컴플라이언스 기반 모의해킹
모의해킹의 대부분은 규제가 요구하기 때문에 발주됩니다. 범위와 주기를 정하는 것은 규제이고, 가장 과소평가되는 부분은 그 이후에 제시할 수 있어야 하는 증적입니다. 이 페이지는 제가 대응하는 규제들을 비교해, 실제로 귀사에 적용되는 것이 무엇인지 판단할 수 있도록 정리했습니다.
규제 비교
아래 규제들은 모두 독립적인 보안 테스트를 의무화하거나 사실상 요구합니다. 중요한 차이는 누구를 구속하는지, 주기가 어떻게 되는지, 그리고 이후에 무엇을 입증해야 하는지입니다.
사우디아라비아
- NCA Essential Cybersecurity Controls(영문) — 정부기관, 그 수급업체, 중요 인프라에 적용되는 국가 기준선. 통제항목 2-11이 모의해킹을 다룹니다. 정의·문서화·승인·이행이 요구되며, 범위는 최소한 인터넷에 노출된 서비스와 그 뒤의 기술 인프라를 포함해야 합니다. 주기적으로 수행합니다.
- NCA Critical Systems Cybersecurity Controls — 시스템이 중요로 분류되면 주기가 최소 6개월마다로 올라갑니다. 예산 전제를 무너뜨리는 것은 대개 이 주기 변화입니다.
- SAMA Cyber Security Framework(영문) — 사우디 중앙은행 감독 하의 은행, 보험사, 금융회사, 결제사업자. 최소 연 1회 독립적인 외부 테스트로, 인터넷 노출 시스템·웹 애플리케이션·네트워크 인프라를 대상으로 합니다.
아랍에미리트
- NESA / UAE Information Assurance Standards(영문) — 연방기관 및 중요로 지정된 정보 인프라. 취약점 평가와 모의해킹을 수행하고 추적해야 하며 실무상 연 1회입니다. 중대·높음 발견사항에는 정해진 기한 내 조치 기록과 재테스트 증적이 필요합니다. 감사인은 수행자의 자격을 확인합니다.
- Dubai ISR(DESC) — 두바이 정부기관과 그 공급업체. NESA와 병행 적용되며, 한 건의 과제로 양쪽 증적이 될 수 있습니다.
- CBUAE, DFSA, ADGM(영문) — 온쇼어 은행·금융회사, DIFC 소재 기업, ADGM 소재 기업. 세 경우 모두 정기적인 독립 테스트가 기대됩니다.
- VARA — 두바이 가상자산 서비스 제공자. Technology and Information Rulebook에 따라 최소 연 1회 독립적인 모의해킹, VARA가 상당하다고 판단하면 인텔리전스 기반 테스트도 요구됩니다.
- ADHICS(영문) — 아부다비 의료기관과 그 기술 공급업체.
국제 기준
- PCI DSS — 카드 소지자 데이터를 저장·처리·전송하는 모든 곳. 요구사항 11.4는 최소 연 1회 및 중대 변경 후의 내부·외부 모의해킹을 의무화하고, 범위 축소를 위해 세그먼테이션을 쓰는 경우 그 검증도 요구합니다.
- SOC 2 — 명시적 의무는 아니지만, 대부분의 감사인이 CC4.1과 CC7.1에 대해 기대하는 증적이 모의해킹이며, 대기업 고객이 보고서에 포함하도록 요구하는 사례가 늘고 있습니다.
- ISO 27001 — 부속서 A의 기술적 취약점 관리. 통제가 작동함을 보이는 실무적 방법이 테스트입니다.
감사인이 실제로 요구하는 것
보고서는 필요하지만 충분하지 않습니다. 완전한 증적 묶음은 네 가지 문서로 구성되며, 대부분의 조직은 두 번째만 들고 옵니다.
- 범위 문서 — 무엇을 테스트했고 무엇을 제외했으며 왜 그 범위가 통제항목에 부합했는지. 통제항목이 겨냥하는 시스템을 제외한 테스트는 아무리 잘해도 통과하지 못합니다.
- 보고서 — 발견사항, 심각도, 재현 절차, 해당 통제항목 매핑.
- 조치 기록 — 무엇을 언제 수정했고, 무엇을 어떤 이유로 리스크 수용했는지. 리스크 수용은 허용되지만 결정을 기록하지 않는 것은 허용되지 않습니다.
- 재테스트 증적 — 중대·높음 발견사항이 실제로 종결되었다는 확인을 규제가 정한 기한 내에. NESA의 90일 기대치가 가장 많이 걸려 넘어지는 지점입니다. 11개월째에 테스트하면 주기 종료 전에 재테스트할 여지가 남지 않습니다.
누가·어떤 범위로·언제 수행했는지 적은 확인서가 묶음을 완성하며, 보통 이것이 보관되거나 고객에게 전달됩니다. 이곳의 모든 과제에는 확인서가 포함됩니다.
잘못 읽히는 요건: 독립성
이들 규제 여럿이 독립적이라는 단어를 쓰며, 의미는 분명합니다. 테스트 대상 시스템을 구축했거나 운영하는 사람이 테스트를 수행해서는 안 됩니다. 자사 인프라를 테스트하는 내부 보안팀은 일부 규제를 충족하고 일부는 충족하지 못하며, 애플리케이션을 작성한 팀이 이를 테스트하는 경우는 어느 것도 충족하지 못합니다.
이 시장에 외부 컨설턴트가 존재하는 이유의 상당 부분이 여기에 있으며, 내부 역량으로 충분하다고 가정하기 전에 귀사의 구체적 의무와 대조해 볼 가치가 있습니다. 여기서 틀리면 비용이 큽니다. 범위 설계 단계가 아니라 감사 단계에서 드러나기 때문입니다.
컴플라이언스 과제의 범위 설계 방식
첫 대화는 기술이 아니라 의무에 관한 것입니다. 어떤 규제인지, 어떤 통제항목인지, 기한은 언제인지, 지난 테스트 이후 실질적 변경이 있었는지. 여기서 보통 한 번의 통화로, 한 건의 과제가 적용되는 모든 것을 커버하는지, 감사를 견디는 증적을 만들려면 범위에 무엇이 들어가야 하는지 말씀드릴 수 있습니다.
제공 내용은 다음과 같습니다. 착수 전 확정 가격, 대화하신 본인이 직접 수행하는 테스트, 중대한 발견사항의 즉시 통보(최종 문서에서의 돌발 통보가 아니라), 경영진과 엔지니어 양쪽을 위해 쓰인 보고서, 조치 기간 중 지원, 재테스트, 그리고 확인서. 형식을 먼저 보고 싶으시면 샘플 보고서(영문)가 있고, 금액 규모는 가격 페이지를 참고하십시오.
지역별
걸프 지역이라면 지역 페이지에서 적용 규제와 상호 관계를 더 깊이 다룹니다. 사우디아라비아 모의해킹과 UAE 모의해킹입니다. 그 외에는 서비스 페이지가 테스트 자체를 설명하며, 문의가 명확한 답을 얻는 가장 빠른 길입니다.
컴플라이언스 테스트 관련 질문
대개 가능하며 따로 진행하는 것보다 훨씬 저렴합니다. 기술적 범위는 크게 겹칩니다. 외부 공격면, 웹 애플리케이션과 API, 내부 네트워크, Active Directory, 클라우드. 달라지는 것은 통제항목 매핑과 보고 형식이지 테스트 자체가 아닙니다. 조건은 하나, 처음부터 그렇게 범위를 설계하는 것입니다. PCI만 염두에 두고 범위를 잡은 테스트는 기반 작업이 거의 같더라도 NESA가 요구하는 증적을 만들지 못합니다. 범위 협의 때 적용되는 모든 규제를 알려주시면 보고서가 각 발견사항을 규제별로 연결합니다.
충분하지 않으며, 증적이 반려되는 가장 흔한 이유입니다. 스캔은 알려진 시그니처를 알려진 버전과 대조해 목록을 내놓지만, 모의해킹은 발견사항을 연결해 공격자가 실제로 무엇을 달성할 수 있는지 보여줍니다. 규제들은 이 점을 점점 더 명시적으로 쓰고 있고, 감사인도 모의해킹 표지를 씌운 스캔 보고서를 잘 구별합니다. 구별 신호는 모든 발견사항이 CVE이고 어느 것도 서로 연결되지 않는다는 점입니다. 차이 상세 설명(영문).
네 가지이며, 대부분의 조직은 두 번째만 보관합니다. 무엇을 테스트했고 왜 그 범위가 적절했는지 보여주는 범위 문서. 발견사항, 심각도, 재현 절차를 담은 보고서 자체. 중대·높음 발견사항에 대한 조치 기록. 그리고 수정이 유효했음을 확인하는 재테스트 증적을, 해당 규제가 정한 기한 안에. 90일이 일반적입니다. 누가, 어떤 범위로, 언제 수행했는지 명시한 확인서가 이 모두를 묶어 주며, 보통 서류철에 남는 것은 바로 이 한 장입니다.
연 1회가 일반적인 기준선입니다. SAMA, NESA, VARA, PCI DSS 모두 여기로 수렴합니다. 이 주기를 단축시키는 요인은 둘입니다. 사우디 CSCC에서 중요 시스템으로 분류되는 경우로 최소 6개월마다 테스트가 필요해지는 것, 그리고 중대한 변경입니다. 거의 모든 규제가 환경에 실질적 변경이 있으면 직전 연례 테스트 시점과 무관하게 재테스트를 요구하므로, 대규모 이전이나 인터넷에 노출된 신규 애플리케이션은 사실상 계산을 초기화합니다.
대개 가능하며 원인도 예측 가능합니다. 통제항목이 요구하는 바에 비해 범위가 너무 좁았거나, 시스템을 구축한 팀이 수행해 독립성이 없었거나, 재테스트 증적이 만들어지지 않았거나, 스캔을 모의해킹으로 제출한 경우입니다. 네 가지 모두 교정 가능하며 해법은 보통 프로그램이 아니라 올바르게 범위를 잡은 한 건의 과제입니다. 감사인의 지적사항과 이전 보고서를 보내주시면, 비용을 쓰기 전에 어느 경우인지 알려드리겠습니다.
어떤 규제가 적용되는지 모르시겠습니까?
짧은 통화로 대개 정리됩니다. 한 번의 테스트로 전부 커버 가능한지도 확인됩니다.