정보보안기사 학습 문제 36 — 접속기록·TLS 보안채널·개인정보 법규
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터와 IETF 공식 자료를 근거로 작성했다.
문제 1 — 개인정보처리시스템 접속기록
문제
「개인정보의 안전성 확보조치 기준」 제8조에 대한 설명으로 옳은 것은?
선택지
- 모든 개인정보처리시스템의 접속기록은 1개월만 보관하면 된다.
- 접속기록은 사고가 발생한 뒤 사후적으로 작성해도 된다.
- 일반적으로 1년 이상 보관·관리하며, 5만 명 이상 정보주체의 개인정보나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관 대상이 될 수 있다.
- 접속기록은 위·변조 방지 조치 없이 원본 파일로 공개 보관한다.
정답
3번
해설
국가법령정보센터에 게시된 현행 「개인정보의 안전성 확보조치 기준」 제8조는 접속기록을 1년 이상 보관·관리하도록 하고, 5만 명 이상 정보주체의 개인정보를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관하도록 정한다. 접속기록의 점검과 위·변조·도난·분실 방지를 위한 안전한 보관도 요구한다. [1]
오답 포인트
접속기록은 사고 후 기억을 복원하는 문서가 아니라 처리행위를 추적하기 위한 운영 증적이다. 보관기간만 외우지 말고 점검 주기·방법과 기록 보호까지 함께 확인해야 한다. [1]
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제8조, 시행 2026. 7. 1., https://www.law.go.kr/LSW/admRulSideInfoP.do?admRulSeq=2100000281400&chrClsCd=010201&dashNo=&docCls=jo&joBrNo=00&joNo=0008&urlMode=admRulScJoRltInfoR
문제 2 — TLS의 보안 목적
문제
TLS 프로토콜의 기본 목적에 대한 설명으로 가장 적절한 것은?
선택지
- 모든 애플리케이션의 사용자 권한을 자동으로 결정한다.
- 통신 상대 사이에 도청·변조·메시지 위조를 막도록 설계된 보안 채널을 제공한다.
- 서버의 취약점 패치를 자동으로 수행한다.
- 데이터베이스의 백업 보존기간을 법적으로 결정한다.
정답
2번
해설
RFC 8446은 TLS가 클라이언트와 서버 애플리케이션이 통신할 때 도청, 변조, 메시지 위조를 막도록 설계된 보안 채널을 제공한다고 설명한다. TLS는 전송 구간의 보호를 제공하지만 애플리케이션의 인가 정책, 취약점 관리, 백업 정책을 대신 결정하지 않는다. [2]
오답 포인트
TLS로 암호화된 연결이 성립했다는 사실만으로 사용자가 특정 업무를 수행할 권한이 있다는 뜻은 아니다. 인증서 검증, 세션 관리, 애플리케이션 인가를 각각 분리해 점검해야 한다. [2]
출처 또는 검증 근거
[2] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, https://datatracker.ietf.org/doc/rfc8446/
문제 3 — 개인정보 보호법상 안전조치
문제
「개인정보 보호법」 제29조의 취지에 부합하는 설명은?
선택지
- 개인정보 보호를 위해 물리적 조치는 제외하고 기술적 조치만 수행한다.
- 유출사고가 확인된 뒤에만 안전조치를 마련하면 된다.
- 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 내부 관리계획과 접속기록 보관 등을 포함한 안전성 확보 조치를 해야 한다.
- 암호화 제품을 하나 설치하면 내부 관리계획이나 접근통제는 필요 없다.
정답
3번
해설
국가법령정보센터의 개인정보 보호법 제29조는 개인정보처리자가 개인정보의 안전성 확보를 위해 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 해야 한다고 규정한다. 이는 사고 이후의 복구만이 아니라 예방과 지속적인 관리에 관한 의무다. [3]
오답 포인트
안전조치는 단일 보안제품의 설치와 동일하지 않다. 조직의 관리계획, 접근통제·인증, 기록과 점검, 암호화 및 물리적 보호를 처리 위험과 시스템 특성에 맞춰 함께 운영해야 한다. [3]
출처 또는 검증 근거
[3] 국가법령정보센터, 「개인정보 보호법」, https://www.law.go.kr/LSW/lsInfoP.do?lsId=000030