정보보안기사 대비를 위해 개인정보 보호·침해대응·보안설계 영역을 교차 점검하는 문제 세트다. 공식 법령·기관 자료와 OWASP 문서를 근거로 했으며, 공개 기출 원문으로 확인되지 않은 문항은 창작 문제로 표시했다.

문제 1 — 개인정보 비밀번호 저장

문제

개인정보처리자가 비밀번호를 저장할 때의 원칙으로 가장 적절한 것은?

선택지

  1. 복호화가 가능하도록 평문 또는 단순 인코딩으로 저장한다.
  2. 안전한 방법으로 일방향 암호화하여 저장하고, 원문 복원이 필요한 경우에만 평문을 보관한다.
  3. 운영 편의를 위해 모든 사용자의 비밀번호를 관리자 화면에 표시한다.
  4. 비밀번호는 개인정보가 아니므로 별도 보호가 필요 없다.

정답

2번

해설

KISA 암호화 안내는 비밀번호를 저장하는 경우 복호화되지 않도록 일방향 암호화하여 저장해야 한다고 설명한다. 저장 목적의 비밀번호 검증과 원문 복원이 필요한 데이터의 암호화는 구분해야 한다.

오답 포인트

1번과 3번은 유출 시 원문 노출 위험을 키운다. 4번은 비밀번호를 인증정보로서 보호해야 한다는 원칙을 부정한다.

출처 또는 검증 근거

  • KISA, 암호모듈검증 FAQ — 비밀번호는 해시함수 등 일방향 방식으로 보호해야 한다는 안내.
  • KISA, 암호화 관련 공식 자료 — 비밀번호의 일방향 암호화 저장 원칙.
  • 출제 유형: 창작 문제. KISA 공식 안내를 사례형 문항으로 재구성했다.

문제 2 — 개인정보 침해사고 대비 접속기록

문제

개인정보 보호법 시행령 제30조의 안전성 확보 조치와 가장 부합하는 것은?

선택지

  1. 개인정보처리시스템 접속자의 접속일시와 처리내역 등을 저장·점검하고 접속기록을 안전하게 보관한다.
  2. 사고 조사를 방해할 수 있으므로 접속기록을 즉시 삭제한다.
  3. 접속기록은 관리자 개인 PC에만 저장하고 위·변조 방지는 고려하지 않는다.
  4. 접속기록은 애플리케이션 로그와 무관하므로 기록할 필요가 없다.

정답

1번

해설

시행령 제30조는 침해사고 대응을 위해 접속자의 접속일시·처리내역 등의 접속기록 저장·점검과 안전한 보관, 위·변조 방지 조치를 요구한다. 기록의 존재뿐 아니라 무결성과 보관 안전성도 함께 본다.

오답 포인트

2번은 포렌식과 사후 확인에 필요한 증거를 훼손한다. 3번은 중앙 관리와 무결성 보호를 누락한다. 4번은 법령상 접속기록 관리 대상을 부정한다.

출처 또는 검증 근거

  • 국가법령정보센터, 개인정보 보호법 시행령 제30조 — 접속기록 저장·점검·안전한 보관 및 위·변조 방지 조치.
  • 출제 유형: 창작 문제. 현행 조문을 침해대응 상황형으로 재구성했다.

문제 3 — 보안설계와 구현의 관계

문제

OWASP Top 10:2021의 A04:2021 Insecure Design에 대한 설명으로 옳은 것은?

선택지

  1. 보안 통제가 설계 단계에서 빠진 결함은 구현을 완벽하게 해도 설계 자체를 보완하지 않으면 해결되지 않을 수 있다.
  2. 모든 설계 결함은 운영 중 패치 한 번으로 자동 해결된다.
  3. Insecure Design은 네트워크 장비의 전원 장애만을 뜻한다.
  4. 위협 모델링과 보안 설계 원칙은 애플리케이션 보안과 무관하다.

정답

1번

해설

OWASP는 A04를 설계 결함에 초점을 둔 범주로 설명하고, 위협 모델링·보안 설계 패턴·원칙·참조 아키텍처의 필요성을 강조한다. 구현 오류와 설계 단계에서 보안 통제가 존재하지 않는 문제는 구분해야 한다.

오답 포인트

2번은 설계 결함을 단순 패치 문제로 축소한다. 3번은 범주를 오해한 것이다. 4번은 OWASP가 제시한 위협 모델링의 역할을 부정한다.

출처 또는 검증 근거

  • OWASP, Top 10:2021 Introduction — A04:2021 Insecure Design과 위협 모델링·보안 설계 원칙 설명.
  • 출제 유형: 창작 문제. OWASP 공식 범주 설명을 시험형 문장으로 재구성했다.

학습 체크

개인정보는 저장 방식, 침해대응은 기록의 무결성, 애플리케이션은 설계 단계의 통제 유무를 분리해서 판단하자.