빈 폴더는 그 폴더에 관한 증거일 뿐, 모든 사본에 관한 증거는 아니다.
삭제 버튼은 복잡한 시스템에 아주 단순해 보이는 지시를 내린다. 앱과 저장 서비스에 따라 복구 영역으로 옮기거나, 참조를 없애거나, 보존 규칙에 따른 처리를 시작할 수 있다. 그동안 이전 버전, 백업, 이미 보낸 첨부 파일은 다른 곳에 남아 있을 수 있다. 이 차이를 이해하면 실수로 지운 파일을 되찾을 때도, 삭제가 제공하는 개인정보 보호 범위를 판단할 때도 도움이 된다.
아이콘이 어디로 갔는지보다 정보가 어디에 남았는지 묻자.
폴더는 하나의 화면일 뿐이다
파일 관리자는 특정 이름과 위치의 집합을 보여 준다. 그 화면에서 이름을 지웠다는 사실만으로 모든 바이트와 사본에 어떤 일이 일어났는지는 알 수 없다. 일부 앱은 의도적으로 복구 기간을 두고, 다른 앱은 다르게 동작한다. 따라서 삭제 성공이라는 안내를 개인정보 보호의 근거로 삼으려면 맥락이 필요하다.
복구 관점에서는 다행이다. 실수를 되돌릴 수 있을지도 모른다. 하지만 기밀성 관점에서는 더 살펴봐야 한다. 다운로드한 첨부 파일, 내보낸 PDF, 동기화 사본은 같은 정보를 담아도 하나의 삭제 스위치로 제어되지 않는다. 최신 화면을 전체 시스템의 상태로 여기지 말고 각 위치를 따로 확인하자.
파괴하지 않고 옮겨 봤다
무해한 실험 파일에는 파란 화분과 식물 한 그루에 관한 가상의 메모를 넣었다. 작업 파일, 백업 사본, 이전 버전 사본을 만든 뒤 작업 파일을 trash-model이라는 일반 폴더로 옮겼다. 되돌릴 수 있는 삭제를 설명하기 위한 모형이며, 컴퓨터의 실제 휴지통을 시험한 것은 아니다.
이동 후 작업 경로에는 파일이 없었지만 원래 내용의 사본 세 개는 모두 남았다. 옮긴 파일, 백업, 이전 버전이다. 아이콘을 세는 대신 각 파일을 직접 읽었다. 결과의 범위는 작지만 분명하다. 한 위치에서 보이지 않는 상태와 다른 위치에서 계속 읽을 수 있는 상태는 함께 존재할 수 있다.
복구한 내용도 확인해야 한다
이어서 옮긴 파일을 별도의 복구 폴더로 복사했다. 바이트는 원본과 정확히 같았다. 그다음 복구 사본만 식물 한 그루에서 두 그루로 고쳤다. 백업과 이전 버전은 여전히 예전 문장을 담고 있었고, 두 버전의 SHA-256 해시는 달랐다. 안전한 영구 삭제는 수행하지 않았다.
여기에는 파일을 찾는 문제와 올바른 버전을 찾는 문제의 차이가 있다. 복구 문서가 정상적으로 열려도 기대보다 오래된 것일 수 있다. 현재 파일에 덮어쓰기 전에 내용, 완전성, 필요한 수정 상태를 확인하자. 특히 여러 사람이나 기기가 편집했다면 비교하는 동안 복구 결과를 별도로 보관하는 편이 좋다.
동기화는 삭제도 퍼뜨릴 수 있다
동기화는 여러 위치를 같은 상태로 유지하려 한다. 서비스에 따라 동기화 파일을 삭제하면 연결된 다른 화면에서도 사라질 수 있다. 편리하지만 여러 동기화 기기가 곧 여러 독립 백업이라는 뜻은 아니다. 보존된 이력이나 별도 백업은 실시간 복제본과 역할이 다르다.
이미 공유한 정보에서는 반대 상황이 생길 수 있다. 원본을 지워도 상대가 내려받은 사본은 남는다. 공유 링크를 취소하면 그 링크를 통한 향후 접근을 막을 수 있지만 이미 받은 사본까지 회수하지는 못할 수 있다. 모든 수신자가 같은 상태를 본다고 가정하지 말고 서비스의 현재 안내와 공유 방식을 확인하자.
매체에서 지우는 일은 별개다
이번 실험은 미할당 저장 공간, 플래시 메모리, 암호화 키, 복구 도구를 살펴보지 않았다. 따라서 실제 기기의 삭제 데이터가 복구 가능한지는 말할 수 없다. 저장 기술, 암호화, 백업, 기기 관리 정책에 따라 처분 절차가 달라진다. 파일을 반복해서 덮어쓰는 방법도 현대 저장장치와 원격 서비스에 두루 적용되는 해답은 아니다.
기기를 다른 사람에게 넘길 때는 제조사가 지원하는 초기화 또는 처분 절차를 따르고, 업무 기기라면 해당 조직의 요구도 확인하자. 먼저 중요한 백업을 점검해야 한다. 귀중한 자료의 유일한 사본에 파괴적인 명령을 임의로 실행하거나, 정돈된 폴더를 검증된 처분 절차와 혼동하지 말자.
버튼보다 목표를 먼저 정하자
실수로 지웠다면 앱의 복구 영역, 버전 이력, 알려진 백업부터 확인하자. 가능하면 안전한 별도 위치로 복구한다. 노출을 줄이는 것이 목표라면 작업 항목, 복구 영역, 버전, 백업, 내보낸 파일, 수신자를 적어 보자. 거창한 목록일 필요는 없다. 눈에 보이는 동작 하나가 보이지 않는 가정을 대신하지 않게 하려는 것이다.
기록 보존은 유용하거나 필요할 수 있으므로 무조건 지우지는 말자. 무엇을 남겨야 하는지, 누가 접근해야 하는지, 서비스에서 실제로 통제할 수 있는 범위가 무엇인지 결정해야 한다. 명확한 삭제 요청은 대상과 범위를 지정한다. 명확한 완료 설명은 확인한 위치와 통제할 수 없는 위치를 구분한다.