정보보안기사 학습 문제 62 — TLS 1.3·접속기록·망분리 통제
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 IETF RFC 8446 및 국가법령정보센터의 개인정보 안전조치 기준을 바탕으로 작성했다.
문제 1 — TLS 1.3의 보안 목적
문제
IETF RFC 8446이 규정하는 TLS의 기본 목적에 대한 설명으로 가장 적절한 것은?
선택지
- 인터넷에서 애플리케이션 간 통신의 도청, 변조, 메시지 위조를 방지하도록 설계된 프로토콜이다.
- 모든 서버 운영체제의 취약점을 자동으로 제거하는 패치 프로토콜이다.
- DNS 레코드의 권한 있는 변경을 보장하는 서명 프로토콜이다.
- 데이터베이스 내부 권한을 관리하는 접근통제 제품이다.
정답
1번
해설
RFC 8446은 TLS 1.3을 정의하며 TLS가 애플리케이션이 인터넷을 통해 통신할 때 도청, 변조, 메시지 위조를 방지하도록 설계되었다고 설명한다. TLS는 전송 경로의 보호와 상대방 인증을 지원하지만, 운영체제 패치·DNS 권한관리·DB 권한관리 자체를 대신하지는 않는다. [1]
오답 포인트
TLS를 적용했다고 애플리케이션의 모든 보안 문제가 해결되는 것은 아니다. 인증서 검증, 안전한 키 관리, 종단 시스템의 취약점, 애플리케이션 입력검증은 별도 통제 대상이다.
출처 또는 검증 근거
[1] IETF, RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3, Abstract, https://datatracker.ietf.org/doc/html/rfc8446
문제 2 — 개인정보 접속기록 보관기간
문제
「개인정보의 안전성 확보조치 기준」에 따른 접속기록 보관에 대한 설명으로 가장 적절한 것은?
선택지
- 모든 개인정보처리시스템은 접속기록을 보관할 의무가 없다.
- 원칙적으로 1년 이상 보관·관리하며, 5만명 이상의 정보주체 개인정보를 처리하는 시스템 등 일부 경우에는 2년 이상 보관·관리한다.
- 접속기록은 사고가 발생한 경우에만 사후 작성하면 된다.
- 정보주체의 조회 행위와 취급자의 업무 행위를 구분하지 않고 삭제한다.
정답
2번
해설
해당 기준 제8조는 개인정보처리시스템에 접속한 자의 접속기록을 원칙적으로 1년 이상 보관·관리하도록 하고, 5만명 이상의 정보주체에 관한 개인정보를 처리하는 시스템 등 정해진 경우에는 2년 이상 보관·관리하도록 한다. 접속기록은 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등으로 구성된다. [2]
오답 포인트
로그를 “남긴다”는 말만으로 충분하지 않다. 보관기간, 기록 항목, 위·변조 방지와 정기 점검을 함께 설계해야 사고 조사와 오남용 탐지가 가능하다. 사후에 기억으로 작성한 기록은 원래의 접속기록을 대체하지 못한다.
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제2조제3호·제8조, https://law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400
문제 3 — 대규모 개인정보처리자의 인터넷망 차단
문제
「개인정보의 안전성 확보조치 기준」의 인터넷망 차단 조치에 대한 설명으로 가장 적절한 것은?
선택지
- 모든 조직의 모든 컴퓨터에서 인터넷을 영구적으로 차단해야 한다.
- 전년도 말 기준 직전 3개월간 저장·관리되는 이용자 수가 일일평균 100만명 이상인 경우, 일정 권한을 가진 취급자의 컴퓨터 등에 대해 기준에 따른 인터넷망 차단 조치를 적용한다.
- 인터넷망 차단은 개인정보와 무관한 물리보안 조치이므로 기준에 없다.
- 다운로드·파기 권한이 있는 취급자는 인터넷망 차단 대상에서 항상 제외된다.
정답
2번
해설
기준 제6조의2는 전년도 말 기준 직전 3개월간 해당 개인정보가 저장·관리되는 이용자 수가 일일평균 100만명 이상인 개인정보처리자에 대해, 개인정보처리시스템의 접근 권한을 설정할 수 있거나 개인정보를 다운로드 또는 파기할 수 있는 취급자의 컴퓨터 등에 인터넷망 차단 조치를 요구한다. 클라우드컴퓨팅서비스를 이용하는 경우와 위험 분석에 따른 예외·보완 조건도 조문에서 함께 확인해야 한다. [2]
오답 포인트
망분리는 “모든 장비 무조건 차단”이라는 단순 구호가 아니다. 대상 규모, 담당자의 권한, 클라우드 사용 여부, 위험 분석 및 예외 요건을 조문과 내부 통제로 함께 판단해야 한다.
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제6조의2, https://law.go.kr/admRulLsInfoP.do?admRulSeq=2100000281400