SY0-701 시험 영역 및 배점

CompTIA Security+ SY0-701 시험은 2023년 11월에 출시되었으며 SY0-601을 대체했습니다. 시험은 최대 90문항으로 구성되고, 객관식과 수행 기반 문항(PBQ)이 함께 출제됩니다. 시험 시간은 90분입니다. 합격 점수는 100~900점 척도에서 750점입니다. 시험은 5개 영역으로 구성되며, 각 영역에는 해당 영역에서 출제되는 문항 수를 반영한 배점 비율이 지정되어 있습니다. 영역별 구조를 이해하면 각 영역의 출제 비중에 따라 학습 시간을 우선 배분할 수 있습니다.

영역 1: 일반 보안 개념은 시험의 약 12%를 차지하며, 약 11문항이 출제됩니다. 이 영역에서는 다른 모든 내용을 뒷받침하는 기초 보안 원칙을 다룹니다. CIA 3요소(기밀성, 무결성, 가용성), 인증 및 권한 부여 개념, 암호학의 기초(대칭/비대칭 암호화, 해싱, PKI), 보안 통제 유형(기술적, 관리적, 운영적)과 범주(예방, 탐지, 교정, 억제, 보상)의 차이가 포함됩니다. 이 영역의 문항은 보안 통제가 왜 존재하는지와 통제를 체계화하는 이론적 틀을 이해하는지 평가합니다.

영역 2: 위협, 취약점 및 완화는 시험의 22%를 차지하는 가장 큰 단일 영역이며, 약 20문항이 출제됩니다. 이 영역에서는 위협 행위자(스크립트 키디부터 국가 수준 행위자까지), 공격 유형(악성 코드, 피싱, 사회공학, 네트워크 공격, 애플리케이션 공격), 침해 지표, 취약점 관리(검색, CVSS 점수 산정, 패치 우선순위 지정), 각 위협에 대응하는 구체적인 완화책을 다룹니다. 어떤 공격 유형이 발생했는지 또는 주어진 상황에 어떤 완화책이 가장 적절한지를 식별해야 하는 시나리오 기반 문항이 출제됩니다.

영역 3: 보안 아키텍처는 시험의 18%를 차지하며, 약 16문항이 출제됩니다. 이 영역에서는 보안 통제를 설계하고 배포하는 방법을 다룹니다. 네트워크 분할, 방화벽, VPN, IDS/IPS, 제로 트러스트 아키텍처, 클라우드 보안 모델(공동 책임, IaaS/PaaS/SaaS), 가상화 보안, 안전한 인프라 설계, 복원력 개념(중복성, 고가용성, 지리적 분산)이 포함됩니다. 문항에서는 네트워크 다이어그램이나 아키텍처 설명을 제시하고 보안 공백을 식별하거나 추가할 적절한 통제를 추천하도록 하는 경우가 많습니다. 여기서는 각 통제를 언제 사용해야 하는지 아는 것이 중요합니다.

영역 4: 보안 운영은 시험의 28%를 차지하는 가장 높은 배점의 영역이며, 약 25문항이 출제됩니다. 이 영역에서는 일상적인 보안 업무를 다룹니다. ID 및 Access 관리, 엔드포인트 보안(안티바이러스, EDR, MDM, 보안 강화), 네트워크 보안 모니터링, 사건 대응 수명 주기(준비부터 교훈 도출까지), 디지털 포렌식(증거 수집, 증거 보관 연계성, 포렌식 아티팩트), 취약점 평가, 로그 분석이 포함됩니다. 영역 4는 보안 전문가가 매일 사용하는 운영 기술을 반영하며, 특정 보안 이벤트에 어떻게 대응할지 평가하는 시나리오 기반 문항이 많이 출제됩니다.

영역 5: 보안 프로그램 관리 및 감독은 시험의 20%를 차지하며, 약 18문항이 출제됩니다. 이 영역에서는 보안의 거버넌스, 위험, 컴플라이언스(GRC)를 다룹니다. 위험 관리(식별, 분석, 처리), 데이터 개인정보 보호 규정(GDPR, HIPAA, PCI-DSS, CCPA), 보안 프레임워크(NIST RMF, ISO 27001, CIS Controls), 데이터 분류 체계, 업무 연속성 및 재해 복구 계획, 제3자 위험 관리(공급업체 평가, 공급망 보안), 보안 감사를 포함합니다. 영역 5의 문항에서는 비즈니스 시나리오를 제시하고 적절한 거버넌스 대응이나 컴플라이언스 요구사항을 식별하도록 하는 경우가 많습니다.

빠르게 참고할 수 있도록 정리하면 다음과 같습니다. 영역 1: 일반 보안 개념 — 12%(기초 원칙, CIA, 암호학, 통제 유형), 영역 2: 위협, 취약점, 완화 — 22%(공격 유형, 악성 코드, 사회공학, 취약점 관리), 영역 3: 보안 아키텍처 — 18%(네트워크 설계, 클라우드, 제로 트러스트, 복원력), 영역 4: 보안 운영 — 28%(IAM, 엔드포인트, IR, 포렌식, 모니터링 — 가장 높은 배점의 영역), 영역 5: 보안 프로그램 관리 — 20%(위험 관리, 컴플라이언스, 프레임워크, BCP/DRP)입니다. 영역 4와 2를 합하면 시험의 정확히 50%를 차지합니다.

SY0-701 버전에는 이전 SY0-601 시험과 비교해 몇 가지 중요한 변경 사항이 도입되었습니다. 업계가 클라우드 중심 아키텍처로 전환한 상황을 반영하여 클라우드 및 하이브리드 보안 내용이 크게 확대되었습니다. 제로 트러스트 아키텍처가 핵심 개념으로 추가되었고, 운영 기술(OT/ICS) 보안에 별도의 범위가 할당되었습니다. 또한 거버넌스 영역이 재구성되어 데이터 개인정보 보호 규정이 더 큰 비중을 갖는 영역 5가 되었으며, 보안 운영 자동화(SOAR, 보안을 위한 스크립팅)도 추가되었습니다. 5개 영역 구조는 SY0-601의 기존 6개 영역 구조를 대체했으며, 일부 주제를 통합했습니다.

수행 기반 문항(PBQ)은 과제를 완료하기 위해 가상 환경 또는 끌어 놓기 인터페이스와 상호 작용해야 하는 시뮬레이션 형식의 문항입니다. 일반적인 PBQ 유형은 다음과 같습니다. 방화벽 규칙 구성 — 시나리오가 주어지면 시뮬레이션된 방화벽 인터페이스에서 규칙을 추가하거나 수정합니다. 네트워크 다이어그램 분석 — 네트워크 다이어그램에서 보안 공백을 식별하고 적절한 통제를 배치합니다. 로그 분석 — 제공된 로그 발췌 내용을 분석하여 공격 유형을 식별합니다. 작업 순서 배열 — 단계를 올바른 순서로 끌어 놓습니다(예: 사건 대응 단계). 연결 — 보안 개념을 정의 또는 사용 사례와 짝짓습니다. PBQ는 일반적으로 시험 초반에 출제됩니다.

각 도메인에는 시험 출제 기준과 응시자 보고서에 따라 더 자주 출제되는 주제가 있습니다. 도메인 1 — 암호 비교표, Symmetric와 Asymmetric의 사용 사례 비교, PKI 구성 요소; 도메인 2 — 악성 코드 유형별 동작, 피싱 변형(spear/whaling/vishing), CVSS 점수 산정, MITRE ATT&CK; 도메인 3 — 네트워크 분할(DMZ, VLAN), 클라우드 공동 책임, IDS와 IPS와 방화벽 비교; 도메인 4 — 사고 대응 수명 주기의 단계와 각 활동, SIEM/EDR의 역할, 디지털 포렌식 휘발성 순서, 접근 제어 모델(RBAC/MAC/DAC); 도메인 5 — 위험 계산(SLE, ARO, ALE), GDPR의 핵심 요구 사항, BCP와 DRP의 구분.

Security+는 약어를 매우 자주 출제하는 것으로 유명하므로 다음 항목으로 암기 카드 묶음을 만드십시오. 인증 프로토콜(RADIUS, TACACS+, SAML, OAuth, OIDC), 암호 알고리즘(RSA, ECC, AES, SHA-256, HMAC), 네트워크 프로토콜의 보안 대체 기술(Telnet/SSH, FTP/SFTP, HTTP/HTTPS, LDAP/LDAPS), 공격 유형(DoS, MITM, ARP 스푸핑, XSS, CSRF), 규정 준수 관련 약어(NIST, GDPR, HIPAA, PCI-DSS, SOC 2)입니다. 시험에서는 약어를 풀어 쓰지 않고 사용하므로, 이를 확실히 익히는 것이 필수입니다.

시험은 Pearson VUE 센터 또는 온라인 감독 방식으로 진행됩니다. 비용은 약 404 USD입니다. 일반적인 학습 계획은 4~8주 동안 40~60시간을 투자하는 것으로, 학습 안내서, 모의 시험, 동영상 강좌, 실습형 실험을 활용합니다. CompTIA는 보안 분야에 중점을 둔 IT 경력 2년 이상을 권장합니다.

이번 레슨에서 다룬 CompTIA Security+(SY0-701) 개념을 얼마나 이해했는지 확인해 보십시오.

이번 레슨에서는 다음을 배웠습니다. SY0-701은 다섯 개의 도메인으로 구성되며, 도메인 4(보안 운영, 28%)와 도메인 2(위협, 22%)의 비중이 가장 높아 시험의 50%를 차지합니다. 실무 기반 문제는 시험 초반에 출제되며 방화벽 구성, 로그 분석, 네트워크 다이어그램 해석과 같은 실무 능력을 평가합니다. 또한 시험은 SY0-601에서 변경되어 클라우드 보안, 제로 트러스트, OT/ICS, 데이터 개인정보 보호를 더욱 강조합니다. 다음으로는 실무 기반 문제를 효과적으로 해결하는 전략을 살펴보겠습니다.