이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC 8446, 국가법령정보센터, KISA 공개 자료를 근거로 작성했다.

문제 1 — TLS 1.3의 보안 목적

문제

RFC 8446이 설명하는 TLS의 주된 보안 목적에 해당하는 것은?

선택지

  1. 네트워크상의 도청·변조·메시지 위조를 방지하도록 통신을 보호한다.
  2. 애플리케이션의 모든 사용자 권한을 자동으로 결정한다.
  3. 서버의 운영체제 취약점을 자동으로 패치한다.
  4. 모든 트래픽의 길이와 송수신 시각을 반드시 숨긴다.

정답

1번

해설

RFC 8446은 TLS가 클라이언트·서버 애플리케이션이 인터넷에서 통신할 때 도청, 변조, 메시지 위조를 방지하도록 설계된다고 설명한다. TLS는 전송 채널 보호 프로토콜이므로 애플리케이션의 인가 정책이나 운영체제 패치를 대신하지 않는다. [1]

오답 포인트

“TLS를 적용하면 애플리케이션 보안이 모두 끝난다”는 오해를 피해야 한다. 인증서 검증, 서버 권한 검사, 입력 검증과 패치 관리는 별도 통제다.

출처 또는 검증 근거

[1] IETF, RFC 8446, 「The Transport Layer Security (TLS) Protocol Version 1.3」, https://datatracker.ietf.org/doc/html/rfc8446

문제 2 — 개인정보 보호법상 안전조치의무

문제

현행 「개인정보 보호법」 제29조의 취지에 맞는 설명은?

선택지

  1. 개인정보처리자는 유출등 방지를 위한 안전조치를 할 의무가 없다.
  2. 내부 관리계획과 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 해야 한다.
  3. 물리적 조치만 하면 기술적 조치는 선택 사항이다.
  4. 안전조치는 사고가 발생한 경우에만 소급해 마련하면 된다.

정답

2번

해설

국가법령정보센터의 현행 제29조는 개인정보처리자가 개인정보의 유출등을 막기 위해 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 안전성 확보 조치를 하도록 규정한다. 조문은 기술적·관리적·물리적 조치를 함께 요구하므로 한 영역만으로 의무를 충족한다고 볼 수 없다. [2]

오답 포인트

“암호화만 하면 된다” 또는 “문서화만 하면 된다”처럼 한 가지 통제로 축소하면 안 된다. 적용 세부사항은 시행령과 관련 고시의 현행본을 함께 확인해야 한다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보 보호법」 제29조, 시행 2026. 9. 11., https://www.law.go.kr/법령/개인정보%20보호법/제29조

문제 3 — 전송구간 보호와 취약 프로토콜

문제

KISA 공개 체크리스트의 전송구간 암호화 취지에 부합하는 운영은?

선택지

  1. 중요정보를 평문 HTTP로 전송하고 화면에서만 숨긴다.
  2. SSLv3·TLS 1.0·TLS 1.1을 활성화해 호환성을 최대화한다.
  3. 서버와 클라이언트 사이 중요정보를 암호화하고 취약한 프로토콜을 비활성화한다.
  4. 쿠키에 비밀번호를 저장해 TLS 설정을 단순화한다.

정답

3번

해설

KISA의 본인확인서비스 이용기관 취약점 자체점검 체크리스트는 서버와 클라이언트 사이 전송구간 암호화를 점검하고, SSLv2·SSLv3·TLS 1.0·TLS 1.1 같은 취약한 프로토콜은 비활성화하며 TLS 1.2 이상 사용을 권고한다. 또한 클라이언트에 비밀번호나 인증·개인정보를 노출하지 않도록 안내한다. [3]

오답 포인트

HTTPS라는 이름만 확인하고 허용된 프로토콜 버전과 인증서 상태를 점검하지 않으면 부족하다. 화면에서 값을 숨기는 것은 네트워크 구간 암호화의 대체 수단이 아니다.

출처 또는 검증 근거

[3] KISA, 「본인확인서비스 이용기관 취약점 자체점검 체크리스트」, 전송구간 암호화 항목, https://identity.kisa.or.kr/web/main/file/download/uu/4b09e2c3f5f544f9a37ba401ec8153c5