화재가 남긴 질문 — 인프라를 새로 짜는 일보다, 남는 장비를 정리하는 일이 더 어렵습니다

2025년 9월 26일 저녁, 정부의 한 통합 데이터센터 5층 전산실에서는 리튬이온 배터리를 지하 배터리실로 옮기는 작업이 진행되고 있었습니다. 전산장비와 배터리를 공간적으로 분리해 두려는, 그 자체로는 안전을 위한 조치였습니다. 그런데 옮기던 배터리 한 개에서 불꽃이 튀었고, 불은 순식간에 7-1 전산실 전체로 번졌습니다. 5층 전산실이 전소되기까지 걸린 시간은 길지 않았습니다. 그리고 그 안에서 돌아가고 있던 709개의 정부 정보시스템이 거의 동시에 멈춰 섰습니다.

온라인 민원 서비스, 각 부처의 행정 시스템, 공공기관의 업무망까지, 국민 생활과 맞닿은 서비스들이 하루아침에 접속조차 되지 않는 상태에 놓였습니다. 담당 공무원들은 자신이 관리하던 시스템이 살아 있는지조차 확인할 방법이 없는 상태에서 밤을 새웠고, 중앙재난안전대책본부가 가동되고 예비비가 투입됐지만 완전한 복구까지는 95일이 걸렸습니다. 센터 안에서 복구된 시스템이 693개, 지역의 예비 센터로 아예 자리를 옮겨 복구된 시스템이 16개였습니다.

이 사고가 유독 무겁게 다가오는 이유는, 무너진 것이 한 기업의 서버실이 아니라 수백 개 기관이 함께 의존하던 공동 인프라였다는 점입니다. 이 센터는 애초에 데이터센터 전용으로 지어진 건물이 아니라 다른 용도의 건물을 임차해 오랫동안 사용해 온 시설이었고, 그 위에 각 부처와 공공기관의 시스템이 하나둘 얹혀 왔습니다. 재난이 특정 기관 한 곳의 문제로 끝나지 않고, 정부 전산 인프라 전체의 구조를 다시 묻는 계기가 된 배경이기도 합니다.

화재가 끝이 아니라 시작이었던 이유

화재는 복구로 일단락되는 듯 보였지만, 정부의 결론은 달랐습니다. 2026년 2월 25일, 대통령 직속 국가인공지능전략위원회는 국가정보 관리 시스템을 근본적으로 재설계하는 'AI정부 인프라 거버넌스·혁신 추진방향'을 심의·의결했습니다. 그리고 그 핵심에는 이 센터를 2030년까지 폐쇄한다는 결정이 담겨 있었습니다. 데이터센터 전용 시설이 아닌 건물을 임차해 오래 써 온 이 센터를, 민간 데이터센터 임대나 신규 공공센터 건립 같은 대안으로 대체하겠다는 것입니다. 이 결정에 따라 693개에 이르는 공공시스템의 재배치 로드맵이 마련되었고, 소관 부처는 이를 실행하기 위한 '센터 혁신 정보화전략계획(ISP)' 사업에 본격 착수했습니다.

그리고 지난 6월 30일, 정부 청사에서는 중앙부처와 공공기관 정보화 담당관 300여 명이 모인 '2026년 입주기관 협의회'가 열렸습니다. 이 자리에서는 AI를 악용한 신종 사이버 위협 대응, 재해복구체계 구축, 민간 클라우드 이전 방안이 함께 논의되었습니다. 언뜻 보안 강화를 위한 회의처럼 보이지만, 그 이면에는 700개에 가까운 시스템을 몇 년에 걸쳐 새로운 인프라로 옮겨야 하는 실행 과제가 놓여 있습니다.

이 재편은 단발성 이전이 아니라 다년간에 걸친 단계적 작업이 될 가능성이 큽니다. 민간 데이터센터를 임대할지, 신규 공공센터를 새로 지을지, 어떤 시스템을 먼저 옮기고 어떤 시스템을 나중에 옮길지를 놓고 운영 안정성과 비용, 일정, 재해복구 연계성을 종합적으로 비교하는 작업이 뒤따릅니다. 규모가 큰 만큼 일정이 늘어질 여지도 크고, 그 사이 사용이 종료된 장비가 최종 처리를 기다리며 쌓이는 기간도 함께 길어질 수 있습니다.

서버를 옮긴다는 것은, 오래된 장비가 남는다는 뜻입니다

인프라를 새로 짜고 시스템을 이전한다는 소식은 보통 미래지향적인 뉴스로 소비됩니다. 더 안전한 재해복구체계, 더 유연한 클라우드 환경, AI 위협에 대응할 수 있는 새로운 아키텍처. 그런데 이 흐름을 데이터 보안 담당자의 시선으로 다시 읽으면 반드시 따라오는 질문이 하나 있습니다. 옮겨가고 남은 자리의 옛 장비는 어떻게 되는가 하는 질문입니다.

정보시스템이 새로운 인프라로 이전한다고 해서, 그 시스템이 몇 년간 써 온 서버와 스토리지가 저절로 사라지는 것은 아닙니다. 이전은 데이터를 복제하고 서비스를 새 환경에서 다시 띄우는 작업이지, 예전 장비를 처리하는 작업이 아닙니다. 700개에 육박하는 시스템이 몇 년에 걸쳐 순차적으로 옮겨간다면, 그만큼의 서버와 디스크, 백업 장비가 차례로 사용 종료 상태에 놓이게 됩니다. 이 물량을 언제, 어떤 방식으로, 누구 책임 아래 파기할 것인가는 이전 계획 자체만큼이나 중요한 문제이지만, 새 인프라를 구축하는 일에 비해 상대적으로 조명받지 못하는 영역이기도 합니다.

대규모 이전 사업의 예산과 일정은 대개 신규 인프라 구축, 데이터 이관, 서비스 안정화 순서로 편성됩니다. 이 세 단계가 끝나면 프로젝트는 성공적으로 마무리된 것으로 보고되기 쉽고, 그 시점에 남아 있는 옛 장비의 파기는 별도 예산 항목으로 잡혀 있지 않은 경우가 흔합니다. 담당자 입장에서는 서비스가 새 인프라에서 정상적으로 돌아가는 순간 프로젝트의 긴장감이 풀리고, 옛 장비는 자연스럽게 우선순위 뒤로 밀립니다. 문제는 그 장비 안의 개인정보가 프로젝트의 완료 시점과 무관하게 여전히 파기 의무의 대상으로 남아 있다는 데 있습니다.

여러 기관이 함께 쓰던 서버라는 특수성

이런 통합 데이터센터의 특징은, 하나의 기관이 아니라 여러 중앙부처와 공공기관이 함께 입주해 인프라를 나눠 쓴다는 데 있습니다. 실제로 화재 당시 가동이 멈춘 709개 시스템은 특정 한두 기관의 것이 아니라, 그 안에 입주한 수많은 부처와 공공기관에 걸쳐 있었습니다. 이런 공동 인프라 구조에서는 하나의 스토리지 배열이나 백업 시스템 안에 서로 다른 기관이 소관하는 개인정보가 함께 저장되어 있을 가능성이 큽니다. 시스템을 재배치하며 노후 장비를 정리할 때, 그 장비에 실제로 어느 기관의 데이터가 얼마나 남아 있는지 먼저 확인하지 않으면, 파기 대상에서 특정 기관의 데이터만 빠지거나 반대로 아직 참조가 필요한 데이터까지 함께 사라지는 상황이 생길 수 있습니다.

이런 조율의 어려움은 이미 정부 내부 문서에서도 드러난 적이 있습니다. 국가인공지능전략위원회가 정리한 거버넌스 개선 자료에는, 한 입주기관이 중요도가 높은 시스템에 대해 재해복구체계 구축을 요청했지만 센터 운영기관이 관련 정책방향을 확정하기 전까지는 구축이 어렵다는 답을 받은 사례가 인터뷰 형태로 소개되어 있습니다(2024년 3월 요청, 같은 해 4월 통보). 여러 기관이 하나의 인프라를 공유하는 구조에서는 보안이나 데이터 관리와 관련한 결정 하나에도 여러 층위의 승인과 조율이 필요하다는 점을 보여주는 사례입니다. 파기처럼 되돌릴 수 없는 결정 앞에서는 이런 조율의 공백이 더 큰 위험으로 이어질 수 있습니다.

같은 문서는 전문성이 부족한 인력 구조도 함께 지적하고 있습니다. 정보시스템을 운영하는 공무원 수에 비해 용역 계약을 통한 원청·하청 인력의 비중이 훨씬 크고, 예산을 심사하는 재정당국 역시 순환보직 구조 탓에 정보화 예산을 깊이 있게 들여다보기 어렵다는 지적입니다. 파기 대상을 정확히 식별하고, 어느 장비에 어느 기관의 데이터가 남아 있는지 추적하는 일은 결국 실무를 잘 아는 인력이 있어야 가능한데, 그 인력 구조 자체가 취약하다면 노후 장비 정리는 우선순위에서 더 쉽게 밀려날 수 있습니다. 여러 기관, 여러 부서가 얽힌 파기 작업일수록 소관 데이터를 명확히 나누고 각 기관의 승인을 받는 절차를 처음부터 문서화해 두어야 하는 이유가 여기에 있습니다.

법이 요구하는 파기의 기준

공공기관 역시 개인정보 보호법상 개인정보처리자에 해당하며, 민간 기업과 동일한 파기 의무를 집니다. 여기서 말하는 파기는 단순히 시스템에서 접근할 수 없게 만드는 것과는 다릅니다. 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요해졌다면 지체 없이 파기해야 하고(제21조 1항), 파기할 때에는 복구되거나 재생되지 아니하도록 조치해야 합니다(제21조 2항). 서비스를 새 인프라로 옮기고 예전 시스템의 접속 경로만 차단해 두는 것으로는 이 의무를 다했다고 보기 어렵습니다. 구체적인 방법도 매체 형태에 따라 나뉩니다. 전자적 파일 형태의 개인정보는 복원이 불가능한 방법으로 영구 삭제해야 하고, 그 외 기록물이나 서면 형태는 파쇄하거나 소각해야 합니다(시행령 제16조 1항). 전자적 파일의 경우 전용 소자장비를 이용하거나, 데이터가 복원되지 않도록 초기화 또는 덮어쓰기를 하는 방식으로 영구 삭제해야 한다는 세부 기준도 마련되어 있습니다(안전성 확보조치 기준 제13조 1항).

이런 통합센터처럼 여러 기관의 정보시스템을 위탁받아 운영하는 구조라 해도 이 파기 의무 자체가 사라지지는 않습니다. 위탁받아 운영하는 기관은 위탁의 목적 범위 안에서만 개인정보를 처리할 수 있고, 최종적인 관리 책임은 원래 그 정보를 보유한 기관에 남아 있습니다(제26조). 시스템 이전 과정에서 노후 장비의 파기를 실제로 실행하는 주체가 센터 운영기관이든 개별 입주기관이든, 어느 기관의 데이터가 어떤 절차로 파기되었는지에 대한 기록은 남아 있어야 하고, 그 기록의 최종 책임은 데이터를 원래 보유했던 기관에 돌아갑니다.

이 원칙은 민간 기업이 클라우드 사업자나 데이터센터 운영사에 인프라를 맡기는 경우에도 그대로 적용됩니다. 인프라를 위탁했다는 사실이 원 소관 부서의 파기 책임을 면제해 주지 않습니다. 계약서에 파기 관련 조항이 없거나 모호하게 적혀 있으면, 정작 장비를 실제로 처리하는 시점에 누가 파기를 요청하고 누가 최종 확인을 할 것인지를 놓고 담당자들 사이에 공이 서로에게 넘어가는 상황이 벌어지기 쉽습니다.

매체 종류에 따라 파기 방법이 달라집니다

실무에서 파기를 진행할 때는 장비 안에 어떤 종류의 저장매체가 들어 있는지부터 구분해야 합니다. 하드디스크나 백업용 자기테이프 같은 자성 매체는 강한 자기장으로 데이터의 자기적 배열 자체를 무너뜨리는 디가우징 방식이 유효합니다. 반면 SSD나 NVMe 같은 플래시 매체는 자기장이 아니라 전기적인 방식으로 데이터를 저장하기 때문에, 디가우징을 적용해도 데이터가 남아 있을 수 있습니다.

이런 매체는 블랑코 같은 국제 표준 기반의 인증 삭제 소프트웨어로 완전 삭제를 진행하거나, 물리적으로 분쇄하는 방식이 필요합니다. 매체 종류를 구분하지 않고 디가우징 한 가지 방식만 일괄 적용한다면, 서류상으로는 파기가 완료된 것처럼 보이지만 실제로는 데이터가 남아 있는 플래시 매체가 그대로 반출되는 결과로 이어질 수 있습니다.

플래시 매체에서 디가우징이 통하지 않는 이유는 저장 원리의 차이에서 옵니다. 하드디스크는 자성체를 입힌 원판에 자기 방향을 바꿔가며 데이터를 기록하기 때문에, 강한 자기장을 걸어 그 배열을 무너뜨리면 데이터가 함께 무너집니다. 반면 SSD나 NVMe는 낸드 플래시 셀에 전하를 가두는 방식으로 데이터를 저장하고, 셀의 수명을 고르게 쓰기 위해 컨트롤러가 데이터를 여러 셀에 옮겨가며 기록하는 웨어 레벨링 과정을 거칩니다. 이 때문에 단순히 파일을 지우거나 포맷을 하더라도, 예비로 확보해 둔 영역이나 이미 옮겨진 이전 위치에 원본 데이터의 흔적이 남아 있을 수 있습니다. 자기장을 아무리 강하게 걸어도 셀에 전하로 저장된 데이터에는 영향을 주지 못하는 것도 같은 이유입니다.

이처럼 오래된 시스템이 오랫동안 운영되어 온 데이터센터에는 자성 매체 비중이 여전히 높지만, 최근 몇 년 사이 증설되거나 교체된 장비에는 플래시 스토리지가 섞여 들어가 있을 가능성이 큽니다. 노후 장비를 정리하는 과정에서 매체 종류를 먼저 파악하지 않고 한 가지 방식으로만 처리하면, 일부 매체에서는 파기가 제대로 이뤄지지 않았을 위험이 남습니다. 특히 백업을 위해 여러 세대에 걸쳐 데이터를 복제해 온 시스템이라면, 운영 중인 스토리지뿐 아니라 세대별 백업 매체까지 함께 확인해야 파기 대상에서 빠지는 사각지대를 줄일 수 있습니다.

이전 프로젝트에서 실제로 놓치기 쉬운 지점

이관 프로젝트를 진행하다 보면, 눈에 보이는 주 서버 외에 함께 정리해야 할 장비를 놓치는 경우가 자주 생깁니다. 대표적인 것이 이중화를 위해 구성해 둔 예비 서버와 백업 전용 디스크입니다. 운영 중인 서버는 이관 대상 목록에 명확히 올라가지만, 장애 대비용으로 마련해 둔 예비 장비는 평소 눈에 띄지 않다가 이전이 끝난 뒤에야 존재가 드러나는 일이 흔합니다. 클라우드로 일부 데이터를 옮긴 뒤에도 온프레미스 쪽에 과거 백업본이 그대로 남아 있는 경우도 마찬가지입니다.

관리자 계정과 접근 권한의 정리도 함께 짚어야 할 부분입니다. 장비 자체를 파기하더라도, 그 장비에 접근할 수 있었던 계정이 새로운 인프라 쪽에도 그대로 남아 있다면 이전 과정에서 생긴 보안 공백이 이어질 수 있습니다. 장비를 반출하기 전에는 내부 승인 절차와 입회 필요 여부를 미리 정해 두어야, 외부 업체가 개입하는 시점부터 인수인계와 작업 완료 확인까지 책임 범위가 흐트러지지 않습니다. 이런 통합 인프라라면 이 목록화 작업 자체가 한 기관만의 몫이 아니라, 입주기관 전체가 함께 확인해야 하는 공동 작업이 됩니다.

이 사례가 민간 기업에도 남기는 교훈

이 사례는 공공 부문에 국한된 이야기처럼 보이지만, 클라우드 전환이나 데이터센터 이전, 조직 통합을 겪는 민간 기업에도 그대로 적용되는 구조를 갖고 있습니다. 기업들도 온프레미스 인프라를 클라우드로 옮기거나, 인수합병 이후 여러 계열사의 시스템을 하나로 통합하는 과정에서 비슷한 상황에 놓입니다. 새 인프라를 구축하고 데이터를 이전하는 일정과 예산은 꼼꼼하게 짜이지만, 이전이 끝난 뒤 남는 기존 서버와 스토리지를 언제 어떤 방식으로 파기할지는 프로젝트 계획서 뒷장에 밀려나 있는 경우가 많습니다. 그 사이 노후 장비는 창고나 유휴 공간에 방치되고, 그 안에 남아 있는 개인정보는 여전히 파기 의무의 대상으로 남습니다.

특히 여러 계열사나 여러 부서가 하나의 데이터센터를 공유해 온 기업이라면, 앞서 살펴본 상황과 놀랍도록 비슷한 문제를 마주하게 됩니다. 계열사 A의 데이터와 계열사 B의 데이터가 같은 스토리지 배열의 다른 논리 볼륨에 나뉘어 있던 경우, 통합 이전 이후 남는 물리 장비를 파기하려면 두 계열사 모두의 확인과 승인이 필요합니다. 이 확인 절차를 생략한 채 IT 부서 임의로 파기를 진행하면, 나중에 어느 계열사가 자신들의 데이터가 언제 어떤 방식으로 파기되었는지 소명해야 하는 상황에서 근거를 제시하지 못하는 사태로 이어질 수 있습니다.

이런 공백을 막으려면 이전 프로젝트를 설계하는 단계에서부터 레거시 장비의 파기 계획을 별도 항목으로 포함시켜야 합니다. 어떤 장비가 언제 사용 종료되는지, 그 장비 안에 어떤 기관 혹은 어떤 부서의 데이터가 남아 있는지, 파기는 어떤 방식으로 진행하고 그 결과를 어떻게 증빙할 것인지를 이전 일정과 함께 확정해 두는 것입니다. 파기 대상 목록과 승인 기록, 처리 결과 증빙을 이전 프로젝트의 산출물 중 하나로 명시해 두면, 프로젝트가 끝난 뒤에도 누가 무엇을 언제 확인했는지가 흐려지지 않습니다.

대규모 인프라 이전은 한 번에 몇 대가 아니라 수십, 수백 대의 장비가 동시에 사용 종료되는 일입니다. 이런 규모에서는 장비를 한 곳에 모아 두고 순서대로 처리하는 것만으로는 부족하고, 어느 장비가 어느 조직의 소관인지 먼저 분류한 뒤 그에 맞는 파기 방식과 증빙 절차를 함께 설계하는 접근이 필요합니다. 알테크코리아는 DieHDD™ 브랜드로 디가우징, 유압천공, 분쇄파기, 소각파기 네 가지 방식을 운영하며, 매체 종류와 보안 등급에 맞는 파기 방식을 선택할 수 있도록 지원합니다. 자성 매체는 디가우징으로, 플래시 매체는 물리적 분쇄나 완전 삭제로 나누어 처리하는 식으로, 한 번의 이전 프로젝트에서 나오는 다양한 매체를 각각에 맞는 방식으로 대응할 수 있습니다.

완전 삭제가 필요한 경우에는 Blancco의 공식 한국 파트너로서 국제 표준에 부합하는 인증 삭제도 함께 제공합니다. 여러 부서나 여러 계열사, 혹은 여러 기관의 장비가 뒤섞여 있는 상황이라면, 파기 대상을 소관 기관·부서별로 분류하고 그 결과를 개별적으로 증빙하는 절차도 함께 설계할 수 있습니다. KISIA 회원사로서 국내 정보보안 업계의 기준에 맞춰 작업을 진행하며, 파기 결과에 대한 확인서를 남겨 이후 감사나 소명이 필요한 상황에서도 근거 자료로 활용할 수 있도록 합니다.

인프라가 새로워지는 순간은 보안이 강화되는 시점처럼 보이지만, 동시에 오래된 장비에 대한 통제가 가장 느슨해지기 쉬운 시점이기도 합니다. 관심과 예산이 새 시스템 쪽으로 쏠리는 사이, 옛 장비는 담당자의 시야 밖으로 조용히 밀려납니다. 데이터센터를 옮기고, 시스템을 재배치하고, 클라우드로 전환하는 모든 국면에서 새로 만들어지는 것만큼이나 남겨지고 정리되어야 할 것들이 있습니다.

화재가 던진 질문은 결국 여기로 돌아옵니다. 700개에 가까운 시스템이 몇 년에 걸쳐 새로운 인프라로 옮겨가는 지금, 그 뒤에 남을 서버와 스토리지가 언제 누구의 책임 아래 정리될 것인지는 아직 여러 기관이 함께 풀어야 할 숙제로 남아 있습니다. 이는 비단 공공 부문만의 이야기가 아닙니다. 조직 개편이나 인프라 전환을 준비하는 모든 기업에게, 인프라를 새로 짜는 일보다 그 뒤에 남는 것을 얼마나 책임 있게 정리하는가가 진짜 보안의 완성이라는 사실을 다시 한번 보여주는 사례입니다.

법령 원문

개인정보 보호법 제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. ② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다. ③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장·관리하여야 한다. ④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

개인정보 보호법 시행령 제16조(개인정보의 파기방법) 제1항 ① 개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 해야 한다.

전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다.

제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

개인정보의 안전성 확보조치 기준 제13조 제1항 (요지, 시행령 제16조제1항과 함께 적용) 전자적 파일 형태인 경우: 전용 소자장비 이용, 데이터가 복원되지 않는 초기화 또는 덮어쓰기 등 복원이 불가능한 방법으로 영구 삭제(다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보로 처리하여 복원이 불가능하도록 조치). 전자적 파일 형태 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각.