자격증 정복/정보보안(산업)기사
정보보안기사 실기 재도전 13 — 기준 외 서술 빈출 (BYOD·인증서 고정·EAM/IAM·접근통제·SPF/DKIM·PKI·암호)
올드 IT직장인
2026. 11. 12. 15:16
정보보안기사 실기 재도전 13 — 기준 외 서술 빈출 (BYOD·인증서 고정·EAM/IAM·접근통제·SPF/DKIM·PKI·암호)
출제기준 밖이지만 기출에서 반복 출제된 영역 (5. 기준 외 이론: 접근통제·인증·PKI·암호·모바일·클라우드)
1~32회를 분석하면 출제기준 밖 영역이 기대 점수의 가장 큰 비중(약 37점, 다른 영역을 압도)을 차지합니다.
기준에 없다고 건너뛰면 가장 큰 덩어리를 놓치는 셈이에요.
이 편은 그중 서술형으로 자주 나오는 주제만 골라 틀을 잡았습니다.
이전 편:2026.11.08 - [자격증 정복/정보보안(산업)기사] - 정보보안기사 실기 재도전 12 — 법적 준거성 (개인정보보호법·정보통신망법·안전성 확보조치·동의서 위반 찾기)
이번 편 출제 맵 ⭐⭐⭐
| 주제 | 출제 회차 (예시) | 유형 |
| BYOD 보안 기술 3가지 (MDM·모바일 가상화·컨테이너화) |
22회 13번, 30회 14번 | 서술 |
| 정적/동적 데이터 마스킹 | 30회 5번 | 단답 |
| 모바일 앱 인증서 고정 (의미·고정 대상·우회) | 29회 13번 | 서술 |
| EAM vs IAM | 30회 13번 | 서술 |
| 접근통제 정책 (DAC·MAC·RBAC) | 3회 4번, 14회 1번, 20회 4번, 27회 1번 | 단답 |
| BLP·Biba 모델 | 14회 13번 | 서술 |
| 생체인식 6가지 원칙 | 31회 15번 | 서술 |
| SPF·DKIM·DMARC | 16회 13번, 32회 16번 | 서술 |
| Diffie-Hellman 키 교환 | 3회 1번 | 단답 |
| 해시 / 대칭키 | 31회 6번, 32회 10번 | 단답 |
| 공인인증서 효력 소멸 사유 | 9회 11번 | 서술 |
| 클라우드 서비스 유형 | 12회 6번 | 서술 |
| CNAME 방치 → 서브도메인 탈취 | 20회 9번 | 단답 |
(회차는 기출 원문 파일에서 직접 확인한 예시이며 전수 목록은 아닙니다.
정답이 원문에 있는 문항은 표시했고, 없는 문항은 표준 지식으로 채운 답이라고 따로 적었어요.)
1. BYOD · 모바일 보안 ⭐⭐⭐
BYOD(Bring Your Own Device) 는 개인 소유 스마트폰·노트북·태블릿을 업무에 쓰는 방식입니다.
편리하지만 개인 영역과 업무 영역이 섞여 정보 유출 위험이 커져요.
30회 14번 / 22회 13번 — 보안 기술 3가지 (원문 해설) ⭐⭐⭐
| 기술 | 핵심 | 주요 기능 |
| MDM (Mobile Device Management) |
기기 자체를 중앙에서 원격 통제 | 분실 시 원격 삭제(Wipe)·위치 추적·원격 잠금, 카메라·블루투스 등 기능 제한, 화면 잠금 강제, 루팅/탈옥 탐지, OS 업데이트 강제 |
| 모바일 가상화 | 한 기기에 개인 OS 영역과 업무 OS 영역을 완전 분리 (하이퍼바이저) |
개인 영역의 악성코드가 업무 영역에 접근 불가, 관리자는 업무 영역만 통제 |
| 컨테이너화 (MAM) | OS는 그대로 두고 업무용 앱과 데이터를 암호화된 별도 공간(컨테이너) 에 격리 |
컨테이너 밖으로 복사·붙여넣기·캡처·공유 금지(DLP), 선택적 삭제(Selective Wipe) 가능 |
답안 구조 : 각 기술을 "무엇을 통제하는가(기기/OS/앱) → 주요 기능 → 장점"으로 한 줄씩
추가 대책 : NAC(단말 접속 통제), VPN, MFA, DLP30회 5번 — 데이터 마스킹 (원문 정답)
(A) 정적 데이터 마스킹 (SDM) : 운영 데이터를 비운영 환경(테스트 등)으로 복사하기 전에 원본 패턴을 유지하며 가짜 정보로 대체
(B) 동적 데이터 마스킹 (DDM) : 운영 서버에 접근하는 시점에 실시간으로 파싱해 마스킹 (원본은 그대로)2. 모바일 앱 인증서 고정 (Certificate Pinning) ⭐⭐⭐
29회 13번 (원문 해설 기준)
(A) 의미와 대응 위협
: 앱이 TLS 연결 시 OS의 기본 CA 신뢰 저장소 대신 앱 내부에 미리 저장(Pinning)한
인증서 또는 공개키만 신뢰하도록 하는 기법
대응 위협 : 중간자 공격(MitM). 사설 CA 인증서가 설치되거나 CA 키가 유출돼 가짜 인증서가 발급돼도 차단
(B) 고정하는 3가지 (이 중 선택)
① 리프(서버) 인증서 자체
② 공개키(SPKI) 해시 : 인증서가 갱신돼도 같은 키쌍이면 재사용 가능해 실무에서 가장 권장
③ 중간 CA 또는 루트 CA 인증서
(C) 우회 방법 2가지
① Frida·Objection 같은 후킹 프레임워크로 루팅/탈옥 단말에서 런타임에 검증 로직(TrustManager, CertificatePinner 등)을 우회
② 앱 바이너리를 역공학해 정적으로 패치(검증 코드 제거·수정 후 재패키징)⚠️ 인증서 고정의 단점 : 인증서가 바뀌면 앱 업데이트가 필요 → 공개키(SPKI) 고정 + 백업 핀을 함께 쓰는 이유3. SSO · EAM · IAM ⭐⭐⭐
30회 13번 — EAM vs IAM (원문 해설)
| 구분 | EAM | IAM |
| 공통 기능 | SSO(단일 인증) + 사용자 접근 제어/권한 관리 | 동일 |
| 관리 대상 | 주로 기업 내부 이종 정보 시스템 (웹 서버, DB, ERP, 그룹웨어 등) |
내부 + 클라우드·모바일·외부 사용자까지 확장 |
| 문제점 | ① 외부 자원·신규 환경 확장성 부족 ② 계정 프로비저닝·수명주기 관리 기능 부재 (유령 계정 문제) |
해결 |
| 추가된 기능 | - | 계정 프로비저닝/디프로비저닝 자동화 (HR 연동 입사·이동·퇴사 시 실시간 생성·변경·삭제), 사용자 계정 수명주기 관리 |
SSO : 한 번 인증으로 여러 시스템 접근. 장점 편의성·관리 비용 절감 / 단점 인증 서버 침해 시 전체 위험, 단일 장애점
EAM = 인증 + 인가 + 감사 / IAM = EAM + 계정 수명주기 관리4. 접근통제 정책 · 모델 ⭐⭐⭐
접근통제 정책 3종 (3회 4번, 20회 4번, 27회 1번 — 27회는 원문 정답)
| 구분 | 결정 기준 | 특징 | 예 |
| DAC (임의, 신분 기반) | 소유자가 권한 부여, 사용자·그룹 ID 기준 | 유연, 권한 오남용 위험 | UNIX 퍼미션, ACL |
| MAC (강제, 규칙 기반) | 시스템이 보안 등급(레이블) 으로 통제 | 보안성 높고 관리 복잡 | 군·정부, SELinux |
| RBAC (역할 기반) | 역할(직무) 에 권한 부여 | 인사 이동 대응이 쉽고 관리 용이 | 기업 시스템 |
27회 1번 정답 : (A) 신분 기반/임의적(DAC) (B) 규칙 기반/강제적(MAC) (C) 역할 기반(RBAC)
14회 1번 : (A) 정보보호 정책 (B) DAC (C) MAC (D) RBAC (비임의적·임무 기반 모델) (원문에 정답 없음, 설명문 기준)14회 13번 — BLP와 Biba (서술)
1) 모델 : Bell-LaPadula (BLP) — 미 국방부용, 기밀성 강조, 최초의 수학적 모델
2) No Read Up : 낮은 보안 등급의 주체는 높은 등급의 객체를 읽을 수 없다 (기밀 유출 방지)
No Write Down : 높은 등급의 주체는 낮은 등급의 객체에 쓸 수 없다 (정보 누출 방지)
3) Biba : 무결성 모델 — No Read Down(낮은 등급의 신뢰 낮은 데이터를 읽지 않음) / No Write Up(낮은 등급 주체가 높은 등급 객체를 오염시키지 못함)
(원문에 정답이 없어 표준 설명 기준. BLP = 기밀성 / Biba = 무결성 / Clark-Wilson = 무결성(직무 분리, 인가된 프로그램))5. 인증 · 생체인식 ⭐⭐
인증 4요소 : 지식(비밀번호) / 소유(OTP, 토큰) / 존재·특성(생체) / 행위 (+ 위치)
Kerberos : AS → TGT → TGS → 서비스 티켓 → 서버, 비밀번호를 네트워크로 보내지 않음, 시간 동기화 필수, KDC 단일 장애점
OTP : 시간 동기(TOTP) / 이벤트 동기(HOTP) / 챌린지-응답
RADIUS(UDP, 비밀번호만 암호화, 인증·인가 결합) vs TACACS+(TCP, 패킷 전체 암호화, 인증·인가 분리)생체인식 오류율
FAR : 타인을 본인으로 수락하는 비율 → 보안 취약
FRR : 본인을 거부하는 비율 → 편의성 저하
EER : FAR = FRR 지점, 성능 비교 지표31회 15번 — 생체인식 6가지 원칙 (서술)
일반적으로 정리되는 생체 인증 요건(특성) : 보편성 · 유일성 · 지속성 · 성능 · 수용성 · 저항성(위조 불가)
(원문에 정답이 없고 "보호 6가지 원칙"이 특성을 묻는지 보호 조치를 묻는지 문구상 불분명합니다.
교재마다 영속성·획득성 등으로 표기가 달라서, 시험에서는 위 6개 키워드에 각각 한 줄씩 설명을 붙이는 방식이 안전합니다.)6. 이메일 인증 (SPF · DKIM · DMARC) ⭐⭐⭐
개념 정리
| 기술 | 방식 |
| SPF | 도메인 소유자가 DNS(TXT)에 허용된 발신 서버 IP 목록을 게시 → 수신 서버가 보낸 서버의 IP가 목록에 있는지 확인 |
| DKIM | 발신 서버가 메일에 개인키로 전자서명 → 수신 서버가 DNS(TXT)에 게시된 공개키로 검증 (본문·헤더 변조 확인) |
| DMARC | SPF·DKIM 결과와 발신자 도메인의 일치(정렬)를 검사하고 실패 시 처리 정책(none / quarantine / reject)과 보고서를 정의 |
16회 13번 / 32회 16번 답안 (원문에 정답이 없어 표준 설명 기준)
16회 13번
1) SPF 동작 원리 : DNS에 허용된 메일 서버 IP를 TXT 레코드로 등록, 수신 측이 발신 서버 IP와 비교
2) 정당성 검증 : 메일을 보낸 서버의 IP가 발신 도메인의 SPF 레코드 목록에 있는지 확인 (불일치 시 위조 가능성)
3) DKIM에서 공개키 안전 전달 : 도메인의 DNS TXT 레코드로 공개키를 게시 (DNSSEC으로 DNS 무결성 보강)
4) SPF + DKIM 혼합 기법 명칭 : DMARC
32회 16번
(1) SPF 적용 시 수신 측이 확인하는 정보 : 발신 서버 IP가 해당 도메인에서 허가된 서버인지
(2) 메시지에 없는 정보를 확인하는 방법 : 허용 서버 목록은 메시지에 들어 있지 않으므로,
발신 도메인(MAIL FROM 도메인)의 DNS TXT 레코드를 조회해서 확인
(3) DKIM 전자서명 주체와 키 공유 : 서명 주체는 발신 도메인(발신 메일 서버), 공개키는 DNS TXT로 공개
(4) 결합 차단 방법 : SPF(서버 IP 검증) + DKIM(서명 검증)을 모두 통과해야 정상으로 보고,
실패한 메일은 DMARC 정책으로 격리 또는 거부7. PKI · 전자서명 · 암호 기초 ⭐⭐⭐
PKI
구성요소 : CA(인증기관) · RA(등록기관, 신원 확인) · VA(검증기관) · 저장소(Repository)
인증서 폐지 확인 : CRL(주기적 목록, 실시간성 부족) / OCSP(실시간 조회) / OCSP Stapling(서버가 응답을 미리 받아 첨부)
전자서명 흐름 : 송신자 = 메시지 해시 → 개인키로 서명 / 수신자 = 공개키로 서명 검증 + 해시 비교
제공 : 무결성 · 인증 · 부인방지 (기밀성은 제공하지 않음)
공개키 용도 : 암호화는 수신자 공개키, 서명은 송신자 개인키9회 공인인증서 효력 소멸 4가지 (전자서명법 구법 기준)
9회 11번은 구 전자서명법상 공인인증서 효력 소멸 사유 4가지를 묻는 문제입니다.
일반적으로 정리되는 소멸 사유 : ① 유효기간 경과 ② 공인인증기관이 인증서를 폐지한 경우 ③ 공인인증기관의 인증업무가 폐지된 경우 ④ 가입자가 인증서 폐지를 신청한 경우(또는 가입자 정보 변경 등)
(원문에 정답이 없고, 공인인증서 제도는 2020년 전자서명법 개정으로 폐지되어 현재 출제 가능성은 낮습니다. 참고로만 보세요)3회 1번 — Diffie-Hellman 키 교환
공개값 : 소수 p, 정수 g
(A) 앨리스 : A = g^a mod p (B) 밥 : B = g^b mod p
서로 A, B를 교환한 뒤 앨리스 : B^a mod p / 밥 : A^b mod p → 같은 값 g^(ab) mod p
(C) 공통의 비밀 키(세션 키)
(원문에 정답이 없어 DH 알고리즘 기준. 키 교환 자체는 인증을 제공하지 않아 중간자 공격에 취약)해시 · 대칭키 (원문 정답)
31회 6번 정답 : 해시 암호화 (MD5·SHA, 단방향, 고정 길이 출력, 역계산 불가)
32회 10번 정답 : 대칭키 암호화 방식 (치환과 순열, 암호화·복호화에 동일 키)| 구분 | 대칭키 | 공개키 |
| 키 | 동일 키 | 공개키/개인키 쌍 |
| 속도 | 빠름 | 느림 |
| 키 관리 | 키 분배 문제 | 상대적으로 쉬움 |
| 알고리즘 | DES·3DES·AES·SEED | RSA·ECC·ElGamal |
| 용도 | 대량 데이터 암호화 | 키 교환·전자서명 |
8. 클라우드 · 기타 ⭐⭐
12회 6번 : 클라우드 서비스 유형 3가지 = IaaS(인프라) · PaaS(플랫폼) · SaaS(소프트웨어) (원문에 정답 없음, 표준 분류)
20회 9번 : 클라우드 서비스 중지 후 서브도메인 CNAME 레코드를 지우지 않아 공격자가 피싱 사이트로 악용 → 서브도메인 탈취(Subdomain Takeover)
대응 : 사용하지 않는 DNS 레코드 정기 정리, 서비스 해지 시 CNAME 삭제 절차화
(설명문 기준 풀이)단답 키워드 표 ⭐⭐⭐
| 질문 | 답 |
| 기기 자체를 원격 통제 (wipe·잠금) | MDM |
| 한 기기에서 개인/업무 OS 분리 | 모바일 가상화 |
| 업무 앱·데이터를 암호화된 공간에 격리 | 컨테이너화 (MAM) |
| 운영 데이터를 복사 전 가짜 값으로 대체 | 정적 데이터 마스킹 (SDM) |
| 접근 시점에 실시간 마스킹 | 동적 데이터 마스킹 (DDM) |
| 앱이 특정 인증서/공개키만 신뢰 | 인증서 고정 (Pinning) |
| 인증서 고정이 막는 공격 | 중간자 공격 (MitM) |
| 인증 + 인가 + 감사 통합 | EAM |
| 계정 수명주기 + 프로비저닝 | IAM |
| 소유자가 권한 부여 | DAC |
| 보안 등급으로 통제 | MAC |
| 역할로 권한 부여 | RBAC |
| 기밀성 모델 (No Read Up / No Write Down) | BLP |
| 무결성 모델 | Biba |
| 타인 수락률 / 본인 거부율 | FAR / FRR |
| DNS에 허용 서버 IP 게시 | SPF |
| 메일 전자서명 + DNS 공개키 | DKIM |
| SPF + DKIM + 정책 | DMARC |
| 서명에 쓰는 키 | 송신자 개인키 |
| 인증서 실시간 상태 조회 | OCSP |
| 클라우드 3유형 | IaaS · PaaS · SaaS |
서술형 답안 구조 ⭐⭐⭐
BYOD 보안 기술
MDM(기기 통제) → 모바일 가상화(OS 분리) → 컨테이너화(앱·데이터 격리) → 각 기능 한 줄 + 보완 대책(NAC·VPN·MFA)인증서 고정
정의 → 대응 위협(MitM) → 고정 대상 3가지(리프·공개키·CA) → 우회(Frida 후킹·바이너리 패치) → 단점(인증서 교체 시 앱 업데이트)EAM vs IAM
공통(SSO·권한 관리) → EAM 대상(내부 시스템)·한계 → IAM 추가 기능(프로비저닝·수명주기)SPF/DKIM/DMARC
SPF(발신 IP 검증) → DKIM(서명 검증) → DMARC(정책 결합) → 스푸핑·스팸 차단 효과접근통제 모델
DAC(소유자) / MAC(레이블) / RBAC(역할) → BLP(기밀성) / Biba(무결성) / Clark-Wilson(직무 분리)⚠️ 함정 모음
⚠️ MDM은 "기기", 컨테이너화(MAM)는 "앱·데이터" 단위 통제. 혼동하면 감점
⚠️ 인증서 고정은 MitM 방어. 우회 방법은 방어자가 알아야 할 위협으로 이해
⚠️ 전자서명은 기밀성이 아니라 무결성·인증·부인방지
⚠️ 암호화는 수신자 공개키, 서명은 송신자 개인키
⚠️ BLP = 기밀성(No Read Up / No Write Down), Biba = 무결성(No Read Down / No Write Up) — 방향이 반대
⚠️ SPF는 "발신 IP", DKIM은 "서명"을 본다. 둘의 기준이 다름
⚠️ EAM은 계정 수명주기 관리가 없다 → IAM이 추가
⚠️ 생체인식 FAR이 높으면 보안 취약, FRR이 높으면 불편
⚠️ 이론 정리 문서의 문항 번호 중 원문과 다른 것이 있어 이 글은 원문 기준입니다기출 Q&A
Q. (30회 5번) 운영 데이터를 비운영 환경에 복사하기 전에 가짜 값으로 대체하는 기술 (A)와 운영 서버 접근 시 실시간으로 마스킹하는 기술 (B)은?
A. (A) 정적 데이터 마스킹 (SDM) (B) 동적 데이터 마스킹 (DDM)
Q. (27회 1번) 소유자·그룹 중심 (A), 보안 등급 기반 (B), 역할 기반 (C) 접근통제 정책은?
A. (A) 신분 기반 / 임의적(DAC) (B) 규칙 기반 / 강제적(MAC) (C) 역할 기반(RBAC)
Q. (32회 10번) 치환과 순열을 활용하고 암·복호화에 동일한 비밀키를 쓰는 암호화 방식은?
A. 대칭키 암호화 방식
💡 실무에서는?
20년 인프라/보안 SI 경험에서 BYOD는 "허용 여부"보다 "어떻게 분리할까"의 문제예요.
대부분의 기업은 기기 전체를 통제하는 MDM이 개인 사생활 침해 논란을 부르기 때문에, 업무 앱만 컨테이너로 격리하는 방식(MAM)이나 VDI로 데이터가 단말에 남지 않게 하는 방식을 택합니다.
인증서 고정은 금융·결제 앱에서 사실상 기본이고, 보안 점검 때는 "고정이 되어 있는지"와 "루팅 탐지 후 우회가 어려운지"를 같이 봅니다.
SPF/DKIM/DMARC는 도입 시 먼저 DMARC 정책을 none(모니터링)으로 두고 보고서를 보면서 점차 quarantine, reject로 올리는 식으로 장애를 피하고요.
IAM은 인사 시스템과 연동돼 퇴사자 계정이 자동으로 정리되느냐가 감사의 핵심 포인트입니다.
핵심 정리
✅ BYOD: MDM(기기) · 모바일 가상화(OS 분리) · 컨테이너화(앱 격리), 마스킹은 SDM(사본) / DDM(실시간)
✅ 인증서 고정: MitM 방어, 고정 대상 = 리프·공개키(SPKI)·중간/루트 CA, 우회 = Frida 후킹·바이너리 패치
✅ EAM = SSO + 권한 + 감사, IAM = EAM + 계정 프로비저닝·수명주기
✅ 접근통제: DAC(소유자) · MAC(레이블) · RBAC(역할), BLP(기밀성) vs Biba(무결성)
✅ 생체: FAR(보안) · FRR(편의) · EER, 특성 6가지(보편·유일·지속·성능·수용·저항)
✅ SPF(발신 IP) + DKIM(서명) → DMARC(정책)
✅ 전자서명: 무결성·인증·부인방지, 공개키 암호화는 수신자 공개키 / 서명은 송신자 개인키
✅ DH: A = g^a mod p, B = g^b mod p, 공통 키 g^(ab) mod p
✅ 클라우드: IaaS · PaaS · SaaS
📌 참고: 2027년 출제기준 개편에서 실기 1-1-5 클라우드·가상화 OS, 1-2-7 클라우드 네트워크(VPC·Security Group), 1-3-4 REST API 보안(OWASP API Top 10), 1-4-9 EDR·EPP가 새로 들어가고 주요항목 5로 "최신 보안 동향"(양자내성암호·동형암호·경량암호) 이 추가됩니다.
이번 편의 BYOD·인증서 고정·클라우드 흐름이 개편 후 기준과 이어지는 내용이에요. 이번 11/14 시험은 현행 기준입니다.
다음 편에서는 서술·실무 답안 훈련 + D-1 최종 정리로 마무리합니다!
궁금한 점은 댓글로 남겨주세요!
반응형