UAE 금융 및 가상자산을 위한 모의침투 테스트
네 곳의 규제기관, 네 종류의 인가, 그리고 반복되는 하나의 요구사항 — 독립적인 보안 테스트와 그 증적입니다. VARA 적용을 받는 가상자산 기업에게 이 요구사항은 명시적이며 연 1회이고, 중요한 범위는 웹 애플리케이션을 훌쩍 넘어 수탁 경계까지 닿습니다.
네 규제기관, 하나의 근본 요구사항
UAE의 금융 서비스는 온쇼어와 두 개의 자유구역으로 나뉘며, 여기에 가상자산 전담 규제기관이 더해집니다. 어디가 인가를 내주느냐에 따라 의무의 문언은 달라지지만 실질은 한 곳으로 수렴합니다. 정기적으로 수행되는 독립적 보안 테스트와, 제시할 수 있는 증적입니다.
VARA — 두바이 가상자산
넷 중 가장 명시적입니다. Technology and Information Rulebook에 따라 인가받은 모든 VASP는 최소 연 1회의 독립적인 모의침투 테스트를 받아야 하며, VARA가 필요하고 비례적이라고 판단하는 경우 인텔리전스 기반 테스트를 추가로 요구할 수 있습니다. 이 규정집은 사이버보안 거버넌스, 하드웨어 보안 모듈 기반의 다중서명 키 관리, 콜드 스토리지 최소 비율, 심각도별 24~72시간 사고 보고 기한도 다룹니다.
CBUAE — 온쇼어 은행 및 금융회사
중앙은행은 온쇼어 인가 기관에 대한 보안 기대 수준을 설정하며, 인터넷 노출 시스템과 고객 대면 애플리케이션에 대한 정기적 독립 테스트는 일회성이 아니라 상시적 기대 사항입니다. 카드 데이터가 범위에 포함되는 경우 PCI DSS 요구사항 11.4가 병행 적용되며 크게 중첩됩니다. 함께 범위를 설정하면 한 건의 수행입니다.
DFSA(DIFC)와 FSRA(ADGM)
두 자유구역 규제기관 모두 기업의 위험 프로파일에 비례하는 독립 보안 테스트를 기대하며, 기업들이 채택하고 설명 가능하다고 보는 주기는 연 1회입니다. 어느 쪽도 VARA처럼 단일한 보편 주기를 공표하지 않으므로, 실무상 주기를 정당화할 부담은 기업 측에 있습니다. 그리고 성립하는 설명은 '연 1회, 그리고 중대한 변경 후'입니다.
그 아래의 NESA
금융 서비스는 핵심 정보 인프라로 지정되어 있으므로 NESA의 Information Assurance Standards가 업권 규제와 나란히 적용되는 경우가 많으며, 치명적·높음 등급 발견사항에 대한 90일 재테스트 기대와 테스터 자격 심사도 포함됩니다. 처음부터 양쪽에 맞추어 범위를 설정하십시오. 나중에 보완하면 대개 두 번 테스트하게 됩니다.
VASP의 경우: 프런트엔드가 아니라 수탁 경계를 범위로
이 부분은 분명히 말할 가치가 있습니다. 거래 인터페이스에 대한 통상적인 웹 애플리케이션 테스트는 인증과 인가 문제를 찾아내지만, 실제 손실 시나리오는 전혀 검증하지 않은 채 남깁니다. 거래소가 크로스사이트 스크립팅 때문에 자산을 잃는 일은 보통 없습니다.
가상자산 기업에게 중요한 질문은 다음과 같습니다.
- 서명 흐름 — 누가 그리고 무엇이 이체를 승인할 수 있는지, 승인이 절차가 아니라 기술적으로 어떻게 강제되는지, 그리고 침해된 단일 관리자 또는 서비스 계정이 가치를 옮길 수 있는지.
- 핫·콜드 분리 — 그 경계가 실제로 강제되는지 아니면 문서상으로만 그러한지, 그리고 무엇이 그것을 넘나드는지.
- 키 자료 취급 — HSM 기반 서명이 어떻게 호출되는지, 무엇이 호출할 수 있는지, 그리고 호출하는 시스템에 대한 접근이 키에 대한 접근과 동등해지지는 않는지.
- 승인 우회 — 부분 접근 권한을 가진 자가 무엇을 달성할 수 있는지. 운영 계정, 침해된 개발자 워크스테이션, 자금 시스템의 특권 조회 권한 등입니다.
- 운영 프로세스 — 출금과 주소 허용 목록을 둘러싼 사람의 절차. 이 업권에서 사회공학이 안착하는 지점이 여기입니다.
이는 코드만큼이나 설계와 프로세스의 문제이며, 바로 그 때문에 스캐너가 아니라 테스터가 필요합니다. 기반 플랫폼에는 여전히 표준적인 대응이 필요하지만(웹과 API, 외부 및 내부 네트워크, 클라우드), 범위를 집중해야 할 곳은 수탁 경계입니다.
인텔리전스 기반 테스트, 논의가 나온다면
인텔리전스 기반 테스트(TIBER-EU와 CBEST를 포함하는 계열)는 귀사 같은 기업을 노리는 것이 누구인지에 관한 실제 위협 인텔리전스에서 출발해, 그 특정 공격자를 운영 환경에 대해 보통 방어 팀에 알리지 않고 모사합니다. 취약점만큼이나 탐지와 대응을 측정하며, 표준 테스트보다 길고 비쌉니다.
VARA는 비례적이라고 판단하는 경우 이를 요구할 수 있으며, 이는 대체로 기업 규모와 수탁 자산 규모를 따라갑니다. 신규 인가를 받은 대부분의 VASP는 연간 독립 테스트로 시작하며, 상당한 수탁 규모를 보유한 기업은 이 질문이 올 것을 계획에 반영해야 합니다. 순서에 관한 솔직한 조언은, 먼저 표준 모의침투 테스트를 하라는 것입니다. 통상적인 평가를 한 번도 받지 않은 환경에 대한 인텔리전스 기반 테스트는, 더 저렴한 수행으로 찾아냈을 발견사항으로 가득한 값비싼 보고서를 낳습니다.
제공 내용
착수 전에 합의하는 확정 가격. 테스트 시간대와 에스컬레이션 연락처를 포함한 서면 수행 규칙 — 운영 중인 수탁 인프라 인근에서 테스트하는 이상 합의된 중단 경로가 필요하므로, 대부분의 업권보다 여기서 더 중요합니다. 치명적 발견사항은 발견 즉시 알려드립니다.
보고서에는 이사회와 감독당국을 위한 경영진 요약, 재현 절차와 CVSS 평가를 갖춘 기술 본문, 그리고 테스트를 요구한 규정집 또는 통제항목에 대한 매핑이 담깁니다. 이어서 조치 지원, 해소하신 항목의 재테스트, 그리고 테스터·범위·일자를 명시한 수행확인서를 드립니다. 이는 보통 감독당국이나 귀사를 실사하는 기관 투자자에게 제출하는 서류입니다. 형식은 샘플 보고서에서 확인하실 수 있습니다.
수행자
테스트 수행자와 직접 일하십니다. 보유 자격(금융권 및 VASP 구매 절차에서는 항상 묻습니다): OSCP+, eCPPT, eWPT, eCIR, 그리고 AZ-500, SC-200, SC-300. 모두 OffSec credential wallet을 통해 검증 가능합니다. 공격 업무로 옮기기 전의 탐지 엔지니어링 경력은 여기서 직접적으로 유효합니다. 보고서는 공격 경로가 어떻게 작동하는지뿐 아니라, 그것이 귀사 모니터링에서 어떻게 보였을지, 무엇이라도 그것을 잡아냈을지까지 다룹니다. 탐지·대응 역량을 묻는 감독당국에게는 그 구분이 곧 답입니다.
암만에서 원격으로, 두바이보다 한 시간 늦고, 동일한 주간 일정으로 아랍어 또는 영어로 대응합니다.
다음 단계
보유하신 인가, 플랫폼의 구성, 그리고 수탁 인프라가 범위에 포함되는지 알려주십시오. 확정 견적과 착수일을 회신드립니다. 막 인가를 받으셨고 첫 테스트가 실제로 무엇을 포괄해야 하는지 검토 중이시라면 짧고 유익한 논의가 될 것입니다. 문의해 주십시오.
관련: UAE의 모의침투 테스트, NESA 요구사항, 준수 개요.
UAE 금융 관련 질문
VARA의 Technology and Information Rulebook에 따라, 두바이에서 인가를 받은 모든 가상자산 서비스 제공자는 최소 연 1회 독립적인 모의침투 테스트를 받아야 하며, VARA가 필요하고 비례적이라고 판단하는 경우 인텔리전스 기반 테스트를 추가로 요구할 수 있습니다. 이 규정집은 사이버보안 프로그램 거버넌스, HSM 기반 다중서명 키 관리, 콜드 스토리지 최소 비율, 심각도에 따른 24~72시간 내 사고 보고 요구사항과 나란히 놓여 있습니다. 테스트 의무가 규정집 전부는 아니지만, 외부 주체가 필요한 부분입니다.
인텔리전스 기반 테스트(TIBER-EU와 CBEST의 바탕이 되는 모델)는 귀사 같은 기업을 실제로 노리는 것이 누구인지에 관한 실제 위협 인텔리전스에서 출발해, 그 특정 공격자를 운영 환경에 대해, 보통 방어 팀이 모르는 상태에서 모사합니다. 표준 모의침투 테스트보다 기간이 길고 비용이 높으며 드러나는 것이 많습니다. VARA는 비례적이라고 판단하는 경우 이를 요구할 수 있으며, 실무상 기업 규모와 수탁 자산 규모를 따라갑니다. 신규 인가를 받은 대부분의 VASP는 연간 독립 테스트로 시작하며, 상당한 수탁 규모를 보유한 기업은 언젠가 이 질문이 올 것으로 보아야 합니다.
DIFC의 DFSA와 ADGM의 FSRA 모두 VARA처럼 단일한 보편적 주기를 공표하기보다, 기업의 위험 프로파일에 비례하는 정기적 독립 보안 테스트를 기대합니다. 기업들이 채택하고 설명 가능하다고 보는 수준은 연 1회이며, 중대한 변경 후에는 추가 테스트를 합니다. 두 자유구역 모두 실무상의 기대 수준은 온쇼어와 같습니다. 독립적인 테스트, 문서화된 조치, 그리고 요구 시 제시할 수 있는 증적입니다.
거의 확실히 해당되며, 대부분의 창업자가 예상하는 것보다 이릅니다. 의무는 규모가 아니라 인가와 함께 도래하므로, 샌드박스에 있거나 막 인가를 받은 기업은 보안 체계가 가장 미성숙한 시점에 이를 지게 됩니다. 유용한 관점은, 플랫폼이 작을 때의 첫 테스트가 더 저렴하고 훨씬 덜 고통스럽다는 것입니다. 그리고 그때의 발견사항은 패치로 우회하는 대신 아키텍처로 고칠 수 있는 것들입니다.
가능하며, VASP에게는 바로 그곳에 범위를 집중해야 합니다. 거래 프런트엔드에 대한 웹 애플리케이션 테스트는 실제 손실 시나리오를 검증하지 않은 채 남깁니다. 답할 가치가 있는 질문은 서명 흐름, 핫·콜드 인프라의 분리, 누가 그리고 무엇이 이체를 승인할 수 있는지, 부분 접근 권한을 가진 자가 승인을 어떻게 우회할 수 있는지, 그리고 키 자료를 둘러싼 운영 프로세스가 침해된 관리자를 견디는지입니다. 이는 코드만큼이나 설계와 프로세스의 문제이며, 그래서 스캐너가 아니라 사람이 필요합니다.
VARA, DFSA, ADGM 또는 CBUAE 인가를 보유하고 계십니까?
규정집에 맞춘 독립 테스트 — 프런트엔드만이 아니라 수탁 경계까지.