이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC와 국가법령정보센터의 공개 자료를 근거로 작성했다.

문제 1 — TLS 1.3 핸드셰이크

문제

TLS 1.3 핸드셰이크의 역할을 가장 정확하게 설명한 것은?

선택지

  1. 통신 상대를 인증하고 암호 매개변수를 협상하며 공유 키 자료를 확립한다.
  2. 서버의 운영체제 계정을 생성하고 파일 권한을 변경한다.
  3. 모든 애플리케이션 데이터를 평문으로 전송한 뒤 마지막에만 암호화한다.
  4. 데이터베이스 레코드의 업무 권한을 자동으로 결정한다.

정답

1번

해설

IETF RFC 8446은 TLS 핸드셰이크가 통신 당사자를 인증하고 암호 모드·매개변수를 협상하며 공유 키 자료를 확립한다고 설명한다. 이후 설정된 키와 레코드 계층을 통해 애플리케이션 트래픽을 보호한다. [1]

오답 포인트

TLS는 운영체제 계정·파일 권한·업무 인가를 관리하는 프로토콜이 아니다. 또한 TLS의 목적은 안전한 통신 채널을 제공하는 것이므로 데이터를 먼저 평문으로 전송한다는 설명은 틀리다.

출처 또는 검증 근거

[1] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, Abstract·§4: https://datatracker.ietf.org/doc/html/rfc8446

문제 2 — 인증과 접근권한 관리

문제

개인정보처리시스템의 접근권한 관리에 대한 설명으로 가장 적절한 것은?

선택지

  1. 권한은 최초 부여 후 퇴직·직무변경과 관계없이 유지한다.
  2. 권한의 부여·변경·말소 기준을 수립·시행하고 정당한 권한인지 확인할 인증수단을 운영한다.
  3. 관리자 계정 하나를 여러 담당자가 공동으로 사용하면 기록 관리가 쉬워진다.
  4. 인증에 성공하면 모든 개인정보 기능을 허용해야 한다.

정답

2번

해설

개인정보 보호법 시행령 관련 안내는 개인정보처리시스템 접근권한의 부여·변경·말소 기준을 수립·시행하고, 정당한 권한을 가진 자인지 확인하기 위한 인증수단 적용 기준을 설정·운영하도록 규정한다. 권한은 업무상 필요한 범위로 관리하고 변경·말소 이력을 통제해야 한다. [2]

오답 포인트

인증은 “누구인지” 확인하는 단계이고, 접근권한·인가는 “무엇을 할 수 있는지” 제한하는 단계다. 공동 계정과 영구 권한은 책임 추적성과 최소권한 원칙을 약화시킨다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법 시행령」 안전성 확보조치 관련 조문: https://www.law.go.kr/lumLsLinkPop.do?lspttninfSeq=66999&chrClsCd=010202

문제 3 — 접속기록의 보관 목적

문제

개인정보처리시스템 접속기록을 보관·점검하는 가장 직접적인 보안 목적은?

선택지

  1. 시스템의 화면 디자인을 자동으로 변경하기 위해서다.
  2. 개인정보 침해사고 발생에 대응하고 접속·처리 행위를 확인하기 위해서다.
  3. 사용자의 업무 능력을 평가해 인사 등급을 자동 결정하기 위해서다.
  4. 백업 파일을 암호화하지 않아도 되게 하기 위해서다.

정답

2번

해설

개인정보 보호법 시행령의 안전성 확보조치 관련 내용은 침해사고 대응을 위해 접속기록을 보관하고, 접속한 자의 접속일시·처리내역 등을 저장·점검하며 안전하게 보관하도록 제시한다. 따라서 접속기록은 사후 확인·감사·사고 대응의 근거가 된다. [2]

오답 포인트

접속기록은 화면 설정이나 인사평가를 위한 일반 로그가 아니다. 기록이 있더라도 위조·변조 방지, 보관기간, 접근통제와 점검 절차가 없으면 증거성과 대응력이 약해진다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법 시행령」 접속기록 보관·점검 관련 안전성 확보조치: https://www.law.go.kr/lumLsLinkPop.do?lspttninfSeq=66999&chrClsCd=010202