اختبار الاختراق وفق NCA ECC: الضابط 2-11

ماذا ينص عليه الضابط 2-11 فعلياً

تضع الضوابط الأساسية للأمن السيبراني اختبارَ الاختراق في المجال الثاني، تعزيز الأمن السيبراني، عند الضابط 2-11. والغرض منه تقييم فاعلية القدرات الدفاعية للمنشأة عبر محاكاة هجوم حقيقي، بهدف اكتشاف نقاط الضعف في البنية التحتية التقنية التي قد تؤدي إلى اختراق.

وينقسم الضابط إلى ثلاثة التزامات، والمنشآت تستوفي الثالث عادةً وتخفق في الأولَين:

• تحديد المتطلبات وتوثيقها واعتمادها لاختبار الاختراق. وهذا التزام توثيقي قائم بذاته - فأنتم بحاجة إلى بيان مكتوب ومعتمد لكيفية تحديد النطاق، وكم مرة يُجرى الاختبار، ومن يعتمده.
• تطبيق تلك المتطلبات. أي أن الاختبار يحدث فعلاً، وفق الدورة التي وثّقتموها.
• تحديد النطاق ليشمل، كحد أدنى، الخدمات المتاحة عبر الإنترنت والبنية التحتية التقنية خلفها.

والنتيجة العملية: جهة تُجري اختبار اختراق ممتازاً كل عام لكنها لم تكتب قط متطلبات الاختبار ولم تعتمدها تبقى غير ممتثلة للضابط 2-11. فالمدقق يقرأ بحثاً عن السياسة ومسار الاعتماد بقدر ما يقرأ التقرير.

فخ الستة أشهر: ضوابط الأنظمة الحساسة

إن كان أي من أنظمتكم مصنّفاً كنظام حساس، فإن ضوابط الأمن السيبراني للأنظمة الحساسة تسري فوق الضوابط الأساسية وترفع متطلب الاختبار لتلك الأنظمة إلى كل ستة أشهر على الأقل.

وهذا هو الإخفاق الأكثر شيوعاً في التخطيط والميزانية ضمن برامج الامتثال السعودية. يُثبَّت الافتراض السنوي في إجراءات الشراء، ثم تجري عملية التصنيف لاحقاً أو في فريق آخر، فيظهر التعارض عند التدقيق حين لا يتبقى وقت لإجراء اختبار ثانٍ. نفّذوا التصنيف أولاً، ثم حدّدوا برنامج الاختبار بناءً على نتيجته - وإن كانت بعض الأنظمة حساسة وأخرى لا، فيمكن غالباً تنفيذ ارتباط أصغر كل ستة أشهر على المجموعة الحساسة وارتباط سنوي كامل على البيئة كلها، وهو أقل تكلفة بكثير من اختبار البيئة بأكملها مرتين سنوياً.

تحديد نطاق يجتاز التدقيق

الحد الأدنى للنطاق في الضابط هو الخدمات المتاحة عبر الإنترنت إضافةً إلى البنية التحتية التقنية خلفها. وهذه أرضية. والنطاق المبني على الأرضية وحدها يستدعي سؤالاً بديهياً من المدقق: إذا كان تحليل تعرّضكم يتوقف عند المحيط، فكيف تعرفون أن موطئ قدم عند المحيط لا يؤدي إلى شيء أبعد؟

النطاق الذي يصمد دون جدال:

• الشبكة الخارجية - البيئة المتاحة عبر الإنترنت بالكامل، بما فيها الخدمات التي نُشرت قبل سنوات ونُسيت. ومطلوبة صراحةً بالضابط.
• تطبيقات الويب وواجهات API - المصادقة والتفويض ومنطق الأعمال والحقن. وهي عملياً البنية التحتية التقنية خلف الخدمة المتاحة عبر الإنترنت.
• الشبكة الداخلية - ما يصل إليه موطئ القدم، وهل يصمد العزل الشبكي تحت الضغط.
• Active Directory - استغلال قوالب الشهادات في ADCS، وKerberoasting، والتفويض، ومسارات ACL إلى Domain Admin. وفي بيئة حكومية أو مؤسسية سعودية، هنا تقريباً دائماً يتحول موطئ قدم خارجي صغير إلى اختراق كامل، وهذا ما لن يجده تقييم قائم على الفحص الآلي أبداً.
• السحابة - حيث انتقلت أحمال العمل، تسري ضوابط الأمن السيبراني للحوسبة السحابية بالتوازي وتحتاج البيئة للمعاملة نفسها: مسارات تصعيد الصلاحيات في Entra ID وAzure RBAC، والتخزين المكشوف، وأخطاء إعداد الهوية.

حزمة الأدلة

أربع وثائق، وأكثر ما يغيب منها هو الأخيرة:

• وثيقة متطلبات الاختبار المعتمدة - وهي الجزء من الضابط 2-11 الذي ليس هو الاختبار.
• وثيقة نطاق تبيّن ما شمله وما استُثني، ولماذا كان ذلك مناسباً.
• التقرير: النتائج وتصنيفات CVSS وخطوات إعادة الإنتاج، وربط صريح بالضابط 2-11.
• المعالجة ودليل إعادة الاختبار - ما أُصلح ومتى، مؤكَّداً بإعادة اختبار. والمخاطر التي اخترتم قبولها تحتاج قراراً موثّقاً وسبباً؛ فالقبول مسموح، أما الصمت فلا.

وخطاب إقرار يذكر من نفّذ الاختبار وعلى أي نطاق وفي أي تواريخ يُكمل الحزمة. وكل ارتباط هنا يتضمن التقرير وإعادة الاختبار وخطاب الإقرار كأمر قياسي لا كخدمات مدفوعة إضافية، لأن حزمة جاهزة للتدقيق هي المُخرَج الفعلي - والتقرير وحده ليس كذلك.

لماذا تهم هوية المختبِر

لا تنص ECC على شهادة بعينها كما تفعل NESA في الإمارات، لكن السؤال يُطرح عند التدقيق ومن العملاء الحكوميين الذين يمرّرون المتطلب إلى مورّديهم: من نفّذ هذا، وما الذي يحمله؟

أحمل OSCP+، الصيغة المجددة من شهادة OffSec، ومعها eCPPT وeWPT وeCIR، وAZ-500 وSC-200 وSC-300 للجزء الخاص بـ Microsoft وAzure. وجميعها قابلة للتحقق بشكل مستقل عبر محفظة شهادات OffSec، وهذا الرابط ينتمي إلى حزمة أدلتكم بجوار التقرير.

أعمل من عمّان على توقيت GMT+3 - ساعات عمل مطابقة للرياض - بالعربية أو الإنجليزية، عن بُعد. ويتم اختبار الشبكة الداخلية وActive Directory عبر VPN أو جهاز وسيط داخل بيئتكم، وأي قيد على مكان معالجة الأدلة أو تخزينها يُدرج كتابةً في قواعد الارتباط قبل بدء الاختبار.

الخطوات التالية

أخبرني ما إذا كانت ضوابط الأنظمة الحساسة تسري على أي من أنظمتكم، وكيف تبدو البيئة، ومتى موعد تدقيقكم. وستحصل على عرض سعر ثابت وتاريخ بدء. وإن أردت رؤية المُخرَج أولاً يوجد نموذج تقرير؛ وإن أردت رؤية تعرّضك الخارجي الحالي خلال دقائق، فإن الفحص الخارجي المجاني يقوم بذلك دون أي التزام.

سياق إضافي: اختبار الاختراق في السعودية يشرح كيف تتكامل ECC وCSCC وSAMA، وصفحة SAMA تغطي متطلب القطاع المالي، ونظرة عامة على الامتثال تقارن كل الأطر. تواصل معي - بالعربية مرحّب بك.