이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA, 국가법령정보센터, NIST 공개 자료를 근거로 작성했다.

문제 1 — ISMS-P 인증기준

문제

KISA가 안내하는 ISMS-P 인증기준의 구성으로 옳은 것은?

선택지

  1. 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항이다.
  2. 침투테스트 결과만으로 구성된다.
  3. 네트워크 장비 제조사 인증만을 평가한다.
  4. 개인정보 파기 절차만을 평가한다.

정답

1번

해설

KISA는 ISMS-P 인증기준을 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구분해 안내한다. 따라서 ISMS-P는 단일 보안 제품이나 특정 기술만 평가하는 체계가 아니라 관리와 보호대책, 개인정보 처리 전반을 연결해 본다. [1]

오답 포인트

침투테스트나 장비 점검은 일부 검증 활동일 수 있지만 인증기준 전체와 같지 않다. 개인정보 파기만을 대상으로 한다는 설명도 범위를 지나치게 축소한 것이다.

출처 또는 검증 근거

[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/

문제 2 — 접속기록 보호

문제

개인정보처리시스템 접속기록 관리에 대한 설명으로 옳은 것은?

선택지

  1. 사고가 발생한 경우에만 임시로 기록을 만든다.
  2. 접속일시와 처리내역 등을 기록·점검하고 안전하게 보관한다.
  3. 운영 편의를 위해 모든 관리자가 기록을 수정할 수 있게 한다.
  4. 인증 실패만 남기고 개인정보 처리 내역은 기록하지 않는다.

정답

2번

해설

개인정보 보호법 시행령 제30조는 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등의 접속기록을 저장·점검하고 안전하게 보관하는 조치를 규정한다. 따라서 생성뿐 아니라 점검과 무결성·보관 안전성까지 운영 통제로 고려해야 한다. [2]

오답 포인트

기록을 남기는 것만으로는 충분하지 않으며, 사후 분석 가능한 항목과 보호 상태가 중요하다. 임의 수정이 가능한 로그는 감사와 사고 대응의 신뢰성을 훼손한다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법 시행령」 제30조, https://law.go.kr/lsLinkCommonInfo.do?lspttninfSeq=66999

문제 3 — 대칭키와 공개키

문제

대칭키 암호와 공개키 암호의 관계에 대한 설명으로 가장 적절한 것은?

선택지

  1. 대칭키 암호는 암호화와 복호화에 서로 관련 없는 공개 키만 사용한다.
  2. 공개키 암호는 개인키를 누구에게나 공개해야 한다.
  3. 대칭키 암호는 공유 비밀키 관리가 중요하고, 공개키 암호는 공개키와 개인키의 역할을 구분한다.
  4. 두 방식은 키 관리 문제가 없으므로 운영 절차가 필요 없다.

정답

3번

해설

NIST의 키 관리 지침은 대칭키와 비대칭키를 포함한 암호 키의 유형, 보호 요구사항, 키 관리 기능과 조직 절차를 다룬다. 대칭키 방식은 통신 당사자 사이의 공유 비밀키를 안전하게 관리해야 하고, 공개키 방식은 공개해도 되는 키와 비밀로 보호할 개인키를 분리한다. [3]

오답 포인트

공개키는 공개해도 되지만 개인키는 보호해야 한다. 또한 공개키 암호를 사용하더라도 인증서, 개인키 보호, 폐기·교체 같은 운영상 키 관리가 사라지는 것은 아니다.

출처 또는 검증 근거

[3] NIST CSRC, Recommendation for Key Management: Part 1 — General (SP 800-57), https://csrc.nist.gov/projects/key-management/key-management-guidelines