정보보안기사 학습 문제 21 — 개인정보 암호화·처리방침·내부관리계획
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터의 현행 법령·고시를 근거로 작성했다.
문제 1 — 비밀번호 저장
문제
개인정보처리자가 이용자의 비밀번호를 저장할 때 「개인정보의 안전성 확보조치 기준」에 부합하는 방법은?
선택지
- 복호화 가능한 대칭키로만 암호화해 저장한다.
- 평문으로 저장하되 데이터베이스 접근권한만 제한한다.
- 안전한 암호 알고리즘으로 일방향 암호화해 저장한다.
- 모든 이용자의 비밀번호를 하나의 고정 해시값으로 치환한다.
정답
3번
해설
현행 「개인정보의 안전성 확보조치 기준」 제7조는 비밀번호를 저장하는 경우 복호화되지 않도록 일방향 암호화하여 저장하도록 규정한다. 따라서 단순한 접근통제만으로 평문 저장을 정당화할 수 없으며, 실제 구현에서는 적절한 솔트와 검증된 비밀번호 해시 방식을 함께 검토해야 한다. [1]
오답 포인트
암호화와 해시는 목적이 다르다. 복호화가 필요한 데이터 암호화와 달리 비밀번호 검증에는 원문 복원이 필요하지 않다. 또한 고정된 하나의 해시값을 재사용하면 동일 비밀번호 여부나 사전공격 대응에 취약해진다.
출처 또는 검증 근거
[1] 국가법령정보센터, 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화), https://law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400
문제 2 — 개인정보 처리방침 공개
문제
개인정보처리자가 개인정보 처리방침을 수립하거나 변경했을 때 「개인정보 보호법」 제30조의 요구사항으로 옳은 것은?
선택지
- 처리방침은 내부 문서로만 보관하고 공개하지 않는다.
- 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개한다.
- 제3자 제공이 있어도 처리방침에는 기재할 수 없다.
- 처리방침의 내용과 계약 내용이 다르면 언제나 계약만 적용한다.
정답
2번
해설
「개인정보 보호법」 제30조 제2항은 처리방침을 수립하거나 변경하는 경우 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하도록 한다. 같은 조는 처리 목적, 보유 기간, 해당하는 경우 제3자 제공 및 위탁 사항 등도 처리방침에 포함하도록 정한다. [2]
오답 포인트
처리방침은 형식적인 내부 보관 문서가 아니라 정보주체에게 공개되는 설명·통지 수단이다. 제3자 제공이나 위탁이 해당하면 관련 사항을 누락할 수 없고, 처리방침과 계약 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보 보호법」 제30조(개인정보 처리방침의 수립 및 공개), https://law.go.kr/법령/개인정보보호법/제30조
문제 3 — 내부 관리계획의 적용
문제
개인정보의 안전성 확보를 위한 내부 관리계획에 포함되는 항목으로 가장 적절한 것은?
선택지
- 접근권한 관리와 접속기록 보관·점검은 제외한다.
- 개인정보 유출사고 대응 계획과 위험 분석·관리를 포함한다.
- 물리적 안전조치는 기술적 통제로 대체되므로 포함하지 않는다.
- 위탁 업무의 수탁자 관리·감독은 개인정보처리자의 책임이 아니다.
정답
2번
해설
현행 고시 제4조는 내부 관리계획에 접근권한 관리, 접근통제, 암호화, 접속기록 보관·점검, 물리적 안전조치, 개인정보 유출사고 대응 계획, 위험 분석·관리, 위탁 시 수탁자 관리·감독 등을 포함하도록 정한다. 내부 관리계획은 선언문이 아니라 보호조치의 책임·절차·점검 기준을 연결하는 관리 통제다. [1]
오답 포인트
보안사고 대응은 기술 도구만으로 완료되지 않는다. 담당자·절차·연락체계·위험평가·위탁관리까지 문서화하고 변경사항을 반영해야 실제 사고 시 실행 가능한 통제가 된다.
출처 또는 검증 근거
[1] 국가법령정보센터, 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획의 수립·시행 및 점검), https://law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400