이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA의 ISMS-P 인증기준 안내와 국가법령정보센터의 현행 「개인정보의 안전성 확보조치 기준」을 근거로 작성했다.

문제 1 — ISMS-P 인증기준의 구성

문제

KISA가 안내하는 ISMS-P 인증기준의 구성에 대한 설명으로 가장 적절한 것은?

선택지

  1. 물리보안 점검만으로 구성되며 개인정보 처리단계는 평가하지 않는다.
  2. 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성된다.
  3. 네트워크 장비의 취약점 진단 결과만으로 인증 여부를 결정한다.
  4. 인증기준은 기업이 임의로 정하며 공통 기준은 존재하지 않는다.

정답

2번

해설

KISA의 ISMS-P 제도소개는 인증기준을 1. 관리체계 수립 및 운영, 2. 보호대책 요구사항, 3. 개인정보 처리단계별 요구사항으로 안내한다. 따라서 ISMS-P는 단일 기술 장비의 점검이 아니라 관리체계와 보호대책, 개인정보 처리 전 과정을 함께 보는 체계다. [1]

오답 포인트

ISMS-P를 방화벽·백신 같은 개별 제품 인증으로 이해하면 안 된다. 기술적 보호조치뿐 아니라 위험관리, 운영, 개인정보 수집·보유·제공·파기·권리보호까지 범위를 확인해야 한다.

출처 또는 검증 근거

[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, 인증기준 안내, https://pims.kisa.or.kr/main/ispims/intro/

문제 2 — 개인정보처리시스템 접근권한의 원칙

문제

현행 「개인정보의 안전성 확보조치 기준」 제5조의 접근 권한 관리 취지에 가장 부합하는 운영은?

선택지

  1. 모든 개인정보취급자에게 동일한 관리자 권한을 부여한다.
  2. 업무와 무관하더라도 장래 업무를 고려해 권한을 미리 부여한다.
  3. 업무 수행에 필요한 최소 범위로 권한을 차등 부여하고 변경·말소 내역을 기록한다.
  4. 퇴직자의 계정은 감사 편의를 위해 계속 유지한다.

정답

3번

해설

현행 기준은 개인정보처리시스템 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하도록 하고, 개인정보취급자의 업무가 변경되면 지체 없이 권한을 변경 또는 말소하도록 정한다. 또한 권한 부여·변경·말소 내역을 기록하고 최소 3년간 보관하도록 규정한다. [2]

오답 포인트

로그를 남기는 것만으로 과도한 권한이 정당화되지는 않는다. 최소권한은 권한 설계의 원칙이고, 기록은 그 권한 lifecycle을 추적하는 통제다. 공유 계정은 개인별 책임성과 변경 이력 확인을 약화시킨다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201

문제 3 — 개인정보 보관 장소의 물리적 안전조치

문제

개인정보가 포함된 출력물과 이동식 저장매체를 별도 보관하는 조직의 조치로 현행 기준에 부합하는 것은?

선택지

  1. 사무실 책상 위에 두고 문서 파일명만 난독화한다.
  2. 보관 장소의 출입통제 절차를 운영하고, 서류·보조저장매체를 잠금장치가 있는 장소에 보관한다.
  3. USB는 휴대성이 있으므로 반출입 기록을 남기지 않는다.
  4. 물리적 통제는 기술적 암호화가 적용된 경우 면제된다.

정답

2번

해설

현행 기준 제10조는 전산실·자료보관실 등 개인정보 보관 장소를 별도로 두는 경우 출입통제 절차를 수립·운영하도록 하고, 개인정보가 포함된 서류와 보조저장매체를 잠금장치가 있는 안전한 장소에 보관하도록 한다. 보조저장매체의 반출·입 통제 대책도 요구된다. [2]

오답 포인트

암호화는 저장매체의 데이터 보호에 유효하지만 승인되지 않은 출입이나 매체 분실 자체를 통제하지는 않는다. 기술적·관리적·물리적 조치는 대체관계가 아니라 위험에 맞춰 함께 설계한다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제10조, 시행 2026. 7. 1., https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201