[군무원 면접질문 095] 정보시스템 장애와 비정상적인 외부 접속이 동시에 발견되면 어떻게 대응하겠는가

정보시스템의 중단과 비정상적인 접속이 동시에 발견되면 단순한 장비장애와 사이버공격 가능성을 함께 검토해야 한다. 서비스 복구만 서두르면 공격자가 남아 있는 시스템을 다시 연결하여 피해가 확대될 수 있다.

반대로 영향범위를 확인하지 않고 모든 시스템을 차단하면 지휘통신과 행정 등 필수 기능까지 불필요하게 중단될 수 있다. 따라서 침해가 의심되는 구간은 격리하고 증거를 보존하면서 안전한 예비시스템이나 대체절차로 필수업무를 유지해야 한다.

이 질문은 지원자가 보안사고 대응과 임무 연속성을 균형 있게 판단하고 단계적인 정제·복구와 검증까지 수행할 수 있는지를 평가하려는 것이다(「사이버안보 업무규정」 제9조·제12조; 「전자정부법」 제56조).

[답변 요령]

● 영향받는 시스템·사용자·서비스와 발생 시점, 증상 및 최근 변경내역을 확인한다.

● 침해 의심 구간을 격리하고 로그·경보·메모리와 접속기록을 보존한다.

● 필수업무는 안전성이 확인된 예비시스템·대체망·수기절차로 전환한다.

● 보안담당자·시스템관리자와 지휘계통에 확인된 사실과 조치를 보고한다.

● 장애확산을 막으면서 대체수단으로 업무를 유지했던 경험과 연결한다.

[답변 예시]

시스템 장애와 비정상 접속이 동시에 확인되면 단순 장애로 판단하지 않고 침해 가능성을 함께 검토하겠습니다. 먼저 영향을 받는 시스템과 사용자, 발생 시점과 증상 및 최근 변경내역을 확인하겠습니다.

침해가 의심되는 서버와 단말은 승인된 방법으로 네트워크에서 격리하겠습니다. 전원을 임의로 끄거나 로그와 의심 파일을 삭제하지 않고 경보와 접속기록을 보존하겠습니다.

동시에 지휘와 상황보고 등 필수 기능을 파악하여 안전성이 확인된 예비시스템이나 대체망으로 전환하겠습니다. 확인된 사실과 조치내용을 보안담당자와 시스템관리자, 지휘계통에 보고하겠습니다.

분석 후 단계적으로 정제·복구하고 계정과 데이터, 연계시스템 및 통신품질의 정상 여부를 검증하겠습니다.

[후속질문]

① 예비시스템도 감염되었는지 확신할 수 없다면 어떻게 하겠는가?

“예비시스템을 주 시스템과 바로 연결하지 않겠습니다. 격리된 환경에서 악성코드와 계정, 설정 및 데이터의 무결성을 확인한 뒤 안전성이 검증된 범위부터 사용하겠습니다.”

② 지휘관이 보안분석보다 서비스를 즉시 재개하라고 하면 어떻게 설명하겠는가?

“감염 가능성이 남은 상태에서 재개하면 피해가 더 확대될 수 있음을 설명하겠습니다. 필수기능에는 검증된 예비체계나 대체절차를 제공하면서 안전한 복구를 병행하겠습니다.”

③ 증거보존과 긴급복구가 충돌하면 무엇을 우선하겠는가?

“침해상태와 로그를 가능한 범위에서 우선 보존하되 필수업무의 영향도 함께 고려하겠습니다. 담당자와 협의하여 복제본이나 스냅숏을 확보한 후 검증된 환경에서 복구하겠습니다.”

④ 공격인지 확실하지 않은데 시스템을 격리하면 과도한 대응 아닌가?

“불필요한 격리가 업무에 영향을 줄 수 있다는 우려는 이해합니다. 전체망을 차단하지 않고 이상징후와 영향도를 기준으로 의심 구간만 제한하여 위험과 업무 중단을 함께 줄이겠습니다.”

[피해야 할 답변]

시스템을 재시작하여 정상화되면 보안사고 여부는 나중에 확인해도 된다고 답해서는 안 된다. 반대로 비정상 접속이 발견되면 영향범위와 필수업무를 확인하지 않고 모든 정보통신체계를 즉시 차단하겠다는 답변도 피해야 한다.