Week 06 · 5과목 정보보안 관리 및 법규

Day 1 · 위험분석

1-1. 정보보호 관리란? — 왜 "관리"가 필요한가

방화벽·백신을 사는 것은 기술이고, 그것을 누가, 어떤 기준으로, 얼마의 예산으로, 어떻게 점검하며 운영할지를 정하는 것이 관리다. 아무리 좋은 장비도 정책이 없으면 설정이 엉망이고, 담당자가 퇴사하면 방치된다. 그래서 보안은 "제품"이 아니라 "프로세스"라고 한다.

정보보호의 목표(CIA + α)

정보보호 관리의 특성 (출제기준 "목적·특성")

• 지속성: 한 번 구축으로 끝나지 않음 → PDCA 순환 (Plan-Do-Check-Act)
• 전사성: IT 부서만이 아니라 경영진·인사·총무 모두 관여
• 위험 기반: 모든 것을 막을 수 없으니 위험이 큰 곳에 우선 투자
• 비용 효과성: 대책 비용 ≤ 줄어드는 손실
• 균형성: 보안 ↔ 편의성 ↔ 비용의 균형

flowchart LR
  P[Plan
정책·위험평가·계획] --> D[Do
대책 구현·운영]
  D --> C[Check
모니터링·내부감사]
  C --> A[Act
시정·개선]
  A --> P

1-2. 정보보호 거버넌스

거버넌스(Governance) = 경영진이 보안을 지휘·통제하는 체계. "보안팀이 알아서 하겠지"가 아니라 이사회/CEO가 책임지고 방향을 정하고 결과를 보고받는 구조다. **관리(Management)**가 "어떻게 실행할지"라면 거버넌스는 "올바른 방향인지 감독"한다.

거버넌스 5대 목표(성과 영역) — 기출 단골

• 국제 표준: ISO/IEC 27014 (정보보호 거버넌스). 거버넌스 프로세스: 평가(Evaluate) → 지시(Direct) → 모니터(Monitor) + 의사소통(Communicate) + 보증(Assure).
• IT 거버넌스 프레임워크: COBIT(ISACA)

⚠️ 함정: 27001 = ISMS 요구사항(인증 기준), 27002 = 통제 가이드(실무 지침), 27005 = 위험관리, 27014 = 거버넌스, 27701 = 개인정보(PIMS 확장). 번호를 섞어 내는 문제가 나온다.

1-3. 보안 정책 문서 계층

        ┌──────────────┐
        │  정책 Policy  │  ← 최상위, 경영진 승인, "무엇을/왜" (추상적, 강제)
        ├──────────────┤
        │ 표준 Standard │  ← 정책을 구체화한 의무 규칙 (예: 비밀번호 12자 이상)
        ├──────────────┤
        │ 지침 Guideline│  ← 권고 사항 (선택 가능, 강제 X)
        ├──────────────┤
        │절차 Procedure │  ← 단계별 실행 방법 "어떻게" (가장 구체적)
        └──────────────┘
   + 기준선(Baseline): 시스템별 최소 보안 설정값

• 정책은 최고경영자 승인 후 전 직원에게 공표, 정기적(연 1회 이상) 검토.
• 정책 수립 순서: 정책 → 표준·지침 → 절차 (위에서 아래로)

1-4. 정보보호 조직

flowchart TB
  CEO[최고경영자/이사회] --> COM[정보보호위원회
의사결정·승인]
  COM --> CISO[CISO 정보보호 최고책임자]
  COM --> CPO[CPO 개인정보 보호책임자]
  CISO --> SEC[정보보호 실무조직]
  CPO --> PRV[개인정보 실무조직]
  SEC --> DEP[현업 부서 보안담당자]

⚠️ 함정: 자산의 보안 등급을 결정하는 사람 = 소유자. 관리자(Custodian, 예: 시스템 운영팀)는 소유자의 지시대로 백업·접근권한 설정을 "수행"할 뿐이다. 그리고 보안에 대한 최종 책임 = 최고경영자.

1-5. 위험관리 전체 프로세스

용어 복습 (Week04_웹 기초와 보안관리 입문)

• 자산(Asset): 조직이 보호할 가치가 있는 것 (정보, SW, HW, 인력, 시설, 평판)
• 위협(Threat): 손실을 일으킬 수 있는 원인 (해커, 화재, 실수)
• 취약점(Vulnerability): 위협이 이용할 수 있는 약점 (패치 미적용, 잠금 없는 문)
• 위험(Risk) = 위협이 취약점을 이용해 자산에 손실을 줄 가능성 × 영향
  • 정성적 표현: 위험 = 자산가치 × 위협 × 취약성 (- 기존 대책 효과)
• 보호대책(Safeguard/Control): 위험을 줄이는 수단
• 잔여 위험(Residual Risk): 대책 적용 후에도 남는 위험

flowchart TD
  A[1. 위험관리 전략·계획 수립
범위·방법론·조직] --> B[2. 자산 식별 및 가치 평가
CIA 기준 등급]
  B --> C[3. 위협 평가
발생 가능성]
  B --> D[4. 취약점 평가
심각도]
  C --> E[5. 위험 산정
자산×위협×취약점]
  D --> E
  E --> F{6. DoA 이상?
수용 가능 위험 수준}
  F -- 이하 --> G[수용·모니터링]
  F -- 초과 --> H[7. 위험 처리 전략
감소·회피·전가·수용]
  H --> I[8. 대책 선정·이행계획]
  I --> J[9. 잔여 위험 평가
경영진 승인]
  J --> K[10. 모니터링·재평가]
  K --> B

각 단계 자세히

① 자산 식별·가치 평가

• 자산 목록(인벤토리) 작성 → 각 자산의 기밀성·무결성·가용성 중요도를 1~3 또는 상/중/하로 평가 → 그중 최댓값 또는 합계로 자산 등급 결정 (방법론에 따라 다름).
• 자산 그룹핑: 같은 종류·같은 위협을 받는 자산(예: 웹서버 10대)은 묶어 평가 → 효율↑

② 위협 평가: 자산별로 어떤 위협이 있는지, 발생 가능성(빈도)을 등급화.

③ 취약점 평가: 기술적 진단(스캐너, 모의해킹) + 관리적 점검(인터뷰, 문서 검토) + 물리적 점검(실사). 취약점 심각도를 등급화.

④ 위험 산정: 위 세 값을 곱하거나 매트릭스로 결합해 위험도 도출.

⑤ DoA (Degree of Assurance, 수용 가능 위험 수준): 경영진이 "이 정도 위험까지는 받아들인다"고 정한 기준선. DoA를 넘는 위험만 대책 대상.

⑥ 위험 처리 → 대책 선정 (Day 2)

⑦ 잔여 위험: 대책 후 남는 위험을 다시 평가 → 경영진이 승인(수용). 승인 기록을 남겨야 함 (ISMS-P 심사 포인트).

🛒 시나리오: 온라인 쇼핑몰 "마켓A" 위험분석 walk-through

1. 범위: 쇼핑몰 웹서비스, 회원 DB, 결제 연동 서버, 개발·운영 인력
2. 자산 가치(C/I/A, 3점 만점)

   자산	C	I	A	등급(최댓값)
   회원 DB	3	3	2	3
   웹서버	1	3	3	3
   사내 그룹웨어	2	2	1	2
   홍보 이미지 서버	1	1	1	1

3. 위협·취약점: 회원 DB ← SQL 인젝션(가능성 3) × 입력값 검증 미흡(취약성 3)
4. 위험도 = 3 × 3 × 3 = 27 (최대 27) / 홍보 이미지 서버 DDoS: 1 × 2 × 2 = 4
5. DoA = 12 로 경영진 결정 → 회원 DB 위험(27)은 대책 필수, 이미지 서버(4)는 수용
6. 대책: 웹방화벽 + 시큐어코딩(Prepared Statement) → 취약성 3→1 → 잔여 위험 3×3×1 = 9 (< 12) → CEO 승인

1-6. 위험분석 접근법 4가지 (★)

⚠️ 함정: "복합 접근법은 먼저 고위험 영역을 식별하는 초기 고수준 분석을 한 뒤 나눈다." 또 "비정형 접근법 = 구조적 방법 없음"이므로 '구조화된 기법'이라는 보기는 틀림.

1-7. 정량적 분석 vs 정성적 분석

정량적 기법 상세

• 과거자료 분석법: 과거 사고 데이터로 미래 추정. 자료가 많을수록 정확, 과거에 없던 사건은 예측 불가.
• 수학공식 접근법: 발생 빈도를 계산해 ALE 공식 등으로 산출. 간결·과거 데이터 필요.
• 확률 분포법: 미지의 사건을 확률분포(정규·균등 등)로 추정. 정확도 낮을 수 있음.
• 점수법: 위험 요소별 가중치 점수 합산 (교재에 따라 정량/정성 분류 차이 있음)

정성적 기법 상세

• 델파이법: 전문가 집단에 익명 설문을 반복해 의견을 수렴. 빠르지만 추정의 정확도는 낮음.
• 시나리오법: "만약 ~이 발생하면?" 가정 → 결과 추론. 적은 정보로 가능, 발생 가능성 정확도 낮음.
• 순위결정법: 비교우위로 위험 순위. 빠르지만 정확도 낮음.
• 퍼지 행렬법: 자산·위협·취약점을 퍼지 논리(애매함을 수치로)로 처리. 정량 데이터가 없을 때.
• 질문서법: 체크리스트 질문.

1-8. 정량 계산 — 공식과 연습 (★ 매회 1문제)

AV  (Asset Value)            : 자산 가치
EF  (Exposure Factor)        : 노출 계수 = 사고 1회 시 손실 비율 (0~1)
SLE (Single Loss Expectancy) : 단일 손실 예상액 = AV × EF
ARO (Annualized Rate of Occurrence): 연간 발생률 (10년에 1번 = 0.1)
ALE (Annualized Loss Expectancy) : 연간 손실 예상액 = SLE × ARO

대책의 연간 가치 = (대책 전 ALE − 대책 후 ALE) − 대책 연간 비용
              > 0 이면 도입 타당, < 0 이면 비효율

예제 1 — 기본

자산 2억 원 서버실, 화재 시 50% 손실, 10년에 1회 발생.

• SLE = 2억 × 0.5 = 1억
• ARO = 1/10 = 0.1
• ALE = 1억 × 0.1 = 1,000만 원/년
• → 연간 1,000만 원보다 비싼 화재 대책은 (이 위험만 봤을 때) 비효율.

예제 2 — ARO가 1보다 큰 경우

고객센터 PC 랜섬웨어: PC 1대 가치 200만 원, 감염 시 30% 손실(복구 비용), 1년에 4번 발생.

• SLE = 200만 × 0.3 = 60만
• ARO = 4
• ALE = 60만 × 4 = 240만 원/년

예제 3 — 대책 비용효과 판단

고객 DB 가치 10억, 유출 시 EF 0.4, 연 0.5회. 대책 A(연 1.2억)는 ARO를 0.1로 낮춤. 대책 B(연 0.5억)는 EF를 0.2로 낮춤.

• 대책 전 ALE = 10억 × 0.4 × 0.5 = 2억
• 대책 A 후 ALE = 10억 × 0.4 × 0.1 = 0.4억 → 가치 = (2 − 0.4) − 1.2 = +0.4억 ✅
• 대책 B 후 ALE = 10억 × 0.2 × 0.5 = 1억 → 가치 = (2 − 1) − 0.5 = +0.5억 ✅ (B가 더 효과적)

예제 4 — 역산

ALE가 600만 원, ARO가 0.2, AV가 1억일 때 EF는?

• SLE = ALE / ARO = 600만 / 0.2 = 3,000만
• EF = SLE / AV = 3,000만 / 1억 = 0.3 (30%)

예제 5 — 함정 (ARO 단위)

"3년에 2번 발생"의 ARO = 2/3 ≈ 0.67. "매월 1번" = 12.

⚠️ Day 1 시험 함정

• ALE = SLE × ARO, SLE = AV × EF (ARO를 SLE 공식에 넣는 보기 주의)
• 델파이법은 정성적, 과거자료 분석법은 정량적
• 위험 = 자산 × 위협 × 취약점 — 셋 중 하나가 0이면 위험도 0 (취약점 없으면 위협이 있어도 위험 없음)
• DoA는 "수용 가능한 위험 수준" — 위험을 0으로 만드는 것은 불가능·비경제적
• 잔여 위험은 **경영진이 수용(승인)**한다. 보안담당자가 아님
• 기준선 접근법 = 조직 특성 반영 못함 / 상세 = 비용 큼 / 복합 = 고위험 식별 실패 위험
• 정책은 강제, 지침은 권고

📌 기출 포인트 (복원 기출 경향)

• 정량/정성 기법 분류 (어느 것이 정성적 기법이 아닌가) — 거의 매회
• ALE 계산 또는 공식 구성 요소
• 위험분석 접근법 특징 매칭 (특히 복합 접근법 설명)
• 위험관리 절차 순서 배열 (자산식별 → 위협/취약점 → 위험평가 → 대책)
• 거버넌스 목표 / 정책·표준·지침·절차 구분

✏️ Day 1 확인 문제

Q1. 다음 중 정성적 위험분석 기법이 아닌 것은?
① 델파이법 ② 시나리오법 ③ 과거자료 분석법 ④ 퍼지 행렬법

Q2. 자산가치 5억, 노출계수 20%, 4년에 1번 발생하는 위협의 ALE는?
① 1,000만 원 ② 2,500만 원 ③ 1억 원 ④ 4억 원

Q3. 고위험 시스템에는 상세 위험분석을, 그 외에는 기준선 접근법을 적용하는 방식의 단점으로 옳은 것은?
① 모든 시스템을 정밀 분석하므로 비용이 가장 크다
② 초기 고위험 영역 식별이 잘못되면 중요 시스템이 기준선 수준 보호에 그친다
③ 전문가 개인의 경험에 전적으로 의존한다
④ 조직 특성을 전혀 반영할 수 없다

Q4. 보안 문서 체계에 대한 설명으로 틀린 것은?
① 정책은 최고경영자 승인을 받는 최상위 문서이다
② 지침(Guideline)은 반드시 준수해야 하는 강제 규정이다
③ 절차(Procedure)는 업무를 단계별로 기술한 가장 구체적인 문서이다
④ 표준은 정책을 구체화한 의무적 규칙이다

Q5. 정보자산의 보안 등급(분류)을 결정할 책임이 있는 사람은?
① 자산 관리자(Custodian) ② 자산 소유자(Owner) ③ 일반 사용자 ④ 내부 감사자

Q6. 위험관리에서 DoA(Degree of Assurance)에 대한 설명으로 옳은 것은?
① 대책 적용 후 남은 위험
② 경영진이 수용 가능하다고 결정한 위험 수준
③ 위협의 연간 발생 빈도
④ 자산 손실 비율

Day 2 · 위험 대응 · 보안 대책 · 조직

2-1. 위험 처리(대응) 전략 4가지 (★ 필기·실기 필수)

          영향(Impact) 큼
               │
     전가      │      회피 / 감소
  (보험)       │   (드물지만 치명 → 전가도 고려)
───────────────┼───────────────  발생 가능성 큼
     수용      │      감소
  (작고 드묾)  │   (자주, 영향 작음)
               │

⚠️ 함정: 전가해도 책임(특히 법적 책임)까지 넘어가지는 않는다. 개인정보 처리를 위탁해도 위탁자가 관리·감독 책임을 진다. 보험은 금전 손실만 보전, 평판 손실은 남는다.
⚠️ "위험을 무시(Ignore/Reject)"는 대응 전략이 아니다. 수용은 인지하고 문서화하고 승인하는 것.

🧩 연습: 전략 분류 (답 가리고 풀기)

5번처럼 애매한 경우 시험에서는 "제3자에게 넘긴다"는 키워드가 있으면 전가를 고른다.

2-2. 보호대책 선정과 이행계획

대책 유형 (기능별)

대책 유형 (형태별): 관리적(정책·교육·감사) / 물리적(출입통제·CCTV·소화설비) / 기술적(암호화·IDS·접근통제)

대책 선정 시 고려사항: 비용 대비 효과, 위험 감소 정도, 기존 대책과의 중복·충돌, 법적 요구사항(법적 의무 대책은 비용과 무관하게 필수), 운영 용이성, 사용자 수용성.

정보보호 계획서(이행계획) 포함 내용

• 대책 명, 대상 위험, 우선순위, 담당자(책임자), 일정, 예산, 필요 자원, 완료 기준
• 경영진 승인 → 이행 → 이행 결과 점검(이행 여부 확인) → 경영진 보고

💡 우선순위 기준: 위험도 높은 순 + 법적 의무 + 빨리 적용 가능한 것(Quick Win).

2-3. 관리적 보안 ① 인적 보안

사람은 가장 약한 고리다. 채용 → 재직 → 퇴직 전 주기에 걸쳐 관리한다.

flowchart LR
  H[채용
신원확인·보안서약서] --> W[재직
교육·직무분리·직무순환
강제휴가·최소권한]
  W --> M[인사이동
권한 변경]
  M --> Q[퇴직
자산 반납·계정 즉시 회수
퇴직 서약서]

⚠️ 함정: 직무분리 = 업무를 나눔(다른 사람이 각자), 이중통제 = 한 업무를 둘이 동시에. 직무순환·강제휴가는 부정 탐지 성격이 강하다.

외부자(협력업체) 보안: 계약서에 보안 요구사항·비밀유지·위반 시 책임 명시, 최소 접근, 작업 시 감독, 계약 종료 시 자산·계정 회수, 정기 점검.

보안 인식 교육

• 연간 교육 계획 수립 → 대상별(임원, 일반 직원, IT 담당자, 개인정보취급자, 외주 인력) 차별화 → 실시 → 효과 측정(시험·모의훈련) → 개선
• 신규 입사자는 업무 시작 전 교육
• 인식(Awareness) < 훈련(Training) < 교육(Education) 순으로 깊이 증가

2-4. 관리적 보안 ② 보안 감사(내부감사)

• 목적: 정책·대책이 제대로 이행되는지 독립적으로 점검, 결과를 경영진에 보고
• 독립성: 감사자는 피감사 업무와 무관해야 함 (자기 업무를 자기가 감사 X)
• 절차: 감사 계획 → 준비(체크리스트) → 실시(인터뷰·문서검토·실사·기술 점검) → 결과 보고 → 시정조치 → 후속 확인
• 감사 증적: 감사 로그(Audit Trail) — 누가·언제·무엇을 했는지. 로그 자체를 위·변조로부터 보호, 일정 기간 보관.
• 외부 감사: 인증 심사, 법정 감사 등

2-5. 물리적 보안

화재 등급 (소화 방식)

스프링클러 유형: 습식(배관에 물 상시, 빠르지만 오작동·동결 위험) / 건식(공기 충전, 동결 지역) / 준비작동식(Pre-action, 감지기+헤드 2단계 → 전산실 권장) / 일제살수식(Deluge).

UPS 종류: 오프라인(평소 상용전원, 정전 시 전환 — 전환시간 존재), 라인 인터랙티브, 온라인(항상 인버터 경유 — 전환시간 0, 가장 안정적).

⚠️ 함정: 전산실 화재 = C급 → 물(습식 스프링클러) 부적합. 맨트랩이 막는 것 = 피기배킹(Piggybacking).

2-6. 업무 연속성 관리 (BCP · DRP)

개념 정리

• BCP(Business Continuity Plan, 업무연속성계획): 재난·장애 시 핵심 업무 전체(사람, 시설, 프로세스, IT)를 지속·복구하는 계획
• DRP(Disaster Recovery Plan, 재해복구계획): 그중 IT 시스템·데이터 복구에 초점 → BCP ⊃ DRP
• BCM(Business Continuity Management): BCP를 수립·운영·개선하는 경영 체계 (표준: ISO 22301)
• BIA(Business Impact Analysis, 업무영향분석): 업무가 중단되면 얼마나 피해가 나는지, 얼마나 빨리 복구해야 하는지 분석 → 핵심 업무·복구 우선순위·RTO/RPO 도출

 RPO 타임라인
  마지막 백업          장애 발생            시스템 복구         업무 정상화
      │◄──── RPO ────►│◄────── RTO ──────►│◄──── WRT ────►│
      │ (잃는 데이터) │  (시스템 다운)     │ (검증·재입력)  │
      │               │◄─────────────── MTD 이내여야 함 ───────►│
  ────●───────────────✖───────────────────●────────────────●──── 시간

• RPO = 0 → 실시간 복제(미러링) 필요, 비용 최대
• RTO 짧을수록 → 핫/미러 사이트, 비용 증가

BCP 수립 절차 (출처마다 약간 다르지만 흐름은 동일)

flowchart TD
  A[1. 프로젝트 범위 설정·계획
경영진 지원 확보] --> B[2. 사업영향평가 BIA
핵심업무·RTO·RPO]
  B --> C[3. 복구 전략 개발
DR 사이트·백업 방식]
  C --> D[4. 복구 계획 수립
역할·연락망·절차서]
  D --> E[5. 테스트·훈련]
  E --> F[6. 유지보수·갱신]
  F --> B

BCP 테스트 종류 (부담 적은 순)

2-7. 재해복구 센터(DR 사이트) 유형

기타 복구 방식

• 상호지원협약(Reciprocal Agreement): 비슷한 시스템을 가진 다른 기관과 서로 장비를 빌려주기로 약속. 비용 거의 없음. 단점: 법적 강제력 약함, 상대 기관 여유 자원 부족, 보안(기밀성) 문제, 동시 재해 시 무용, 테스트 어려움.
• 이동식(Mobile) 사이트: 트레일러에 장비 탑재
• 서비스 뷰로(Service Bureau): 외부 업체의 처리 능력 임대
• 다중 센터(Multiple Center): 처리 업무를 여러 자체 센터에 분산

⚠️ 함정: "가장 저렴하지만 복구 시간이 가장 오래 걸림" = 콜드 사이트. "비용이 거의 들지 않지만 보안상 위험" = 상호지원협약. 핫 사이트의 장점 = 빠름 / 단점 = 비용, 유지보수 부담.

2-8. 백업 방식

 일  월  화  수  목
 [F]                    ← 일요일 전체
     [D:월]
     [D:월~화.......]    차등: 매일 '일요일 이후 전부' (점점 커짐)
     [D:월~수.............]
 
 [F]
     [I:월]
          [I:화]         증분: 매일 '어제 이후'만 (작음)
               [I:수]

백업 테이프 수 계산 (★ 실기형도 출제)

문제 1. 일요일 밤 전체 백업, 월~토 매일 밤 증분 백업. 금요일 오전에 디스크 장애. 복구에 필요한 테이프 수는?

• 필요: 일(F) + 월(I) + 화(I) + 수(I) + 목(I) = 5개

문제 2. 같은 조건에서 매일 차등 백업이라면?

• 필요: 일(F) + 목(D) = 2개

문제 3. 매월 1일 전체, 매주 일요일 차등, 매일 증분(월~토). 15일(목요일이라 가정) 오전 장애, 전날까지 백업 성공. 직전 일요일은 11일.

• 필요: 1일(F) + 11일 일요일(D, 1일 이후 전부) + 12·13·14일(I) = 5개

문제 4. 증분 백업의 장단점을 차등과 비교하면?

• 증분: 백업 빠르고 저장 공간 적음 / 복구 느림, 테이프 하나라도 손상되면 복구 불가 위험
• 차등: 백업 점점 느려짐 / 복구 빠름(2개)

백업 매체 순환 — GFS (Grandfather-Father-Son)

 Son(아들)        = 일일 백업 (월~목 등, 테이프 4~6개 재사용)
 Father(아버지)   = 주간 백업 (매주 금요일, 4~5개 재사용)
 Grandfather(할아버지) = 월간 백업 (매월 말, 12개 또는 장기 보관·소산)

• 장점: 적은 매체로 긴 기간의 복구 시점 확보
• 소산(Off-site) 보관: 백업 매체를 원격지에 보관 → 주센터 재해에도 데이터 보존
• 기타: 하노이의 탑(Tower of Hanoi) 순환 방식
• 3-2-1 규칙: 사본 3개, 서로 다른 매체 2종, 1개는 원격지(오프사이트). 랜섬웨어 대비로 오프라인(에어갭)·불변(Immutable) 백업 추가.

⚠️ Day 2 시험 함정

• 보험 = 전가, 서비스 중단 = 회피, 아무것도 안 함 + 경영진 승인 = 수용
• 위탁(전가)해도 법적 책임은 위탁자에게 남는다
• 직무순환·강제휴가 = 부정 탐지 / 직무분리·이중통제 = 예방
• 전산실 = 가스계 소화, 준비작동식 스프링클러
• BCP ⊃ DRP, BIA는 BCP의 두 번째 단계 (범위 설정 후)
• RTO = 시간, RPO = 데이터 시점(손실량). "백업 주기와 관련" = RPO
• 증분 복구 = 전체 + 모든 증분 / 차등 복구 = 전체 + 마지막 차등
• 차등 백업은 아카이브 비트를 지우지 않는다 (그래서 누적됨)

📌 기출 포인트

• 위험 대응 전략 매칭 (보험·아웃소싱 = 전가) — 매회 급
• BCP 절차 순서 / BIA의 목적
• RTO·RPO 정의 구분
• DR 사이트 비교 (복구 시간·비용 순서), 상호지원협약 단점
• 증분·차등 백업 복구 시 필요 매체 수
• 직무분리·직무순환·강제휴가의 목적

✏️ Day 2 확인 문제

Q1. 다음 중 위험 전가(Transfer)에 해당하는 것은?
① 취약한 레거시 서비스를 폐쇄한다
② 사이버 배상책임보험에 가입한다
③ 침입탐지시스템을 도입한다
④ 대책 비용이 커서 위험을 문서화하고 그대로 둔다

Q2. 일요일 전체 백업, 월~토 매일 증분 백업을 수행한다. 목요일 오후 장애 시(수요일 밤 백업까지 완료) 복구에 필요한 백업 매체 수는?
① 1개 ② 2개 ③ 4개 ④ 5개

Q3. 재해복구 센터에 대한 설명으로 옳지 않은 것은?
① 미러 사이트는 주센터와 동일한 시스템을 실시간으로 운영한다
② 콜드 사이트는 공간과 전원 등 기본 설비만 갖춘다
③ 웜 사이트는 핫 사이트보다 복구 시간이 짧다
④ 상호지원협약은 비용이 적지만 보안 문제가 발생할 수 있다

Q4. "장애 발생 시 최대 1시간 분량의 데이터 손실까지만 허용한다"는 목표를 나타내는 지표는?
① RTO ② RPO ③ MTD ④ WRT

Q5. 직원이 휴가를 떠난 동안 대리자가 업무를 수행하면서 숨겨진 부정행위를 발견하도록 하는 인적 보안 통제는?
① 직무분리 ② 이중통제 ③ 강제휴가 ④ 최소권한

Q6. 출입 시 인가자를 따라 비인가자가 들어오는 것을 방지하기 위한 물리적 통제로 가장 적절한 것은?
① UPS ② 맨트랩 ③ 디가우저 ④ 항온항습기

Day 3 · 침해사고 대응 · 디지털 포렌식

3-1. 침해사고란?

침해사고: 해킹, 컴퓨터 바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등으로 정보통신망 또는 관련 정보시스템을 공격하는 행위로 발생한 사태 (정보통신망법 정의 요지). 단순 장애(정전, HW 고장)는 침해사고가 아니라 "장애"로 구분한다.

왜 절차가 필요한가? 사고가 터지면 사람들은 당황해서 서버를 재부팅하고 로그를 지운다. 그러면 원인을 알 수 없고 증거도 사라진다. 미리 정한 절차대로 움직여야 피해 최소화 + 증거 보존 + 재발 방지가 동시에 된다.

3-2. 침해사고 대응 7단계 (KISA 가이드 기준, ★ 순서 문제)

flowchart LR
  A[1 사고 전 준비] --> B[2 사고 탐지]
  B --> C[3 초기 대응]
  C --> D[4 대응 전략 체계화]
  D --> E[5 사고 조사
데이터 수집·분석]
  E --> F[6 보고서 작성]
  F --> G[7 해결]
  G -.교훈 반영.-> A

⚠️ 함정: "초기 대응" 다음이 "대응 전략 체계화", 그 다음이 "사고 조사". 조사보다 전략 수립이 먼저다. 보고서 작성이 해결보다 먼저.

참고 — NIST SP 800-61 4단계: ① 준비 → ② 탐지·분석 → ③ 봉쇄·근절·복구 → ④ 사후 활동(교훈). 문제에서 "봉쇄(Containment)"가 나오면 NIST 모델.

3-3. CERT (침해사고 대응팀)

• CERT(Computer Emergency Response Team) / CSIRT: 침해사고 예방·탐지·대응 전담 조직
• 국내 체계

  조직	역할
  KISA 인터넷침해대응센터(KrCERT/CC)	민간 분야 침해사고 신고 접수·대응 총괄
  국가정보원 국가사이버안보센터(NCSC)	공공(국가·공공기관) 분야
  국방부 사이버작전사령부	국방 분야
  ISAC(정보공유분석센터)	금융·통신 등 분야별 취약점·침해 정보 공유 (Day 4)

• 기업 CERT 구성: 책임자, 기술 분석가, 법무·홍보 담당 연락 창구
• CERT 운영 모델: 중앙집중형 / 분산형 / 혼합형

3-4. 디지털 포렌식 기본

디지털 포렌식: 디지털 기기에 남은 데이터를 법적 증거로 인정받을 수 있도록 수집·분석·보고하는 절차와 기술. 핵심은 "찾는 것"보다 "법정에서 증거능력이 인정되게" 다루는 것.

5대 원칙 (★)

⚠️ 함정: "증거물이 획득·이송·분석·보관·제출 각 단계에서 담당자와 책임자를 명확히 해야 한다" = 연계보관성. "해시로 동일함 확인" = 무결성. 둘을 섞어 낸다.

포렌식 수행 절차

flowchart LR
  A[1 수사 준비
장비·인력·영장] --> B[2 증거 수집
휘발성 우선, 해시 생성]
  B --> C[3 증거 포장·이송
봉인·연계보관 기록]
  C --> D[4 조사 분석
사본으로 분석]
  D --> E[5 정밀 검토]
  E --> F[6 보고서 작성]

3-5. 증거 수집 순서 — 휘발성 순 (RFC 3227 기반)

 휘발성 높음 (먼저 수집)
   │ 1. CPU 레지스터, 캐시
   │ 2. 라우팅 테이블, ARP 캐시, 프로세스 테이블, 커널 통계, 메모리(RAM)
   │ 3. 임시 파일 시스템 (/tmp, swap)
   │ 4. 디스크
   │ 5. 원격 로깅·모니터링 데이터
   │ 6. 물리적 구성, 네트워크 토폴로지
   ▼ 7. 백업 매체(아카이브)
 휘발성 낮음 (나중)

라이브(활성) 시스템 수집 시 실무 순서 예

1. 현재 시각 기록
2. 메모리 덤프 (예: DumpIt, WinPmem, LiME)
3. 네트워크 연결 (netstat -ano), ARP (arp -a), 라우팅 테이블
4. 실행 중인 프로세스 (tasklist, ps), 열린 파일·핸들
5. 로그인 사용자, 예약 작업
6. 그 다음 전원 차단 → 디스크 이미징

• 수집 도구는 신뢰할 수 있는 외부 매체(USB)의 정적 바이너리로 실행 (감염된 시스템의 명령어는 조작됐을 수 있음)
• 디스크: 쓰기 방지 장치(Write Blocker) 연결 → 비트 단위 복제(dd, FTK Imager, E01 포맷) → 원본·사본 해시 비교 → 사본으로 분석, 원본은 봉인 보관

⚠️ 함정: "전원을 바로 끈다"는 메모리 증거를 잃는다 → 일반적으로 오답. 단, 파괴형 악성코드가 디스크를 지우는 중이라면 즉시 차단을 선택하기도 한다(상황 판단).

3-6. 분석 대상 아티팩트와 도구

타임라인 분석: 파일 시스템 MAC 타임(Modified, Accessed, Changed/Created)을 시간순 정렬 → 공격 흐름 재구성.

3-7. 안티 포렌식

분석을 방해하는 기법. 출제 시 "다음 중 안티 포렌식 기법이 아닌 것" 형태.

⚠️ "파일 카빙", "해시 검증", "쓰기 방지"는 포렌식(분석) 기법이지 안티 포렌식이 아니다.

⚠️ Day 3 시험 함정

• KISA 7단계 순서: 준비 → 탐지 → 초기대응 → 전략 체계화 → 조사 → 보고서 → 해결
• 연계보관성(이력 관리) vs 무결성(해시)
• 수집 순서는 휘발성 높은 것부터: 레지스터·캐시 > 메모리 > 디스크 > 원격 로그 > 백업
• 분석은 사본으로, 원본은 쓰기 방지 + 해시 + 봉인
• 정당성: 위법 수집 증거와 파생 증거까지 증거능력 부정
• 민간 침해사고 신고 접수 = KISA(KrCERT/CC)

📌 기출 포인트

• 포렌식 원칙 설명 매칭 (특히 연계보관성)
• 휘발성 데이터 수집 순서 배열
• 침해사고 대응 단계 순서 / 각 단계 설명 매칭
• 안티 포렌식 기법 고르기
• 디스크 이미징 시 쓰기 방지·해시

✏️ Day 3 확인 문제

Q1. 디지털 증거의 획득부터 법정 제출까지 각 단계의 담당자와 이력을 명확히 기록해야 한다는 원칙은?
① 재현성 ② 신속성 ③ 연계보관성 ④ 정당성

Q2. 활성 시스템에서 증거를 수집할 때 가장 먼저 수집해야 하는 것은?
① 하드디스크 이미지 ② 백업 테이프 ③ 메모리(RAM) 내용 ④ 원격 로그 서버의 로그

Q3. KISA 침해사고 대응 절차에서 "초기 대응" 바로 다음 단계는?
① 사고 탐지 ② 대응 전략 체계화 ③ 사고 조사 ④ 보고서 작성

Q4. 다음 중 안티 포렌식 기법이 아닌 것은?
① 타임스탬프 변조 ② 데이터 와이핑 ③ 파일 카빙 ④ 스테가노그래피

Q5. 디스크 증거 수집에 대한 설명으로 옳지 않은 것은?
① 쓰기 방지 장치를 사용한다
② 원본과 사본의 해시값을 비교한다
③ 분석 속도를 위해 원본 디스크를 직접 마운트해 분석한다
④ 비트 단위로 복제한다

Q6. 위법하게 수집된 증거를 토대로 얻은 2차 증거도 증거능력이 부정된다는 원칙과 가장 관련 있는 포렌식 원칙은?
① 정당성 ② 무결성 ③ 재현성 ④ 신속성

Day 4 · 인증 제도

큰 그림: 조직(관리체계) 을 인증 = ISMS-P / ISO 27001, 제품을 인증 = CC, 클라우드 서비스를 인증 = CSAP, 국가 중요 시설을 보호 = 주요정보통신기반시설 제도.

4-1. ISMS-P (정보보호 및 개인정보보호 관리체계 인증) ★

무엇? 조직이 정보보호·개인정보보호를 위한 관리체계(정책·조직·위험관리·대책·점검의 순환)를 갖추고 운영하는지 심사해 인증. 2018년 기존 ISMS(과기정통부)와 PIMS(행안부)를 통합.

인증 기준 구성 (현행 고시 기준 101개) — 2023년 고시 개정으로 3영역이 22→21개로 줄어 전체 102 → 101. 옛 기출·교재는 102개로 나와 있으니 주의.

💡 1영역의 4분야가 PDCA와 대응: 기반 마련·위험관리(Plan) → 운영(Do) → 점검(Check) → 개선(Act).

인증 체계 (누가 무엇을)

flowchart TB
  P[정책기관
과학기술정보통신부 · 개인정보보호위원회
법·제도 개선, 인증기관 지정] --> C[인증기관
KISA · 금융보안원
인증서 발급, 심사원 관리]
  C --> S[심사기관
지정된 협회·기관
심사 수행]
  C --> COM[인증위원회
인증 적합 여부 심의·의결]
  S --> A[신청기관]

• 인증 심사원: 심사원보 → 심사원 → 선임심사원 (자격 유효기간 3년)

인증 절차

flowchart LR
  A[준비
관리체계 구축
최소 2개월 운영] --> B[인증 신청
신청서·운영명세서]
  B --> C[계약·수수료]
  C --> D[인증 심사
서면+현장]
  D --> E[결함 보완조치
40일 이내
재조치 60일]
  E --> F[인증위원회 심의·의결]
  F --> G[인증서 발급
유효 3년]
  G --> H[사후심사
매년]
  H --> I[갱신심사
3년마다]

• 최초심사: 처음 인증 또는 범위 중요 변경 시
• 사후심사: 유효기간 중 매년 1회 이상 — 인증 유지 확인
• 갱신심사: 유효기간(3년) 만료 전 연장 심사
• 결함 보완: 40일 이내, 재조치 요구 시 60일 이내 추가 (최대 100일)
• 신청 전 관리체계를 최소 2개월 이상 운영한 실적 필요 (예: 내부감사, 위험평가 1회 이상)

ISMS 의무 인증 대상 (정보통신망법 §47 및 시행령, 현행 기준 요약)

• 미인증 시 3천만 원 이하 과태료
• ISMS-P 인증을 받으면 ISMS 의무를 이행한 것으로 봄

4-2. ISO/IEC 27001

• 국제 ISMS 요구사항 표준 (BS 7799 → ISO 27001). 인증 대상 표준.
• 2022년 개정판: 본문 4~10조(조직 상황, 리더십, 계획, 지원, 운영, 성과 평가, 개선) + 부속서 A 통제 93개, 4개 테마(조직 37 · 인적 8 · 물리 14 · 기술 34)
• 27002는 통제의 구현 가이드(인증 대상 아님)
• ISMS-P와 차이: ISMS-P는 국내 법규(개인정보 보호법 등) 준수 항목 포함, 국내 의무 인증

4-3. CC (Common Criteria, ISO/IEC 15408) ★

무엇? 정보보호 제품(방화벽, IDS, DB 암호화 등)의 보안 기능과 보증 수준을 평가하는 국제 공통 평가 기준. 미국 TCSEC(오렌지북) + 유럽 ITSEC 등을 통합.

• CCRA(국제상호인정협정): 가입국끼리 인증서 상호 인정 (한국은 인증서 발행국)
• 국내: IT보안인증사무국(국가정보원 지정, 국가보안기술연구소 운영)이 인증, 평가는 평가기관(KISA, KTL, KOIST 등)이 수행

CC 문서 구성

핵심 용어 (★)

   PP (제품 유형 공통, 구현 독립)
     │  준수 주장
     ▼
   ST (특정 제품, 구현 종속)  ── SFR + SAR(EAL)
     │  평가 기준
     ▼
   TOE (실제 제품) ──► 평가기관이 ST대로 구현됐는지 평가 ──► 인증기관 인증

SFR 기능 클래스 예 (11개): FAU(보안 감사), FCO(통신), FCS(암호 지원), FDP(사용자 데이터 보호), FIA(식별 및 인증), FMT(보안 관리), FPR(프라이버시), FPT(TSF 보호), FRU(자원 활용), FTA(TOE 접근), FTP(안전한 경로/채널).
SAR 보증 클래스: APE(PP 평가), ASE(ST 평가), ADV(개발), AGD(설명서), ALC(생명주기 지원), ATE(시험), AVA(취약성 평가).

EAL 1~7 의미 (★)

외우기: 1 기능 · 2 구조 · 3·4 방법론 · 5·6 준정형 · 7 정형.

CC 평가 절차

flowchart LR
  A[평가 신청
ST·제품·문서 제출] --> B[평가 계약]
  B --> C[평가 수행
ST 평가 → 개발문서 → 시험 → 취약성]
  C --> D[평가 결과 보고서 ETR]
  D --> E[인증기관 검토·인증]
  E --> F[인증서 발급·공표]

4-4. 클라우드 보안인증 (CSAP)

• 근거: 클라우드컴퓨팅법 + 「클라우드컴퓨팅서비스 보안인증에 관한 고시」 (과기정통부)
• 인증기관: KISA / 목적: 공공기관이 안전한 민간 클라우드를 쓰도록 보안 수준 검증
• 대상 서비스: IaaS(인프라), SaaS(소프트웨어), DaaS(데스크톱)
• 등급제 (2023년 고시 개정): 공공 시스템 중요도에 따라

  등급	이용 시스템	특징
  상	국가 안보·민감 정보 시스템	물리적 분리 등 가장 엄격
  중	비공개 업무자료 처리 시스템
  하	공개된 데이터 위주 시스템	논리적 망분리 허용, 평가항목 간소화

• 클라우드 시스템의 물리적 위치는 국내 한정(하 등급 포함)
• 인증 유효기간: 5년으로 일원화 (현행 고시 확인 필요)
• 평가: 서면평가 + 현장평가, 매년 사후평가

4-5. 주요정보통신기반시설 보호 제도 (정보통신기반 보호법)

무엇? 해킹·사이버 테러로 마비되면 국가 안보·경제·사회에 중대한 영향이 생기는 시설(전력, 금융, 통신, 교통, 행정, 의료, 수자원 등)의 전자적 제어·관리 시스템을 국가가 지정해 보호.

추진 체계

flowchart TB
  W[정보통신기반보호위원회
위원장: 국무조정실장
보호계획 종합·조정] --> G[중앙행정기관
소관 시설 지정, 보호계획 수립]
  G --> M[관리기관
취약점 분석·평가, 보호대책 수립·이행]
  T[과기정통부 / 국가정보원
지정 권고, 기술 지원] -.-> G
  K[KISA · ISAC · 국가보안기술연구소] -.지원.-> M

지정 → 보호 흐름

1. 지정: 중앙행정기관의 장이 소관 시설을 지정. 지정 시 고려: 국가사회적 중요성, 해당 업무의 기반시설 의존도, 다른 기반시설과의 상호연계성, 침해 시 피해 규모·범위, 침해 발생 가능성·복구 용이성
2. 취약점 분석·평가: 관리기관이 정기적으로(시행령상 지정 후 일정 기간 내 최초, 이후 매년) 실시. 자체 전담반을 꾸리거나 KISA·정보보호 전문서비스 기업·ISAC·국가보안기술연구소에 의뢰 (구체 기한은 현행 시행령 확인 필요)
3. 보호대책 수립: 관리기관의 장 → 중앙행정기관에 제출
4. 보호계획 수립: 중앙행정기관의 장 → 위원회에 제출
5. 침해사고 시: 관리기관은 관계 행정기관·수사기관·KISA에 통지, 복구

ISAC(정보공유·분석센터): 분야별(금융, 통신 등) 취약점·침해 요인 정보 공유, 실시간 경보·분석, 취약점 분석평가 수행 가능. 예: 금융 ISAC(금융보안원).

⚠️ Day 4 시험 함정

• ISMS-P 101(16+64+21), ISMS 80 — 옛 자료 102/22 주의. 문제 보기에 "102"만 있으면 출제 시점 기준으로 판단
• 유효기간 3년, 사후심사 매년, 갱신 3년마다
• CC: PP = 유형별·구현 독립, ST = 제품별·구현 종속. TOE = 평가 대상
• EAL 7이 최고(정형적 검증), EAL1이 최저
• CC는 제품 인증, ISMS-P는 조직(관리체계) 인증
• CSAP 인증기관 = KISA, 하 등급 = 논리적 망분리 허용
• 기반시설 지정 = 중앙행정기관의 장, 취약점 분석·평가 = 관리기관, 위원회 위원장 = 국무조정실장

📌 기출 포인트

• ISMS-P 영역·항목 수, 사후심사·유효기간
• 인증 절차 순서 (신청 → 심사 → 보완 → 인증위원회 → 발급)
• CC 용어(PP/ST/TOE) 설명 매칭, EAL 등급 의미
• 기반시설 지정 시 고려사항, 보호 주체별 역할
• ISO 27001 vs 27002

✏️ Day 4 확인 문제

Q1. 현행 ISMS-P 인증기준에 대한 설명으로 옳은 것은?
① 전체 102개 항목으로 구성된다
② ISMS 인증은 관리체계 수립 및 운영, 보호대책 요구사항 영역을 적용한다
③ 개인정보 처리단계별 요구사항은 16개이다
④ 인증 유효기간은 5년이다

Q2. CC에서 특정 제품 유형에 대해 구현과 독립적으로 공통 보안 요구사항을 기술한 문서는?
① ST ② TOE ③ PP ④ ETR

Q3. CC 평가보증등급 중 정형적(Formal)으로 검증된 설계 및 시험을 요구하는 등급은?
① EAL4 ② EAL5 ③ EAL6 ④ EAL7

Q4. ISMS-P 인증 절차에서 심사 후 발견된 결함에 대한 보완조치가 끝난 다음 단계는?
① 인증 신청 ② 인증위원회 심의·의결 ③ 사후심사 ④ 계약 체결

Q5. 주요정보통신기반시설 보호 제도에 대한 설명으로 틀린 것은?
① 지정은 소관 중앙행정기관의 장이 한다
② 취약점 분석·평가는 관리기관이 수행한다
③ 정보통신기반보호위원회 위원장은 과학기술정보통신부 장관이다
④ 분야별 정보공유·분석센터(ISAC)를 둘 수 있다

Q6. 클라우드 보안인증(CSAP)에 대한 설명으로 옳지 않은 것은?
① 인증 대상 서비스에는 IaaS, SaaS, DaaS가 있다
② 등급은 상·중·하로 구분된다
③ 하 등급에서는 논리적 망분리가 허용된다
④ 정보보호 제품의 보증 수준을 EAL로 평가한다

Day 5 · 개인정보 보호법 (★ 최다 빈출)

법 개정 이력 (시험에서 "현행 기준"을 묻기 때문에 중요)

• 2020.8 데이터 3법 개정: 가명정보 도입, 개인정보보호위원회를 중앙행정기관으로 격상(국무총리 소속)
• 2023.9.15 대개정 시행: 정보통신서비스 특례 일원화(온·오프라인 동일 규제), 과징금 전체 매출액 3% 이하, 유출 통지 72시간, 이동형 영상정보처리기기 신설, 국외 이전 요건 다양화, 동의 없는 처리 요건 확대
• 2024.3.15 시행: 자동화된 결정 거부·설명 요구권, CPO 자격요건, 공공기관 안전조치 강화 등
• 2025.3.13~ : 개인정보 전송요구권(마이데이터) 일부 분야부터 단계 시행
• 2026.9.11 시행: 중대·반복 위반 과징금 상한 전체 매출액 10% 이하로 상향, "유출 등"(위조·변조·훼손 포함) 개념, 유출 가능성 단계 72시간 통지, CPO 이사회 의결·신고 대상 신설 → 2027년 시험 범위에서 출제 가능성 있음

5-1. 용어 정의 (§2)

⚠️ 함정: 사망자·법인 정보는 개인정보 아님 (단, 사망자 정보가 유족의 개인정보가 되는 경우는 예외). 친구 연락처를 개인 폰에 저장하는 것처럼 업무 목적이 아닌 개인은 개인정보처리자가 아니다.

5-2. 정보 유형 분류

주민등록번호 (§24의2) — 동의가 있어도 원칙적 처리 금지. 예외:

1. 법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙·감사원규칙에서 구체적으로 요구·허용
2. 정보주체 또는 제3자의 급박한 생명·신체·재산 이익
3. 위에 준하여 보호위원회가 고시로 정한 경우

• 처리 시 암호화 의무, 회원가입 시 주민번호 대체 수단 제공 의무

🧩 연습: 정보 분류 10문항 (답 가리고)

💡 생체정보 중 "원본 사진"은 일반 개인정보지만, 특정인 식별 목적으로 기술적 처리(특징점 추출)하면 민감정보(생체인식정보)가 된다.

5-3. 처리 원칙 (§3) 요약

1. 목적 명확, 목적에 필요한 최소한 수집, 적법·정당
2. 목적 범위 내 처리, 목적 외 활용 금지
3. 정확성·완전성·최신성 보장
4. 권리 침해 가능성·위험 정도를 고려해 안전하게 관리
5. 처리방침 등 공개, 열람청구권 등 권리 보장
6. 사생활 침해 최소화
7. 익명·가명 처리 우선 (익명으로 목적 달성 가능하면 익명, 안 되면 가명)
8. 책임과 의무 준수로 신뢰 확보

5-4. 개인정보 생명주기

flowchart LR
  A[수집
§15 요건·동의 고지
최소수집] --> B[이용
목적 내 이용
추가적 이용]
  B --> C[제공
§17 제3자 제공
위탁 §26 / 국외이전]
  C --> D[보관·관리
안전성 확보조치 §29]
  D --> E[파기
§21 지체 없이
복구 불가 방법]
  B --> D

5-5. 수집·이용 (§15) — 동의 없이도 가능한 경우 포함

수집·이용이 가능한 경우:

1. 정보주체의 동의
2. 법률에 특별한 규정이 있거나 법령상 의무 준수에 불가피
3. 공공기관이 법령 등에서 정한 소관 업무 수행에 불가피
4. 정보주체와 체결한 계약의 이행 또는 계약 체결 과정에서 정보주체 요청에 따른 조치 (2023 개정으로 "불가피" 요건 삭제)
5. 명백히 정보주체 또는 제3자의 급박한 생명·신체·재산 이익
6. 처리자의 정당한 이익 달성에 필요하고 정보주체 권리보다 명백히 우선 (상당한 관련 + 합리적 범위)
7. 공중위생 등 공공의 안전을 위해 긴급히 필요 (2023 신설)

동의 받을 때 알려야 할 4가지 (★★)

1. 수집·이용 목적
2. 수집하려는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 동의를 거부할 권리가 있다는 사실 및 거부 시 불이익 내용

제3자 제공 동의 시 알릴 5가지 (§17): ① 제공받는 자 ② 제공받는 자의 이용 목적 ③ 제공 항목 ④ 제공받는 자의 보유·이용 기간 ⑤ 거부 권리 및 불이익

⚠️ 함정: 수집 동의 고지에 "제공받는 자"는 없다(그건 제3자 제공). "수집 출처"도 수집 동의 고지 항목 아님(그건 간접수집 시 §20).

동의 받는 방법 (§22)

• 각각의 동의 사항을 구분하여 명확히 인지할 수 있게
• 동의 없이 처리 가능한 정보와 동의가 필요한 정보를 구분, 필수/선택 구분
• 선택 정보 미동의를 이유로 재화·서비스 제공 거부 금지
• 홍보·판매 권유 목적은 별도로 알리고 동의
• 만 14세 미만 아동: 법정대리인 동의 (§22의2), 아동이 이해하기 쉬운 양식

최소 수집 (§16): 최소 정보 수집 입증책임은 처리자에게. 필요 최소한 외 미동의를 이유로 서비스 거부 금지.

목적 외 이용·제공 (§18): 별도 동의, 다른 법률 특별 규정, 급박한 생명·신체·재산, (공공기관) 범죄 수사·재판·조약 이행 등 한정적.

추가적 이용·제공 (§15③, §17④): 당초 목적과 합리적으로 관련된 범위 + 불이익 여부·암호화 등 안전조치 고려 시 동의 없이 가능.

간접 수집 시 (§20): 정보주체 요구 시 수집 출처·처리 목적·처리정지 요구권을 즉시 알림. 일정 규모 이상(5만 명 이상 민감·고유식별 또는 100만 명 이상 처리) 처리자는 요구 없어도 알릴 의무.

5-6. 가명정보 처리 특례 (§28의2~§28의7) ★

flowchart LR
  A[원본 개인정보] -->|가명처리
식별자 삭제·대체·범주화| B[가명정보]
  K[추가정보
매핑표·키] -.분리 보관.- B
  B -->|통계·과학적 연구·공익 기록보존
동의 없이| U[분석·이용·제공]
  B -->|다른 처리자와 결합| J[결합전문기관]
  J -->|반출 승인 후| R[결합된 가명정보]
  B -->|추가 처리| N[익명정보
법 적용 제외]

• 동의 없이 처리 가능한 목적: 통계작성(상업적 통계 포함), 과학적 연구(산업적 연구 포함), 공익적 기록보존
• 제3자 제공 시 특정 개인을 알아보기 위해 사용될 수 있는 정보를 포함해서는 안 됨
• 결합 제한: 서로 다른 개인정보처리자 간 가명정보 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정한 결합전문기관만 수행. 결합된 정보를 기관 밖으로 내보낼 때는 가명·익명 처리 후 결합전문기관의 장 승인
• 안전조치: 추가정보 분리 보관, 접근 권한 분리, 가명정보 처리 기록 작성·보관
• 처리기간: 처리 목적 등을 고려해 처리기간을 정하고, 경과 시 지체 없이 파기 (2023 개정)
• 재식별 금지: 특정 개인을 알아보기 위해 가명정보를 처리하면 안 됨. 처리 중 개인이 식별되면 처리 중지 + 지체 없이 회수·파기. 위반 시 과징금·형사처벌
• 일부 규정 적용 제외: 간접수집 고지, 이용내역 통지, 영업양도 통지, 정보주체의 열람·정정·삭제·처리정지 요구 등 (가명정보는 원래 개인을 특정할 수 없으므로)

가명처리 기법 예

프라이버시 모델: k-익명성(같은 속성 레코드가 최소 k개), l-다양성(민감 속성 값이 l종 이상), t-근접성(분포 차이 t 이하).

5-7. 정보주체의 권리 (§4, §35~§39)

⚠️ 함정: 징벌적 손해배상은 2023 개정으로 3배 → 5배. 옛 기출 해설의 "3배"는 구법.

5-8. 파기 (§21)

• 보유기간 경과, 처리 목적 달성, 가명정보 처리기간 경과 등 불필요하게 된 때 지체 없이 파기 (실무 지침상 통상 5일 이내)
• 다른 법령에 보존 의무가 있으면 분리 보관 (예: 전자상거래법 계약·청약철회 기록 5년)
• 방법: 전자파일 → 복원 불가능한 방법으로 영구 삭제 / 종이 → 파쇄·소각 / 매체 → 물리 파괴·디가우징
• 파기 기록 남기기

5-9. 위탁과 영업양도

위탁 시 의무

• 문서로 위탁: 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 관리·감독, 손해배상 책임 등 포함
• 위탁 업무 내용·수탁자를 공개(처리방침·홈페이지 게시)
• 홍보·판매 권유 업무 위탁 시 정보주체에게 통지
• 수탁자가 재위탁하려면 위탁자의 동의 (2023 개정)
• 수탁자의 법 위반으로 인한 손해는 수탁자를 위탁자의 소속 직원으로 봄 (위탁자 책임)

영업양도·합병 (§27): 개인정보를 이전할 때 미리 정보주체에게 이전 사실, 받는 자, 이전 원치 않을 때 조치 방법 통지. 양도자가 통지하지 않았으면 양수자가 통지. 양수자는 당초 목적 범위 내에서만 이용.

국외 이전 (§28의8, 2023 개정): 별도 동의 / 법률·조약 / 계약 이행을 위한 처리위탁·보관(처리방침 공개 등) / 보호위원회가 고시한 인증 받은 경우 / 이전 대상국이 적정성 인정(보호수준 동등) 받은 경우. 위반 시 보호위원회가 국외 이전 중지 명령 가능.

5-10. 안전성 확보조치 (§29, 「개인정보의 안전성 확보조치 기준」 고시)

⚠️ 함정: 비밀번호는 양방향 암호화(복호화 가능)가 아니라 일방향. 고유식별정보는 양방향(복호화해야 업무 사용 가능).

5-11. 유출 등의 통지·신고 (§34, 시행령) ★

flowchart TD
  A[유출 등 인지] --> B[정보주체 통지
72시간 이내
1명이라도]
  A --> C{신고 요건?
1천명 이상
또는 민감·고유식별
또는 외부 불법접근}
  C -- 예 --> D[개인정보보호위원회 또는 KISA 신고
72시간 이내]
  C -- 아니오 --> E[신고 의무 없음
통지는 함]
  B --> F[피해 최소화 조치]

정보주체 통지 내용 (5가지): ① 유출된 개인정보 항목 ② 유출 시점과 경위 ③ 정보주체가 할 수 있는 피해 최소화 방법 ④ 처리자의 대응조치 및 피해 구제절차 ⑤ 피해 신고 접수 담당부서·연락처

• 기한: 유출 등을 알게 된 때부터 72시간 이내 (구체 내용 미확인 시 확인된 것부터 먼저, 추가 확인 즉시)
• 연락처를 알 수 없는 등 정당한 사유 시 홈페이지 30일 이상 게시로 갈음
• 신고 요건: 1천 명 이상 유출 / 민감정보·고유식별정보 유출 / 외부로부터 불법적인 접근에 의한 유출 → 72시간 이내 보호위원회 또는 KISA에 신고
• 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아지면 통지·신고 면제 가능
• 2026.9.11 시행 개정: "유출" → "유출 등"(분실·도난·유출 + 위조·변조·훼손), 유출이 확정되지 않았어도(불법 접근 확인, 대상자 특정 곤란 등) 72시간 내 선제 통지 의무

⚠️ 함정: 구법(2023.9 전)은 일반 처리자 "지체 없이(5일 이내)" + 1천 명 이상 신고, 정보통신서비스 제공자 "24시간 이내". 현행은 통지·신고 모두 72시간, 기준 통일.

5-12. 영상정보처리기기

고정형 (CCTV, §25)

• 공개된 장소 설치·운영 금지. 예외: ① 법령 허용 ② 범죄 예방·수사 ③ 시설 안전·관리, 화재 예방(정당한 권한자) ④ 교통단속 ⑤ 교통정보 수집·분석·제공 ⑥ 촬영 영상을 저장하지 않는 경우 등
• 목욕실, 화장실, 발한실, 탈의실 등 사생활 침해 우려 장소 설치 금지 (교정시설·정신건강 시설 등 예외)
• 공공기관이 설치하려면 공청회·설명회 등 의견 수렴
• 안내판: 설치 목적·장소, 촬영 범위·시간, 관리책임자 연락처
• 임의 조작(다른 곳 비추기) 금지, 녹음 기능 사용 금지
• 운영·관리 방침 마련, 위탁 가능(문서로)

이동형 (§25의2, 2023 신설): 업무 목적으로 공개된 장소에서 사람·사물을 촬영하려면 §15 요건(동의 등) 또는 촬영 사실을 명확히 표시(불빛·소리·안내서면)하여 정보주체가 알 수 있었는데도 거부 의사를 밝히지 않은 경우 등. 목욕실 등 사생활 장소 촬영 금지(범죄·화재·재난 구조 등 예외).

5-13. 개인정보 보호책임자(CPO) · 처리방침 · 영향평가

CPO (§31)

• 개인정보처리자는 반드시 지정 (소상공인 등은 사업주·대표자가 CPO가 됨)
• 업무: 보호 계획 수립·시행, 실태조사·개선, 불만 처리·피해 구제, 내부통제, 교육, 파일 보호·관리
• 일정 규모 이상 처리자는 자격 요건(정보보호·개인정보·정보기술 경력 등, 2024.3 시행) 필요 — 세부 경력 기준은 시행령 확인
• 독립성 보장: CPO 업무 수행을 이유로 불이익 금지, 보고 체계 보장
• 2026.9 시행: 일정 규모 이상(매출 1,800억 원 초과 + 100만 명 이상 개인정보 또는 5만 명 이상 민감·고유식별정보 처리 등) 처리자는 CPO 지정 시 이사회 의결 및 보호위원회 신고 (현행 법령 확인 필요)

개인정보 처리방침 (§30): 처리 목적, 항목, 기간, 제3자 제공, 위탁, 파기, 정보주체 권리, CPO 연락처, 안전성 확보조치 등 → 홈페이지 공개. 정보주체가 쉽게 확인할 수 있게.

개인정보 영향평가 (PIA, §33)

• 공공기관 의무 (민간은 자율)
• 대상(시행령): ① 5만 명 이상 민감정보·고유식별정보 파일 ② 50만 명 이상 다른 파일과 연계·결합 ③ 100만 명 이상 파일 ④ 영향평가 받은 파일의 처리 시스템 변경
• 수행: 보호위원회가 지정한 평가기관 → 결과를 보호위원회에 제출
• 시점: 시스템 구축·변경의 설계 단계(분석·설계 시)

5-14. 분쟁조정 · 단체소송 · 과징금

개인정보 분쟁조정위원회 (§40~)

• 신청받은 날부터 60일 이내 조정안 작성 (부득이 시 연장)
• 조정안 제시 후 15일 이내 수락 여부 표시 없으면 수락한 것으로 봄 (2023 개정)
• 수락 시 재판상 화해와 같은 효력
• 집단분쟁조정 (§49): 피해 정보주체가 50명 이상이고 사건 쟁점이 공통

단체소송 (§51)

• 제기 주체: 일정 요건의 소비자단체, 비영리민간단체
• 요건: 처리자가 집단분쟁조정을 거부하거나 결과를 수락하지 않은 경우
• 청구 내용: 권리침해 행위의 금지·중지만 (손해배상 청구 X)
• 법원 허가 필요, 변호사 소송대리 필수

과징금 (§64의2)

• 2023 개정: 위반 유형 통합, 전체 매출액의 3% 이하 (위반행위와 관련 없는 매출액은 제외), 매출액 없거나 산정 곤란 시 20억 원 이하
• 2026.9.11 시행: 중대·반복 위반에 대해 전체 매출액 10% 이하까지 상향, 보호 투자 시 감경
• 과징금(행정상 금전 제재) ≠ 과태료(경미한 의무 위반) ≠ 벌금(형사처벌)

개인정보처리자·취급자의 금지행위 (§59): ① 거짓·부정한 수단으로 개인정보 취득 또는 처리 동의 획득 ② 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공 ③ 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 훼손·멸실·변경·위조·유출

⚠️ Day 5 시험 함정

• 동의 고지 4요소: 목적·항목·기간·거부권(불이익). 제3자 제공은 + "받는 자" = 5요소
• 가명정보 동의 없이 = 통계·과학적 연구·공익적 기록보존 ("마케팅", "홍보"는 X)
• 서로 다른 처리자 간 가명정보 결합 = 결합전문기관
• 익명정보 = 법 적용 제외, 가명정보 = 법 적용(일부 특례)
• 주민번호는 동의만으로 처리 불가 (법령 근거 필요)
• 생체인식정보·유전정보·범죄경력·인종민족 = 민감정보
• 유출 통지·신고 72시간, 신고 기준 1천 명 또는 민감·고유식별 또는 외부 불법접근
• 영향평가 의무 = 공공기관, 5만/50만/100만
• 접속기록 1년(5만 명 이상·민감·고유식별 2년), 월 1회 점검
• CCTV 녹음 금지, 화장실·탈의실 금지
• 위탁 = 동의 불필요(공개), 제3자 제공 = 동의 필요. 재위탁 = 위탁자 동의
• 단체소송 = 금지·중지 청구만, 집단분쟁조정 = 50명 이상
• 징벌적 배상 5배, 법정손해배상 300만 원 이하

📌 기출 포인트

• 정보 유형 분류(민감/고유식별/가명/익명) — 매회
• 동의 시 고지사항, 제3자 제공 고지사항
• 가명정보 처리 목적·결합 절차
• 유출 통지 항목·신고 기준 (현행 72시간)
• CCTV 설치 제한·안내판 항목
• 영향평가 대상 기준, 정보주체 권리 종류
• 위탁 vs 제3자 제공

✏️ Day 5 확인 문제

Q1. 개인정보 수집·이용 동의를 받을 때 정보주체에게 알려야 할 사항이 아닌 것은?
① 수집·이용 목적 ② 수집 항목 ③ 개인정보를 제공받는 자 ④ 동의 거부 권리 및 불이익

Q2. 다음 중 민감정보에 해당하지 않는 것은?
① 유전정보 ② 범죄경력자료 ③ 여권번호 ④ 인종·민족 정보

Q3. 가명정보에 대한 설명으로 옳지 않은 것은?
① 통계작성 목적이면 정보주체 동의 없이 처리할 수 있다
② 서로 다른 개인정보처리자 간의 결합은 결합전문기관이 수행한다
③ 추가 정보는 가명정보와 분리하여 보관해야 한다
④ 가명정보는 개인정보 보호법 적용이 전면 배제된다

Q4. 현행 개인정보 보호법령상 유출 신고 의무가 발생하는 경우가 아닌 것은? (모두 유출 사실이 확인된 경우)
① 1천 명 이상의 정보주체 개인정보 유출
② 고유식별정보 1건 유출
③ 외부의 불법적인 접근에 의한 유출
④ 직원 실수로 100명의 이메일 주소가 내부 다른 부서에 잘못 공유되었으나 즉시 회수·삭제됨

Q5. 공개된 장소에 설치하는 고정형 영상정보처리기기에 대한 설명으로 틀린 것은?
① 범죄 예방 목적이면 설치할 수 있다
② 안내판에 설치 목적·장소, 촬영 범위·시간, 관리책임자 연락처를 표시한다
③ 범죄 예방을 위해 필요하면 녹음 기능을 사용할 수 있다
④ 목욕실·탈의실 등에는 원칙적으로 설치할 수 없다

Q6. 공공기관의 개인정보 영향평가 의무 대상이 아닌 것은?
① 5만 명 이상 민감정보를 포함한 개인정보파일
② 50만 명 이상 정보주체의 개인정보파일로 다른 파일과 연계하려는 경우
③ 100만 명 이상 정보주체의 개인정보파일
④ 1만 명의 일반 개인정보파일을 단독으로 구축하는 경우

Day 6 · 기타 법규 · 윤리

법령 큰 그림: 누가 주무 부처인가로 정리하면 덜 헷갈린다.

법	주무	키워드
개인정보 보호법	개인정보보호위원회	개인정보 일반법 (Day 5)
정보통신망법	과기정통부(+방송통신위원회)	침해사고, CISO, ISMS, 광고성 정보, 불법정보
정보통신기반 보호법	국무조정실(위원회)·소관 부처	주요정보통신기반시설 (Day 4)
전자서명법	과기정통부	공인인증서 폐지, 인정제도
정보보호산업법	과기정통부	산업 진흥, 정보보호 공시
클라우드컴퓨팅법	과기정통부	클라우드 진흥, 이용자 보호, CSAP

6-1. 정보통신망법 (정보통신망 이용촉진 및 정보보호 등에 관한 법률)

2023년 개인정보 보호법 개정으로 망법의 개인정보 특례 조항은 개인정보 보호법으로 이관됐다. 지금 망법은 망 안정성·침해사고·광고성 정보·불법정보 중심.

① 정보통신망 침해행위 금지 (§48)

• 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입 금지
• 정당한 사유 없이 정보통신시스템 등을 훼손·멸실·변경·위조하거나 운용을 방해할 수 있는 악성프로그램 전달·유포 금지
• 정보통신망 안정적 운영을 방해할 목적으로 대량의 신호·데이터 전송 또는 부정한 명령 처리로 장애 발생 금지 (DoS)
• 벌칙 수준(참고): 악성프로그램 유포가 침입보다 무겁다 (현행 법령 확인 필요)

② 비밀 등의 보호 (§49), 속이는 행위 금지 (§49의2)

• 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용·누설 금지
• 속이는 행위로 다른 사람의 정보 수집 금지 → 피싱 규제 근거

③ 침해사고 대응 (§48의2~§48의4)

• 과기정통부가 침해사고 대응 업무 총괄 (실무는 KISA)
• 정보통신서비스 제공자, 집적정보통신시설 사업자 등은 침해사고 발생 시 과기정통부 또는 KISA에 신고 — 신고 시점은 "즉시"에서 "알게 된 때부터 24시간 이내"로 구체화 (현행 법령 확인 필요)
• 과기정통부는 원인 분석, 민관합동조사단 구성 가능, 자료 보전 명령

④ 정보보호 최고책임자 CISO (§45의3)

• 정보통신서비스 제공자는 CISO 지정 후 과기정통부 장관에게 신고 (소규모 사업자 등 예외)
• 일정 규모 이상(예: 자산총액 5조 원 이상, 또는 ISMS 의무대상 중 자산총액 5천억 원 이상)은 CISO 겸직 금지 + 자격 요건 (현행 시행령 확인 필요)
• CISO 업무: 정보보호 계획 수립·시행, 취약점 분석·평가·개선, 침해사고 예방·대응, 사전 보안성 검토, 보호조치 설계·구현, 교육·모의훈련, ISMS 관리 등
• CISO(망법) vs CPO(개인정보 보호법): 근거 법이 다르다

⑤ ISMS 인증 (§47) — Day 4 참고. 의무 대상 미인증 시 과태료.

⑥ 영리 목적 광고성 정보 전송 제한 (§50) ★

⚠️ 함정: 야간 기준은 21시~08시. "22시~06시" 등 보기 함정. 이메일은 야간 별도 동의 대상에서 제외.

⑦ 불법정보·이용자 보호

• 불법정보(음란, 명예훼손, 공포심 유발, 해킹 프로그램 등) 유통 금지 (§44의7)
• 임시조치 (§44의2): 사생활 침해·명예훼손 정보로 권리침해 주장 시 정보통신서비스 제공자가 30일 이내 접근 차단 가능
• 본인확인기관 지정, 주민번호 수집 원칙적 제한 (§23의2)

6-2. 정보통신기반 보호법 (요약, Day 4 연계)

• 목적: 주요정보통신기반시설을 보호해 국가 안전·국민 생활 안정
• 위원회(위원장 국무조정실장) → 중앙행정기관(지정·보호계획) → 관리기관(취약점 분석·평가, 보호대책)
• 침해사고 시 관리기관은 관계 행정기관·수사기관·KISA에 통지
• 기반시설 교란·마비·파괴 행위는 망법보다 중하게 처벌
• 정보공유분석센터(ISAC) 설치 근거

6-3. 전자서명법 (2020.12.10 전부개정 시행) ★

• 전자서명 요건: 서명자의 신원 확인, 서명자가 해당 전자문서에 서명했다는 사실 표시
• 법령에서 서명·기명날인을 요구하는 경우: 당사자 간 약정 또는 인정받은 전자서명이면 서명 효력
• 전자서명 인증업무 운영기준(보안·이용자 보호) 준수 사실 인정
• 이용자 보호: 가입자 확인, 인증서 효력 정지·폐지

6-4. 정보보호산업법 (정보보호산업의 진흥에 관한 법률, 2016 시행)

• 목적: 정보보호산업 기반 조성, 경쟁력 강화
• 정보보호 전문서비스 기업 지정 (과기정통부): 취약점 분석·평가, 보호대책 수립 등 수행 기업 (기반시설 취약점 분석·평가 수행 가능)
• 정보보호 제품·서비스 적정 대가, 공공기관 구매 시 고려
• 정보보호 공시 (§13) ★
  • 기업이 정보보호 투자·인력 현황, 인증·평가 현황, 이용자 보호 활동을 정보보호 공시 종합포털에 매년 공개
  • 원래 자율 → 2022년부터 일정 기업 의무
  • 의무 대상(2026년까지 기준): ISP·IDC·상급종합병원·클라우드(IaaS) 사업자, 매출 3천억 원 이상 상장사(CISO 신고 대상), 정보통신서비스 일평균 이용자 100만 명 이상. 공공기관·금융회사 등은 제외
  • 2027.1.1 시행 개정 시행령: 전체 상장사(매출 무관, SPAC 제외), ISMS 의무대상 추가, 공공기관·금융회사 등 면제 삭제, 소기업은 2029.1.1부터, 이용자 수는 전년도 전체 기간 일평균으로 산정
  • 미이행 시 과태료
  • 의무 공시 기한: 매년 6월 말 (현행 고시 확인 필요)

⚠️ 함정: 정보보호 공시 근거법 = 정보보호산업법 (정보통신망법 X). ISMS 의무 = 정보통신망법.

6-5. 클라우드컴퓨팅법 (클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률, 2015 시행)

• 목적: 클라우드 발전(진흥) + 이용자 보호
• 과기정통부: 클라우드 발전 기본계획(3년 단위) 수립
• 공공기관 클라우드 이용 촉진 (§12) — 국가기관 등은 클라우드 도입 노력
• 보안인증 (CSAP) 근거 (Day 4)
• 이용자 보호
  • 침해사고, 이용자 정보 유출, 서비스 중단 발생 시 지체 없이 이용자에게 통지 (유출은 과기정통부에도 통보)
  • 이용자 동의 없이 이용자 정보를 제3자 제공·목적 외 이용 금지
  • 서비스 종료 시 이용자 정보 반환·파기, 사전 통지 (기한은 현행 법령 확인 필요)
  • 이용자 요청 시 이용자 정보가 저장되는 국가명 공개
• 클라우드 서비스 품질·성능 기준, 표준계약서 권고

6-6. 사이버 윤리

정보 윤리 4원칙 (교재 공통)

• 정보 윤리 쟁점: 프라이버시, 정확성, 소유권(지적재산권), 접근성 (Mason의 PAPA: Privacy, Accuracy, Property, Accessibility)
• 보안 전문가 윤리: 취득한 정보 비밀 유지, 허가된 범위 내 점검(모의해킹은 서면 승인), 이해 충돌 회피, 법 준수
• 화이트햇(허가 받은 점검) vs 블랙햇(악의적) vs 그레이햇

6-7. 사이버 범죄 유형 (경찰청 분류 기준)

사이버 범죄
├─ ① 정보통신망 침해 범죄 (망 자체를 공격)
│    해킹(계정도용·단순침입·자료유출·자료훼손), 서비스거부공격(DDoS),
│    악성프로그램(랜섬웨어 등) 유포
├─ ② 정보통신망 이용 범죄 (망을 수단으로 이용한 전통 범죄)
│    사이버 사기(직거래·쇼핑몰·게임), 사이버 금융범죄(피싱·파밍·스미싱·
│    메모리해킹·몸캠피싱), 개인·위치정보 침해, 사이버 저작권 침해, 스팸메일
└─ ③ 불법 콘텐츠 범죄 (유통되는 정보 자체가 불법)
     사이버 성폭력(불법촬영물·아동성착취물), 사이버 도박,
     사이버 명예훼손·모욕, 사이버 스토킹

피싱 계열 구분

6-8. 이용자·개인정보취급자 금지행위 정리

⚠️ Day 6 시험 함정

• 광고 야간 = 21시~08시, 별도 동의, 이메일 제외 / 2년마다 재확인 / 처리결과 14일
• 거래관계 예외 = 6개월 이내 + 동종 재화
• CISO = 정보통신망법(과기정통부 신고), CPO = 개인정보 보호법
• 정보보호 공시 = 정보보호산업법
• 전자서명법 2020 개정의 핵심 = 공인인증서 우월 효력 폐지 + 평가·인정제도
• 파밍 = 정상 주소인데 가짜 사이트(hosts/DNS 변조), 스미싱 = 문자
• 침해사고 민간 신고처 = KISA(또는 과기정통부)

📌 기출 포인트

• 광고성 정보 전송 규정 (시간·표시·동의 예외)
• 정보통신망법상 침해 금지행위, 침해사고 신고처
• 전자서명법 개정 취지
• 정보보호 공시 내용·근거법
• 사이버 범죄 유형 분류
• 개인정보취급자 금지행위

✏️ Day 6 확인 문제

Q1. 정보통신망법상 영리 목적 광고성 정보 전송에 대한 설명으로 옳지 않은 것은?
① 원칙적으로 수신자의 명시적 사전 동의를 받아야 한다
② 오후 9시부터 다음 날 오전 8시까지 문자로 전송하려면 별도 동의가 필요하다
③ 수신자의 수신 동의를 받은 날부터 2년마다 동의 여부를 확인해야 한다
④ 거래관계가 있었던 고객에게는 기간 제한 없이 모든 재화의 광고를 동의 없이 보낼 수 있다

Q2. 정보보호 공시 제도의 근거 법률은?
① 정보통신망법 ② 정보보호산업법 ③ 개인정보 보호법 ④ 정보통신기반 보호법

Q3. 2020년 전자서명법 전부개정의 주요 내용으로 옳은 것은?
① 공인인증서의 법적 우월 효력을 폐지하였다
② 전자서명은 공인인증기관만 발급할 수 있도록 하였다
③ 전자서명의 법적 효력을 전면 부인하였다
④ 전자서명인증사업자 지정 제도를 신설하였다

Q4. 이용자 PC를 악성코드로 감염시켜 정상 은행 주소를 입력해도 가짜 사이트로 접속되게 하는 수법은?
① 스미싱 ② 파밍 ③ 메모리해킹 ④ 몸캠피싱

Q5. 사이버 범죄 분류 중 "정보통신망 침해 범죄"에 해당하는 것은?
① 인터넷 쇼핑몰 사기 ② 사이버 도박 ③ 서비스 거부 공격 ④ 사이버 명예훼손

Q6. 정보통신서비스 제공자의 정보보호 최고책임자(CISO) 지정·신고를 규정한 법률은?
① 개인정보 보호법 ② 정보통신망법 ③ 전자서명법 ④ 클라우드컴퓨팅법

Day 7 · 주간 정리

7-1. 한 장 요약

[관리]  거버넌스(전략연계·가치·위험·자원·성과) → 정책>표준>지침(권고)>절차
        조직: 위원회 · CISO(망법) · CPO(개인정보법) · 소유자(등급 결정)
[위험]  자산식별·가치 → 위협·취약점 → 위험산정 → DoA → 대책 → 잔여위험(경영진 승인)
        접근법: 기준선 / 비정형 / 상세 / 복합(고위험만 상세)
        정량: 과거자료·수학공식·확률분포 / 정성: 델파이·시나리오·순위결정·퍼지
        SLE=AV×EF, ALE=SLE×ARO, 대책가치=ΔALE−대책비용
[대응]  감소 / 회피(포기) / 전가(보험) / 수용(승인)
[인적]  직무분리·이중통제(예방) / 직무순환·강제휴가(탐지)
[물리]  맨트랩(피기배킹) · 가스계 소화 · 준비작동식 · 온라인 UPS
[BCP]   범위 → BIA → 전략 → 계획 → 테스트 → 유지   BCP ⊃ DRP
        RTO(시간) RPO(데이터 시점) MTD(최대 허용)  미러>핫>웜>콜드, 상호지원협약
[백업]  증분: 전체+모든 증분 / 차등: 전체+마지막 차등 / GFS / 3-2-1
[사고]  준비→탐지→초기대응→전략체계화→조사→보고서→해결 (KISA)
[포렌식] 정당성·재현성·신속성·연계보관성·무결성 / 휘발성 순 / 쓰기방지+해시+사본
[인증]  ISMS-P 101(16+64+21) · ISMS 80 · 3년·매년 사후 / CC PP·ST·TOE, EAL1~7
        CSAP 상·중·하(KISA) / 기반시설: 위원장 국무조정실장, 관리기관 취약점 분석·평가
[개인정보] 4고지(목적·항목·기간·거부권) · 민감(+유전·범죄·생체·인종) · 고유(주·여·운·외)
        가명: 통계·연구·공익기록, 결합전문기관 / 익명: 적용 제외
        유출 통지·신고 72h, 신고 1천명·민감고유·외부접근 / 영향평가 5만·50만·100만
        접속기록 1년(2년) 월1회 / 징벌 5배 / 법정 300만 / 과징금 3%(중대 10%)
[망법]  침입·악성코드·DoS 금지 / CISO 신고 / 광고: 사전동의, 21~08 별도, (광고), 2년 재확인
[기타]  전자서명법 2020 공인인증서 폐지 / 정보보호 공시=산업법 / 클라우드법 이용자 통지

7-2. 미니 모의고사 20문항

시간 20분. 다 풀고 나서 해설을 펼친다.

M1. 정보보호 거버넌스의 목표에 해당하지 않는 것은?
① 전략적 연계 ② 가치 전달 ③ 성과 측정 ④ 기술 독점

M2. 자산가치 4억, EF 25%, ARO 0.5일 때 ALE는?
① 2,000만 ② 5,000만 ③ 1억 ④ 2억

M3. M2의 위험에 대해 연간 3,000만 원짜리 대책이 ALE를 1,000만 원으로 낮춘다. 대책의 연간 순가치는?
① −2,000만 ② +1,000만 ③ +2,000만 ④ +4,000만

M4. 전문가 집단에게 익명 설문을 반복하여 의견을 수렴하는 위험분석 기법은?
① 시나리오법 ② 델파이법 ③ 순위결정법 ④ 확률 분포법

M5. 위험 대응 전략과 예의 연결이 옳지 않은 것은?
① 감소 – 보안 패치 적용 ② 회피 – 해당 사업 철수 ③ 전가 – 보험 가입 ④ 수용 – 침입방지시스템 도입

M6. 부정 방지를 위해 금고를 열 때 두 명이 각자 다른 열쇠를 동시에 사용하도록 하는 통제는?
① 직무순환 ② 이중통제 ③ 강제휴가 ④ Need-to-know

M7. BCP 수립 절차에서 업무 중단 시 영향과 복구 우선순위, RTO를 도출하는 단계는?
① 범위 설정 ② 사업영향평가(BIA) ③ 복구 전략 개발 ④ 테스트

M8. 비용은 가장 적게 들지만 재해 후 장비 반입·설치에 수 주 이상 걸리는 재해복구 방식은?
① 미러 사이트 ② 핫 사이트 ③ 웜 사이트 ④ 콜드 사이트

M9. 일요일 전체, 월~토 차등 백업. 토요일 오전 장애(금요일 밤 백업 완료). 필요한 매체 수는?
① 1 ② 2 ③ 5 ④ 6

M10. 디지털 포렌식에서 수집한 증거가 변경되지 않았음을 해시값으로 입증하는 원칙은?
① 정당성 ② 무결성 ③ 신속성 ④ 연계보관성

M11. 휘발성 순서에 따라 가장 나중에 수집하는 것은?
① ARP 캐시 ② 실행 중인 프로세스 ③ 하드디스크 ④ 백업 테이프

M12. KISA 침해사고 대응 절차의 마지막 두 단계를 순서대로 나열한 것은?
① 사고 조사 → 해결 ② 보고서 작성 → 해결 ③ 해결 → 보고서 작성 ④ 초기 대응 → 보고서 작성

M13. ISMS-P 인증의 사후관리에 대한 설명으로 옳은 것은?
① 유효기간은 5년이다
② 유효기간 중 매년 사후심사를 받는다
③ 갱신심사는 유효기간 만료 후 1년 이내 받는다
④ 결함 보완조치 기한은 없다

M14. CC에서 개발자가 특정 제품에 대해 작성하며 구현에 종속적인 보안 요구사항 문서는?
① PP ② ST ③ TOE ④ EAL

M15. 주요정보통신기반시설의 취약점 분석·평가를 실시하는 주체는?
① 정보통신기반보호위원회 ② 관리기관 ③ 국가정보원 ④ 개인정보보호위원회

M16. 개인정보 보호법상 고유식별정보에 해당하지 않는 것은?
① 외국인등록번호 ② 운전면허번호 ③ 여권번호 ④ 건강보험증 번호

M17. 가명정보를 정보주체 동의 없이 처리할 수 있는 목적이 아닌 것은?
① 통계작성 ② 과학적 연구 ③ 공익적 기록보존 ④ 맞춤형 광고 발송

M18. 현행 개인정보 보호법령상 유출 통지에 대한 설명으로 옳은 것은?
① 1천 명 미만 유출이면 정보주체 통지 의무가 없다
② 유출 사실을 알게 된 때부터 72시간 이내 통지한다
③ 통지 내용에 처리자의 매출액이 포함된다
④ 신고는 경찰청에만 한다

M19. 개인정보 처리 업무 위탁에 대한 설명으로 틀린 것은?
① 위탁은 문서로 해야 한다
② 위탁하는 업무 내용과 수탁자를 공개해야 한다
③ 수탁자는 위탁자 동의 없이 자유롭게 재위탁할 수 있다
④ 수탁자의 위반으로 인한 손해배상 책임에서 수탁자는 위탁자의 소속 직원으로 본다

M20. 정보통신망법상 광고성 정보 전송 시 별도 동의가 필요한 야간 시간대는?
① 20시~07시 ② 21시~08시 ③ 22시~06시 ④ 23시~07시

채점: 18↑ 완벽 / 15~17 약점만 복습 / 14↓ 해당 Day 다시 읽기

7-3. 카드

• SLE 공식 : AV × EF
• ALE 공식 : SLE × ARO
• 대책의 연간 가치 : (대책 전 ALE − 대책 후 ALE) − 대책 연간 비용
• 3년에 2번 발생의 ARO : 약 0.67
• 위험 구성 3요소 : 자산 × 위협 × 취약점
• 수용 가능 위험 수준 : DoA
• 대책 후 남은 위험, 승인자 : 잔여 위험, 경영진
• 체크리스트 일괄 적용 : 기준선 접근법
• 전문가 경험 의존 : 비정형 접근법
• 고위험만 상세분석 : 복합 접근법
• 전문가 반복 설문 : 델파이법 (정성)
• 과거자료 분석법 분류 : 정량적
• 거버넌스 5대 목표 : 전략적 연계, 가치 전달, 위험 관리, 자원 관리, 성과 측정
• 강제성 없는 권고 문서 : 지침(Guideline)
• 자산 등급 결정자 : 자산 소유자
• 보험 가입 : 위험 전가
• 서비스 중단 : 위험 회피
• 직무순환·강제휴가의 목적 : 부정 탐지
• 한 작업에 두 명 동시 참여 : 이중통제
• 맨트랩이 막는 것 : 피기배킹(테일게이팅)
• 전산실 권장 스프링클러 : 준비작동식
• 전환시간 없는 UPS : 온라인 방식
• BCP와 DRP 관계 : BCP ⊃ DRP
• BCP 두 번째 단계 : BIA(사업영향평가)
• 복구 허용 시간 : RTO
• 데이터 손실 허용 시점 : RPO
• 조직이 견딜 최대 중단 시간 : MTD
• 실시간 이중화 DR : 미러 사이트
• 공간·전원만 있는 DR : 콜드 사이트
• 저렴하지만 보안·강제력 약한 DR : 상호지원협약
• 마지막 전체 백업 이후 누적 : 차등
• 마지막 백업 이후만 : 증분
• GFS 구성 : 일(Son)·주(Father)·월(Grandfather)
• 3-2-1 백업 : 사본 3, 매체 2종, 원격지 1
• KISA 사고대응 7단계 : 준비→탐지→초기대응→전략체계화→조사→보고서→해결
• 민간 침해사고 신고처 : KISA (과기정통부)
• 포렌식 5원칙 : 정당성, 재현성, 신속성, 연계보관성, 무결성
• 증거 이력 관리 원칙 : 연계보관성
• 증거 무결성 입증 : 해시값
• 수집 우선순위 : 휘발성 높은 것 (메모리 > 디스크)
• 메모리 분석 도구 : Volatility
• 안티포렌식이 아닌 것 : 파일 카빙
• ISMS-P 항목 (현행) : 101 (16+64+21)
• ISMS 항목 : 80
• ISMS-P 유효기간 : 3년, 매년 사후심사
• 결함 보완 기한 : 40일 (재조치 60일)
• ISMS 의무대상 매출·이용자 기준 : 정보통신서비스 매출 100억 / 일평균 100만 명
• CC 국제표준 번호 : ISO/IEC 15408
• CC 등급 : EAL1~7 (7 = 정형적 검증)
• 제품 유형별 공통 요구사항 : PP
• 특정 제품 보안 명세 : ST
• 평가 대상 : TOE
• 공공 클라우드 인증 : CSAP (KISA, 상·중·하)
• 기반보호위원회 위원장 : 국무조정실장
• 주요정보통신기반시설 근거법 : 정보통신기반 보호법
• 동의 고지 4요소 : 목적, 항목, 보유·이용기간, 거부권·불이익
• 제3자 제공 고지 추가 항목 : 제공받는 자
• 가명정보 동의 없이 처리 목적 : 통계, 과학적 연구, 공익적 기록보존
• 가명정보 결합 수행 : 결합전문기관
• 법 적용 제외 : 익명정보
• 생체인식정보 분류 : 민감정보
• 주민등록번호 분류 : 고유식별정보 (동의만으로 처리 불가)
• 14세 미만 아동 동의 : 법정대리인
• 열람 요구 처리 기한 : 10일 이내
• 유출 통지·신고 기한 : 72시간
• 유출 신고 요건 : 1천 명 이상 / 민감·고유식별 / 외부 불법접근
• 비밀번호 암호화 방식 : 일방향(해시)
• 접속기록 보관 : 1년 (5만 명↑·민감·고유식별 2년), 월 1회 점검
• 개인정보 영향평가 대상 : 공공기관 (5만/50만/100만)
• 재위탁 조건 : 위탁자 동의
• 징벌적 손해배상 : 5배 이내
• 법정손해배상 : 300만 원 이하
• 과징금 상한 : 전체 매출 3% (중대·반복 10%, 2026.9~)
• 집단분쟁조정 인원 : 50명 이상
• 단체소송 청구 범위 : 권리침해 행위 금지·중지
• CCTV 금지 기능 : 녹음, 임의 조작
• 광고성 정보 야간 시간 : 21시~08시 (별도 동의)
• 광고 수신동의 재확인 주기 : 2년
• 거래관계 광고 예외 : 6개월 이내 동종 재화
• CISO 근거법 : 정보통신망법
• 정보보호 공시 근거법 : 정보보호산업법
• 전자서명법 2020 개정 핵심 : 공인인증서 우월 효력 폐지, 평가·인정제도
• 정상 주소 입력해도 가짜 사이트 : 파밍

오답 노트

네비게이션