이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터의 현행 법령·행정규칙을 근거로 작성했다.

문제 1 — 개인정보 안전성 확보조치

문제

「개인정보의 안전성 확보조치 기준」의 취지에 가장 부합하는 설명은?

선택지

  1. 모든 개인정보처리자에게 조직 규모와 위험에 관계없이 동일한 통제만 적용한다.
  2. 개인정보의 분실·도난·유출·위조·변조·훼손을 막기 위해 기술적·관리적·물리적 안전조치의 기준을 둔다.
  3. 개인정보를 암호화하면 접근권한 관리와 접속기록 점검은 생략할 수 있다.
  4. 내부 관리계획은 물리적 보관 장소가 없는 경우에만 수립한다.

정답

2번

해설

해당 기준은 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 기술적·관리적·물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적으로 한다. 또한 처리하는 개인정보의 보유 수, 유형 및 정보주체에 미치는 영향 등을 고려해 환경에 맞는 조치를 적용하도록 한다. [1]

오답 포인트

암호화는 여러 보호조치 중 하나일 뿐이며 접근권한, 접근통제, 접속기록, 악성프로그램 대응 등 다른 통제를 대체하지 않는다. “최소 기준”이라는 표현도 위험에 따른 추가 조치를 금지한다는 뜻이 아니다.

출처 또는 검증 근거

[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」, https://www.law.go.kr/LSW//admRulInfoP.do?admRulSeq=2100000281400&chrClsCd=010201

문제 2 — 침해사고 신고 시기

문제

정보통신서비스 제공자가 침해사고 발생 사실을 알게 된 경우, 정보통신망법상 신고에 대한 설명으로 옳은 것은?

선택지

  1. 원인 분석이 모두 끝난 뒤 30일 이내에 신고하면 된다.
  2. 발생 사실을 알게 된 때부터 24시간 이내에 정해진 사항을 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고한다.
  3. 이용자에게만 통지하면 관계 기관 신고는 면제된다.
  4. 침해사고 신고는 금융회사에만 적용된다.

정답

2번

해설

정보통신망법 제48조의3은 정보통신서비스 제공자가 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 발생 일시와 대응 현황 등 대통령령으로 정하는 사항을 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 규정한다. 시행령은 발생 일시·원인·피해내용, 조치사항 등 대응 현황, 담당 부서와 연락처를 신고사항으로 둔다. [2][3]

오답 포인트

신고 기산점은 “모든 조사가 끝난 때”가 아니라 침해사고 발생 사실을 알게 된 때다. 초기 신고 후 추가로 확인되는 사실도 정해진 절차에 따라 추가 신고 대상이 될 수 있다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3, https://www.law.go.kr/LSW/lsInfoP.do?lsId=000030 [3] 국가법령정보센터, 「정보통신망법 시행령」 제58조의2, https://www.law.go.kr/LSW/nwRvsLsInfoR.do?lsNm=&cptOfi=&searchType=&lsKndCd=&p_spubdt=&p_epubdt=&p_spubno=&p_epubno=&pageIndex=1&chrIdx=0&sortIdx=0&lsiSeq=264903

문제 3 — 전자금융기반시설 취약점 분석·평가

문제

「전자금융거래법」상 전자금융기반시설 취약점 분석·평가에 대한 설명으로 옳은 것은?

선택지

  1. 분석·평가 결과는 내부 보관만 하고 금융위원회에 보고하지 않는다.
  2. 금융회사 및 전자금융업자는 결과에 따른 필요한 보완조치의 이행계획을 수립·시행해야 한다.
  3. 분석 대상은 물리적 시설만이며 정보기술 조직과 내부통제는 제외된다.
  4. 취약점이 발견되어도 이행계획을 수립할 의무는 없다.

정답

2번

해설

전자금융거래법 제21조의3은 금융회사 및 전자금융업자가 전자금융기반시설의 정보기술부문 조직·시설·내부통제, 전자적 장치·접근매체, 침해사고 대응조치 등을 분석·평가하고 결과를 금융위원회에 보고하도록 한다. 또한 결과에 따른 필요한 보완조치의 이행계획을 수립·시행해야 한다. [4]

오답 포인트

취약점 평가는 서버 장비만 보는 행위가 아니다. 조직·내부통제·접근매체·사고 대응까지 범위에 포함되며, 평가 결과는 보완조치와 이행계획으로 연결되어야 한다.

출처 또는 검증 근거

[4] 국가법령정보센터, 「전자금융거래법」 제21조의3, https://law.go.kr/lsLinkCommonInfo.do?lsJoLnkSeq=1025295313&chrClsCd=010202