이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA, 국가법령정보센터, IETF 표준 문서를 근거로 작성했다.

문제 1 — ISMS-P 인증기준의 범위

문제

KISA가 안내하는 ISMS-P 인증기준의 구성으로 옳은 것은?

선택지

  1. 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
  2. 네트워크 장비의 취약점만 평가한다.
  3. 개인정보 파기 단계만 심사한다.
  4. 조직의 보안 정책은 제외하고 암호 알고리즘만 평가한다.

정답

1번

해설

KISA 제도 안내는 ISMS-P 인증기준을 ① 관리체계 수립 및 운영, ② 보호대책 요구사항, ③ 개인정보 처리단계별 요구사항으로 구분한다. 따라서 관리·기술·개인정보 처리 전반을 보는 인증체계이며 단일 장비나 알고리즘 시험으로 축소할 수 없다. [1]

오답 포인트

ISMS-P는 제품 인증이나 암호 알고리즘 인증이 아니다. 위험관리, 접근통제, 암호화 적용, 사고 대응과 개인정보 처리 단계별 보호조치를 조직의 관리체계와 연결해 평가한다.

출처 또는 검증 근거

[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/

문제 2 — 개인정보의 안전한 저장·전송

문제

개인정보 보호법 시행령 제30조의 안전성 확보 조치에 대한 설명으로 옳은 것은?

선택지

  1. 비밀번호는 원문 복원이 가능하도록 평문 또는 복호화 가능한 값으로만 저장해야 한다.
  2. 개인정보를 안전하게 저장·전송하기 위한 암호화 또는 이에 상응하는 기술적 조치를 고려한다.
  3. 암호화는 전송 구간에만 적용할 수 있고 저장에는 적용할 수 없다.
  4. 접근권한 관리가 있으면 악성프로그램 방지와 접속기록은 불필요하다.

정답

2번

해설

시행령 제30조는 개인정보를 안전하게 저장·전송하는 데 필요한 조치로 비밀번호 등 인증정보의 암호화 저장, 고시 대상 정보의 암호화 저장, 그 밖의 암호화 또는 이에 상응하는 기술을 이용한 보안조치를 규정한다. 또한 접근권한, 접속기록, 악성프로그램 방지 등 다른 보호조치도 함께 요구한다. [2]

오답 포인트

암호화는 저장과 전송을 구분해 위협과 처리 환경에 맞게 적용해야 한다. 하나의 통제만으로 안전성 확보 조치 전체를 대체할 수 없으며, 비밀번호를 복호화 가능하게 보관하는 것도 일반적인 검증 원칙과 맞지 않는다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법 시행령」 제30조, https://www.law.go.kr/lumLsLinkPop.do?lspttninfSeq=66999&chrClsCd=010202

문제 3 — TLS의 서버 인증

문제

TLS 1.3이 제공하는 보안 채널의 설명으로 가장 적절한 것은?

선택지

  1. TLS는 도청·변조·메시지 위조 방지를 목표로 하며, 서버 인증서의 해석과 상위 프로토콜의 인가 정책은 별도 설계가 필요하다.
  2. TLS를 사용하면 모든 애플리케이션 사용자가 자동으로 관리자 권한을 얻는다.
  3. TLS는 암호화만 제공하므로 상대방 인증과 무관하다.
  4. TLS 1.3에서는 클라이언트와 서버가 공통 버전을 협상하지 않는다.

정답

1번

해설

RFC 9846은 TLS가 도청, 변조, 메시지 위조를 방지하도록 설계된 보안 채널을 제공한다고 설명한다. 동시에 인증서의 해석과 상위 프로토콜의 동작·정책은 해당 프로토콜 설계자와 구현자의 판단 영역이다. 그러므로 TLS 적용과 애플리케이션 인가 정책은 함께 설계하되 동일시하지 않아야 한다. [3]

오답 포인트

암호화된 연결은 전송 구간의 보호를 의미할 뿐, 사용자의 업무 권한이나 API의 접근 정책을 자동으로 결정하지 않는다. 서버 인증, 필요 시 클라이언트 인증, 애플리케이션 인가를 계층별로 구분해야 한다.

출처 또는 검증 근거

[3] IETF, RFC 9846, The Transport Layer Security (TLS) Protocol Version 1.3, §§1, 4, https://datatracker.ietf.org/doc/rfc9846/