이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 한국인터넷진흥원 ISMS-P 공식 안내와 현행 「개인정보의 안전성 확보조치 기준」을 근거로 작성했다.

문제 1 — ISMS-P 인증기준의 구성

문제

KISA가 안내하는 ISMS-P 인증기준의 구성으로 옳은 것은?

선택지

  1. 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
  2. 네트워크 보안, 악성코드 분석, 디지털 포렌식 세 분야로만 구성된다.
  3. 개인정보 처리단계별 요구사항만 심사하고 정보보호 관리체계는 심사하지 않는다.
  4. 조직 규모와 관계없이 모든 인증기준을 법률 조문 그대로 평가한다.

정답

1번

해설

KISA의 ISMS-P 안내는 인증기준을 ① 관리체계 수립 및 운영, ② 보호대책 요구사항, ③ 개인정보 처리단계별 요구사항으로 구분한다. 따라서 ISMS-P를 단순한 기술 취약점 점검으로 이해하면 안 된다. [1]

오답 포인트

ISMS-P는 기술적 보호조치만 보는 인증이 아니다. 관리체계의 운영과 보호대책, 개인정보 처리 전 과정의 요구사항을 함께 구분하는 것이 핵심이다. [1]

출처 또는 검증 근거

[1] 한국인터넷진흥원, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://pims.kisa.or.kr/main/ispims/intro/

문제 2 — 위험 기반 안전조치

문제

현행 「개인정보의 안전성 확보조치 기준」의 안전조치 적용 원칙에 부합하는 것은?

선택지

  1. 모든 개인정보처리자에게 처리 환경과 무관하게 동일한 조치만 적용한다.
  2. 보유 수, 개인정보 유형, 정보주체에게 미치는 영향을 고려해 환경에 맞는 조치를 적용한다.
  3. 위험 분석은 사고가 발생한 뒤에만 수행한다.
  4. 기술적 조치만 적용하면 관리적·물리적 조치는 생략할 수 있다.

정답

2번

해설

기준 제3조는 개인정보처리자가 처리하는 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향을 고려하여 자신의 환경에 맞는 안전성 확보조치를 적용하도록 한다. 이는 일률적 체크리스트보다 위험 기반 접근을 요구한다는 뜻이다. [2]

오답 포인트

위험 기반이라는 말은 보호조치를 임의로 생략해도 된다는 뜻이 아니다. 처리 환경과 위험을 근거로 필요한 기술적·관리적·물리적 조치를 정하고 운영해야 한다. [2]

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제3조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201

문제 3 — 최소 권한과 계정 분리

문제

개인정보처리시스템의 접근 권한 관리로 가장 적절한 것은?

선택지

  1. 업무 수행에 필요한 최소 범위로 권한을 차등 부여하고, 원칙적으로 취급자별 계정을 발급한다.
  2. 모든 취급자에게 동일한 관리자 권한을 부여한다.
  3. 퇴직자의 계정은 감사 편의를 위해 계속 유지한다.
  4. 계정 공유를 허용하고 접속기록으로 사후에 사용자를 추정한다.

정답

1번

해설

기준 제5조는 접근 권한을 업무 수행에 필요한 최소 범위로 차등 부여하도록 하고, 정당한 사유가 없으면 개인정보취급자별 계정을 발급해 공유되지 않도록 한다. 업무 변경이나 종료 때 권한을 변경·말소하는 운영도 함께 필요하다. [2]

오답 포인트

공유 계정은 최소 권한과 책임 추적성을 동시에 약화시킨다. “로그가 있으니 공유해도 된다”는 접근은 개별 행위자 식별이라는 통제 목적에 맞지 않는다. [2]

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201