로봇청소기 공장 초기화는 삭제 증빙이 아닙니다

일부 로봇청소기는 두 가지 방식으로 초기화할 수 있습니다. 본체의 전용 버튼은 로봇을 새 네트워크에 빠르게 연결할 수 있도록 Wi-Fi 연결만 삭제합니다. 전체 삭제는 앱 또는 사용 설명서에 안내된 버튼 조합으로 진행됩니다. 이전 사용자가 어느 방식을 선택했는지는 입고 단계에서 기기만 보고 알 수 없습니다.

그 결과 기기에 남는 데이터는 적지 않습니다. 독일 연방정보보안청(BSI)은 소비자 안내(독일어)에서 로봇청소기가 사물 인식용 카메라를 사용할 수 있고, 바닥 면적을 지도로 만들며, 이 과정에서 생성된 데이터를 일부 저장한다고 설명합니다. 저장 위치에는 제조사의 클라우드도 포함됩니다. 여기에 기기가 연결되어 있던 Wi-Fi의 접속 정보가 더해집니다.

스마트폰, 태블릿, 노트북에서 IMEI 확인, 데이터 삭제, 인증서가 어떻게 맞물리는지는 7월 게시물 전자제품 반품의 법적 리스크 관리에서 다루었습니다. 로봇청소기, 스마트홈 기기 및 기타 네트워크 연결형 전자제품에는 대부분 전용 삭제 도구가 없습니다. 남는 것은 초기화뿐이며, 모든 기대가 여기에 걸리게 됩니다.

기기, 계정, 클라우드: 데이터가 남는 세 곳

네트워크 연결형 기기의 데이터 삭제를 논할 때는 세 가지 층위를 구분해야 합니다.

기기에는 작동에 필요한 데이터가 저장됩니다. 보안 연구자 Dennis Giese는 2019년 DEF CON 발표에서 중고 스마트홈 기기에 남아 있는 데이터로 Wi-Fi 접속 정보, 주변 액세스 포인트, 클라우드 통신 로그 파일, 지도를 꼽았습니다.

제조사 앱의 계정은 기기를 특정인과 연결합니다. 이 연동이 유지되는 한, 로봇은 물리적으로 이미 독일 하일리겐하우스의 작업대 위에 있더라도 디지털상으로는 여전히 이전 사용자의 소유입니다.

클라우드에는 기기가 업로드한 지도, 이력, 설정이 저장됩니다. 기기만 가지고 있는 사람은 이 데이터에 접근할 수 없습니다. 삭제할 수 있는 것은 계정 소유자 또는 제조사입니다.

따라서 서비스 업체가 처리하고 증빙할 수 있는 것은 첫 번째 층위뿐입니다. 계정과 클라우드에 대해서는 입고 시점에 연동이 남아 있었는지를 기록하고 이를 고객사에 알릴 수 있습니다.

공장 초기화가 실제로 하는 일

공장 초기화는 가장 먼저 떠오르는 조치이며, 많은 기기에서 제조사가 제공하는 유일한 방법입니다. BSI의 IT 기본보호 지침(IT-Grundschutz-Kompendium)은 IoT 기기에 대해 이를 명시적으로 요구합니다. 그러나 바로 다음 문장에서 초기화 후 기기에 저장된 모든 접속 정보를 변경해야 한다고 규정합니다. 즉, BSI도 초기화만으로 충분하다고 보지 않습니다.

그 이유는 Giese의 중고 기기 분석에서 드러납니다. 그는 중고 기기가 세 가지 상태로 나뉜다는 것을 확인했습니다. 전혀 초기화되지 않은 상태, Wi-Fi만 초기화된 상태, 완전히 삭제된 상태입니다. 세 번째 상태조차 보장이 되지 못했습니다. 이전 사용자가 공장 초기화를 한 로봇청소기에서 Giese는 추출한 플래시 메모리에서 로그 파일, 암호 키, 지도, Wi-Fi 접속 정보의 조각을 찾아냈습니다. 초기화를 세 번 더 실행한 뒤에도 데이터 잔여물을 읽을 수 있었습니다. 다른 모델에서는 초기화 시 데이터 파티션이 포맷되었지만 덮어쓰기는 되지 않았습니다.

반면 최신 스마트폰에 대해서는 BSI가 공장 초기화로 충분하다고 봅니다. 암호화와 접근 보호가 작동하기 때문입니다. 구형 스마트폰은 충분할 수도 있지만 반드시 그렇지는 않다고 합니다. 결정적인 것은 기기의 설계입니다. 사용자 데이터가 암호화되어 있고 초기화가 암호 키를 파기한다면 초기화는 효과가 있습니다. 파일을 삭제된 것으로 표시만 한다면 효과가 없습니다. 이 차이는 외부에서 확인할 수 없습니다.

미국 지침 NIST SP 800-88도 제조사 초기화를 같은 맥락에서 분류합니다. 제조사 초기화는 세 단계 중 가장 낮은 “Clear” 단계에 해당하며, 그것도 일반 사용자 인터페이스로 더 이상 데이터를 불러올 수 없는 경우에 한합니다. “Clear”는 사용자가 쓰는 것과 같은 인터페이스를 통한 단순 복구를 막아 줍니다. 메모리 칩을 떼어 내 직접 읽어 내는 방식까지 막지는 못합니다.

NIST SP 800-88 Rev. 2에서 달라진 점

NIST는 2025년 9월 이 지침의 개정 2판을 발표했습니다. 이 개정판은 2014년판을 대체합니다. 제조사, 유통사, 리퍼비시 업체에 중요한 변경 사항은 네 가지입니다.

• 매체 유형별 삭제 방법을 정리한 표가 삭제되었습니다. 구체적인 기법에 대해서는 IEEE 2883 등 다른 표준을 참조하도록 했습니다. 지침이 직접 다루는 기법은 암호화 삭제(Cryptographic Erase)뿐입니다.
• 중심에는 조직 차원의 삭제 프로그램이 있습니다. 여기에는 정책, 책임 분담, 교육, 도구 관리, 증빙 의무가 포함됩니다.
• 검증(Verification)과 유효성 확인(Validation)이 새로 구분되었습니다. 검증은 작업이 오류 없이 완료되었는지를 확인합니다. 유효성 확인은 그 결과가 데이터의 민감도에 비추어 충분한지를 판단합니다.
• 여러 번 덮어쓰기는 필요하지 않습니다. 최신 저장 매체에서는 보호 효과가 거의 없고, 플래시 메모리에서는 수명을 단축합니다.

따라서 “NIST 800-88 준수”라고만 적힌 인증서는 어떤 도구로 어느 단계에 도달했는지가 명시되지 않는 한 큰 의미가 없습니다.

수리 전에 삭제 범위를 정해야 합니다

삭제 여부는 기기가 이후 어디로 가는지에 따라 달라집니다. 수리된 로봇청소기를 돌려받는 고객은 자신의 지도를 유지하고 싶어 할 수 있습니다. 기기를 교환하거나 B급 상품으로 재판매한다면 이전 사용자의 데이터는 반드시 삭제되어야 합니다. 이 내용은 첫 기기가 작업대에 오르기 전에 계약에 반영되어야 합니다. BSI는 소비자에게도 수리 전에 데이터를 백업하라고 권고합니다.

계약 시 최소한 다음 사항을 정해 두시기 바랍니다.

• 어떤 기기군을 삭제하고, 어떤 기기군을 그대로 둘 것인가?
• 기기군별로 어떤 절차를 적용할 것인가?
• 부팅되지 않아 초기화 자체가 불가능한 기기는 어떻게 처리할 것인가? 저장 장치를 분리해 파기하거나, 문서화된 예외 사례로 처리하는 방법이 있습니다.
• 사용자 계정과의 연동 해제는 누가 진행할 것인가?

개인정보 보호 책임자에게는 증빙 문제가 추가됩니다. EU 일반개인정보보호법(GDPR)은 개인정보에 대한 적절한 보안을 요구하며(제5조 제1항 (f)호 및 제32조), 컨트롤러가 이를 준수하고 있음을 입증할 수 있어야 한다고 규정합니다(제5조 제2항). BSI의 IT 기본보호 지침은 외부 서비스 업체를 이용하는 경우 삭제 프로세스가 “충분히 안전하고 추적 가능할 것”을 요구합니다. 귀사에 어떤 의무가 적용되는지, 예를 들어 개인정보 처리 위탁 계약(DPA)이 필요한지는 개인정보 보호 자문을 통해 확인하시기 바랍니다. 이 글은 법률 자문을 대신하지 않습니다.

PST는 작업 시작 전에 고객사와 삭제 범위를 확정하고 이를 문서화합니다.

삭제 증빙 기록에 들어가야 할 항목

삭제 증빙 기록은 기기 한 대당 하나의 데이터 세트입니다. 최소 항목은 NIST SP 800-88 Rev. 2의 목록을 기준으로 합니다. 네트워크 연결형 기기에는 계정 연동과 예외 사항이 추가됩니다.

“공장 초기화 완료”라는 기재는 이 중 단 한 줄에 해당할 뿐입니다.

자체 저장 장치가 있는 반품 기기나 서비스 기기를 외부 업체에 맡기신다면, 첫 발주 전에 이 표를 함께 검토해 두는 것이 좋습니다. 유럽 시장에 판매되는 기기군별 삭제 범위와 증빙 방식에 대해 기꺼이 상담해 드립니다. 가장 간편한 방법은 문의 페이지입니다. PST가 역물류 과정에서 담당하는 업무는 반품 관리 페이지에서 확인하실 수 있습니다.