정보보안기사 학습 문제 37 — ISMS-P 위험관리·접근통제·TLS 1.3
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA 및 IETF 공식 자료를 근거로 작성했다.
문제 1 — ISMS-P 인증기준의 구성
문제
KISA가 안내하는 ISMS-P 인증기준의 구성에 대한 설명으로 가장 적절한 것은?
선택지
- 관리체계 수립·운영과 보호대책 요구사항만 있고 개인정보 처리단계별 요구사항은 없다.
- 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
- 물리보안 점검만으로 인증 여부를 결정한다.
- 인증기준은 사업자별로 존재하지 않으며 모든 심사는 네트워크 장비 설정만 확인한다.
정답
2번
해설
KISA의 ISMS-P 제도 안내는 인증기준을 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구분한다. 세 영역을 함께 보므로 정책과 위험관리, 기술·관리·물리적 보호대책, 개인정보의 수집·보유·제공·파기·정보주체 권리보호를 함께 점검하는 구조다. [1]
오답 포인트
ISMS-P를 방화벽이나 취약점 점검만으로 이해하면 안 된다. 관리체계의 운영 증적과 개인정보 처리 전 과정의 통제까지 포함하는 인증이라는 점이 핵심이다. [1]
출처 또는 검증 근거
[1] 한국인터넷진흥원, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/
문제 2 — 최소권한과 접근권한 관리
문제
개인정보처리시스템의 접근권한 관리 원칙으로 가장 적절한 것은?
선택지
- 업무와 무관한 관리자 권한도 장애 대응을 위해 모든 취급자에게 부여한다.
- 퇴직자의 계정은 기록 보존을 위해 계속 활성화한다.
- 업무 수행에 필요한 최소 범위로 권한을 차등 부여하고, 업무 변경이나 종료 시 지체 없이 변경·말소한다.
- 여러 담당자가 하나의 공용 계정을 사용하면 감사가 쉬워진다.
정답
3번
해설
현행 「개인정보의 안전성 확보조치 기준」은 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하도록 하고, 개인정보취급자의 업무가 변경되면 지체 없이 권한을 변경하거나 말소하도록 정한다. 또한 취급자별 계정을 발급하고 공유되지 않도록 하는 원칙도 제시한다. [2]
오답 포인트
권한을 넓게 주고 나중에 로그만 보는 방식은 최소권한이 아니다. 공용 계정은 행위자 식별과 책임 추적을 약화시키므로 권한 관리와 감사 모두에 불리하다. [2]
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, 시행 2026. 7. 1., https://www.law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400
문제 3 — TLS 1.3의 0-RTT 데이터
문제
TLS 1.3의 0-RTT 데이터를 사용하는 애플리케이션 설계에서 특히 주의해야 할 사항은?
선택지
- 0-RTT는 모든 요청의 재전송과 재생을 자동으로 방지하므로 상태 변경 요청에도 제한 없이 사용한다.
- 0-RTT는 초기 지연을 줄일 수 있지만 재생 공격 위험을 고려하여 재생에 민감한 요청에는 별도 제한을 둔다.
- 0-RTT는 서버 인증서를 제거하고 키 교환을 생략하는 기능이다.
- 0-RTT는 TLS가 아닌 DNSSEC에서만 정의된 기능이다.
정답
2번
해설
RFC 8446은 TLS 1.3의 0-RTT 데이터를 별도 절로 다루며, 서버가 재생 공격의 영향을 제한할 수 있는 메커니즘을 사용해야 함을 설명한다. 따라서 지연 감소만 보고 결제·삭제처럼 재생에 민감한 상태 변경 요청을 무조건 0-RTT로 허용해서는 안 된다. [3]
오답 포인트
TLS가 제공하는 보안 채널과 애플리케이션의 요청 재생 안전성은 같은 문제가 아니다. 0-RTT를 사용할 때는 요청의 멱등성, 서버 정책, 재생 방어를 함께 설계해야 한다. [3]
출처 또는 검증 근거
[3] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, §2.3, https://datatracker.ietf.org/doc/rfc8446/