이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 KISA ISMS 안내 및 국가법령정보센터의 현행 개인정보 보호 관련 규정을 근거로 작성했다.

문제 1 — ISMS 인증기준의 영역

문제

KISA가 안내하는 ISMS 인증기준의 구성으로 가장 적절한 것은?

선택지

  1. 관리체계 수립 및 운영, 보호대책 요구사항의 두 영역으로만 구성된다.
  2. 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항으로 구성되며 ISMS는 앞의 두 영역을 대상으로 한다.
  3. 개인정보 처리단계별 요구사항만 심사하고 관리체계는 심사하지 않는다.
  4. 재무감사와 개인정보 영향평가만으로 인증 여부를 결정한다.

정답

2번

해설

KISA의 ISMS-P 제도 안내는 인증기준을 관리체계 수립 및 운영(16개), 보호대책 요구사항(64개), 개인정보 처리단계별 요구사항(21개)으로 제시한다. 그중 ISMS는 관리체계 수립 및 운영과 보호대책 요구사항을 대상으로 하고, 개인정보 처리단계별 요구사항까지 포함하는 통합 유형이 ISMS-P다. [1]

오답 포인트

ISMS와 ISMS-P를 같은 인증 범위로 외우면 안 된다. 개인정보 처리단계별 요구사항의 포함 여부가 두 유형을 구분하는 핵심이다. 또한 인증은 단일 기술 솔루션 보유 여부가 아니라 관리체계와 보호대책의 적합성을 확인하는 제도다.

출처 또는 검증 근거

[1] KISA, 「정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도소개」, https://isms.kisa.or.kr/main/ispims/intro/

문제 2 — 개인정보처리시스템 접근권한 관리

문제

「개인정보의 안전성 확보조치 기준」에 따른 접근 권한 관리로 가장 적절한 것은?

선택지

  1. 업무와 무관해도 모든 취급자에게 동일한 관리자 권한을 부여한다.
  2. 권한 변경·말소 이력은 기록할 필요가 없다.
  3. 업무 수행에 필요한 최소 범위로 차등 부여하고, 권한 부여·변경·말소 내역을 기록해 최소 3년간 보관한다.
  4. 여러 취급자가 하나의 공용 계정을 사용하는 것이 원칙이다.

정답

3번

해설

개인정보의 안전성 확보조치 기준 제5조는 개인정보처리시스템 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하도록 하고, 권한 부여·변경·말소 내역을 기록해 최소 3년간 보관하도록 한다. 정당한 사유가 없으면 취급자별 계정을 발급하고 공유되지 않도록 하는 내용도 포함된다. [2]

오답 포인트

최소권한은 “접속 가능”과 “모든 기능 사용 가능”을 구분하는 원칙이다. 퇴직·전보·업무 종료 시 말소가 늦어지면 잔존 권한이 취약점이 되며, 공용 계정은 행위자 식별과 감사 추적을 어렵게 한다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제5조, https://law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400

문제 3 — 인증정보 저장과 암호화

문제

개인정보처리자가 비밀번호를 저장할 때의 조치로 가장 적절한 것은?

선택지

  1. 복호화 가능한 대칭키 암호화만 적용하면 충분하다.
  2. 평문으로 저장하되 DB 접근통제만 적용한다.
  3. 안전한 암호 알고리즘으로 일방향 암호화해 복호화되지 않도록 저장한다.
  4. 비밀번호는 개인정보가 아니므로 보호 대상이 아니다.

정답

3번

해설

해당 기준 제7조는 비밀번호 등 인증정보를 안전한 암호 알고리즘으로 암호화하도록 하며, 비밀번호를 저장하는 경우에는 복호화되지 않도록 일방향 암호화해 저장하도록 규정한다. 따라서 원문 비밀번호를 되살릴 필요가 없는 검증용 저장에서는 적절한 해시 기반 방식과 별도 방어 설계가 중요하다. [2]

오답 포인트

암호화(encryption)는 일반적으로 복호화 가능성을 전제로 하지만 비밀번호 저장은 원문 복원이 필요하지 않다. “DB가 외부에 노출되지 않는다”는 가정만으로 평문 저장을 정당화할 수 없다.

출처 또는 검증 근거

[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제7조, https://law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400