아랍에미리트 모의해킹

UAE 규제 지도 요약

UAE는 연방·토후국·산업별 규칙을 층층이 쌓습니다. 대부분의 조직이 둘 이상의 대상이며, 유용한 통찰은 잘 범위를 잡은 한 번의 테스트로 여러 규제를 동시에 충족할 수 있다는 점입니다. 단 우연이 아니라 의도적으로 그렇게 설계했을 때에 한합니다.

NESA / UAE Information Assurance Standards

연방 기준선으로, 정부기관과 에너지·수자원·교통·통신·금융서비스·의료에서 중요 정보 인프라로 지정된 조직에 적용됩니다. 기술적 취약점 관리는 평가와 모의해킹의 수행 및 추적을 요구하며 실무상 연 1회입니다. 간과되기 쉬운 요건이 둘 있습니다. 중대·높음 발견사항에는 정해진 기한(통상 90일) 내 조치 기록과 재테스트 증적이 필요하다는 점, 그리고 감사인이 수행자의 자격을 확인하며 OSCP 또는 동등 자격이 명시적 기대라는 점입니다. NESA 페이지에서 상세히 다룹니다(영문).

Dubai ISR(DESC)

Dubai Electronic Security Centre의 Information Security Regulation은 두바이 정부기관과 이들에 공급하는 사업자를 구속합니다. NESA를 대체하는 것이 아니라 병행 적용되므로, 두바이 정부와 일하는 조직은 양쪽 증적을 요구받는 경우가 잦습니다. 테스트 요건이 실질적으로 유사하므로 양쪽을 염두에 두고 범위를 잡으면 증적 묶음은 한 번으로 끝납니다.

금융서비스: CBUAE, DFSA, ADGM

UAE 중앙은행은 온쇼어 은행과 금융회사에 대한 기대를 정하고, DFSA는 DIFC 기업을, FSRA는 ADGM 기업을 규제합니다. 세 기관 모두 정기적인 독립 보안 테스트를 기대하며, 세 기관 모두 모의해킹으로 제시된 취약점 스캔을 곱게 보지 않습니다. 상세는 여기(영문).

VARA: 가상자산

두바이의 가상자산 규제기관은 인가받은 모든 사업자에게 Technology and Information Rulebook에 따른 최소 연 1회의 독립 모의해킹을 요구하며, 필요하고 상당하다고 판단하는 경우 인텔리전스 기반 테스트도 요구합니다. 해당 규칙서는 HSM 기반 키 관리, 콜드 스토리지 최저 비율, 심각도별 24~72시간 사고 보고 요건과 함께 존재합니다.

의료: ADHICS

아부다비 의료정보 보안 표준은 해당 토후국의 의료기관과 기술 공급업체에 적용되며, 임상 데이터 통제와 함께 테스트 및 증적 요건을 둡니다. 더 보기(영문).

데이터 보호

연방 PDPL과 DIFC·ADGM의 별도 데이터 보호법은 개인정보를 처리하는 모든 곳에 보안 의무를 부과합니다. 모의해킹을 명시하지는 않지만 기준은 '적절한 기술적 조치'이며, 사고 후 이를 입증하는 일은 최근의 독립 테스트가 있을 때 훨씬 수월합니다.

한 번의 테스트, 여러 의무

UAE에서 비용이 많이 드는 실수는 규제기관마다 별도 평가를 구매하는 것입니다. 대부분의 경우 기술적 범위가 거의 완전히 겹칩니다. 외부 공격면, 웹 애플리케이션과 API, 내부 네트워크와 Active Directory, 클라우드 테넌트. 달라지는 것은 매핑과 보고 형식이지 테스트가 아닙니다.

따라서 과제는 적용되는 모든 것에 대해 한 번만 범위를 잡고, 보고서는 각 발견사항을 해당하는 모든 통제항목에 연결합니다. 실무적 범위는 다음과 같습니다.

• 외부 네트워크 — 인터넷에서 도달 가능한 모든 것. 아무도 공개한 기억이 없는 호스트를 포함합니다.
• 웹 애플리케이션과 API — 인증, 인가, 비즈니스 로직, 인젝션. 어느 규제기관이든 반드시 묻는 고객 대면 계층입니다.
• 내부 네트워크 — 발판이 어디까지 닿는지, 세그먼테이션이 실제로 버티는지.
• Active Directory — ADCS 악용, Kerberoasting, 위임, Domain Admin으로 가는 ACL 경로.
• 클라우드 — Entra ID와 Azure RBAC의 권한 상승, 노출된 스토리지, ID 설정 오류.

VARA 대상 가상자산 사업자라면 수탁 경계를 더하십시오. 지갑 인프라, 서명 워크플로, 키 자료를 둘러싼 운영 통제입니다. 손실이 발생하는 곳은 웹 프런트엔드가 아니라 여기입니다.

자격 요건, 구체적으로

대부분의 컴플라이언스 설명은 이 부분을 지나치지만 UAE에서는 이례적으로 구체적입니다. NESA 감사인은 누가 테스트를 수행했는지 확인하며 OSCP 또는 동등 자격이 기대됩니다. 공인된 공격 보안 자격이 없는 사람이 수행한 테스트는 감사에서 의문이 제기되고 때로 반려됩니다.

저는 OSCP+(해당 자격의 현행 갱신 형태)와 함께 공격 측에서 eCPPT, eWPT, eCIR을, Microsoft 보안 측에서 AZ-500, SC-200, SC-300을 보유하고 있습니다. 덕분에 Entra ID와 Azure 부분이 일반론이 아니라 실증적인 내용이 됩니다. 모두 OffSec 자격 지갑에서 독립적으로 검증할 수 있으며, 이 링크는 보고서와 함께 증적 묶음에 들어가야 합니다.

과제 진행 방식

먼저 범위와 견적입니다. 의무, 환경, 기한을 알려주시면 확정 가격과 착수일을 회신하며 보통 1~2주 이내입니다. 수행 규칙은 서면으로 합의하며 테스트 시간대, 에스컬레이션 연락처, 증적의 처리·보관 위치에 관한 규제기관의 제약도 포함합니다.

테스트는 범위에 따라 보통 1~2주이며, 중대한 사항은 최종 문서까지 미루지 않고 발견 즉시 통보합니다. 보고서는 며칠 내로 제출하며 요약, 재현 절차와 CVSS 점수를 담은 기술적 발견사항, 통제항목 매핑, 우선순위가 매겨진 조치 방안을 포함합니다. 이후 수정한 부분의 재테스트와 확인서를 드립니다. UAE에서는 생각보다 중요합니다. 90일 내 재테스트 증적 자체가 요건이지 부가 서비스가 아니기 때문입니다.

암만에서 원격으로 일하며 두바이보다 한 시간 늦고, 이 지역과 같은 주간 리듬으로 아랍어 또는 영어로 소통합니다. 현지 사무소는 없고 있다고 주장하지도 않습니다. 대신 실제로 작업하는 사람과 직접, 검증 가능한 자격과 함께 일하게 됩니다.

여기서 시작하십시오

어느 규제기관에 대해 책임을 지는지와 범위에 무엇이 들어가는지 알려주십시오. 확실치 않더라도 이렇게 규제가 겹치는 환경에서는 지극히 정상이며 짧은 통화로 정리됩니다. 컴플라이언스 개요가 규제들을 나란히 비교하고, 무료 경계 스캔이 현재 외부 노출을 몇 분 만에 보여주며, 샘플 보고서가 받게 될 결과물을 그대로 보여줍니다.

문의해 주십시오. 아랍어 문의도 환영하며, 제출 기한이 일정을 좌우한다면 첫 줄에 적어 주십시오.