21. 기출·예상문제: 접근통제·인증·개인정보보호·법령

이 편은 실제 기출 문제가 아닙니다. 정보보호학 3단계 관련 reference/ 기출 원문은 확보되어 있지 않습니다. 아래 20개 문항은 국가평생교육진흥원 독학학위제 정보보호학 3단계 출제기준(평가영역) 의 “접근통제 및 인증기술”, “정보보호 관리 및 관련 법제” 영역을 근거로 새로 구성한 예상 문항입니다. 법령 조문 번호·문구는 요지를 반영해 재구성한 것이며, 실제 조문과 완전히 일치하지 않을 수 있으므로 응시 전 국가법령정보센터 원문을 반드시 대조하십시오.

회차별 실제 출제 문항 수·배점·시간은 매 공고마다 다를 수 있으므로, 응시 전 국가평생교육진흥원 공고 원문을 반드시 확인하십시오.

이 편이 다루는 범위와 접근법

이 편은 13~15편(정보보호 관리체계와 정책·조직, 접근통제·인증·권한관리, 개인정보보호와 ISMS-P), 19편(위험분석·평가·대응)에서 다룬 내용을 문제 형태로 점검합니다. 이 영역은 독학사 3단계에서 세 갈래로 출제됩니다.

분류·매칭형 — 인증 요인 세 가지(지식·소유·존재), 접근통제 모델(DAC·MAC·RBAC) 등 여러 개념을 정확한 이름표에 짝짓는 문제입니다. 설명 문장을 서로 바꿔치기하는 함정이 가장 많습니다.
조문·제도 연결형 — “이 상황은 어느 법령의 어느 의무에 해당하는가”를 묻습니다. 개인정보보호법과 정보통신망법이 겹치는 영역, ISMS와 ISMS-P의 관계를 정확히 알아야 합니다.
계산형 — 정량적 위험분석에서 SLE(단일 손실 예상액)·ARO(연간 발생률)·ALE(연간 손실 예상액)를 구하는 계산 문제입니다. 공식은 간단하지만 문제에서 자산가치·노출계수·발생빈도를 정확히 뽑아내는 독해가 관건입니다.

풀이 순서는 21편과 같습니다. 유형을 먼저 파악하고, 계산형은 대입 과정을 전부 적어 검산하며, 틀린 문항은 13~15·19편으로 돌아가 확인하십시오.

마무리 복습

유형 1 — 인증 요인과 인증 방식

이 유형은 이렇게 접근한다: 인증 요인은 “당신이 아는 것(지식) · 당신이 가진 것(소유) · 당신 자체인 것(존재)” 세 가지로만 나뉩니다. 다중요소인증(MFA)은 같은 요인을 두 번 쓰는 것이 아니라 서로 다른 요인을 조합해야 한다는 점이 자주 출제됩니다.

문제 14지선다

인증 요인(authentication factor)의 분류와 예시로 옳지 않은 것은?

① 지식 기반 요인(something you know) — 비밀번호, PIN 번호② 소유 기반 요인(something you have) — OTP 발생기, 스마트카드③ 존재 기반 요인(something you are) — 지문, 홍채와 같은 생체 정보④ 비밀번호와 PIN 번호를 함께 요구하면 서로 다른 두 요인을 사용하는 진정한 다중요소인증(MFA)이 된다

문제 24지선다

HOTP(HMAC-based One-Time Password)와 TOTP(Time-based One-Time Password)에 대한 설명으로 옳지 않은 것은?

① HOTP는 매번 값이 증가하는 카운터(counter)를 HMAC 연산에 사용해 일회용 비밀번호를 생성한다② TOTP는 카운터 대신 현재 시각(time)을 일정 간격으로 나눈 값을 HMAC 연산에 사용한다③ TOTP는 서버와 클라이언트의 시각이 크게 어긋나면 정상적인 비밀번호도 인증에 실패할 수 있다④ HOTP와 TOTP 모두 대칭키 없이 공개키만으로 일회용 비밀번호를 생성하는 방식이다

문제 34지선다

생체인증(biometric authentication)의 오류율에 대한 설명으로 옳은 것은?

① FAR(False Acceptance Rate, 오인식률)은 등록되지 않은 타인을 본인으로 잘못 인식해 인증을 허용하는 비율이다② FRR(False Rejection Rate, 본인거부율)은 등록되지 않은 타인을 본인으로 잘못 인식하는 비율이다③ FAR과 FRR은 서로 관계없이 독립적으로 조정할 수 있어, 하나를 낮춰도 다른 하나에는 어떤 영향도 없다④ 보안을 최우선으로 하는 시스템에서는 FAR보다 FRR을 항상 높게 설정하는 것이 원칙이다

유형 2 — 접근통제 모델과 권한관리

이 유형은 이렇게 접근한다: DAC·MAC·RBAC는 “누가 접근 권한을 결정하는가”로 구분됩니다. DAC은 자원의 소유자, MAC은 시스템(보안 등급 규칙), RBAC은 역할(직무)입니다. 최소권한·직무분리는 “왜 권한을 나눠 주는가”에 대한 원칙입니다.

문제 44지선다

접근통제 모델 DAC(Discretionary Access Control), MAC(Mandatory Access Control), RBAC(Role-Based Access Control)에 대한 설명이 바르게 짝지어진 것은?

① DAC은 자원의 소유자가 다른 사용자에게 재량으로 접근 권한을 부여하거나 회수할 수 있는 모델이다② MAC은 자원 소유자가 자유롭게 접근 권한을 설정할 수 있는 모델로 소유자 재량이 가장 큰 모델이다③ RBAC은 보안 등급(레이블)을 사용자와 자원에 부여하고 시스템이 정한 규칙으로만 접근을 허용하는 모델이다④ DAC, MAC, RBAC 모두 접근 권한 결정 주체가 항상 시스템 관리자 한 사람으로 고정된다

문제 54지선다

RBAC(Role-Based Access Control)의 구성요소와 원칙에 대한 설명으로 옳지 않은 것은?

① RBAC은 사용자(user)에게 직접 권한을 부여하지 않고 역할(role)을 매개로 권한(permission)을 연결한다② 한 사용자에게 여러 역할을 부여하거나 한 역할에 여러 사용자를 배정하는 다대다 관계가 가능하다③ 직무분리(Separation of Duties) 원칙은 이해 상충이 있는 역할을 한 사용자가 동시에 갖지 못하도록 제한하는 데 활용될 수 있다④ 최소권한(least privilege) 원칙은 모든 사용자에게 조직 내 가능한 모든 권한을 부여한 뒤 필요할 때 제한하는 방식을 뜻한다

문제 64지선다

계정 라이프사이클(account lifecycle) 관리 절차를 순서대로 바르게 나열한 것은? ㉠ 퇴사·직무변경 시 계정을 비활성화하거나 삭제한다 ㉡ 직무에 필요한 최소 권한으로 계정을 생성하고 등록한다 ㉢ 정기적으로 계정과 권한 현황을 검토해 불필요한 권한을 회수한다 ㉣ 직무가 바뀌면 기존 권한을 재검토해 필요한 권한만 재부여한다

① ㉡ - ㉢ - ㉣ - ㉠② ㉠ - ㉡ - ㉢ - ㉣③ ㉡ - ㉣ - ㉠ - ㉢④ ㉢ - ㉡ - ㉣ - ㉠

문제 74지선다

세션 관리 관련 보안 위협에 대한 설명으로 옳지 않은 것은?

① 세션 하이재킹(session hijacking)은 공격자가 정당한 사용자의 세션 식별자(session ID)를 탈취해 그 사용자로 위장하는 공격이다② 세션 고정(session fixation) 공격은 공격자가 미리 정해 둔 세션 ID를 피해자가 로그인할 때 그대로 사용하게 유도하는 공격이다③ 로그인 성공 후 세션 ID를 새로 발급하지 않고 로그인 전과 동일한 값을 계속 사용하면 세션 고정 공격에 더 취약해진다④ 세션 만료 시간을 무한대로 늘려 두면 세션 하이재킹 피해 범위를 줄이는 데 도움이 된다

유형 3 — 개인정보보호법·정보통신망법

이 유형은 이렇게 접근한다: 개인정보 관련 문항은 “이 정보가 개인정보인가 아닌가”, “이 처리 행위가 어느 단계(수집·이용·제공·파기)에 해당하는가”를 먼저 가려낸 뒤, 그 단계에 어떤 의무가 붙는지를 연결하는 순서로 풉니다.

문제 84지선다

개인정보보호법상 개인정보·가명정보·익명정보의 구분에 대한 설명으로 옳지 않은 것은?

① 개인정보는 살아있는 개인에 관한 정보로서 성명·주민등록번호 등에 의해 해당 개인을 알아볼 수 있는 정보다② 가명정보는 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 가명처리한 정보로, 원칙적으로 여전히 개인정보보호법의 적용을 받는다③ 익명정보는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하더라도 더 이상 개인을 알아볼 수 없는 정보로, 개인정보보호법의 적용 대상이 아니다④ 가명정보는 익명정보와 동일하게 별도의 동의 없이도 어떤 목적으로든 자유롭게 이용할 수 있다

문제 94지선다

개인정보보호법상 민감정보와 고유식별정보에 대한 설명으로 옳지 않은 것은?

① 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보는 민감정보에 해당한다② 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호는 고유식별정보에 해당한다③ 민감정보와 고유식별정보는 일반 개인정보와 동일한 수준의 동의 절차만으로 자유롭게 처리할 수 있다④ 주민등록번호는 원칙적으로 법령에 근거가 있는 경우 등 예외적인 경우가 아니면 수집·이용이 제한된다

문제 104지선다

개인정보 처리의 생애주기(수집–이용–제공–파기)에 대한 설명으로 옳지 않은 것은?

① 개인정보 수집 시에는 원칙적으로 정보주체의 동의를 받거나 법령에 근거한 사유가 있어야 한다② 개인정보는 수집 목적 범위를 벗어나서는 원칙적으로 이용하거나 제3자에게 제공할 수 없다③ 개인정보를 제3자에게 제공할 때에는 제공받는 자, 제공 목적, 보유·이용 기간 등을 정보주체에게 알리고 별도 동의를 받는 것이 원칙이다④ 보유기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기해야 하며, 파기 대신 영구 보관하는 쪽을 원칙으로 한다

문제 114지선다

다음 중 개인정보 영향평가(Privacy Impact Assessment, PIA)에 대한 설명으로 가장 적절한 것은?

① 모든 민간기업은 예외 없이 개인정보 영향평가를 의무적으로 수행해야 한다② 공공기관이 일정 규모 이상의 개인정보 파일을 구축·운용·변경하려는 경우 등 법령이 정한 요건에 해당하면 그 시행 전에 미리 개인정보에 미칠 영향을 분석·평가해야 하는 제도다③ 개인정보 영향평가는 개인정보가 유출된 이후 피해 규모를 사후에 산정하는 절차다④ 개인정보 영향평가는 ISMS-P 인증과 완전히 동일한 절차이며 둘 중 하나만 수행하면 된다

문제 124지선다

정보보호 관리체계 인증(ISMS)과 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)의 관계에 대한 설명으로 옳지 않은 것은?

① ISMS-P는 ISMS의 정보보호 관리체계 요구사항에 개인정보 처리 단계별 요구사항을 추가로 결합한 인증제도다② ISMS 인증만 필요한 기업은 ISMS-P의 3개 영역 중 개인정보 처리 단계별 요구사항 없이 관리체계 수립·운영과 보호대책 요구사항만 심사받을 수 있다③ ISMS-P는 개인정보를 처리하지 않는 조직도 반드시 취득해야 하는 인증이며 개인정보 처리 여부와 무관하게 동일한 항목을 심사한다④ ISMS-P 인증기준은 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항의 3개 영역으로 구성된다

유형 4 — 위험분석·평가·대응(계산 포함)

이 유형은 이렇게 접근한다: 정량적 위험분석 계산은 공식 세 개만 순서대로 적용하면 됩니다. ① 단일 손실 예상액 SLE(Single Loss Expectancy) = 자산가치(AV, Asset Value) × 노출계수(EF, Exposure Factor). ② 연간 손실 예상액 ALE(Annualized Loss Expectancy) = SLE × 연간 발생률(ARO, Annualized Rate of Occurrence). 문제에서 자산가치·노출계수(피해 비율)·연간 발생 횟수를 각각 찾아내 대입하면 됩니다.

문제 134지선다

어떤 회사의 고객 데이터베이스 서버 자산가치(AV)는 1억 원이다. 특정 위협(랜섬웨어 감염)이 발생하면 이 자산 가치의 40퍼센트에 해당하는 손실(EF, 노출계수)이 발생하며, 과거 통계상 이 위협은 연평균 0.5회(ARO, 연간발생률) 발생한다. 이 위험의 연간 손실 예상액(ALE)은 얼마인가?

① 2,000만 원② 4,000만 원③ 5,000만 원④ 8,000만 원

문제 144지선다

위 13번 문제의 회사가 이 위험을 줄이기 위해 연간 800만 원짜리 보안 솔루션을 도입하면 EF가 40퍼센트에서 10퍼센트로 낮아진다고 한다. 이 투자의 경제성을 판단하기 위해 ALE 감소분과 투자 비용을 비교한 설명으로 옳은 것은? (ARO는 0.5회로 동일하다고 가정한다)

① 대책 적용 후 ALE는 1,500만 원이 되고, ALE 감소분(500만 원)이 연간 투자 비용(800만 원)보다 작으므로 이 대책은 비용 대비 손실 감소 효과가 투자 비용에 못 미친다② 대책 적용 후 ALE는 500만 원이 되고, ALE 감소분(1,500만 원)이 투자 비용(800만 원)보다 커서 투자할 가치가 있다③ 대책 적용 후에도 ALE는 변하지 않으므로 이 투자는 전혀 의미가 없다④ EF가 낮아지면 ARO도 함께 비례해서 낮아지므로 별도로 ALE를 재계산할 필요가 없다

문제 154지선다

정성적 위험분석과 정량적 위험분석에 대한 설명으로 옳지 않은 것은?

① 정량적 위험분석은 손실액을 화폐 단위로 산정해 위험의 크기를 객관적 수치로 비교할 수 있게 한다② 정성적 위험분석은 위험을 상·중·하 또는 고·중·저 같은 등급으로 평가하며 전문가의 경험과 판단에 크게 의존한다③ 정량적 위험분석은 정확한 화폐 가치 산정에 필요한 데이터가 부족하면 결과의 신뢰도가 떨어질 수 있다④ 정성적 위험분석은 항상 정량적 위험분석보다 객관적이고 정밀한 결과를 낸다

문제 164지선다

위험 대응(처리) 전략인 위험 회피, 위험 전가, 위험 감소, 위험 수용에 대한 설명이 바르게 짝지어진 것은?

① 위험 회피 — 보험 가입을 통해 손실 발생 시 재정적 부담을 제3자에게 이전한다② 위험 전가 — 문제가 되는 서비스나 기능 자체를 폐지해 위협 요인을 원천적으로 없앤다③ 위험 감소 — 방화벽·암호화 등 보안 통제를 적용해 위험의 발생 가능성이나 영향을 낮춘다④ 위험 수용 — 대응 비용이 손실 규모보다 훨씬 크더라도 반드시 모든 위험에 대책을 적용한다

유형 5 — 종합 사례형

이 유형은 이렇게 접근한다: 사례형 문제는 상황 속 인물의 행동을 하나씩 짚어 어떤 원칙 위반인지 판단합니다. 여러 원칙이 동시에 등장할 수 있으므로, 질문이 묻는 원칙이 정확히 무엇인지부터 확인해야 합니다.

문제 174지선다

회사 A의 인사팀 직원 甲(갑)은 급여 지급 시스템의 데이터 입력 권한과 승인 권한을 모두 가지고 있다. 이 상황이 위반하는 원칙과 그 이유로 가장 적절한 것은?

① 최소권한 원칙 위반이다. 급여 데이터를 다루는 데는 어떤 권한도 필요하지 않기 때문이다② 직무분리 원칙 위반이다. 입력과 승인을 한 사람이 동시에 수행하면 부정 입력을 자신이 승인해 통제 없이 처리할 수 있기 때문이다③ 어떤 원칙도 위반하지 않는다. 인사팀 소속이므로 급여 관련 모든 권한을 갖는 것이 당연하기 때문이다④ 가용성 원칙 위반이다. 甲이 시스템에 접근하지 못하면 급여 지급이 지연될 수 있기 때문이다

문제 184지선다

쇼핑몰 B는 회원 가입 시 개인정보 수집·이용에 대한 동의를 받으면서, 이벤트 문자 발송을 위한 마케팅 목적 동의 항목을 필수 동의 항목과 구분하지 않고 하나로 묶어 전체 동의를 받아야만 회원가입이 가능하도록 설계했다. 이 설계에 대한 평가로 가장 적절한 것은?

① 문제없다. 회원가입에 필요한 모든 동의는 한꺼번에 받는 것이 효율적이므로 구분할 필요가 없다② 문제가 될 수 있다. 서비스 제공에 필수적인 동의와 마케팅처럼 선택적인 동의는 구분해 받아야 하며, 선택 동의를 거부해도 서비스 자체는 이용할 수 있어야 한다③ 문제없다. 마케팅 동의도 서비스 이용의 필수 조건으로 볼 수 있으므로 필수 동의와 동일하게 취급해도 된다④ 개인정보보호법과 무관한 사안이며 오직 회사의 내부 정책 문제일 뿐이다

문제 194지선다

접근통제 목록(ACL, Access Control List)과 능력 리스트(Capability List)에 대한 설명으로 옳지 않은 것은?

① ACL은 각 자원(객체)을 기준으로, 그 자원에 어떤 주체가 어떤 권한을 갖는지를 나열한 목록이다② 능력 리스트는 각 주체를 기준으로, 그 주체가 어떤 자원에 어떤 권한을 갖는지를 나열한 목록이다③ 특정 자원에 접근 가능한 모든 주체를 한눈에 파악하려면 능력 리스트보다 ACL 방식이 상대적으로 유리하다④ 특정 주체가 가진 모든 접근 권한을 한눈에 파악하려면 ACL 방식이 능력 리스트보다 상대적으로 유리하다

문제 204지선다

정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)과 개인정보보호법의 관계에 대한 설명으로 옳지 않은 것은?

① 정보통신망법은 정보통신서비스 제공자의 정보보호 조치 의무, 침해사고 대응·신고 의무 등을 규정한다② 과거에는 정보통신서비스 제공자에 대한 개인정보 보호 규정이 정보통신망법에 별도로 있었으나, 이후 법 개정으로 개인정보 보호 관련 규정 상당 부분이 개인정보보호법으로 일원화되었다③ 정보보호 관리체계(ISMS) 인증 의무의 법적 근거는 정보통신망법에 두고 있다④ 정보통신망법과 개인정보보호법은 완전히 무관한 별개의 법으로 어떤 내용도 서로 연계되지 않는다

참고 자료

국가평생교육진흥원 독학학위제: https://bdes.nile.or.kr
개인정보 보호법 (국가법령정보센터): https://www.law.go.kr
정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 안내서 (KISA): https://www.kisa.or.kr