TL;DR
- 금융회사 및 의료기관의 PC 매각·폐기는 일반 기업과 달리 개인정보보호법, 금융감독원, 보건복지부의 데이터 파기 감독 실사 기준을 충족해야 합니다.
- 자산 반출 전 일련번호 기반의 대장 작성부터 시작하여 현장 파기 작업 및 이송 과정 전반에 대한 Chain of Custody(보관 고리) 증빙을 확보해야 합니다.
- 매각 진행 시 저장매체 물리적 파기 확인서, 영구 삭제 완료 리포트, 사진 및 동영상 채증 자료를 철저히 관리해야 실사 시 지적 리스크를 차단할 수 있습니다.
핵심 개념
금융기관과 의료기관은 PC 처분 시 일반 기업과 다른 기준을 적용받습니다. 주민등록번호, 계좌 정보, 진료 기록 등 고유식별정보와 건강정보를 다루기 때문에, 개인정보보호법 제21조 및 관련 감독 규정에 따라 저장매체 내 개인정보를 복원 불가능한 기술적·물리적 방법으로 파기하고 그 과정을 증빙으로 남겨야 합니다.
일반 기업의 IT 자산 처분이 '자산 잔존가치 회수'에 초점을 맞춘다면, 금융·의료 분야는 '감사 대비 증빙 관리'가 최우선 과제입니다. 저장장치가 포함된 PC를 외부로 반출할 때는 반출 시점부터 최종 파기 및 매각 완료 시점까지 관리 책임의 주체가 명확히 기록되는 Chain of Custody(보관 고리) 절차를 수립해야 합니다.
단계별 실행 가이드
1단계: 반출 전 실사 및 자산 식별
- 자산 대장 일치성 점검: 매각 대상 PC의 제조사, 모델명, 시리얼 번호(S/N), HDD/SSD 고유 번호를 1:1로 매핑하여 리스트를 작성합니다.
- 보안 에이전트 해제 및 점검: 사내 DLP, DRM, 백신 등 중앙 관리 소프트웨어에서 반출 대상 장비의 인가를 해제하고 중앙 락을 방지합니다.
2단계: 현장 작업 통제 및 파기 방식 결정
- 원내/사내 현장 파기(권장): 보안 구역 내에서 디가우싱(Degaussing) 또는 천공(Crushing)을 진행하거나, DoD 5220.22-M 등 국제 표준 알고리즘 기반 영구 삭제 솔루션을 적용합니다.
- 작업 과정 채증: 저장매체 시리얼 번호가 식별되는 상태에서 작업 전·중·후 사진 및 영상 기록을 남깁니다.
3단계: 반출 및 이송 통제
- 봉인재 및 봉인 봉투 사용: 저장장치를 물리적으로 탈거하여 이송할 경우 시리얼 번호가 기재된 보안 봉인 스티커(Tamper Evident Seal)를 부착하여 운송 중 유출 위험을 차단합니다.
- 인수증 및 반출 확인서 작성: 인수업체 작업자의 신원 확인, 차량 번호, 반출 일시, 일련번호별 수량을 명시한 인수증을 교부받습니다.
4단계: 정산 및 최종 검수 서류 수령
- 파기 증명서 수령: 파기 방식, 작업 일시, 작업자, 대상 저장매체 시리얼 목록이 포함된 공식 '데이터 파기 완료 확인서'를 수령합니다.
- 감사 대응 문서 세트 체결: 계약서, 세금계산서, 인수증, 파기 완료 보고서, 채증 사진집을 하나의 감사용 파일로 통합 보관합니다.
비교/체크리스트
| 구분 | 일반 기업 PC 매각 | 금융·의료기관 PC 처분 | 감사 제출용 필요 증빙 |
|---|---|---|---|
| 데이터 삭제 | 자체 포맷 또는 공장초기화 | 기술적 영구삭제 또는 물리적 파기 | 영구 삭제 솔루션 리포트 / 파기 증명서 |
| 이송 통제 | 일반 택배/화물 이송 | 봉인 차량, 보안 봉인재 적용 이송 | 인수증, 차량 번호, 운송 일시 기록 |
| 증빙 수준 | 인수증, 세금계산서 | 시리얼 단위 파기 사진 및 영상 채증 | 파기 현장 사진집, 시리얼 매핑 리스트 |
| 관련 규정 | 사내 자산관리 규정 | 개인정보보호법, 금감원·복지부 지침 | 보안 감사 제출용 통합 증빙 파일 |
실무 사례
OO병원 IT보안팀은 검진 센터 PC 120대를 교체하면서 디스크 내 환자 진료 기록 유출 방지를 위해 현장 파기와 매각을 병행했습니다. 저장장치(SSD/HDD)는 보안 구역 내에서 반출 직전 유압 천공기로 시리얼 번호가 보이는 상태로 파기 처리했고, 본체는 사양 검수 후 중고 매각하여 잔존 가치를 회수했습니다.
이 과정에서 업체로부터 디스크 시리얼별 천공 작업 사진과 파기 확인서를 수령하여 사내 보안 감사 및 보건복지부 현장 실사 시 지적 사항 없이 통과할 수 있었습니다.
자주 묻는 질문(FAQ)
Q1. SSD와 HDD의 물리적 파기 방식에 차이가 있나요?
네, 차이가 있습니다. 자기장을 이용하는 디가우싱 방식은 전통적인 HDD에는 유효하지만, 플래시 메모리 기반의 SSD에는 적용되지 않습니다. SSD는 유압 천공기나 파쇄기를 통한 물리적 분쇄, 또는 NVMe/SATA 전용 영구 삭제(Sanitize/Secure Erase) 명령어를 사용해야 합니다.
Q2. 저장장치를 파기하고 남은 노디스크 PC도 매각이 가능한가요?
가능합니다. SSD나 HDD를 제거한 본체 단품(CPU, RAM, 메인보드 등) 상태로도 매각 견적을 산정받을 수 있으며, 보안 리스크를 제거하면서 회수 가치를 보존하는 방법입니다.
Q3. 외부 파기 업체 이용 시 계약서에 반드시 포함해야 할 조항은 무엇인가요?
개인정보보호법 제26조(개인정보 처리업무 위탁에 따른 조항)에 근거한 조항이 필요합니다. 수탁자의 재위탁 금지, 손해배상 책임, 데이터 유출 발생 시 통지 의무, 작업 완료 후 증빙 제출 의무가 명확히 명시되어야 합니다.
용어 설명
- Chain of Custody (보관 고리): 증거물이나 자산이 수집, 반출, 이송, 파기되는 전체 과정에서 누구에 의해 어떻게 관리되었는지 연속적으로 증명하는 관리 통제 체계입니다.
- 디가우싱 (Degaussing): 강력한 자장(Magnetic Field)을 가해 자기 저장매체의 데이터를 완전 비활성화 및 파괴하는 기술입니다.
- 천공 (Crushing): 저장장치 기판 및 디스크 핀에 물리적인 구멍을 뚫어 매체를 재사용 불가능 상태로 만드는 물리적 파기 기법입니다.
마무리
금융기관과 의료기관의 PC 처분은 단순한 고물 매각이 아닌, 규제 준수와 보안 감사 대응이 핵심인 ITAD(IT Asset Disposition) 절차입니다. 정확한 자산 리스트와 체계적인 파기 증빙 체계를 마련하는 것이 실사 리스크를 최소화하는 가장 확실한 방법입니다.
처분 대상 리스트가 있거나 실사 대비 증빙 절차가 고민이시라면, 일정이 확정되지 않았어도 괜찮습니다. 무료 견적으로 예상 회수 가치를 먼저 확인해 보세요. 무료 견적 받기