관련 분야(기술·관리·전략)

사내에서 외부 웹사이트로 HTTPS로 접속하는 통신만을 방화벽에서 허용하고 싶다. 허용해야 할 목적지 포트 번호는 어느 것인가?

1. 80
2. 443
3. 23
4. 25

사내 네트워크를 부서별 서브넷으로 분할하고, 서브넷 간 통신을 라우터로 제어하기로 했다. 이 대책의 주된 목적은 어느 것인가?

1. 서브넷을 넘나드는 통신 내용을 모두 암호화하여, 경로상에서 도청당해도 내용을 읽을 수 없는 상태로 만든다
2. 사내의 모든 단말에 동일한 IP 주소를 일괄 할당하여 주소 관리에 드는 수고를 크게 줄인다
3. 외부 인터넷으로부터의 부정 접속을 경계에서 모두 차단하여, 사내의 어떤 단말에도 침입당하지 않도록 한다
4. 단말 한 대가 멀웨어에 감염되더라도 피해 확산을 구역 내로 한정하고, 경계에서 통신을 차단할 수 있도록 한다

사내 단말에 사설 IP 주소를 할당하고 NAPT로 공인 IP 주소로 변환하여 인터넷에 접속하고 있다. 이 구성에 관한 설명으로 가장 적절한 것은 어느 것인가?

1. NAPT의 주된 목적은 공인 IP 주소의 절약이며, 외부로부터의 통신 제어는 방화벽으로 별도로 해야 한다
2. NAPT를 사용하면 통신 내용이 자동으로 암호화되므로 VPN이 필요 없어진다
3. NAPT는 발신원 주소를 숨기는 구조이므로 사내에서 외부로의 부정 통신도 자동으로 모두 차단된다
4. 사내 단말에 사설 IP 주소를 사용하고 있으면 외부에서 직접 도달할 수 없으므로 단말이 멀웨어에 감염되는 일은 없다

재택근무자가 자택에서 사내 시스템으로 VPN 접속을 한다. VPN에 관한 설명으로 가장 적절한 것은 어느 것인가?

1. VPN은 통신 경로를 암호화하여 보호하지만, 접속해 오는 단말이 안전하다는 것까지 보증하지는 않으므로 단말 측 대책도 필요하다
2. VPN을 사용하면 접속원 단말에 저장된 파일이 자동으로 암호화된다
3. VPN으로 통신 경로를 암호화하여 접속하면 접속원 단말이 멀웨어에 감염되어 있어도 사내 시스템에 영향이 미치는 일은 없다
4. VPN은 인터넷을 사용하지 않는 물리적 전용선이며, 통신사업자의 설비를 경유하지 않는다

사업장의 무선랜 보안 대책에 대해 가장 적절한 것은 어느 것인가?

1. 암호화와 인증에 WPA2 또는 WPA3를 사용하고, 스텔스 SSID나 MAC 주소 필터링은 보조적인 대책으로 자리매김한다
2. MAC 주소 필터링을 설정해 두면 암호화를 포함한 다른 대책은 필요 없다
3. 방문객용 무선랜과 사내 업무용 무선랜을 같은 네트워크에 접속시켜 액세스포인트 기기와 설정을 일괄하여 통합 관리한다
4. SSID의 스텔스 기능을 활성화하여 SSID를 외부에서 보이지 않게 해 두면 암호화 방식은 WEP 그대로도 충분히 안전하다고 할 수 있다

자사 도메인을 사칭한 스푸핑 메일의 피해를 줄이기 위해 발신 도메인 인증을 도입한다. SPF, DKIM, DMARC의 설명으로 가장 적절한 것은 어느 것인가?

1. DMARC는 메일 본문을 암호화하여 통신 경로상에서 제3자가 내용을 읽지 못하도록 하는 구조이다
2. SPF는 전자서명을 검증하는 구조, DKIM은 발신을 허용한 서버의 IP 주소를 DNS로 공개하여 대조하는 구조, DMARC는 인증에 실패한 메일의 처리 방침을 발신 측이 공개하는 구조이다
3. SPF는 발신을 허용한 서버의 IP 주소를 DNS로 공개하여 대조하는 구조, DKIM은 전자서명을 검증하는 구조, DMARC는 인증에 실패한 메일의 처리 방침을 공개하는 구조이다
4. 세 가지 모두 수신 측 메일 서버에서만 설정하면 되고 발신 측 도메인에서는 아무것도 설정할 필요가 없다

사내 서버와 네트워크 기기를 NTP 서버에 동기시켜 시각을 맞추고 있다. 정보보안상 이것이 중요한 이유로 가장 적절한 것은 어느 것인가?

1. 여러 기기의 로그를 시계열로 대조할 수 있게 되어, 사고의 경위를 정확하게 추적할 수 있고 감사 증적으로서의 가치도 유지되기 때문에
2. 시각이 맞으면 통신이 자동으로 암호화되어 도청당하지 않게 되기 때문에
3. 시각이 맞으면 멀웨어가 동작을 시작하는 시각을 미리 예측할 수 있게 되어, 그 시각의 통신을 사전에 차단할 수 있게 되기 때문에
4. 시각이 맞으면 기기마다 출력되는 로그 파일의 용량이 작아져, 같은 장치라도 로그를 보존할 수 있는 기간을 늘릴 수 있기 때문에

IaaS를 이용하여 자사의 업무 서버를 구축했다. 책임공유모델의 사고방식에 비추어 이용자가 해야 할 일로 가장 적절한 것은 어느 것인가?

1. 자신들이 도입한 게스트 OS나 미들웨어의 패치 적용을 이용자의 책임으로 계획적으로 실시한다
2. 가상화 기반(하이퍼바이저) 그 자체의 취약점 대책과 패치 적용을 이용자의 책임으로 계획적으로 실시한다
3. 데이터센터의 출입 관리와 시설 경비를 이용자가 직접 현지에 가서 실시하고 그 기록의 보관도 한다
4. 물리 서버의 하드웨어가 고장 났을 때의 부품 교환 작업을 이용자가 데이터센터에 가서 직접 실시한다

SaaS 파일공유 서비스를 업무에 이용하던 중, 담당자가 공유 범위를 '링크를 아는 모든 사람'으로 설정하여 사외에서 기밀 파일을 열람할 수 있는 상태가 되어 있었다. 책임공유모델의 사고방식에 비추어 본 설명으로 가장 적절한 것은 어느 것인가?

1. SaaS에서는 서비스 제공사업자가 모든 것을 지키도록 되어 있으므로 이 사안도 사업자의 책임이다
2. SaaS 이용 중의 공유 범위 설정은 서비스 사업자가 자동으로 최적화해 주므로 이용자에게도 사업자에게도 책임이 없다
3. 접근 권한이나 공유 범위의 설정과 그곳에 두는 데이터의 관리는 이용자의 책임 범위이며 이용자 측의 책임이다
4. SaaS에서는 이용자에게 공유 설정 권한이 없으므로 이러한 상태는 발생하지 않는다

PaaS 위에 자사에서 개발한 업무 애플리케이션을 올려 운용하고 있다. 이 애플리케이션에서 SQL 인젝션 취약점이 발견된 경우의 대응으로 가장 적절한 것은 어느 것인가?

1. OS 자체의 취약점이므로 이용자가 게스트 OS에 수정 프로그램을 적용하여 대처한다
2. 자사에서 개발한 애플리케이션은 이용자의 책임 범위이므로 자사에서 프로그램을 수정한다
3. PaaS에서는 이용자가 애플리케이션을 개발할 수 없으므로 이 취약점은 발생하지 않는다
4. PaaS 사업자가 제공하는 실행 환경 측의 문제이므로 사업자로부터의 수정 제공을 그대로 기다린다

가동률 0.95인 장치 A와 가동률 0.90인 장치 B를 직렬로 접속하여, A와 B 양쪽이 모두 동작하고 있을 때만 시스템 전체가 동작하는 구성으로 했다. 시스템 전체의 가동률은 얼마인가? 단, A와 B의 고장은 서로 독립적이라고 한다.

1. 0.990
2. 0.855
3. 0.900
4. 0.925

가동률 0.90인 장치를 2대 준비하여, 어느 한쪽이 동작하고 있으면 시스템 전체가 동작하는 이중화 구성으로 했다. 시스템 전체의 가동률은 얼마인가? 단, 2대의 고장은 서로 독립적이라고 한다.

1. 0.90
2. 0.95
3. 0.81
4. 0.99

파일 서버의 디스크를 RAID1(미러링)로 구성하고 있다. 랜섬웨어 대책으로서의 평가로 가장 적절한 것은 어느 것인가?

1. RAID1은 디스크 고장에는 유효하지만 암호화는 양쪽 디스크에 반영되므로, 세대 관리한 백업을 오프라인 또는 원격지에도 보관할 필요가 있다
2. RAID1의 디스크를 늘려 5대 구성으로 하면 랜섬웨어 피해를 막을 수 있다
3. RAID1은 디스크에의 쓰기를 항상 금지하는 구조이므로, 랜섬웨어가 파일을 암호화하려 해도 다시 쓸 수 없어 피해가 발생하지 않는다고 여겨진다
4. RAID1로 해 두면 암호화된 파일도 다른 한쪽 디스크의 내용으로부터 자동으로 원래대로 복구할 수 있으므로, 백업 취득 등의 추가 대책은 특별히 필요 없다

인사데이터베이스의 사원 테이블에는 사원번호, 성명, 소속, 직위, 급여, 개인번호 열이 있다. 일반 사원이 사원명부로서 성명·소속·직위만 열람할 수 있도록 하고 싶다. 가장 적절한 방법은 어느 것인가?

1. 성명·소속·직위 열만 추출한 뷰를 정의하고, 그 뷰에 대한 참조 권한만 일반 사원에게 부여한다
2. 사원 테이블 자체에 대한 참조 권한을 전 사원에게 부여한 후, 급여와 개인번호 열은 보지 않도록 사내에 주지해 둔다
3. 사원 테이블을 전 사원이 갱신할 수 있는 권한으로 변경한 후, 급여와 개인번호 열의 값을 모두 공란으로 한 채 운용한다
4. 사원 테이블의 백업을 공유 폴더에 두고 각자가 그곳에서 필요한 정보를 찾아서 사용한다

데이터베이스 서버의 디스크가 장애로 사용 불능이 되어 다른 디스크로 교체했다. 전날 밤의 백업과 그 이후에 취득된 갱신 후 로그가 남아 있다. 장애 발생 직전의 상태까지 복구시키는 방법은 어느 것인가?

1. 백업만 복원하여 전날 밤에 취득한 시점의 상태 그대로 운용을 재개한다
2. 백업을 복원한 후 갱신 후 로그를 반영하는 롤포워드를 실시한다
3. 처리 도중에 중단된 트랜잭션을 취소하는 롤백만 실행하여 복구한다
4. 갱신 전 로그만 사용하여 백업을 취득한 시점보다 이전의 상태까지 되돌린다

새로운 업무 시스템 개발에서 시큐리티 바이 디자인의 사고방식에 따른 진행 방식은 어느 것인가?

1. 테스트 공정에서 취약점이 발견된 경우에만 설계 공정까지 되돌아가, 필요한 보안 대책을 그때마다 검토하여 추가한다
2. 보안은 운용 담당자가 하는 작업이므로 개발 공정에서는 요건으로도 설계로도 전혀 고려하지 않고 개발을 진행한다
3. 기획·요건정의 단계에서 접근 권한 구분, 로그 취득 범위, 암호화, 인증 방식 등의 보안 요건을 정의한다
4. 우선 기능 구현을 우선하여 개발을 진행하고, 실제 가동을 시작한 후 필요한 보안 기능을 나중에 순차적으로 추가한다

웹 시스템 공개 전에 실시하는 침투 테스트(페네트레이션 테스트)의 설명으로 가장 적절한 것은 어느 것인가?

1. 프로그램의 내부 구조를 조사한 후, 조건 분기가 모두 적어도 한 번은 실행되는 것을 확인하는 테스트로, 망라 정도로 품질을 측정한다
2. 공격자의 입장에서 실제로 침입을 시도하여 방어를 돌파할 수 있는지 확인하는 테스트로, 실시에는 대상 시스템 관리자의 사전 승낙이 필요하다
3. 입력에 대해 사양대로 출력이 반환되는지를 프로그램의 내부 구조를 보지 않고 외부에서 확인하는 테스트로, 공개 전 최종 확인으로서 침입 가능성 평가도 겸한다
4. 이용자가 실제로 조작하게 하여 화면의 알기 쉬움이나 사용 편의성을 평가하는 테스트이다

서비스 관리에서 인시던트 관리와 문제 관리의 차이에 대한 설명으로 가장 적절한 것은 어느 것인가?

1. 인시던트 관리는 근본 원인을 규명하여 재발을 방지하는 것을 목적으로 하고, 문제 관리는 서비스를 가능한 한 빨리 정상 상태로 되돌리는 것을 목적으로 한다
2. 인시던트 관리는 서비스를 가능한 한 빨리 정상 상태로 되돌리는 것을 목적으로 하고, 문제 관리는 근본 원인을 규명하여 재발을 방지하는 것을 목적으로 한다
3. 인시던트 관리는 정보보안에 관한 사고만 다루고, 문제 관리는 그 이외의 모든 장애나 사고를 다룬다는 대상 범위에 의한 구별이다
4. 인시던트 관리와 문제 관리는 완전히 같은 활동을 가리키는 용어이며, 대상도 목적도 절차도 공통되고 보고서에 쓸 때의 명칭이 다를 뿐이다

업무 시스템의 운용을 외부에 위탁함에 있어 SLA를 체결한다. SLA에 관한 기술로 가장 적절한 것은 어느 것인가?

1. SLA는 제공자와 이용자가 서비스 품질 수준을 수치로 합의하는 문서이며, 가동률이나 복구 목표 시간에 더해 인시던트 발생 시 보고 기한이나 로그 보존 기간 같은 보안 사항도 정해 둔다
2. SLA는 서비스 제공자 측의 내부 규정이며 이용자에게는 공개하지 않는 것으로 되어 있다
3. SLA에는 가동률이나 복구 목표 시간 같은 가용성에 관한 목표만 기재하기로 하고, 인시던트 발생 시 보고 기한이나 로그 보존 기간 같은 보안에 관한 사항은 일절 기재해서는 안 된다
4. SLA는 한 번 합의하면 재검토해서는 안 되며, 계약 기간 중에는 달성 상황의 측정도 하지 않는다

서비스 관리에서의 변경 관리와 구성 관리에 대한 설명으로 가장 적절한 조합은 어느 것인가?

1. 변경 관리는 이용자로부터의 문의나 장애 연락을 접수하는 단일 창구가 되는 활동이며, 구성 관리는 발생한 장애로부터 가능한 한 빨리 서비스를 복구시키는 것을 목적으로 하는 활동이다
2. 변경 관리는 장애의 근본 원인을 규명하는 활동, 구성 관리는 업무에 필요한 처리 능력을 확보하는 활동이다
3. 변경 관리는 시스템에 대한 변경의 영향을 평가하고 승인을 받은 후 실시·기록하는 활동, 구성 관리는 기기·소프트웨어·설정 등의 구성 요소와 그 관계를 정확하게 계속 파악하는 활동이다
4. 변경 관리는 감사인이 피감사 부문에 개선을 지시하는 활동, 구성 관리는 경영자가 투자 가부를 판단하는 활동이다

사내에서 시스템 감사를 실시하게 되었다. 시스템 감사인의 독립성 관점에서 가장 적절한 것은 어느 것인가?

1. 피감사 부문으로부터 조직상 독립된 내부감사 부문의 담당자, 또는 외부 감사인이 감사한다
2. 감사 대상이 되는 부문의 부문장이 자기 부문의 업무를 스스로 감사하여 감사 보고서를 작성해 제출한다
3. 정보시스템 부서의 운용 담당자가 자신이 평소 운용하고 있는 업무 시스템을 스스로 감사한다
4. 감사 대상 시스템의 개발을 담당한 프로젝트 리더가 그 시스템을 스스로 감사한다

시스템 감사에서의 감사 증적과 후속 조치(팔로우업)에 관한 설명으로 가장 적절한 것은 어느 것인가?

1. 감사 증적이란 감사인이 작성하는 감사 보고서 그 자체를 말하며, 독립성을 유지하기 위해 피감사 부문에는 공개하지 않고, 후속 조치에서는 피감사 부문이 개선 상황을 스스로 평가하여 완료한다
2. 감사 증적이란 처리가 언제 누구에 의해 어떻게 이루어졌는지를 기록을 통해 소급하여 추적할 수 있는 구조나 기록이며, 후속 조치에서는 지적 사항의 개선 상황을 감사인이 확인한다
3. 감사 증적은 감사 기간 중에만 취득하는 것으로, 평상시 운용에서는 취득을 생략할 수 있다
4. 후속 조치에서는 감사인이 스스로 개선책을 입안하여 실시함으로써 문제를 해결한다

기업에서 CISO의 역할에 대한 설명으로 가장 적절한 것은 어느 것인가?

1. 자사 제품의 판매 전략이나 가격 전략을 입안하고 매출 목표 달성에 책임을 진다
2. 재무제표를 작성하고 주주총회에서 회계에 관한 설명을 할 책임을 진다
3. 정보보안 방침의 책정이나 리스크 대응 방침의 결정, 인시던트 발생 시의 지휘, 경영진에 대한 보고에 책임을 진다
4. 사내 PC나 네트워크 기기의 설치 작업이나 배선 작업을 스스로 실시하고, 기기의 일상적인 유지보수와 장애 발생 시 대응도 담당한다

내부통제의 관점에서 직무 분장의 사고방식에 따른 운용은 어느 것인가?

1. 구매 발주를 담당하는 사람과 납품물 검수를 담당하는 사람을 서로 다른 사람으로 나눈다
2. 업무 효율을 우선하여 시스템 개발 담당자에게 운영 환경 변경 권한도 부여한다
3. 모든 직원에게 관리자 권한을 부여하여 누구나 필요한 작업을 할 수 있도록 한다
4. 한 명의 담당자가 신청부터 승인, 실행, 기록까지 일관되게 수행하여 책임 소재를 명확히 한다

업무 시스템을 외부에 발주할 때의 조달 흐름으로 가장 적절한 것은 어느 것인가?

1. 정보제공요청서(RFI)→제안요청서(RFP)→제안서 접수·평가→계약
2. 계약→제안요청서(RFP)→제안서 접수·평가→정보제공요청서(RFI)
3. 제안요청서(RFP)→정보제공요청서(RFI)→계약→제안서 접수·평가
4. 제안서 접수·평가→정보제공요청서(RFI)→계약→제안요청서(RFP)

고객의 개인데이터를 다루는 업무를 외부에 위탁한다. 수탁처의 선정과 관리에 관한 기술로 가장 적절한 것은 어느 것인가?

1. 수탁처가 또 다른 사업자에게 재위탁하는 경우에도 위탁자에게 알릴 필요가 없다
2. 가격과 납기가 가장 유리한 업체를 선정하면 되며, 인증 취득 상황이나 보안에 관한 사항, 사고 시 협의 사항은 계약 체결 후에 상의한다
3. 위탁한 시점에서 개인데이터의 관리 책임은 모두 수탁처로 이전되므로 위탁자는 선정 후의 관리나 감독에서 완전히 손을 뗀다
4. 인증 취득 상황이나 재위탁의 취급, 사고 시 보고 의무, 감사 수용, 종료 시 데이터 삭제 등을 선정 기준과 계약에 명기하고, 위탁 후에도 정기적으로 보고를 받아 감독한다

직원이 업무에서 생성형 AI 서비스를 사용하고 싶다고 요청했다. 정보 유출 관점에서 조직이 정해야 할 규칙으로 가장 적절한 것은 어느 것인가?

1. 입력한 내용은 사업자 측에서 반드시 삭제되므로 기밀정보라도 자유롭게 입력해도 되는 것으로 한다
2. 생성형 AI는 위험하므로 사내 단말에서의 이용을 일률적으로 금지한 후, 개인 소유 단말이나 개인 계정을 사용한 이용은 각자의 판단에 맡긴다
3. 직원 각자가 개인의 판단으로 원하는 생성형 AI 서비스를 선택해도 되며, 업무에서 다루는 데이터에 대해서도 제한 없이 자유롭게 입력해도 되는 것으로 한다
4. 이용해도 되는 서비스를 조직이 승인한 것으로 한정하고, 고객의 개인정보나 미공표 경영정보 등은 입력해서는 안 된다는 것을 규칙으로 명시한다

생성형 AI에게 사외용 설명 자료의 초안을 작성하게 했다. 이 초안의 취급으로 가장 적절한 것은 어느 것인가?

1. 생성형 AI는 사실이 아닌 내용을 그럴듯하게 출력하는 경우가 있고, 생성물이 기존 저작물과 유사할 가능성도 있으므로, 내용의 사실 확인과 권리 관계 확인을 사람이 한 후에 공표한다
2. 출처를 덧붙이면 내용의 사실 확인을 하지 않고도 그대로 공표할 수 있다
3. 생성형 AI의 출력은 대량의 학습 데이터에 기반하여 만들어지므로 내용은 항상 정확하며, 기존 저작물과 유사할 일도 없으므로 내용을 확인하지 않고 그대로 공표한다
4. 생성형 AI가 만든 문장에 저작권 문제가 생기는 일은 없으므로 권리 관계 확인은 필요 없다

어떤 정보자산에 대해 사고가 발생했을 때의 손실액을 1회당 2,000만 엔, 발생 확률을 연 10%로 추정했다. 이 사고를 막는 대책 비용에 대한 경영 판단상의 사고방식으로 가장 적절한 것은 어느 것인가?

1. 예상 손실액은 연 200만 엔으로 예상되므로, 이것과 대책의 연간 비용을 비교하여 투자의 타당성을 판단한다. 다만 인명이나 법령 준수에 관련된 것은 비용 대비 효과만으로 판단하지 않는다
2. 예상 손실액은 연 200만 엔으로 예상되지만, 대책 비용은 금액의 많고 적음과 관계없이 항상 1회당 손실액 전액과 같은 2,000만 엔을 들여야 하며 비용 대비 효과는 고려하지 않는다
3. 발생 확률이 100%가 아닌 이상 사고는 일어나지 않는 것으로 간주하여 대책은 필요 없다고 판단한다
4. 보안 대책은 매출을 만들어내지 않는 비용이므로 비용은 전혀 들이지 않고 넘어간다

정보보안 추진 상황을 경영진에게 수치로 보고하기 위해 KGI·CSF·KPI를 설정한다. 조합으로 가장 적절한 것은 어느 것인가?

1. KPI는 경영진만 파악하는 비밀 지표이므로 담당 부서에는 알리지 않는다
2. KGI를 '중대 인시던트 발생 건수 제로', CSF를 '전 직원의 보안 의식 향상', KPI를 '훈련의 개봉률'이나 '취약점의 평균 수정 일수'로 한다
3. KGI·CSF·KPI는 모두 최종적인 성과 지표이며 같은 내용을 3번 적어서 나타낸다
4. KGI를 '표적형 공격 메일 훈련의 개봉률 5% 이하', CSF를 '훈련을 매년 반복해서 실시하는 것', KPI를 '중대 인시던트 발생 건수를 제로로 하는 것'으로 한다