[자격증] 정보보안기사.06

1. 디지털 데이터가 법적 증거로 채택되기 위해서는 증거로서의 가치를 상실하지 않도록 적법한 절차와 수단을 이용하여 획득되어야 하며, 변조 및 복제 등 디지털 증거의 손상이 용이하다는 특성으로 인해 수집 이후 변경되지 않았음을 입증할 수 있어야 한다. 포렌식을 통한 디지털 자료가 법적증거로 인정받기 위해 필요한 기본 원칙 5가지를 쓰시오.

 

- 무결성의 원칙 : 증거 수집 이후에 어떠한 변화가 있어서는 안된다.

- 정당성의 원칙 : 증거는 적법절차에 의해 수집되어야 하며 위법한 방법으로 수집된 증거는 법적 효력을 상실한다.

- 연계 보관성의 원칙 : 증거물 획득 / 이송 / 분석 / 보관 / 법정 제출의 각 단계에서 담당자 및 책임자를 명확히 해야한다.

- 신속성의 원칙 : 모든 과정은 지체 없이 신속하게 진행되어야 한다.

- 재현의원칙 : 피해 직전과 같은 조건에서 현장 검증을 실시하였다면, 피해 당시와 동일한 결과가 나와야 한다.

 

2. 보안 관제 업무 수행 과정에서 침해 사고 발생 시 PC나 노트북 등에 남아 있는 휘발성 디지털 정보를 수집하여 증거를 확보하는 과정은 디지털 포렌식 과정에서 매우 중요하다. 윈도우 운영체제를 사용하는 시스템에서 다음 정보를 수집하기 위한 시스템 내장 명령어를 쓰시오.

 

- 시스템 날짜와 시간 정보

date /t & time /t

- 시스템 호스트 이름 정보

hostname

- 시스템에 현재 접속한 사용자 정보

whoami

 

3. 개인정보보호법에 규정된 가명정보와 관련된 내용이다. 각각의 질문에 답하시오. 

- 가명처리의 정의와 아래의 개인정보 가명처리 단계 중 3단계 명칭을 쓰시오.

가명처리 정의 : 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.

사전준비 -> 가명처리 -> 적정성 검토 및 추가 처리 -> 사후관리

- 개인정보 처리자가 정보주체 동의 없이도 가명정보를 처리할 수 있는 3가지 

개인정보 처리자는 통계작성, 과학적 연구 , 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.

- 익명정보 : 시간/ 비용 / 기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보를 말한다.

 

 

4. 개인정보보호법 시행령에 의해 연 1회 이상 이용자들에게 개인정보 이용 내역을 통지해야 한다. 통지 항목을 모두 나열하시오.

 

- 개인정보의 수집/ 이용 목적 및 수집한 개인정보의 항목

- 개인정보를 제공받은 자와 그 제공 목적 및 제공한 개인정보의 항목

 

5. 개인정보의 안전성을 확보하기 사이트를 운영하는 정보통신서비스 제공업체는 개인정보 취급자를 대상으로 비밀번호 작성규칙을 수립하고 이를 적용하고자 한다. 비밀번호 작성규칙에 포함되어야 할 기술적/관리적 보호 조치 사항 3가지를 기술하시오.

 

- 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성한다.

- 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권장한다.

- 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경한다.

 

6. 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위해 정보보호 최고책임자를 지정하고 신고해야한다. 정보보호 최고 책임자의 역할 및 책임을 4가지 이상 서술하시오.

 

- 정보보호 계획의 수립/시행 및 개선

- 정보보호 실태와 관행의 정기적인 감사 및 개선

- 정보보호 위험의 식별 평가 및 정보보호 대책 마련

- 정보보호 교육과 모의 훈련 계획의 수립 및 시행

 

7. 망분리란 외부 인터넷망을 통한 불법적인 접근과 내부 정보 유출을 차단하기 위해 업무망과 외부 인터넷망을 분리하는 망 차단조치를 말한다. 망분리 방식에는 물리적 망분리와 논리적 망분리로 구분할 수 있으며 논리적 망분리는 서버기반 논리적 망분리와 컴퓨터기반 논리적 망분리로 구분할 수 있다. 서버 기반 논리적 망분리에서 적용할 수 있는 인터넷망 가상화 방식과 업무망 가상화 방식의 장점 2가지씩 쓰시오.

 

# 인터넷망 가상화 방식의 장점

- 가상화된 인터넷 환경 제공으로 인한 악성코드 감염을 최소화 할 수 있다.

- 인터넷 환경이 악성코드에 감염되거나 해킹을 당해도 업무 환경은 안전하게 유지 가능하다.

 

# 업무망 가상화 방식의 장점

- 가상화 서버 환경에 업무 정보가 저장됨에 따라 업무 데이터에 중앙 관리 및 백업이 용이하고 내부정보 유출방지 효과가 증가한다.

- 사용자 통제 및 관리 정책의 일괄 적용이 가능하다.

 

8. 정보통신기반보호법에 따르면 금융/ 통신 등 각 분야별 정보통신기반시설을 보호하기 위하여 정보공유 / 분석센터를 구축 / 운영할 수 있다. 정보공유/ 분석센터가 하는 역할 2가지를 서술하시오.

 

- 취약점 및 침해 요인과 그 대응방안에 관한 정보 제공

- 침해사고가 발생하는 경우 실시간 경보/ 분석체계 운영

 

 

9. SLE와 ALE 구하는 식을 쓰고 각각 설명하시오.

 

단일예상손실액 (SLE) > 특정 자산에 특정 위협이 발생하여 자산에 끼칠 수 있는 예상 손실액을 말한다.

- 계산식 : 자산 가치 X 노출 계수

- 자산 가치(AV:Aseet Value) : 정량적 분석에서 자산 가치는 금액으로 평가된다.

- 노출 계수(EF:Exposure Factor) : 특정 자산에 특정 위협이 발생했을 때 자산에 끼칠 수 있는 손실 비율을 백분율로 표시.

연간예상손실액 (ALE) > 특정 자산에 특정 위협이 발생할 확률을 고려하여 예상할 수 있는 연간 손실액을 말한다.

- 계산식 : 단일예상손실액 X 연간 발생률

- 연가발생률 : 1년 동안 특정 자산에 특정 위협이 발생할 수 있는 예상 빈도수를 말한다.

 

10. ISMS 인증을 위해서 정보보호정책을 수립하고 정책의 적용범위를 설정하였다. 정보보호정책을 회사에 공표하고 공식문서로 인정받으려면 어떤 과정을 거쳐야 하는지 기술하시오.

 

- 정보보호정책은의 공표절차.

1. 이해관련자의 검토

2. 최고경영자(CEO)의 승인

3. 모든 임직원 및 관련자에게 이해하기 쉬운 형태 전달(최신본 유지)

 

*개인정보보호법 제29조(안전조치의무) 및 동법 시행령 제 48조의2(개인정보 안전성 확보 조치에 관한 특례) 에 따라 정보통신서비스 제공자는 다음 각 호의 안전성 확보조치를 해야 한다.

 

1. 개인정보를 안전하게 처리하기 위한 내부관리계획의 수립/시행

2. 개인정보에 대한 불법적인 접근을 차단하기 위한 조치

3. 접속기록의 위조/변조 방지를 위한 조치

4. 개인정보를 안전하게 저장/전송할 수 있도록 하기 위한 조치

5. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 컴퓨터 바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검/치료할 수 있도록 하기 위한 백신소프트웨어 설치 및 주기적 갱신/점검 조치

6. 그 밖에 개인정보 안전성 확보를 위하여 필요한 조치.