이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC 8446 및 국가법령정보센터 공식 자료를 근거로 작성했다.

문제 1 — TLS 1.3 레코드 보호

문제

TLS 1.3의 레코드 보호에 대한 설명으로 옳은 것은?

선택지

  1. TLS 1.3의 모든 암호는 인증 없는 평문 전송을 전제로 한다.
  2. TLS 1.3은 AEAD 모델을 사용하며, AEAD는 기밀성과 무결성 보호를 함께 제공하도록 설계된다.
  3. TLS 1.3은 키 교환 없이 서버의 공개키만으로 모든 애플리케이션 데이터를 암호화한다.
  4. TLS 1.3에서 레코드 헤더와 nonce는 보안과 무관하므로 재사용해도 된다.

정답

2번

해설

RFC 8446은 TLS 1.3에서 모든 암호를 AEAD(Authenticated Encryption with Associated Data) 모델로 설명한다. AEAD는 평문과 추가 인증 데이터 등을 입력으로 받아 인증된 암호문을 만들며, 레코드 데이터의 기밀성과 무결성 보호를 제공한다. 키 교환과 레코드 보호는 별개의 프로토콜 단계이므로 “공개키만으로 전체 데이터를 처리한다”라고 이해해서는 안 된다. [1]

오답 포인트

전송 암호화의 기밀성만 외우면 부족하다. TLS 1.3은 키 스케줄, nonce, 추가 인증 데이터, 인증된 암호화를 함께 사용하며, nonce 관리 실패는 AEAD 보안을 훼손할 수 있다. [1]

출처 또는 검증 근거

[1] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, §5.2·§5.3, https://datatracker.ietf.org/doc/html/rfc8446

문제 2 — 인증정보 저장

문제

현행 「개인정보의 안전성 확보조치 기준」에 따른 비밀번호 저장 방식으로 가장 적절한 것은?

선택지

  1. 운영자가 원문을 확인할 수 있도록 평문으로 저장한다.
  2. 동일한 고정 키로 암호화하고 그 키를 애플리케이션 소스에 포함한다.
  3. 비밀번호를 복호화되지 않도록 일방향 암호화하여 저장한다.
  4. 비밀번호는 인증정보가 아니므로 별도 보호조치가 필요 없다.

정답

3번

해설

기준 제7조는 비밀번호 등 인증정보를 저장하거나 정보통신망을 통해 송·수신할 때 안전한 암호 알고리즘으로 암호화하도록 하며, 비밀번호를 저장하는 경우에는 복호화되지 않도록 일방향 암호화하여 저장하도록 명시한다. 따라서 원문 복구가 필요한 대칭 암호화와 비밀번호 검증을 위한 일방향 저장을 구분해야 한다. [2]

오답 포인트

“암호화했다”는 표현만으로 저장 방식의 적정성이 결정되지 않는다. 비밀번호는 복호화 키를 보관하는 구조가 아니라 검증 가능한 일방향 저장을 사용해야 하며, 구현 시 표준화된 패스워드 해시와 파라미터 관리도 확인해야 한다. [2]

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201

문제 3 — 침해사고 초기 대응의 우선순위

문제

개인정보가 포함된 서버에서 비정상적인 대량 조회가 발견되었을 때 초기 대응으로 가장 적절한 것은?

선택지

  1. 원인 분석 전까지 의심 계정과 서버를 계속 운영해 업무 중단을 피한다.
  2. 증거를 남기지 않도록 모든 로그를 즉시 삭제한다.
  3. 추가 유출과 확산을 줄이도록 접근을 통제하고, 관련 로그와 시스템 상태를 보존하면서 조직의 사고 대응 절차에 따라 조사한다.
  4. 백업이 있으므로 접근권한 변경이나 계정 점검은 생략한다.

정답

3번

해설

비정상 대량 조회는 계정 탈취나 권한 오남용 가능성을 포함하므로 추가 접근을 통제하고 로그·시스템 상태를 보존하는 것이 우선이다. 이후 권한·계정·네트워크 흐름을 조사하고, 조직의 사고 대응 절차와 관계 기관 신고 기준을 확인해야 한다. 개인정보 안전성 확보조치 기준은 내부 관리계획에 개인정보 유출사고 대응 계획을 포함하도록 한다. [2]

오답 포인트

무조건 시스템을 포맷하면 증거가 사라질 수 있고, 계속 운영하면 유출 범위가 커질 수 있다. 격리·접근통제와 증거 보존을 조율하면서 업무 영향과 복구 절차를 함께 판단해야 한다. [2]

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제4조제1항제14호 및 제8조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201