5과목 정보시스템구축관리

기출 160문항(과목5)에서 실제로 센 빈출은 이렇다 — 공격(30) · 보안(26) · 네트워크(27) · 개발(35) · 접근(19) · 탐지(14) · 암호화(13) · 프로젝트(15).

이 과목의 성격은 다른 넷과 다르다. 깊이가 아니라 폭이다. 용어 하나에 한 문항이 걸리고, 아는 용어가 나오면 5초에 풀리고 모르는 용어면 손을 못 댄다. 신기술 용어의 암기 분량이 계속 늘고 있어 4과목과 함께 변별력 구간으로 꼽힌다.

그래서 이 편은 설명을 길게 쓰지 않고 표로 넓게 깐다. 대신 헷갈리는 쌍(공격 이름끼리, 접근통제 모델끼리, IDS/IPS/방화벽)은 따로 뽑아 대비시켰다.

---

0. 이 과목의 지형

소프트웨어 개발 방법론 활용   비용 산정(COCOMO) · 일정(PERT/CPM) · 프로세스 표준 · 재사용
IT 프로젝트 정보시스템 구축   네트워크 신기술 · 클라우드 · 스토리지 · 빅데이터
소프트웨어 개발 보안 구축     시큐어 코딩 · 암호 · 인증
시스템 보안 구축              접근 통제 · 공격 유형 · 보안 솔루션 · 로그

---

1. 비용 산정 기법

하향식   전문가 판단 · 델파이 기법(전문가 다수의 의견을 조정자가 중재)
상향식   LOC(코드 행 수) · 개발 단계별 인월 · 수학적 산정 모형

LOC 기법

예측치 = (낙관치 + 4 × 기대치 + 비관치) ÷ 6
노력(인월) = LOC ÷ 1인당 월 생산성
개발 기간  = 노력 ÷ 투입 인원
비용       = 노력 × 인월 단가

계산 예 — 총 30,000 LOC, 1인당 월 300 LOC, 인건비 100만 원/월이면 노력 = 30000 ÷ 300 = 100인월, 비용 = 100 × 100만 = 1억 원. 5명 투입이면 기간은 100 ÷ 5 = 20개월.

COCOMO 모형 — 규모별 3유형 (6회 출제)

함정 — 규모 경계(5만 / 30만)와 예시를 바꿔 낸 문항이 단골이다. 그리고 COCOMO 의 비용 결정 요소는 제품·컴퓨터·개발 요원·프로젝트 특성 네 가지다.

그 밖의 모형

---

2. 일정 관리와 위험 관리

PERT 와 CPM

임계 경로 — 시작에서 종료까지 가장 오래 걸리는 경로. 이 경로가 늘어나면 전체 프로젝트 기간이 늘어난다. 여유 시간(Slack)이 0인 경로다.

계산 요령 — 각 경로의 소요 시간을 모두 더해 비교하고 최댓값을 고른다. "이 작업이 지연되면 전체가 지연되는가"를 묻는 문항은 임계 경로에 속하는지를 보는 것이다.

간트 차트(Gantt Chart) — 작업을 막대로 표시한 일정 표. 자원 배치와 진척을 함께 본다. 작업 간 의존 관계 표현은 약하다는 점이 PERT/CPM 과 갈린다.

WBS(작업 분해 구조) — 프로젝트를 관리 가능한 작업 단위로 계층 분해한 것.

위험 관리

위험 식별 → 위험 분석·평가 → 위험 관리 계획 → 위험 감시·조치
대응 전략   회피(Avoid) · 전가(Transfer, 보험·외주) · 감소(Mitigate) · 수용(Accept)

---

3. 프로세스 표준과 재사용

재사용과 재공학

재사용 방식   합성 중심(블록 조립) · 생성 중심(명세로부터 생성)
재공학(Re-engineering)   기존 시스템을 분석해 재구성 — 유지보수 비용을 줄인다
  분석(Analysis) → 재구성(Restructuring) → 역공학(Reverse Engineering) → 이식(Migration)
역공학   완성된 프로그램에서 설계 정보·명세를 逆으로 도출

테일러링(Tailoring)

개발 방법론을 프로젝트 상황에 맞게 조정하는 것. 기준이 내부·외부로 갈리고 이 분류가 그대로 문제다.

함정 — 국제 표준 품질 기준과 법적 제약은 외부 기준이다. 내부 기준 보기에 섞어 "해당하지 않는 것"으로 낸다.

프레임워크 — 재사용 가능한 설계 골격. 제어의 흐름을 프레임워크가 갖고 개발자가 필요한 부분을 채운다(라이브러리와 반대). 기출에 6회 등장했다.

---

4. 네트워크 신기술 — 이름과 한 줄

함정 — SDN 의 핵심은 제어 평면 분리다. "하드웨어 성능 향상"으로 바꿔 낸 보기가 나온다.

---

5. 클라우드와 가상화

배포 모델   퍼블릭 · 프라이빗 · 하이브리드 · 커뮤니티
가상화      하이퍼바이저(전가상화·반가상화) · 컨테이너(도커)
서버리스    서버 관리 없이 함수 단위 실행
DevOps      개발과 운영의 경계를 허물어 배포 주기를 단축

함정 — 관리 책임 범위로 구분한다. IaaS 는 OS 부터 사용자가 관리하고, SaaS 는 애플리케이션까지 제공자가 관리한다. 그리고 컨테이너는 커널을 공유하므로 VM 보다 가볍지만 격리 수준은 낮다.

---

6. 스토리지 (SAN 7 · NAS 6 · DAS 3회)

RAID

고가용성(HA)   이중화·클러스터링으로 무중단 유지
백업           풀·증분·차등 백업 / RPO(허용 데이터 손실 시점) · RTO(복구 목표 시간)

---

7. 빅데이터와 신기술 용어

---

8. 정보 보안의 3요소와 접근 통제 (접근 19회)

보안 3요소 + 2

기밀성(Confidentiality)   인가된 사용자만 접근
무결성(Integrity)         인가된 방법으로만 변경
가용성(Availability)      필요할 때 사용 가능
+ 인증(Authentication) · 부인 방지(Non-repudiation)

접근 통제 정책 3가지 — 무엇이 결정하는가

함정 — DAC 는 소유자, MAC 는 시스템(등급), RBAC 는 역할이다. 주체를 바꿔 낸다.

접근 통제 모델

접근 통제 기법 — 접근 통제 행렬, 접근 제어 목록(ACL, 객체 기준), 자격 목록(Capability List, 주체 기준).

인증 유형

지식 기반(What you know)   비밀번호 · PIN
소유 기반(What you have)   OTP 토큰 · 스마트카드
생체 기반(What you are)    지문 · 홍채 · 얼굴
행위 기반                  서명 · 걸음걸이
위치 기반                  GPS · IP

---

9. 암호 (암호화 13회)

대칭키 vs 비대칭키

핵심 함정 — 키 개수 공식이 그대로 나온다. 사용자 n 명이 대칭키로 통신하려면 n(n-1)/2 개, 공개키는 2n 개다. 100명이면 4,950 대 200.

알고리즘별 요점

블록 암호   고정 길이 블록 단위 (DES·AES·SEED·ARIA·IDEA)
스트림 암호 비트·바이트 단위로 연속 (RC4·LFSR)
운용 모드   ECB · CBC · CFB · OFB · CTR

해시와 전자 서명

해시의 성질   일방향(복호 불가) · 고정 길이 출력 · 충돌 저항성
솔트(Salt)    같은 비밀번호가 같은 해시가 되지 않게 붙이는 난수 → 레인보우 테이블 방어
전자 서명     개인키로 서명, 공개키로 검증 → 무결성·인증·부인 방지
PKI · CA      인증서 체계 · 인증 기관

함정 — 해시는 암호화가 아니라 일방향 함수다. "복호화할 수 있다"는 항상 틀린 보기. 그리고 전자 서명은 개인키로 만들고 공개키로 검증한다(방향을 바꿔 낸다).

---

10. 서비스 공격 유형 — 이 과목 최다(공격 30회)

DoS / DDoS 계열

함정 정리 — Land = 출발지/목적지 동일, Teardrop = 단편 offset 조작, Smurf = 브로드캐스트 반사, SYN Flooding = 연결 큐 소진. 이 네 쌍이 서로 섞여 나온다.

시스템·웹 공격

악성 코드와 사회공학

핵심 함정 셋 — ① 웜은 자기 복제, 트로이 목마는 복제하지 않는다. ② 파밍은 주소가 정상인데 가짜 사이트로 간다(피싱과 갈리는 지점). ③ 스니핑은 수동적 도청, 스푸핑은 능동적 위장이다.

---

11. 보안 솔루션 (탐지 14회)

IDS 의 탐지 방식 두 가지

오용(Misuse) 탐지    알려진 공격 패턴(시그니처)과 비교 → 알려진 공격에 정확, 신규 공격 못 잡음
이상(Anomaly) 탐지   정상 행위 기준선에서 벗어나면 탐지 → 신규 공격 대응, 오탐(False Positive) 많음

함정 — IDS 는 탐지, IPS 는 차단이다. 그리고 오용 탐지는 알려진 공격, 이상 탐지는 알려지지 않은 공격에 강하다는 짝이 그대로 나온다.

보안 프로토콜

함정 — IPSec 의 AH 는 암호화를 제공하지 않는다(인증·무결성만). ESP 가 암호화를 담당한다. 터널 모드는 원본 IP 헤더까지 감싼다.

---

12. 시큐어 코딩 — 7가지 취약점 분류

함정 — 하드코딩된 비밀번호는 "보안 기능" 분류다. "입력 데이터 검증"으로 낸 보기가 나온다. 그리고 에러 메시지에 스택트레이스·DB 오류를 노출하는 것이 취약점이라는 점이 자주 나온다.

OWASP Top 10 — 웹 애플리케이션의 대표 취약점 목록. 정보보호 관리체계

---

13. 함정 정리

COCOMO — 조직형 5만 라인 이하 / 반분리형 30만 이하 / 내장형 30만 초과.

대칭키 개수 n(n-1)/2, 공개키 2n.

전자 서명은 개인키로 서명하고 공개키로 검증한다.

해시는 복호화할 수 없다.

DAC 는 소유자 / MAC 는 등급(시스템) / RBAC 는 역할.

벨-라파듈라는 기밀성, 비바는 무결성.

웜은 자기 복제, 트로이 목마는 복제하지 않는다.

파밍은 주소가 정상인데 가짜 사이트로 간다.

Land = 출발지·목적지 동일 / Teardrop = 단편 offset 조작 / Smurf = 브로드캐스트 반사.

IDS 는 탐지만, IPS 는 차단까지. 오용 탐지는 알려진 공격, 이상 탐지는 미지의 공격.

IPSec 의 AH 는 암호화를 하지 않는다.

DAS 는 공유 불가 / NAS 는 LAN 파일 공유 / SAN 은 전용망 블록.

RAID 0 은 중복이 없어 장애 시 전손.

SDN 은 제어 평면 분리.

하드코딩된 비밀번호는 "보안 기능" 취약점.

---

한눈에 정리

• 이 과목은 폭이 곧 점수다. 깊이 파는 대신 표를 여러 번 훑는 방식이 맞다
• 최다 출제는 공격 유형(30회) — Land·Teardrop·Smurf·SYN Flooding 네 쌍부터 확실히
• 암호는 대칭/비대칭 구분, 키 개수 공식, 서명 방향 세 가지가 반복된다
• 접근 통제는 DAC/MAC/RBAC 주체와 BLP(기밀)/Biba(무결) 두 짝
• 보안 솔루션은 IDS(탐지) vs IPS(차단), 오용 vs 이상 탐지
• 비용·일정은 COCOMO 3유형, LOC 계산, 임계 경로가 계산 문항으로 나온다
• 스토리지 DAS/NAS/SAN 과 RAID 0/1/5 는 매 회차 후보다
• 신기술 용어는 모르면 못 푸는 구간이다. 새 용어가 계속 늘고 있어 폭을 넓히는 것 자체가 대비다