관리·법규·개인정보·BCP/DRP 혼합

이번 절은 다음 영역을 실전 문제풀이 중심으로 정리합니다.

위험관리
정보보호 관리체계
침해사고 대응
증거 보존
보안관제
BCP/DRP
RTO/RPO
백업
패치·변경·취약점 관리
개인정보보호
제3자 제공과 위탁
안전성 확보조치
유출 대응
ISMS-P
컴플라이언스

관리·법규 파트는 “개념을 아는 것”보다 문장으로 답안을 쓰는 능력이 중요합니다.

시험 전략

관리·법규 문제는 보통 아래 네 가지 유형으로 나옵니다.

1. 개념 정의형
2. 절차 나열형
3. 비교 설명형
4. 상황 대응형

위험관리 절차를 설명하시오.
BCP와 DRP의 차이를 설명하시오.
개인정보 제3자 제공과 위탁의 차이를 설명하시오.
개인정보 유출 사고 발생 시 대응 절차를 설명하시오.

답안은 다음 구조로 쓰면 안정적입니다.

개념 정의
→ 핵심 절차 또는 구성요소
→ 관리 방안 또는 대응 방안

법규 문제는 세부 조문 번호보다 의무와 절차를 정확히 쓰는 것이 중요합니다. 2026-05-06 공식 확인 기준으로 개인정보 안전성 확보조치의 큰 항목은 내부관리계획, 접근권한, 접근통제, 암호화, 접속기록, 악성프로그램 방지, 물리적 조치로 정리할 수 있고, 개인정보 유출 통지·신고는 72시간 이내 구조, 정보통신서비스 제공자의 침해사고 신고는 24시간 이내 구조로 구분합니다.

위험관리 필기형 문제

문제 1

위험관리의 설명으로 가장 적절한 것은?

A. 모든 로그를 삭제하는 과정
B. 취약점 조치 없이 위험을 방치하는 과정
C. 자산의 위협과 취약점을 식별하고 위험을 분석·평가하여 처리하는 과정
D. 파일을 압축하는 과정

위험관리는 자산, 위협, 취약점, 위험을 파악하고 보호대책을 적용하는 과정입니다.

문제 2

위험을 구성하는 핵심 요소로 가장 적절한 것은?

A. 취약점이 없는 상태에서 발생하는 모든 장애
B. 보호대책을 적용한 뒤 반드시 0이 되는 값
C. 자산 중요도와 무관하게 동일하게 평가되는 값
D. 위협이 취약점을 악용하여 자산에 피해를 줄 가능성과 영향

위험은 단순히 위협만 있는 것이 아닙니다.

위험 = 위협 × 취약점 × 자산 영향

실기에서는 이렇게 씁니다.

위험은 위협이 취약점을 악용하여 자산에 손실이나 피해를 발생시킬 가능성과 그 영향을 의미한다.

문제 3

다음 중 취약점에 해당하는 것은?

A. 미패치 서버
B. 해커
C. 고객 DB
D. 보안패치 적용

정리하면 다음입니다.

자산 = 고객 DB
위협 = 해커
취약점 = 미패치 서버
보호대책 = 보안패치

문제 4

정성적 위험분석의 특징으로 적절한 것은?

A. 반드시 금액으로만 계산한다.
B. 위험을 높음, 중간, 낮음 등 등급으로 평가한다.
C. SLE와 ALE만 사용한다.
D. 위험을 평가하지 않는다.

정성적 분석은 쉽고 빠르지만 주관성이 개입될 수 있습니다.

문제 5

정량적 위험분석에서 SLE 계산식은?

A. SLE = AV + EF
B. SLE = ALE × ARO
C. SLE = AV × EF
D. SLE = CIA × PKI

SLE = AV × EF

문제 6

정량적 위험분석에서 ALE 계산식은?

A. ALE = SLE / ARO
B. ALE = AV + EF
C. ALE = RTO - RPO
D. ALE = SLE × ARO

ALE = SLE × ARO

문제 7

AV가 1억 원, EF가 30%, ARO가 2일 때 ALE는?

A. 3천만 원
B. 6천만 원
C. 1억 원
D. 2억 원

SLE = AV × EF
SLE = 100,000,000 × 0.3 = 30,000,000원

ALE = SLE × ARO
ALE = 30,000,000 × 2 = 60,000,000원

문제 8

위험 감소의 예로 적절한 것은?

A. 위험한 서비스를 아예 폐쇄한다.
B. MFA와 보안패치를 적용한다.
C. 사이버 보험에 가입한다.
D. 낮은 위험을 승인 후 받아들인다.

정리하면 다음과 같습니다.

오답 포인트: 서비스를 폐쇄하는 것은 위험 회피, 보험 가입은 위험 전가, 낮은 위험을 승인 후 받아들이는 것은 위험 수용입니다. MFA, 패치, 암호화처럼 위험의 가능성이나 영향을 낮추는 조치가 위험 감소입니다.

문제 9

위험 회피의 예로 가장 적절한 것은?

A. 방화벽을 도입한다.
B. 사이버 보험에 가입한다.
C. 취약한 외부 공개 서비스를 폐쇄한다.
D. 위험이 낮아 승인 후 받아들인다.

위험 회피는 위험한 활동 자체를 하지 않는 것입니다.

오답 포인트: 방화벽 도입과 MFA 적용은 위험 감소에 가깝고, 보험은 위험 전가입니다. “서비스 중단, 기능 폐쇄, 사업 철수”처럼 위험이 생기는 활동 자체를 중단하면 회피로 봅니다.

문제 10

위험 전가의 예로 적절한 것은?

A. 위험한 서비스 폐쇄
B. 취약점 패치
C. 관리자 MFA 적용
D. 사이버 보험 가입

위험 전가는 손실 부담 일부를 제3자에게 이전하는 것입니다.

오답 포인트: 전가는 위험 자체를 없애는 것이 아니라 손실 부담을 보험사나 계약 상대방 등으로 이전하는 방식입니다. 패치와 MFA는 위험 감소, 서비스 폐쇄는 위험 회피로 구분합니다.

문제 11

위험 수용에 대한 설명으로 적절한 것은?

A. 위험을 보호대책으로 완전히 제거하는 것이다.
B. 위험을 몰라서 방치하는 것이다.
C. 위험을 알고 책임자 승인 하에 받아들이는 것이다.
D. 보험으로 모든 책임을 없애는 것이다.

위험 수용 = 알고 받아들임
위험 방치 = 모르거나 무시함

문제 12

잔여위험의 설명으로 적절한 것은?

A. 보호대책 적용 전의 모든 위험
B. 보호대책 적용 후에도 남아 있는 위험
C. 반드시 0이 되는 위험
D. 존재하지 않는 위험

잔여위험은 반드시 평가하고 승인받아야 합니다.

오답 포인트: 보호대책 적용 후에도 위험이 0이 된다고 단정하면 틀립니다. 시험에서는 “남은 위험”, “허용 가능한 수준”, “책임자 승인”이 함께 나오면 잔여위험 관리나 위험 수용으로 연결합니다.

위험관리 실기형 답안

실기 문제 1

문제: 위험관리 절차를 설명하시오.

모범 답안

위험관리는 자산을 식별하고 자산 가치를 평가한 뒤, 자산에 대한 위협과 취약점을 식별하여 위험의 가능성과 영향을 분석·평가하는 과정이다. 이후 위험 감소, 회피, 전가, 수용 중 적절한 처리 방법을 선택하고, 보호대책 적용 후 남는 잔여위험을 책임자의 승인 하에 지속적으로 관리해야 한다.

채점 포인트

자산 식별
위협 식별
취약점 식별
위험 분석·평가
위험 처리
잔여위험 관리

실기 문제 2

문제: 정성적 위험분석과 정량적 위험분석의 차이를 설명하시오.

모범 답안

정성적 위험분석은 위험의 가능성과 영향을 높음, 중간, 낮음 등 등급으로 평가하는 방식으로 수행이 쉽지만 주관성이 개입될 수 있다. 정량적 위험분석은 자산 가치, 손실률, 발생빈도 등을 수치화하여 SLE와 ALE 같은 예상 손실액을 계산하는 방식으로 비용·효과 판단에 유용하지만 정확한 데이터 수집이 어렵다.

실기 문제 3

문제: 위험 처리 방법 4가지를 설명하시오.

모범 답안

위험 처리 방법에는 위험 감소, 회피, 전가, 수용이 있다. 위험 감소는 보안대책을 적용해 가능성이나 영향을 낮추는 것이고, 위험 회피는 위험한 활동을 중단하는 것이며, 위험 전가는 보험이나 외주 계약 등을 통해 손실 부담 일부를 이전하는 것이다. 위험 수용은 위험이 허용 수준 이내라고 판단하여 책임자의 승인 하에 받아들이는 방식이다.

실기 문제 4

문제: 잔여위험의 의미와 관리 필요성을 설명하시오.

모범 답안

잔여위험은 보호대책을 적용한 후에도 완전히 제거되지 않고 남아 있는 위험이다. 모든 위험을 제거하는 것은 현실적으로 어렵기 때문에 잔여위험을 평가하고, 조직의 위험 수용기준에 따라 책임자나 경영진의 승인을 받아 지속적으로 모니터링해야 한다.

정보보호 관리체계 필기형 문제

문제 13

정보보호 관리체계의 설명으로 가장 적절한 것은?

A. 파일 압축 방식
B. 네트워크 케이블 규격
C. 정보보호 정책, 조직, 자산관리, 위험관리, 보호대책, 점검과 개선을 체계적으로 운영하는 체계
D. 해시 알고리즘

정보보호 관리체계는 보안을 일회성 조치가 아니라 지속적 관리 활동으로 운영하는 체계입니다.

문제 14

PDCA 중 Check에 해당하는 활동은?

A. 정책 수립
B. 보안감사와 점검
C. 보호대책 적용
D. 개선조치 반영

Plan = 계획
Do = 실행
Check = 점검
Act = 개선

문제 15

정보보호 정책의 설명으로 가장 적절한 것은?

A. 로그 보관 주기만 정한 운영 기록
B. 개별 시스템의 백업 데이터 목록
C. 세부 작업 순서를 적은 절차서
D. 조직의 보안 목표와 원칙을 정한 최상위 문서

정책은 최상위 방향입니다.

문제 16

정책, 지침, 절차, 기록의 관계로 올바른 것은?

A. 정책은 로그, 지침은 암호문, 절차는 키이다.
B. 정책은 방향, 지침은 기준, 절차는 방법, 기록은 증적이다.
C. 절차가 항상 최상위 문서이다.
D. 기록은 필요 없다.

정책은 방향, 지침은 기준, 절차는 방법, 기록은 수행 증적이다.

문제 17

자산관리 절차로 가장 적절한 것은?

A. 자산 삭제 → 로그 삭제 → 권한 공개
B. 자산 소유자 없이 임의로 폐기
C. 자산 식별 → 소유자 지정 → 중요도 평가 → 등급 분류 → 보호대책 적용 → 정기 점검
D. 모든 자산을 동일 등급으로 처리

자산관리는 위험관리의 출발점입니다.

문제 18

인적보안에 해당하는 활동으로 적절하지 않은 것은?

A. 채용 시 보안서약
B. 재직 중 보안교육
C. 퇴직 시 계정과 출입권한 회수
D. 퇴사자 계정 영구 유지

퇴사자 계정은 즉시 비활성화하거나 삭제해야 합니다.

문제 19

외부자 보안관리 대책으로 적절하지 않은 것은?

A. 계약상 보안조항 명시
B. 최소권한 부여
C. 작업 로그 기록
D. 계약 종료 후에도 계정 유지

외부자 계정은 계약 종료 시 회수해야 합니다.

문제 20

물리보안 대책으로 적절한 것은?

A. SQL 문자열 직접 결합
B. 서버실 출입통제와 CCTV
C. 비밀번호 평문 저장
D. 접근권한 무제한 부여

물리보안은 시설, 장비, 저장매체 보호입니다.

문제 21

보안감사의 목적은?

A. 로그를 삭제하기 위해
B. 모든 계정을 공유하기 위해
C. 보안정책과 보호대책이 적절히 운영되는지 점검하고 미흡사항을 개선하기 위해
D. 백업을 금지하기 위해

보안감사는 관리체계의 Check 단계입니다.

정보보호 관리체계 실기형 답안

실기 문제 5

문제: 정보보호 관리체계의 개념과 필요성을 설명하시오.

모범 답안

정보보호 관리체계는 조직의 정보자산을 보호하기 위해 정보보호 정책, 조직, 자산관리, 위험관리, 보호대책, 교육, 점검, 개선 활동을 체계적으로 수립·운영하는 체계이다. 이를 통해 보안 위험을 줄이고 법규와 내부 정책을 준수하며, 침해사고 예방과 대응, 지속적인 보안 수준 개선을 수행할 수 있다.

실기 문제 6

문제: 정보보호 정책, 지침, 절차, 기록의 차이를 설명하시오.

모범 답안

정보보호 정책은 조직의 보안 목표와 원칙을 정한 최상위 문서이고, 지침은 정책을 구체화한 세부 기준이다. 절차는 실제 업무를 수행하는 순서와 방법을 정의한 문서이며, 기록은 정책과 절차에 따라 수행한 결과를 증명하는 증적이다.

실기 문제 7

문제: 자산관리의 개념과 절차를 설명하시오.

모범 답안

자산관리는 조직이 보호해야 할 정보, 시스템, 소프트웨어, 장비, 서비스 등을 식별하고 중요도에 따라 분류·관리하는 활동이다. 자산 식별, 자산 소유자 지정, 기밀성·무결성·가용성 기준의 중요도 평가, 등급 분류, 보호대책 적용, 변경관리와 정기 점검 절차로 수행해야 한다.

실기 문제 8

문제: 인적보안의 개념과 주요 대책을 설명하시오.

모범 답안

인적보안은 임직원과 외부자의 채용, 재직, 직무 변경, 퇴직 단계에서 보안 위험을 관리하는 활동이다. 채용 시 보안서약과 초기 교육을 실시하고, 재직 중 정기 보안교육과 권한 점검을 수행하며, 부서 이동이나 퇴직 시 불필요한 권한과 계정, 출입권한, 장비와 자료를 즉시 회수해야 한다.

실기 문제 9

문제: 외부자 보안관리 방안을 설명하시오.

모범 답안

외부자 보안관리를 위해 계약 단계에서 비밀유지, 보안책임, 위반 시 조치 등 보안 요구사항을 명시하고 보안서약을 받아야 한다. 업무 수행 중에는 최소권한, 작업 승인, 원격접속 통제, 작업 로그 기록, 자료 반출 통제를 적용하고, 계약 종료 시 계정, 자료, 장비, 출입권한을 회수해야 한다.

실기 문제 10

문제: 물리보안의 개념과 서버실 보호대책을 설명하시오.

모범 답안

물리보안은 서버실, 사무실, 장비, 저장매체 등 물리적 자산에 대한 비인가 접근, 도난, 훼손, 재해를 방지하기 위한 보호활동이다. 서버실에는 출입통제, 출입기록 관리, CCTV, 방문자 동행, 서버랙 잠금, 장비 반출입 통제, UPS, 온습도 관리, 소화설비 등을 적용해야 한다.

침해사고 대응 필기형 문제

문제 22

침해사고의 설명으로 가장 적절한 것은?

A. 정상적인 보안교육 이수
B. 정기 백업 성공
C. 승인된 패치 적용
D. 해킹, 악성코드, 정보 유출, 데이터 변조, 서비스거부 등으로 정보시스템의 CIA가 침해된 사고

침해사고는 기밀성, 무결성, 가용성 침해와 연결됩니다.

문제 23

침해사고 대응 절차로 적절한 것은?

A. 로그 삭제 → 은폐 → 방치
B. 준비 → 탐지 → 초기 대응 → 분석 → 차단 → 제거 → 복구 → 보고 → 재발 방지
C. 복구 → 원인 미확인 → 재침해 허용
D. 사고 보고서 미작성

실기에서는 이 순서를 문장으로 쓸 수 있어야 합니다.

문제 24

침해사고 초기 대응에서 중요한 것은?

A. 사고 보고서 작성만 하고 시스템을 그대로 둔다.
B. 모든 로그 삭제
C. 증거 보존과 피해 확산 방지
D. 감염 시스템을 내부망에 그대로 유지

초기 대응은 “확산 방지 + 증거 보존”입니다.

문제 25

증거 보존 원칙으로 적절하지 않은 것은?

A. 원본 훼손 최소화
B. 해시값으로 무결성 검증
C. 수집자와 인수인계 이력 기록
D. 원본 로그를 임의로 수정

증거는 원본 보존과 무결성 검증이 중요합니다.

문제 26

SIEM의 역할로 가장 적절한 것은?

A. 서버실 문을 잠근다.
B. 여러 보안장비와 시스템의 로그를 통합 수집하고 상관분석한다.
C. 전자서명 개인키를 생성한다.
D. 파일 확장자를 변경한다.

SIEM은 로그 통합 수집, 정규화, 상관분석, 경보를 수행합니다.

침해사고 대응 실기형 답안

실기 문제 11

문제: 침해사고 대응 절차를 설명하시오.

모범 답안

침해사고 대응은 사전 준비, 사고 탐지, 초기 대응, 원인과 피해 범위 분석, 피해 확산 차단, 악성 요소 제거, 서비스 복구, 보고와 신고, 사후 분석 및 재발 방지 순서로 수행한다. 각 단계에서 로그와 증거를 보존하고, 사고 대응 조직의 역할에 따라 신속하게 조치해야 한다.

실기 문제 12

문제: 침해사고 발생 시 증거 보존이 중요한 이유와 방법을 설명하시오.

모범 답안

침해사고 증거는 원인 분석, 피해 범위 확인, 법적 대응, 재발 방지의 근거가 되므로 훼손되지 않도록 보존해야 한다. 로그, 메모리, 디스크 이미지, 악성 파일, 네트워크 패킷 등을 수집하고 해시값으로 무결성을 검증하며, 수집자·시간·인수인계 이력을 기록하여 증거 연계성을 유지해야 한다.

실기 문제 13

문제: 침해사고 보고서에 포함되어야 할 내용을 설명하시오.

모범 답안

침해사고 보고서에는 사고 개요, 발생·탐지 시각, 탐지 경위, 사고 유형, 영향 시스템, 피해 범위, 원인 분석, 공격 경로, 대응 조치, 복구 결과, 증거 목록, 신고·통지 내역, 재발 방지 대책과 향후 개선 계획이 포함되어야 한다.

실기 문제 14

문제: 보안관제와 SIEM의 역할을 설명하시오.

모범 답안

보안관제는 방화벽, IDS/IPS, WAF, 서버, DB, 네트워크 장비 등에서 발생하는 로그와 이벤트를 모니터링하여 보안 위협을 탐지하고 대응하는 활동이다. SIEM은 이러한 로그를 통합 수집·정규화하고 상관분석하여 단일 로그로는 파악하기 어려운 공격 흐름을 탐지하고 사고 분석과 보고를 지원한다.

BCP/DRP 필기형 문제

문제 27

BCP의 설명으로 가장 적절한 것은?

A. 데이터베이스 삭제 명령
B. 전자서명 검증 방식
C. 핵심 업무를 지속하거나 신속히 복구하기 위한 업무연속성계획
D. 비밀번호 해시 함수

BCP는 업무 전체 관점입니다.

문제 28

DRP의 설명으로 적절한 것은?

A. 재해 발생 시 IT 시스템과 데이터를 복구하기 위한 계획
B. 사용자 브라우저에서 스크립트를 실행하는 공격
C. 공개키 인증서 폐지 목록
D. 역할 기반 접근통제

DRP는 IT 복구 중심입니다.

문제 29

BCP와 DRP의 차이로 적절한 것은?

A. BCP는 업무연속성 전체, DRP는 IT 시스템 복구 중심이다.
B. BCP는 암호화, DRP는 해시이다.
C. 두 용어는 완전히 같다.
D. DRP가 항상 BCP보다 넓다.

BCP = 업무 계속
DRP = IT 복구

문제 30

BIA의 설명으로 가장 적절한 것은?

A. 업무 중단의 영향을 분석하여 핵심 업무와 복구 우선순위를 도출한다.
B. 인증서 폐지 여부를 확인한다.
C. 사용자 비밀번호를 해시한다.
D. DNS 응답을 위조한다.

BIA는 업무영향분석입니다.

문제 31

RTO의 의미는?

A. 복구 시간 목표
B. 복구 시점 목표
C. 연간 손실 예상액
D. 인증서 폐지 목록

RTO는 “얼마 안에 복구할 것인가”입니다.

오답 포인트: RTO는 서비스 중단을 허용할 수 있는 시간 한계와 관련됩니다. 데이터 손실 허용 시점은 RPO이고, ALE는 연간 손실 예상액, CRL은 인증서 폐지 목록입니다.

문제 32

RPO의 의미는?

A. 복구 시점 목표
B. 복구 시간 목표
C. 접근통제 목록
D. 침입탐지시스템

RPO는 “어느 시점의 데이터까지 복구할 것인가”입니다.

오답 포인트: RPO는 백업 주기와 데이터 손실 허용량을 판단하는 기준입니다. “4시간 안에 서비스 복구”는 RTO이고, “10분 전 데이터까지 복구”는 RPO로 판별합니다.

문제 33

Hot Site의 특징으로 적절한 것은?

A. 복구 시간이 짧지만 비용이 높다.
B. 장소만 있고 장비는 재해 후 설치한다.
C. 비용은 낮지만 복구 시간이 가장 길다.
D. 백업이 전혀 필요 없다.

Hot Site는 빠른 복구와 높은 비용이 특징입니다.

오답 포인트: Hot Site는 장비와 환경이 사전에 준비되어 RTO가 짧지만 구축·운영 비용이 큽니다. 장소만 준비된 형태는 Cold Site이고, 중간 수준의 장비와 복원 절차를 갖춘 형태는 Warm Site입니다.

문제 34

Cold Site의 특징으로 적절한 것은?

A. 비용은 낮지만 복구 시간이 길다.
B. 실시간 데이터 복제가 항상 수행된다.
C. 운영센터와 완전히 동일하게 동작한다.
D. RTO가 항상 0이다.

Cold Site는 기본 시설 중심입니다.

오답 포인트: Cold Site는 전원, 공간, 통신 등 기본 시설 위주이므로 비용은 낮지만 장비 설치와 데이터 복원 시간이 길어집니다. 실시간 복제나 즉시 전환이 단서라면 Hot Site에 가깝습니다.

문제 35

증분 백업의 설명으로 적절한 것은?

A. 직전 백업 이후 변경된 데이터만 백업한다.
B. 마지막 전체 백업 이후 변경된 모든 데이터를 백업한다.
C. 항상 모든 데이터를 백업한다.
D. 백업하지 않는다.

증분은 직전 백업 이후 변경분입니다.

오답 포인트: 증분 백업은 백업량이 적지만 복구 시 전체 백업과 여러 증분본이 필요할 수 있습니다. “마지막 전체 백업 이후 변경된 모든 데이터”는 차등 백업입니다.

문제 36

차등 백업의 설명으로 적절한 것은?

A. 마지막 전체 백업 이후 변경된 데이터를 백업한다.
B. 직전 백업 이후 변경분만 백업한다.
C. 백업을 하지 않는다.
D. 파일 권한을 변경한다.

차등은 마지막 전체 백업 이후 변경분입니다.

오답 포인트: 차등 백업은 시간이 지날수록 백업량이 늘 수 있지만 복구 시 전체 백업과 마지막 차등본만 있으면 됩니다. “직전 백업 이후”라는 표현은 증분 백업의 단서입니다.

BCP/DRP 실기형 답안

실기 문제 15

문제: BCP와 DRP의 차이를 설명하시오.

모범 답안

BCP는 재해나 장애 상황에서도 조직의 핵심 업무를 지속하거나 신속히 복구하기 위한 전체 업무 관점의 계획이다. DRP는 BCP와 연계되는 IT 복구 계획으로, 서버, DB, 네트워크, 애플리케이션, 데이터 등 정보시스템의 복구 절차와 자원을 정의한다.

실기 문제 16

문제: BIA의 개념과 목적을 설명하시오.

모범 답안

BIA는 업무 중단이 조직에 미치는 재무적, 법적, 운영적, 평판적 영향을 분석하여 핵심 업무와 복구 우선순위를 도출하는 활동이다. 이를 통해 업무별 RTO, RPO, 필요 자원, 시스템 의존성을 파악하고 BCP와 DRP 수립의 근거로 활용한다.

실기 문제 17

문제: RTO와 RPO의 차이를 설명하시오.

모범 답안

RTO는 장애 발생 후 서비스를 얼마 안에 복구해야 하는지를 나타내는 복구 시간 목표이다. RPO는 장애 발생 시 어느 시점의 데이터까지 복구해야 하는지를 나타내는 복구 시점 목표로, RTO는 서비스 중단 시간과 관련되고 RPO는 허용 가능한 데이터 손실량과 관련된다.

실기 문제 18

문제: 백업 보안관리 방안을 설명하시오.

모범 답안

백업은 장애, 삭제, 랜섬웨어, 재해 발생 시 데이터와 시스템을 복구하기 위한 핵심 대책이다. 백업본은 암호화와 접근통제를 적용하고, 오프라인 또는 원격지에 보관하며, 정기적인 복구 테스트와 무결성 검증을 통해 실제 복구 가능성을 확인해야 한다.

실기 문제 19

문제: Hot Site, Warm Site, Cold Site의 차이를 설명하시오.

모범 답안

Hot Site는 운영센터와 유사한 시스템과 데이터를 사전에 준비해 재해 발생 시 짧은 시간 안에 전환할 수 있으나 비용이 높다. Warm Site는 기본 장비와 환경을 준비하고 백업 복원과 추가 설정으로 복구하는 중간 수준의 방식이며, Cold Site는 전원·공간·통신 등 기본 시설만 준비되어 비용은 낮지만 복구 시간이 길다.

보안 운영 필기형 문제

문제 37

패치관리의 목적으로 가장 적절한 것은?

A. 알려진 취약점과 오류를 보완하기 위해 업데이트를 관리한다.
B. 모든 시스템을 취약한 상태로 둔다.
C. 로그를 삭제한다.
D. 인증서를 위조한다.

패치관리는 알려진 취약점 방치 위험을 줄입니다.

문제 38

변경관리 절차로 적절한 것은?

A. 변경 요청 → 영향 분석 → 승인 → 테스트 → 적용 → 검증 → 이력 관리
B. 무단 변경 → 검증 생략 → 기록 삭제
C. 즉시 적용 → 장애 발생 시 방치
D. 모든 변경을 비공개로 진행

변경관리는 장애와 보안 위험을 줄이는 절차입니다.

문제 39

취약점 관리의 설명으로 적절한 것은?

A. 취약점을 식별·평가·조치하고 조치 결과를 검증하는 반복 활동
B. 취약점을 숨기고 방치하는 활동
C. 모든 권한을 공개하는 활동
D. 비밀번호를 평문 저장하는 활동

취약점 관리는 식별, 평가, 조치, 검증의 반복 활동입니다.

문제 40

로그관리 대책으로 적절하지 않은 것은?

A. 로그 접근통제
B. 시간 동기화
C. 로그 무결성 보호
D. 모든 사용자가 로그를 수정 가능하게 설정

로그는 접근권한을 제한하고 변조를 방지해야 합니다.

보안 운영 실기형 답안

실기 문제 20

문제: 패치관리와 변경관리의 필요성을 설명하시오.

모범 답안

패치관리는 운영체제, 소프트웨어, 애플리케이션의 알려진 취약점과 오류를 보완하여 침해사고 가능성을 줄이기 위해 필요하다. 변경관리는 시스템 변경이 장애나 보안 문제를 유발하지 않도록 변경 요청, 영향 분석, 승인, 테스트, 적용, 검증, 이력 관리를 수행하는 절차이다.

실기 문제 21

문제: 취약점 관리 절차를 설명하시오.

모범 답안

취약점 관리는 자산을 식별하고 시스템·네트워크·애플리케이션 취약점을 진단한 뒤, 취약점 심각도와 자산 중요도를 고려하여 우선순위를 정해 조치하는 활동이다. 조치 후에는 재점검으로 개선 여부를 검증하고, 즉시 조치가 어려운 취약점은 예외 승인과 보완대책을 통해 잔여위험을 관리해야 한다.

실기 문제 22

문제: 로그관리의 필요성과 보안대책을 설명하시오.

모범 답안

로그는 침해사고 탐지, 원인 분석, 책임추적성 확보의 핵심 자료이므로 인증, 권한 변경, 관리자 작업, 오류, 보안 이벤트를 수집해야 한다. 로그는 중앙에서 관리하고 시간 동기화, 접근통제, 무결성 보호, 보관기간 설정, 민감정보 마스킹, 정기 점검을 적용해야 한다.

개인정보보호 필기형 문제

문제 41

개인정보에 대한 설명으로 가장 적절한 것은?

A. 살아 있는 개인에 관한 정보로 개인을 알아볼 수 있는 정보
B. 회사 서버의 CPU 사용률만 의미한다.
C. 암호화된 데이터만 의미한다.
D. 공개된 정보는 언제나 개인정보가 아니다.

개인정보는 직접 식별 가능 정보뿐 아니라 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보도 포함합니다.

문제 42

개인정보 처리에 해당하는 행위로 적절하지 않은 것은?

A. 수집
B. 이용
C. 제공
D. 개인정보와 무관한 모니터 전원 켜기

개인정보 처리는 수집, 이용, 제공, 보관, 파기 등을 포함합니다.

문제 43

개인정보 처리 원칙으로 적절한 것은?

A. 목적에 필요한 최소한의 개인정보만 수집한다.
B. 목적과 관계없는 정보를 최대한 많이 수집한다.
C. 보유기간이 끝나도 영구 보관한다.
D. 정보주체 권리를 무시한다.

개인정보는 목적에 필요한 최소한으로 수집해야 합니다.

문제 44

제3자 제공과 위탁의 차이로 적절한 것은?

A. 제3자 제공은 제공받는 자의 목적, 위탁은 위탁자의 업무 목적이다.
B. 둘은 완전히 같은 의미이다.
C. 위탁은 개인정보와 무관하다.
D. 제3자 제공은 파기만 의미한다.

개인정보 처리 위탁은 문서화, 위탁 업무와 수탁자 공개, 수탁자 교육·감독, 목적 외 이용 금지와 재위탁 동의 등과 연결됩니다.

오답 포인트: 제3자 제공은 제공받는 자가 자신의 목적을 위해 개인정보를 이용하는 경우이고, 위탁은 개인정보처리자의 업무를 대신 처리하는 경우입니다. 목적의 주체가 누구인지가 가장 빠른 판별 단서입니다.

문제 45

개인정보 안전성 확보조치에 해당하지 않는 것은?

A. 접근권한 관리
B. 암호화
C. 접속기록 보관
D. 개인정보를 누구나 열람 가능하게 공개

시행령상 안전성 확보조치에는 접근권한 제한, 접근통제, 암호화, 접속기록 저장·점검, 악성프로그램 방지, 물리적 조치 등이 포함됩니다.

오답 포인트: 안전성 확보조치는 개인정보를 아무나 볼 수 있게 공개하는 것이 아니라 분실, 도난, 유출, 위조, 변조, 훼손을 막기 위한 통제입니다. 접근권한, 암호화, 접속기록은 대표적인 정답 단서입니다.

문제 46

개인정보 유출 사고 대응으로 적절한 것은?

A. 유출 항목과 규모를 확인하고 정보주체 통지와 관계기관 신고 요건을 검토한다.
B. 모든 로그를 삭제한다.
C. 유출 사실을 무조건 은폐한다.
D. 피해 최소화 조치를 하지 않는다.

개인정보보호위원회는 개인정보 유출 등을 개인정보가 관리·통제권을 벗어나 제3자가 알 수 있는 상태가 된 것으로 설명하고, 일정 기준에 해당하면 72시간 이내 신고가 필요하다고 안내합니다.

오답 포인트: 유출 사고에서 로그 삭제나 은폐는 증거 훼손과 추가 피해로 이어질 수 있습니다. 먼저 유출 항목, 규모, 경위, 추가 유출 가능성을 확인하고 통지·신고 요건과 피해 최소화 조치를 검토해야 합니다.

문제 47

정보주체 권리로 적절한 것은?

A. 열람, 정정·삭제, 처리정지 요구
B. 타인의 개인정보 무단 열람
C. 서버 관리자 권한 부여
D. 비밀번호 공유

정보주체는 자신의 개인정보 처리에 대해 권리를 행사할 수 있습니다.

문제 48

ISMS-P의 설명으로 가장 적절한 것은?

A. 정보보호와 개인정보보호 관리체계를 인증하는 제도
B. 파일 압축 프로그램
C. IP 주소 변환 프로토콜
D. 물리적 잠금장치만 의미

ISMS-P 인증기준은 2026-05-06 KISA 공식 제도소개 기준으로 관리체계 수립 및 운영 16개, 보호대책 요구사항 64개, 개인정보 처리단계별 요구사항 21개로 구성됩니다.

오답 포인트: ISMS-P는 단순 압축 프로그램이나 네트워크 프로토콜이 아니라 정보보호와 개인정보보호를 함께 보는 인증제도입니다. 개인정보 처리 단계별 보호조치가 포함된다는 점이 ISMS와의 주요 차이입니다.

개인정보보호 실기형 답안

실기 문제 23

문제: 개인정보 처리 원칙을 설명하시오.

모범 답안

개인정보처리자는 처리 목적을 명확히 하고 목적에 필요한 최소한의 개인정보만 적법하게 수집해야 한다. 또한 수집 목적 범위 내에서 이용하고, 정확성과 안전성을 확보하며, 보유기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기해야 한다.

실기 문제 24

문제: 제3자 제공과 업무위탁의 차이를 설명하시오.

모범 답안

제3자 제공은 개인정보를 제공받는 자가 자신의 목적을 위해 개인정보를 이용하는 것이고, 업무위탁은 개인정보처리자의 업무를 수탁자가 대신 수행하는 것이다. 제3자 제공은 제공받는 자, 제공 목적, 제공 항목, 보유기간 등에 대한 동의 등 적법한 근거가 필요하고, 위탁은 위탁계약, 수탁자 공개, 교육·감독, 목적 외 이용 금지, 재위탁 통제가 필요하다.

실기 문제 25

문제: 개인정보 안전성 확보조치를 설명하시오.

모범 답안

개인정보 안전성 확보조치는 개인정보의 분실, 도난, 유출, 위조, 변조, 훼손을 방지하기 위한 관리적·기술적·물리적 보호조치이다. 주요 대책으로 내부관리계획 수립, 접근권한 관리, 접근통제, 비밀번호와 중요정보 암호화, 접속기록 보관·점검, 악성프로그램 방지, 물리적 안전조치가 있다.

실기 문제 26

문제: 개인정보 유출 사고 발생 시 대응 절차를 설명하시오.

모범 답안

개인정보 유출 사고가 발생하면 유출 여부, 유출 항목, 정보주체 수, 유출 시점과 경위, 추가 유출 가능성, 암호화 여부, 피해 가능성을 확인해야 한다. 이후 추가 유출을 차단하고 증거를 보존하며, 정보주체 통지와 관계기관 신고 요건을 검토하고 피해 최소화 조치와 원인 제거, 재발 방지 대책을 수행해야 한다.

실기 문제 27

문제: ISMS와 ISMS-P의 차이를 설명하시오.

모범 답안

ISMS는 조직의 정보보호 관리체계가 적절히 수립·운영되는지 인증하는 제도이다. ISMS-P는 정보보호 관리체계에 개인정보보호 관리체계를 포함한 인증제도로, 개인정보 수집, 이용, 제공, 보관, 파기, 정보주체 권리보장 등 개인정보 처리 단계별 보호조치를 포함한다.

상황형 문제

상황 문제 1

퇴사자 계정이 남아 있고, 해당 계정으로 개인정보처리시스템에 접속한 기록이 확인되었다.

의심 문제

접근권한 회수 미흡
퇴사자 계정 관리 미흡
개인정보 비인가 접근 가능성

모범 답안

퇴사자 계정이 개인정보처리시스템에 남아 있고 접속 기록이 확인되었으므로 접근권한 회수와 계정 관리가 미흡한 상황이다. 해당 계정을 즉시 비활성화하고 접속기록을 분석하여 열람·수정·다운로드된 개인정보 범위를 확인해야 하며, 퇴직·직무변경 시 권한 말소 절차와 정기 권한 점검을 강화해야 한다.

상황 문제 2

랜섬웨어 감염으로 결제 시스템이 중단되었다.
백업은 있지만 최근 백업이 24시간 전 데이터이다.
결제 시스템의 RPO는 10분이었다.

의심 문제

RPO 미충족
백업 주기 부적절
업무연속성·재해복구 계획 미흡

모범 답안

결제 시스템의 RPO가 10분인데 최근 백업이 24시간 전이라면 허용 가능한 데이터 손실 범위를 크게 초과하므로 백업 전략이 업무 요구사항을 충족하지 못한 것이다. 결제 시스템은 BIA 결과에 맞춰 실시간 또는 준실시간 복제, 더 짧은 백업 주기, 원격지·오프라인 백업, 정기 복구 테스트를 적용해야 한다.

상황 문제 3

개인정보 처리 업무를 맡은 수탁업체가 위탁받은 업무 범위를 넘어 자체 마케팅에 고객 정보를 사용했다.

의심 문제

수탁자의 목적 외 이용
위탁 관리 미흡
개인정보 처리 위탁 통제 실패

모범 답안

수탁업체가 위탁받은 업무 범위를 넘어 고객 정보를 자체 마케팅에 사용한 것은 목적 외 이용에 해당하며 위탁 관리가 미흡한 상황이다. 위탁자는 수탁자 처리 현황을 점검하고 위반 행위를 중단시켜야 하며, 위탁계약의 목적 외 이용 금지, 재위탁 통제, 교육·감독, 사고 통보와 손해배상 조항을 점검해야 한다.

상황 문제 4

보안관제에서 VPN 해외 로그인 성공, 관리자 페이지 접속, 대량 DB 조회 이벤트가 10분 이내에 연속 발생했다.

의심 문제

계정 탈취
관리자 권한 오남용
개인정보 유출 가능성

모범 답안

해외 VPN 로그인 후 관리자 페이지 접속과 대량 DB 조회가 짧은 시간 내 연속 발생했으므로 계정 탈취와 개인정보 유출 가능성을 의심할 수 있다. 해당 계정을 즉시 잠그고 세션을 차단하며, VPN·관리자·DB 로그를 상관분석하여 조회된 개인정보 범위와 유출 여부를 확인하고 MFA, 접근 IP 제한, 이상행위 탐지 룰을 강화해야 한다.

상황 문제 5

업무 시스템 변경이 승인 없이 운영환경에 바로 적용되었고,
적용 후 서비스 장애가 발생했다.
변경 이력과 롤백 계획도 없었다.

의심 문제

변경관리 미흡
승인·테스트·롤백 절차 부재

모범 답안

운영환경 변경이 승인 없이 적용되고 장애가 발생했으며 변경 이력과 롤백 계획도 없으므로 변경관리 절차가 미흡한 상황이다. 변경 요청, 영향 분석, 승인, 테스트, 백업과 롤백 계획, 적용, 결과 검증, 변경 이력 기록 절차를 수립하고 운영환경 변경은 승인된 절차에 따라 수행해야 한다.

오답 포인트 정리

핵심 요약

반드시 외울 문장

위험관리는 자산에 대한 위협과 취약점을 식별하고 위험을 분석·평가하여 적절한 보호대책을 수립·적용하며 잔여위험을 관리하는 과정이다.

정성적 위험분석은 위험을 등급으로 평가하고, 정량적 위험분석은 자산 가치와 발생빈도를 수치화하여 SLE와 ALE를 계산한다.

위험 처리 방법에는 위험 감소, 위험 회피, 위험 전가, 위험 수용이 있다.

정보보호 관리체계는 정보보호 정책, 조직, 자산관리, 위험관리, 보호대책, 교육, 점검, 개선 활동을 체계적으로 수립·운영하는 체계이다.

침해사고 대응은 준비, 탐지, 초기 대응, 분석, 차단, 제거, 복구, 보고, 사후 분석, 재발 방지 순서로 수행한다.

침해사고 증거는 원본 훼손을 최소화하고 해시값으로 무결성을 검증하며, 수집자와 인수인계 이력을 기록해야 한다.

BCP는 핵심 업무를 지속하거나 복구하기 위한 업무연속성계획이고, DRP는 IT 시스템과 데이터를 복구하기 위한 재해복구계획이다.

RTO는 장애 발생 후 서비스를 얼마 안에 복구해야 하는지를 나타내고, RPO는 어느 시점의 데이터까지 복구해야 하는지를 나타낸다.

패치관리는 알려진 취약점과 오류를 보완하기 위한 업데이트 관리이고, 변경관리는 운영환경 변경으로 인한 장애와 보안 위험을 줄이기 위한 절차이다.

개인정보는 수집, 이용, 제공, 위탁, 보관, 파기 등 생명주기 전반에서 적법하고 안전하게 관리해야 한다.

제3자 제공은 제공받는 자가 자신의 목적을 위해 개인정보를 이용하는 것이고, 위탁은 개인정보처리자의 업무를 수탁자가 대신 수행하는 것이다.

개인정보 안전성 확보조치에는 내부관리계획, 접근권한 관리, 접근통제, 암호화, 접속기록 보관·점검, 악성프로그램 방지, 물리적 안전조치가 포함된다.

ISMS는 정보보호 관리체계 인증이고, ISMS-P는 정보보호와 개인정보보호 관리체계를 함께 인증하는 제도이다.

연습 과제

이번 과제는 관리·법규·개인정보·BCP/DRP 혼합형입니다.

A. 단답형

1. 위험관리란 무엇인가?
2. 자산, 위협, 취약점, 위험의 차이를 쓰시오.
3. 정성적 위험분석과 정량적 위험분석의 차이를 쓰시오.
4. SLE와 ALE 계산식을 쓰시오.
5. 위험 처리 방법 4가지를 쓰시오.
6. 잔여위험이란 무엇인가?
7. 정보보호 관리체계란 무엇인가?
8. 정책, 지침, 절차, 기록의 차이를 쓰시오.
9. 자산관리 절차를 순서대로 쓰시오.
10. 인적보안의 채용·재직·퇴직 단계별 대책을 쓰시오.
11. 외부자 보안관리 대책 5가지를 쓰시오.
12. 물리보안 대책 5가지를 쓰시오.
13. 침해사고 대응 절차를 순서대로 쓰시오.
14. 침해사고 증거 보존 원칙 5가지를 쓰시오.
15. 보안관제와 SIEM의 역할을 쓰시오.
16. BCP와 DRP의 차이를 쓰시오.
17. BIA란 무엇인가?
18. RTO와 RPO의 차이를 쓰시오.
19. 전체 백업, 증분 백업, 차등 백업의 차이를 쓰시오.
20. Hot Site, Warm Site, Cold Site의 차이를 쓰시오.
21. 패치관리 절차를 순서대로 쓰시오.
22. 변경관리 절차를 순서대로 쓰시오.
23. 취약점 관리 절차를 순서대로 쓰시오.
24. 개인정보 처리 원칙 7가지를 쓰시오.
25. 제3자 제공과 위탁의 차이를 쓰시오.
26. 개인정보 안전성 확보조치 7가지를 쓰시오.
27. 개인정보 유출 사고 대응 절차를 쓰시오.
28. ISMS와 ISMS-P의 차이를 쓰시오.

B. 계산 문제

29. AV가 2억 원, EF가 25%일 때 SLE는?
30. SLE가 5천만 원, ARO가 0.5일 때 ALE는?
31. AV가 10억 원, EF가 10%, ARO가 2일 때 SLE와 ALE는?
32. AV가 3억 원, EF가 40%, ARO가 0.25일 때 SLE와 ALE는?

C. 상황형 문제

33. 퇴사자 계정이 개인정보처리시스템에 남아 있고 접속기록이 확인되었다.

34. 수탁업체가 위탁받은 업무 범위를 넘어 고객 정보를 자체 마케팅에 사용했다.

35. 결제 시스템의 RPO는 5분인데 백업은 하루에 한 번만 수행되고 있다.

36. 운영환경 변경이 승인과 테스트 없이 바로 적용되어 장애가 발생했다.

37. 보안관제에서 해외 VPN 로그인, 관리자 페이지 접속, 대량 DB 조회가 연속 탐지되었다.

38. 개인정보 유출 정황이 확인되었지만 유출 항목과 정보주체 수가 아직 파악되지 않았다.

39. 침해사고 분석 중 웹 로그와 DB 로그 원본을 담당자가 직접 수정했다.

40. 취약점 진단에서 고위험 취약점이 발견되었지만 업무 영향 때문에 즉시 패치가 어렵다.

D. 실기형 답안 작성

아래 문제는 2~4문장으로 작성하세요.

41. 위험관리 절차를 설명하시오.

42. 위험 처리 방법 4가지를 설명하시오.

43. 정보보호 관리체계의 개념과 필요성을 설명하시오.

44. 자산관리의 개념과 절차를 설명하시오.

45. 인적보안의 개념과 주요 대책을 설명하시오.

46. 침해사고 대응 절차를 설명하시오.

47. 침해사고 발생 시 증거 보존이 중요한 이유와 방법을 설명하시오.

48. BCP와 DRP의 차이를 설명하시오.

49. RTO와 RPO의 차이를 설명하시오.

50. 패치관리와 변경관리의 필요성을 설명하시오.

51. 개인정보 처리 원칙을 설명하시오.

52. 제3자 제공과 업무위탁의 차이를 설명하시오.

53. 개인정보 안전성 확보조치를 설명하시오.

54. 개인정보 유출 사고 발생 시 대응 절차를 설명하시오.

55. ISMS와 ISMS-P의 차이를 설명하시오.

정답 방향 및 채점 기준

A. 단답형 핵심 답안

B. 계산 문제 풀이

C. 상황형 정답 방향

D. 실기형 부분점 기준

정의 또는 개념 설명: 30%
절차 또는 핵심 구성요소: 30%
위험 또는 필요성: 20%
증적, 승인, 점검, 재발방지 등 운영 관점: 20%

최신성 확인 메모

개인정보 유출 통지·신고, 침해사고 신고, ISMS-P 인증기준은 시험일 기준 공식 자료로 재확인합니다. 답안에는 조문 번호보다 무엇을 언제 누구에게 어떤 내용으로 조치하는지가 드러나야 합니다.

객관식 품질 보완 메모

• 객관식 정답 분포를 A 19개, B 9개, C 9개, D 11개로 조정하여 A 비율을 39.6%로 낮췄습니다.
• 위험관리, 정보보호 관리체계, 침해사고 대응, BCP 필기형 문항의 보기 순서를 수작업으로 재배치하고 정답: 표기를 함께 맞췄습니다.
• 일부 명백한 오답은 위험 구성요소, 위험처리 유형, 자산관리 절차, 사고 초기 대응처럼 실제로 혼동될 수 있는 비교 보기로 보강했습니다.