クイズ: 固定構成・監査証跡・引き継ぎ

인증받은 구성에서 고위험 취약점 공지를 받았는데 해당 구성요소의 버전을 올릴 수 없다. 가장 적절한 대응은?

• 취약점이 성립하는 조건을 없애는 완화를 적용하고, 근거와 재평가 시점을 문서로 남긴다
• 위험이 크므로 예외 승인을 받아 패치를 먼저 적용하고 재인증을 병행한다
• 재인증 일정이 잡힐 때까지 대응을 보류하고 다음 점검 때 다시 본다
• 해당 구성요소를 끄고 기능을 축소한 상태로 운용한다

설치 버전 16.2, 수정 버전 16.10 인 공지를 문자열로 비교하면 무슨 일이 생기는가?

• 비교가 실패해 오류가 나므로 바로 알아챌 수 있다
• 영향 있음으로 잘못 판정되어 불필요한 대응 인력이 들어간다
• 영향 없음으로 잘못 판정되어 진짜 대상이 조용히 빠진다
• 판정에는 영향이 없고 정렬 순서만 달라진다

작업 로그에서 승인란이 비어 있는 작업을 발견했다. 감사 관점의 정확한 해석은?

• 승인을 받지 않고 실행한 것이 확정되므로 규정 위반으로 처리한다
• 기록 누락일 뿐이므로 담당자에게 확인해 사후 보완하면 문제가 없다
• 승인 절차가 없는 경미한 작업이었을 가능성이 높아 별도 조치가 필요 없다
• 승인 여부를 증명할 수 없는 상태이며, 감사에서는 승인받지 않은 것과 같은 취급을 받는다

승인 없음 3건, 자기 승인 3건, 작업 창 밖 5건을 찾았다. 보고서에 위반 작업 수를 어떻게 적어야 하는가?

• 세 숫자를 더해 11건으로 적는다
• 가장 큰 숫자인 5건으로 적는다
• 작업 식별자로 합집합을 만들어 중복을 지운 수를 적고, 세 항목의 건수도 함께 적는다
• 위반 성격이 다르므로 합치지 않고 세 줄로만 적는다

폐쇄망 인수인계 절차서에 외부 문서 링크를 넣으면 안 되는 이유로 가장 정확한 것은?

• 링크가 시간이 지나면 깨져서 문서의 신뢰도가 떨어지기 때문에
• 그 망에서는 링크를 열 수 없어 다음 사람에게 아무것도 알려 주지 못하기 때문에
• 외부 주소가 문서에 남으면 반출 심사에서 문제가 되기 때문에
• 링크를 따라가면 인가되지 않은 소프트웨어를 내려받게 되기 때문에

인수인계 꾸러미에 산출물 해시 매니페스트를 함께 넣는 이유는?

• 받은 쪽이 자기가 받은 것이 넘긴 그것인지 확인할 수 있어야 인수인계가 성립하기 때문에
• 산출물의 저작자를 증명해 책임 소재를 분명히 하기 위해
• 매니페스트가 있어야 반출 심사를 생략할 수 있기 때문에
• 파일이 압축되지 않은 상태로 전달될 때 용량을 줄이기 위해