사우디아라비아 모의해킹
사우디에서 모의해킹의 대부분은 규제기관이 요구하기 때문에 발주됩니다. NCA의 Essential Cybersecurity Controls, 중요 시스템 통제항목, SAMA 프레임워크는 각각 고유한 주기를 부과하며, 모두 감사인이 읽을 수 있는 증적을 기대합니다. 이 작업이 무엇을 포함하고 어떻게 수행하는지 설명합니다.
사우디 규제기관이 실제로 요구하는 것
사우디에서는 세 가지 별개 규제가 모의해킹을 의무화하며, 어느 것이 적용되는지에 따라 범위·주기·보관해야 할 증적이 달라집니다.
NCA Essential Cybersecurity Controls(ECC)
National Cybersecurity Authority의 ECC는 국가 기준선으로, 정부기관과 그 수급업체, 중요 국가 인프라 운영자를 구속합니다. 통제항목 2-11이 모의해킹을 다룹니다(페이지는 영문). 요건은 정의·문서화·승인되어야 하고 이행되어야 하며, 범위는 인터넷에 노출된 서비스와 그 뒤의 기술 인프라를 포함해야 합니다. 테스트는 주기적이며, 감사인이 찾는 증적은 완전한 사이클입니다. 범위 문서, 보고서, 조치, 재테스트. 날짜가 찍힌 PDF 한 장이 아닙니다.
Critical Systems Cybersecurity Controls(CSCC)
시스템 중 하나라도 중요로 분류되면 CSCC가 기준을 높입니다. 해당 시스템은 연 1회가 아니라 최소 6개월마다 테스트해야 합니다. 예산과 구매 주기가 보통 연 1회 테스트를 전제로 짜이기 때문에 여기서 당황하는 조직이 많습니다. 분류를 먼저 하십시오. 6개월 주기는 과제의 상업적 형태를 완전히 바꿉니다.
SAMA Cyber Security Framework
사우디 중앙은행 감독 대상 금융기관(은행, 보험사, 금융회사, 결제사업자)은 최소 연 1회 독립적인 외부 모의해킹(페이지는 영문)을 수행할 것으로 기대되며, 대상은 인터넷 노출 시스템, 웹 애플리케이션, 네트워크 인프라입니다. 실효적 요건은 독립성입니다. 시스템을 구축하거나 운영하는 팀의 테스트는 이를 충족하지 못하며, 모의해킹으로 제출된 취약점 스캔도 마찬가지입니다.
병행 적용되는 것들
SDAIA의 개인정보보호법은 개인정보를 처리하는 곳에 자체 보안 의무를 부과하고, Cloud Cybersecurity Controls는 워크로드가 클라우드 사업자에 있을 때 적용되며, 대기업은 자체 공급업체 보안 기준을 부과하는 사례가 늘고 있습니다. 사우디 공급업체가 가장 먼저 마주치는 예가 Aramco의 제3자 요건입니다. 카드 결제를 취급한다면 이 모두에 더해 PCI DSS 요구사항 11.4가 적용되며, 이는 PCI DSS 페이지에서 다룹니다.
테스트가 실제로 다루는 범위
실무상 통제항목 2-11과 SAMA를 충족하는 범위를 통상적인 순서로 정리하면 다음과 같습니다.
- 외부 네트워크 테스트 — 조직이 인터넷에 노출한 모든 것. VPN 집선 장비, 메일, 원격 접속, 잊힌 스테이징 호스트, 아무도 공개한 기억이 없는 서비스. 2-11의 범위에 명시되어 있으며 실제 침해 다수가 여기서 시작됩니다.
- 웹·API 테스트 — 고객 대면 애플리케이션과 그 뒤의 API에 대한 인증, 인가, 비즈니스 로직, 인젝션. SAMA 범위에 명시되어 있습니다.
- 내부 네트워크 테스트 — 이미 발판을 확보한 자가 어디까지 도달하는가. 버티지 못하는 세그먼테이션, 평평한 네트워크, 있어서는 안 될 곳의 자격증명.
- Active Directory — ADCS 인증서 템플릿 악용, Kerberoasting, 위임 문제, Domain Admin으로 가는 ACL 경로. 사우디 대기업은 거의 예외 없이 AD 위에서 돌아가며, 외부의 작은 발판이 전면 침해로 바뀌는 지점이 여기입니다.
- 클라우드 — Entra ID와 Azure RBAC의 권한 상승 경로, 노출된 스토리지, 클라우드 테넌트를 장벽이 아니라 지름길로 만드는 ID 설정 오류.
제공물
두 독자를 동시에 염두에 두고 쓴 보고서입니다. 이사회나 규제기관이 통역 없이 따라갈 수 있는 요약과, 엔지니어가 바로 작업할 수 있는 재현 절차·증거·CVSS 점수를 담은 기술 본문. 각 발견사항은 테스트를 필요하게 만든 통제항목에 연결되어 있어, 감사인이 의무에서 증적까지 따라갈 수 있고 귀사가 이 매핑을 직접 만들 필요가 없습니다.
조치 지원은 별도 판매가 아니라 포함되어 있어 수정 중의 질문에도 답하며, 종결한 발견사항의 재테스트와 테스트 수행 사실·수행자·범위·일자를 적은 확인서도 포함됩니다. 경험상 감사인에게 가거나 증명을 요구하는 대기업 고객에게 전달되는 문서는 이 확인서입니다. 착수 전에 형식을 보고 싶으시면 샘플 보고서(영문)가 있습니다.
독립 컨설턴트와 일하는 이유
테스트를 수행하는 본인과 직접 이야기합니다. 질문을 전달하는 영업 담당도, 청구서에는 시니어 이름이지만 실제로는 주니어가 스캐너를 돌리는 일도, 테스트 종료와 보고서 도착 사이 3주의 공백도 없습니다. ECC나 SAMA 기한이 걸린 상황에서 이 직접성은 보통 기한을 지키느냐 설명하느냐를 가릅니다.
걸프 지역과의 실무적 적합성은 분명히 말씀드립니다. 저는 암만에서 GMT+3로 일하며 리야드·제다·담맘과 같은 근무 시간, 같은 주를 씁니다. 테스트 중 생긴 질문은 당일에 답합니다. 아랍어와 영어 모두 가능합니다. OSCP+와 함께 eCPPT, eWPT, eCIR, AZ-500, SC-200, SC-300을 보유하고 있으며 모두 OffSec 자격 지갑에서 독립적으로 검증할 수 있습니다. 감사인이 수행자와 보유 자격을 묻는 일이 늘고 있어 여기서는 중요한 사항입니다.
하지 않을 일도 분명히 하겠습니다. 현지 업체인 척하지 않습니다. 리야드에 사무소는 없고 있다고 주장하지 않습니다. 제가 제공하는 것은 같은 시간대와 언어로 직접 계약하는 전문가이며, 자격은 30초면 확인됩니다.
시작 방법
충족해야 할 통제항목(2-11, CSCC 6개월 주기, SAMA 연례 테스트)과 범위, 기한을 알려주십시오. 탐색 절차가 아니라 확정 가격 견적과 착수일을 회신합니다. 먼저 구체적인 것을 보고 싶으시면 무료 경계 스캔이 현재 외부 노출 상태를 보여주고, 컴플라이언스 개요가 다른 규제들을 비교합니다.
어떤 규제가 적용되는지 확실치 않다면 그것도 흔한 질문이며 짧은 통화로 정리됩니다. 문의해 주십시오. 아랍어 문의도 환영합니다.
사우디아라비아: 자주 묻는 질문
예. Essential Cybersecurity Controls의 통제항목 2-11이 모의해킹을 직접 다루며 세 부분으로 구성됩니다. 요건이 정의·문서화되어야 하고, 승인되어야 하며, 이행되어야 합니다. 범위는 최소한 인터넷에 노출된 서비스와 그 뒤의 기술 인프라를 포함해야 합니다. 테스트는 주기적으로 요구됩니다. Critical Systems Cybersecurity Controls 대상이기도 하다면 중요 시스템은 연 1회가 아니라 최소 6개월마다 테스트해야 합니다.
사우디 중앙은행 감독 대상 기관은 최소 연 1회 독립적인 외부 모의해킹을 수행할 것으로 기대되며, 대상은 인터넷 노출 시스템, 웹 애플리케이션, 네트워크 인프라입니다. 가장 무게가 실린 단어는 독립적입니다. 시스템을 구축했거나 운영하는 팀이 수행한 테스트는 요건을 충족하지 못합니다. 은행, 보험사, 금융회사, 결제사업자에게는 일회성이 아니라 매년 반복되는 의무입니다.
외부 테스트, 웹 애플리케이션, 클라우드, 내부 테스트 대부분은 필요 없습니다. 작업은 원격으로 이루어지며 이 지역 평가의 절대다수가 이렇게 제공됩니다. 내부 네트워크와 Active Directory 테스트는 귀사가 통제하는 VPN이나 소규모 점프 호스트를 통해 수행하고, 정책상 필요하면 귀사 환경 내부의 장비에서 작업합니다. 증적의 보관·처리 위치를 제한하는 데이터 소재 요건이 있다면 범위 협의 때 알려주십시오. 수행 규칙에 서면으로 반영합니다.
바로 그 목적으로 작성합니다. 각 보고서에는 경영진용 요약, 재현 절차와 CVSS 점수를 담은 기술 본문, 테스트를 요구한 통제항목과의 매핑, 그리고 엔지니어가 추가 통화 없이 착수할 수 있도록 쓰인 조치 섹션이 들어갑니다. 수정된 발견사항의 재테스트와, 테스트 수행 사실·수행자·대상 범위를 확인하는 확인서도 포함됩니다. 실무적으로 감사인이나 고객이 실제로 보관하는 문서는 이 확인서입니다.
기본은 영어이며, 규제기관과 사우디 구매부서 대부분이 영어로 업무를 봅니다. 아랍어는 요청 시 가능하고, 과제 진행 중의 일상적 소통은 전부 아랍어로도 가능합니다. 저는 암만에서 GMT+3로 일하며 리야드와 같은 근무 주·같은 시간대입니다. 테스트 중 나온 질문은 다음 날이 아니라 당일에 답합니다.
NCA 또는 SAMA 기한이 있습니까?
충족해야 할 통제항목과 범위를 알려주시면 확정 가격과 일정을 회신합니다.