[정보보안기사] 정보보호 관리 및 법규 기출문제 정리 #1134번 ~

①②③④⑤

정보보호 관리 및 법규에서는 말을 이해하고 핵심을 파악해서 그것을 논리적으로 파악해야된다.

줄글로 줄줄 읽는게 아니라 그래서 A와 B 뭐랑 뭐를 비교하는 건지, 무엇을 말하고자 하는지 정확히 파악하자.

---

1134.

정보보호와 비즈니스와의 관계를 설정한 내용

 

 

 

오답: 신규 비즈니스를 운영하는데 있어서 비즈니스와 정보보호가 서로 상충되는 경우에는 정보보호를 최우선적으로 고려하여야 한다.

 

-> 정보보호는 비즈니스 요구사항의 하나로서 기업 목표와 전략, 위험관리 계획, 법적 요구사항 , 최상위 정책과 연계되어야 한다.

정보보호는 비즈니스와 별개의 것이 아니라 비즈니스 요구사항의 일부분이다.

 

"정보보호  ㄷ 비즈니스 " 관계를 기억하는게 핵심! 

 

1135. 

 

정보보호관리를 이행하기 위해서 조직은

(정보보호 정책) 및 조직 수립, 범위설정 및 (정보자산 식별) , (위험관리), 구현 , 사후관리활동

등으로 구성된 5 단계의 논리적이고 체계적인 정보보호관리 (프레임워크)를 수립하고 기획, 관리하여야한다.

 

1136. 

정보보호정책 수립 시에 정보보호 목표를 선정함에 있어 고려해야 할 사항으로 적절하지 않은 것은?

 

누구나 쉽게 시스템에 접근하여 사용할 수 잇다면 사용하기에 편리할 수 있도록 하여야 한다. 다만 각종 위협으로부터 완전히 노출되어 있어서 정보보호관리자는 시스템의 안정성을 고려하는 것보다는 시스템 사용의 용이성을 최우선 과제로 선정해야 한다.

 

->결국 시스템 사용의 용이성이 정보보호보다 중요하다고 말하는 선지임 .

절대 no. 시스템의 용이성이 떨어지더라도 시스템 안전을 최우선 과제로 선정해야된다.

 

#1137. 

조직이 수행하는 모든 정보보호 활동의 근거가 되는 최상위 수준의 정보보호 정책 수립시, 포함되어야 할 사항과 가장 거리가 먼 것은?

: 조직의 정보보호 활동을 실행하기 위한 절차, 주기, 수행 주체 등에 관한 사항

 

- 조직의 정보보호에 대한 최고경영자 등 경영진의 의지 및 방향

- 조직의 정보보호를 위한 역할과 책임, 대상과 범위에 관한 사항

- 조직이 수행하는 관리적, 기술적, 물리적 정보보호 활동의 근거

 

 

#1138

정보보호 정책서에 기술하지 않는 항목은?

 

: 정보보호 선언 

-> 정보보호 선언문은 정보보호전반에 대한 경영자의 의지 및 실천을 다짐하는 선언문이다. 조직 구성원 모두가 참여하고 협조를 구하는 것이며 경영책임자의 승인을 반드시 거쳐야 한다.

 

 

정보보호 정책서의 주요 구성 목차 

- 정책서 목적과 구성

- 기본 방침

- 정보보호 실행 계획 수립

- 보안에 대한 역할과 책임

- 정보자산의 보안

-정보시스템의 보안

- 규정의 준수

- 보안정책의 운용

 

#1139 

정보보호 구성원의 역할과 책임

 

최고 경영자 - 정보보호를 위한 총괄 책임 

(정보시스템) 정보보호 관리자 - 조직의 정보보호 정책, 표준, 대책, 실무 절차를 설계 구현, 관리, 조사할 책임이 있다.

데이터관리자 - 

프로세스관리자 - 

기술지원 인력

사용자

정보시스템 감사자 - 보안 목적이 적절하고 정보보호 정책, 표준, 대책, 실무 절차를 설계/구현/관리/조사 할 책임이 있다.

'정보보호 위원회' 라고 엮여서 오답으로 나옴 ! 

 

각 항목에 대한 이름이 설명과 정확히 매핑되어 있는지 확인하기.

설명이 적절한지 보다 , 각 항목이 정확히 매칭되어있는지 확인하는 것이 우선이다.

 

 

#1140

정보보호 내부 감사 시 고려해야할 사항

 

오답: 내부감사를 수행하는 구성원은 정보보호 전문가들로 제한한다.

-> 내부감사의 객관성을 확보하기 위해 제3자가 감사를 수행하는 것이 원칙이다. 

 

#1141 

정보보호조직 구성원의 역할과 책임

- 최고 경영자 : 

 

[관리자] 

-정보시스템 정보보호 관리자 : 조직의 정보보호 정책, 표준 , 대책 , 실무 절차를 설계 , 구현, 관리, 조사할 책임이 있다.

- 데이터 관리자 : 정보시스템에 저장된 데이터의 정확성과 무결성을 유지하고 데이터의 중요성 및 분류를 결정할 책임이 있다.

- 프로세스 관리자 

 

- 사용자 : 정보보호 정책에 따라 수립된 절차를 준수할 책임이 있다.

 

위험분석 전략

 

- 기준선 접근법 (baseline approach) 

 

- 비공식 접근