22년 1회차

총 25문항 · 객관식 · A4 약 1장

1 / 1

A4정답 포함← → 키 · 드래그로 넘김

정보보안기사 필기 기출문제모두CBT · moducbt.com

22년 1회차

총 25문항 · 객관식 · 정답·해설 포함

문제 1

송신자가 수신자에게 전달하는 세션키를 공개키 암호 방식을 이용하여 암호화할 때 사용되는 키는?

1송신자의 개인키

2송신자의 공개키

3수신자의 개인키

4수신자의 공개키

정답 및 해설

세션키는 수신자의 공개키로 암호화해 보낸다.

공개키로 암호화한 데이터는 짝이 되는 개인키로만 풀 수 있으므로, 수신자의 개인키를 가진 수신자만 세션키를 복호화할 수 있어 기밀성이 확보된다.

송신자의 개인키로 암호화하면 누구나 송신자 공개키로 풀 수 있어 전자서명(인증) 용도가 되고 기밀성은 없다.
송신자의 공개키로 암호화하면 송신자만 풀 수 있어 수신자가 세션키를 얻지 못한다.
수신자의 개인키는 수신자만 보관하는 비밀값이므로 송신자가 암호화에 사용할 수 없다.

문제 2

다음의 정보보호와 관련된 원칙을 제시한 사람은?

이 원칙은 공격자가 암호 알고리즘을 완전히 알고 있더라도 키가 없이는 복호화해 평문을 얻을 수 없어야 함을 의미하는 것으로, 암호 알고리즘의 안전성이 암호 알고리즘 설계 자체의 비밀성에 의존해서는 안 되고 키의 비밀성에 의존해야 함을 강조한다. 따라서 암호 알고리즘은 널리 공개해서 많은 암호학자의 검증을 거치는 과정을 통해 안전성을 인정받아야 한다.

1Rabin

2Hellman

3Kerckhoffs

4Koblitz

정답 및 해설

제시된 원칙은 Kerckhoffs의 원리이다.

케르크호프스 원리는 알고리즘이 공개되어도 키의 비밀성만으로 안전성이 유지되어야 한다는 원칙으로, 현대 암호 설계의 기본 전제이다.

Rabin은 소인수분해 문제에 기반한 Rabin 공개키 암호를 제안한 학자이다.
Hellman은 Diffie와 함께 Diffie-Hellman 키 교환을 제안한 학자이다.
Koblitz는 Miller와 독립적으로 타원곡선 암호(ECC)를 제안한 학자이다.

문제 3

(가), (나)에 들어갈 용어를 바르게 연결한 것은?

PGP 기법은 세션키로 메시지를 암호화하기 위해 (가) 알고리즘과 사용자 인증을 위한 전자서명에 이용하기 위해 (나) 알고리즘을 사용할 수 있다.

(가)　(나)

1IDEA　RSA

2IDEA　DES

3RSA　IDEA

4RSA　AES

정답 및 해설

PGP는 메시지 암호화에 대칭키인 IDEA, 전자서명에 공개키인 RSA를 사용할 수 있다.

대용량 메시지는 빠른 대칭키 알고리즘으로 세션키 암호화하고, 서명과 세션키 전달처럼 짧은 데이터에는 공개키 알고리즘을 쓰는 하이브리드 구조이다.

DES는 대칭키 알고리즘이라 전자서명용 공개키 알고리즘 자리에 들어갈 수 없다.
RSA를 메시지 암호화에, IDEA를 전자서명에 배치하면 대칭키·공개키의 역할이 뒤바뀐다.
AES도 대칭키 알고리즘이므로 전자서명 용도에 쓰이지 않는다.

문제 4

쓰레기 처리장 또는 휴지통을 뒤져서 정보를 얻어내는 사회공학적 공격 기법은?

1Eavesdropping

2Shoulder Surfing

3Dumpster Diving

4Forensic Analysis

정답 및 해설

휴지통이나 쓰레기를 뒤져 정보를 얻는 기법은 Dumpster Diving이다.

버려진 문서·메모·저장매체에서 계정, 조직도, 내부 정보를 수집하는 물리적 사회공학 기법으로, 문서 파쇄와 매체 완전 삭제로 대응한다.

Eavesdropping은 통신이나 대화를 몰래 엿듣는 도청이다.
Shoulder Surfing은 어깨 너머로 화면이나 키 입력을 훔쳐보는 기법이다.
Forensic Analysis는 침해 증거를 수집·분석하는 디지털 포렌식 조사 활동이다.

문제 5

접근제어(Access Control)에 대한 설명으로 옳지 않은 것은?

1임의적 접근제어(Discretionary Access Control)는 정보 소유자가 정보의 보안 수준을 결정하고 그에 대한 접근제어까지 설정한다.

2BLP(Bell-LaPadula) 모델과 Biba 모델은 강제적 접근제어(Mandatory Access Control) 모델에 해당한다.

3역할 기반 접근제어(Role-Based Access Control)는 사람이 아닌 역할 또는 직책에 권한을 부여한다.

4BLP 모델에서는 낮은 수준의 보안 권한을 가진 사람이 자신의 권한보다 높은 보안 수준의 문서에 쓸 수 없다.

정답 및 해설

BLP 모델은 하위 등급 주체가 상위 등급 객체에 쓰는 것을 허용하므로, 높은 수준 문서에 쓸 수 없다는 설명이 옳지 않다.

BLP는 기밀성 모델로 단순 보안 속성(No Read Up)과 *-속성(No Write Down)을 가진다. 금지되는 것은 상위 주체가 하위 객체에 쓰는 것이고, 하위 주체의 상향 쓰기(Write Up)는 허용된다.

임의적 접근제어는 정보 소유자가 재량으로 접근 권한을 설정하는 방식이다.
BLP와 Biba는 보안 등급(레이블)에 따라 강제로 통제하는 강제적 접근제어 모델이다.
역할 기반 접근제어는 개인이 아닌 역할(직책)에 권한을 부여하고 사용자를 역할에 할당한다.

문제 6

윈도우 운영체제에서 컴퓨터의 MAC 주소를 출력하는 명령어는?

1ping

2ipconfig/all

3ifconfig

4nslookup

정답 및 해설

윈도우에서 MAC 주소를 출력하는 명령어는 ipconfig/all이다.

ipconfig에 /all 옵션을 붙이면 IP 주소 외에 네트워크 어댑터별 물리적 주소(MAC), DNS 서버, DHCP 정보까지 상세히 표시된다.

ping은 ICMP Echo로 대상 호스트의 연결 가능 여부를 확인한다.
ifconfig는 리눅스·유닉스 계열의 인터페이스 설정 명령어로 윈도우 명령어가 아니다.
nslookup은 DNS 서버에 도메인 이름과 IP 주소를 질의한다.

문제 7

다음 /etc/passwd 파일 내용의 일부에서 사용자의 그룹 ID는?

user05:x:1001:501:group05:/home/user05:/bin/bash

21001

3501

4group05

정답 및 해설

사용자의 그룹 ID(GID)는 501이다.

/etc/passwd 각 행은 사용자명:패스워드:UID:GID:설명:홈 디렉터리:로그인 셸 순서이므로, 네 번째 필드가 GID이다.

x는 패스워드 필드로, 실제 암호 해시가 /etc/shadow에 저장되어 있음을 뜻한다.
1001은 세 번째 필드인 사용자 ID(UID)이다.
group05는 다섯 번째 필드인 사용자 설명(GECOS) 정보이다.

문제 8

다음은 블록 암호의 운영모드 중 하나를 표현하고 있다. 해당 운영모드에 대해 추론할 수 있는 설명으로 옳은 것은?
(단,

i,\ j \geq 0,\ i \neq j

이다)

$P_i$ : 평문 블록	$C_i = P_i \oplus O_i$
$C_i$ : 암호문 블록	$P_i = C_i \oplus O_i$
$E_k$ : 암호화 함수(키 $k$ 이용)	$O_i = E_k(I_i)$
$IV$ : 초기벡터(Initial Vector)	$I_i = O_{i-1}$ (단, $I_0 = IV$ )

C_i

에 비트 오류가 발생하더라도 복호화된

P_j

에 영향을 미치지 않는다.

P_i

와

P_j

가 동일할 경우

C_i

와

C_j

가 같아지는 문제점이 존재한다.

3고속의 암·복호화를 위해 별도의 전처리 없이 병렬처리가 가능하다.

4복호화에 사용되는

IV

값은 암호화에 사용된

IV

값과 다를 수 있다.

정답 및 해설

제시된 구조는 OFB 모드이며, 암호문 비트 오류가 다른 블록의 복호화에 영향을 주지 않는다는 설명이 옳다.

키 스트림 $O_i$ 는 이전 출력 $O_{i-1}$ 만 다시 암호화해 만들고 암호문은 되먹임되지 않는다. 따라서 $C_i$ 의 비트 오류는 같은 위치의 $P_i$ 비트에만 나타나고 오류 전파가 없다.

블록마다 서로 다른 키 스트림과 XOR하므로 같은 평문 블록이라도 다른 암호문이 된다(ECB의 문제점에 해당).
키 스트림이 앞 블록 출력에 순차적으로 의존하므로, 키 스트림을 미리 계산해 두는 전처리 없이는 병렬처리가 불가능하다.
복호화도 같은 키 스트림을 만들어야 하므로 암호화에 쓴 것과 동일한 IV를 사용해야 한다.

문제 9

개인정보 보호법령상 민감정보와 고유식별정보를 바르게 연결한 것은?

1유전자검사 등의 결과로 얻어진 유전정보 － 운전면허의 면허번호

2정당의 가입정보 － 유전자검사 등의 결과로 얻어진 유전정보

3여권번호 － 외국인등록번호

4범죄경력자료 － 군번

정답 및 해설

민감정보인 유전정보와 고유식별정보인 운전면허의 면허번호가 바르게 연결되었다.

민감정보는 사상·신념, 정당 가입, 건강, 유전정보, 범죄경력자료 등이고, 고유식별정보는 주민등록번호·여권번호·운전면허번호·외국인등록번호이다.

정당의 가입정보와 유전정보는 모두 민감정보이다.
여권번호와 외국인등록번호는 모두 고유식별정보이다.
범죄경력자료는 민감정보이지만 군번은 고유식별정보에 해당하지 않는다.

문제 10

개인정보보호위원회 고시에 따른 개인정보 영향평가 영역과 평가분야를 짝 지은 것으로 옳지 않은 것은?

1대상기관 개인정보보호 관리체계 － 개인정보 침해대응

2대상시스템의 개인정보보호 관리체계 － 접근권한 관리

3개인정보처리 단계별 보호조치 － 이용 및 제공

4대상시스템의 기술적 보호조치 － 개인정보의 암호화

정답 및 해설

접근권한 관리는 대상시스템의 개인정보보호 관리체계가 아니라 대상시스템의 기술적 보호조치 영역의 평가분야이다.

대상시스템의 개인정보보호 관리체계 영역은 개인정보취급자 관리, 개인정보파일 관리, 개인정보 처리방침 등으로 구성된다.

개인정보 침해대응은 대상기관 개인정보보호 관리체계 영역의 평가분야이다.
이용 및 제공은 수집·보유·위탁·파기와 함께 개인정보처리 단계별 보호조치 영역에 속한다.
개인정보의 암호화는 접근통제·접속기록 등과 함께 대상시스템의 기술적 보호조치 영역에 속한다.

문제 11

사용자가 웹브라우저에서 정확한 웹페이지 주소를 입력하여도 가짜 웹페이지로 접속되는 피싱 공격은?

1보이스 피싱(Voice Phishing)

2메신저 피싱(Messenger Phishing)

3스미싱(Smishing)

4파밍(Pharming)

정답 및 해설

정확한 주소를 입력해도 가짜 사이트로 연결되는 공격은 파밍(Pharming)이다.

파밍은 악성코드로 PC의 hosts 파일을 변조하거나 DNS 정보를 오염시켜, 정상 도메인을 공격자 서버 IP로 해석되게 만든다.

보이스 피싱은 전화 음성으로 속여 금융정보를 빼내는 수법이다.
메신저 피싱은 메신저 계정을 도용해 지인을 사칭하는 수법이다.
스미싱은 SMS 문자에 악성 링크를 넣어 앱 설치나 정보 입력을 유도하는 수법이다.

문제 12

DSS(Digital Signature Standard)에 대한 설명으로 옳지 않은 것은?

1부인방지를 보장한다.

2공개키 암호 방식을 사용한다.

3메시지의 길이에 비례하는 길이의 전자서명을 생성한다.

4사용되는 해시 함수는 일방향성과 충돌 저항성을 만족해야 한다.

정답 및 해설

DSS는 메시지를 해시한 값에 서명하므로 메시지 길이와 무관하게 고정 길이의 서명을 생성한다.

DSA 서명은 해시값으로 계산한 정수 쌍 $(r, s)$ 로 구성되어, 메시지가 길어져도 서명 크기는 늘어나지 않는다.

개인키로만 생성할 수 있는 서명이므로 서명자의 부인방지를 보장한다.
개인키로 서명하고 공개키로 검증하는 공개키 암호 방식이다.
서명 위조를 막기 위해 해시 함수는 일방향성과 충돌 저항성을 갖춰야 한다.

문제 13

KISA의 IoT 공통 보안 7대 원칙을 기반으로 IoT 보안을 수행할 때 옳지 않은 것은?

1안전한 초기 보안 설정 방안을 제공하여 기본으로 설정된 파라미터 설정 후 재설정 금지

2안전한 설치를 위한 보안 프로토콜 준수 및 안전한 파라미터 설정

3IoT 제품과 서비스의 취약점 패치 및 업데이트 지속 이행

4안전한 운영·관리를 위한 정보보호 및 프라이버시 관리체계 마련

정답 및 해설

기본 설정 파라미터의 재설정을 금지하는 것은 IoT 보안 원칙에 어긋난다.

안전한 초기 보안 설정 원칙은 기본 패스워드 등 초기값을 사용자가 안전하게 변경·재설정할 수 있도록 하는 것이다. 고정된 기본값은 대표적인 IoT 공격 경로가 된다.

보안 프로토콜 준수와 안전한 파라미터 설정은 7대 원칙에 포함된다.
제품·서비스의 취약점 보안패치와 업데이트 지속 이행은 7대 원칙에 포함된다.
안전한 운영·관리를 위한 정보보호 및 프라이버시 관리체계 마련은 7대 원칙에 포함된다.

문제 14

다음에서 설명하는 시스템 공격 기법은?

○ 두 개 이상의 프로세스가 동시에 한정된 CPU 자원을 활용할 경우 서로 경쟁하는 상황이 발생
○ 두 개의 프로세스는 일반 프로그램과 공격 프로그램에 의해 생성되며, 일반 프로그램은 파일 소유자가 root이며 임시파일을 생성하는 SetUID가 설정된 프로그램
○ 공격자는 SetUID가 설정된 일반 프로그램이 생성하는 임시파일에 심볼릭 링크를 연결하여 일반 프로그램이 생성하는 임시파일을 공격 프로그램이 원하는 목표파일로 연결하는 공격

1Race Condition Attack

2Reverse Engineering Attack

3Format String Attack

4Heap Buffer Overflow Attack

정답 및 해설

제시된 공격은 Race Condition Attack이다.

root 소유 SetUID 프로그램이 임시파일을 만드는 순간을 노려 그 이름에 심볼릭 링크를 걸면, 프로그램이 root 권한으로 공격자가 지정한 목표 파일에 쓰게 된다.

Reverse Engineering Attack은 실행 파일을 분석해 구조·알고리즘을 알아내는 기법이다.
Format String Attack은 printf 계열 함수의 서식 지정자를 악용해 메모리를 읽고 쓰는 기법이다.
Heap Buffer Overflow Attack은 힙 영역 버퍼를 넘치게 해 인접 데이터·포인터를 덮어쓰는 기법이다.

문제 15

무선랜 보안 기술에 대한 설명으로 옳지 않은 것은?

1TKIP는 WPA의 취약점을 해결하기 위해 도입되었다.

2CCMP는 CBC-MAC와 CTR 모드를 이용한다.

3IEEE 802.11i는 TKIP와 CCMP 방식을 지원한다.

4WPA2는 AES 암호 알고리즘을 이용한다.

정답 및 해설

TKIP는 WPA의 취약점이 아니라 WEP의 취약점을 해결하려고 도입되었다.

TKIP는 기존 WEP 하드웨어에서 동작하도록 RC4를 유지하면서 패킷별 키 혼합과 MIC를 추가한 방식이며, WPA의 핵심 암호 방식이다.

CCMP는 CTR 모드로 암호화하고 CBC-MAC로 무결성을 제공하는 CCM 기반 방식이다.
IEEE 802.11i 표준은 TKIP와 CCMP를 모두 규정한다.
WPA2는 AES 기반 CCMP를 필수로 사용한다.

문제 16

스택 버퍼 오버플로우 공격에 대한 방어 기법으로 옳지 않은 것은?

1Stack Guard

2ASLR(Address Space Layout Randomization)

3Stack Shield

4Stack Frame

정답 및 해설

Stack Frame은 함수 호출 시 스택에 만들어지는 저장 구조일 뿐 방어 기법이 아니다.

스택 프레임에는 지역변수·저장된 프레임 포인터·복귀 주소 등이 들어가며, 오버플로 공격은 바로 이 복귀 주소를 덮어쓰는 것이다.

Stack Guard는 복귀 주소 앞에 카나리 값을 두고 변조 여부를 검사한다.
ASLR은 스택·힙·라이브러리 주소를 무작위화해 공격 주소 예측을 어렵게 한다.
Stack Shield는 복귀 주소를 별도 영역에 복사해 두었다가 함수 종료 시 비교·복원한다.

문제 17

IDS(Intrusion Detection System)에 대한 설명으로 옳지 않은 것은?

1비정상행위(Anomaly) 침입탐지는 오용(Misuse) 침입탐지 대비 낮은 오탐률을 보이지만 알려지지 않은 새로운 공격에 취약하다.

2호스트 기반 IDS는 트로이목마, 백도어, 내부자에 의한 공격을 탐지할 수 있다.

3‘외부망

\overset{\text{Ⓐ}}{\longleftrightarrow}

라우터

\overset{\text{Ⓑ}}{\longleftrightarrow}

내부망’으로 구성된 네트워크에서 네트워크 기반 IDS를 Ⓐ 위치에 설치할 경우, Ⓑ 위치에 설치할 경우보다 이론적으로 더 많은 네트워크 공격을 탐지할 수 있지만 처리할 데이터가 더 많다는 단점이 있다.

4IDS 설계 시 침입자의 행동을 엄격하게 정의할수록 공격탐지의 부정오류(False Negative)가 증가한다.

정답 및 해설

비정상행위 탐지는 알려지지 않은 공격도 탐지할 수 있지만 오탐률이 높으므로, 설명이 반대로 되어 있다.

정상 프로파일에서 벗어나면 공격으로 보므로 신종 공격 탐지에 유리하나 정상 행위도 경보를 낸다. 반대로 오용 탐지는 시그니처 기반이라 오탐은 적지만 신종 공격에 취약하다.

호스트 기반 IDS는 시스템 로그·파일 무결성을 감시하므로 트로이목마, 백도어, 내부자 공격 탐지에 유리하다.
라우터 바깥쪽에 설치하면 라우터에서 걸러지는 트래픽까지 모두 보게 되어 탐지 범위는 넓지만 처리량이 많아진다.
침입 행동을 엄격하게 정의할수록 정의에서 벗어난 공격을 놓치게 되어 미탐(False Negative)이 증가한다.

문제 18

리눅스 사용자 user02의 현재 패스워드 유효기간을 60일로 지정하는 명령어는?

1passwd -l 60 user02

2passwd -w 60 user02

3chage -M 60 user02

4chage -W 60 user02

정답 및 해설

패스워드 최대 사용 기간을 60일로 지정하는 명령어는 chage -M 60 user02이다.

chage의 -M 옵션은 패스워드 변경 후 사용할 수 있는 최대 일수를 설정한다.

passwd -l은 계정 패스워드를 잠그는 옵션으로 유효기간 지정과 무관하다.
passwd -w는 만료 전 경고 일수를 설정한다.
chage -W도 만료 전 경고 일수를 설정하는 옵션이다.

문제 19

데이터베이스 암호화 방식에 대한 설명으로 옳지 않은 것은?

1Plug-In 방식은 구축 시 일부 응용프로그램 수정이 필요할 수 있으며 DB 성능에 대한 검토가 필요하다.

2Hybrid 방식은 일반적으로 Plug-In 방식과 TDE(Transparent Data Encryption) 방식이 조합된 것이다.

3API 방식은 응용프로그램 서버에 설치하는 방식으로써 응용프로그램의 수정이 필요하다.

4TDE 방식은 DBMS 내부 또는 옵션으로 제공되는 암호화 기능을 이용한다.

정답 및 해설

Hybrid 방식은 일반적으로 Plug-In 방식과 API 방식을 조합한 것이므로 TDE와의 조합이라는 설명이 옳지 않다.

Plug-In의 적용 편의성과 API 방식의 성능 이점을 함께 취하려고 두 방식을 혼용한다.

Plug-In 방식은 DB 서버에 암호화 모듈을 설치하는 방식이라 일부 쿼리 수정이 필요할 수 있고 DB 서버 부하 검토가 필요하다.
API 방식은 응용프로그램 서버에서 암·복호화 API를 호출하므로 응용프로그램 수정이 필요하다.
TDE 방식은 DBMS 커널 수준의 내장·옵션 암호화 기능을 이용해 응용프로그램 수정이 거의 없다.

문제 20

섹터의 크기가 512바이트이고, 4개의 섹터로 구성된 하나의 클러스터에 600바이트 크기의 데이터 파일이 저장되어 있을 때, RAM 슬랙의 크기[바이트]와 파일 슬랙의 크기[바이트]를 바르게 연결한 것은?
RAM 슬랙의 크기　파일 슬랙의 크기

1424　1024

2424　1448

31024　424

41024　1448

정답 및 해설

RAM 슬랙은 424바이트, 파일 슬랙은 1448바이트이다.

클러스터 크기 $= 4 \times 512 = 2048$
마지막 섹터 사용량 $= 600 - 512 = 88$
RAM 슬랙 $= 512 - 88 = 424$

파일 슬랙은 클러스터 안에서 파일이 쓰지 않은 전체 남는 공간이다.
$2048 - 600 = 1448 = 424 + 1024$

1024는 사용하지 않은 나머지 두 섹터(드라이브 슬랙)만 센 값으로, RAM 슬랙을 포함한 파일 슬랙 전체가 아니다.
RAM 슬랙은 마지막 섹터 끝까지의 남은 공간이므로 1024가 될 수 없다.

문제 21

ISMS-P(정보보호 및 개인정보보호 관리체계 인증)의 보호대책 요구사항에 해당되지 않는 분야는?

1정책, 조직, 자산 관리

2외부자 보안

3개인정보 제공 시 보호 조치

4접근통제

정답 및 해설

개인정보 제공 시 보호조치는 보호대책 요구사항이 아니라 개인정보 처리단계별 요구사항에 속한다.

ISMS-P는 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항(수집·보유·이용·제공·파기 시 보호조치, 정보주체 권리보호)의 세 영역으로 구성된다.

정책, 조직, 자산 관리는 보호대책 요구사항의 첫 분야이다.
외부자 보안은 보호대책 요구사항의 분야이다.
접근통제는 보호대책 요구사항의 분야이다.

문제 22

「개인정보 보호법」상 개인정보처리자가 개인정보의 수집 및 이용 동의를 받을 때 정보주체에게 알릴 의무가 있는 사항이 아닌 것은?

1개인정보를 제공받는 자

2동의 거부 시 불이익이 있을 경우 그 불이익 내용

3수집하려는 개인정보의 항목

4개인정보의 보유 및 이용 기간

정답 및 해설

개인정보를 제공받는 자는 수집·이용 동의가 아니라 제3자 제공 동의를 받을 때 알릴 사항이다.

수집·이용 동의 시 알릴 사항은 수집·이용 목적, 수집 항목, 보유 및 이용 기간, 동의 거부 권리와 거부 시 불이익이다.

동의를 거부할 권리와 거부에 따른 불이익이 있으면 그 내용을 알려야 한다.
수집하려는 개인정보의 항목은 알려야 할 사항이다.
개인정보의 보유 및 이용 기간은 알려야 할 사항이다.

문제 23

ISO 27001에 대한 설명으로 옳지 않은 것은?

1영국의 BSI(British Standards Institute)에서 제정한 BS 7799를 기반으로 구성되어 있는 보안 프레임워크이다.

2ISO 27001:2013은 7개의 관리과정으로 구성되어 있으며, 정보보호 통제 요구사항은 10개 영역, 114개 통제 항목으로 구성되어 있다.

3ISO 27001:2013의 관리과정을 PDCA 모델에 적용할 때, 조치(Act)에 해당하는 항목은 개선(Improvement)이다.

4ISO 27001에서 제시한 프레임워크에 따라 조직의 위험을 관리하고 이를 개선해나가는 체계를 갖추더라도 보안 침해는 발생할 수 있다.

정답 및 해설

ISO 27001:2013의 통제 요구사항은 14개 영역, 114개 통제 항목이므로 10개 영역이라는 설명이 옳지 않다.

관리과정은 조직 상황, 리더십, 계획, 지원, 운영, 성과 평가, 개선의 7개 조항이고, 부속서 A가 14개 통제 영역과 114개 통제 항목을 제시한다.

ISO 27001은 영국 BSI의 BS 7799를 바탕으로 국제표준화되었다.
PDCA에 대응시키면 개선(Improvement) 조항이 조치(Act) 단계에 해당한다.
관리체계를 갖추면 위험을 줄일 수는 있지만 보안 침해를 완전히 막을 수는 없다.

문제 24

CC(Common Criteria)에서 사용하는 EAL(Evaluation Assurance Level)과 설계, 시험 및 검토 수준을 짝 지은 것으로 옳은 것은?

1EAL 1 － 구조적 시험
(structurally tested)

2EAL 3 － 방법론적 설계, 시험과 검토
(methodically designed, tested, and reviewed)

3EAL 5 － 준정형적 설계와 시험
(semiformally designed and tested)

4EAL 6 － 정형적으로 검증된 설계와 시험
(formally verified design and tested)

정답 및 해설

EAL 5는 준정형적 설계와 시험(semiformally designed and tested) 수준으로 바르게 짝 지어졌다.

EAL은 1 기능 시험, 2 구조적 시험, 3 방법론적 시험과 검사, 4 방법론적 설계·시험·검토, 5 준정형적 설계·시험, 6 준정형적 검증 설계·시험, 7 정형적 검증 설계·시험 순으로 높아진다.

구조적 시험(structurally tested)은 EAL 1이 아니라 EAL 2이다.
방법론적 설계, 시험과 검토는 EAL 3이 아니라 EAL 4이다.
정형적으로 검증된 설계와 시험은 EAL 6이 아니라 EAL 7이다.

문제 25

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 정보통신서비스 제공자는 서비스 제공을 위해 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한이 필요한 경우 이용자의 동의를 받도록 하고 있다. 이에 대한 사항으로 옳은 것은?

1해당 서비스를 제공하기 위하여 반드시 필요한 접근권한인 경우, 접근권한 허용에 대하여 동의하지 아니할 수 있다는 사실을 알리고 동의를 받아야 한다.

2접근권한이 필요한 정보는 알리고 동의를 받아야 하지만 접근권한이 필요한 이유는 알릴 필요가 없다.

3접근권한의 범위 및 동의의 방법은 대통령령으로 정한다.

4이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 과학기술정보통신부령으로 정한다.

정답 및 해설

접근권한의 범위 및 동의의 방법은 대통령령으로 정한다는 설명이 옳다.

정보통신망법은 접근권한의 범위·동의 방법과 이용자 정보 보호를 위한 조치 방법 등 필요한 사항을 모두 대통령령에 위임한다.

서비스에 반드시 필요한 접근권한은 필요한 정보·권한 항목과 그 이유를 알리고 동의를 받으며, 동의하지 않을 수 있다는 사실의 고지는 필수가 아닌 선택적 접근권한에 적용된다.
접근권한이 필요한 정보뿐 아니라 접근권한이 필요한 이유도 알려야 한다.
이용자 정보 보호를 위해 필요한 조치 등도 과학기술정보통신부령이 아니라 대통령령으로 정한다.

시험지 불러오는 중…

정보보안기사 필기 기출문제모두CBT · moducbt.com

22년 1회차

총 25문항 · 객관식 · 정답·해설 포함

문제 1

송신자가 수신자에게 전달하는 세션키를 공개키 암호 방식을 이용하여 암호화할 때 사용되는 키는?

1송신자의 개인키

2송신자의 공개키

3수신자의 개인키

4수신자의 공개키

정답 및 해설

세션키는 수신자의 공개키로 암호화해 보낸다.

송신자의 개인키로 암호화하면 누구나 송신자 공개키로 풀 수 있어 전자서명(인증) 용도가 되고 기밀성은 없다.
송신자의 공개키로 암호화하면 송신자만 풀 수 있어 수신자가 세션키를 얻지 못한다.
수신자의 개인키는 수신자만 보관하는 비밀값이므로 송신자가 암호화에 사용할 수 없다.

문제 2

다음의 정보보호와 관련된 원칙을 제시한 사람은?

1Rabin

2Hellman

3Kerckhoffs

4Koblitz

정답 및 해설

제시된 원칙은 Kerckhoffs의 원리이다.

케르크호프스 원리는 알고리즘이 공개되어도 키의 비밀성만으로 안전성이 유지되어야 한다는 원칙으로, 현대 암호 설계의 기본 전제이다.

Rabin은 소인수분해 문제에 기반한 Rabin 공개키 암호를 제안한 학자이다.
Hellman은 Diffie와 함께 Diffie-Hellman 키 교환을 제안한 학자이다.
Koblitz는 Miller와 독립적으로 타원곡선 암호(ECC)를 제안한 학자이다.

문제 3

(가), (나)에 들어갈 용어를 바르게 연결한 것은?

PGP 기법은 세션키로 메시지를 암호화하기 위해 (가) 알고리즘과 사용자 인증을 위한 전자서명에 이용하기 위해 (나) 알고리즘을 사용할 수 있다.

(가)　(나)

1IDEA　RSA

2IDEA　DES

3RSA　IDEA

4RSA　AES

정답 및 해설

PGP는 메시지 암호화에 대칭키인 IDEA, 전자서명에 공개키인 RSA를 사용할 수 있다.

DES는 대칭키 알고리즘이라 전자서명용 공개키 알고리즘 자리에 들어갈 수 없다.
RSA를 메시지 암호화에, IDEA를 전자서명에 배치하면 대칭키·공개키의 역할이 뒤바뀐다.
AES도 대칭키 알고리즘이므로 전자서명 용도에 쓰이지 않는다.

문제 4

쓰레기 처리장 또는 휴지통을 뒤져서 정보를 얻어내는 사회공학적 공격 기법은?

1Eavesdropping

2Shoulder Surfing

3Dumpster Diving

4Forensic Analysis

정답 및 해설

휴지통이나 쓰레기를 뒤져 정보를 얻는 기법은 Dumpster Diving이다.

버려진 문서·메모·저장매체에서 계정, 조직도, 내부 정보를 수집하는 물리적 사회공학 기법으로, 문서 파쇄와 매체 완전 삭제로 대응한다.

Eavesdropping은 통신이나 대화를 몰래 엿듣는 도청이다.
Shoulder Surfing은 어깨 너머로 화면이나 키 입력을 훔쳐보는 기법이다.
Forensic Analysis는 침해 증거를 수집·분석하는 디지털 포렌식 조사 활동이다.

문제 5

접근제어(Access Control)에 대한 설명으로 옳지 않은 것은?

1임의적 접근제어(Discretionary Access Control)는 정보 소유자가 정보의 보안 수준을 결정하고 그에 대한 접근제어까지 설정한다.

2BLP(Bell-LaPadula) 모델과 Biba 모델은 강제적 접근제어(Mandatory Access Control) 모델에 해당한다.

3역할 기반 접근제어(Role-Based Access Control)는 사람이 아닌 역할 또는 직책에 권한을 부여한다.

4BLP 모델에서는 낮은 수준의 보안 권한을 가진 사람이 자신의 권한보다 높은 보안 수준의 문서에 쓸 수 없다.

정답 및 해설

BLP 모델은 하위 등급 주체가 상위 등급 객체에 쓰는 것을 허용하므로, 높은 수준 문서에 쓸 수 없다는 설명이 옳지 않다.

임의적 접근제어는 정보 소유자가 재량으로 접근 권한을 설정하는 방식이다.
BLP와 Biba는 보안 등급(레이블)에 따라 강제로 통제하는 강제적 접근제어 모델이다.
역할 기반 접근제어는 개인이 아닌 역할(직책)에 권한을 부여하고 사용자를 역할에 할당한다.

문제 6

윈도우 운영체제에서 컴퓨터의 MAC 주소를 출력하는 명령어는?

1ping

2ipconfig/all

3ifconfig

4nslookup

정답 및 해설

윈도우에서 MAC 주소를 출력하는 명령어는 ipconfig/all이다.

ipconfig에 /all 옵션을 붙이면 IP 주소 외에 네트워크 어댑터별 물리적 주소(MAC), DNS 서버, DHCP 정보까지 상세히 표시된다.

ping은 ICMP Echo로 대상 호스트의 연결 가능 여부를 확인한다.
ifconfig는 리눅스·유닉스 계열의 인터페이스 설정 명령어로 윈도우 명령어가 아니다.
nslookup은 DNS 서버에 도메인 이름과 IP 주소를 질의한다.

문제 7

다음 /etc/passwd 파일 내용의 일부에서 사용자의 그룹 ID는?

user05:x:1001:501:group05:/home/user05:/bin/bash

21001

3501

4group05

정답 및 해설

사용자의 그룹 ID(GID)는 501이다.

/etc/passwd 각 행은 사용자명:패스워드:UID:GID:설명:홈 디렉터리:로그인 셸 순서이므로, 네 번째 필드가 GID이다.

x는 패스워드 필드로, 실제 암호 해시가 /etc/shadow에 저장되어 있음을 뜻한다.
1001은 세 번째 필드인 사용자 ID(UID)이다.
group05는 다섯 번째 필드인 사용자 설명(GECOS) 정보이다.

문제 8

다음은 블록 암호의 운영모드 중 하나를 표현하고 있다. 해당 운영모드에 대해 추론할 수 있는 설명으로 옳은 것은?
(단,

i,\ j \geq 0,\ i \neq j

이다)

$P_i$ : 평문 블록	$C_i = P_i \oplus O_i$
$C_i$ : 암호문 블록	$P_i = C_i \oplus O_i$
$E_k$ : 암호화 함수(키 $k$ 이용)	$O_i = E_k(I_i)$
$IV$ : 초기벡터(Initial Vector)	$I_i = O_{i-1}$ (단, $I_0 = IV$ )

C_i

에 비트 오류가 발생하더라도 복호화된

P_j

에 영향을 미치지 않는다.

P_i

와

P_j

가 동일할 경우

C_i

와

C_j

가 같아지는 문제점이 존재한다.

3고속의 암·복호화를 위해 별도의 전처리 없이 병렬처리가 가능하다.

4복호화에 사용되는

IV

값은 암호화에 사용된

IV

값과 다를 수 있다.

정답 및 해설

제시된 구조는 OFB 모드이며, 암호문 비트 오류가 다른 블록의 복호화에 영향을 주지 않는다는 설명이 옳다.

블록마다 서로 다른 키 스트림과 XOR하므로 같은 평문 블록이라도 다른 암호문이 된다(ECB의 문제점에 해당).
키 스트림이 앞 블록 출력에 순차적으로 의존하므로, 키 스트림을 미리 계산해 두는 전처리 없이는 병렬처리가 불가능하다.
복호화도 같은 키 스트림을 만들어야 하므로 암호화에 쓴 것과 동일한 IV를 사용해야 한다.

문제 9

개인정보 보호법령상 민감정보와 고유식별정보를 바르게 연결한 것은?

1유전자검사 등의 결과로 얻어진 유전정보 － 운전면허의 면허번호

2정당의 가입정보 － 유전자검사 등의 결과로 얻어진 유전정보

3여권번호 － 외국인등록번호

4범죄경력자료 － 군번

정답 및 해설

민감정보인 유전정보와 고유식별정보인 운전면허의 면허번호가 바르게 연결되었다.

정당의 가입정보와 유전정보는 모두 민감정보이다.
여권번호와 외국인등록번호는 모두 고유식별정보이다.
범죄경력자료는 민감정보이지만 군번은 고유식별정보에 해당하지 않는다.

문제 10

개인정보보호위원회 고시에 따른 개인정보 영향평가 영역과 평가분야를 짝 지은 것으로 옳지 않은 것은?

1대상기관 개인정보보호 관리체계 － 개인정보 침해대응

2대상시스템의 개인정보보호 관리체계 － 접근권한 관리

3개인정보처리 단계별 보호조치 － 이용 및 제공

4대상시스템의 기술적 보호조치 － 개인정보의 암호화

정답 및 해설

접근권한 관리는 대상시스템의 개인정보보호 관리체계가 아니라 대상시스템의 기술적 보호조치 영역의 평가분야이다.

대상시스템의 개인정보보호 관리체계 영역은 개인정보취급자 관리, 개인정보파일 관리, 개인정보 처리방침 등으로 구성된다.

개인정보 침해대응은 대상기관 개인정보보호 관리체계 영역의 평가분야이다.
이용 및 제공은 수집·보유·위탁·파기와 함께 개인정보처리 단계별 보호조치 영역에 속한다.
개인정보의 암호화는 접근통제·접속기록 등과 함께 대상시스템의 기술적 보호조치 영역에 속한다.

문제 11

사용자가 웹브라우저에서 정확한 웹페이지 주소를 입력하여도 가짜 웹페이지로 접속되는 피싱 공격은?

1보이스 피싱(Voice Phishing)

2메신저 피싱(Messenger Phishing)

3스미싱(Smishing)

4파밍(Pharming)

정답 및 해설

정확한 주소를 입력해도 가짜 사이트로 연결되는 공격은 파밍(Pharming)이다.

파밍은 악성코드로 PC의 hosts 파일을 변조하거나 DNS 정보를 오염시켜, 정상 도메인을 공격자 서버 IP로 해석되게 만든다.

보이스 피싱은 전화 음성으로 속여 금융정보를 빼내는 수법이다.
메신저 피싱은 메신저 계정을 도용해 지인을 사칭하는 수법이다.
스미싱은 SMS 문자에 악성 링크를 넣어 앱 설치나 정보 입력을 유도하는 수법이다.

문제 12

DSS(Digital Signature Standard)에 대한 설명으로 옳지 않은 것은?

1부인방지를 보장한다.

2공개키 암호 방식을 사용한다.

3메시지의 길이에 비례하는 길이의 전자서명을 생성한다.

4사용되는 해시 함수는 일방향성과 충돌 저항성을 만족해야 한다.

정답 및 해설

DSS는 메시지를 해시한 값에 서명하므로 메시지 길이와 무관하게 고정 길이의 서명을 생성한다.

DSA 서명은 해시값으로 계산한 정수 쌍 $(r, s)$ 로 구성되어, 메시지가 길어져도 서명 크기는 늘어나지 않는다.

개인키로만 생성할 수 있는 서명이므로 서명자의 부인방지를 보장한다.
개인키로 서명하고 공개키로 검증하는 공개키 암호 방식이다.
서명 위조를 막기 위해 해시 함수는 일방향성과 충돌 저항성을 갖춰야 한다.

문제 13

KISA의 IoT 공통 보안 7대 원칙을 기반으로 IoT 보안을 수행할 때 옳지 않은 것은?

1안전한 초기 보안 설정 방안을 제공하여 기본으로 설정된 파라미터 설정 후 재설정 금지

2안전한 설치를 위한 보안 프로토콜 준수 및 안전한 파라미터 설정

3IoT 제품과 서비스의 취약점 패치 및 업데이트 지속 이행

4안전한 운영·관리를 위한 정보보호 및 프라이버시 관리체계 마련

정답 및 해설

기본 설정 파라미터의 재설정을 금지하는 것은 IoT 보안 원칙에 어긋난다.

보안 프로토콜 준수와 안전한 파라미터 설정은 7대 원칙에 포함된다.
제품·서비스의 취약점 보안패치와 업데이트 지속 이행은 7대 원칙에 포함된다.
안전한 운영·관리를 위한 정보보호 및 프라이버시 관리체계 마련은 7대 원칙에 포함된다.

문제 14

다음에서 설명하는 시스템 공격 기법은?

1Race Condition Attack

2Reverse Engineering Attack

3Format String Attack

4Heap Buffer Overflow Attack

정답 및 해설

제시된 공격은 Race Condition Attack이다.

Reverse Engineering Attack은 실행 파일을 분석해 구조·알고리즘을 알아내는 기법이다.
Format String Attack은 printf 계열 함수의 서식 지정자를 악용해 메모리를 읽고 쓰는 기법이다.
Heap Buffer Overflow Attack은 힙 영역 버퍼를 넘치게 해 인접 데이터·포인터를 덮어쓰는 기법이다.

문제 15

무선랜 보안 기술에 대한 설명으로 옳지 않은 것은?

1TKIP는 WPA의 취약점을 해결하기 위해 도입되었다.

2CCMP는 CBC-MAC와 CTR 모드를 이용한다.

3IEEE 802.11i는 TKIP와 CCMP 방식을 지원한다.

4WPA2는 AES 암호 알고리즘을 이용한다.

정답 및 해설

TKIP는 WPA의 취약점이 아니라 WEP의 취약점을 해결하려고 도입되었다.

TKIP는 기존 WEP 하드웨어에서 동작하도록 RC4를 유지하면서 패킷별 키 혼합과 MIC를 추가한 방식이며, WPA의 핵심 암호 방식이다.

CCMP는 CTR 모드로 암호화하고 CBC-MAC로 무결성을 제공하는 CCM 기반 방식이다.
IEEE 802.11i 표준은 TKIP와 CCMP를 모두 규정한다.
WPA2는 AES 기반 CCMP를 필수로 사용한다.

문제 16

스택 버퍼 오버플로우 공격에 대한 방어 기법으로 옳지 않은 것은?

1Stack Guard

2ASLR(Address Space Layout Randomization)

3Stack Shield

4Stack Frame

정답 및 해설

Stack Frame은 함수 호출 시 스택에 만들어지는 저장 구조일 뿐 방어 기법이 아니다.

스택 프레임에는 지역변수·저장된 프레임 포인터·복귀 주소 등이 들어가며, 오버플로 공격은 바로 이 복귀 주소를 덮어쓰는 것이다.

Stack Guard는 복귀 주소 앞에 카나리 값을 두고 변조 여부를 검사한다.
ASLR은 스택·힙·라이브러리 주소를 무작위화해 공격 주소 예측을 어렵게 한다.
Stack Shield는 복귀 주소를 별도 영역에 복사해 두었다가 함수 종료 시 비교·복원한다.

문제 17

IDS(Intrusion Detection System)에 대한 설명으로 옳지 않은 것은?

1비정상행위(Anomaly) 침입탐지는 오용(Misuse) 침입탐지 대비 낮은 오탐률을 보이지만 알려지지 않은 새로운 공격에 취약하다.

2호스트 기반 IDS는 트로이목마, 백도어, 내부자에 의한 공격을 탐지할 수 있다.

3‘외부망

\overset{\text{Ⓐ}}{\longleftrightarrow}

라우터

\overset{\text{Ⓑ}}{\longleftrightarrow}

4IDS 설계 시 침입자의 행동을 엄격하게 정의할수록 공격탐지의 부정오류(False Negative)가 증가한다.

정답 및 해설

비정상행위 탐지는 알려지지 않은 공격도 탐지할 수 있지만 오탐률이 높으므로, 설명이 반대로 되어 있다.

호스트 기반 IDS는 시스템 로그·파일 무결성을 감시하므로 트로이목마, 백도어, 내부자 공격 탐지에 유리하다.
라우터 바깥쪽에 설치하면 라우터에서 걸러지는 트래픽까지 모두 보게 되어 탐지 범위는 넓지만 처리량이 많아진다.
침입 행동을 엄격하게 정의할수록 정의에서 벗어난 공격을 놓치게 되어 미탐(False Negative)이 증가한다.

문제 18

리눅스 사용자 user02의 현재 패스워드 유효기간을 60일로 지정하는 명령어는?

1passwd -l 60 user02

2passwd -w 60 user02

3chage -M 60 user02

4chage -W 60 user02

정답 및 해설

패스워드 최대 사용 기간을 60일로 지정하는 명령어는 chage -M 60 user02이다.

chage의 -M 옵션은 패스워드 변경 후 사용할 수 있는 최대 일수를 설정한다.

passwd -l은 계정 패스워드를 잠그는 옵션으로 유효기간 지정과 무관하다.
passwd -w는 만료 전 경고 일수를 설정한다.
chage -W도 만료 전 경고 일수를 설정하는 옵션이다.

문제 19

데이터베이스 암호화 방식에 대한 설명으로 옳지 않은 것은?

1Plug-In 방식은 구축 시 일부 응용프로그램 수정이 필요할 수 있으며 DB 성능에 대한 검토가 필요하다.

2Hybrid 방식은 일반적으로 Plug-In 방식과 TDE(Transparent Data Encryption) 방식이 조합된 것이다.

3API 방식은 응용프로그램 서버에 설치하는 방식으로써 응용프로그램의 수정이 필요하다.

4TDE 방식은 DBMS 내부 또는 옵션으로 제공되는 암호화 기능을 이용한다.

정답 및 해설

Hybrid 방식은 일반적으로 Plug-In 방식과 API 방식을 조합한 것이므로 TDE와의 조합이라는 설명이 옳지 않다.

Plug-In의 적용 편의성과 API 방식의 성능 이점을 함께 취하려고 두 방식을 혼용한다.

Plug-In 방식은 DB 서버에 암호화 모듈을 설치하는 방식이라 일부 쿼리 수정이 필요할 수 있고 DB 서버 부하 검토가 필요하다.
API 방식은 응용프로그램 서버에서 암·복호화 API를 호출하므로 응용프로그램 수정이 필요하다.
TDE 방식은 DBMS 커널 수준의 내장·옵션 암호화 기능을 이용해 응용프로그램 수정이 거의 없다.

문제 20

1424　1024

2424　1448

31024　424

41024　1448

정답 및 해설

RAM 슬랙은 424바이트, 파일 슬랙은 1448바이트이다.

클러스터 크기 $= 4 \times 512 = 2048$
마지막 섹터 사용량 $= 600 - 512 = 88$
RAM 슬랙 $= 512 - 88 = 424$

파일 슬랙은 클러스터 안에서 파일이 쓰지 않은 전체 남는 공간이다.
$2048 - 600 = 1448 = 424 + 1024$

1024는 사용하지 않은 나머지 두 섹터(드라이브 슬랙)만 센 값으로, RAM 슬랙을 포함한 파일 슬랙 전체가 아니다.
RAM 슬랙은 마지막 섹터 끝까지의 남은 공간이므로 1024가 될 수 없다.

문제 21

ISMS-P(정보보호 및 개인정보보호 관리체계 인증)의 보호대책 요구사항에 해당되지 않는 분야는?

1정책, 조직, 자산 관리

2외부자 보안

3개인정보 제공 시 보호 조치

4접근통제

정답 및 해설

개인정보 제공 시 보호조치는 보호대책 요구사항이 아니라 개인정보 처리단계별 요구사항에 속한다.

정책, 조직, 자산 관리는 보호대책 요구사항의 첫 분야이다.
외부자 보안은 보호대책 요구사항의 분야이다.
접근통제는 보호대책 요구사항의 분야이다.

문제 22

「개인정보 보호법」상 개인정보처리자가 개인정보의 수집 및 이용 동의를 받을 때 정보주체에게 알릴 의무가 있는 사항이 아닌 것은?

1개인정보를 제공받는 자

2동의 거부 시 불이익이 있을 경우 그 불이익 내용

3수집하려는 개인정보의 항목

4개인정보의 보유 및 이용 기간

정답 및 해설

개인정보를 제공받는 자는 수집·이용 동의가 아니라 제3자 제공 동의를 받을 때 알릴 사항이다.

수집·이용 동의 시 알릴 사항은 수집·이용 목적, 수집 항목, 보유 및 이용 기간, 동의 거부 권리와 거부 시 불이익이다.

동의를 거부할 권리와 거부에 따른 불이익이 있으면 그 내용을 알려야 한다.
수집하려는 개인정보의 항목은 알려야 할 사항이다.
개인정보의 보유 및 이용 기간은 알려야 할 사항이다.

문제 23

ISO 27001에 대한 설명으로 옳지 않은 것은?

1영국의 BSI(British Standards Institute)에서 제정한 BS 7799를 기반으로 구성되어 있는 보안 프레임워크이다.

2ISO 27001:2013은 7개의 관리과정으로 구성되어 있으며, 정보보호 통제 요구사항은 10개 영역, 114개 통제 항목으로 구성되어 있다.

3ISO 27001:2013의 관리과정을 PDCA 모델에 적용할 때, 조치(Act)에 해당하는 항목은 개선(Improvement)이다.

4ISO 27001에서 제시한 프레임워크에 따라 조직의 위험을 관리하고 이를 개선해나가는 체계를 갖추더라도 보안 침해는 발생할 수 있다.

정답 및 해설

ISO 27001:2013의 통제 요구사항은 14개 영역, 114개 통제 항목이므로 10개 영역이라는 설명이 옳지 않다.

관리과정은 조직 상황, 리더십, 계획, 지원, 운영, 성과 평가, 개선의 7개 조항이고, 부속서 A가 14개 통제 영역과 114개 통제 항목을 제시한다.

ISO 27001은 영국 BSI의 BS 7799를 바탕으로 국제표준화되었다.
PDCA에 대응시키면 개선(Improvement) 조항이 조치(Act) 단계에 해당한다.
관리체계를 갖추면 위험을 줄일 수는 있지만 보안 침해를 완전히 막을 수는 없다.

문제 24

CC(Common Criteria)에서 사용하는 EAL(Evaluation Assurance Level)과 설계, 시험 및 검토 수준을 짝 지은 것으로 옳은 것은?

1EAL 1 － 구조적 시험
(structurally tested)

2EAL 3 － 방법론적 설계, 시험과 검토
(methodically designed, tested, and reviewed)

3EAL 5 － 준정형적 설계와 시험
(semiformally designed and tested)

4EAL 6 － 정형적으로 검증된 설계와 시험
(formally verified design and tested)

정답 및 해설

EAL 5는 준정형적 설계와 시험(semiformally designed and tested) 수준으로 바르게 짝 지어졌다.

구조적 시험(structurally tested)은 EAL 1이 아니라 EAL 2이다.
방법론적 설계, 시험과 검토는 EAL 3이 아니라 EAL 4이다.
정형적으로 검증된 설계와 시험은 EAL 6이 아니라 EAL 7이다.

문제 25

2접근권한이 필요한 정보는 알리고 동의를 받아야 하지만 접근권한이 필요한 이유는 알릴 필요가 없다.

3접근권한의 범위 및 동의의 방법은 대통령령으로 정한다.

4이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 과학기술정보통신부령으로 정한다.

정답 및 해설

접근권한의 범위 및 동의의 방법은 대통령령으로 정한다는 설명이 옳다.

정보통신망법은 접근권한의 범위·동의 방법과 이용자 정보 보호를 위한 조치 방법 등 필요한 사항을 모두 대통령령에 위임한다.

서비스에 반드시 필요한 접근권한은 필요한 정보·권한 항목과 그 이유를 알리고 동의를 받으며, 동의하지 않을 수 있다는 사실의 고지는 필수가 아닌 선택적 접근권한에 적용된다.
접근권한이 필요한 정보뿐 아니라 접근권한이 필요한 이유도 알려야 한다.
이용자 정보 보호를 위해 필요한 조치 등도 과학기술정보통신부령이 아니라 대통령령으로 정한다.