2023년 경찰 하반기 경력경쟁 정보보안관리및법규 기출문제

2023년 경찰 하반기 경력경쟁 정보보안관리및법규 20문항 중 15문항의 발문과 선지입니다. 시험 시간은 20분입니다. 나머지 5문항은 그림이나 지문이 있어 앱에서 볼 수 있습니다. 정답·해설은 앱에서 볼 수 있습니다.

출처: 경찰청 원서접수 사이트 시험 관련 공지사항

1. 1번
   정보보호에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①정보보호는 다양한 내･외부 위협으로부터 조직의 정보자산에 대한 기밀성, 무결성, 가용성 등이 보장될 수 있도록 관리적, 기술적, 물리적 보호조치를 마련하는 것이다.
   2. ②기밀성(confidentiality)은 권한있는 자만이 정보자산에 접근하여 그 내용을 알 수 있도록 보장하며 정당하지 않은 자에 의해 정보가 노출되지 않도록 보장하는 것이다.
   3. ③무결성(integrity)은 권한있는 자만이 위조‧변조된 정보를 확인할 수 있도록 보장하며 이를 위해 장비 이중화 구성,서버 클러스터링 구성, 디스크 RAID 구성의 기법이 활용된다.
   4. ④가용성(availability)은 권한있는 자의 정보자산 접근 필요 시 언제든지 접근할 수 있도록 보장하며 장애･재해가 발생해도 정상적인 서비스가 가능하도록 보장하는 것이다.
2. 2번
   재해복구시스템의 복구 수준별 유형에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①미러사이트 : 관리자가 선택한 데이터만을 별도의 백업디스크에 순차적으로 백업하는 방식으로 많은 복구 시간이 필요하다.
   2. ②핫 사이트 : 주센터와 동일 수준의 시스템을 원격지 사이트에 구축한 후 대기상태로 실시간 미러링(mirroring)을 통해 최신 데이터를 유지하는 방식이며 주센터 재해 발생 시 활성상태로 전환하여 서비스를 제공한다.
   3. ③웜 사이트 : 주센터의 중요도가 높은 일부 시스템만 원격지 사이트에 구축하여 주센터 재해 발생 시 중요 업무에 대해서만 우선 복구하는 방식이다.
   4. ④콜드 사이트:데이터만 원격지에 보관하고 서비스를 위한 시스템은 확보하지 않거나 전원시설, 통신설비 등만을 최소한으로 확보하는 방식이다.
3. 3번
   시점별 통제에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①통제의 시점에 따라 예방통제, 탐지통제, 교정통제로 구분된다.
   2. ②교정통제는 탐지 전 위협과 취약점에 대응하는 것으로 IDS의 성능을 향상시킨다.
   3. ③탐지통제는 예방통제를 우회하여 발생하는 문제점을 탐지하려는 활동으로 위협을 탐지한다.
   4. ④예방통제란 사전에 위협과 취약점에 대처하는 통제를 의미한다.
4. 4번
   위험분석 방법론에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①델파이법 : 각 분야의 전문적인 지식을 갖춘 전문가 집단을 구성하고 토론을 통해 위험분석을 수행하는 방식이다.
   2. ②퍼지 행렬법:자산,위험,보안체계 등 위험분석 요소들을 정성적인 언어로 표현된 값을 사용하여 기대 손실을 평가하는 방식이다.
   3. ③확률 분포법 : 비교 우위 순위 결정표에 의해 위험 항목들의 서술적 순위를 결정하는 방식이다.
   4. ④시나리오법 : 어떤 사건도 기대대로 발생하지 않는다는 사실에 근거하여 위협에 대한 발생 가능한 결과들을 추정하는 방식이다.
5. 5번 그림이나 지문이 있는 문항입니다. 앱에서 보기
6. 6번
   국제 공통평가 기준(CC, Common Criteria)의 등급별 보안 수준에 관한 설명으로 가장 적절한 것은?
   1. ①EAL1:구조시험으로 체계적인 설계･시험 및 검토 단계로 독립적인 취약점 분석
   2. ②EAL3:방법론적 시험 및 검사로 완전한 범위의 보안 기능 시험
   3. ③EAL5 : 정형화된 설계 검증 및 시험 단계로 포괄적 분석
   4. ④EAL7 : 준정형 검증된 설계 및 시험으로 독립적인 취약점 검사
7. 7~8번 그림이나 지문이 있는 문항입니다. 앱에서 보기
8. 9번
   요구사항에 따른 위험분류에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①베이스라인 접근법은 모든 시스템에 대해 표준화된 보호대책 목록을 체크리스트 형태로 제공한다.
   2. ②비정형 접근법은 정형화되고 구조화된 프로세스를 사용하는 대신 분석가 개인의 지식 및 경험을 활용한다.
   3. ③상세 위험분석은 경험자의 지식을 토대로 위험분석을 수행하기 때문에 빠르고 분석 비용이 상대적으로 저렴하다.
   4. ④복합 접근법은 고위험 영역에 대해 상세 위험분석을 수행하고 그 외의 다른 영역은 베이스라인 접근법을 사용한다.
9. 10번
   위험관리5단계 과정에 관한 설명으로 가장 적절하지 않은 것은?
   1. ①위험관리 전략 및 계획 수립 단계 : 자산, 위협, 취약성, 기존 보호 대책 등을 분석하여 위험의 종류와 규모를 결정한다.
   2. ②위험평가 단계 : 위험분석 결과를 이용하여 최종적으로 위험도를 평가하고, 조직에서 수용 가능한 목표 위험수준을 정하여 이를 기준으로 위험의 대응 여부와 우선순위를 결정한다.
   3. ③정보보호 대책 선정 단계:위험평가 결과를 토대로 수용 가능한 목표 위험수준을 초과하는 위험을 수용 가능한 수준으로 감소시키기 위하여 위험처리 전략을 설정하고 적절한 통제사항을 선택한다.
   4. ④정보보호 계획 수립 단계 : 선정한 보호 대책을 구현하기 위한 이행계획을 수립하는 단계로 정보보호 대책 및 구현의 우선순위, 일정계획, 예산, 책임, 운영계획 등을 포함한 이행계획을 수립한다.
10. 11~12번 그림이나 지문이 있는 문항입니다. 앱에서 보기
11. 13번
    ｢개인정보 보호법｣ 제23조(민감정보의 처리 제한)에 관한 설명으로 가장 적절한 것은?
    1. ①민감정보란 개인에 관한 정보로 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보를 의미한다.
    2. ②민감정보란 사상‧신념, 노동조합‧정당의 가입‧탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보를 의미한다.
    3. ③개인정보처리자는 정보주체의 개인정보 수집 및 이용 동의를 받은 경우, 민감정보는 별도 동의 없이 사용할 수 있다.
    4. ④개인정보처리자가 민감정보를 처리하는 경우, 그 민감정보가 분실‧도난‧유출‧위조‧변조 또는 훼손되지 아니하도록 기술적 조치만 취하면 제3자에게 전달할 수 있다.
12. 14번
    ｢개인정보의 안전성 보호조치 기준｣ 제5조(접근권한의 관리)에 관한 설명으로 가장 적절한 것은?
    1. ①개인정보처리자는 개인정보처리 시스템에 대한 접근권한을 업무수행에 필요한 최대한의 범위로 업무 담당자마다 동일하게 부여하여야 한다.
    2. ②개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우, 지체없이 개인정보처리 시스템의 접근권한을 변경 또는 말소하여야 한다.
    3. ③개인정보처리자는 권한 부여, 변경 또는 말소에 대한 내역을 기록하고 그 기록을 최소 7년간 보관하여야 한다.
    4. ④개인정보처리자는 개인정보처리 시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 사용자 그룹에 발급된 계정을 공유하고 그룹 내에서만 사용하도록 권한을 설정한다.
13. 15번
    ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제47조(정보보호 관리체계의 인증)에 관한 설명으로 가장 적절한 것은?
    1. ①정보보호 최고책임자는 정보통신망의 안정성‧신뢰성 확보를 위하여 관리적‧기술적‧물리적 보호조치를 포함한 종합적 관리체계를 수립‧운영하고 있는 자에 관하여 인증을 할 수 있다.
    2. ②주요정보통신서비스 제공자 중 연간 매출액 또는 세입 등이 1,500억 원 이상이거나 정보통신 서비스 부문 전년도 매출액이 10억 원 이상 또는 7개월간의 일일 평균 이용자 수가 100만 명 이상에 해당하는 자는 인증을 받아야 한다.
    3. ③한국인터넷진흥원, 정보보호관리체계 인증기관 및 정보보호 관리체계 심사기관은 정보보호 관리체계의 실효성 제고를 위하여 연2회 이상 사후관리를 실시하고 그 결과를 경찰청장에게 통보하여야 한다.
    4. ④정보보호 관리체계 인증의 유효기간은 3년으로 하고 정보보호 관리 등급을 받은 경우 그 유효기간 동안 인증을 받은 것으로 본다.
14. 16번
    ｢개인정보 보호법｣ 제16조(개인정보의 수집 제한)에 관한 설명으로 가장 적절하지 않은 것은?
    1. ①개인정보처리자는 개인정보를 수집하는 경우에 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.
    2. ②개인정보처리자는 그 목적에 필요한 최소한의 범위를 벗어난 개인정보는 선택정보로서 필수정보 동의 시에 일괄 동의를 얻어야 하며 정보주체가 동의하여도 수집하지 못한다.
    3. ③개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우, 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알려야 한다.
    4. ④개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니된다.
15. 17번
    ｢개인정보의 기술적･관리적 보호조치 기준｣ 제6조(개인정보의 암호화)에 관한 설명으로 가장 적절하지 않은 것은?
    1. ①정보통신서비스 제공자는 비밀번호가 복호화되지 않도록 양방향 암호화 알고리즘(해시함수)을 사용하여 암호화한다. 이때 암호화한 해시값을 크래킹하기 위해 첨가값(salt), 반복횟수(iteration count) 등을 추가하도록 하는 것이 가능하다.
    2. ②정보 통신 서비스 제공자는 주민 등록 번호, 여권 번호, 운전면허 번호, 외국인 등록 번호, 신용 카드 번호, 계좌 정보, 생체 인식 정보에 대해서는 안전한 알고리즘으로 암호화하여 저장한다.
    3. ③정보통신서비스 제공자는 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송･수신할 때 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
    4. ④정보통신서비스 제공자는 이용자의 개인정보를 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때 이를 암호화해야 한다.
16. 18번
    ｢정보통신기반 보호법｣ 제3조(정보통신기반보호위원회)에 관한 설명으로 가장 적절하지 않은 것은?
    1. ①주요정보통신기반시설 보호에 관한 사항을 심의하기 위하여 국가정보원장 소속하에 정보통신기반보호위원회(위원회)를 둔다.
    2. ②위원회의 위원은 위원장 1인을 포함한 25인 이내의 위원으로 구성한다.
    3. ③위원회의 위원장은 국무조정실장이 되고 위원회의 위원은 대통령령으로 정하는 중앙행정기관의 차관급 공무원과 위원장이 위촉하는 사람으로 한다.
    4. ④위원회의 효율적인 운영을 위하여 위원회에 공공분야와 민간분야를 각각 담당하는 실무위원회를 둔다.
17. 19번
    ｢클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률｣ 제25조(침해사고 등의 통지 등), 제26조(이용자 보호 등을 위한 정보 공개), 제27조(이용자 정보의 보호)에 관한 설명으로 가장 적절하지 않은 것은?
    1. ①클라우드컴퓨팅 서비스 제공자는 이용자 정보가 유출되었을 때 사고 원인을 규명한 보고서가 작성･완료될 때까지 이용자에게 알리지 못한다.
    2. ②이용자는 클라우드컴퓨팅 서비스 제공자에게 이용자 정보가 저장되는 국가의 명칭을 알려 줄 것을 요구할 수 있다.
    3. ③클라우드컴퓨팅 서비스 제공자는 법원의 제출명령이나 법관이 발부한 영장에 의하지 아니하고는 이용자의 동의 없이 이용자 정보를 제3자에게 제공할 수 없다.
    4. ④클라우드컴퓨팅 서비스 제공자는 사업을 종료하려는 경우에 이용자에게 사업종료 사실을 알리고 사업 종료일 전까지 이용자 정보를 반환해야 한다.
18. 20번
    ｢위치정보의 보호 및 이용 등에 관한 법률｣ 제15조(위치정보의 수집 등의 금지)에 관한 설명으로 가장 적절하지 않은 것은?
    1. ①누구든지 개인위치정보주체의 동의를 받을 경우, 개인위치정보의 수집･이용이 가능하다.
    2. ②긴급구조기관의 긴급구조요청이 있는 경우에도 개인위치정보주체의 동의 없이는 개인위치정보의 수집･이용은 불가능하다.
    3. ③위치정보를 수집할 수 있는 장치가 부착된 물건을 판매하거나 대여･양도하는 자는 위치정보 수집장치가 부착된 사실을 구매하거나 대여･양도받는 자에게 알려야 한다.
    4. ④누구든지 타인의 정보통신기기를 복제하거나 정보를 도용하는 방법으로 개인위치정보사업자 및 위치기반서비스사업자를 속여 타인의 개인위치정보를 제공받아서는 아니된다.