정보보안기사는 시스템·네트워크·애플리케이션 보안부터 암호학, 정보보호 관리와 법규까지 폭넓은 지식을 요구하는 국가기술자격이에요. 필기 5과목과 실기(필답형)로 구성되어 이론뿐 아니라 실무 감각도 함께 평가해요. 개념을 원리 중심으로 이해하고 직접 정리하는 습관이 합격에 큰 힘이 돼요.
정보보안기사는 한국방송통신전파진흥원(KCA)이 시행하는 국가기술자격이라 큐넷이 아니라 KCA 자격검정 홈페이지(cq.or.kr)에서 접수하고 결과를 확인해요. 필기는 시스템 보안, 네트워크 보안, 어플리케이션 보안, 정보보안 일반, 정보보안 관리 및 법규 5과목에서 과목당 20문항씩 100문항을 객관식 4지선다형으로 2시간 30분 동안 CBT로 풀어요. 매 과목 40점 이상, 전 과목 평균 60점 이상이 합격선이라 어느 한 과목에서 20문항 중 8문항 아래로 내려가면 평균과 상관없이 과락이에요. 실기는 '정보보안 실무' 한 과목을 필답형으로 3시간 동안 쓰고, 100점 만점에 60점 이상이면 합격이에요.
지금 적용되는 출제기준은 2023.1.1~2026.12.31이고, 2027년 시험부터는 KCA 자료실에 2026년 7월 등록된 2027.1.1~2029.12.31 기준이 적용돼요. 과목 구성, 문항 수, 시험시간은 그대로지만 정보보안 일반에 '최신 보안 동향' 주요항목이 새로 생겼고 세부항목 곳곳에 클라우드·컨테이너 보안이 들어왔어요. 아래 출제기준 표는 2027년 응시자를 위해 새 기준으로 실었어요. 2026년 4회 실기(11월)는 아직 현행 기준으로 치른다는 점도 기억해 두세요.
다섯 과목 이름은 나뉘어 있지만 한 개념이 여러 과목에 걸쳐 나와요. 접근통제 모델은 시스템 보안과 정보보안 일반에, IPsec과 SSL/TLS는 네트워크 보안과 어플리케이션 보안에, 위험분석은 관리 과목과 실기에 동시에 등장해요. 실기 출제기준의 수행준거도 운영체제·프로토콜·서비스·보안장비별 보안 특성 파악, 취약점 점검과 보완, 로그 분석, 위험분석과 대책 수립이라서 필기 때부터 '무엇인가'와 함께 '어떻게 설정하고 점검하나'를 묶어 공부해야 실기로 넘어갈 때 다시 시작하지 않아요. KCA는 CBT 필기 문제와 실기 문제지를 공개하지 않으니, 출제기준의 세세항목을 목차로 삼아 빠진 단원이 없는지 점검하세요.
세부·세세항목은 빼고 주요항목만 옮겼습니다. 전체 기준은 출처에서 볼 수 있습니다.
출처 한국방송통신전파진흥원 자격검정 자료실 — 정보보안 종목 출제기준(2027.1.1.~2029.12.31.) 중 정보보안기사 · 확인일 2026년 10월 14일
범위가 넓기 때문에 하루에 조금씩 꾸준히 학습하는 것이 중요해요. 이해가 어려운 개념은 그림이나 흐름도로 정리하면 오래 기억에 남고 실기 서술에도 도움이 돼요.
수험생이 많이 찾는 교재를 모았어요. 링크를 눌러 최신 가격과 후기를 확인해 보세요.
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
정보처리기사를 땄거나 서버·네트워크 실무를 해 본 사람. 평일 2시간, 주말에는 하루 5시간을 쓰는 일정이에요.
1주차시스템 보안 — 리눅스·윈도우 계정과 권한, 로그
2주차네트워크 보안 — DoS 유형과 IPsec, 스캔
3주차어플리케이션 보안과 정보보안 일반 — 웹 취약점과 암호
4주차정보보안 관리 및 법규, 그리고 100문항 실전
운영체제·네트워크 수업을 듣지 않았지만 응시자격을 갖춘 사람. 평일 1시간 30분, 주말 하루 4시간으로 잡았어요.
1~2주차네트워크 기초부터 — 다른 과목이 모두 이 위에서 움직여요
3~4주차시스템 보안과 어플리케이션 보안
5~6주차정보보안 일반과 관리·법규
7주차필기 실전 모의고사
8주차필기 마무리와 실기 필답형 맛보기
실기는 '정보보안 실무' 한 과목을 필답형으로 3시간 동안 치르고, 100점 만점에 60점 이상이면 합격이에요. 2023~2026년 출제기준의 주요항목은 시스템 및 네트워크 보안특성 파악, 취약점 점검 및 보완, 보안관제 및 대응, 위험분석 및 정보보호 대책 수립 네 개이고, 2027년부터는 보안관제 항목이 '보안 로그 수집·분석 및 침해 대응'으로 바뀌고 '최신 보안 동향'이 더해져 다섯 개가 돼요. KCA 안내에 따르면 정보보안 필답형은 실기시험 기간 중 첫째 날 하루만 치르고 기사 등급은 오전 10시에 시작해요.
수행준거를 보면 운영체제별·프로토콜별·서비스별·보안장비별 보안 특성을 파악하고, 취약점을 점검해 원인과 보완 내용을 기록하고, 시스템 로그와 패킷 로그를 분석해 침입 원인을 찾고, 정보자산의 위험을 평가해 대책과 이행계획을 세우는 일이 요구돼요. 필기에서 보기 중 하나를 고르던 지식을 '설정 파일과 명령, 로그 한 줄을 보고 무엇이 문제인지 직접 쓰는' 수준으로 끌어올리는 것이 실기 준비의 전부예요. KCA는 실기 세부 채점기준과 배점을 공개하지 않고 합격 여부와 총점만 알려 줘요.
CertHub 예상문제 100문항 가운데 비슷한 개념끼리 보기로 맞붙여 둔 문항을 골라 정리했습니다. 응시자 오답률 통계가 아니라 문항 구성을 보고 고른 목록입니다.
흔한 실수 — SetUID가 걸린 파일은 실행하면 무조건 root 권한을 얻는다고 고르거나, 스티키 비트를 '실행 권한 상승' 기능으로 착각해요.
바로잡기 — SetUID는 실행하는 동안 '파일 소유자'의 권한(EUID)으로 동작하게 할 뿐이라, 소유자가 root일 때만 root 권한이 돼요. 스티키 비트는 /tmp 같은 공용 디렉터리에서 파일 소유자와 root만 그 파일을 지울 수 있게 하는 삭제 제한 기능이에요.
흔한 실수 — 비밀번호 해시가 /etc/passwd에 있다고 보거나, 윈도우에도 shadow 파일이 있다고 골라요.
바로잡기 — /etc/passwd는 사용자명·UID·홈 디렉터리를 담고 누구나 읽을 수 있어요. 그래서 해시는 root만 읽는 /etc/shadow로 분리돼 있어요. 윈도우는 로컬 계정과 해시를 SAM 파일에 저장하고, 시스템이 켜져 있는 동안 잠겨 있어요.
흔한 실수 — 로그인 실패 기록이 wtmp에 있다고 고르거나, 현재 접속자 정보가 btmp에 있다고 생각해요.
바로잡기 — utmp는 지금 접속 중인 사용자(who, w), wtmp는 과거 로그인·로그아웃 기록(last), btmp는 로그인 실패 기록(lastb)이에요. 짧은 시간에 btmp 기록이 급증하면 무차별 대입 공격을 의심하는 식으로 실기 로그 분석까지 이어져요.
흔한 실수 — 두 모델의 규칙을 뒤바꿔 Bell-LaPadula를 'No Read Down, No Write Up'으로 외워요.
바로잡기 — Bell-LaPadula는 기밀성 모델이라 위 등급 문서를 읽지 못하고(No Read Up) 아래로 쓰지 못해요(No Write Down). 비밀이 아래로 새는 것을 막는 방향이에요. Biba는 무결성 모델이라 정반대로 아래를 읽지 않고(No Read Down) 위로 쓰지 않아요(No Write Up).
흔한 실수 — AH도 암호화를 해 준다고 보거나, 원본 IP 헤더까지 감싸는 방식을 전송 모드로 골라요.
바로잡기 — AH는 무결성·출발지 인증·재전송 방지만 제공하고 암호화는 하지 않아요. 기밀성은 ESP가 맡아요. 터널 모드는 원본 IP 패킷 전체를 감싸고 새 IP 헤더를 붙여 게이트웨이 간 VPN에 쓰고, 전송 모드는 페이로드만 보호해 종단 간 통신에 써요.
흔한 실수 — 이름만 보고 출발지와 목적지를 같게 만드는 공격을 Smurf로, 브로드캐스트 증폭 공격을 Land로 바꿔 골라요.
바로잡기 — 조작하는 필드로 구분하세요. Smurf는 출발지를 피해자로 위조한 ICMP 요청을 브로드캐스트로 보내 응답을 몰리게 하고, Land는 출발지와 목적지 IP·포트를 같게 만들고, Teardrop은 IP 단편의 fragment offset을 겹치게 조작해 재조합을 실패시켜요.
흔한 실수 — HTTPS에서만 쿠키를 보내게 하는 속성을 HttpOnly로 골라요. 이름에 Http가 들어 있어서 생기는 실수예요.
바로잡기 — HttpOnly는 document.cookie 같은 스크립트 접근을 막아 XSS로 세션 쿠키를 훔치는 것을 완화하고, Secure는 쿠키가 HTTPS 연결에서만 전송되게 해요. 하나는 '누가 읽나', 다른 하나는 '어느 통로로 가나'를 제한한다고 기억하세요.
흔한 실수 — 전자서명을 수신자의 공개키로 만든다고 고르거나, 전자서명만으로 기밀성까지 생긴다고 생각해요.
바로잡기 — 서명은 송신자의 개인키로 만들고 송신자의 공개키로 검증해요. 그래서 무결성·인증·부인방지가 생기지만 내용은 암호화되지 않아 기밀성은 없어요. 기밀성이 필요하면 수신자의 공개키로 암호화하고 수신자가 자기 개인키로 풀어요.
흔한 실수 — 복구 목표 시간과 허용 데이터 손실 시점을 뒤바꾸고, 비밀번호 해시에 붙이는 임의값을 IV로 골라요.
바로잡기 — RTO는 장애 뒤 서비스를 되살리기까지 허용되는 시간, RPO는 되돌아갈 수 있는 데이터 시점(허용 손실량)이에요. IV는 블록 암호 CBC 모드 등에서 첫 블록에 쓰는 임의값이고, Salt는 비밀번호마다 붙여 레인보우 테이블 공격을 무력화하는 값이에요.
공부한 내용을 정보보안기사 예상문제 100문항으로 점검하기
필기 5과목 100문항(2시간 30분)과 실기 필답형 3시간 구성은 그대로입니다. 필기 정보보안 일반에 '최신 보안 동향' 주요항목이 생겼고, 실기는 '보안관제 및 대응'이 '보안 로그 수집·분석 및 침해 대응'으로 바뀌고 '최신 보안 동향'이 추가됐습니다. 세부항목에는 클라우드·컨테이너 보안과 정보보호산업법·클라우드컴퓨팅법·전자서명법이 들어왔습니다.
과목당 100점 만점으로 매 과목 40점 이상, 전 과목 평균 60점 이상이어야 합격입니다. 과목마다 20문항이라 한 과목에서 8문항 미만을 맞히면 평균이 60점을 넘어도 불합격입니다.
안 됩니다. KCA 자주묻는질문에 따르면 CBT 시험장 안에서 메모장(패드)을 제공하고 개인 연습장은 가지고 들어갈 수 없습니다. 서브넷 계산이나 ALE 계산을 메모장에 빠르게 쓰는 연습을 미리 해 두세요.
KCA는 필기 전 종목을 CBT로 시행해 필기 문제지를 공개하지 않고, 실기 문제지도 공개하지 않는다고 안내합니다. 대신 자료실의 출제기준 PDF에 과목별 주요항목·세부항목·세세항목이 모두 나와 있으니 이것을 공부 목차로 쓰세요.
'정보보안 실무' 한 과목을 3시간 동안 서술하며 100점 만점에 60점 이상이면 합격입니다. 출제기준은 운영체제·프로토콜·서비스·보안장비의 보안 특성 파악, 취약점 점검과 보완, 로그 분석과 침해 대응, 위험분석과 정보보호 대책 수립을 다룹니다. 세부 채점기준과 배점은 공개되지 않습니다.
기준일 2026년 10월 14일 · CertHub가 직접 작성한 학습 가이드입니다.
CertHub 예상문제집 · PDF
공부법대로 이론을 마쳤다면, 실전 형태 문제로 빈틈을 확인해 보세요.
기출문제 원본이 아닌 CertHub 자체 제작 예상문제입니다. 디지털 콘텐츠 특성상 다운로드가 시작된 이후에는 환불이 어렵습니다. 결제와 다운로드는 외부 판매 페이지(래피드)에서 진행됩니다.
다른 종목 예상문제 PDF 보기