이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터와 IETF 표준 문서를 근거로 작성했다.

문제 1 — 위험관리의 목적

문제

정보보호 관리체계에서 위험 분석·관리 활동의 설명으로 가장 적절한 것은?

선택지

  1. 모든 위험을 비용과 무관하게 0으로 만드는 활동이다.
  2. 자산·위협·취약점과 영향을 고려해 위험을 식별하고 대응 수준을 결정하는 활동이다.
  3. 보안 제품을 구매하면 별도 위험 분석 없이 완료된다.
  4. 사고가 발생한 뒤에만 수행하는 사후 조사다.

정답

2번

해설

위험관리는 보호해야 할 자산과 위협·취약점, 발생 가능성과 영향을 파악한 뒤 수용·감소·회피·전가 등 대응 방향을 결정하는 관리 활동이다. KISA의 ISMS-P 안내는 인증기준을 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구분하고, 관리체계 영역에 위험관리를 포함한다. [1]

오답 포인트

위험관리는 특정 솔루션의 도입이나 사고 조사와 동일하지 않다. 또한 현실적인 통제는 비용·업무 영향·잔여 위험을 함께 고려하므로 모든 위험을 무조건 0으로 만든다는 설명은 부적절하다.

출처 또는 검증 근거

[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/

문제 2 — 접속기록의 보관과 점검

문제

개인정보처리시스템의 접속기록 관리에 대한 설명으로 현행 법령 취지에 맞는 것은?

선택지

  1. 접속기록은 사고가 없으면 생성할 필요가 없다.
  2. 접속한 자의 접속일시와 처리내역 등을 저장·점검하고 안전하게 보관해야 한다.
  3. 접속기록은 운영 편의를 위해 누구나 수정할 수 있어야 한다.
  4. 접속기록에는 인증 실패만 남기고 개인정보 처리 내역은 제외한다.

정답

2번

해설

개인정보 보호법 시행령 제30조는 침해사고 대응을 위해 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등의 접속기록을 저장·점검하고 안전하게 보관하도록 정한다. 따라서 기록의 생성뿐 아니라 점검과 위·변조 방지에 해당하는 운영 통제가 함께 필요하다. [2]

오답 포인트

로그를 남기는 것만으로 충분하지 않다. 누가 언제 어떤 처리를 했는지 확인할 수 있어야 하며, 사후 분석을 위해 기록의 무결성과 보관 안전성도 고려해야 한다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치), https://www.law.go.kr/lumLsLinkPop.do?lspttninfSeq=66999&chrClsCd=010202

문제 3 — TLS 1.3 키 갱신

문제

TLS 1.3 표준의 키 갱신(Key Update)에 대한 설명으로 옳은 것은?

선택지

  1. 연결 중 키 갱신은 불가능하므로 반드시 연결을 종료해야 한다.
  2. TLS 1.3은 트래픽 비밀을 갱신하는 절차를 정의하며, 구현은 키 사용 한도도 고려해야 한다.
  3. 키 갱신은 서버 인증서를 새로 발급하는 절차와 동일하다.
  4. 키 갱신을 수행하면 애플리케이션 인가 검사가 불필요해진다.

정답

2번

해설

IETF의 TLS 1.3 최신 표준 RFC 9846은 프로토콜 개요와 레코드 보호, 키 스케줄 및 트래픽 비밀 갱신 절차를 정의한다. 키 갱신은 연결의 트래픽 키 관련 보안성을 관리하는 절차이지 인증서 발급이나 애플리케이션 권한 검사를 대체하는 기능이 아니다. [3]

오답 포인트

암호 키 갱신과 인증서 갱신은 서로 다른 계층의 절차다. TLS 채널이 암호화·인증되더라도 애플리케이션은 별도의 사용자 인증과 인가를 수행해야 한다.

출처 또는 검증 근거

[3] IETF, RFC 9846, The Transport Layer Security (TLS) Protocol Version 1.3, §§4.7.3, 5.5, https://datatracker.ietf.org/doc/rfc9846/