SAMA 모의침투 테스트 요구사항
사우디 중앙은행의 감독을 받는다면 모의침투 테스트는 프로젝트가 아니라 매년 반복되는 의무입니다. 프레임워크는 증적이 검토를 통과할지를 좌우하는 두 가지에 대해 명확합니다. 테스트는 독립적이어야 하고, 범위는 고객이 접하는 시스템까지 닿아야 합니다.
요구사항을 분명히 말하면
사우디 중앙은행의 감독을 받는 기관은 외부에 면한 시스템, 웹 애플리케이션, 네트워크 인프라를 포괄하는 범위로 최소 연 1회 독립 외부 모의침투 테스트를 수행할 것이 기대됩니다.
이 문장에서 세 단어가 무게를 지며, 각각은 증적이 검토에서 흔히 무너지는 지점입니다.
- 독립 — 테스트 대상 시스템을 구축하거나 운영하는 팀이 수행한 것이 아닐 것.
- 최소 연 1회 — 연간 주기는 하한선이며, 인터넷 노출 시스템의 중대한 변경은 별도의 유발 요인입니다.
- 모의침투 테스트 — 표지만 바꾼 취약점 스캔이 아닙니다. 심사원들은 이 둘을 구별하는 데 능숙해졌습니다.
SAMA 증적이 실제로 무너지는 지점
지적되는 내용의 대부분은 네 가지 실패 유형으로 설명되며, 네 가지 모두 시정보다 예방이 저렴합니다.
스캔을 모의침투 테스트로 제출
징후는 구조적입니다. 모든 발견사항이 벤더 제공 설명이 붙은 CVE이고, 아무것도 연결되어 있지 않으며, 공격자가 무엇을 달성할 수 있는지 설명하는 서술이 없습니다. 모의침투 테스트는 영향을 입증합니다. 이 노출된 서비스에서 자격증명이 나오고, 그 자격증명으로 이 내부 시스템에 도달하며, 거기에 이 데이터가 있다는 식입니다. 보고서가 정렬된 버전 목록이라면 그것은 스캔입니다. 차이에 대한 전체 설명.
성립하지 않는 독립성
엔지니어링 팀이 수행한 테스트, 인프라 운영도 담당하는 관리형 서비스 사업자가 수행한 테스트, 또는 자사 제품을 평가하는 벤더의 테스트. 테스트 자체가 아무리 훌륭했더라도 이들은 모두 독립성 요구사항을 충족하지 못합니다.
고객 대면 계층을 빠뜨린 범위
모바일 뱅킹 백엔드, 파트너 API, 범위 확정 이후 출시된 신규 핀테크 연동 등입니다. 인터넷 노출 시스템과 웹 애플리케이션은 프레임워크에 명시되어 있으므로 여기서의 공백은 판단의 문제가 아니라 직접적인 누락입니다.
재테스트 없음
높음 등급 발견사항 12건이 있고 그중 하나라도 해소되었다는 증적이 없는 보고서는, 검토자의 관점에서는 미해결 문제를 기록한 문서일 뿐입니다. 조치와 재테스트 주기가 테스트를 준수 증적으로 바꿉니다.
수행 범위
규제 기준선, 매년:
- 외부 네트워크 테스트 — 인터넷 노출 자산 전체: 인터넷 뱅킹, 지급 인터페이스, VPN 및 원격 접속, 메일 인프라, 그리고 어떤 프로젝트를 위해 공개된 뒤 철회되지 않은 호스트들.
- 웹 애플리케이션 및 API 테스트 — 인증과 세션 처리, 고객 간 인가 및 접근 통제, 거래 흐름의 업무 로직, 인젝션, 그리고 모바일 앱 배후의 API. 금융기관에서는 업무 로직 관련 발견사항이 가장 중요한 경우가 많고, 자동화가 결코 찾지 못하는 종류입니다.
이와 함께 권장되며 대부분의 기관이 연간 또는 격년 주기로 포함하는 항목:
- 내부 네트워크 테스트 — 거점이 실제로 어디까지 닿는지, 그리고 사내 환경과 지급 환경 간 세그먼테이션이 버티는지.
- Active Directory — ADCS 악용, Kerberoasting, 위임, Domain Admin으로 이어지는 ACL 경로. 작은 거점이 은행 전체의 침해로 바뀌는 경로가 이것이며, 외부 테스트로는 보이지 않습니다.
- 클라우드 — 워크로드가 이전한 곳에서의 Entra ID 및 Azure RBAC 권한 상승, 노출된 스토리지, 잘못 구성된 아이덴티티.
- 침해 가정 평가 — 경계가 아니라 거점에서 시작하는 방식으로, 이사회가 실제로 던지는 질문에 답합니다. 침입자는 어디까지 갈 수 있는가?
카드 데이터도 취급한다면 PCI DSS 요구사항 11.4가 병행 적용되며 상당 부분 중첩됩니다. 함께 범위를 설정하면 두 건이 아니라 한 건의 수행입니다.
산출물
금융기관이 실제로 사용하는 방식에 맞춰 구성한 보고서입니다. 이사회와 감독당국이 번역 없이 읽을 수 있는 경영진 요약, 엔지니어를 위한 재현 절차·증적·CVSS 평가를 갖춘 기술 본문, 그리고 각 발견사항이 관련된 프레임워크 통제항목에 대한 명시적 매핑을 포함하여 준법 조직이 그 매핑을 직접 만들지 않아도 되도록 합니다.
이어서 보고서를 증적으로 바꾸는 요소들이 있습니다. 수정 작업 중의 조치 지원, 해소된 발견사항에 대한 재테스트, 그리고 테스트가 수행되었다는 사실과 수행자, 대상 범위, 수행 일자를 명시한 수행확인서입니다. 모두 포함입니다. 샘플 보고서에서 형식을 확인하실 수 있습니다.
수행자
테스트 수행자와 직접 소통하십니다. 영업 담당자를 거치지 않고, 청구서상 선임의 이름으로 실제로는 주니어가 도구를 돌리는 일도 없으며, 테스트와 보고서 사이에 3주를 기다리는 일도 없습니다. 규제 기한이 있을 때 그 직접성이 대개 일정을 지키게 해 줍니다.
보유 자격(금융권 구매 절차에서는 항상 묻기 때문에 기재합니다): OSCP+, eCPPT, eWPT, eCIR, 그리고 Microsoft 및 Azure 영역의 AZ-500, SC-200, SC-300. 모두 OffSec credential wallet을 통해 검증 가능합니다. 공격 업무에 전념하기 전에는 탐지 엔지니어이자 CTI 분석가로 일했으며, 이 경력은 특히 이 업권에서 유용합니다. 보고서는 공격 경로가 어떻게 작동하는지뿐 아니라, 그것이 귀사의 SIEM에서 어떻게 보였을지, 모니터링이 그것을 잡아냈을지까지 알려줍니다.
암만에서 GMT+3로 원격 근무하며, 리야드와 동일한 시간대와 주간 일정, 아랍어 또는 영어로 대응합니다.
시작하기
라이선스 유형, 범위에 포함할 대상, 그리고 테스트를 언제까지 완료해야 하는지 알려주십시오. 확정 견적과 착수일을 회신드립니다. 연간 주기가 다가오고 있고 현재의 외부 노출을 먼저 확인하고 싶으시면 무료 경계 스캔이 몇 분이면 끝납니다.
관련: SAMA와 NCA ECC의 관계는 사우디아라비아의 모의침투 테스트, 정부 관련 의무도 함께 지고 있다면 ECC 통제항목 2-11, 그 밖의 사항은 준수 개요를 참고하십시오. 문의하기 — 아랍어도 환영합니다.
SAMA 관련 질문
사우디 중앙은행의 감독을 받는 회원 기관입니다. 은행, 보험·재보험사, 금융회사, 신용정보기관, 그리고 SAMA 라이선스 또는 규제 샌드박스에서 운영되는 핀테크를 포함한 지급결제 서비스 사업자가 해당됩니다. 라이선스가 SAMA에서 나왔다면 프레임워크가 적용됩니다. 핀테크 기업들은 이 점에 자주 놀라는데, 의무가 라이선스와 함께 도래하며 그 시점은 보안 체계가 아직 형성 중인 경우가 많기 때문입니다.
독립 외부 모의침투 테스트를 최소 연 1회입니다. 이 문장에서 '최소'는 실질적인 역할을 합니다. 인터넷 노출 시스템에 중대한 변경이 있으면 연간 주기의 어느 시점이든 일반적으로 테스트가 요구되며, 연간 테스트 6개월 후에 신규 고객 대면 플랫폼을 출시하고도 테스트하지 않은 기관은 곤란한 설명을 하게 됩니다. 연간 테스트는 하한선으로, 중대한 변경은 별도의 유발 요인으로 보십시오.
테스트 대상 시스템을 구축하거나 운영하는 사람이 테스트를 수행할 수 없다는 뜻입니다. 엔지니어링과 별도로 보고하는 내부 보안 조직은 이에 가까워지지만, 가장 명확하고 널리 받아들여지는 답은 환경의 구축이나 운영에 전혀 관여하지 않은 외부 주체입니다. 기관들이 가장 자주 어기는 요구사항이 이것이며, 범위 설정 단계가 아니라 검토 단계에서 알게 됩니다. 비용이 많이 드는 순서입니다.
명시된 범위는 인터넷 노출 시스템, 웹 애플리케이션, 네트워크 인프라입니다. 대부분의 기관은 그보다 더 나아가며 그럴 만한 이유가 있습니다. 공격자가 경계에 도달할 수 있음은 입증하지만 그다음에 무슨 일이 일어나는지는 한 번도 묻지 않는 테스트는 질문의 절반에만 답합니다. 잘 작동하는 방식은 규제 기준선으로 외부 및 웹 애플리케이션 전면 평가를 매년 수행하고, 내부 네트워크와 Active Directory 테스트를 최소 격년으로 또는 자산 구성이 크게 바뀔 때마다 포함하는 것입니다.
예, 오히려 일반적인 경우입니다. 보통 프레임워크 매핑, GRC 조직, 내부감사와의 관계는 이미 갖추어져 있고, 필요한 것은 거기에 맞물릴 테스트와 증적입니다. 충족해야 할 통제항목에 맞추어 범위를 설정하고, 보고서에서 발견사항을 그 통제항목에 매핑하며, 준법 조직이 제출할 재테스트와 수행확인서를 전달합니다. 저는 GRC 컨설팅이 아니며 프레임워크 도입 프로그램을 판매하려 하지 않습니다. 테스트가 제가 맡는 영역입니다.
연간 SAMA 테스트 시기가 다가왔습니까?
독립적으로, 프레임워크에 맞춘 범위로. 준법 조직이 제출할 재테스트와 수행확인서를 포함합니다.