2026-10-07 수정 KISA가 2025년 12월 24일 공개한 2026년판 상세가이드 원문을 기준으로 다시 썼습니다. 이전 판의 '개편 예정·전망' 서술과 원문에 없는 항목 표는 지웠습니다.
주요정보통신기반시설 취약점 분석·평가는 「정보통신기반 보호법」 제9조에 따라 관리기관이 소관 시설을 정기적으로 점검해야 하는 법정 제도다.
한국인터넷진흥원(KISA)은 2025년 12월 24일 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」를 공개했다. 관리·물리적 항목은 같은 날 별도 안내서로 나왔다.
이 글은 기술적 가이드 가운데 문의가 많은 Web Application(웹)과 클라우드 항목을 원문 그대로 정리하고, 운영기관·SI가 준비할 순서를 담았다.
한눈에 보기
- Q. 주요정보통신기반시설 취약점 분석·평가란 무엇인가요?
- A. 「정보통신기반 보호법」 제9조에 따라 주요정보통신기반시설 관리기관이 소관 시설의 취약점을 정기적으로 분석·평가하는 법정 점검입니다. KISA는 분야별 점검 방법과 판단 기준을 상세가이드로 제공합니다.
- Q. 2026년판 기술적 가이드는 어떻게 구성되나요?
- A. Unix 서버, Windows 서버, 웹 서비스, 보안 장비, 네트워크 장비, 제어시스템, PC, DBMS, 이동통신, Web Application(웹), 가상화 장비, 클라우드 12개 분야입니다. 관리·물리적 항목은 별도 안내서로 나뉘었습니다.
- Q. 웹 점검 항목은 몇 개인가요?
- A. Web Application(웹) 분야는 21개 항목이고 모두 중요도 '상'입니다. 코드 인젝션(SSTI·XXE 포함), SQL 인젝션, SSRF, CSRF, 악성 파일 업로드, 관리자 페이지 노출, 자동화 공격 등이 들어 있습니다. 웹 서버 설정은 '웹 서비스' 분야(WEB-01~WEB-26)에서 따로 봅니다.
- Q. 클라우드는 무엇을 점검하나요?
- A. 클라우드 분야는 CA-01~CA-19, 19개 항목입니다. 계정 관리(MFA 등), 권한 관리, 가상 리소스 관리(VPC 서브넷·접근 제어·스토리지 퍼블릭 접근), 운영 관리(암호화·로깅·백업·이상징후 알림)로 나뉩니다.
- Q. 우리 기관이 대상인지 어떻게 확인하나요?
- A. 관계 중앙행정기관이 주요정보통신기반시설로 지정한 시설의 관리기관이 대상입니다. 지정 여부는 소관 부처의 지정 통보로 확인하고, 수탁 운영을 맡은 SI는 계약 범위에 따라 점검 준비에 참여합니다.
Web Application(웹) 21개 항목
2026년판 원문의 항목과 코드다. 21개 모두 중요도 '상'이다.
| 항목 (코드) | 항목 (코드) | 항목 (코드) |
|---|---|---|
| 코드 인젝션 (CI) | SQL 인젝션 (SI) | 디렉터리 인덱싱 (DI) |
| 에러 페이지 적용 미흡 (EP) | 정보 누출 (IL) | 크로스사이트 스크립트 (XS) |
| 크로스사이트 요청 위조 (CF) | 서버사이드 요청 위조, SSRF (SF) | 약한 비밀번호 정책 (BF) |
| 불충분한 인증 절차 (IA) | 불충분한 권한 검증 (IN) | 취약한 비밀번호 복구 절차 (PR) |
| 프로세스 검증 누락 (PV) | 악성 파일 업로드 (FU) | 파일 다운로드 (FD) |
| 불충분한 세션 관리 (IS) | 데이터 평문 전송 (SN) | 쿠키 변조 (CC) |
| 관리자 페이지 노출 (AE) | 자동화 공격 (AU) | 불필요한 Method 악용 (WM) |
코드 인젝션 항목 하나에 LDAP·운영체제 명령 실행·SSI·XPath·XXE·SSTI 인젝션이 함께 들어 있다. 점검 대상은 웹 애플리케이션 소스코드와 웹 방화벽이고, 허용된 값만 처리하도록 입력값을 검증하면 양호, 검증 없이 명령이 실행되면 취약으로 본다.
클라우드 19개 항목 (CA-01~CA-19)
| 구분 | 항목 (코드 · 중요도) |
|---|---|
| 계정 관리 | 사용자 계정 관리 (CA-01 · 상), 사용자 정책 관리 (CA-02 · 중), MFA 설정 (CA-03 · 상), 클라우드 계정 비밀번호 정책 관리 (CA-04 · 중) |
| 권한 관리 | 인스턴스 서비스 정책 관리 (CA-05 · 상), 네트워크 서비스 정책 관리 (CA-06 · 상) |
| 가상 리소스 관리 | VPC 네트워크 서브넷 관리 (CA-07 · 상), 가상 네트워크 리소스 관리 (CA-08 · 중), 접근 제어 설정 관리 (CA-09 · 상), 스토리지 리소스 퍼블릭 접근 관리 (CA-10 · 중) |
| 운영 관리 | 관계형 데이터베이스 암호화 설정 (CA-11 · 중), 통신 구간 암호화 설정 (CA-12 · 중), 클라우드 서비스 사용자 계정 로깅 설정 (CA-13 · 상), 인스턴스 로깅 설정 (CA-14 · 중), 관계형 데이터베이스 로깅 설정 (CA-15 · 중), 오브젝트 스토리지 버킷 로깅 설정 (CA-16 · 중), 로그 보관 기간 설정 (CA-17 · 중), 백업 사용 여부 (CA-18 · 중), 가상 리소스 이상징후 알림 설정 (CA-19 · 중) |
ESXi 같은 가상화 장비는 클라우드와 별도로 '가상화 장비' 분야(HV-01~HV-25)에서 계정·시스템 서비스·가상 머신·가상 네트워크를 점검한다.
대상기관: 누가 해야 하는가
주요정보통신기반시설은 관계 중앙행정기관이 지정한다. 아래는 분야별 예시이고, 실제 대상 여부는 지정 통보로 확인한다.
| 분야 | 예시 |
|---|---|
| 통신 | 주요 통신사업자 |
| 금융 | 은행·증권·보험·카드 등 |
| 에너지 | 전력·가스·원자력 관련 기관 |
| 교통 | 항공·철도·항만 운영기관 |
| 방송 | 지상파·케이블·위성방송 사업자 |
| 의료 | 지정된 의료 관련 기관 |
| 공공 | 행정기관 정보시스템 등 |
SI가 기반시설 수탁 운영을 맡고 있다면 점검 준비·대응 범위에 같이 포함된다.
계약서에 보안 점검 책임 조항이 있는지 확인해야 한다.
준비 단계: 4단계 실무 흐름
Step 1. 점검 대상 자산 식별 (D-90 이전)
IP·도메인·API 엔드포인트·클라우드 계정·가상화 장비 목록을 작성한다. 외부에 노출된 자산부터 목록을 맞춘다.
Step 2. 사전 자가점검 (D-60 이전)
2026년판 항목(웹 21개·클라우드 19개 등)으로 내부 점검 시트를 만들고, 중요도 '상' 항목의 취약 판정부터 조치 일정을 잡는다.
Step 3. 수행기관 협의 (D-45 이전)
외부 기관에 분석·평가를 맡긴다면 일정을 미리 협의한다. 클라우드 사용 여부와 API 게이트웨이 구조를 먼저 공유하면 일정이 덜 밀린다.
Step 4. 조치 증적 정리 (D-30 이전)
조치 전후의 설정·로그·화면을 증적으로 남긴다. 재점검 때 조치 사실을 보여 주는 근거가 된다.
자가점검 체크리스트: 2026년판 웹·클라우드 항목 기준
Web Application(웹)
- ☐ 외부 입력이 SQL·운영체제 명령·템플릿(SSTI)·XML(XXE)로 실행되지 않는다 (CI·SI)
- ☐ 서버가 사용자가 넣은 URL로 내부 주소를 요청하지 않는다 (SF)
- ☐ 상태를 바꾸는 요청에 CSRF 방어가 있다 (CF)
- ☐ 업로드 파일의 확장자·실행 권한을 제한하고, 다운로드 경로 조작을 막는다 (FU·FD)
- ☐ 관리자 페이지가 외부에서 바로 열리지 않는다 (AE)
- ☐ 로그인·인증번호 요청에 횟수 제한 같은 자동화 공격 방어가 있다 (AU)
- ☐ 인증 정보·개인정보가 평문으로 오가지 않는다 (SN)
- ☐ 쓰지 않는 HTTP Method(PUT·DELETE 등)를 막았다 (WM)
클라우드
- ☐ 콘솔 사용자 계정 정리, MFA, 비밀번호 정책 (CA-01~CA-04)
- ☐ 인스턴스·네트워크 서비스 정책에 과잉 권한이 없다 (CA-05·CA-06)
- ☐ VPC 서브넷·접근 제어 설정, 스토리지 퍼블릭 접근 차단 (CA-07~CA-10)
- ☐ 데이터베이스·통신 구간 암호화 (CA-11·CA-12)
- ☐ 사용자 계정·인스턴스·DB·버킷 로깅과 로그 보관 기간 (CA-13~CA-17)
- ☐ 백업 사용, 이상징후 알림 설정 (CA-18·CA-19)
다음에 할 일
2026년판 원문은 KISA 누리집 가이드라인 게시판에서 받을 수 있다. 위 체크리스트로 웹·클라우드의 '상' 항목부터 확인하고, 점검 일정 전에 조치 증적을 모아 두자.
SENTRIX는 외부에서 보이는 웹 설정을 먼저 확인하는 무료 스캔과, 2026년판 항목 기준 갭 분석·사전 보완·증적 정리를 돕는 점검 대응 상담을 제공한다. 무료 스캔이 21개 항목 점검을 대신하지는 않는다.
- 점검 실무자: CodeScan 무료 스캔 (외부 노출 1차 확인)
- 정보보호책임자: 기반시설 점검·대응 상담 (2026년판 항목 갭 분석)
관련 글
- 공공기관 웹 취약점 점검, 2천만원 이하 소액수의계약으로 발주하는 법
- ISMS-P 인증 6개월 로드맵 (D-180 주차별 일정표)
- KISA 신속확인제: 공공 납품 보안 인증 절차
참고 자료
- KISA: 2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드 (2025-12-24)
- KISA 가이드라인 게시판 (관리·물리적 취약점 분석·평가 방법 안내서 포함)
- 국가법령정보센터: 정보통신기반 보호법