[경찰간부후보생 정보보호론] 26년 1회차 기출문제 정답·해설 페이지

계정관리를 활성화된 접속 관리로 설명한 것이 틀렸다. 이 설명은 세션관리에 해당한다.
계정관리는 사용자 식별·인증 정보(계정과 패스워드)를 생성·변경·삭제해 정당한 사용자만 시스템에 들어오도록 하는 활동이다.
접근제어: 네트워크 관점에서 다른 시스템으로부터의 접근을 통제한다 — 옳다.
권한관리: 사용자가 정당한 권한으로 허용된 자산에만 접근하게 한다 — 옳다.
로그관리: 내부·외부에서 시스템에 영향을 준 사건을 기록·관리한다 — 옳다.

메시지 변경(변조) 위협에는 디지털 서명이 대응 기술로 적절하다.
디지털 서명은 해시값에 송신자 개인키로 서명하므로 내용이 바뀌면 검증에 실패해 무결성을 확인할 수 있고, 송신자 인증·부인 방지도 함께 제공한다.
부인–암호화: 암호화는 기밀성 기술이며, 부인 방지는 디지털 서명이 담당한다.
도청–메시지 인증 코드: MAC은 무결성·인증 기술로 내용을 숨기지 못하므로 도청은 암호화로 막는다.
위장–일방향 해시 함수: 키 없는 해시는 누구나 계산할 수 있어 송신자를 확인하지 못하므로 위장은 MAC·디지털 서명으로 막는다.

재전송 공격의 대표 예로 다루는 운영 모드는 CFB이다.
CFB는 직전 암호문 블록을 암호화해 키 스트림을 만들므로, 같은 키로 보낸 과거 메시지의 암호문 블록을 끼워 넣으면 교체한 첫 블록만 깨지고 그 뒤 블록은 과거 평문으로 정상 복호화된다. 공격자는 이 성질로 과거 암호문을 재전송해 수신자를 속일 수 있다.
CBC: 평문 블록을 직전 암호문 블록과 XOR한 뒤 암호화하는 모드로, 대표 공격으로는 초기화 벡터의 비트 반전이 거론된다.
OFB: 암호 알고리즘의 출력을 피드백해 키 스트림을 만드는 동기식 스트림 모드로, 암호문 비트 반전 공격이 대표 약점이다.
CTR: 카운터를 암호화해 키 스트림을 만드는 모드로, 같은 키·카운터를 재사용할 때 키 스트림이 노출되는 것이 대표 약점이다.

데이터 링크 계층 보안 프로토콜은 PPTP(문제의 PP2P)·L2F·L2TP의 3개이다.
세 프로토콜은 모두 PPP 프레임을 터널링하는 2계층 VPN 터널링 프로토콜이다.
IPSec: IP 패킷을 보호하는 네트워크 계층 보안 프로토콜이다.
SSL: 전송 계층 위에서 동작하는 보안 프로토콜로 데이터 링크 계층이 아니다.

블루재킹을 임의 동작 실행 공격으로 설명한 것이 틀렸다. 이는 블루버그(블루버깅)에 대한 설명이다.
블루재킹은 블루투스로 근처 장치에 명함·메시지를 익명으로 보내는 스팸성 행위이다.
블루프린팅: 공격 대상이 될 블루투스 장치를 검색·식별하는 활동이다 — 옳다.
블루스나핑: 취약점을 이용해 장치의 파일(주소록 등)에 무단 접근한다 — 옳다.
블루버깅: 장치 간 취약한 연결 관리를 악용해 원격으로 장치를 조작한다 — 옳다.

strcpy()는 포맷스트링이 아니라 버퍼 오버플로에 취약한 함수이다.
strcpy()는 대상 버퍼의 크기를 검사하지 않고 복사하므로 경계를 넘어 쓸 수 있다. 포맷스트링 공격은 printf() 계열에 사용자 입력을 서식 문자열로 그대로 넘길 때 발생한다.
데이터 형태·길이의 불명확한 정의는 소스코드 취약점의 대표 요인이다 — 옳다.
오버플로가 발생하는 버퍼에 심어 실행시키는 공격 코드를 셸코드라 한다 — 옳다.
실행 중 힙이 고갈되면 메모리 할당에 실패해 이상 종료된다 — 옳다.

단일 치환 암호가 다중 치환 암호보다 안전하다는 설명이 틀렸다. 실제로는 다중 치환 암호가 더 안전하다.
단일 치환은 평문 문자 하나가 항상 같은 암호문 문자로 바뀌어 빈도 특성이 그대로 남고, 다중 치환은 같은 문자를 여러 문자로 바꿔 빈도를 평탄하게 만든다.
치환표 자체를 키로 쓸 수 있다 — 옳다.
빈도 분석법으로 암호문을 해독할 수 있다 — 옳다.
평문 문자의 빈도와 대응 암호문 문자의 빈도가 같다 — 옳다.

RTO와 RPO가 모두 0이면 미러 사이트(Mirror Site)를 구축한다.
미러 사이트는 주 센터와 같은 시스템을 원격지에 두고 실시간 동기화하며 동시에 운영하므로 데이터 손실과 복구 시간이 사실상 없다.
Hot Site: 데이터를 동기화해 대기하지만 전환에 일정 시간이 걸려 RTO가 0이 되지는 않는다.
Cold Site: 장소와 기본 설비만 두는 방식으로 복구 시간이 가장 길다.
Warm Site: 중요 업무 위주로 일부 장비만 갖춘 방식으로 복구에 상당한 시간이 걸린다.

추가할 패딩은 384비트이다.
SHA-512는 1024비트 블록 단위로 처리하며, 메시지 뒤에 패딩(첫 비트 1, 나머지 0)을 붙여 길이를 1024로 나눈 나머지 896으로 맞춘 뒤 128비트 길이 필드를 붙인다.
$2560 \bmod 1024 = 512$
$896 - 512 = 384$
검산: $2560 + 384 + 128 = 3072 = 3 \times 1024$
256비트: 길이 필드까지 붙여도 1024의 배수가 되지 않는다.
512비트: 나머지가 0이 되어 길이 필드를 붙이면 1024의 배수에서 어긋난다.
670비트: 1024 블록 경계와 맞지 않는 값이다.

인터넷 회선을 임대회선처럼 쓰게 해 주는 솔루션은 VLAN이 아니라 VPN이다.
VLAN은 스위치에서 물리적 연결과 무관하게 브로드캐스트 도메인을 논리적으로 나누는 기술이다.
NAC: 단말의 MAC 주소 등을 기반으로 네트워크 접근을 인증·통제한다 — 옳다.
DLP: 사용자 단에서 중요 정보가 외부로 유출되는 것을 막는다 — 옳다.
PC 방화벽: 네트워크상의 웜이나 공격자로부터 개별 PC를 보호한다 — 옳다.

침해 대응 절차는 사전 대응 → 침해 사고 발생 → 사고 탐지 → 대응 → 제거 및 복구 → 후속 조치 및 보고 순서이다.
사고 전에 대응 체계를 준비하고, 사고 발생 후에는 탐지 → 대응 → 제거·복구를 거쳐 재발 방지 조치와 보고로 마무리한다.
사고 탐지 → 대응 → 사전 대응 … 순서: 사전 대응이 대응 뒤에 오고 침해 사고 발생이 제거·복구 뒤에 와서 틀리다.
사고 탐지 → 사전 대응 → 제거 및 복구 → 침해 사고 발생 … 순서: 사고가 나기 전에 탐지·복구를 하는 셈이라 틀리다.
사전 대응 → 사고 탐지 → 침해 사고 발생 … 순서: 사고가 발생하기 전에 탐지하는 셈이라 틀리다.

차분 공격은 RSA에 대한 공격 방법이 아니다.
차분 공격은 평문 쌍의 차이가 라운드를 거치며 암호문 차이로 전파되는 특성을 분석하는 블록 암호 분석법이며, RSA의 안전성은 큰 수의 소인수분해 어려움에 기반한다.
p와 q를 추측하는 공격: N을 소인수분해하면 개인키를 계산할 수 있으므로 RSA의 대표 공격이다.
E와 N으로부터 D를 구하는 공격: 공개 정보로 개인키를 계산하려는 수학적 공격이다.
전사 공격: 가능한 개인키를 모두 대입하는 공격으로 RSA에도 적용된다.

평문과 같은 길이의 난수 키를 쓰는 완전 암호는 버냄(Vernam) 암호, 즉 일회용 패드이다.
평문과 난수 키를 비트 단위로 XOR하며, 키가 진정한 난수이고 한 번만 쓰이면 암호문에서 평문에 대한 정보를 전혀 얻을 수 없다.
시저 암호: 각 문자를 일정 자리만큼 밀어 치환하는 단일 치환으로 키 공간이 매우 작다.
플레이페어 암호: 키 행렬로 두 글자씩 묶어 치환하는 다중 문자 치환 암호이다.
힐 암호: 행렬 곱셈으로 여러 글자를 한꺼번에 치환하는 암호로 알려진 평문 공격에 약하다.

ISO27001의 반복 프로세스는 PDCA 사이클이므로 계획 다음 순서는 실행 → 점검 → 처리이다.
계획(Plan)에서 수립한 정보보호 관리체계를 실행(Do)으로 구현·운영하고, 점검(Check)으로 모니터링·검토한 뒤, 처리(Act)로 개선 조치를 하여 다시 계획으로 돌아가 지속적으로 개선한다.
처리 → 점검 → 실행: 개선 조치(처리)가 구현(실행)보다 앞서므로 순서가 뒤집혀 있다.
처리 → 실행 → 점검: 계획 바로 다음은 개선 조치가 아니라 구현 단계인 실행이다.
실행 → 처리 → 점검: 점검 결과를 바탕으로 처리(개선)하므로 점검이 처리보다 먼저 와야 한다.

옳은 것은 세션키를 의사난수 생성기로 생성한다는 것과 평문과 세션키를 각각 암호화해 전송한다는 것이다.
하이브리드 암호는 평문을 대칭키(세션키)로 암호화하고, 그 세션키를 수신자의 공개키로 암호화해 함께 보낸다.
세션키를 송신자의 공개키로 암호화하면 수신자가 복호화할 수 없으므로 틀리다. 수신자의 공개키로 암호화한다.
세션키는 통신마다 새로 만들어 공개키 암호로 전달하는 키이며 사전에 공유해 두는 키가 아니므로 틀리다.

능동적으로 정보를 이동시키거나 시스템 상태를 바꾸는 존재는 주체이므로 주체 속성이다.
ABAC는 주체·객체·환경 속성을 정책 규칙에 대입해 접근 허용 여부를 결정하며, 주체는 사용자나 프로세스처럼 접근을 요청하는 능동적 개체이다.
객체 속성: 접근 대상이 되는 수동적 자원(파일·레코드 등)의 속성이다.
관리 속성: ABAC의 속성 유형(주체·객체·환경)에 해당하지 않는다.
환경 속성: 시간·위치·위협 수준 등 접근 요청이 일어나는 상황 정보이다.

옳은 것은 벨 라파둘라의 상위 레벨 읽기 금지와 비바의 상위 무결성 정보 읽기 허용이다.
벨 라파둘라는 기밀성 모델로 No Read Up·No Write Down을, 비바는 무결성 모델로 No Read Down·No Write Up을 따른다. 무결성 레벨 1이 2보다 신뢰도가 높으므로 레벨 2 주체가 레벨 1 정보를 읽는 것은 허용된다.
벨 라파둘라에서 상위 레벨 문서에 쓰는 것(Write Up)은 허용되므로 쓰기 권한이 없다는 설명은 틀리다.
비바에서 하위 무결성 정보를 상위 무결성 문서에 쓰는 것은 No Write Up 위반이므로 가능하다는 설명은 틀리다.

활용적 통제는 NIST SP800-53 보안 통제 클래스가 아니다.
NIST SP800-53은 보안 통제를 관리적·운영적·기술적 통제의 세 클래스로 구분한다.
관리적 통제: 위험 평가·보안 계획 등 관리 측면의 통제이다.
운영적 통제: 인식 교육·사고 대응·물리적 보호 등 사람이 수행하는 통제이다.
기술적 통제: 접근통제·식별 및 인증·감사 등 시스템이 수행하는 통제이다.

주어진 해시값과 같은 값을 갖는 다른 메시지를 찾는 공격은 전사 공격이다.
제시된 성질은 약한 충돌 내성(제2 역상 저항성)으로, 이를 깨려면 메시지를 바꿔 가며 같은 해시값이 나올 때까지 계산하는 전사(무차별 대입) 공격을 해야 한다.
시간 공격: 연산 소요 시간의 차이로 키를 추정하는 부채널 공격이다.
사전 공격: 자주 쓰이는 단어 목록으로 패스워드를 추측하는 공격이다.
중간자 공격: 통신 당사자 사이에 끼어 메시지를 가로채고 바꾸는 공격이다.

능동적 보안 공격은 삽입 공격과 메시지 변조이다.
능동적 공격은 데이터를 변경·삽입·삭제해 시스템에 영향을 주고, 수동적 공격은 데이터를 바꾸지 않고 엿보기만 한다.
도청: 전송 내용을 몰래 엿듣는 수동적 공격이다.
트래픽 분석: 통신 패턴·빈도를 관찰하는 수동적 공격이다.

디지털 서명은 무결성 검증과 부인 방지를 제공한다.
송신자가 메시지 해시를 자신의 개인키로 서명하고 수신자가 공개키로 검증하므로, 내용 변경을 확인할 수 있고 서명자는 서명 사실을 부인할 수 없다.
기밀성 보장: 서명은 메시지를 숨기지 않으므로 기밀성은 별도 암호화가 필요하다 — 틀리다.
공개키로 생성: 서명은 서명자의 개인키로 생성하고 공개키로 검증한다 — 틀리다.

국가·공공기관이 도입하는 암호모듈의 안전성과 구현 적합성을 검증하는 제도는 KCMVP(암호모듈 검증제도)이다.
KCMVP는 국가정보원이 운영하며, 국가·공공기관 정보통신망에는 검증필 암호모듈을 사용하도록 한다.
CC: IT 제품의 보안 기능 전반을 평가하는 국제 공통평가기준이다.
GDPR: 유럽연합의 개인정보 보호 규정이다.
CCRA: CC 평가 결과를 회원국 간 상호 인정하는 협정이다.

운영체제·서비스·응용 프로그램을 분석하는 것은 시스템 포렌식이다.
분석 대상 시스템에 따라 윈도우·리눅스·유닉스 포렌식 등으로 나뉜다는 점이 핵심 단서다.
디스크 포렌식: 저장 매체의 파일 시스템·삭제 데이터 등을 분석한다.
네트워크 포렌식: 패킷·트래픽·네트워크 로그를 분석한다.
데이터베이스 포렌식: DB의 데이터·트랜잭션·로그를 분석한다.

Needham-Schroeder는 영지식 인증 프로토콜이 아니라 신뢰 서버를 이용한 키 분배·인증 프로토콜이다.
영지식 인증은 비밀 자체를 드러내지 않고 그 비밀을 안다는 사실만 증명하는 방식이다.
Fiat-Shamir: 모듈러 제곱근 계산의 어려움에 기반한 대표적 영지식 인증 프로토콜이다.
Feige-Fiat-Shamir: Fiat-Shamir를 확장해 여러 비밀값을 함께 증명하는 영지식 프로토콜이다.
Guillou-Quisquater: Fiat-Shamir를 개선해 교환 횟수를 줄인 영지식 프로토콜이다.

네 진술이 모두 인증 기관(CA)에 대한 설명으로 옳다.
CA는 이용자의 공개키에 자신의 개인키로 서명해 인증서를 발행하고, 인증서를 폐지하면 폐지 목록을 관리한다.
인증서를 폐지하면 인증서 폐지목록(CRL)을 작성·공고한다 — 옳다.
중앙집중형 방식에서는 CA가 이용자의 키 쌍을 대신 생성할 수 있다 — 옳다.
최상위 루트 CA는 상위 기관이 없으므로 자기 공개키에 자기 개인키로 서명한 자체 서명 인증서를 쓴다 — 옳다.
CA는 자신의 개인키로 서명을 생성해 이용자 인증서를 발행한다 — 옳다.

네 진술이 모두 공통평가기준(CC)에 대한 설명으로 옳다.
CC는 IT 제품·시스템의 보안성을 평가하는 국제 표준(ISO/IEC 15408)이며, CCRA 가입국 간에는 평가 결과를 상호 인정한다.
평가 결과는 가입국 간 상호 인정된다 — 옳다.
EAL4는 방법론적 설계, 시험, 검토 단계의 평가보증등급이다 — 옳다.
IT 제품이나 정보시스템의 보안성 평가를 위한 국제 표준이다 — 옳다.
평가대상(TOE), 보호 프로파일(PP), 보안목표 명세서(ST), 평가보증등급(EAL)으로 구성된다 — 옳다.

과거 출력이 알려져도 다음 값을 알 수 없다는 성질은 예측 불가능성이다.
난수의 성질은 무작위성 → 예측 불가능성 → 재현 불가능성 순으로 강해지며, 암호에 쓰려면 최소한 예측 불가능성을 갖춘 강한 의사난수여야 한다.
규칙성: 난수가 갖춰야 할 성질이 아니라 난수와 반대되는 성질이다.
무작위성: 통계적으로 치우침이 없다는 성질로, 이것만으로는 다음 값을 예측당할 수 있다(약한 의사난수).
재현 불가능성: 같은 수열을 다시 만들 수 없다는 성질로, 소프트웨어만으로는 얻을 수 없고 물리 현상에서 얻는 진정한 난수의 성질이다.

서비스 거부 공격은 제시문이 설명하는 공격에 해당하지 않는다.
제시문은 신뢰 관계를 악용해 사람을 속이는 사회공학 공격이며, 서비스 거부 공격은 자원을 고갈시켜 서비스를 마비시키는 기술적 공격이다.
피싱: 신뢰할 만한 기관을 사칭한 메일·메시지로 정보를 입력하게 속인다.
파밍: 가짜 사이트로 유도해 정상 사이트로 믿고 정보를 입력하게 만든다.
스미싱: 문자 메시지로 악성 링크를 누르게 해 정보를 빼낸다.

옳은 것은 사후심사 연 1회 이상과 한국인터넷진흥원의 인증서 발급·인증심사원 양성이다.
ISMS 인증의 유효기간은 3년이며, 그동안 매년 사후심사를 받고 만료 전에 갱신심사를 받는다.
유효기간 5년: 유효기간은 3년이므로 틀리다.
최초심사 2년 후 사후심사: 사후심사는 인증 후 매년 시행하므로 틀리다.

국내 블록 암호는 SEED·ARIA·HIGHT·LEA이다.
네 알고리즘 모두 국내 기관이 개발해 표준으로 채택한 블록 암호이며, HIGHT·LEA는 경량 환경용이다.
AES: 미국 NIST가 표준으로 채택한 블록 암호이다.
RC5: 미국의 리베스트(Rivest)가 설계한 블록 암호이다.
IDEA: 스위스에서 개발된 블록 암호이다.

확률분포법은 정성적 위험 분석이 아니라 정량적 방법이다.
제시문은 손실을 화폐가치로 측정하지 않고 주관적으로 표현하는 정성적 분석을 설명한다. 확률분포법은 미지의 사건을 확률적 편차로 추정하는 정량적 기법이다.
델파이법: 전문가 집단의 의견을 반복 수렴하는 정성적 방법이다.
순위결정법: 비교 우위 순위를 매겨 위험을 평가하는 정성적 방법이다.
브레인스토밍: 자유로운 토론으로 위협을 도출하는 정성적 방법이다.

WEP는 양방향(상호) 인증이 아니라 단방향 인증만 제공한다.
WEP는 단말이 AP에 공유키를 안다는 것만 증명하고 단말은 AP를 인증하지 않으므로 가짜 AP에 취약하다.
WPA는 WEP를 보완하기 위해 TKIP를 사용한다 — 옳다.
WPA2는 AES 기반 CCMP를 사용한다 — 옳다.
EAP(802.1X)는 인증 서버와 무선 단말 사이에 상호 인증을 제공한다 — 옳다.

가장 적절하지 않은 것은 $e_{2}$는 공개키이다라는 설명이다. Elgamal 디지털 서명에서 공개키는 $e_{2}$ 하나가 아니라 $(e_{1}, e_{2}, p)$의 묶음이고, 개인키는 d이다.
키 생성은 큰 소수 p를 고르고, $Z_{p}^{*}$의 원시근 $e_{1}$과 p-1보다 작은 비밀값 d를 정한 뒤 $e_{2} = e_{1}^{d} \bmod p$를 계산하는 순서다. 검증자는 $e_{1}$, $e_{2}$, p를 모두 알아야 서명을 확인할 수 있다.
p는 이산대수 문제를 풀 수 없을 만큼 큰 소수로 고른다 — 옳다.
$e_{1}$은 $Z_{p}^{*}$의 원시근(생성원)이다 — 옳다.
d는 공개하지 않는 서명자의 개인키이다 — 옳다.

CFB에서 암호문 한 비트 오류가 대응 평문 한 비트에만 영향을 준다는 설명이 틀렸다.
CFB는 암호문이 다음 키 스트림 생성에 피드백되므로, 오류 비트가 대응 평문 비트뿐 아니라 이후 블록의 복호화에도 영향을 준다. 오류가 그 비트에만 머무는 것은 OFB·CTR의 특징이다.
같은 평문 블록도 다른 암호문이 되어 CBC처럼 블록 단위 패턴이 유지되지 않는다 — 옳다.
키 스트림이 이전 암호문에 의존하는 비동기식(자기 동기식) 스트림 암호이다 — 옳다.
같은 키로 여러 메시지를 암호화하면 메시지마다 다른 IV를 써야 한다 — 옳다.

암호화·복호화 모두 병렬 처리가 가능한 모드는 CTR과 ECB이다.
ECB는 블록을 서로 독립적으로 처리하고, CTR은 카운터 값만 알면 각 블록의 키 스트림을 따로 계산할 수 있다.
OFB: 키 스트림이 직전 출력에 의존하므로 암·복호화 모두 순차 처리해야 한다.
CBC: 암호화에 직전 암호문 블록이 필요해 암호화는 병렬 처리가 불가능하다(복호화만 가능).
CFB: 암호화에 직전 암호문 블록이 필요해 암호화는 병렬 처리가 불가능하다(복호화만 가능).

SHA 알고리즘은 CCM의 구성요소가 아니다.
CCM은 CTR 모드로 기밀성을, CBC-MAC으로 인증을 제공하는 블록 암호 운영 모드이며 블록 암호로 AES를 사용한다. 해시 함수는 쓰지 않는다.
AES 알고리즘: CCM의 바탕이 되는 블록 암호이다.
CTR 운영모드: 암호화(기밀성)에 사용된다.
CBC-MAC 인증 알고리즘: 메시지 인증 태그 생성에 사용된다.

웹서버 앞단에서 HTTP 트래픽을 검사해 SQL 인젝션·XSS를 막는 장치는 WAF(웹 방화벽)이다.
WAF는 일반 방화벽이 보지 못하는 애플리케이션 계층(HTTP) 내용을 분석해 웹 공격, 정보 유출, 위·변조를 방어한다.
IDS: 침입 징후를 탐지해 알리는 장비로 차단 기능은 없다.
IPS: 네트워크 전반의 공격을 탐지·차단하는 장비로 웹 애플리케이션 전용이 아니다.
NAC: 단말의 네트워크 접속 자격을 인증·통제하는 솔루션이다.

㉠ 인터넷 홈페이지 게재와 ㉡ 사업장 게시 기간은 모두 30일 이상이다.
영업양도자등이 과실 없이 개별 통지할 수 없으면 인터넷 홈페이지에 30일 이상 게재하고, 게재할 수 없는 정당한 사유가 있으면 사업장의 보기 쉬운 장소에 30일 이상 게시하거나 신문에 싣는다.
30일·60일 조합: 사업장 게시 기간도 30일이므로 틀리다.
60일·30일 조합: 홈페이지 게재 기간은 30일이므로 틀리다.
60일·60일 조합: 두 기간 모두 30일이므로 틀리다.

심사 기간은 ㉠ 90일 이내이고, 연장은 ㉡ 30일의 범위에서 할 수 있다.
본인확인기관 지정 신청을 받으면 신청일부터 90일 이내에 세부 심사기준 충족 여부를 심사해 통지하며, 부득이한 사유가 있으면 그 사유를 알리고 30일 범위에서 연장한다.
30일·30일 조합: 심사 기간이 90일이 아니어서 틀리다.
60일·30일 조합: 심사 기간이 90일이 아니어서 틀리다.
60일·60일 조합: 심사 기간과 연장 범위가 모두 틀리다.

실태점검 대상 기준은 ㉠과 ㉡ 모두 1,000건 이상이다.
연계정보를 생성·처리한 건수가 1,000건 이상인 본인확인기관과, 연계정보를 1,000건 이상 제공받은 연계정보 이용기관이 실태점검 대상이다.
1,000건·3,000건 조합: 이용기관 기준도 1,000건이므로 틀리다.
3,000건·1,000건 조합: 본인확인기관 기준도 1,000건이므로 틀리다.
3,000건·3,000건 조합: 두 기준 모두 1,000건이므로 틀리다.