해설 보기
정답위험이 부정적 영향을 미칠 가능성과는 무관하다고 한 설명으로, 위험은 발생 가능성과 영향도를 함께 고려하는 개념이므로 틀렸습니다.
핵심 개념
정보보호 위험관리의 구성요소(자산·위협·취약점·위험·대책)
위험관리는 조직의 자산을 식별하고 그 자산에 대한 위협과 취약점을 분석해 위험을 평가한 뒤, 수용 가능한 수준까지 위험을 줄이는 대책을 선택·적용하는 일련의 과정입니다. 여기서 자산은 보호해야 할 대상(정보, 하드웨어, 소프트웨어, 시설, 인력 등)이고, 위협은 자산에 손실을 일으킬 수 있는 잠재적 원인, 취약점은 그 위협이 파고들 수 있는 자산의 약점입니다. 위험은 흔히 '자산 × 위협 × 취약점'으로 표현되며, 어떤 사건이 발생할 가능성과 그로 인해 조직에 미치는 부정적 영향(손실 크기)을 함께 고려한 개념이라는 점이 핵심입니다. 정보보호대책(통제)은 관리적·기술적·물리적 대책으로 나뉩니다.
선지별 해설
①자산은 조직이 보호해야 할 가치 있는 대상으로, 정보 자체는 물론 하드웨어·소프트웨어·시설·인력·서비스 등이 모두 포함됩니다. 옳은 설명입니다.
②위험은 '손실이 발생할 가능성'과 '그로 인한 부정적 영향(파급 효과)'을 함께 고려해 산정하는 개념입니다. 영향도와 무관하다고 한 부분이 잘못되었으므로 이 선지가 정답입니다.
③취약점은 자산이 내재적으로 가지고 있는 약점으로, 위협이 이를 이용할 때 실제 손실로 이어집니다. 옳은 설명입니다.
④정보보호대책은 위협에 대응해 자산을 보호하기 위한 통제 수단이며, 정책·절차 같은 관리적 대책, 암호화·접근통제 같은 기술적 대책, 출입통제·잠금장치 같은 물리적 대책으로 구분됩니다.
해설 보기
정답전자서명 시 서명자의 공개키로 암호화한다고 한 설명으로, 실제로는 서명자의 개인키를 사용하므로 틀렸습니다.
핵심 개념
공개키 암호와 전자서명에서의 키 사용 방향
공개키 암호는 공개키와 개인키를 쌍으로 사용하며, 각 알고리즘은 서로 다른 수학적 난제에 안전성을 둡니다. RSA는 큰 합성수의 소인수분해 문제, Rabin은 모듈러 제곱근(역시 소인수분해에 귀착) 문제, ElGamal과 DH는 이산대수 문제, ECC는 타원곡선상의 이산대수 문제에 기반합니다. 특히 중요한 것은 키의 사용 방향입니다. 기밀성을 위한 암호화는 '수신자의 공개키로 암호화 → 수신자의 개인키로 복호화'인 반면, 전자서명은 반대로 '서명자의 개인키로 서명 생성 → 서명자의 공개키로 검증'합니다. 서명은 본인만 만들 수 있어야 부인방지가 성립하기 때문입니다.