정보보안기사 학습 문제 44 — 개인정보 최소수집·접속기록·전송구간 암호화
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터의 현행 「개인정보 보호법」·고시와 KISA 안내서를 근거로 작성했다.
문제 1 — 개인정보 최소수집 원칙
문제
현행 「개인정보 보호법」의 개인정보 보호 원칙에 부합하는 설명은?
선택지
- 장래에 필요할 수 있으므로 목적과 무관한 정보도 우선 수집한다.
- 처리 목적에 필요한 범위에서 최소한의 개인정보만 적법하고 정당하게 수집한다.
- 가명처리하면 수집 목적과 무관하게 자유롭게 이용할 수 있다.
- 정확성·최신성은 정보주체가 요청할 때만 관리한다.
정답
2번
해설
개인정보 보호법 제3조는 처리 목적을 명확히 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만 적법하고 정당하게 수집하도록 한다. 목적과 무관한 정보의 선제적 수집은 최소수집 원칙과 맞지 않는다. [1]
오답 포인트
최소수집은 “적게 모으기”만의 문제가 아니라 목적·범위·적법성을 함께 판단하는 원칙이다. 가명처리도 법적·기술적 보호조치를 면제하는 만능 예외가 아니다. [1]
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보 보호법」 제3조, 시행 2026. 9. 11., https://law.go.kr/LSW/lsInfoP.do?lsId=011357
문제 2 — 접속기록의 의미
문제
「개인정보의 안전성 확보조치 기준」에서 말하는 접속기록의 설명으로 옳은 것은?
선택지
- 시스템 장애가 발생했을 때의 운영자 메모만을 뜻한다.
- 접속자의 식별자·접속일시·접속지 정보·처리한 정보주체 정보·수행업무 등을 전자적으로 기록한 것이다.
- 네트워크 장비의 전원 이력만을 뜻한다.
- 개인정보를 처리하지 않은 로그인 기록은 모두 접속기록이 될 수 없다.
정답
2번
해설
현행 기준 제2조는 접속기록을 개인정보처리시스템에 접속해 수행한 업무 내역에 대해 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것으로 정의한다. [2]
오답 포인트
접속기록은 단순 로그인 성공·실패 목록보다 넓은 개념이다. 누가 언제 어디서 어떤 정보주체 관련 업무를 수행했는지 사후 확인할 수 있도록 기록 항목을 이해해야 한다. [2]
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제2조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201
문제 3 — 인터넷망 전송 암호화
문제
개인정보를 인터넷망 구간으로 송·수신할 때의 조치로 가장 적절한 것은?
선택지
- 내부망에서 생성된 데이터라면 인터넷 구간에서도 평문으로 전송한다.
- 안전한 암호 알고리즘을 사용해 전송하고 취약한 프로토콜은 사용하지 않는다.
- 데이터베이스 저장 시 암호화했으므로 전송구간 보호는 불필요하다.
- FTP나 Telnet을 사용하고 파일명만 난독화한다.
정답
2번
해설
고시 제7조는 개인정보를 인터넷망을 통해 송·수신하는 경우 안전한 암호 알고리즘으로 암호화하도록 한다. KISA 안내서도 인터넷 구간 전송에 SSL/TLS 등을 사용하고 SSL v3·TLS 1.0 등 취약한 프로토콜을 사용하지 않도록 안내한다. [2][3]
오답 포인트
저장 암호화와 전송구간 암호화는 서로 대체 관계가 아니다. 저장된 데이터의 보호와 이동 중 도청·변조 위험을 각각 통제해야 한다. [2][3]
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201 [3] 한국인터넷진흥원, 「연계정보 처리 및 안전조치 등에 관한 안내서(2025.6)」, https://identity.kisa.or.kr/web/main/bbs/guide/106?cp