사우디아라비아 · NCA · ECC 및 CSCC

NCA ECC 모의침투 테스트: 통제항목 2-11

국가사이버보안청(NCA)의 Essential Cybersecurity Controls는 모의침투 테스트를 통제항목 2-11에 배치하며, 이 통제항목은 대부분의 예상보다 구체적입니다. 테스트를 수행했는지뿐 아니라 요구사항이 문서화되고 승인되고 구현되었는지, 그리고 NCA가 정한 범위를 포괄하는지까지 규율합니다.

통제항목 2-11이 실제로 규정하는 것

Essential Cybersecurity Controls는 모의침투 테스트를 영역 2 Cybersecurity Defence의 통제항목 2-11에 배치합니다. 그 목적은 모의 공격을 통해 조직의 방어 역량의 효과성을 평가하고, 침해로 이어질 수 있는 기술 인프라상의 약점을 찾는 것입니다.

이 통제항목은 세 가지 의무로 나뉘며, 조직들은 일상적으로 세 번째를 충족하면서 앞의 두 가지를 놓칩니다.

  • 모의침투 테스트에 관한 사이버보안 요구사항을 정의하고 문서화하고 승인할 것. 이는 그 자체로 독립적인 문서화 의무입니다. 테스트 범위를 어떻게 정하는지, 얼마나 자주 수행하는지, 누가 승인하는지를 담은 서면 승인 문서가 필요합니다.
  • 그 요구사항을 구현할 것. 문서화한 주기대로 테스트가 실제로 수행되어야 합니다.
  • 테스트 범위를 최소한 인터넷 노출 서비스와 그 배후의 기술 인프라를 포함하도록 설정할 것.

실무상의 결론은 이렇습니다. 매년 훌륭한 모의침투 테스트를 발주하면서도 테스트 요구사항을 한 번도 문서화하고 승인하지 않은 기관은 여전히 2-11을 충족하지 못합니다. 심사원은 보고서만큼이나 정책과 승인 이력을 들여다봅니다.

6개월의 함정: CSCC

시스템 중 어느 하나라도 핵심으로 분류되어 있다면 Critical Systems Cybersecurity Controls가 ECC 위에 적용되어 해당 시스템의 테스트 요구 수준이 최소 6개월마다로 올라갑니다.

이는 사우디 준수 프로그램에서 가장 흔한 예산·계획 실패입니다. 연 1회라는 전제가 구매 단계에서 고정되고, 분류 작업은 나중에 또는 다른 팀에서 이루어지며, 그 불일치는 두 번째 테스트를 할 시간이 남지 않은 심사 시점에 드러납니다. 먼저 분류를 수행하고 그 결과를 바탕으로 테스트 프로그램을 설계하십시오. 일부 시스템만 핵심이라면 핵심 부분집합에 대한 소규모 반기 수행과 전체 자산에 대한 완전한 연간 수행을 병행할 수 있는 경우가 많으며, 이는 전체 환경을 연 2회 테스트하는 것보다 상당히 저렴합니다.

심사를 통과하는 범위 설정

통제항목의 최소 범위는 인터넷 노출 서비스와 그 배후의 기술 인프라입니다. 이는 하한선입니다. 하한선에만 맞춘 범위는 심사원으로부터 당연한 질문을 불러옵니다. 노출 분석이 경계에서 멈춘다면, 경계에서의 거점이 어디로도 이어지지 않는다는 것을 어떻게 아느냐는 질문입니다.

논란 없이 받아들여지는 범위는 다음과 같습니다.

  • 외부 네트워크 — 수년 전 공개된 뒤 잊힌 호스트와 서비스를 포함한 인터넷 노출 자산 전체. 통제항목이 명시적으로 요구합니다.
  • 웹 애플리케이션과 API — 인증, 인가, 업무 로직, 인젝션. 실무상 인터넷 노출 서비스 배후의 기술 인프라 그 자체입니다.
  • 내부 네트워크 — 거점이 어디까지 닿는지, 그리고 세그먼테이션이 압박 속에서 버티는지.
  • Active Directory — ADCS 인증서 템플릿 악용, Kerberoasting, 위임, Domain Admin으로 이어지는 ACL 경로. 사우디의 정부 또는 기업 환경에서 경계의 거점이 전면적 침해로 바뀌는 지점은 거의 언제나 여기이며, 스캐너 기반 평가로는 결코 찾을 수 없는 부분입니다.
  • 클라우드 — 워크로드가 이전한 곳에서는 Cloud Cybersecurity Controls가 병행 적용되며 테넌트에도 동일한 처리가 필요합니다. Entra ID와 Azure RBAC의 권한 상승 경로, 노출된 스토리지, 잘못 구성된 아이덴티티 등입니다.

증적 패키지

네 가지 산출물이 있으며, 가장 자주 빠지는 것은 마지막입니다.

  • 승인된 테스트 요구사항 문서 — 2-11에서 테스트 그 자체가 아닌 부분입니다.
  • 무엇을 범위에 포함하고 무엇을 제외했는지, 그리고 그것이 왜 타당했는지를 보여주는 범위 문서.
  • 보고서: 발견사항, CVSS 평가, 재현 절차, 그리고 통제항목 2-11에 대한 명시적 매핑.
  • 조치 및 재테스트 증적 — 무엇을 언제 수정했고 재테스트로 확인했는지. 수용하기로 결정한 위험에는 기록된 결정과 사유가 필요합니다. 수용은 허용되지만 침묵은 허용되지 않습니다.

누가, 어떤 범위에 대해, 어떤 일자에 테스트했는지를 명시한 수행확인서가 패키지를 완성합니다. 본 서비스의 모든 수행 건에는 보고서, 재테스트, 수행확인서가 유료 옵션이 아닌 기본으로 포함됩니다. 실제 산출물은 심사에 대응 가능한 패키지이며, 보고서만으로는 그것이 되지 않기 때문입니다.

누가 테스트하는지가 중요한 이유

ECC는 UAE의 NESA처럼 자격을 규정하지는 않지만, 심사 자리에서 그리고 요구사항을 하위로 전가하는 공공 고객으로부터 반드시 질문이 나옵니다. 누가 수행했고 어떤 자격을 보유했는가입니다.

저는 OffSec 인증의 갱신판인 OSCP+를 보유하고 있으며, 함께 eCPPT, eWPT, eCIR, 그리고 업무의 Microsoft 및 Azure 영역을 위한 AZ-500, SC-200, SC-300을 보유하고 있습니다. 모두 OffSec credential wallet을 통해 독립적으로 검증되며, 이 링크는 보고서와 함께 증적 패키지에 포함되어야 합니다.

암만에서 GMT+3(리야드와 동일한 근무 시간대)로, 아랍어 또는 영어로 원격 수행합니다. 내부 및 Active Directory 테스트는 귀사 환경 내의 VPN 또는 점프 호스트를 통해 수행하며, 증적을 어디서 처리하고 보관할지에 관한 제약은 테스트 시작 전에 서면으로 수행 규칙에 반영합니다.

다음 단계

CSCC가 귀사의 시스템 중 어느 것에 적용되는지, 환경은 어떤 모습인지, 심사는 언제인지 알려주십시오. 확정 견적과 착수일을 받아보실 수 있습니다. 산출물을 먼저 보고 싶으시면 샘플 보고서가 있습니다. 현재의 외부 노출을 몇 분 만에 확인하고 싶으시면 무료 경계 스캔이 아무런 의무 없이 이를 수행합니다.

추가 정보: 사우디아라비아의 모의침투 테스트는 ECC, CSCC, SAMA가 어떻게 맞물리는지 다루고, SAMA 페이지는 금융권 요구사항을 다루며, 준수 개요는 모든 프레임워크를 비교합니다. 문의하기 — 아랍어도 환영합니다.

NCA ECC 관련 질문

모든 수준의 정부기관, 이들에게 서비스를 제공하는 기업, 그리고 국가 핵심 인프라 운영자입니다. 실무상 적용 범위는 문언보다 넓은데, 의무가 연쇄적으로 전이되기 때문입니다. 기관은 ECC에 부합하는 요구사항을 계약으로 공급업체에 전가하므로, NCA에 대한 직접적 의무가 없는 민간 기업도 공공 고객에 대해서는 매우 실질적인 의무를 지는 경우가 많습니다. 사우디 공공부문 고객이 모의침투 테스트 증적을 요구했다면 그 요청의 배경은 보통 이 통제항목입니다.

ECC 통제항목 2-11은 주기적 테스트를 요구하며, 대부분의 기관이 채택하고 성공적으로 설명해 온 주기는 연 1회입니다. 시스템 중 어느 하나라도 핵심으로 분류되어 있다면 Critical Systems Cybersecurity Controls가 적용되어 해당 시스템에 대한 요구 수준이 최소 6개월마다로 상향됩니다. 예산 편성 전에 분류를 하십시오. 구매 부서가 연간 예산 항목을 승인한 뒤에야 6개월 주기임을 알게 되는 것은 실제로 흔하고 충분히 피할 수 있는 문제입니다.

최소한 인터넷에 노출된 서비스와 그 배후의 기술 인프라입니다. 이 최소 기준은 목표가 아니라 하한선입니다. 기관이 대규모 내부 자산을 운영하는데도 범위가 경계에서 멈춰 있는 것을 본 심사원은 그 이유를 물을 것입니다. 심사를 여유 있게 통과하는 범위는 외부 공격면, 웹 애플리케이션과 API, 내부 네트워크, Active Directory, 그리고 워크로드가 있는 경우 클라우드 테넌트입니다.

분리는 중요합니다. 시스템을 구축하거나 운영하는 사람이 그것을 평가하는 사람이어서는 안 됩니다. 실무상 성숙한 내부 역량을 갖춘 기관도 연간 주기에는 외부 테스터를 투입합니다. 독립성은 주장하기보다 증적으로 보이는 편이 간단하기 때문입니다. 역량 있는 내부 팀이 있는 경우 잘 작동하는 분담은, 연중 상시 내부 테스트와 규제 주기를 위한 독립적 외부 수행의 조합입니다.

2024년 개정은 통제항목을 갱신·확장하면서도 모의침투 테스트를 동일한 본질적 형태로 2-11에 유지합니다. 즉 요구사항을 정의·문서화·승인하고, 이를 구현하며, 최소한 인터넷 노출 서비스와 기술 인프라를 포괄하도록 테스트 범위를 설정하는 것입니다. 이전 버전을 기준으로 준수 체계를 구축했다면 테스트 의무 자체는 새로운 것이 아니라 연속적인 것입니다. 다시 확인할 가치가 있는 것은 문서화된 범위와 승인 이력을 현행 조문에 비추어 보는 일이며, 차이의 대부분은 그곳에 있습니다.

심사 전에 ECC 2-11 증적이 필요하십니까?

통제항목에 맞춘 범위, 매핑이 포함된 보고서, 재테스트 및 수행확인서.

문의하기