정보보안기사 학습 문제 10 — ISMS-P·암호화·보안 운영

이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA 공개 안내와 개인정보 안전성 확보조치를 근거로 작성했다.

문제 1 — ISMS-P 보호대책 요구사항

KISA의 ISMS-P 인증기준 안내에서 보호대책 요구사항에 포함되는 영역으로 보기 어려운 것은?

4번

KISA 공개 ISMS-P 안내는 보호대책 요구사항의 영역으로 정책·조직·자산 관리, 인증 및 권한관리, 접근통제, 암호화 적용, 시스템 및 서비스 운영관리, 사고 예방 및 대응, 재해복구 등을 제시한다. 투자수익 보장은 정보보호 관리체계 인증기준의 영역이 아니다.

1~3번은 KISA가 안내하는 보호대책 요구사항의 실제 영역이다. 인증기준의 보안 통제와 사업 성과·수익 보장을 혼동하면 안 된다.

개인정보처리자가 이용자의 비밀번호를 저장할 때 「개인정보의 안전성 확보조치 기준」에 가장 부합하는 방식은?

3번

기준은 비밀번호를 저장하는 경우 복호화되지 않도록 일방향 암호화하여 저장하도록 제시한다. 암호화 키를 가진 운영자가 원문을 복원할 수 있는 방식과 비밀번호 검증을 위한 일방향 저장은 목적과 위험이 다르다.

개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 적용할 수 있는 안전한 인증수단의 조합은?

2번

공개된 안전성 확보조치 기준 안내는 개인정보취급자의 외부 접속에 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하도록 제시한다. 네트워크 위치 제한은 인증을 대체하지 않으며, 개인별 계정과 강한 인증·접속기록을 함께 설계해야 한다.

1번은 계정 공유와 단일 인증에 의존한다. 3번은 IP 기반 제한과 사용자 인증을 혼동한다. 4번은 외부 접속의 위협 모델을 무시한다.