17년 2회차

(가)는 RAID-1, (나)는 RAID-5다.

미러링은 한 디스크의 데이터를 다른 디스크에 그대로 복제해 두는 방식이므로 RAID-1이다. 저장 효율은 50%로 낮지만 한 쪽이 고장 나도 곧바로 서비스가 유지된다.

데이터를 여러 디스크에 분산하면서 패리티까지 전 디스크에 나눠 저장하는 구성은 RAID-5다. 패리티를 한 디스크에만 몰아 두는 것은 RAID-4여서, '패리티 정보 또한 여러 디스크에 분산'이라는 조건과 맞지 않는다.

공유이름·리소스·설명 열로 현재 공유 목록을 출력하는 명령은 net share다.

출력에 보이는 C$, D$, ADMIN$(C:\Windows), IPC$는 윈도우가 자동 생성하는 관리 목적 기본 공유이고, Share Dir(D:\Share)은 사용자가 만든 공유다. 이름 끝의 $는 탐색기 목록에 보이지 않는 숨김 공유를 뜻한다.

• net use — 원격 공유를 내 드라이브 문자로 연결하거나 연결 상태를 보는 명령
• net file — 공유 자원에 열려 있는 파일·세션을 보는 명령
• net accounts — 암호 길이·만료 같은 계정 정책을 조회·설정하는 명령

Cookie 헤더는 웹 브라우저(클라이언트)가 서버로 요청을 보낼 때 저장된 쿠키 값을 실어 보내는 데 사용된다.

반대로 Set-Cookie 헤더는 서버가 응답으로 클라이언트에 쿠키를 발급·설정할 때 사용되므로 방향이 다르다.

운영체제는 사용자-하드웨어 인터페이스 제공, 오류 검사 및 복구, 자원 스케줄링·할당을 주요 기능으로 한다.

고급 언어로 작성된 프로그램을 기계어로 번역하는 작업은 컴파일러(또는 인터프리터)의 역할이며, 운영체제 자체의 기능이 아니다.

malloc·free로 할당·해제되는 영역을 노린 공격이므로 힙 버퍼 오버플로우다.

힙에는 스택과 달리 함수의 반환 주소가 존재하지 않는다. 그래서 반환 주소를 덮어써 쉘 코드로 분기시키는 방법을 쓸 수 없고, 지문처럼 힙에 놓인 포인터 값을 덮어쓰는 방식이 일반적으로 동원된다.

레이스 컨디셔닝은 임시파일 처리 등의 시간 차를 노린 경쟁 조건 공격이고, RTL은 스택의 반환 주소를 라이브러리 함수 주소로 바꾸는 기법이라 지문의 설명과 다르다.

인터넷 익스플로러의 보안 설정 영역은 인터넷, 로컬 인트라넷, 신뢰할 수 있는 사이트, 제한된 사이트 네 가지로 고정되어 있다.

"보안 등급 지정 가능한 사이트"는 이러한 네 가지 고정 영역에 속하지 않는, 실재하지 않는 명칭이다.

wtmp는 시스템에 누가 언제 로그인·로그아웃했는지를 누적하여 기록하는 로그 파일이다.

utmp는 현재 로그인 중인 사용자 상태만 담고, lastlog는 사용자별 최근 접속 시각만 기록하며, xferlog는 FTP 파일 전송 기록을 남기므로 성격이 다르다.

하드웨어를 직접 제어하면서 프로그램에 일관된 서비스를 제공하는 운영체제의 핵심부는 커널(Kernel)이다.

지문이 열거한 프로세스·파일 관리, 입출력장치 관리, 메모리 관리, 시스템 호출 인터페이스는 모두 커널의 기본 기능이다. 응용 프로그램은 하드웨어를 직접 만지지 못하고 시스템 호출을 통해 커널에 요청한다.

• 셸(Shell) — 사용자의 명령을 해석해 커널에 전달하는 명령어 해석기
• 데몬(Daemon) — 백그라운드에 상주하며 요청을 처리하는 서비스 프로세스
• 유틸리티 — 커널 위에서 동작하는 보조 응용 프로그램

인터넷 브라우저 공격에 대응하려면 ActiveX 사용을 제한하거나 실행 확인을 거치도록 설정해야 하며, 무조건 "사용함"으로 켜두면 악성 ActiveX 컨트롤이 실행될 위험이 오히려 커진다.

• 백신 프로그램 설치는 악성코드 탐지·차단에 유효한 대응이다.
• 신뢰할 수 없는 사이트 접속을 피하는 것은 기본적인 예방 수칙이다.
• 브라우저 보안패치를 최신으로 유지하는 것은 취약점 공격을 막는 핵심 대응이다.

여러 프로세스가 동일한 자원을 동시에 점유하려고 경쟁하는 상황을 이용하는 공격은 레이스 컨디션(Race Condition) 공격이다.

파일 접근 시점의 틈을 노려 검사와 사용 사이(TOCTOU)에 대상을 바꿔치기하는 방식이 대표적이며, SQL·LDAP·XML 인젝션과는 공격 원리가 다르다.

MFT(Master File Table)는 NTFS 볼륨의 모든 파일과 디렉터리에 대한 메타데이터(위치, 크기, 권한 등)를 담고 있는 핵심 구조체이다.

FAT는 FAT 파일시스템의 구조이고, $AttrDef·$Logfile은 NTFS의 개별 메타파일로 각각 속성 정의와 트랜잭션 로그만 담을 뿐, 전체 파일 정보를 총괄하지 않는다.

NTFS의 클러스터당 섹터 수는 항상 2의 거듭제곱 값(1, 2, 4, 8, 16, 32...)으로만 설정할 수 있다.

6은 2의 거듭제곱이 아니므로 Sector_per_cluster 값으로 지정할 수 없다.

공격자를 유인해 행위 정보를 수집하고 체류 시간을 늘리는 시스템은 허니팟(Honeypot)이다.

허니팟은 실제 서비스처럼 꾸며 놓은 미끼다. 공격자가 오래 머무를수록 공격 수법과 도구를 관찰할 수 있고, 그 시간만큼 관리자는 대응 시간을 확보한다.

탐지에 그치는 IDS, 탐지 후 차단까지 하는 IPS, 여러 보안 기능을 한 장비에 통합한 UTM은 모두 실제 자산을 지키는 방어 장비여서 '공격자를 머물게 한다'는 목적과 성격이 다르다.

NTFS가 지원하는 파일 암호화 기능은 EFS(Encrypting File System)라고 부르며, "NES"라는 명칭은 존재하지 않는다.

• NTFS는 파일 단위까지 세밀하게 접근 권한을 설정할 수 있다.
• 사용자가 여러 그룹에 속하면 각 그룹의 권한이 누적되어 적용된다.
• "쓰기" 권한에는 하위 디렉터리·파일 생성 권한이 포함된다.

논리 폭탄(Logic Bomb)은 특정 날짜나 환경변수 값 같은 사전 정의된 조건이 충족되는 순간에 악성 행위를 실행하도록 설계된 코드다.

보안 hole을 몰래 심어두는 것은 백도어(트랩도어), 컴파일러에 악성코드를 은닉하는 것은 트로이목마 유형의 변형, 자기 복제 기능은 바이러스·웜의 특징이므로 논리 폭탄과는 구분된다.

VBS(Visual Basic Script) 악성코드는 이메일 첨부파일 형태로 전파될 수 있는 대표적인 스크립트 악성코드이다.

웹브라우저에서 실행되어도 스크립트 원문은 소스 보기로 쉽게 확인할 수 있고, 독립형으로도 웜 형태 제작이 가능하며, 확장자는 .vbs이지 VBA가 아니다.

윈도우 레지스트리의 주요 하이브는 HKEY_CLASSES_ROOT, HKEY_LOCAL_MACHINE, HKEY_USERS, HKEY_CURRENT_USER, HKEY_CURRENT_CONFIG 다섯 가지이다.

"HKEY_CURRENT_SAM"이라는 하이브는 존재하지 않으며, SAM 정보는 HKEY_LOCAL_MACHINE 아래의 하위 키로 저장된다.

HKEY_CURRENT_USER는 현재 로그인한 사용자 한 명에 대한 설정 정보만 저장하며, 전체 사용자 정보는 HKEY_USERS에 저장된다.

HKEY_CURRENT_CONFIG, HKEY_LOCAL_MACHINE, HKEY_CLASSES_ROOT에 대한 설명은 각각 실행 시 수집 정보, 하드웨어·소프트웨어 공통 정보, 파일 연결·OLE 정보로 옳다.

btmp는 로그인 실패 시도 기록을 남기는 로그 파일이며, syslog 데몬이 일괄 생성하는 로그와는 다른 별도 파일이다.

wtmp는 로그인·로그아웃 이력, utmp는 현재 로그인 상태, pacct는 사용자가 입력한 명령과 사용 시간·tty 정보를 기록한다는 설명은 모두 옳다.

위조한 MAC 주소를 계속 흘려 스위치의 주소 테이블을 넘치게 만드는 공격은 스위치 재밍(Switch Jamming)이다.

주소 테이블이 가득 차면 스위치는 목적지 포트를 찾지 못해 모든 포트로 프레임을 뿌리는 더미 허브 상태가 된다. 그래서 공격자는 자기 포트에 앉아 다른 세그먼트의 트래픽까지 스니핑할 수 있다.

ARP 스푸핑과 ARP 리다이렉트, ICMP 리다이렉트는 ARP 캐시나 라우팅 경로를 속이는 방식이어서 주소 테이블 오버플로우라는 지문의 핵심과 맞지 않는다.

NAT는 사설 IP 주소를 공인 IP로 변환해 라우팅이 가능하게 하고, 공인 IP 절약과 외부에서 내부 호스트로의 직접 접근 차단이라는 보안상 이점을 제공한다.

주소 디렉터리 데이터를 저장하고 로그온·인증·디렉터리 검색을 관리하는 것은 디렉터리 서비스(도메인 컨트롤러)의 역할이며, NAT의 기능이 아니다.

Well-known 포트(0~1023번)는 클라이언트가 아니라 서버 측에서 특정 서비스를 제공하는 응용에 배정되는 포트 번호이다.

연결 식별에 IP·포트·프로토콜 종류가 쓰인다는 것, 포트 범위가 0~65535이며 TCP·UDP 각각 별도로 부여된다는 것, SSH(22)·SMTP(25)·FTP(20,21)·DNS(53) 같은 잘 알려진 서비스 포트 예시는 모두 옳은 설명이다.

sniffing, eavesdropping, tapping은 모두 통신 내용을 몰래 엿듣거나 도청하는 수동적 공격을 가리키는 용어로 개념상 서로 유사하다.

반면 spoofing(스푸핑)은 출발지 정보 등을 위조해 상대를 속이는 능동적 기만 공격이므로 나머지 셋과 개념 범주가 다르다.

IPS도 정상 트래픽을 공격으로 오판하는 오탐(False Positive) 가능성을 완전히 배제할 수 없으며, 이는 IDS와 마찬가지로 남아 있는 한계다.

인가된 사용자의 악의적 행위 차단이 어려운 점, 탐지 이후 방화벽 연동 외에 별다른 차단 수단이 없던 점, 악성코드 확산·취약점 공격 대응 필요성은 모두 IPS가 등장하게 된 실제 배경이다.

winlogon이 넘긴 로그온 정보를 실제로 검증하는 프로세스는 lsass.exe다.

lsass.exe는 로컬 보안 인증 서브시스템(Local Security Authority Subsystem Service)으로 사용자 인증, 보안 정책 적용, 보안 감사 로그 기록을 담당한다. 강제 종료하면 시스템이 재부팅될 만큼 핵심이어서 악성코드가 이름을 사칭하는 일도 잦다.

• smss.exe — 부팅 초기에 세션을 만드는 세션 관리자
• services.exe — 서비스의 시작·중지를 관리하는 서비스 제어 관리자
• winmgmt.exe — WMI 관련 관리 정보를 제공하는 프로세스

UTM의 핵심 장점은 여러 보안 기능의 정책을 하나로 통합 관리할 수 있다는 데 있으며, 이를 통해 개별 전문가 없이도 일관된 운영이 가능해진다.

보안정책이 개별적으로 적용되어 전문가 운영이 필요하다는 설명은 UTM의 통합 관리라는 본래 취지와 반대되는 내용이다.

Snort 규칙 옵션 중 content, depth, offset은 패킷의 payload(데이터 영역)를 검사하기 위한 옵션이다.

ttl은 IP 헤더 값을 검사하는 비페이로드(non-payload) 검사 옵션으로, payload 데이터 검사 옵션에는 포함되지 않는다.

IPv6는 128비트 주소체계를 사용하며, 이는 IPv4(32비트)보다 크지만 "256비트"는 잘못된 수치다.

8개 필드로 구성된 기본 헤더와 가변 길이 확장 헤더를 사용하는 점, 규모 조정이 가능한 라우팅과 미사용 IP 통제가 가능한 점, 보안·인증 확장 헤더로 인터넷 계층 보안을 강화한 점은 모두 옳은 설명이다.

인터넷 위에 가상의 전용 통로를 만들어 데이터를 주고받게 하는 VPN 기술은 터널링이다.

터널링은 원래의 패킷을 다른 프로토콜 패킷 안에 캡슐화해 보내고 도착지에서 껍데기를 벗겨 복원한다. 이 캡슐화 덕분에 공중망을 지나면서도 외부의 주소 체계나 간섭에서 분리된다. PPTP, L2TP, IPSec이 대표적인 터널링 프로토콜이다.

인증기술과 접근통제기술도 VPN에 함께 쓰이지만 경로를 만드는 기술이 아니라 신원 확인과 권한 제한을 맡는 기술이므로 빈칸에 들어갈 수 없다.

UDP flooding 공격 시 목적지 포트에 대응하는 서비스가 없으면, 수신 호스트는 ICMP Port Unreachable(도달 불가) 메시지를 응답으로 보낸다.

공격자가 이 응답량을 이용해 대상 시스템에 부하를 유발하는 것이 UDP flooding의 기본 원리다.

NAC(Network Access Control)는 네트워크에 접속하는 각 단말(endpoint)에 에이전트를 설치해 백신·패치관리·매체제어 등 다양한 보안 기능을 통합적으로 수행하고, 정책을 준수하지 않는 단말의 접근을 통제하는 솔루션이다.

IPS·방화벽은 네트워크 경계에서 동작하고 UTM은 게이트웨이 장비에 여러 기능을 통합한 것이어서, 단말(endpoint) 설치를 전제로 하지 않는다는 점에서 차이가 있다.

VPN은 터널링을 통해 데이터 기밀성, 데이터 무결성, 접근통제(인증 포함)를 제공하는 것을 핵심 기능으로 한다.

"시스템 무결성"은 호스트 자체의 변조 여부를 보장하는 개념으로, VPN이 직접 보장하는 통신 보안 기능과는 거리가 멀다.

오용탐지(Misuse Detection)는 이미 알려진 공격 패턴을 시그니처 분석, 상태전이 분석, 페트리넷 등으로 정의해 매칭하는 방식이다.

데이터마이닝 기법은 정상·비정상 패턴을 통계적으로 학습해 알려지지 않은 공격까지 찾아내는 이상탐지(Anomaly Detection)에 주로 활용되므로 오용탐지 방법으로는 적절하지 않다.

traceroute는 목적지까지 패킷이 거쳐가는 경유 라우터 경로를 추적하는 도구로, 외부로 나가는 경로를 보여줄 뿐 컴퓨터 자신의 내부 네트워크 상태를 보여주는 명령어는 아니다(그 역할은 netstat·ipconfig 등이 한다).

목적지까지의 도달 여부 확인, 네트워크·라우팅 문제 진단 용도라는 설명은 옳으며, 결과가 *로 표시되면 침입차단시스템 등 접근통제 장치에 의해 패킷이 차단되었음을 짐작할 수 있다는 설명도 옳다.

빈칸에는 차례대로 비트 스트림, 링크, 오류 제어가 들어간다.

1계층 물리계층은 데이터를 해석하지 않고 0과 1의 비트 스트림 그대로 전송 매체에 실어 보낸다. 프레임 단위로 다루는 것은 2계층이므로 첫 빈칸에 '프레임'이 올 수 없다.

2계층 데이터 링크 계층은 인접 노드 사이의 물리적 링크를 통해 전송하며 동기화·오류 제어·흐름 제어를 제공한다. 마지막 빈칸은 전송계층이 종단 간 신뢰성 있는 전송을 위해 제공하는 기능이므로 통신량 제어·다중화와 함께 묶이는 오류 제어가 알맞다.

파일의 메타데이터, 즉 소유자·소유그룹·접근 권한·크기·시간 정보와 데이터 블록 포인터를 모아 두고 파일마다 고유 번호를 부여하는 영역은 inode 블록이다.

지문의 고유한 식별번호가 결정적 단서로, 유닉스는 파일 이름이 아니라 inode 번호로 파일을 식별하며 디렉터리는 이름과 inode 번호의 쌍만 보관한다.

• 부트 블록은 시스템 기동용 부트스트랩 코드가 들어가는 첫 블록이라 개별 파일 속성과 무관하다.
• 슈퍼 블록은 파일시스템 전체의 크기·빈 블록 수·inode 개수 같은 관리 정보를 담는다.
• 데이터 블록은 파일의 실제 내용이 저장되는 영역이다.

스텔스 스캔은 완전한 TCP 연결을 맺지 않고 정상 트래픽으로 위장해 탐지를 피하는 기법으로, XMAS, TCP Fragmentation, ACK 스캔이 대표적이다.

UDP 스캔은 TCP 3-way handshake 은닉과는 별개로 UDP 프로토콜 자체의 특성을 이용하는 스캔이어서, TCP 기반 스텔스 스캔 분류에 포함되지 않는다.

IDS는 일반적으로 데이터 수집 → 가공 및 축약 → 분석 및 침입 탐지의 단계를 거쳐 동작한다.

트래픽 분산 및 로드 밸런싱은 네트워크 부하 분산 장비의 역할로, IDS 고유의 동작 단계에 해당하지 않는다.

공격자가 자신의 MAC 주소를 라우터의 MAC 주소인 것처럼 위조한 ARP Reply를 주기적으로 브로드캐스트하여 스위칭 네트워크의 다른 호스트들이 자신을 라우터로 믿게 만드는 공격을 ARP Redirect(ARP 스푸핑)라 한다.

Switching Jamming은 MAC 주소 테이블을 포화시키는 공격, ICMP Redirect는 ICMP 프로토콜을 이용한 경로 조작 공격, DNS Spoofing은 도메인 이름 해석 결과를 위조하는 공격으로 원리가 다르다.

관계형 데이터베이스에서 도메인(Domain)은 하나의 속성(Attribute)이 가질 수 있는 모든 가능한 값의 집합을 의미한다.

튜플은 릴레이션의 한 행, 키는 튜플을 식별하는 속성 집합, 속성은 열 자체를 가리키므로 값의 범위를 뜻하는 도메인과는 구분된다.

한국인터넷진흥원·행정안전부의 웹 취약점 가이드들이 공통으로 다루는 것은 XSS, CSRF, SQL Injection처럼 애플리케이션 코드·로직의 결함을 이용하는 취약점이다.

GET Flooding은 대량의 요청을 보내 서비스 가용성을 마비시키는 DDoS 공격 기법으로, 웹 애플리케이션 자체의 코드 취약점과는 성격이 다르다.

TRACE 메소드는 서버가 받은 요청 메시지를 그대로 돌려보내 클라이언트-서버 간 경로를 진단하는 데 사용되는 메소드다.

요청 받은 리소스에서 가능한 통신 옵션 정보를 요청하는 것은 OPTIONS 메소드의 역할이므로 TRACE에 대한 설명으로 옳지 않다.

GET·POST·PUT에 대한 설명은 각각 다운로드, 서버 처리 요청, 리소스 저장 요청이라는 본래 정의와 일치한다.

전자지불시스템의 대표적 위험 요소로는 이중사용, 위조, 거래부인이 꼽힌다.

"접근성"은 오히려 서비스가 갖춰야 할 가용성 관련 요건에 가까울 뿐, 그 자체가 전자지불시스템의 위협 요소로 분류되지는 않는다.

데이터베이스 보안 유형에는 접근 제어, 허가 규칙, 암호화처럼 데이터를 보호하기 위한 통제 방법이 포함된다.

집합(Aggregation)은 개별적으로는 민감하지 않은 정보들을 조합해 민감한 정보를 유추해내는 추론 위협 현상을 가리키는 개념으로, 보안을 구현하는 통제 유형이 아니라 오히려 막아야 할 위험에 해당한다.

루트 디렉터리부터 훑어 root 소유이면서 setuid 비트가 붙은 파일을 찾아 목록을 출력하려면 빈칸은 앞에서부터 user, perm, exec 순서여야 한다.

각 옵션이 맡는 역할은 다음과 같다.

• -user root : 파일 소유자가 root인 것만 고른다.
• -perm 4000 : 권한 비트 4000(setuid)이 설정된 것만 고른다.
• -exec ls -l { } : 찾아낸 파일마다 뒤의 명령을 실행해 상세 목록을 보여 준다.

순서를 바꾸면 root가 소유자 조건이 아니라 권한 값으로, 4000이 실행할 명령의 자리로 해석되어 명령 자체가 성립하지 않는다.

SIM은 이동통신 가입자 인증에 특화된 모듈로, 범용적인 암호 키 보호용 하드웨어로 분류되지 않는다.

스마트카드, HSM(Hardware Security Module), TPM(Trusted Platform Module)은 각각 개인용 인증, 서버급 키 관리, 플랫폼 신뢰 부팅을 위해 암호 키를 하드웨어적으로 안전하게 저장·연산하도록 설계된 전용 보안 장치다.

반면 SIM은 가입자 식별번호(IMSI) 등 이동통신망 접속에 필요한 정보를 담는 것이 주된 목적이므로, 암호 키 보호 기술의 범주에서는 거리가 멀다.

FTP의 기본 전송모드는 active 모드이며, 이를 passive 모드로 바꿀지는 클라이언트가 결정한다.

클라이언트가 PASV 명령을 보내면 서버가 이에 응답해 데이터 연결 방식을 passive로 전환하므로, 모드 전환의 주도권은 서버가 아니라 클라이언트에 있다.

SSL은 핸드셰이크(제어) 프로토콜과 레코드 프로토콜 2계층 구조로 동작하며, 하이퍼링크 앵커에 서버 식별·암호 매개변수를 지시하는 방식은 SSL이 아니라 S-HTTP(Secure HTTP)의 특징이다.

S-HTTP는 HTML 문서의 앵커 태그 속성에 보안 요구사항을 기술해 요청 단위로 보안을 적용하는 방식인 반면, SSL은 TCP 위에서 세션 단위로 암호화 채널을 만드는 프로토콜이라 이런 앵커 기반 지시자를 사용하지 않는다.

SET은 공개키 기반구조로 사용자를 인증하고, 트랜잭션의 비밀성을 위해 공개키·비밀키 방식을 혼합해 사용한다.

SSO는 개별 응용 프로그램 단위가 아니라 중앙집중식으로 인증을 관리하는 체계이므로, 응용 레벨별로 따로 권한을 통제한다는 설명은 SSO의 특징과 맞지 않는다.

SSO는 한 번의 인증으로 여러 시스템에 접근하게 해 인증 정책과 권한 설정을 일원화하기 쉽지만, 그만큼 자원(리소스)별로 세밀한 권한을 관리하는 능력은 상대적으로 약하다는 한계가 있다.

PGP는 기밀성, 전자서명을 통한 발신자 인증, 큰 메시지의 단편화와 재조립, 압축 등의 기능을 제공하지만 송신자·수신자 양측의 부인방지까지 함께 보장하지는 않는다.

PGP의 전자서명은 송신자가 메시지를 보냈다는 사실을 부인하지 못하게 하는 발신 부인방지 기능이며, 수신 사실 자체에 대한 부인방지(예: 수신확인 영수증)는 PGP의 표준 기능에 포함되지 않는다.

HTTP 응답 코드 중 2xx 코드는 요청이 성공적으로 처리되었음을 의미하므로, 200번대를 '성공'으로 설명한 것이 옳다.

1xx는 요청 처리가 진행 중임을 알리는 정보성 응답, 3xx는 추가 동작(리다이렉션)이 필요함을 나타내는 코드이고, 4xx는 서버가 아니라 클라이언트 측 요청에 문제가 있을 때 반환되는 코드다.

세션 정보를 클라이언트가 아닌 서버에 두고, 추가 인증을 얹고, 클라이언트에 남는 쿠키를 암호화하라는 세 가지는 모두 쿠키와 세션의 위조·변조를 막기 위한 대책이다.

쿠키는 사용자 PC에 남아 열람과 수정이 가능하므로 인증 상태나 권한 값을 쿠키에 담으면 곧바로 위조된다. 그래서 상태는 서버사이드 세션에 두고 남길 값은 암호화하며, 탈취에 대비해 2차 인증을 더한다.

• 파일 업로드 공격은 확장자 화이트리스트와 업로드 경로의 실행 권한 제거로 막는다.
• SQL 인젝션은 파라미터 바인딩과 입력값 검증으로 막는다.
• 파일 다운로드 공격은 경로 문자열(../) 필터링으로 막는다.

HTTP의 기본 포트는 80번이며, 433번은 HTTP가 사용하는 포트가 아니다. 암호화된 HTTPS가 쓰는 443번과 혼동한 서술이다.

HTTP는 TCP 위에서 HTML 문서를 전송하고 웹 브라우저에 URL을 입력해 접속하며, 요청·응답이 끝나면 연결을 끊어 상태를 유지하지 않는 비연결성 프로토콜이라는 나머지 설명은 모두 타당하다.

탬퍼 방지(tamper resistance) 기술은 콘텐츠나 클라이언트 프로그램이 임의로 변조·분석되는 것을 막는 기술이지, 라이선스의 생성·발급을 관리하는 것은 별도의 라이선스 관리 기능의 역할이다.

DRM은 콘텐츠를 암호화해 저장하고 저작권자의 권리를 보호하며, 온라인 음악·동영상·전자책 등 다양한 디지털 콘텐츠 유통 분야에서 불법 복제 방지 목적으로 널리 쓰인다.

Active Contents 공격은 이메일에 포함된 스크립트나 ActiveX 같은 능동 콘텐츠가 메일을 열람할 때 자동 실행되며 피해를 주는 공격으로, 헤더 정보의 버그를 이용해 전달 불가능한 메시지를 만드는 방식과는 다른 공격 유형이다.

이 공격에 대한 대책으로는 메일 클라이언트의 스크립팅 실행 기능을 꺼두는 것이 일반적이며, Buffer Overflow 공격은 조작된 메일로 임의 코드를 실행시키는 별개의 공격, 스팸 릴레이는 메일 서버의 릴레이 차단 설정으로 대응한다.

Tripwire는 파일의 해시값을 비교해 변조 여부를 감시하는 파일 무결성 점검 도구이지, 시스템의 취약점을 스캔하는 도구가 아니다.

• SATAN은 네트워크 취약점을 원격에서 점검하는 스캐너다.
• Nessus는 대표적인 종합 취약점 스캐너다.
• COPS는 유닉스 시스템의 설정 취약점을 점검하는 도구다.

이 세 가지는 모두 시스템·네트워크의 취약점을 찾아내는 점검 도구인 반면, Tripwire는 이미 알려진 상태 대비 변경 여부를 감시하는 용도라는 점에서 성격이 다르다.

SpamAssassin은 메일의 헤더, 본문 내용, 첨부파일 등 메일 자체의 콘텐츠를 분석해 스팸 여부를 판정하며, 네트워크 계층의 물리 주소인 MAC 주소는 이 분류 기준에 포함되지 않는다.

MAC 주소는 이더넷 등 데이터링크 계층에서 장비를 식별하는 값으로, 메일 콘텐츠 기반 스팸 필터링의 판단 대상과는 계층 자체가 다르다.

정상 파일로 위장해 있다가 사용자가 첨부파일을 열거나 특정 파일을 실행할 때 악성 기능이 작동해 퍼지는 방식은 트로이 목마(Trojan Horse) 공격의 전형적인 특징이다.

스스로 자동 실행되는 Active Contents 공격이나 프로그램의 메모리 취약점을 노리는 Buffer Overflow 공격과 달리, 트로이 목마는 사용자의 실행 행위 자체를 감염 경로로 삼는다는 차이가 있다.

CRL(인증서 폐지 목록)은 인증서를 발급한 주체인 CA(인증기관)가 생성하고 서명하여 배포한다.

RA(등록기관)와 LRA(지역등록기관)는 가입자 신원 확인과 CA로의 등록 요청을 대행할 뿐이고, VA는 인증서 상태를 실시간으로 조회해주는 별도의 검증 서비스이므로 CRL 생성 주체는 아니다.

전자서명은 메시지의 무결성과 부인방지를 위한 기술이지, 대칭키를 안전하게 나눠 갖는 키 배송(분배) 문제를 직접 해결하는 수단은 아니다.

키 배송 문제는 키 배포 센터(KDC)를 통한 중앙 분배, Diffie-Hellman 방식의 키 교환, 공개키 암호로 대칭키 자체를 암호화해 전달하는 방식 등으로 해결한다.

메시지 인증은 메시지가 변조되지 않았음을 확인하는 기술로, MAC, 암호학적 체크섬, HMAC이 이에 해당한다.

난수 발생기는 키나 논스를 만드는 데 쓰이는 요소일 뿐, 그 자체가 메시지의 위변조 여부를 검증하는 인증 기법은 아니다.

암호화는 평문을 암호문으로 바꾸는 과정으로, 이를 수행하는 주체는 수신자가 아니라 송신자다.

수신자는 반대로 전달받은 암호문을 평문으로 되돌리는 복호화를 수행하므로, 암호화의 수행 주체를 수신자라고 설명한 것은 송신자와 수신자의 역할이 뒤바뀐 것이다.

소프트웨어 알고리즘으로 난수를 생성하는 장치는 PRNG(의사난수 발생기, Pseudo-Random Number Generator)라고 부른다.

이는 물리적 현상의 잡음 등을 이용해 난수를 얻는 HRNG(하드웨어 난수 발생기)와 대비되는 개념으로, 결정론적 알고리즘과 시드값으로 난수열을 만들어낸다.

두 사람이 나눠 갖게 되는 공유 비밀키는 1이다.

먼저 각자의 공개키를 만든다.
A: 3² mod 7 = 9 mod 7 = 2
B: 3³ mod 7 = 27 mod 7 = 6

이어 상대의 공개키를 받아 자신의 개인키로 거듭제곱한다.
A쪽: 6² mod 7 = 36 mod 7 = 1
B쪽: 2³ mod 7 = 8 mod 7 = 1

양쪽 모두 결국 3⁶ mod 7 을 계산한 셈이므로 같은 값 1에 도달한다.

임의적 접근통제(DAC)는 객체의 소유자가 접근 권한을 스스로 정하는 방식이라 분산적으로 운영되며, 중앙에서 통제하는 환경에 적합한 것은 소유자가 아닌 시스템이 등급을 강제하는 강제적 접근통제(MAC)다.

DAC는 주체와 객체 단위로 개별 접근권한을 설정하고 접근통제목록(ACL)으로 구현하지만, 그 권한 부여 주체가 소유자이기 때문에 중앙집중식 통제와는 성격이 반대된다.

벨-라파둘라(Bell-LaPadula) 모델에서 낮은 등급의 주체는 높은 등급의 문서를 읽을 수는 없지만 쓰기(write-up)는 허용되므로, 높은 등급 문서에 대해 읽기와 쓰기가 모두 불가능하다는 설명은 이 모델의 규칙과 맞지 않는다. 같은 설명에서 낮은 등급 문서에는 쓸 수 있다고 한 부분도 기록 금지(no write-down) 원칙에 어긋난다.

단순 보안 속성(no read-up)에 따라 자신보다 높은 등급의 문서를 읽을 수 없다는 점, 그리고 스타 프로퍼티(*-property)에 따라 높은 등급에는 쓸 수 있으나 낮은 등급에는 쓸 수 없다는 점은 모델의 실제 규칙과 일치한다.

즉 위쪽 내용을 들여다볼 수는 없지만 위쪽으로는 쓸 수 있게 해 정보가 아래로 흘러내리는 것을 막는 것이, 기밀성 보장을 목적으로 하는 강제적 접근통제 모델의 핵심이다.

블록 암호의 CBC 모드 등에서 첫 블록은 이전 암호문 블록이 없으므로, 그 자리를 대신할 임의의 비트열로 초기화 벡터(IV)를 사용한다.

IV는 매 암호화마다 달리 사용해 같은 평문이라도 다른 암호문이 나오도록 하는 역할을 하며, 패딩이나 운영모드 자체와는 다른 개념이다.

X.509 인증서는 인증기관(CA)이 발급하는 것이지, 인증서의 주인인 사용자 본인이 직접 발행하는 것이 아니다.

CA는 유효기간이 지난 인증서를 디렉터리에서 제거하고, 폐기된 인증서도 추후 분쟁 시 부인방지 근거로 일정 기간 보관하며, 개인키 유출 등을 사유로 사용자가 신고하면 해당 인증서를 폐기하는 역할까지 수행한다.

OTP는 매번 예측 불가능한 값을 생성해야 안전하므로, 의미 있는 숫자 패턴을 활용한다는 설명은 OTP의 원리와 반대된다.

규칙성 있는 패턴을 쓰면 다음 비밀번호를 추측당할 위험이 커지므로, OTP는 재사용이 불가능하고 유추가 불가능한 무작위 값을 매번 새로 만들어 오프라인 추측 공격에도 안전하도록 설계된다.

커버로스(Kerberos)의 목적은 인증되지 않은 클라이언트의 접근을 막고 정당하게 인증된 사용자만 서버에 접근하도록 하는 것이지, 인증되지 않은 클라이언트도 접근을 허용하려는 것이 아니다.

비밀키 암호 기반의 온라인 키 분배 방식으로 동작하며, 키 분배 센터(KDC)가 단일 지점이라 장애 시 전체 서비스가 마비될 수 있다는 한계가 있지만, 정상 동작 시에는 데이터의 기밀성과 무결성을 함께 보장한다.

평문의 요소(비트·문자 등)를 다른 요소로 바꾸는 조작은 치환(substitution)이라고 부르며, 이를 별도의 'transformation'이라는 용어로 정의한 것은 표준적인 명명과 다르다.

암호화 알고리즘은 치환과 함께 요소의 배열 순서를 바꾸는 전치(transposition) 기법을 결합해 평문을 암호문으로 만들며, 같은 메시지라도 서로 다른 키를 쓰면 서로 다른 암호문이 나오고 복호화는 암호화의 역순으로 수행된다.

이중 서명(Dual Signature)은 구매자의 주문정보(OI)와 지불정보(PI)를 하나로 묶어 서명하되, 주문정보는 판매자에게만 지불정보는 결제기관(금융기관)에만 보이도록 정보를 분리해 전달하는 SET 프로토콜의 기법이다.

이를 통해 판매자는 결제 계좌 등 민감한 지불정보를, 결제기관은 구매 품목 같은 주문정보를 알 필요 없이 각자 필요한 정보만 최소한으로 받아볼 수 있다.

커버로스(Kerberos)는 인증·기밀성·무결성을 위한 프로토콜일 뿐, 가용성을 보장하는 기능은 제공하지 않는다.

오히려 키 분배 센터(KDC)가 단일 장애 지점이 되어 KDC에 문제가 생기면 전체 인증 서비스가 중단될 수 있으므로, 가용성 측면에서는 구조적 약점을 가진다.

커버로스는 다양한 서버에 대해 상대방의 신원을 식별하게 해주고, 한 번의 인증으로 여러 서버에 접근할 수 있게 하는 기능은 정상적으로 제공한다.

공격자가 복호기를 쓸 수 있어 암호문을 스스로 골라 그에 대응하는 평문을 얻어내는 방식은 선택 암호문 공격이다.

판별 기준은 공격자가 무엇을 고를 수 있느냐다. 고르는 대상이 암호문이고 그 결과로 평문을 얻는다면 선택 암호문 공격에 해당한다.

• 암호문 단독 공격은 가로챈 암호문만 가지고 통계적으로 분석한다.
• 기지 평문 공격은 평문과 암호문 쌍을 이미 알고 있을 뿐 스스로 고르지는 못한다.
• 선택 평문 공격은 암호기에 접근해 평문을 골라 그 암호문을 얻는다.

Diffie-Hellman 키 교환은 이산대수 문제(discrete logarithm problem)의 어려움에 기반한 것이지, 큰 수의 소인수분해 문제에 기반한 것이 아니다.

소인수분해의 어려움에 기반한 대표적인 알고리즘은 RSA이며, Diffie-Hellman은 두 사용자가 사전에 정한 소수와 원시근을 이용해 비밀 세션키 자체를 직접 주고받지 않고도 공유값을 계산해내는 방식이라 중간자 공격에는 취약하다는 한계가 있다.

시도-응답(Challenge-Response) 인증은 새로운 키를 생성하는 방식이 아니라, 이미 보유한 비밀 값(키)으로 서버가 보낸 임의의 시도값(challenge)에 대한 응답을 계산해 되돌려주는 방식으로 사용자를 인증한다.

아이디·비밀번호 대조 방식, MAC 주소만으로 식별하는 방식, 암호 프로토콜로 키·세션 가로채기를 차단하는 방식은 모두 각기 다른 디바이스 인증 기술의 올바른 설명이다.

Diffie-Hellman은 두 당사자가 공유 비밀값을 만들어내는 키 교환(키 합의) 알고리즘이지, 데이터를 직접 암호화하는 대칭키 알고리즘이 아니다.

BlowFish, SEED, 3DES는 모두 하나의 비밀키로 암호화와 복호화를 수행하는 대칭키 블록 암호 알고리즘이라는 공통점이 있다.

송신자가 무작위로 만든 세션키를 수신자의 공개키로 암호화해 전달하는 방식은 RSA를 이용한 키 분배 프로토콜의 전형적인 동작이다.

Diffie-Hellman은 세션키 자체를 암호화해 보내지 않고 양측이 계산으로 공유값을 도출하는 방식이라 이 설명과 다르고, Challenge-Response나 공개키 인증서 관리 프로토콜 역시 세션키를 공개키로 감싸 전달하는 절차와는 목적이 다르다.

개인정보의 기술적·관리적 보호조치 기준에 따른 접속기록의 필수 항목은 개인정보취급자의 식별정보, 접속일시, 접속지 정보, 수행업무(처리내용) 등이며, 접속포트는 이 필수 항목에 포함되지 않는다.

접속지 정보는 접속한 IP 주소 등으로 어디서 접근했는지를, 수행업무는 무엇을 처리했는지를 기록하는 항목으로, 각 항목은 사고 발생 시 추적을 위한 목적을 갖는다.

참고로 현행 「개인정보의 안전성 확보조치 기준」에서도 접속기록 항목은 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무로 규정되어 있어 접속포트는 여전히 포함되지 않는다.

접근 통제는 식별에서 인증, 다시 인가로 이어지는 흐름이므로 빈칸은 다음과 같다.
A: 식별
B: 인증
C: 인가

지문의 정의가 그대로 대응한다. 스스로를 확인시키려고 정보를 내미는 활동이 식별이고, 그 신원이 맞는지 검증하는 두 번째 단계가 인증이며, 검증된 주체가 무엇에 접근하고 무엇을 할 수 있는지 정하는 과정이 인가다.

식별과 인증의 자리를 바꾸면 아직 신원을 밝히지도 않은 주체를 검증한다는 말이 되고, 인가가 앞에 오면 검증 전에 권한이 부여되어 지문의 순서와 어긋난다.

빈칸에 들어갈 용어는 다음과 같다.
(가) 인증
(나) 생체인식

자신이 적법한 사용자임을 제3자에게 증명하는 행위를 가리키므로 (가)는 인증이며, 정보를 감추어 열람을 막는 성질인 기밀성과는 목적이 다르다.

지문·목소리·눈동자처럼 사람마다 다른 신체적 특징을 비밀번호 대신 쓰는 것이 (나)이며, 기억에 의존하는 패스워드는 특징을 인식시킨다는 설명과 맞지 않는다.

위험관리는 방법론과 조직 업무·시스템에 대한 전문성이 필요하지만, 이를 반드시 내부인력만으로 수행해야 하는 것은 아니며 필요에 따라 외부 전문가를 함께 활용할 수 있다.

위험관리는 기술적·관리적·물리적 위험을 식별·평가하는 방법을 정의하고, 정기 또는 수시로 위험관리 계획을 수립하며, 베이스라인 접근법이나 복합 접근법 등 조직에 맞는 방법론을 찾아 지속적으로 개선해 나가는 활동이다.

정보보호 사전점검의 대상 범위는 새로 제공하려는 사업 또는 정보통신서비스를 구성하는 하드웨어·소프트웨어·네트워크 등 유무형의 설비와 시설 전체이므로, 이 설명이 옳다.

사전점검은 정보통신망을 구축하거나 서비스를 제공하기 전에 기획·설계 단계에서부터 정보보호를 반영하도록 하는 제도다. 이미 운영 중인 시스템의 취약점을 분석·평가해 대책을 제시하거나 정보보호 관리체계를 구축하는 일은 주요정보통신기반시설 취약점 분석·평가, ISMS 인증 등 별개의 제도에 해당하므로 사전점검의 주된 목적이라고 볼 수 없다.

또한 사전점검 실시 사업자에 대한 가점 등 우대조치나 사전점검 수행기관 지정 신청의 소관은 방송통신위원회가 아니라 과학기술정보통신부장관(제도 도입 당시 미래창조과학부장관)이므로, 방송통신위원회를 주체로 든 설명은 옳지 않다.

조직의 정보보호 프로그램을 총괄해 운영하고 그 결과를 상위 의사결정 기구에 보고하는 역할은 정보보호 관리자다.

정책과 명령체계, 보안 인식 프로그램을 유지·관리하고 사고를 조사해 정보보호위원회에 보고한다는 점이 이 역할을 규정하는 핵심이다.

• 비상상황관리 위원회는 재해·장애 같은 비상사태의 대응과 복구를 심의·총괄하는 기구로, 평상시 정보보호 프로그램을 운영하며 보고하는 주체가 아니다.
• 시스템 관리자는 담당 시스템의 설치·운영과 보안 설정 적용을 맡는 실무 역할이다.
• 현업 관리자는 자기 업무 영역의 데이터와 사용자 권한을 책임지는 역할이다.

자산 도입 비용, 복구 비용, 교체 비용처럼 금액으로 측정되는 기준은 정량적 기준이지, 정성적 기준이 아니다.

정성적 기준은 숫자로 환산하기 어려운 중요도·영향도 등을 등급이나 서술로 평가하는 방식이라, 비용이라는 수치 값을 기준으로 삼는 설명과는 반대된다.

정보보호 관리체계, 정보보호 정책, 위험분석에 대한 나머지 설명은 각각 기밀성·무결성·가용성 실현을 위한 절차 수립, 접근 규칙의 공식적 진술, 자산 취약점과 위협을 분석하는 과정이라는 일반적 정의와 일치한다.

협력업체 직원의 시스템 접속을 협력업체 책임자의 승인만으로 허용하도록 정한 것이 부적절하다.

외주 인력이 회사 정보시스템이나 외부망에 접속해야 할 때는 정보를 제공하는 자사의 책임자가 승인 절차를 통제해야 하며, 외부 업체 책임자의 승인으로 이를 대체할 수 없다.

계약서에 보안 조항을 포함하고, 외주 인력에게도 내부 직원과 동일한 정보보호 정책을 적용하며, 중요 정보 접근을 한시적으로 제한해 주기적으로 점검하는 것은 모두 타당한 보호대책이다.

보험 가입으로 손실을 금전적으로 보전하는 방식은 위험 전가(Transfer)에 해당한다.

위험 전가는 위협이 발생했을 때의 손실을 제3자(보험사 등)에게 이전시켜 자체 부담을 줄이는 처리 방식이며, 위험 자체를 줄이는 위험 감소나 위험 요인을 없애는 위험 회피와는 구분된다.

손실을 그대로 안고 가는 위험 수용과도 다르게, 전가는 외부 기관과의 계약을 통해 재정적 부담을 이전한다는 점이 특징이다.

위험 분석 방법론 중 정량적 위험 분석은 수학공식 접근법·확률 분포 추정법·과거 자료 분석법처럼 수치화된 기법을 사용한다는 설명이 올바르다.

복합적 접근법은 자산의 중요도에 따라 기준선 접근법과 상세 위험 접근법을 병행하는 방식이며, 전문가 판단법은 이와 별도로 분류되는 독립된 접근법이다.

델파이법·시나리오법·순위결정법은 정성적 분석 기법이지만, 연간예상손실액(ALE)은 금전 가치로 손실을 산정하는 정량적 지표이므로 정성적 분석의 예로 들 수 없다.

전문가 판단법(비정형 접근법)은 구조화된 절차 없이 경험에 의존해 신속히 평가하는 기법으로, 자원이 제한된 소규모 조직에 적합하다.

ISMS 인증 의무 대상자에 '상급종합병원'이라는 지위만으로는 포함되지 않는다.

정보통신망법상 의무대상자는 서울특별시 및 모든 광역시에서 정보통신망 서비스를 제공하는 전기통신사업자, 집적정보통신시설 사업자, 정보통신서비스 부문 전년도 매출액이 100억 원 이상이거나 이용자 수가 100만 명 규모 이상인 사업자 등으로 규정된다.

병원은 매출·세입 규모가 일정 기준 이상일 때 별도 조항으로 대상이 될 뿐이므로, 규모 요건 없이 상급종합병원이라는 사실만 제시된 경우에는 의무 대상으로 볼 수 없다. 출제 당시 기준의 설명이다.

개인정보 처리 업무를 위탁하는 경우의 수탁자 관리·감독은, 100만 명 미만의 개인정보를 보유한 중소기업 규모의 개인정보처리자라면 내부 관리계획에 반드시 담지 않아도 되는 항목이다.

반면 개인정보 보호책임자의 지정, 개인정보 유출 사고 대응 계획의 수립·시행, 개인정보의 암호화 조치는 규모와 관계없이 내부 관리계획에 포함해야 하는 핵심 안전조치 사항이다.

개인정보의 안전성 확보조치 기준(출제 당시 기준)이 개인정보처리자 유형별로 일부 항목의 적용 범위를 달리 정한 데 따른 구분이다.

위험 분석의 핵심 개념은 자산, 위협, 취약점 세 가지이며, 손실은 이 세 요소가 결합해 발생하는 결과이지 별도의 핵심 개념으로 다루지 않는다.

자산에 위협이 가해지고 이를 막을 취약점이 존재할 때 위험이 발생하며, 손실은 그 위험이 현실화된 이후의 산출값에 해당한다.

전기통신사업자의 매출액 규모는 주요정보통신기반시설 지정 시 고려 사항이 아니다.

정보통신기반보호법상 지정 고려 사항은 해당 시설을 관리하는 기관 업무의 국가·사회적 중요성, 다른 기반시설과의 상호 연계성, 침해사고 발생 시 피해 규모 및 범위 등으로 규정되어 있다.

매출액이나 세입 규모는 기반시설 지정 여부와 무관한 재무적 지표일 뿐이다.

공인인증서에는 가입자의 생년월일이 포함 사항으로 규정되어 있지 않다.

(구)전자서명법상 공인인증서 필수 기재사항은 가입자의 이름(법인은 명칭), 가입자의 전자서명검증정보, 가입자와 공인인증기관이 이용하는 전자서명 방식, 유효기간 등이었다.

이는 2020년 공인인증서 제도 폐지 이전, 출제 당시 기준의 설명이다.

정성적 위험 분석은 비용과 이익에 대한 평가를 필수로 요구하지 않는다는 점이 틀린 설명이다.

비용 대비 효과(비용·이익) 분석은 금전적으로 손실과 대책 비용을 산정하는 정량적 분석의 특징이며, 정성적 분석은 이러한 화폐 가치 산정 없이 상대적 등급으로 위험을 평가한다.

정량적 분석이 객관적 기준을 적용하고 성능 평가가 용이한 반면, 정성적 분석은 계산 노력이 적게 드는 대신 비용·이익 근거가 없어 다소 주관적이다.

처리 목적, 보유 기간, 제3자 제공, 처리위탁, 정보주체의 권리 행사 방법을 담아 정보주체가 언제든 확인할 수 있게 공개해야 하는 문서는 개인정보 처리방침이다.

개인정보 보호법은 개인정보처리자가 이 방침을 정해 정보주체가 쉽게 확인할 수 있도록 공개하도록 정하고 있으며, 지문의 여섯 항목이 그 필수 기재 사항에 해당한다.

• 표준 개인정보 보호지침은 감독기관이 처리자에게 제시하는 처리 기준이지, 개별 처리자가 정해 공개하는 문서가 아니다.
• 개인정보 보호지침이나 개인정보 보호 정책은 이 공개 의무가 부여된 문서의 법률상 명칭이 아니다.

비즈니스 파트너(Business Partners)라는 용어는 ebXML의 표준 구성 요소가 아니다.

ebXML은 핵심 컴포넌트(Core Components), 거래 당사자(Trading Partners) 관련 프로파일·협약, 등록저장소(Registry/Repository), 비즈니스 프로세스 명세 등으로 구성되며, 거래 당사자에 관한 사항은 CPP/CPA(협업 프로토콜 프로파일·협약)로 규정된다.

정보보호 전문서비스 기업은 침해사고 관련 통계를 한국인터넷진흥원 등에 제공할 의무 기관에 해당하지 않는다.

정보통신망법상 이 의무는 주요 정보통신서비스 제공자, 컴퓨터 바이러스 백신 소프트웨어 제조자, 집적정보통신시설 사업자 등 실제 서비스 인프라를 운영하는 사업자에게 부과된다.

정보보호 컨설팅을 수행하는 전문서비스 기업은 인프라 운영 주체가 아니므로 통계 제공 의무 대상에서 빠진다.

공개된 연락처로 대출·홍보성 이벤트 안내를 하는 경우는 정보주체의 별도 동의가 필요한 경우에 해당한다.

동호회 운영을 위한 회원정보 이용, 명함으로 받은 연락처를 거래 관련 목적으로 이용하는 경우, 소방서가 긴급 구조를 위해 위치정보를 수집하는 경우는 정보주체가 당연히 예상 가능한 범위 내 이용이거나 생명·신체의 급박한 이익을 위한 경우로 동의 없이 처리할 수 있는 예외에 해당한다.

반면 홍보·마케팅 목적의 연락은 이러한 예외 범위를 벗어나므로 별도의 동의 절차가 요구된다.

순위결정법을 전문가 집단의 토론을 통한 분석 기법으로 설명한 것이 잘못되었다.

순위결정법은 식별된 위협과 취약점들을 상대적 크기에 따라 순위를 매겨 우선순위를 정하는 기법이며, 전문가들을 모아 반복적인 의견 수렴과 토론으로 합의를 이끌어내는 방식은 델파이법의 특징이다.

과거 자료 분석법·확률 분포법·시나리오법에 대한 나머지 설명은 각 기법의 정의와 부합한다.