에는 장치 전용 소거 명령이나 적절한 디가우징 등의 Purge 기법을 검토할 수 있다.
다만 현대 HDD의 높은 보자력(Coercivity)으로 인해 일부 디가우징 장비는 충분한 자기장을 제공하지 못할 수 있다.
또한 디가우징으로 장치가 작동하지 않게 되었더라도 데이터가 완전히 소거되었다는 의미는 아니다.
SSD는 플래시 메모리 기반 저장장치로, HDD와 다른 데이터 관리 구조를 사용한다.
대표적인 특성은 다음과 같다.
- 웨어 레벨링(Wear Leveling).
- 오버프로비저닝(Overprovisioning).
- 불량 블록 관리.
- 논리 주소와 물리 주소의 변환.
이러한 기능으로 인해 사용자가 특정 주소에 데이터를 덮어쓰더라도 실제로는 다른 물리적 영역에 기록될 수 있다.
따라서 기존 데이터가 예비 영역이나 접근할 수 없는 블록에 남아 있을 수 있다.
NIST는 SSD에 대한 반복적인 덮어쓰기가 추가적인 기밀성 보호 효과를 거의 제공하지 못할 수 있다고 설명한다.
SSD에서는 적절한 장치 전용 소거 기능이나 암호학적 삭제 등을 검토해야 한다.
디가우징은 플래시 메모리의 데이터 소거에 효과적이지 않다.
디가우징(Degaussing)은 강한 자기장을 이용하여 자기 저장매체에 기록된 데이터를 제거하는 기법이다.
주로 자기테이프와 일부 자기디스크에 적용할 수 있다.
디가우징의 효과는 저장매체의 자기적 특성과 장비가 제공하는 자기장의 세기에 따라 달라진다.
Revision 2는 디가우징을 물리적 Purge 기법으로 다루며, Destroy 기법으로 인정하지 않는다.
또한 SSD와 같은 비자기 저장매체에는 적용해서는 안 된다.[1]
암호학적 삭제(Cryptographic Erase, CE)는 암호화된 데이터의 복호화에 필요한 암호키를 안전하게 제거하여 데이터에 접근할 수 없도록 하는 소거 기법이다.
암호학적 삭제는 저장매체에 기록된 암호문을 모두 덮어쓰지 않고도 데이터를 사실상 사용할 수 없는 상태로 만들 수 있다.
특히 대용량 저장장치나 클라우드 환경에서 빠르게 데이터를 소거할 수 있다는 장점이 있다.
다만 암호화된 데이터를 저장하고 있다는 사실만으로 암호학적 삭제의 유효성이 보장되지는 않는다.
암호학적 삭제의 기본 구조는 다음과 같다.
- 저장할 데이터를 안전한 암호 알고리즘으로 암호화한다.
- 복호화에 필요한 암호키를 별도로 관리한다.
- 데이터 소거가 필요한 시점에 해당 암호키를 안전하게 제거한다.
- 암호키의 사본이나 복구 수단이 남아 있는지 확인한다.
- 남아 있는 암호문을 복호화할 수 없음을 검증한다.
암호학적 삭제는 데이터를 암호화하는 알고리즘과 키 관리체계가 안전하게 구현되어 있다는 전제에서 효과를 제공한다.
Revision 2는 암호학적 삭제의 유효성을 판단하기 위해 다음과 같은 사항을 고려하도록 한다.[1]
- 암호 알고리즘과 운영 모드의 보안 강도.
- 암호키 생성에 사용된 난수의 품질.
- 암호키의 길이와 엔트로피.
- 암호키의 저장 및 보호 방식.
- 암호키 사본의 존재 여부.
- 키 래핑(Key Wrapping)과 키 파생(Key Derivation)의 구조.
- 암호화되지 않은 평문 데이터의 존재 여부.
- 암호화 구현의 신뢰성.
- 암호키 소거 결과의 검증 가능성.
ISO/IEC 27040은 암호학적 삭제에 사용되는 암호화의 보안 강도가 최소 128비트 이상이어야 한다고 규정한다.
또한 암호키 생성에 사용되는 난수의 엔트로피와 암호화 구현의 적절성을 고려해야 한다.
미국 연방기관에서는 관련 요구사항에 따라 검증된 암호 모듈을 사용해야 한다.
암호학적 삭제가 유효하려면 소거 대상 데이터가 암호화되지 않은 상태로 저장된 적이 없어야 한다.
예를 들어 암호화되지 않은 상태로 데이터를 저장한 후 나중에 디스크 암호화를 활성화했다면, 이전에 기록된 평문 데이터가 일부 영역에 남아 있을 수 있다.
이 경우 암호키를 삭제하더라도 이전 평문 데이터까지 제거되는 것은 아니다.
따라서 암호학적 삭제를 전제로 저장매체를 운영하려면 초기 구성 단계부터 암호화와 키 관리체계를 적절하게 적용해야 한다.
Revision 2는 암호학적 삭제에 활용할 수 있는 암호키의 종류를 구체적으로 설명한다.
| 키 종류 | 영문 | 역할 |
|---|---|---|
| 데이터 암호화 키 | Data-Encryption Key | 실제 데이터를 암호화 |
| 키 래핑 키 | Key-Wrapping Key | 다른 암호키를 암호화하여 보호 |
| 마스터 키·키 파생 키 | Master Key / Key-Derivation Key | 다른 암호키를 생성하거나 파생 |
| 개인 키 전송 키 | Private Key-Transport Key | 공개키 방식으로 전달된 암호키를 복호화 |
암호학적 삭제에서는 실제 데이터 암호화 키뿐 아니라 해당 키에 접근하는 데 필요한 상위 키를 제거하는 방법도 사용할 수 있다.
다만 키 관리 구조에 따라 다른 경로로 복호화가 가능할 수 있으므로 모든 관련 키와 사본을 확인해야 한다.
제로화(Zeroization)는 암호키를 복구할 수 없도록 안전하게 제거하는 과정이다.
Revision 2는 ISO/IEC 19790에서 설명하는 제로화를 암호키 소거 기법으로 권고한다.
키를 단순히 삭제했다고 해서 제로화가 완료되는 것은 아니다.
암호키가 다음과 같은 위치에 복제되어 있을 수 있기 때문이다.
- 암호 모듈.
- 키 관리 서버.
- 백업 저장소.
- 외부 키 관리 서비스.
- 키 에스크로(Key Escrow) 시스템.
- 다른 장치의 보안 저장영역.
암호학적 삭제를 수행할 때는 관련 키의 모든 사본과 복구 경로를 고려해야 한다.
클라우드 환경에서는 저장매체의 암호키를 외부 키 관리 서비스에서 관리할 수 있다.
Revision 2는 이러한 외부 관리형 키를 사용하는 경우에도 일정한 조건에서 암호학적 삭제를 적용할 수 있다고 설명한다.
다만 조직은 다음 사항을 확인해야 한다.
- 암호키의 생성 및 관리 주체.
- 암호키의 사본과 백업.
- 키 삭제 권한.
- 키 삭제 후 복구 가능성.
- 키 관리 서비스의 보안성.
- 삭제 작업의 추적 및 검증 가능성.
2026년 7월의 NIST FAQ 역시 클라우드 환경에서 암호학적 삭제를 활용할 때 키 관리와 제로화의 검증 가능성을 확인하도록 설명한다.[4]
Revision 2는 물리적 저장매체가 추상화된 클라우드와 가상 저장소를 명시적으로 고려한다.
클라우드 이용자는 일반적으로 실제 데이터가 기록된 물리적 디스크에 직접 접근할 수 없다.
또한 데이터가 여러 저장장치에 분산되거나 복제될 수 있다.
이러한 환경에서는 기존의 물리적 저장장치 소거 방법을 그대로 적용하기 어렵다.
논리적 소거(Logical Sanitization)는 저장장치의 물리적 구조에 직접 접근하지 않고 소프트웨어나 장치 인터페이스를 통해 데이터를 소거하는 방법이다.
클라우드에서는 물리적 저장매체가 서비스 제공업체에 의해 관리되므로 고객이 직접 물리적 파괴나 디가우징을 수행할 수 없다.
NIST는 이러한 환경에서 암호학적 삭제가 사실상 유일하게 실행 가능한 Purge 기법일 수 있다고 설명한다.[1]
다만 암호학적 삭제가 항상 유효한 것은 아니며 암호화 구현과 키 관리의 신뢰성이 확보되어야 한다.
클라우드와 가상화 환경에서는 하나의 물리적 저장장치를 여러 고객이 공유할 수 있다.
이 경우 특정 고객의 데이터를 삭제하기 위해 물리적 저장장치 전체를 소거하는 것은 다른 고객의 데이터에도 영향을 줄 수 있다.
따라서 일부 데이터만 선택적으로 소거해야 할 수 있다.
Revision 2는 다음 두 가지를 구분한다.
- 선택적 소거(Selective Sanitization): 특정 민감정보를 대상으로 소거.
- 부분 매체 소거(Partial ISM Sanitization): 저장매체의 특정 영역이나 부분을 대상으로 소거.
부분 소거는 데이터가 다른 영역에 복제되거나 이동했을 가능성 때문에 검증이 어렵다.
특히 SSD의 오버프로비저닝이나 불량 블록 재배치로 인해 데이터가 예상하지 못한 위치에 남을 수 있다.
NIST는 가능한 경우 저장매체 전체를 소거하는 것을 우선하도록 권고한다.
다만 다중 테넌트 환경 등에서 전체 소거가 불가능하다면, 특정 데이터나 영역을 독립된 암호키로 보호하고 해당 키를 제거하는 방식 등을 검토할 수 있다.
이 경우에도 대상 데이터가 암호화 경계 밖에 저장되지 않았다는 신뢰가 필요하다.
Revision 2의 핵심은 조직 차원의 매체 소거 프로그램(Media Sanitization Program)이다.
매체 소거 프로그램은 저장매체의 소거를 개별 기술 작업으로 취급하지 않고 정보자산의 전체 수명 주기에 포함하여 관리하는 체계이다.
주요 구성요소는 다음과 같다.[1]
- 매체 소거 정책.
- 소거 대상과 적용 범위.
- 소거 방법 선정 기준.
- 실제 소거 수행.
- 소거 결과 검증과 타당성 확인.
- 소거 기록 및 증명서.
- 역할과 책임.
조직은 저장매체 소거에 관한 정책을 수립해야 한다.
정책에는 다음과 같은 사항을 포함할 수 있다.
- 정보의 기밀성 등급별 허용 가능한 소거 방법.
- 저장매체 재사용 및 폐기 기준.
- 소거 작업의 책임자와 승인자.
- 소거 도구와 장비의 관리.
- 소거 결과의 검증 기준.
- 소거 기록과 증거의 보존.
- 외부업체의 소거 역량 확인.
- 관련 담당자의 교육과 훈련.
소거 정책은 조직의 정보 분류체계와 연계되어야 한다.
예를 들어 동일한 종류의 SSD라도 저장된 정보의 기밀성에 따라 서로 다른 소거 방법을 선정할 수 있다.
조직은 어떤 데이터와 저장매체를 소거해야 하는지 정의해야 한다.
일반적으로 저장매체에 저장된 사용자 데이터 전체를 소거 대상으로 삼을 수 있다.
다만 일부 데이터만 소거해야 하는 업무 환경에서는 선택적 소거나 부분 소거를 검토할 수 있다.
이 경우 데이터가 예상하지 못한 저장영역에 남아 있을 가능성을 평가해야 한다.
NIST는 소거 범위를 지나치게 좁게 설정하면 데이터가 남을 수 있으므로 가능한 경우 저장매체 전체를 소거하도록 권고한다.
소거 방법을 결정할 때는 정보의 기밀성과 매체의 향후 처리 방식을 함께 고려한다.
대표적인 판단 요소는 다음과 같다.
| 판단 요소 | 주요 질문 |
|---|---|
| 정보의 기밀성 | 매체에 어떤 수준의 민감정보가 저장되어 있는가? |
| 매체 종류 | HDD, SSD, 자기테이프, 광학매체, 클라우드 중 무엇인가? |
| 재사용 여부 | 매체를 다시 사용할 계획이 있는가? |
| 조직의 통제 | 매체가 조직 내부에 남는가, 외부로 이전되는가? |
| 기술적 지원 | 해당 매체가 신뢰할 수 있는 소거 기능을 제공하는가? |
| 소거 결과 검증 | 소거 성공 여부를 확인할 수 있는가? |
| 법적 요구사항 | 기록 보존이나 개인정보 파기와 관련된 의무가 있는가? |
| 비용과 환경 | 소거 비용, 재사용 가치, 환경적 영향을 고려했는가? |
NIST는 정보의 기밀성 수준만으로 소거 방법을 기계적으로 결정하지 않는다.
매체의 특성, 재사용 계획, 조직의 통제 여부 및 위험 수용 수준을 함께 고려하도록 한다.
Revision 2는 소거 작업의 성공 여부를 판단하기 위해 소거 보증(Sanitization Assurance) 개념을 강조한다.
소거 보증은 크게 두 단계로 구성된다.
- 검증(Verification).
- 타당성 확인(Validation).
두 단계는 서로 다른 목적을 가진다.[1]
검증(Verification)은 소거 기법이 기술적으로 정상 수행되었는지 확인하는 활동이다.
대표적인 검증 항목은 다음과 같다.
- 소거 도구의 작업 완료 여부.
- 오류 발생 여부.
- 저장장치의 상태.
- 소거 명령의 실행 결과.
- 파괴 작업의 수행 상태.
- 소거 장비의 정상 작동 여부.
예를 들어 소거 도구가 정상 종료되었는지 확인하거나 파괴된 매체의 잔해를 검사할 수 있다.
Revision 2는 조직 정책에서 별도로 요구하지 않는 한 Clear나 Purge 수행 후 매체의 전체 내용 또는 대표 표본을 정교하게 검사하는 작업이 반드시 필요한 것은 아니라고 설명한다.
다만 사용한 소거 기법과 도구의 실행 결과는 확인해야 한다.
타당성 확인(Validation)은 소거 결과가 실제 정보의 기밀성을 보호하기에 충분한지 판단하는 활동이다.
검증이 기술적 수행 결과를 확인한다면, 타당성 확인은 그 결과를 조직이 수용할 수 있는지 판단한다.
예를 들어 다음과 같은 상황이 있을 수 있다.
- SSD에 디가우징을 수행했으나 플래시 데이터가 제거되지 않은 경우.
- 소거 도구는 정상 종료되었으나 일부 저장영역에 접근하지 못한 경우.
- 정보의 기밀성에 비해 낮은 소거 방법을 적용한 경우.
- 소거 장비의 성능이나 설정이 적절하지 않은 경우.
- 소거 범위를 지나치게 좁게 설정한 경우.
이러한 상황에서는 기술적 작업이 완료되었더라도 소거 결과를 승인해서는 안 될 수 있다.
타당성 확인 결과가 부적절하다면 다른 소거 기법을 적용하거나 더 높은 보호 수준의 소거 방법으로 변경해야 한다.
| 구분 | 검증(Verification) | 타당성 확인(Validation) |
|---|---|---|
| 목적 | 소거 작업의 기술적 수행 결과 확인 | 소거 결과의 기밀성 보호 수준 판단 |
| 주요 질문 | 작업이 정상적으로 완료되었는가? | 이 결과로 데이터 보호 요구사항을 충족하는가? |
| 주요 근거 | 도구 실행 결과, 오류 기록, 장비 상태 | 검증 결과, 정보 민감도, 잔여 위험 |
| 결과 | 기술적 성공 또는 오류 확인 | 소거 결과 승인 또는 거부 |
2026년 7월의 NIST 공식 FAQ도 두 단계를 구분하고, 검증 결과와 정보의 민감도를 바탕으로 잔여 위험을 수용할 수 있는지 판단하도록 설명한다.[4]
소거 증명서(Certificate of Sanitization)는 저장매체에 수행한 소거 작업과 결과를 기록하는 문서이다.
Revision 2의 부록 C는 소거 증명서의 예시 양식을 제공한다.
소거 증명서는 종이 문서 또는 전자적 기록으로 관리할 수 있다.
주요 기록 항목은 다음과 같다.[1]
| 항목 | 내용 |
|---|---|
| 제조사 | 저장매체 제조사 |
| 모델 | 저장매체 모델명 |
| 일련번호 | 저장매체의 고유 일련번호 |
| 자산번호 | 조직 내부에서 부여한 자산 식별번호 |
| 매체 유형 | Hard Copy 또는 ISM |
| 매체 출처 | 사용자, 컴퓨터, 시스템 등 |
| 기존 기밀성 등급 | 소거 전 정보의 기밀성 분류 |
| 소거 방법 | Clear, Purge, Destroy |
| 소거 기법 | 덮어쓰기, 블록 삭제, 암호학적 삭제, 디가우징 등 |
| 사용 도구 | 소거 도구 및 버전 |
| 검증 방법 | 소거 결과를 확인한 방법 |
| 검증 담당자 | 이름, 직책, 날짜 등 |
| 타당성 확인 담당자 | 이름, 직책, 날짜 등 |
| 승인 기록 | 소거 결과에 대한 서명 및 확인 |
소거 증명서는 단순히 장치가 폐기되었다는 사실만 기록하는 문서가 아니다.
어떤 저장매체에 어떤 소거 방법과 기법을 적용했으며, 그 결과를 어떻게 확인했는지 추적할 수 있어야 한다.
NIST는 소거 증명서뿐 아니라 저장매체의 전체 수명 주기에 걸친 추적을 강조한다.
대표적인 추적 시점은 다음과 같다.
- 저장매체가 조직에 도입된 시점.
- 저장매체가 기존 사용 위치에서 이동한 시점.
- 소거 작업이 수행된 시점.
- 소거 이후 최종 처리 장소에 도착한 시점.
소거 작업에 대한 기록이 있더라도 조직에서 사용한 모든 저장매체가 적절하게 소거되었는지 확인할 수 없다면 관리체계가 충분하다고 보기 어렵다.
따라서 자산 목록과 소거 기록을 연계하여 관리하는 것이 중요하다.
조직은 저장매체 소거 작업을 외부 전문업체에 위탁할 수 있다.
외부업체를 이용하는 경우에는 단순히 폐기 작업을 맡기는 것뿐 아니라 데이터의 기밀성을 보호할 수 있는 절차와 통제가 필요하다.
주요 고려사항은 다음과 같다.
- 외부업체의 소거 기술과 장비.
- 담당자의 전문성과 교육.
- 소거 장비의 시험 및 유지보수.
- 저장매체의 인수·인계 기록.
- 운송 과정의 보안.
- 소거 방법과 기법의 적절성.
- 소거 결과 검증.
- 소거 증명서 제출.
- 계약상 책임과 의무.
특히 저장매체가 조직의 통제 범위를 벗어나는 시점부터 데이터 유출 위험이 발생할 수 있다.
따라서 외부업체에 저장매체를 인계하기 전에 소거를 완료할 것인지, 외부업체가 소거하도록 할 것인지 위험을 평가해야 한다.
외부업체가 소거 증명서를 발행했다는 사실만으로 모든 보안 책임이 자동으로 이전되는 것은 아니다.
Revision 2는 매체 소거 프로그램의 운영을 위해 조직 내 다양한 역할과 책임을 설명한다.
| 역할 | 주요 책임 |
|---|---|
| 기관장·프로그램 관리자 | 소거 프로그램의 거버넌스와 자원 확보 |
| 최고정보책임자(CIO) | 정보 폐기 및 매체 소거 정책 수립·관리 |
| 정보시스템 소유자 | 시스템의 매체와 정보에 대한 보호 요구사항 관리 |
| 정보 소유자 | 정보의 민감도와 소거 요구사항 파악 |
| 정보보호 책임자 | 소거 정책의 적절한 이행과 감독 |
| 시스템 보안 관리자 | 시스템별 보안 조치와 소거 활동 조정 |
| 자산 관리 담당자 | 매체의 재배치·양도·폐기 추적 |
| 기록물 관리 담당자 | 법적 기록 보존 요구사항 검토 |
| 개인정보 보호 담당자 | 개인정보가 포함된 매체의 처리 및 파기 관련 자문 |
| 일반 사용자 | 취급 정보의 민감도 인식과 적절한 매체 관리 |
조직의 규모와 구조에 따라 여러 역할을 한 사람이 수행할 수도 있다.
다만 소거 작업의 수행과 결과 확인, 승인에 관한 책임은 명확히 정의해야 한다.
NIST SP 800-88 Revision 2의 권고사항을 바탕으로 조직의 저장매체 소거 절차를 다음과 같이 구성할 수 있다.
- 자산 식별: 소거 대상 저장매체의 종류와 일련번호, 자산번호를 확인한다.
- 정보 분류: 저장매체에 기록된 정보의 기밀성을 확인한다.
- 보존 의무 확인: 법령이나 계약에 따라 보존해야 하는 데이터가 있는지 검토한다.
- 처리 목적 결정: 저장매체를 재사용·양도·반납·폐기할 것인지 결정한다.
- 소거 방법 선정: Clear·Purge·Destroy 가운데 적절한 방법을 선택한다.
- 소거 기법 선정: 저장매체의 특성과 관련 표준에 따라 구체적인 기법을 결정한다.
- 소거 수행: 승인된 도구와 절차를 이용하여 소거한다.
- 검증: 소거 기법이 정상적으로 수행되었는지 확인한다.
- 타당성 확인: 데이터의 기밀성 보호 요구사항을 충족했는지 판단한다.
- 결과 기록: 소거 증명서와 관련 증거를 작성한다.
- 최종 처리: 저장매체를 재사용·양도·반납·폐기한다.
- 자산 관리: 저장매체의 최종 처리 결과를 자산 관리체계에 반영한다.
소거 결과가 적절하지 않다면 작업을 반복하거나 더 높은 보호 수준의 소거 방법을 적용해야 한다.
NIST SP 800-88은 매체 소거와 관련된 여러 표준 및 보안 통제와 연계된다.
| 문서 | 주요 내용 | SP 800-88과의 관계 |
|---|---|---|
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 매체 소거 통제 MP-6 등 제공 |
| NIST SP 800-53A | 보안 통제 평가 | 매체 소거 통제의 구현 상태와 효과 평가 |
| NIST SP 800-57 | 암호키 관리 | 암호학적 삭제에 필요한 키 관리 지침 |
| NIST SP 800-122 | 개인식별정보의 기밀성 보호 | 개인정보가 저장된 매체의 보호 요구사항과 연계 |
| FIPS 199 | 정보시스템 보안 분류 | 정보의 기밀성 영향 수준 판단 |
| FIPS 140-3 | 암호 모듈 보안 요구사항 | 암호학적 삭제에 사용되는 암호 모듈의 신뢰성 |
| IEEE 2883 | 저장매체 소거 | 매체별 구체적인 소거 기법 제공 |
| ISO/IEC 27040 | 저장 보안 | 저장매체 보호와 소거 관련 요구사항 제공 |
NIST SP 800-53은 정보시스템과 조직에 적용할 보안 및 개인정보 보호 통제를 제공한다.
이 가운데 MP-6(Media Sanitization)은 저장매체 소거에 관한 통제이다.
MP-6은 저장매체의 폐기·재사용·조직 통제 범위 이탈 전에 적절한 소거를 수행하도록 요구한다.
SP 800-53이 매체 소거에 관한 통제 요구사항을 제시한다면, SP 800-88은 해당 통제를 실제로 적용하기 위한 방법과 관리체계를 설명한다.
IEEE 2883은 저장매체 소거 방법과 기법을 다루는 표준이다.
Revision 2는 개별 저장매체에 대한 기술적 소거 기법을 본문에서 상세히 규정하지 않고 IEEE 2883 등의 관련 표준을 참고하도록 한다.
이러한 변경은 저장 기술의 발전에 따라 소거 기법을 보다 유연하게 적용할 수 있도록 하기 위한 것이다.
NIST SP 800-88은 조직 차원의 소거 프로그램과 의사결정 체계를 제공하고, IEEE 2883은 기술별 소거 기법을 선정하는 데 활용할 수 있다.
ISO/IEC 27040은 저장 보안(Storage Security)에 관한 국제표준이다.
저장시스템과 저장매체의 보안, 데이터 보호 및 소거 등에 관한 지침을 제공한다.
NIST SP 800-88 Revision 2는 소거 결과의 검증과 타당성 확인, 암호학적 삭제의 적용 조건 등에서 ISO/IEC 27040을 참고한다.
NIST SP 800-88 Revision 2는 본문 4개 장과 4개 부록으로 구성된다.[1]
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 목적, 범위, 대상 독자, 관련 문서 |
| 제2장 | Background | 매체 소거의 필요성, 매체 유형, 소거 대상, 의사결정 요소 |
| 제3장 | Summary of Sanitization Methods | Clear·Purge·Destroy와 암호학적 삭제 |
| 제4장 | Media Sanitization Program | 정책, 범위, 의사결정, 수행, 검증, 문서화, 역할과 책임 |
| 부록 A | Glossary | 주요 용어 정의 |
| 부록 B | Device-Specific Characteristics of Interest | 저장장치 제조사에 확인할 기술적 특성 |
| 부록 C | Sample Certificate of Sanitization Form | 소거 증명서 예시 |
| 부록 D | Change Log | 개정 이력 |
제3장은 세 가지 소거 방법과 암호학적 삭제의 기술적 고려사항을 설명한다.
제4장은 매체 소거 프로그램의 구성과 운영 절차를 설명하는 핵심 부분이다.
부록 C는 조직이 소거 결과를 문서화할 때 참고할 수 있는 소거 증명서 양식을 제공한다.
NIST SP 800-88은 미국 연방정부의 정보보호 지침으로 개발되었지만 민간기업과 다른 기관에서도 자발적으로 활용할 수 있다.
다만 다음과 같은 사항을 고려해야 한다.
- 소거 방법과 기법의 구분: Clear·Purge·Destroy는 소거 방법이며, 덮어쓰기·암호학적 삭제·디가우징 등은 구체적인 소거 기법이다.
- 매체별 특성: 동일한 소거 기법이라도 저장매체의 기술적 구조에 따라 효과가 달라질 수 있다.
- 다중 덮어쓰기: 여러 차례 덮어쓴다는 사실만으로 더 높은 소거 수준을 보장할 수 없다.
- SSD의 특성: 사용자 접근 가능 영역의 덮어쓰기만으로 모든 물리적 저장영역의 데이터가 제거된다고 보장할 수 없다.
- 디가우징의 한계: 비자기 저장매체에는 효과가 없으며, 자기 저장매체에서도 장비와 매체의 특성을 고려해야 한다.
- 물리적 파괴의 한계: 장치의 작동 불능 상태와 데이터 복구 불가능 상태는 서로 다르다.
- 암호학적 삭제의 전제조건: 안전한 암호화와 키 관리, 평문 데이터의 부재 및 키 사본의 제거가 필요하다.
- 클라우드 환경: 물리적 매체에 접근할 수 없는 경우 서비스 제공업체의 소거 기능과 암호키 관리체계를 검토해야 한다.
- 검증과 승인: 소거 도구가 정상 종료되었다는 사실만으로 소거 결과가 충분하다고 판단할 수 없다.
- 기록 보존: 법령이나 계약에 따라 보존해야 하는 정보가 있는 경우 소거 전에 관련 의무를 확인해야 한다.
- 최신 기술 기준: 구체적인 소거 기법은 IEEE 2883 등 관련 표준의 최신 내용을 확인해야 한다.
특히 Revision 2는 특정 삭제 프로그램이나 장비를 사용했다는 사실만으로 적절한 소거가 완료되었다고 판단하지 않는다.
정보의 기밀성, 저장매체의 특성, 소거 기법의 적절성, 검증 결과 및 잔여 위험을 종합적으로 평가해야 한다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 Ramaswamy Chandramouli, Eric A. Hibbard, Guidelines for Media Sanitization, NIST Special Publication 800-88 Revision 2, National Institute of Standards and Technology, 2025-09.
- ↑ SP 800-88 Rev. 2, Guidelines for Media Sanitization, NIST Computer Security Resource Center, 확인: 2026-10-23.
- ↑ Guidelines for Media Sanitization: NIST Publishes SP 800-88r2, National Institute of Standards and Technology, 2025-09-26.
- ↑ 4.0 4.1 4.2 4.3 4.4 Ramaswamy Chandramouli, Frequently Asked Questions for NIST SP 800-88r2, Guidelines for Media Sanitization, National Institute of Standards and Technology, 2026-07-16.