정보보안기사 대비를 위해 관리체계·암호·감사 영역을 교차 점검하는 문제 세트다. 공개 기출 원문으로 확인되지 않은 문항은 창작 문제로 표시하고 공식 제도·고시 자료를 우선했다.

문제 1 — ISMS-P 인증 기준 구조

문제

KISA가 안내하는 ISMS-P 인증 기준에 대한 설명으로 옳은 것은?

선택지

  1. ISMS-P는 개인정보 처리 단계만 심사하고 정보보호 관리체계는 포함하지 않는다.
  2. ISMS-P 인증 기준에는 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항이 포함된다.
  3. ISMS-P는 보안 제품의 성능만 시험하는 제도이므로 조직의 정책과 운영은 심사하지 않는다.
  4. ISMS-P 인증은 모든 조직에 자동으로 부여되며 신청이나 심사 절차가 필요 없다.

정답

2번

해설

KISA 및 ISMS-P 안내 자료는 인증 기준을 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구분한다. 따라서 제품 하나의 기능 시험이나 개인정보 처리만을 뜻하지 않고, 조직이 수립·관리·운영하는 조치와 활동의 적합성을 심사하는 제도다.

오답 포인트

1번은 통합 인증의 범위를 축소한다. 3번은 관리체계 심사와 제품 시험을 혼동한다. 4번은 신청·심사·인증이라는 제도 절차를 부정한다.

출처 또는 검증 근거

  • KISA, ISMS-P 제도소개 — 인증 개요와 3개 기준 영역.
  • 출제 유형: 창작 문제. KISA 공개 안내의 기준 구조를 시험형 문항으로 재구성했다.

문제 2 — 비밀번호 저장

문제

「개인정보의 안전성 확보조치 기준」에 따른 비밀번호 저장 방식으로 옳은 것은?

선택지

  1. 운영자가 필요할 때 볼 수 있도록 평문으로 저장한다.
  2. 복호화 가능한 대칭키로만 암호화하면 일방향 저장보다 항상 적절하다.
  3. 안전한 암호 알고리즘을 사용해 복호화되지 않도록 일방향 암호화하여 저장한다.
  4. 비밀번호는 개인정보가 아니므로 저장 방식에 대한 보호조치가 필요 없다.

정답

3번

해설

현행 고시 제7조는 비밀번호를 저장하는 경우 복호화되지 않도록 일방향 암호화하여 저장하도록 한다. 로그인 검증에는 저장된 값과 입력값에서 계산한 값을 비교하는 방식이 사용되므로 원문 비밀번호를 복원할 필요가 없다.

오답 포인트

1번은 원문 유출 시 즉시 재사용 위험을 만든다. 2번은 복호화 가능한 비밀을 보관하는 위험을 놓친다. 4번은 인증정보에 대한 암호화 의무를 부정한다.

출처 또는 검증 근거

문제 3 — 접속기록의 목적

문제

개인정보처리시스템의 접속기록을 보관·점검하는 주된 보안 목적은 무엇인가?

선택지

  1. 모든 사용자의 업무를 감시하기 위한 목적이므로 식별자나 처리 내역은 기록하지 않는다.
  2. 접속 주체와 시점, 접속지, 처리한 정보주체 및 수행업무를 추적해 오남용·유출 시도 조사와 대응에 활용한다.
  3. 접속기록은 장애와 무관하므로 침해사고가 발생하면 삭제한다.
  4. 접속기록에는 개인정보가 포함될 수 없으므로 접근권한과 보관 보호가 필요 없다.

정답

2번

해설

고시는 접속기록을 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것으로 정의한다. 이런 기록은 누가 언제 어떤 경로로 어떤 업무를 수행했는지 확인하고 이상 행위 및 사고를 조사하는 감사·추적 기반이다.

오답 포인트

1번은 접속기록의 핵심 필드를 부정한다. 3번은 사고 대응과 증적 보전의 필요성을 거꾸로 이해한다. 4번은 로그 자체의 접근통제·위변조 방지 필요성을 무시한다.

출처 또는 검증 근거

  • 국가법령정보센터, 개인정보의 안전성 확보조치 기준 — 제2조 제3호 접속기록 정의 및 접속기록 보관·점검 관련 조항.
  • 출제 유형: 창작 문제. 고시의 접속기록 정의와 안전조치 목적을 시험형으로 구성했다.

학습 체크

ISMS-P는 관리체계·보호대책·개인정보 처리단계를 함께 보고, 비밀번호는 복호화 불가 방식으로 저장하며, 접속기록은 사고 대응을 위한 추적 증적으로 관리하자.

출처