이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC와 KISA의 공개 자료를 근거로 작성했다.

문제 1 — TLS 1.3의 0-RTT 데이터

문제

TLS 1.3의 0-RTT early data를 사용하는 서비스 설계에 대한 설명으로 가장 적절한 것은?

선택지

  1. 0-RTT는 재전송·재생(replay) 위험이 없으므로 송금 요청에 무조건 사용한다.
  2. 0-RTT는 연결 지연을 줄일 수 있지만 재생 위험을 고려해 멱등성이 없는 요청에는 신중해야 한다.
  3. 0-RTT는 서버 인증서를 제거해 익명 통신만 제공한다.
  4. 0-RTT를 사용하면 애플리케이션 인가 검사가 필요 없다.

정답

2번

해설

TLS 1.3 RFC 8446은 0-RTT data를 프로토콜 개요에서 별도로 다루며, early data는 연결 설정 시간을 줄일 수 있는 대신 재생 공격과 관련된 고려사항이 있다. 따라서 주문 생성·송금처럼 중복 처리에 민감한 요청은 재생 방어, 요청 멱등성, 애플리케이션 수준 검증을 함께 설계해야 한다. [1]

오답 포인트

TLS가 제공하는 보안 채널과 애플리케이션의 거래 의미는 별개다. 0-RTT를 빠르다는 이유만으로 상태 변경 요청에 일반 적용하거나, TLS 사용만으로 인가가 끝났다고 보는 것은 잘못이다.

출처 또는 검증 근거

[1] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, §2.3(0-RTT Data), https://datatracker.ietf.org/doc/html/rfc8446#section-2.3

문제 2 — 개인정보처리시스템 접근통제

문제

개인정보처리시스템에 대한 접근통제 조치로 현행 고시에 부합하는 것은?

선택지

  1. 접속 권한을 IP 주소 등으로 제한하고, 접속 IP 등을 분석해 유출 시도를 탐지·대응한다.
  2. 외부 접속은 편의를 위해 인증 없이 허용한다.
  3. 장시간 미사용 세션도 계속 유지해 재인증을 없앤다.
  4. 모바일 기기 분실은 물리적 문제이므로 비밀번호 보호와 무관하다.

정답

1번

해설

「개인정보의 안전성 확보조치 기준」 제6조는 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하고, 접속한 IP 주소 등을 분석해 개인정보 유출 시도를 탐지·대응하도록 한다. 또한 외부 접속 시 안전한 인증수단, 일정시간 미사용 시 자동 접속 차단, 업무용 모바일 기기의 보호조치도 규정한다. [2]

오답 포인트

접근통제는 로그인 순간의 인증만 의미하지 않는다. 네트워크 위치 제한, 이상 접속 분석, 세션 잠금, 모바일 기기 보호를 함께 적용해야 무단 접근과 계정 탈취의 영향을 줄일 수 있다.

출처 또는 검증 근거

[2] 국가법령정보센터, 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제6조(접근통제), https://law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400

문제 3 — ISMS 인증기준의 영역

문제

KISA가 안내하는 ISMS-P 인증기준에 대한 설명으로 옳은 것은?

선택지

  1. 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
  2. 개인정보 처리단계별 요구사항만 심사하고 정보보호 관리체계는 심사하지 않는다.
  3. 인증기준은 암호 알고리즘 목록만을 의미한다.
  4. 위험관리와 사고 대응은 인증기준에서 제외된다.

정답

1번

해설

KISA의 ISMS-P 제도 안내는 인증기준을 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구분해 설명한다. 세부 영역에는 위험관리, 인증·권한관리, 암호화 적용, 사고 예방 및 대응, 개인정보 수집·보유·제공·파기와 정보주체 권리보호 등이 포함된다. [3]

오답 포인트

ISMS-P는 특정 보안제품이나 암호 알고리즘 하나의 인증이 아니다. 관리체계와 보호대책, 개인정보 처리 전 과정의 통제를 조직·절차·기술 관점에서 함께 평가하는 체계다.

출처 또는 검증 근거

[3] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/