정보보안기사 학습 문제 29 — 접근권한·접속기록·랜섬웨어 대응
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터와 한국인터넷진흥원(KISA) 공개 자료를 근거로 작성했다.
문제 1 — 최소권한과 계정 관리
문제
개인정보처리시스템의 접근 권한을 관리하는 방법으로 가장 적절한 것은?
선택지
- 모든 운영자에게 동일한 최고 권한을 부여한다.
- 업무 수행에 필요한 최소 범위로 권한을 차등 부여하고, 업무 변경 시 권한을 변경 또는 말소한다.
- 퇴사자의 계정은 감사 편의를 위해 계속 유지한다.
- 여러 취급자가 하나의 공용 계정을 사용한다.
정답
2번
해설
「개인정보의 안전성 확보조치 기준」은 접근 권한을 업무 수행에 필요한 최소 범위로 차등 부여하고, 취급자 또는 업무가 변경되면 지체 없이 권한을 변경 또는 말소하도록 규정한다. 또한 정당한 사유가 없으면 취급자별 계정을 발급하고 공유하지 않도록 한다. [1]
오답 포인트
최고 권한 일괄 부여는 최소권한 원칙에 어긋난다. 공용 계정은 행위자 식별과 책임 추적을 어렵게 하며, 퇴사·전보 후 권한 방치는 실제 침해 경로가 될 수 있다.
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201
문제 2 — 접속기록의 의미
문제
개인정보처리시스템의 접속기록에 대한 설명으로 옳은 것은?
선택지
- 접속기록은 사고가 난 뒤에 임의로 작성하면 된다.
- 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록하는 개념이다.
- 인증 실패만 기록하고 실제 개인정보 처리 내역은 기록하지 않는다.
- 기록은 남기되 누구나 수정할 수 있어야 운영이 편리하다.
정답
2번
해설
현행 기준은 접속기록을 개인정보처리시스템에 접속해 수행한 업무내역에 관한 전자적 기록으로 정의하고, 식별자·접속일시·접속지 정보·처리한 정보주체 정보·수행업무 등을 예시한다. 따라서 단순 로그인 성공 여부만을 뜻하지 않으며, 사후 추적 가능한 항목과 무결성 있는 보관이 중요하다. [1]
오답 포인트
사고 후 임시 작성은 원본성을 보장하지 못한다. 또한 접속기록의 목적은 개인정보 처리 행위를 추적·점검하는 것이므로 인증 이벤트 하나로 범위를 축소하면 안 된다.
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제2조제3호 및 제8조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201
문제 3 — 랜섬웨어 외부 접속 통제
문제
KISA의 랜섬웨어 예방 권고에 부합하는 외부 원격 접속 관리 방법은?
선택지
- 유지보수 업체의 원격 접속을 상시 허용하고 기본 비밀번호를 유지한다.
- 불필요한 외부 공개 시스템은 연결을 차단하고, 필요한 접속에는 IP·단말 제한과 다중인증을 적용한다.
- 원격 포트만 공개하고 로그는 저장하지 않는다.
- 백업을 운영망과 같은 저장소에만 보관한다.
정답
2번
해설
KISA는 외부에 공개된 시스템 현황을 파악해 불필요한 시스템의 연결을 차단하고, 필요한 외부 접속에는 접속 IP·단말 제한, 다중인증, 서버별 접근제어와 비정상 접속 로그 확인을 권고한다. 유지보수 접속도 필요할 때만 허용하는 방향이다. [2]
오답 포인트
기본 비밀번호와 상시 원격 접속은 공격 표면을 키운다. 방화벽 규칙만으로 충분하다고 보거나, 동일 저장소 백업을 분리 백업으로 착각하는 것도 대표적인 오답이다.
출처 또는 검증 근거
[2] KISA 지역정보보호센터, 「랜섬웨어 악성코드 감염피해 예방을 위한 보안강화 권고」, https://risc.kisa.or.kr/inform/secInfoDetail.do?scrtyInfoId=SCR_0000000000000040&pageIndex=1&searchCondition=&searchKeyword=