정보보안기사 학습 문제 49 — 개인정보 안전조치와 접근권한 관리
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터의 현행 고시와 법령 원문을 근거로 작성했다.
문제 1 — 안전조치의 적용 원칙
문제
「개인정보의 안전성 확보조치 기준」의 안전조치 적용 원칙에 대한 설명으로 가장 적절한 것은?
선택지
- 모든 개인정보처리자에게 규모와 위험에 관계없이 완전히 동일한 보호조치를 적용한다.
- 보유 개인정보의 수와 유형, 정보주체에게 미치는 영향 등을 고려해 환경에 맞는 안전조치를 적용한다.
- 개인정보를 암호화하면 접근권한 관리와 물리적 보호조치는 생략할 수 있다.
- 기술적 조치만 적용하고 관리적·물리적 조치는 권고사항으로 본다.
정답
2번
해설
현행 「개인정보의 안전성 확보조치 기준」 제3조는 개인정보처리자가 처리하는 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려하여 자신의 환경에 맞는 안전성 확보조치를 적용하도록 규정한다. 이 기준은 기술적·관리적·물리적 안전조치에 관한 최소 기준을 정하며, 암호화 하나만으로 다른 보호조치가 대체되는 구조는 아니다. [1]
오답 포인트
“모든 조직에 동일한 통제”라는 표현은 위험 기반 적용 원칙과 맞지 않는다. 반대로 위험을 고려한다는 이유로 관리적·물리적 조치를 임의로 제외할 수도 없다.
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제1조·제3조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201
문제 2 — 개인정보처리시스템 접근권한
문제
개인정보처리시스템의 접근권한 관리에 대한 설명으로 옳은 것은?
선택지
- 업무가 바뀐 취급자의 기존 권한은 감사 편의를 위해 계속 유지한다.
- 하나의 공용 계정을 여러 취급자가 공유하면 책임 추적이 쉬워진다.
- 접근권한은 업무 수행에 필요한 최소 범위로 차등 부여하고, 업무 변경 시 지체 없이 변경 또는 말소한다.
- 접근권한 부여·변경·말소 기록은 보관할 필요가 없다.
정답
3번
해설
고시 제5조는 접근권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하도록 하고, 개인정보취급자 또는 업무가 변경된 경우 지체 없이 권한을 변경하거나 말소하도록 한다. 또한 정당한 사유가 없으면 취급자별 계정을 발급해 공유되지 않도록 해야 한다. [1]
오답 포인트
최소권한은 단순히 최초 권한을 작게 주는 데 그치지 않고, 직무 변경·퇴직·업무 종료 시 권한을 회수하는 생명주기 관리까지 포함한다. 공용 계정은 행위자 식별과 책임 추적을 약화시킨다.
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201
문제 3 — 비밀번호 저장
문제
현행 「개인정보의 안전성 확보조치 기준」에 따른 비밀번호 저장 방법으로 가장 적절한 것은?
선택지
- 운영자가 필요할 때 확인할 수 있도록 평문으로 저장한다.
- 복호화 가능한 대칭키 암호로만 저장하면 충분하다.
- 비밀번호는 복호화되지 않도록 일방향 암호화하여 저장한다.
- 비밀번호는 중요하지 않으므로 접근통제만 적용하고 저장 방식은 제한하지 않는다.
정답
3번
해설
고시 제7조는 비밀번호 등 인증정보를 저장하거나 전송할 때 안전한 암호 알고리즘을 사용하도록 하며, 특히 비밀번호를 저장하는 경우에는 복호화되지 않도록 일방향 암호화하여 저장하도록 규정한다. 따라서 운영자가 원문 비밀번호를 복원할 수 있는 형태는 이 요구와 맞지 않는다. [1]
오답 포인트
“암호화”라는 말을 모두 같은 의미로 사용하면 안 된다. 비밀번호 저장은 원문 복원이 필요하지 않은 검증 목적이므로 일방향 방식이 핵심이며, 실제 구현에서는 적절한 비밀번호 전용 해시·salt·비용 설정도 함께 검토해야 한다. 마지막 구현 세부사항은 이 문항의 법령 문구를 넘어서는 실무 고려사항이다.
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201