NESA 모의침투 테스트 요구사항

표준이 요구하는 것

기술적 취약점 관리의 일환으로, UAE Information Assurance Standards는 취약점 평가와 모의침투 테스트가 수행되고 추적될 것을 요구합니다. 적용 대상 기관에서는 실무상 연간 테스트로 귀결되지만, 의무는 사건이 아니라 주기이며 심사되는 세 가지 요소는 다음과 같습니다.

• 테스트 — 기관에 적합한 범위에 대해 독립적으로 수행되었을 것.
• 조치 — 치명적 및 높음 등급 발견사항이 문서화되고 수정되었을 것. 대신 위험을 수용하는 경우 그 결정이 기록되었을 것.
• 재테스트 — 수정이 효과가 있었다는 증적이 정해진 기간(통상 90일) 이내에 확보되었을 것.

모의침투 테스트에서 NESA를 충족하지 못하는 기관은 거의 예외 없이 첫 번째 요소는 했고 나머지 둘은 하지 않았습니다.

구매 방식을 바꾸는 두 가지 요구사항

90일이라는 기한은 늦은 테스트를 허용하지 않는다

치명적 및 높음 등급 발견사항을 90일 이내에 조치하고 재테스트해야 한다면 일정상의 결과는 불가피합니다. 준수 연도의 마지막 달에 수행한 테스트는 무언가를 수정하고 그것을 입증할 여유를 남기지 않습니다. 보고서가 나올 무렵 남는 것은 한 분기가 아니라 몇 주입니다.

최소 한 분기의 여유를 두고 테스트하십시오. 환경이 크거나 마지막 테스트로부터 시간이 지났다면 그보다 더 길게 잡으십시오. 조치에 드는 공수는 보고서가 존재하기 전까지 알 수 없고, 예상보다 무거운 발견사항 목록이야말로 이 기한이 부하로 상정하는 바로 그 상황이기 때문입니다. 이 하나의 일정 판단이 어떤 기술적 문제보다 더 많은 NESA 불합격을 낳습니다.

심사원은 누가 테스트했는지를 본다

NESA 심사원은 모의침투 테스트 제공자의 자격을 검토하며, OSCP 또는 동등한 자격이 명시된 기대 수준입니다. 이는 이례적으로 구체적이며(대부분의 프레임워크는 '적절한 자격을 갖춘'이라고 말하고 거기서 멈춥니다), 직접적인 상업적 결과를 수반합니다. 인정받는 공격 자격이 없는 사람이 수행한 더 저렴한 테스트는 심사에서 거부될 수 있으며, 그 경우 비용과 조치 기한, 재테스트 기회를 모두 잃게 됩니다.

따라서 어떤 제공자든 계약 전에 물어야 할 질문은 단순합니다. 테스트는 누가 수행하는가, 어떤 자격을 보유하는가, 그리고 그것을 검증할 수 있는가. 본 건의 답은 자격의 현행 갱신판인 OSCP+이며, 함께 eCPPT, eWPT, eCIR, 그리고 Microsoft 보안 영역의 AZ-500, SC-200, SC-300입니다. 모두 OffSec credential wallet을 통해 독립적으로 검증 가능하며, 이 링크는 보고서와 함께 증적 패키지에 들어갑니다.

범위

NESA에 부합하는 수행이 포괄하는 범위:

• 외부 네트워크 — 공개된 뒤 잊힌 서비스를 포함한 인터넷 노출 자산 전체.
• 웹 애플리케이션과 API — 인증, 인가, 업무 로직, 인젝션, 그리고 모바일 앱 배후의 API.
• 내부 네트워크 — 거점이 어디까지 닿는지, 세그먼테이션이 버티는지.
• Active Directory — ADCS 인증서 템플릿 악용, Kerberoasting, 위임, Domain Admin으로 이어지는 ACL 경로. UAE 정부기관이나 공공설비 사업자에게는 작은 외부 거점이 전면적 침해로 바뀌는 지점이 바로 여기입니다.
• 클라우드 — Entra ID와 Azure RBAC 권한 상승, 노출된 스토리지, 잘못 구성된 아이덴티티.

특히 핵심 정보 인프라의 경우 의식적으로 범위에 넣을 가치가 있는 질문은 경계가 버티는지만이 아니라, 버티지 못했을 때 침입자가 어디까지 가는지입니다. 그것을 측정하는 것이 침해 가정 평가이며, 이사회나 감독당국이 실제로 알고 싶어 하는 바이기도 합니다.

NESA와 두바이 ISR을 함께

많은 조직이 둘 다를 집니다. 연방 차원의 NESA와, 두바이 정부기관이거나 그곳에 납품하기 때문에 적용되는 DESC의 Information Security Regulation입니다. 둘은 어느 한쪽이 다른 쪽을 대체하지 않고 병행하여 작동하며, 기술적 테스트 요구사항은 거의 완전히 중첩됩니다.

처음부터 의식적으로 양쪽에 맞추어 범위를 설정하면 한 번의 수행으로 양쪽 증적이 나옵니다. 테스트는 동일하고 매핑이 다릅니다. 한쪽만으로 범위를 설정하고 나중에 보완하면 대개 두 번 테스트하게 됩니다. 어떤 제도가 적용되는지를 범위 설정 단계에서 말씀해 주시는 데에는 비용이 들지 않으며, 첫 통화에서 알려주실 수 있는 가장 효과적인 정보입니다.

산출물

경영진과 심사원을 위한 요약, 재현 절차·증적·CVSS 평가를 갖춘 기술 본문, 그리고 각 발견사항의 해당 통제항목 매핑으로 준법 조직이 그 표를 직접 만들지 않아도 됩니다. 이어서 수정 작업 중의 조치 지원, 해소된 발견사항의 재테스트(이는 NESA 요구사항이며 추가 판매가 아닙니다), 그리고 누가, 어떤 범위로, 어떤 일자에 테스트했는지를 기록한 수행확인서를 드립니다.

치명적인 사항은 보고서까지 보류하지 않고 발견 즉시 알려드립니다. 결정 전에 형식을 보고 싶으시면 샘플 보고서가 있습니다.

실무 사항

작업은 원격으로 수행합니다. 외부·웹 애플리케이션·클라우드 테스트는 범위와 승인 외에 귀사에서 준비하실 것이 없습니다. 내부 및 Active Directory 테스트는 귀사 환경 내의 VPN 또는 점프 호스트를 통해 수행합니다. 감독당국이나 귀사 자체 정책이 증적의 처리·보관 장소를 제한하는 경우, 그 내용은 작업 시작 전에 서면으로 수행 규칙에 반영합니다.

저는 암만에 있으며 두바이보다 한 시간 늦고, 역내와 동일한 주간 일정으로 아랍어 또는 영어로 대응합니다. UAE에 사무소는 없으며 있다고 주장하지도 않습니다. 받으시는 것은 1분 안에 검증 가능한 자격을 갖춘, 테스트를 직접 수행하는 사람입니다.

다음 단계

연방 기관으로 적용 대상인지, CII로 적용 대상인지, 아니면 그중 하나와의 계약을 통해 적용되는지, 범위에 포함할 대상, 그리고 심사 시기를 알려주십시오. 확정 견적과 착수일을 회신드립니다. 90일 재테스트 기한을 고려할 때 먼저 확인할 유용한 질문은 여유가 얼마나 있는가입니다. 한 분기 미만이라면 진행 순서가 달라지므로 늦기보다 일찍 논의하는 편이 좋습니다.

관련: 제도들이 어떻게 맞물리는지는 UAE의 모의침투 테스트, 금융 서비스는 CBUAE, DFSA, ADGM, VARA, 그 밖의 사항은 준수 개요를 참고하십시오. 문의하기 — 아랍어도 환영합니다.