2026 국가직 9급 정보보호론 정답·해설

정답은 ③입니다. 일방향 해시 함수는 임의 길이의 입력을 고정 길이의 값으로 바꾸며, 해시값으로부터 원래 입력을 되돌려 구할 수 없다는 일방향성이 핵심입니다. 암호화한 데이터를 다시 복호화하려면 역변환이 가능해야 하므로, 해시 함수만으로는 데이터 암복호화를 할 수 없습니다.

✗① 전자서명은 메시지 전체 대신 해시값에 서명하여 효율과 안전성을 높이므로 해시 함수의 대표적 응용입니다.

✗② 해시 함수의 출력은 예측하기 어려워 의사난수 생성기 구성에 활용됩니다.

✓③ 일방향성 때문에 복호화가 불가능하므로 적합하지 않습니다.

✗④ 소프트웨어나 파일의 해시값을 비교하면 변경 여부를 검출할 수 있습니다(무결성 검증).

정답은 ④입니다. 공개키로 암호화한 메시지는 대응하는 개인키를 가진 사람만 복호화할 수 있으므로 기밀성을 제공합니다. 전자서명은 서명자가 자신의 개인키로 서명(암호화)하고 누구나 공개키로 검증하는 방식이므로, 공개키 암호화로 전자서명 기능이 제공된다는 ④는 틀렸습니다.

✗① RSA는 공개키와 개인키를 쓰는 대표적 공개키 암호 방식입니다. 옳습니다.

✗② 개인키는 소유자만 비밀로 보관합니다. 옳습니다.

✗③ RSA의 안전성은 큰 두 소수의 곱을 소인수분해하기 어렵다는 데 근거합니다. 옳습니다.

✓④ 공개키 암호화는 기밀성, 개인키 서명은 인증·부인방지에 쓰이므로 틀렸습니다.

정답은 ②입니다. GRANT는 사용자나 역할에 테이블 등 데이터베이스 객체에 대한 SELECT, INSERT, UPDATE 같은 권한을 부여하는 데이터 제어어(DCL)입니다. 부여한 권한을 회수할 때는 REVOKE를 씁니다.

✗① ALTER는 테이블 등 객체의 구조를 변경하는 데이터 정의어(DDL)입니다.

✓② 권한 부여 명령이므로 옳습니다.

✗③ INSERT는 테이블에 행을 추가하는 데이터 조작어(DML)입니다.

✗④ COMMIT은 트랜잭션의 변경 내용을 확정하는 트랜잭션 제어 명령입니다.

정답은 ③입니다. SSL 레코드 프로토콜은 응용 데이터를 처리 가능한 크기의 블록으로 나누고(단편화), 선택적으로 압축한 뒤, 무결성을 위해 MAC을 계산해 붙이고, 압축 데이터와 MAC을 함께 암호화한 다음, 마지막으로 레코드 헤더를 붙여 전송합니다.

✗① 단편화가 맨 앞에 와야 하는데 뒤로 보내 틀렸습니다.

✗② 헤더를 먼저 붙이고 MAC을 마지막에 추가하여 틀렸습니다.

✓③ 단편화 → 압축 → MAC → 암호화 → 헤더의 순서와 일치하므로 옳습니다.

✗④ 암호화 후 MAC을 붙이고 그 뒤에 압축하는 순서는 SSL 방식이 아닙니다. 암호화한 데이터는 압축 효과도 거의 없습니다.

정답은 ④입니다. ISO/IEC 27001은 조직이 정보보호 관리체계(ISMS)를 수립·운영·유지·개선하기 위한 요구사항을 정한 국제 인증 규격입니다. 조직 단위의 관리체계를 인증한다는 점이 특징입니다.

✗① CC(Common Criteria, ISO/IEC 15408)는 정보보호 제품의 보안 기능과 보증 수준을 평가하는 국제 공통 평가 기준입니다.

✗② ITSEC은 유럽에서 만든 정보보호 제품·시스템 평가 기준으로 CC의 전신 중 하나입니다.

✗③ TCSEC(오렌지북)은 미국 국방부가 만든 신뢰 컴퓨터 시스템 평가 기준입니다.

✓④ 조직의 관리체계 국제 인증 규격이므로 옳습니다.

정답은 ①입니다. 세션은 사용자와 시스템, 또는 두 시스템 사이에 성립된 활성화된 접속을 말하며, 세션 관리는 이 접속의 생성·유지·종료를 통제합니다. 일정 시간 입력이 없으면 세션을 끊는 타임아웃, 세션 식별자 보호 등이 대표적인 세션 관리 기법입니다.

✓① 활성화된 접속을 관리하는 것이므로 옳습니다.

✗② 권한 관리는 인증된 사용자에게 어떤 자원에 어떤 작업을 허용할지 정하는 것입니다.

✗③ 로그 관리는 시스템 활동 기록을 수집·보관·분석하여 감사와 사고 대응에 활용하는 것입니다.

✗④ 취약점 관리는 시스템의 보안 약점을 찾아 평가하고 조치하는 활동입니다.

정답은 ②입니다. 델파이법은 전문가 집단의 의견을 반복적으로 수렴하여 위협과 취약성을 평가하는 정성적 위험 분석 방법입니다. 짧은 시간에 분석할 수 있지만 전문가의 주관에 의존하므로 정확도가 낮을 수 있습니다.

✗① 확률 분포법은 미지의 사건을 확률적으로 추정하는 정량적 방법입니다.

✓② 전문가 집단의 토론으로 분석하는 정성적 방법이므로 옳습니다.

✗③ 과거 자료 분석법은 과거 사고 자료를 바탕으로 발생 가능성을 추정하는 정량적 방법입니다.

✗④ 수학 공식 접근법은 위협 발생 빈도와 손실을 수식으로 계산하는 정량적 방법입니다.

정답은 ②입니다. CAPTCHA는 자동화된 프로그램(봇)과 사람을 구별하여 자동 가입, 무차별 대입 같은 공격을 막는 기술입니다. 데이터를 숨겨 기밀성을 보장하는 암호 기술이 아니므로 ②는 틀렸습니다.

✗① CAPTCHA는 「컴퓨터와 사람을 구분하는 완전 자동화된 공개 튜링 테스트」의 약자입니다. 옳습니다.

✓② 암호의 한 형태라고 하여 틀렸습니다.

✗③ 왜곡된 문자, 이미지 선택, 잡음 섞인 음성 등 다양한 형태를 사용합니다. 옳습니다.

✗④ 사람에게는 쉽고 컴퓨터에게는 어렵도록 설계해야 합니다. 옳습니다.

정답은 ①입니다. NAC(Network Access Control)는 네트워크에 접속하려는 단말기를 MAC 주소 등으로 식별·인증하고, 백신 설치나 패치 상태 같은 보안 정책 준수 여부를 점검하여 정책에 맞는 단말기만 네트워크를 쓰도록 허용하는 솔루션입니다. IP 관리 시스템에서 발전했다는 점도 특징입니다.

✓① 단말기 인증과 정책 기반 접근 제어를 수행하므로 옳습니다.

✗② DLP(Data Loss Prevention)는 중요 정보가 외부로 유출되는 것을 탐지·차단하는 솔루션입니다.

✗③ VPN은 공중망 위에 암호화된 터널을 만들어 사설망처럼 통신하게 하는 기술입니다.

✗④ PIMS는 개인정보 보호 관리체계를 뜻하는 인증 제도입니다.

정답은 ①입니다. RFC 4251이 정의한 SSH 구조는 서버 인증·키 교환·암호화·무결성을 담당하는 전송 계층 프로토콜, 클라이언트 사용자를 인증하는 사용자 인증 프로토콜, 하나의 암호화 터널을 여러 논리 채널로 나누어 쓰는 연결 프로토콜의 세 가지로 구성됩니다. 핸드셰이크 프로토콜은 SSL/TLS의 구성요소입니다.

✓① SSL/TLS의 구성요소이므로 SSH에 해당하지 않습니다.

✗② 사용자 인증 프로토콜은 SSH 구성요소입니다.

✗③ 전송 계층 프로토콜은 SSH 구성요소입니다.

✗④ 연결 프로토콜은 SSH 구성요소입니다.

정답은 ③입니다. 대검찰청 규정은 전자정보 압수·수색·검증과 디지털 증거 처리의 기본원칙으로 적법절차를 준수하고, 디지털 증거의 원본성(동일성)·무결성·신뢰성을 유지하도록 정합니다. 증거가 법정에서 증거능력을 인정받으려면 수집 과정이 적법하고 원본과 같으며 변경되지 않았음을 보여야 하기 때문입니다. 기밀성 유지는 기본원칙으로 열거되어 있지 않습니다.

✗① 적법절차의 준수는 기본원칙입니다.

✗② 디지털 증거의 신뢰성 유지는 기본원칙입니다.

✓③ 기밀성 유지는 기본원칙이 아니므로 정답입니다.

✗④ 디지털 증거의 원본성 유지는 기본원칙입니다.

정답은 ③입니다. ISMS-P 인증기준의 「관리체계 수립 및 운영」 영역은 1.1 관리체계 기반 마련, 1.2 위험관리, 1.3 관리체계 운영, 1.4 관리체계 점검 및 개선의 순서로 구성됩니다. 경영진 참여·조직 구성·범위 설정으로 기반을 마련하고(P), 위험을 식별·평가하여 보호대책을 선정하며, 이를 운영하고(D), 점검하여(C) 개선하는(A) 흐름입니다.

✗① 기반 마련을 맨 마지막에 두어 틀렸습니다.

✗② 위험관리를 기반 마련보다 앞에 두어 틀렸습니다.

✓③ (다) → (가) → (나) → (라)의 순서와 일치하므로 옳습니다.

✗④ 운영을 위험관리보다 앞에 두어 틀렸습니다.

정답은 ②입니다. Teardrop 공격은 IP 패킷 조각의 오프셋(순서 번호)을 겹치거나 어긋나게 조작해 보내, 수신 시스템이 패킷을 재조합하는 과정에서 오류를 일으켜 시스템이 정지하거나 재부팅되게 하는 공격입니다.

✗① Smurf는 출발지를 피해자 IP로 위조한 ICMP Echo 요청을 브로드캐스트 주소로 보내, 다수의 응답이 피해자에게 몰리게 하는 공격입니다.

✓② 패킷 조각 재조합 오류를 노리는 공격이므로 옳습니다.

✗③ ICMP Flooding은 대량의 ICMP 패킷으로 대역폭과 자원을 소모시키는 공격입니다.

✗④ Buffer Overflow는 버퍼의 경계를 넘는 입력으로 메모리를 덮어써 임의 코드를 실행하게 하는 공격입니다.

정답은 ②입니다. 그림은 각 암호문 블록을 먼저 블록 암호로 복호화한 뒤, 그 결과를 이전 암호문 블록(첫 블록은 IV)과 XOR하여 평문을 얻는 구조입니다. 이는 CBC 모드의 복호화 식 Pᵢ = D_K(Cᵢ) ⊕ Cᵢ₋₁과 같습니다.

✗① ECB는 각 블록을 독립적으로 복호화하며 IV나 이전 블록과의 XOR이 없습니다.

✓② 복호화 결과를 이전 암호문 블록과 XOR하므로 옳습니다.

✗③ CFB는 이전 암호문 블록을 블록 암호의 「암호화」 함수에 넣어 키스트림을 만든 뒤 현재 암호문과 XOR합니다. 복호화 함수를 쓰지 않습니다.

✗④ CTR은 카운터 값을 암호화하여 만든 키스트림을 암호문과 XOR하며, 역시 복호화 함수를 쓰지 않습니다.

정답은 ③입니다. 법 n에서 a의 곱셈 역원이 존재하려면 gcd(a, n) = 1, 즉 a와 n이 서로소여야 합니다. 26 = 2 × 13이므로 13은 26과 최대공약수가 13이어서 역원이 존재하지 않습니다.

✗① 7은 26과 서로소이며, 7 × 15 = 105 = 4 × 26 + 1이므로 역원은 15입니다.

✗② 11은 26과 서로소이며, 11 × 19 = 209 = 8 × 26 + 1이므로 역원은 19입니다.

✓③ gcd(13, 26) = 13이므로 역원이 없습니다.

✗④ 23은 26과 서로소이며, 23 × 17 = 391 = 15 × 26 + 1이므로 역원은 17입니다.

정답은 ①입니다. ISMS-P 인증기준은 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항의 세 영역으로 구성됩니다. 정보주체 권리보호는 「개인정보 처리 단계별 요구사항」 영역에 속하므로 보호대책 요구사항 분야가 아닙니다.

✓① 개인정보 처리 단계별 요구사항에 속하므로 해당하지 않습니다.

✗② 재해 복구는 보호대책 요구사항의 마지막 분야입니다.

✗③ 외부자 보안은 보호대책 요구사항 분야입니다.

✗④ 정책, 조직, 자산 관리는 보호대책 요구사항의 첫 분야입니다.

정답은 ④입니다. IPSec에서 기밀성을 제공하는 프로토콜은 ESP(Encapsulating Security Payload)입니다. ESP는 데이터 발신 인증, 비연결 무결성, 재전송 방지와 함께 암호화를 통한 기밀성을 제공하며, 대량의 패킷을 빠르게 처리해야 하므로 AES 같은 대칭키 암호 알고리즘을 사용합니다.

✗① AH는 무결성과 발신 인증만 제공하고 암호화(기밀성)는 제공하지 않습니다.

✗② AH는 기밀성을 제공하지 않으므로 틀렸습니다.

✗③ ESP는 맞지만 데이터 암호화에는 공개키가 아니라 대칭키 알고리즘을 씁니다. 공개키 방식은 IKE의 키 교환 과정에서 쓰입니다.

✓④ ESP와 대칭키의 조합이므로 옳습니다.

정답은 ④입니다. 개인정보 보호법은 보호위원회 위원 자격으로 개인정보 보호 업무를 담당하는 3급 이상 공무원(고위공무원단 포함)의 직에 있거나 있었던 사람, 판사·검사·변호사의 직에 10년 이상 있거나 있었던 사람, 공공기관이나 단체에 3년 이상 임원으로 재직했거나 그 기관·단체의 추천을 받은 사람으로서 개인정보 보호 업무를 3년 이상 담당했던 사람, 대학에서 부교수 이상으로 5년 이상 재직하고 있거나 재직했던 사람을 정합니다. 부교수 재직 기간을 3년 이상이라고 한 ④는 해당하지 않습니다.

✗① 추천받은 사람으로서 개인정보 보호 업무 3년 이상 담당은 자격 요건입니다.

✗② 개인정보 보호 업무 담당 3급 이상 공무원 경력은 자격 요건입니다.

✗③ 판사·검사·변호사 10년 이상 경력은 자격 요건입니다.

✓④ 부교수 재직 기간 요건이 5년 이상이므로 해당하지 않습니다.

정답은 ④입니다. 개인정보 보호법 제35조 제4항은 열람을 제한하거나 거절할 수 있는 경우로 법률에 따라 열람이 금지·제한되는 경우, 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우, 공공기관이 조세의 부과·징수 또는 환급 등 법이 정한 업무를 수행할 때 중대한 지장을 초래하는 경우를 정합니다. 「개인정보처리자의 정당한 이익이 명백히 정보주체의 권리보다 우선하는 경우」는 개인정보를 수집·이용할 수 있는 근거(제15조)이지 열람 제한 사유가 아닙니다.

✗① 법률에 따른 금지·제한은 열람 제한 사유입니다.

✗② 다른 사람의 재산 등 이익을 부당하게 침해할 우려는 열람 제한 사유입니다.

✗③ 공공기관의 조세 업무 수행에 중대한 지장을 주는 경우는 열람 제한 사유입니다.

✓④ 수집·이용 근거를 열람 제한 사유처럼 제시하여 해당하지 않습니다.

정답은 ①입니다. 보안관제 전문기업 지정 공고는 신청 기업이 법인일 것, 자기 자본이 20억원 이상일 것, 고급·중급 기술자를 포함한 기술인력을 15명 이상 보유할 것, 보안관제 수행능력 심사에서 70점 이상을 받을 것 등을 지정기준으로 정합니다. 「법인 설립 이후 5년 이상」이라는 업력 요건은 공고의 지정기준과 다르므로 ①이 옳지 않습니다.

✓① 지정기준에 없는 설립 연수 요건을 제시하여 틀렸습니다.

✗② 자기 자본 20억원 이상은 지정기준입니다.

✗③ 수행능력 심사 70점 이상은 지정기준입니다.

✗④ 고급 3명, 중급 6명 이상을 포함한 기술인력 15명 이상은 지정기준입니다.