정보보안기사 학습 문제 02 — TLS 1.3·키 관리·접근통제
이번 세트는 네트워크·암호·시스템 접근통제를 교차 배분했다. 공개 표준과 공식 기술 문서를 근거로 했으며, 실제 기출 여부를 확인하지 못한 문항은 창작 문제로 표시한다.
문제 1 — TLS 1.3의 목적
문제
RFC 8446이 설명하는 TLS의 주된 보안 목적에 가장 가까운 것은?
선택지
- 통신 당사자 사이에서 도청, 변조, 메시지 위조를 방지하도록 설계된 보안 채널을 제공한다.
- 모든 애플리케이션의 데이터베이스 스키마를 자동으로 암호화한다.
- 서버의 CPU 사용률을 일정하게 유지한다.
- 인증서 없이도 항상 상대방의 신원을 보장한다.
정답
1번
해설
RFC 8446은 TLS를 통신하는 두 피어 사이에 도청, 변조, 메시지 위조를 방지하도록 설계된 보안 채널을 제공하는 프로토콜로 설명한다. TLS가 제공하는 보호 범위와 애플리케이션·운영체제의 책임을 구분해야 한다.
오답 포인트
2번은 TLS의 계층과 기능을 과장한 것이다. 3번은 성능 관리 기능이 아니다. 4번은 인증서 검증과 신뢰 구성 없이 신원을 항상 보장한다는 잘못된 주장이다.
출처 또는 검증 근거
- IETF, RFC 8446 TLS 1.3 — Abstract에서 도청·변조·메시지 위조 방지를 위한 보안 채널을 명시.
- 출제 유형: 창작 문제. RFC의 목적 문장을 바탕으로 구성했다.
문제 2 — 암호키 관리
문제
NIST SP 800-57의 성격을 가장 적절히 설명한 것은?
선택지
- 암호 키 자료의 관리에 관한 일반 지침과 모범 사례를 제공한다.
- 특정 회사의 비밀번호 목록을 배포한다.
- TLS의 HTTP 헤더 문법만 정의한다.
- 방화벽 장비의 케이블 배선 규격만 규정한다.
정답
1번
해설
NIST는 SP 800-57을 암호 키 관리 지침으로 소개하며, Part 1은 키 자료의 정의, 보안 서비스, 알고리즘·키 유형, 보호 방법 및 키 관리 기능에 관한 일반 지침과 모범 사례를 다룬다. 키 생성·보호·사용·폐기와 같은 수명주기 관점이 중요하다.
오답 포인트
2번은 키 관리 지침을 비밀정보 배포 문서로 오해한 것이다. 3번은 TLS 표준의 일부와 키 관리 지침을 혼동했다. 4번은 물리 설비 규격과 암호 키 관리의 차이를 구분하지 못한 선택지다.
출처 또는 검증 근거
- NIST CSRC, Key Management Guidelines — SP 800-57 Part 1의 일반 지침·모범 사례 범위를 설명.
- 출제 유형: 창작 문제. NIST 공식 설명을 시험형 문장으로 재구성했다.
문제 3 — 최소권한 접근통제
문제
개인정보처리시스템의 접근권한 운영 원칙으로 가장 타당한 것은?
선택지
- 업무 수행에 필요한 최소 범위로 권한을 부여하고, 담당 업무가 바뀌면 권한을 변경 또는 말소한다.
- 편의를 위해 모든 직원에게 관리자 권한을 부여한다.
- 퇴직자의 계정은 감사 편의를 위해 영구 보존·활성화한다.
- 여러 취급자가 하나의 공용 계정을 공유한다.
정답
1번
해설
접근권한은 업무상 필요한 최소 범위로 차등 부여하고, 취급자나 업무가 변경되면 지체 없이 변경·말소하는 것이 안전한 운영이다. 공용 계정과 과도한 권한은 책임 추적성과 최소권한 원칙을 약화시킨다.
오답 포인트
2번은 최소권한 원칙에 반한다. 3번은 불필요한 활성 권한을 남기는 위험이 있다. 4번은 개인별 행위 추적을 어렵게 만든다.
출처 또는 검증 근거
- 국가법령정보센터, 개인정보 보호법 시행령 제30조 — 접근 권한의 부여·변경·말소 기준과 인증수단 적용을 규정.
- KISA, 개인정보 안전성 확보조치 관련 안내 자료 검색 결과 — 업무 수행에 필요한 최소 범위의 접근권한 관리 원칙을 확인할 수 있는 공식 자료 영역.
- 출제 유형: 창작 문제. 법령상 접근권한 원칙을 실무 상황형으로 구성했다.
학습 체크
네트워크 문제는 보호 목표와 프로토콜 기능을, 암호 문제는 알고리즘 자체와 키 수명주기를, 시스템 문제는 권한 부여와 회수 시점을 각각 분리해 판단하자.