폐PC 처분, 포맷이 삭제가 아닌 이유와 절차

회사 창고나 빈 회의실 한쪽에 쓰던 노트북과 PC가 쌓여 있습니다. 교체할 때마다 "일단 여기 두자"가 반복된 결과입니다. 담당자도 처분해야 한다는 것은 압니다. 그런데 막상 하려면 걸리는 것이 있습니다. 저 안에 무엇이 들어 있는지 모른다는 점입니다.

인사 자료가 있을 수도 있고, 고객 명단이나 계약서가 있을 수도 있습니다. 확인하려면 한 대씩 켜 봐야 합니다. 그래서 결정이 미뤄집니다. 그 사이 장비 값은 떨어지고, 공간은 차고, 자산 대장과 실물은 점점 어긋납니다.

이 글은 그 장비들을 안전하게, 그리고 기록이 남는 방식으로 정리하는 절차를 다룹니다. 구매팀이 처분까지 챙겨야 하는 이유도 함께 짚습니다.

못 버리는 이유는 값이 아니라 데이터입니다

쓰던 PC를 처분하지 못하는 이유는 "얼마 못 받을 것 같아서"가 아닌 경우가 많습니다. 데이터가 새어 나갈까 봐서입니다. 이 걱정에는 근거가 있습니다. 저장장치에는 회사가 몇 년간 쌓은 자료가 그대로 남아 있습니다. 직원 인사 파일, 고객 명단, 거래처 계약서, 견적서, 내부 보고서가 대표적입니다. 담당자 개인 폴더까지 포함하면 무엇이 있는지 아무도 모릅니다.

그런데 처분을 미룬다고 이 문제가 풀리지는 않습니다. 창고의 장비도 결국 누군가 처리해야 하고, 시간이 갈수록 어느 장비에 무엇이 있었는지 아는 사람이 사라집니다. 미루는 것은 해결이 아니라 문제를 키우는 쪽에 가깝습니다.

포맷은 삭제가 아닙니다

가장 흔한 오해는 "포맷했으니 괜찮다"는 생각입니다. 파일을 지우거나 포맷하면 컴퓨터는 "이 자리는 이제 비었다"고 표시만 합니다. 실제 데이터는 새 데이터가 그 자리를 덮어쓰기 전까지 남아 있습니다. 복구 프로그램을 쓰면 상당 부분을 되살릴 수 있고, 이런 프로그램은 쉽게 구할 수 있습니다.

법도 같은 방향을 가리킵니다. 개인정보 보호법은 보유기간이 지나는 등 필요 없게 된 개인정보를 파기하도록 하고, 파기할 때는 복구되거나 재생되지 않도록 조치하도록 정하고 있습니다. 삭제 버튼이나 포맷만으로 이 요건을 충족했다고 보기는 어렵습니다. 세부 기준은 법령과 고시를 확인하고 법무 검토를 거치시기 바랍니다.

개인이 쓰던 컴퓨터를 중고로 파는 일과 회사 장비를 처분하는 일은 요구되는 수준이 다릅니다. 회사 장비에는 회사의 정보와 다른 사람의 개인정보가 함께 들어 있기 때문입니다.

데이터를 확실히 없애는 세 가지 방식

업계에서 쓰는 방식은 크게 세 가지이며, 장비 상태와 보안 등급에 따라 나눠 적용합니다.

그림 1. 데이터 삭제 3방식 비교

덮어쓰기: 다시 쓰거나 되팔 장비

저장장치 전체에 의미 없는 데이터를 기록해 원래 데이터를 복구할 수 없게 만듭니다. 장비는 멀쩡히 남기 때문에 재사용하거나 되팔 수 있습니다. 값을 받으려는 장비에 쓰는 방식입니다. 다만 SSD는 구조상 덮어쓰기만으로 모든 영역이 지워졌는지 확인하기 어려운 경우가 있어, 제조사가 제공하는 보안 삭제 기능이나 물리 파괴를 함께 검토합니다. 되팔 장비라면 삭제 후 정상 부팅과 저장 공간이 비어 있는지를 표본으로 확인하는 절차를 두는 것도 방법입니다.

디가우징: 강한 자기장으로 지우기

강력한 자기장으로 저장장치의 자기 기록을 통째로 무너뜨립니다. 처리 후에는 그 저장장치를 다시 쓸 수 없습니다. 하드디스크에 효과적이며, SSD처럼 자기 방식이 아닌 저장장치에는 적합하지 않습니다.

천공·파쇄: 물리적으로 파괴하기

저장장치에 구멍을 뚫거나 잘게 부숩니다. 가장 확실한 방법이며, 보안 등급이 높은 자료를 다뤘던 장비나 고장 나서 덮어쓰기가 불가능한 장비에 씁니다.

어떤 방식을 고르든 핵심은 같습니다. 어떤 방식을 썼는지가 기록으로 남아야 합니다. 감사나 인증 심사에서는 "안전하게 처리했다"는 말이 아니라 증빙을 요구합니다.

처분을 미루는 동안 생기는 손실

• 장비 값이 계속 떨어집니다. IT 장비는 시간이 지날수록 회수할 수 있는 금액이 줄어듭니다.

• 공간과 관리 부담이 남습니다. 보관 공간이 필요하고, 사무실을 옮길 때마다 함께 옮겨야 합니다.

• 자산 대장이 어긋납니다. 장부에는 있는데 실물이 어디 있는지 모르는 장비가 생깁니다. 자산 실사 때마다 이 차이를 설명해야 합니다.

• 사고가 나도 범위를 알 수 없습니다. 보관 중인 장비가 분실되거나 반출되면, 그 안에 무엇이 있었는지 모르기 때문에 영향 범위를 판단하기 어렵습니다. 처분이 늦을수록 이 위험에 노출되는 기간도 길어집니다.

제대로 된 처분은 여섯 단계로 갑니다

처분은 회사 재산을 내보내는 일입니다. 그래서 구매와 마찬가지로 요청, 승인, 실행, 검수, 기록의 흐름을 갖춰야 합니다.

그림 2. 처분 6단계와 단계별로 남길 기록

1. 목록 만들기. 처분할 장비의 종류, 수량, 일련번호, 대략의 사양을 정리합니다. 일련번호가 있어야 뒤 단계의 삭제 증빙과 짝을 맞출 수 있습니다.

2. 결재. 자산 처분 품의를 올리고 규정에 따른 승인을 받습니다.

3. 수거. 업체가 방문해 가져가거나, 수량이 적으면 발송합니다. 인수인계서에 수량과 일련번호를 적습니다.

4. 데이터 삭제. 장비별로 맞는 방식을 적용하고 결과를 증빙으로 받습니다.

5. 검수와 대금. 장비 상태를 확인해 값을 매기고 대금을 받습니다. 값이 나오지 않는 장비는 적법한 폐기 절차로 넘깁니다.

6. 기록. 어떤 장비를 언제 내보냈고, 데이터를 어떻게 처리했으며, 얼마를 받았는지 남기고 자산 대장을 정리합니다.

누가 어느 단계를 맡는가

처분이 미뤄지는 또 다른 이유는 담당이 애매하기 때문입니다. 장비는 IT팀이 알고, 자산 대장은 재무팀이 갖고 있고, 업체 계약은 구매팀이나 총무팀이 맡습니다. 역할을 미리 나눠 두면 처분이 한 사람의 선의에 기대지 않게 됩니다.

표의 배정은 예시입니다. 조직이 작아 한 사람이 여러 역할을 겸한다면, 최소한 삭제 증빙을 확인하는 사람과 업체를 선정한 사람은 나누는 것이 좋습니다. 같은 사람이 고르고 확인하면 문제가 생겨도 드러나지 않기 때문입니다.

업체를 고를 때 물어볼 일곱 가지

처분 업체를 값만으로 고르면 나중에 문제가 됩니다. 아래 질문을 견적 요청서에 넣어 같은 기준으로 답을 받으시기 바랍니다.

이 가운데 2번과 5번에 명확히 답하지 못하는 업체는 피하는 것이 좋습니다. 6번은 개인정보가 담긴 장비를 외부에 넘기는 일이 처리 위탁에 해당할 수 있기 때문에 묻는 질문입니다. 해당 여부와 계약 조항은 법무 검토를 거쳐 정하시기 바랍니다.

지출이 아니라 회수라는 관점

IT 자산 처분은 회사 돈이 나가는 일이 아니라 들어오는 일입니다. 매년 교체하는 장비는 비용 항목으로만 보이지만, 처분 단계에서 일부를 회수하면 교체의 실질 부담이 줄어듭니다.

그래서 구매팀이 처분을 함께 보는 것이 자연스럽습니다. 새 장비를 사는 기록과 쓰던 장비를 내보내는 기록이 한곳에 있으면, 교체 주기마다 얼마를 쓰고 얼마를 회수했는지가 한 줄로 정리됩니다. 예시로, 노트북 일괄 교체 품의에 "기존 장비 처분 계획과 예상 회수 방식"을 한 칸 추가하는 것만으로도 처분이 다음 해로 밀리는 일을 줄일 수 있습니다.

재사용은 환경 측면의 의미도 있습니다. 다만 탄소 절감량 같은 수치를 보고서에 쓰려면 산정 기준과 근거를 먼저 확인해야 합니다. 근거 없는 환경 수치는 오히려 신뢰를 떨어뜨립니다.

구매 규정에 넣을 문장 예시

처분이 매년 미뤄지는 회사라면 규정에 한 조항을 두는 것이 효과적입니다. 아래 문장은 예시이며, 회사 규정 체계와 법무 검토에 맞춰 고쳐 쓰시기 바랍니다.

예시: ① 사용이 끝난 정보처리 장비는 자산 처분 품의를 거쳐 처분한다. ② 저장장치의 데이터는 정보보안 기준에 따른 방식으로 삭제하고, 장비별 삭제 증빙을 받아 보관한다. ③ 처분 업체 선정 시 삭제 방식, 증빙 발급, 책임 범위를 비교 항목에 포함한다. ④ 처분 결과는 자산 대장에 반영한다.

조항이 생기면 처분은 담당자의 결심이 아니라 정해진 절차가 됩니다. 그리고 감사에서 질문을 받았을 때 보여 줄 기준이 생깁니다.

지금 확인해 볼 다섯 가지 질문

1. 창고나 사무실에 쓰지 않는 IT 장비가 몇 대 있습니까?

2. 그 장비들의 저장장치에 무엇이 들어 있는지 파악돼 있습니까?

3. 최근 3년간 처분한 장비의 데이터를 어떻게 지웠는지 문서로 남아 있습니까?

4. 자산 대장과 실물 수량이 일치합니까?

5. 감사에서 개인정보 파기 절차를 물으면 바로 답할 수 있습니까?

우리 회사에서 바로 해 볼 일

1. 보관 장비를 세어 봅니다. 장소별로 종류와 수량만 먼저 적고, 일련번호는 다음 단계에서 채웁니다.

2. 자산 대장과 대조합니다. 대장에 있는데 실물이 없는 장비, 실물은 있는데 대장에 없는 장비를 따로 표시합니다.

3. 보안 담당과 삭제 기준을 정합니다. 재사용 장비, 하드디스크 장비, 고장·고보안 장비별로 그림 1의 방식을 배정합니다.

4. 업체 질문지를 만듭니다. 위 일곱 질문을 견적 요청서에 넣고 두 곳 이상에서 같은 양식으로 답을 받습니다.

5. 교체 품의 양식을 고칩니다. 신규 장비 구매 품의에 기존 장비 처분 계획 칸을 추가합니다.

안 쓰는 장비를 처분하는 일은 급해 보이지 않아 매년 미뤄집니다. 하지만 미룰수록 값은 떨어지고, 무엇이 들어 있는지 아는 사람은 줄고, 감사에서 설명할 거리는 늘어납니다. 처분을 구매의 마지막 단계로 규정에 넣어 두면 이 순환을 끊을 수 있습니다.

자주 묻는 질문

포맷한 PC를 그대로 팔아도 됩니까?

권하지 않습니다. 포맷은 데이터가 있던 자리를 비었다고 표시할 뿐이라 복구 프로그램으로 상당 부분을 되살릴 수 있습니다. 회사 장비는 덮어쓰기, 디가우징, 천공·파쇄 중 장비 상태에 맞는 방식으로 지우고 증빙을 남기시기 바랍니다.

SSD도 디가우징으로 지울 수 있습니까?

디가우징은 자기 기록 방식의 하드디스크에 효과적이며, SSD에는 적합하지 않습니다. SSD는 제조사 보안 삭제 기능이나 물리 파괴를 검토하고, 사내 정보보안 기준에 따라 방식을 정하시기 바랍니다.

처분 업체에서 반드시 받아야 할 서류는 무엇입니까?

장비별 일련번호와 처리 방식이 적힌 삭제 증명서, 책임 범위가 명시된 계약서, 그리고 개인정보 처리 위탁에 해당하는 경우 위탁 계약서가 기본입니다. 수거 시 인수인계서와 검수 결과도 함께 보관하시기 바랍니다.