EIS

지도 위치 : 5과목 · README 4장 ① 목표와 체계 층 (탑다운 1단계 — 모든 노트의 판단 기준) | 출제기준: 1. 정보보호 관리 > 1. 정보보호 관리 이해, 2. 정보보호 위험평가 | 이전: 20 해시함수와 MAC | 다음: 22 대책 구현 · 사고대응 · 인증제도 출제 빈도 : ⭐⭐ (회당 약 5.0문항 — 출제분석.md) · 변화 – (M1.1 관리 이해 ▼ 2.0→1.1, M1.2 위험평가 – 3.4→3.5) 세세항목 : 정보보호의 목적 및 특성 / 정보보호 관리의 개념 / 정보보호 전략 및 조직 / 위험분석 및 계획수립 / 정보자산 식별 및 분석 / 위험분석 및 평가

이 노트를 다 읽으면

1. 보안 목표 여섯 가지(기밀성 · 무결성 · 가용성 · 인증성 · 부인방지 · 책임추적성)를 사례만 보고 고를 수 있다.
2. 공격을 수동적 ↔ 능동적 으로 가르고, 왜 수동적 공격은 "탐지"보다 "예방"으로 막는지 설명할 수 있다.
3. 정책 · 표준 · 지침 · 절차의 차이(강제인가 권고인가)와 CISO · CPO의 역할 경계를 말할 수 있다.
4. 위험을 자산 · 위협 · 취약점 으로 분해하고, 각각의 정의를 형제 개념과 구별해 말할 수 있다.
5. 위험분석 4가지 접근법 (기준선 · 비정형 · 상세 · 복합)과 정량적 · 정성적 기법 을 짝지을 수 있다.
6. ALE = SLE × ARO, SLE = AV × EF 로 연간 예상 손실을 계산할 수 있다.
7. 위험 처리 4가지(감소 · 회피 · 전가 · 수용)를 사례에 붙이고, 잔여위험 을 누가 어떻게 다루는지 말할 수 있다.

---

0. 이 노트의 판별 축

이 노트가 답하는 질문은 하나입니다. "무엇을, 얼마나, 왜 지키는가" . 다른 모든 노트의 기술(암호 · 방화벽 · 로그)은 이 노트의 마지막 단계인 "위험 처리 → 보호대책 선정" 에서 골라지는 부품입니다. 그래서 탑다운 1단계입니다. 다음 노트(22)는 고른 대책을 어떻게 구현하고 사고가 나면 어떻게 대응하는가 를 다룹니다.

---

1. 보안 목표 — 무엇을 지키는가 ⭐

1.1 여섯 가지 목표

README 4장의 CIA에 세 가지를 더하면 시험에 나오는 보안 목표(보안 서비스)가 모두 나옵니다.

1.2 헷갈리는 짝

⚠️ 이건 아닙니다 — "서비스가 느려져 이용할 수 없었다"는 무결성 침해가 아닙니다. 내용이 바뀐 것이 아니라 쓸 수 없게 된 것 이므로 가용성 침해입니다.

📝 기출 포인트 — "서비스 이용 불가 → 가용성", "송수신 사실 부인을 막는 속성 → 부인방지", "로그 관리와 관련된 속성 → 책임추적성", "분실 · 도난에 대비하는 속성 → 기밀성"처럼 사례 → 속성 을 고르는 문제가 매회 1문항 꼴. 보안 목표 정의 중 틀린 것을 고르는 유형에서는 인증성과 무결성의 정의를 바꿔 놓는 함정이 반복됩니다.

---

2. 공격의 분류 — 수동적 ↔ 능동적 ⭐

2.1 데이터를 건드리는가

트래픽 분석 — [수동적 공격]인데, [ 내용을 못 읽어도 통신 상대 · 빈도 · 길이 같은 패턴에서 정보를 추론한다 ]는 점에서 내용 자체를 읽는 도청과 구별된다.

⚠️ 반례 — "암호화했으니 수동적 공격은 다 막았다"는 틀립니다. 트래픽 분석은 암호문이어도 누가 누구와 언제 얼마나 통신했는지를 봅니다. 그래서 트래픽 분석은 "능동적 공격이 아닌 것"을 고르는 문제의 단골 정답입니다.

2.2 공격 목적으로 본 네 가지 (흐름 기준 분류)

📝 기출 포인트 — "능동적 공격이 아닌 것"(정답: 트래픽 분석 · 도청), "수동적 공격에 해당하는 것"(스니핑)을 고르는 유형이 2013년부터 2025년까지 꾸준히 반복. 최근에는 크랙 · 세션 하이재킹 · DoS · 변조 · 스니핑을 공격 목적(기밀성 · 무결성 · 가용성) 으로 분류하게 하는 변형이 나왔습니다. 위 2.2 표 한 장으로 둘 다 풀립니다.

앞으로 다시 만납니다 — 스니핑 · 스푸핑 · 세션 하이재킹의 실제 동작은 09번 노트, DoS는 08번 노트.

---

3. 정보보호 관리 — 정책 · 조직 · 관리체계

3.1 관리란 무엇인가

정보보호 관리 — [조직의 경영 활동]인데, [ 위험을 한 번 없애는 것이 아니라, 수용 가능한 수준으로 계속 유지하는 순환 과정 ]이라는 점에서 일회성 보안 솔루션 도입과 구별된다.

이 순환을 표준화한 것이 PDCA (ISO/IEC 27001 계열 관리체계의 기본 틀)입니다.

관리체계의 큰 흐름은 시험에 이렇게 나옵니다: 정책 수립 · 범위 설정 → 경영진 책임 · 조직 구성 → 위험관리(자산 식별 → 위험평가) → 대책 구현 → 사후관리(점검 · 개선) . 순서의 핵심은 "위험평가가 대책 선정보다 먼저" 입니다. 무엇이 위험한지 모르면 무엇을 살지 정할 수 없기 때문입니다.

3.2 정책 문서의 계층 — 강제인가 권고인가

⚠️ 우리말 법령 · 고시에서는 "지침"이 강제력이 있는 문서 이름으로 쓰이기도 합니다(예: ○○ 보호지침). 시험의 정책 계층 문제 에서 Guideline은 "권고"로 기억하세요.

정보보호 정책에 들어가야 할 것 : 목적과 범위, 보안 목표, 조직 · 역할 · 책임, 적용 대상, 위반 시 조치, 검토 주기. 정책은 최고경영자(경영진)의 승인 을 받고 전 임직원(관련 외부자 포함)에게 공표 해야 하며, 연 1회 이상 등 정기적으로 검토합니다.

💡 비유(기억 보조) — 정책은 헌법, 표준은 법률, 지침은 권고문, 절차는 업무 매뉴얼.

3.3 조직과 역할

앞으로 다시 만납니다 — CISO 지정 · 신고 의무와 자격요건은 23번 노트(정보통신망법), CPO 지정 기준과 자격요건은 24번 노트(개인정보보호법).

OECD 정보보호 가이드라인 (2002) — 정보시스템 · 네트워크 보안을 위한 9개 원칙: 인식, 책임, 대응, 윤리, 민주성, 위험평가, 보안 설계와 이행, 보안 관리, 재평가 . (개인정보 보호의 OECD 8원칙과 다른 문서입니다 — 24번 노트.)

📝 기출 포인트 — ① 정보보호 정책에 포함될 항목 / 아닌 것 , ② 정책 문서 구성(정책 · 표준 · 지침 · 절차), ③ CISO 업무와 CPO 업무 구분(2025년 출제), ④ 조직 구성원별 책임(자산 등급은 누가 정하나), ⑤ PDCA 단계와 활동 짝짓기, ⑥ 관리체계 수립 단계 순서. 정책 · 조직 설명 중 틀린 것 을 고르게 할 때는 "정책은 정보보호 담당자가 승인한다"(❌ 경영진 승인)가 흔한 오답 보기입니다.

---

4. 위험의 구성요소 — 자산 · 위협 · 취약점 ⭐

4.1 용어의 정의

위험평가 문제의 절반은 용어 정의 입니다. 정의끼리의 경계를 정확히 잡으세요.

4.2 셋의 관계

                   위협 (원인: 해커·화재·실수)
                     │  이용한다
                     ▼
   자산 (가치) ◀── 취약점 (약점: 미패치·설정 오류)
     │
     ▼
   위험 = f(자산 가치, 위협, 취약점)   ── 대책 ──▶ 잔여위험 ── 수용 가능 수준(DoA) 이하인가?

🔍 읽는 포인트 : 셋 중 하나라도 0에 가까우면 위험이 작습니다 . 가치 없는 자산, 위협이 닿지 않는 자산, 약점이 없는 자산은 위험이 낮습니다. 그래서 위험은 "곱" 의 감각으로 기억하세요 (교재에 따라 점수의 합으로 계산하기도 합니다).

1. 01자산무엇이 중요한가→
2. 02위협·취약점어떻게 피해가 생기나→
3. 03위험평가가능성과 영향 검토→
4. 04대응·재평가대책 후 남은 위험 확인

1 / 4 · 자산재생

이 단계에서는

고객 정보와 서비스의 중요도 확인

단계를 누르면 해당 설명에서 멈춥니다.

취약점 목록을 만든 것만으로 위험평가가 끝나지 않습니다. 자산의 가치와 업무 영향을 연결해야 합니다.

⚠️ 반례 — "해커가 많다(위협이 크다)" 만으로 위험이 크다고 할 수 없습니다. 취약점이 없거나 자산 가치가 낮으면 위험은 작습니다. 반대로 "취약점 = 위협"은 가장 흔한 오답입니다. 취약점은 내 쪽의 약점 , 위협은 바깥의 원인 입니다.

💡 비유(마지막에) — 집(자산)에 도둑(위협)이 있어도 문이 잠겨 있으면(취약점 없음) 털리지 않습니다. 문이 열려 있는(취약점) 빈 창고(가치 없음)도 걱정할 이유가 적습니다.

4.3 정보자산 식별과 가치평가

1. 식별 : 자산 목록 작성, 자산 그룹화(같은 특성의 자산 묶기), 소유자 · 관리자 지정 .
2. 가치(중요도) 평가 : 각 자산이 기밀성 · 무결성 · 가용성 을 잃었을 때의 영향을 등급(예: 상 · 중 · 하 또는 1~3점)으로 매기고, 합 또는 최댓값으로 자산 중요도 를 정합니다. 법적 요구사항(개인정보 포함 여부)도 반영합니다.
3. 현황 · 흐름 분석 : 서비스 · 업무 흐름도, 개인정보 흐름도를 그려 어디로 정보가 흐르는지 파악합니다.

⚠️ 자산 식별 범위는 정보시스템만이 아닙니다 . 문서 · 인력 · 물리적 시설 · 외부 위탁 서비스도 포함합니다. "위험분석의 자산 식별은 하드웨어 · 소프트웨어로 한정한다"는 틀린 보기입니다.

📝 기출 포인트 — 위험 구성요소(자산 · 위협 · 취약점)가 아닌 것 고르기(예: "보안 정책", "발생 결과"를 끼워 넣음), 위협 · 취약점 정의 바꿔치기, CIA 기반 자산 중요도 평가 , "자산 가치평가 범위" 설명 중 틀린 것이 반복 출제. 2024년에는 "손실을 초래할 수 있는 잠재적 원인 = 위협"을 직접 묻는 문항이 나왔습니다.

---

5. 위험분석 — 접근법과 기법 ⭐⭐

5.1 네 가지 접근법 — 범위와 깊이

이 분류는 ISO/IEC TR 13335(GMITS)의 위험분석 전략에서 온 것입니다.

💡 축 4로 기억: 기준선 = 넓고 얕게 , 상세 = 좁고 깊게 , 복합 = 중요한 곳만 깊게 , 비정형 = 사람 머릿속으로 .

5.2 정량적 위험분석 — 돈과 확률로

정량적 위험분석 — [위험분석 기법]인데, [ 자산 가치와 손실을 금액으로, 발생 가능성을 빈도 · 확률로 수치화 한다]는 점에서 등급 · 서술로 평가하는 정성적 분석과 구별된다.

SLE (단일 예상 손실)  = AV (자산 가치) × EF (노출 계수: 한 번 사고 시 손실 비율, 0~1)
ALE (연간 예상 손실)  = SLE × ARO (연간 발생률: 1년에 몇 번 일어나는가)

예) 고객 DB 가치 10억 원, 유출 1회 시 가치의 40% 손실, 4년에 한 번 꼴로 발생
    SLE = 10억 × 0.4 = 4억 원
    ARO = 1/4 = 0.25
    ALE = 4억 × 0.25 = 1억 원/년
    → 연간 비용 3천만 원짜리 대책이 ARO를 0.05로 낮춘다면
      새 ALE = 4억 × 0.05 = 2천만 원, 줄어든 손실 8천만 원 > 대책 비용 3천만 원 → 도입 타당

🔍 읽는 포인트 : EF는 비율(0~1) , ARO는 횟수(1년 기준) 입니다. "10년에 한 번"은 ARO = 0.1. 대책의 가치 = (도입 전 ALE − 도입 후 ALE) − 연간 대책 비용 . 이 비교가 정량적 분석의 최대 장점인 비용 · 효과 분석 입니다.

5.3 정성적 위험분석 — 등급과 판단으로

정성적 위험분석 — [위험분석 기법]인데, [ 손실과 가능성을 상 · 중 · 하 같은 등급이나 서술로 평가 한다]는 점에서 금액으로 계산하는 정량적 분석과 구별된다.

⚠️ 델파이법 = 정성적 입니다. "정량적 위험분석 기법이 아닌 것"의 단골 정답이 델파이입니다. 반대로 "과거자료 분석법"은 정량적입니다.

5.4 정량 ↔ 정성 비교

자동화 위험분석 도구 (CRAMM 등) — 도구가 질문 · 계산을 대신해 주지만, 입력 자료와 결과 해석은 여전히 사람의 몫입니다. "도구를 쓰면 전문가가 필요 없다"는 틀린 보기입니다.

📝 기출 포인트 — M1.2에서 가장 많이 반복 되는 곳. ① 정량/정성 기법 짝짓기 (델파이 · 시나리오 · 순위결정 = 정성, 과거자료 · 수학공식 · 확률분포 = 정량), ② 정량적 분석의 장점 · 단점이 아닌 것 , ③ 델파이법 특징(익명 · 반복 · 중재자, 2025년 출제), ④ 기준선 접근법 장단점(2022 · 2024 · 2025년 연속 출제), ⑤ ALE · SLE · EF 계산 요소. 계산 문제는 숫자가 단순하므로 공식 두 줄만 정확히.

---

6. 위험 처리와 잔여위험 ⭐

6.1 위험관리 절차 — 계획에서 수용까지

KISA 위험평가 가이드와 ISMS-P 인증기준의 "위험 관리" 흐름을 시험용으로 정리하면 다음과 같습니다.

① 위험관리 계획 수립 (방법론·범위·일정·인력·예산, 경영진 승인)
② 정보자산 식별 · 가치(중요도) 평가
③ 위협 평가 · 취약점 평가 (기존 보호대책도 점검)
④ 위험도 산정 → 위험 목록
⑤ 수용 가능한 위험수준(DoA, Degree of Assurance) 결정 — 경영진 승인
⑥ DoA 초과 위험에 대한 처리 전략 선택 (감소·회피·전가·수용)
⑦ 보호대책 선정 · 우선순위 · 이행계획(일정·예산·담당)
⑧ 잔여위험 평가 → 경영진 보고 · 승인
⑨ 모니터링 · 재평가 (최소 연 1회, 중대한 변화 시 수시)

🔍 읽는 포인트 : ⑤ DoA를 경영진이 승인 한다는 점, ⑨ 연 1회 이상 정기 위험평가(ISMS-P 기준)가 시험 포인트입니다. 2024년에 "위험평가 수행 주기 = 연 1회"가 출제되었습니다.

6.2 위험 처리 네 가지

⚠️ 반례 두 가지

• 보험은 사고 확률을 낮추지 않습니다. 손실을 넘길 뿐 이므로 감소가 아니라 전가 입니다.
• 위험 전가로 책임까지 넘어가지는 않습니다. 외주를 줘도 개인정보 유출의 법적 책임(위탁자 관리 · 감독 의무)은 남습니다. 앞으로 다시 만납니다 — 24번 노트.

💡 비유(마지막에) — 빙판길에서: 미끄럼 방지 신발을 신는다(감소), 외출하지 않는다(회피), 상해보험에 든다(전가), 조심해서 그냥 걷는다(수용).

6.3 잔여위험

잔여위험 — [위험]인데, [ 대책을 적용한 뒤에도 남는 위험 ]이라는 점에서 처리 전 위험과 구별된다. 위험은 0이 될 수 없으므로 잔여위험은 반드시 생깁니다.

• 잔여위험이 DoA 이하 면 → 경영진이 공식적으로 수용(승인) 하고 문서화합니다.
• 잔여위험이 DoA 초과 면 → 추가 대책(다시 처리 전략 선택)을 세웁니다.
• 잔여위험은 모니터링 대상 입니다. 환경이 바뀌면 다시 평가합니다.

📝 기출 포인트 — 위험 전가 = 보험 이 M1.2 최다 출제(7회 이상). "사업 포기 · 자산 제거 = 회피", "암호화 도입 = 감소", "위험도가 허용 수준보다 낮음 = 수용", "EOS 제품 미패치 결정 = 수용"(2024년) 순으로 반복. 2025년에는 잔여위험의 처리 (경영진 승인 · 수용)가 나왔습니다. 위험관리 절차 순서 배열 문제도 대비하세요(계획 → 자산 → 위협 · 취약점 → 위험 산정 → 처리 → 잔여위험).

---

7. 실기 연결

실기 출제기준 4. 위험분석 및 정보보호대책 수립 이 이 노트와 그대로 겹칩니다.

서술형 답안에 들어가야 할 핵심어

• 위험: " 위협 이 취약점 을 이용하여 자산 에 손실을 일으킬 가능성 (과 그 영향 )"
• 상세 위험분석: "자산 식별 · 가치평가, 위협 평가, 취약점 평가를 거쳐 위험을 산정" / 단점: "시간과 비용, 전문 인력"
• 기준선 접근법: "표준화된 보호대책(체크리스트)을 일괄 적용" / 단점: "조직 특성 미반영, 과보호 · 과소보호"
• 정량적: "ALE = SLE × ARO, SLE = 자산가치 × 노출계수" / 장점: "비용 · 효과 분석"
• 잔여위험: "대책 적용 후 남은 위험, 수용 가능 수준 이하이면 경영진 승인"

점검 관점 예시 — 위험평가 결과표

자산          C  I  A  중요도 | 위협                 | 취약점              | 위험도 | DoA | 처리
고객 DB 서버   3  3  3   9    | 외부 SQL Injection   | 입력값 검증 미흡     |  상    | 중  | 감소(시큐어코딩·WAF)
결제 대행 연동  2  3  3   8    | 대행사 장애          | 단일 회선            |  중    | 중  | 수용(경영진 승인)
EOS 그룹웨어   2  2  2   6    | 공개 취약점 악용      | 패치 미지원          |  상    | 중  | 회피(서비스 교체)

🔍 읽는 포인트 : 위험도 > DoA인 행만 감소 · 회피 · 전가 대상입니다. 위험도 ≤ DoA면 수용하고 승인 기록 을 남깁니다. 필답형에서 "어떤 위험을 먼저 처리하는가"를 물으면 위험도가 높고 DoA를 초과하는 것부터 라고 답합니다.

---

8. 확인 문제

문제 1. 다음 중 능동적 공격에 해당하지 않는 것은? ① 재전송(Replay) ② 신분 위장(Masquerade) ③ 트래픽 분석 ④ 메시지 변조

문제 2. 온라인 쇼핑몰 운영사가 "결제 내역을 고객이 나중에 부인하지 못하도록" 하려 한다. 가장 적합한 보안 목표와 기술의 짝은? ① 무결성 — 해시 ② 부인방지 — 개인키 기반 전자서명 ③ 인증성 — MAC ④ 책임추적성 — 감사 로그

문제 3. 위험분석 접근법에 대한 설명으로 옳은 것은? ① 기준선 접근법은 자산별 위협 · 취약점을 분석하므로 조직 특성을 가장 잘 반영한다. ② 비정형 접근법은 정해진 절차를 따르므로 담당자가 바뀌어도 결과가 일관된다. ③ 상세 위험분석은 정확하지만 시간 · 비용 · 전문 인력이 많이 든다. ④ 복합 접근법은 모든 시스템에 상세 위험분석을 적용한다.

문제 4. 다음 중 정성적 위험분석 기법만 묶은 것은? ① 델파이법, 시나리오법, 순위결정법 ② 과거자료 분석법, 델파이법, 확률분포법 ③ 수학공식 접근법, 퍼지행렬법, 시나리오법 ④ 과거자료 분석법, 수학공식 접근법, 확률분포법

문제 5. 자산 가치 5억 원인 서버가 화재 시 가치의 60%를 잃고, 화재는 20년에 한 번 일어난다고 한다. ALE는? ① 300만 원 ② 1,500만 원 ③ 3억 원 ④ 6억 원

문제 6. 다음 사례와 위험 처리 전략의 연결로 옳지 않은 것은? ① 개인정보 유출 배상책임보험 가입 — 위험 전가 ② 수익이 적고 취약한 레거시 서비스를 종료 — 위험 회피 ③ 웹 서버에 WAF 도입 — 위험 감소 ④ 패치가 불가능한 EOS 장비를 위험을 인지한 채 경영진 승인하에 계속 사용 — 위험 회피

문제 7. 정보보호 정책 문서 체계에 대한 설명으로 옳은 것은? ① 지침(Guideline)은 반드시 따라야 하는 의무 사항이다. ② 표준(Standard)은 정책을 지키기 위한 구체적이고 강제적인 기준이다. ③ 정책은 정보보호 실무 담당자가 승인하면 효력이 생긴다. ④ 절차는 조직의 보안 방향과 목표를 선언하는 최상위 문서다.

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 21번 노트만 근거로 4지선다 6문제를 내줘. 비전공자 기준으로.
"보안 목표 사례 판별", "수동적/능동적 공격", "위험 구성요소 정의", "기준선·상세·복합 접근법",
"정량/정성 기법 짝짓기", "ALE 계산", "위험 처리 4가지"를 고르게 포함해줘.
내가 답하면 채점하고, 틀린 보기가 왜 틀렸는지 노트의 판별 축 번호와 절 번호를 근거로 설명해줘.
노트에 없는 내용은 "노트에 없음"이라고 표시해줘.