주정통: 주요정보통신기반시설 취약점 분석·평가

01주정통은 무엇을 줄여 부른 말인가

• 주정통의 의미주정통은 실무·학습 문맥에서 주로 「주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」와 이를 적용하는 점검 업무를 가리킨다.

  • 도구 이름이나 모든 기업에 똑같이 적용되는 인증서 이름은 아니다.
  • 주요정보통신기반시설 보호 제도, 분석·평가 의무, 실제 점검에 참고하는 상세가이드를 구분해야 한다.
• 적용 대상정보통신기반 보호법 제9조는 관리기관의 장이 소관 주요정보통신기반시설의 취약점을 정기적으로 분석·평가하도록 정한다.

  • 대상은 지정된 주요정보통신기반시설이라는 조건이 중요하다.
  • 시설 지정과 해당 관리기관의 범위를 먼저 확인한다.
• 정기 분석·평가2026년 10월 12일 확인한 현행 시행령은 최초 분석·평가 후 매년 실시하는 구조를 둔다.

  • 새로운 침해 형태나 주요 변경에 따라 추가 분석·평가가 요구될 수도 있다.
  • 의무와 수행 조건은 적용 시점의 법령·고시, 시설 지정 범위와 최신 기준을 함께 확인한다.

02취약점 분석·평가 수행 단계

1. 범위와 기준 확정지정 시설과 대상 자산, 적용 판본·항목, 담당자와 허용 진단 방식을 정한다.
2. 현재 상태 수집항목에 필요한 설정·권한·로그를 조회하고 자산·시각·수집 조건과 함께 보관한다.
3. 기준에 따른 판정관찰값을 양호·취약 기준과 비교한다. 해당 없음, 수집 실패, 수동 검토는 근거와 함께 구분한다.
4. 조치 계획 수립업무 영향, 우선순위, 담당자·기한, 변경 순서와 복구 방법을 정한다.
5. 조치와 재점검승인된 변경을 적용한 후 같은 조건으로 재점검하고 서비스 정상 동작도 확인한다.
6. 결과와 잔여 위험 보고판정·증적·조치 결과를 연결한다. 남은 위험과 예외 승인, 검토 기한을 추적한다.

03법령·고시·상세가이드·조직 기준을 구분하기

• 기준의 역할법령은 적용 대상과 의무의 근거이고, 고시·평가 기준은 그 수행 기준을 구체화하며, 상세가이드는 항목의 취지와 점검·조치 방법을 설명한다.

  • 조직은 자신의 자산·서비스·업무 영향에 맞춰 점검 범위와 추가 통제를 정한다.
  • 서로 관련이 있지만 문서 하나의 권고와 모든 법적 의무를 같은 의미로 취급하지 않는다.
• 준수와 책임준수 여부만으로 사고 책임이나 면책을 자동 결정할 수 없고, 관련 의무·실제 조치·사고 경위 등이 따로 문제된다.

  • 보고서는 무엇을 확인하고 어떤 조치를 했는지의 근거이며 면책을 보장하는 증서가 아니다.
• 기술·관리·물리 영역KISA는 기술적 상세가이드와 관리·물리적 분석·평가 안내서를 별도로 공개한다.

  • 명령어로 확인하는 설정만 점검 범위의 전부라고 보지 않는다.
  • 문서별 발행·게시일, 적용 판본과 조직에서 채택한 기준을 기록하여 항목 번호가 바뀌어도 근거를 추적할 수 있게 한다.

04대상 자산과 점검 범위

• 자산 범위대상 자산을 서버 OS, 웹 서비스, DBMS, 네트워크·보안 장비, 가상화·클라우드, PC·제어시스템 등 실제 환경에 맞게 분류한다.

  • 점검 범위와 제외 사유를 기록하고 각 자산에 적용되는 기준을 연결한다.
  • 분류와 세부 항목은 적용 판본·조직 범위에 따라 확인한다.
• 대상표의 필수 정보점검 대상표에는 자산 ID, 서비스와 담당자, OS·제품·버전, 네트워크 위치, 운영 중요도, 진단 방식과 허가 범위를 둔다.

  • 같은 Linux라도 PAM 구성, OpenSSH 버전, 컨테이너인지 호스트인지에 따라 수집 위치와 해석이 달라진다.
  • 웹 애플리케이션의 논리 취약점과 OS 설정 점검을 하나의 명령으로 대체하지 않는다.
• 공유 책임과 특수 환경가상화·클라우드에서는 고객과 공급자의 책임 범위를 나눠야 한다.

  • 접근할 수 없는 하이퍼바이저 설정을 양호로 표시하지 않고 계약·공급자 증적 또는 별도 검토 대상이라고 남긴다.
  • 제어시스템은 서비스 중단 영향과 허용 시험 방식이 특히 중요하여 일반 서버 스캔을 그대로 적용하지 않는다.

05한 점검 항목을 읽는 순서

• 항목의 목적과 조건항목명과 코드만 외우기보다 목적→위협→적용 조건→양호/취약 기준→수집 방법→조치 영향의 순서로 읽는다.

  • 어떤 설정을 보는지뿐 아니라 왜 그 설정이 위험을 줄이는지 설명할 수 있어야 다른 제품·버전에서도 기준의 의도를 유지할 수 있다.
• 유효 설정 확인예를 들어 관리자 원격 접속을 제한하는 항목은 특정 파일이 존재하는지보다 어떤 서비스에서 어떤 관리자 인증 경로가 실제 허용되는지가 핵심이다.

  • /etc/securetty 존재만으로 SSH root 접속 제한을 증명하거나, sshd_config의 주석 한 줄만 보고 유효 설정을 확정하지 않는다.
  • Include·Match 조건과 실제 sshd 동작을 고려한다.
• 관찰값과 판정자동 수집 결과는 관찰값이다.

  • 이를 판정으로 바꾸려면 선택한 기준의 조건과 예외를 적용해야 한다.
  • 권한 부족으로 못 읽은 값, 실행 실패, 해당 기능 미사용을 모두 “취약”이나 모두 “양호”로 묶으면 집계의 의미가 사라진다.

07점검은 관찰, 조치는 별도 변경 작업

• 점검과 조치의 분리점검 자동화의 목적은 현재 상태를 조회하고 기준에 따른 결과를 정리하는 것이다.

  • 같은 실행 흐름에서 취약점을 발견하자마자 암호 정책을 바꾸거나 서비스를 재시작하면 진단 전 상태를 잃고 업무 중단을 만들 수 있다.
  • 수집·평가와 조치 실행을 별도 단계로 분리한다.
• 조회 부하와 결과 보호읽기 전용 명령도 전체 디스크 탐색, 긴 DB 질의, 반복 원격 접속으로 부하를 줄 수 있다.

  • 대상 경로와 실행 시간, 병렬 수, 타임아웃을 제한하고 접근 계정의 권한을 확인한다.
  • 진단 결과 파일에는 민감한 설정과 내부 자산 정보가 포함될 수 있어 저장·전송·열람 범위를 정한다.
• 변경안과 예외조치안에는 변경 위치, 사전 조건, 예상 영향, 적용 순서, 되돌릴 방법과 검증 방법을 함께 적는다.

  • 위험을 당장 제거할 수 없는 경우 대체 통제·잔여 위험·승인자·만료일을 기록한다.
  • 예외 승인과 기준 충족은 같은 상태가 아니다.

09결과 보고서와 이행 점검

• 발견 사항의 기록발견 사항은 자산·기준 판본·항목 ID·관찰 시각·판정·근거·영향·조치 권고를 한 묶음으로 관리한다.

  • 캡처는 근거의 일부이며 잘린 출력, 다른 장비 화면, 변경 전후가 섞인 자료는 판정의 재현성을 떨어뜨린다.
  • 원문 출력과 요약 설명을 연결하고 비밀은 필요한 범위에서 마스킹한다.
• 이행 점검조치 담당자가 완료했다고 알리는 것과 이행 점검에서 위험이 해소되었음을 확인하는 것은 다르다.

  • 설정 적용 후 동일 조건의 재점검 결과와 서비스 정상 동작을 함께 확인한다.
  • 일괄 보안 점수만 올리는 것보다 남은 취약점의 노출·영향·담당자·기한을 관리하는 편이 실제 업무 판단에 유용하다.
• 설명 가능한 수행 범위점검 수행 역량은 가이드 항목과 실제 기술 설정을 연결하고, 근거를 바탕으로 판정 이유와 조치안을 설명하는 능력이다.

  • 실제 지정 시설을 진단한 경력이 확인되지 않았는데 이를 수행 경력으로 쓰지 않는다.
  • 격리 실습·자동화 설계·보고서 작성이라는 검증 가능한 범위를 제시한다.