EIS

지도 위치 : 5과목 · README 4장 ① 목표와 체계 층의 "법규" (탑다운 6단계 — 기술을 이해한 뒤 "그 기술을 법이 어떻게 요구하는가"로 읽기) | 출제기준: 2. 정보보호 관련 윤리 및 법규 > 1. 정보보안 윤리, 2. 정보보호 관련 법제 | 이전: 22 대책 구현 · 사고대응 · 인증제도 | 다음: 24 개인정보보호법 출제 빈도 : ⭐⭐ (회당 약 4.4문항 — 출제분석.md) · 변화 ▼ (M2.2 법제 4.8→2.5, M2.1 윤리 –) · ⚠️ 신규 범위 포함 (불법촬영물 유통방지 책임자, 클라우드컴퓨팅법, ISAC · SIEM · CTI 구분) 세세항목 : 사이버 윤리(보안윤리 개념, 디지털 저작권 침해 및 보호기술, 유해정보유통, 사이버 폭력, 사이버 사기 등 범죄행위) / 정보시스템 이용자 및 개인정보취급자의 금지행위 / 정보보호 관련 법제 용어의 정의 / 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 이해

⚠️ 법령 기준일 — 이 노트의 조문은 2026년 10월 19일 국가법령정보센터 현행본 기준입니다(정보통신망법 2026.10.2 시행본, 정보통신기반 보호법 2025.1.24 시행본, 전자서명법 2022.10.20 시행본). 법은 자주 바뀌므로 시험 전 국가법령정보센터(law.go.kr)에서 반드시 다시 확인 하세요. CBT 문제은행에는 개정 전 기준 문제 가 남아 있으므로 개정 전 내용도 함께 적었습니다.

이 노트를 다 읽으면

1. DRM의 구성요소(패키저 · 클리어링하우스 · DRM 컨트롤러 · 시큐어 컨테이너)를 역할로 구별할 수 있다.
2. 워터마킹 · 핑거프린팅 · 스테가노그래피를 "무엇을 숨기고 무엇을 추적하는가"로 가를 수 있다.
3. 개인정보취급자 금지행위와 정보통신망 침해행위 금지 조항을 말할 수 있다.
4. 정보통신망법의 CISO 지정 · 신고, 침해사고 정의 · 24시간 신고 , 정보보호 관리체계의 근거를 말할 수 있다.
5. 정보통신기반 보호법의 주요정보통신기반시설 지정 고려사항, 취약점 분석 · 평가 주기 · 수행 기관, ISAC 을 말할 수 있다.
6. 2020년 전자서명법 전부개정 전후의 용어(공인인증서 → 인증서, 공인인증기관 → 전자서명인증사업자)를 대응시킬 수 있다.
7. 정보보호산업법(전문서비스 기업 · 정보보호 공시)과 클라우드컴퓨팅법(침해사고 통지 · 보안인증)의 요지를 말할 수 있다.

---

0. 이 노트의 판별 축

이 노트는 앞의 기술 노트들에서 배운 것(암호 · 서명 · 침해사고 대응 · 관리체계)을 법이 누구에게 무엇을 의무로 지우는가 의 관점으로 다시 읽습니다. 22번 노트의 ISMS 인증 · 침해사고 대응이 여기서 법적 근거와 기한 을 얻고, 개인정보에 관한 부분은 다음 24번 노트로 넘어갑니다.

---

1. 정보보안 윤리

1.1 사이버 윤리와 범죄 유형

사이버 윤리 — [윤리]인데, [ 익명성 · 비대면성 · 전파성이 큰 정보통신망 환경에서 지켜야 할 행동 규범 ]이라는 점에서 오프라인 일반 윤리와 구별된다. 핵심 원칙은 존중(타인의 인격 · 저작권 · 프라이버시), 책임, 정의, 해악 금지입니다.

1.2 해커의 분류

1.3 이용자 · 개인정보취급자의 금지행위

⚠️ 제59조는 "처리 하였던 자"도 포함합니다. 퇴직한 개인정보취급자 가 재직 중 알게 된 개인정보를 누설해도 위반입니다.

📝 기출 포인트 — 윤리 영역은 회당 1문항 미만으로 적고, 대부분 2절의 저작권 보호기술에서 나옵니다. 해커 수준 분류(Developed Kiddie 등, 2022년), 사이버 윤리 개념(2023년)이 출제되었습니다.

---

2. 디지털 저작권 보호기술 ⭐

2.1 DRM

DRM (Digital Rights Management) — [저작권 보호 기술]인데, [ 콘텐츠를 암호화해 배포하고, 라이선스로 허가된 사용(재생 횟수 · 기간 · 기기)만 가능하게 통제 한다]는 점에서 복제 후 추적만 하는 워터마킹 · 핑거프린팅과 구별된다.

💡 비유(마지막에) — 패키저는 금고를 만들어 물건을 넣는 사람, 시큐어 컨테이너는 금고, 클리어링하우스는 열쇠를 팔고 장부를 쓰는 열쇠 가게, DRM 컨트롤러는 내 집에서 열쇠가 맞는지 확인하는 자물쇠입니다.

2.2 워터마킹 · 핑거프린팅 · 스테가노그래피

워터마크의 요구조건 : 비가시성(품질 저하 없음), 강인성 (공격에도 유지), 명확성(추출 결과가 모호하지 않음), 보안성(비밀키 없이는 제거 · 위조 불가), 효율성.

핑거프린팅의 특수 위협 — 공모 공격 (Collusion attack): 서로 다른 구매자들이 각자의 사본을 비교 · 합성 해 구매자 정보를 지우는 공격. 핑거프린팅은 공모 공격에 견디도록 설계해야 하고, 저작권자 정보와 구매자 정보를 함께 삽입하는 방식이 쓰입니다.

⚠️ 반례 — "핑거프린팅은 저작권자를 표시하는 기술"은 틀립니다. 저작권자 표시는 워터마킹, 누가 샀는지(유포자) 추적이 핑거프린팅입니다.

📝 기출 포인트 — M2.1 문항의 대부분. DRM (8회), 그중 패키저 (보안 컨테이너로 만드는 모듈, 2015 · 2017년)와 클리어링하우스 · 시큐어 컨테이너 (2024 · 2025년). 핑거프린팅 = 구매자 정보로 불법 배포자 추적 (2014 · 2015 · 2018 · 2024년), 공모 공격, 워터마킹 응용 분야, 스테가노그래피 = 존재 자체를 숨김 (2018년).

---

3. 법제 지도 — 어느 법이 무엇을 다루나

정보통신망법 제1조(목적) : "정보통신망의 이용을 촉진 하고 정보통신서비스를 이용하는 자를 보호 함과 아울러 정보통신망을 건전하고 안전하게 이용 할 수 있는 환경을 조성하여 국민생활의 향상과 공공복리의 증진에 이바지함."

정보통신기반 보호법 제1조(목적) : " 전자적 침해행위 에 대비하여 주요정보통신기반시설 의 보호에 관한 대책을 수립 · 시행함으로써 … 국가의 안전과 국민생활의 안정을 보장."

📝 기출 포인트 — 법률과 소관 기관 매칭 (2022 · 2024년), 정보통신망법 목적 조항 (2016 · 2025년), 사례에 적용되는 법률 고르기, 정보통신망법과 기반보호법의 규율 범위 구분 (2016년).

---

4. 정보통신망법 ⭐

4.1 핵심 정의 (제2조)

⚠️ "침해사고"는 공격 행위 자체가 아니라 그로 인해 발생한 사태 입니다. 정보통신기반 보호법도 "전자적 침해행위로 인하여 발생한 사태"로 같은 구조입니다.

4.2 정보보호 최고책임자(CISO) — 제45조의3

4.3 침해사고 신고 — 제48조의3 ⭐

⚠️ 24시간(침해사고, 정보통신망법) ↔ 72시간(개인정보 유출, 개인정보보호법) 을 구별하세요. 2024년에 둘을 섞은 보기가 출제되었습니다. 기산점은 둘 다 "알게 된 때" 입니다.

4.4 그 밖의 정보보호 조항

4.5 개인정보 조항은 어디로 갔나 — 개정 흐름

⚠️ 그래서 "정보통신서비스 제공자의 개인정보 수집 동의 의무(구 정보통신망법)"를 묻는 문제는 폐지된 조항 입니다. 2025년 강의에서 이런 개정 전 문항이 CBT에 그대로 나왔다는 언급이 있으니, 보기 중 개정 전 기준으로 맞는 것 을 고르게 하는지 문제 의도를 읽으세요.

📝 기출 포인트 — 정보통신망법 용어 정의 (침해사고 · 전자문서, 2015 · 2018 · 2019 · 2022년), CISO 업무 · 지정 · 자격 (2014 · 2016 · 2019 · 2025년), 침해사고 24시간 신고 (인지 시점 기준, 2025년), 침해사고 정보 제공 의무, 정보보호 사전점검(2017 · 2018년), ISMS 근거법(2023년), 광고 프로그램 설치(2022년), 불법촬영물 유통방지 책임자(2025년).

---

5. 정보통신기반 보호법 ⭐

5.1 체계

정보통신기반보호위원회 (국무총리 소속, 위원장: 국무조정실장, 25인 이내, 공공·민간 실무위원회)
        │ 심의
중앙행정기관의 장 ── 주요정보통신기반시설 지정(제8조) · 보호계획
        │
관리기관의 장 ── 취약점 분석·평가(제9조) → 보호대책 수립·시행(제5조) → 정보보호책임자 지정
        │                                              침해사고 시 통지(제13조)
정보공유·분석센터(ISAC, 제16조) ── 분야별 취약점 정보 제공, 실시간 경보·분석

5.2 주요정보통신기반시설의 지정 (제8조)

정보통신기반시설 — 국가안전보장 · 행정 · 국방 · 치안 · 금융 · 통신 · 운송 · 에너지 등의 업무와 관련된 전자적 제어 · 관리시스템 및 정보통신망.

지정 시 고려사항 5가지 (중앙행정기관의 장, 위원회 심의):

1. 해당 기관이 수행하는 업무의 국가사회적 중요성
2. 업무의 정보통신기반시설에 대한 의존도
3. 다른 정보통신기반시설과의 상호연계성
4. 침해사고 시 국가안전보장과 경제사회에 미치는 피해규모 및 범위
5. 침해사고의 발생가능성 또는 그 복구의 용이성

⚠️ "기관의 매출액 · 직원 수"는 고려사항이 아닙니다 . 지방자치단체가 관리 · 감독하는 기관의 시설은 행정안전부장관 이 지정합니다. 2025년에는 "기반시설 관련 분야가 아닌 것(제조)"이 출제되었습니다.

5.3 취약점 분석 · 평가 (제9조, 시행령 제17조)

5.4 ISAC과 침해사고 통지

ISAC (정보공유 · 분석센터, 제16조) — [공동 대응 조직]인데, [ 금융 · 통신 등 분야별로 취약점 · 침해요인 정보를 제공하고 침해사고 시 실시간 경보 · 분석체계를 운영 한다]는 점에서 개별 기업의 보안관제센터(SOC)와 구별된다.

침해사고 통지 (제13조): 관리기관의 장은 소관 기반시설이 교란 · 마비 · 파괴된 사실을 인지한 때 관계 행정기관 · 수사기관 · 한국인터넷진흥원에 통지합니다.

📝 기출 포인트 — M2.2에서 두 번째로 많은 법(9회 이상). 지정 시 고려사항 (2016 · 2017 · 2018 · 2022년, "아닌 것"과 빈칸), 취약점 분석 · 평가 수행 기관 (2014 · 2016 · 2017 · 2019 · 2024년), 점검 주기(2025년), ISAC의 역할 (2016 · 2019 · 2022 · 2024년), 정보통신기반보호위원회 구성 · 기능 (2019 · 2022 · 2025년), 보호계획 · 보호지침 포함 사항, 기반시설에 해당하지 않는 것.

앞으로 다시 만납니다 — 이 법의 취약점 분석 · 평가 가이드(유닉스 · 윈도우 · 네트워크 장비 점검 항목)가 실기의 출제 원천입니다 — 25번 노트.

---

6. 전자서명법 · 정보보호산업법 · 클라우드컴퓨팅법

6.1 전자서명법 — 2020년 전부개정 전후 ⭐

2020.6.9 공포, 2020.12.10 시행 된 전부개정으로 공인인증서 제도가 폐지 되었습니다. 핵심은 "국가가 지정한 공인인증기관의 공인인증서만 특별한 효력" → " 모든 전자서명이 동등 , 인증사업자는 시장에서 경쟁"입니다.

현행 정의(제2조) : 전자서명 = 서명자의 신원 과 서명자가 해당 전자문서에 서명하였다는 사실 을 나타내는 데 이용하기 위해 전자문서에 첨부되거나 논리적으로 결합된 전자적 형태의 정보 / 전자서명생성정보 = 전자서명을 생성하기 위해 이용하는 전자적 정보 / 인증서 = 전자서명생성정보가 가입자에게 유일하게 속한다는 사실 등을 확인 · 증명하는 전자적 정보 / 전자서명인증사업자 = 전자서명인증업무를 하는 자.

개정 전 자주 나온 조문 (구 전자서명법, 2019.12.10 시행본 기준)

⚠️ "가입자의 전자서명생성정보(개인키) "는 기재사항이 아닙니다. 인증서에는 검증정보(공개키) 가 들어갑니다. 18번 노트의 X.509 인증서 구조와 같은 원리입니다.

6.2 정보보호산업법

⚠️ 명칭 변천 — 2015.12.23 정보보호산업법 시행 전에는 같은 역할을 정보통신기반 보호법상 "지식정보보안 컨설팅전문업체" 가 했습니다. 문제은행에는 "지식정보보안 컨설팅업체의 지정 요건 · 결격사유 · 근거 법률" 문항(2013 · 2014년)이 남아 있습니다. 현행 이름은 정보보호 전문서비스 기업 , 근거는 정보보호산업법 입니다.

6.3 클라우드컴퓨팅법 ⚠️ 신규 범위

📝 기출 포인트 — 전자서명법 이 M2.2 최다(14회): 공인인증서 기재사항 (5회 이상, "아닌 것" 고르기), 폐지 · 효력 소멸 사유 , 용어 정의, 인증업무지침 고시 주체. 2025년에는 현행 전자서명 정의 가 나왔습니다. 지식정보보안 컨설팅업체 (5회, 근거법 · 지정 요건), 클라우드컴퓨팅법 통지 사유 (2019 · 2023년)와 전담기관(2023년).

---

7. 실기 연결

서술형 답안 핵심어

• 침해사고: "해킹 · 바이러스 · 논리폭탄 · 메일폭탄 · 서비스거부 · 고출력 전자기파 등으로 정보통신망 또는 정보시스템을 공격하는 행위로 발생한 사태 "
• 침해사고 신고: "알게 된 때부터 24시간 이내 , 과학기술정보통신부장관 또는 한국인터넷진흥원 "
• 기반시설 취약점 분석 · 평가: "지정 후 6개월 이내 (최대 9개월) 최초, 이후 매년 , 전담반 또는 KISA · ISAC · 정보보호 전문서비스 기업 · ETRI"
• ISAC: "분야별 취약점 · 침해요인 정보 제공 , 실시간 경보 · 분석체계 운영"
• 핑거프린팅: " 구매자 정보 를 삽입해 불법 배포 시 유포자 추적 "

점검 관점 예시 — 법적 준거성 체크리스트(가상의 쇼핑몰, 일평균 이용자 120만 명)

[해당] ISMS 인증 의무 (전년도 일일평균 이용자 100만 명 이상)        — 정보통신망법 제47조
[해당] CISO 지정·신고, 자산총액 기준에 따라 이사급·겸직 금지 여부 검토 — 제45조의3
[해당] 침해사고 발생 시 24시간 이내 신고, 대상 사고는 이용자 통지      — 제48조의3
[해당] 개인정보 유출 시 72시간 이내 통지·신고                        — 개인정보 보호법(24번 노트)
[검토] 정보보호 공시 의무 대상 여부 (매출액·이용자 수 기준)          — 정보보호산업법 제13조

🔍 읽는 포인트 : 한 사업자에게 여러 법이 겹쳐 적용됩니다. 실기 답안에서는 "어느 법 · 어느 의무 · 기한" 을 한 줄씩 짝지어 쓰면 됩니다.

---

8. 확인 문제

문제 1. 디지털 콘텐츠를 판매할 때 구매자마다 다른 식별 정보를 삽입해, 불법 유포된 사본에서 유포자를 찾아낼 수 있게 하는 기술은? ① 스테가노그래피 ② 디지털 핑거프린팅 ③ 연약한 워터마킹 ④ DRM 패키저

문제 2. DRM 구성요소 중 라이선스 발급 · 사용 권한 확인 · 사용 내역 정산을 담당하는 것은? ① 패키저 ② 시큐어 컨테이너 ③ 클리어링하우스 ④ DRM 컨트롤러

문제 3. 정보통신망법상 정보통신서비스 제공자의 침해사고 신고에 대한 설명으로 옳은 것은? ① 침해사고가 발생한 시점부터 72시간 이내에 개인정보보호위원회에 신고한다. ② 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고한다. ③ 피해 규모가 1천 명 이상인 경우에만 신고한다. ④ 다른 법률에 따라 이미 신고했더라도 별도로 다시 신고해야 한다.

문제 4. 주요정보통신기반시설 지정 시 고려사항이 아닌 것은? ① 업무의 국가사회적 중요성 ② 다른 기반시설과의 상호연계성 ③ 관리기관의 연간 매출액 ④ 침해사고의 발생가능성 또는 복구의 용이성

문제 5. 주요정보통신기반시설의 취약점 분석 · 평가에 대한 설명으로 옳지 않은 것은? ① 관리기관의 장은 지정 후 원칙적으로 6개월 이내에 최초 분석 · 평가를 한다. ② 최초 분석 · 평가 후에는 매년 실시한다. ③ 정보보호 전문서비스 기업에 의뢰할 수 있다. ④ 반드시 국가정보원이 직접 수행해야 한다.

문제 6. 2020년 전부개정 전 전자서명법상 공인인증서에 포함되어야 하는 사항이 아닌 것은? ① 가입자의 전자서명검증정보 ② 공인인증서의 일련번호 ③ 가입자의 전자서명생성정보 ④ 공인인증서의 유효기간

문제 7. 다음 중 연결이 옳지 않은 것은? ① ISAC — 분야별 취약점 정보 공유와 실시간 경보 · 분석 ② SIEM — 여러 보안 장비 로그의 통합 · 상관 분석 시스템 ③ 정보보호 전문서비스 기업 — 정보통신기반 보호법에 따라 지정되는 지식정보보안 컨설팅전문업체가 현행 명칭 ④ 클라우드 제공자 — 이용자 정보 유출 시 이용자 통지와 함께 과기정통부 장관에게 통지

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 23번 노트만 근거로 4지선다 7문제를 내줘. 비전공자 기준으로.
"DRM 구성요소", "워터마킹/핑거프린팅/스테가노그래피", "침해사고 정의와 24시간 신고",
"CISO 겸직 금지", "기반시설 지정 고려사항과 취약점 분석·평가", "ISAC", "전자서명법 개정 전후"를 포함해줘.
보기 중 하나는 개정 전 기준과 현행 기준을 헷갈리게 만들어줘.
내가 답하면 채점하고, 틀린 이유를 노트의 판별 축 번호와 절 번호로 설명해줘. 노트에 없는 숫자는 지어내지 마.