متطلبات اختبار الاختراق وفق NESA

ما يتطلبه المعيار

ضمن إدارة الثغرات التقنية، تتطلب معايير ضمان المعلومات الإماراتية أن تُنفَّذ تقييمات الثغرات واختبارات الاختراق وأن تُتابَع. وبالنسبة للجهات الخاضعة يستقر ذلك عملياً عند اختبار سنوي - لكن الالتزام دورة لا حدث، والأجزاء الثلاثة التي تخضع للتدقيق هي:

• الاختبار - مُنفَّذ، بشكل مستقل، على نطاق مناسب للجهة.
• المعالجة - النتائج الحرجة والعالية موثّقة ومُصلَحة، مع تسجيل القرارات حيث تُقبل المخاطرة بدلاً من إصلاحها.
• إعادة الاختبار - دليل على أن الإصلاحات نجحت، ضمن مهلة محددة تكون عادةً 90 يوماً.

والجهات التي تخفق في NESA بسبب اختبار الاختراق تكون في الغالب قد أنجزت الجزء الأول دون الجزأين الآخرين.

متطلبان يغيّران طريقة الشراء

مهلة الـ90 يوماً تعني أنه لا يمكنك الاختبار متأخراً

إذا كان يجب معالجة النتائج الحرجة والعالية وإعادة اختبارها خلال 90 يوماً، فالنتيجة الحتمية على الجدولة: اختبار يُجرى في الشهر الأخير من سنة الامتثال لا يترك مجالاً لإصلاح أي شيء وإثباته. فبحلول وصول التقرير يتبقى لديكم أسابيع لا ربع سنة.

اختبروا ولديكم ربع سنة على الأقل من المهلة. وحيث تكون البيئة كبيرة أو مضى وقت طويل على آخر اختبار، فأكثر من ذلك - لأن جهد المعالجة مجهول حتى يوجد التقرير، وقائمة نتائج أثقل من المتوقع هي بالضبط السيناريو الذي صُممت المهلة لاختباره. وقرار الجدولة هذا وحده يسبب إخفاقات في NESA أكثر من أي مشكلة تقنية.

المدققون يراجعون من نفّذ الاختبار

يفحص مدققو NESA مؤهلات مزوّد اختبار الاختراق، وشهادة OSCP أو ما يعادلها هي التوقع المعلن. وهذا ملموس بدرجة غير معتادة - فمعظم الأطر تقول «مؤهل بشكل مناسب» وتكتفي - وله أثر تجاري مباشر: اختبار أرخص ينفّذه شخص بلا شهادة هجومية معترف بها قد يُرفض عند التدقيق، فتخسر الأتعاب ومهلة المعالجة وإعادة الاختبار.

لذا فالسؤال الذي ينبغي طرحه على أي مزوّد قبل التعاقد بسيط: من سينفّذ الاختبار، وما الذي يحمله، وهل أستطيع التحقق منه؟ والإجابة في هذا الارتباط هي OSCP+ - الصيغة الحالية المجددة من الشهادة - إلى جانب eCPPT وeWPT وeCIR، وAZ-500 وSC-200 وSC-300 في جانب أمن Microsoft. وجميعها قابلة للتحقق بشكل مستقل عبر محفظة شهادات OffSec، وهذا الرابط يدخل حزمة أدلتكم بجوار التقرير.

النطاق

ما يغطيه ارتباط متوائم مع NESA:

• الشبكة الخارجية - البيئة المتاحة عبر الإنترنت بالكامل، بما فيها الخدمات التي نُشرت ونُسيت.
• تطبيقات الويب وواجهات API - المصادقة والتفويض ومنطق الأعمال والحقن، وواجهات API خلف تطبيقات الهاتف.
• الشبكة الداخلية - ما يصل إليه موطئ القدم؛ وهل يصمد العزل الشبكي.
• Active Directory - استغلال قوالب الشهادات في ADCS، وKerberoasting، والتفويض، ومسارات ACL إلى Domain Admin. وبالنسبة لجهة حكومية إماراتية أو مرفق خدمات، هنا يتحول موطئ قدم خارجي صغير إلى اختراق كامل.
• السحابة - تصعيد الصلاحيات في Entra ID وAzure RBAC، والتخزين المكشوف، وأخطاء إعداد الهوية.

وبالنسبة للبنية التحتية المعلوماتية الحرجة تحديداً، السؤال الذي يستحق تحديد نطاقه عمداً ليس فقط هل يصمد المحيط، بل إلى أي مدى يصل أحدهم حين لا يصمد - وهو ما يقيسه تقييم افتراض الاختراق، وهو ما يريد مجلس الإدارة أو الجهة التنظيمية معرفته فعلاً.

NESA وتنظيم دبي ISR معاً

كثير من المنشآت تحمل الاثنين: NESA اتحادياً، وتنظيم أمن المعلومات من مركز دبي للأمن الإلكتروني لكونها جهة حكومية في دبي أو مورّداً لها. والنظامان يسريان بالتوازي لا يلغي أحدهما الآخر، ومتطلبات الاختبار التقنية لديهما تتداخل تداخلاً شبه كامل.

وبتحديد النطاق عمداً مقابل الاثنين منذ البداية، يُنتج ارتباط واحد أدلة للاثنين - فالاختبار واحد والربط بالضوابط هو ما يختلف. أما تحديده مقابل واحد ثم إلحاق الآخر لاحقاً فينتهي عادةً باختبار مرتين. ولا يكلّفكم شيئاً أن تذكروا عند تحديد النطاق أي الأنظمة تسري عليكم، وهو أكثر ما يمكن أن تخبروني به فائدةً في المكالمة الأولى.

المُخرَج

ملخص تنفيذي للقيادة وللمدقق، ومتن تقني فيه خطوات إعادة الإنتاج والأدلة وتصنيفات CVSS، وربط كل نتيجة بالضابط المنطبق حتى لا يبني فريق الامتثال لديكم هذا الجدول بنفسه. ثم دعم المعالجة أثناء الإصلاح، وإعادة اختبار النتائج المغلقة - وهي متطلب في NESA لا خدمة إضافية - وخطاب إقرار يسجّل من نفّذ الاختبار وعلى أي نطاق وفي أي تواريخ.

ويُبلَّغ عن أي أمر حرج لحظة اكتشافه بدل حجزه للتقرير. ويوجد نموذج تقرير إن أردتم رؤية الشكل قبل الالتزام.

الجوانب العملية

العمل عن بُعد. فالاختبار الخارجي وتطبيقات الويب والسحابة لا يحتاج منكم سوى النطاق والتفويض؛ أما الشبكة الداخلية وActive Directory فيتم العمل عليهما عبر VPN أو جهاز وسيط داخل بيئتكم. وحيث تقيّد جهتكم التنظيمية أو سياستكم الداخلية مكان معالجة الأدلة أو تخزينها، يُدرج ذلك كتابةً في قواعد الارتباط قبل بدء أي شيء.

أنا في عمّان، بفارق ساعة واحدة عن دبي، وأعمل بنفس أسبوع المنطقة، بالعربية أو الإنجليزية. لا مكتب في الإمارات ولا ادعاء بوجوده - ما تحصل عليه هو الشخص الذي ينفّذ الاختبار، بشهادات يمكنك التحقق منها في أقل من دقيقة.

الخطوات التالية

أخبرني إن كنتم خاضعين كجهة اتحادية، أو كبنية تحتية معلوماتية حرجة، أو عبر عقد مع إحداها؛ وما يشمله النطاق؛ ومتى موعد تدقيقكم. وستحصلون على عرض سعر ثابت وتاريخ بدء. وبالنظر إلى مهلة إعادة الاختبار البالغة 90 يوماً، فالسؤال المفيد الذي ينبغي الإجابة عنه أولاً هو كم تبقّى لديكم من مهلة - فإن كانت أقل من ربع سنة، فذلك يغيّر الترتيب وينبغي أن نتحدث عاجلاً لا آجلاً.

ذات صلة: اختبار الاختراق في الإمارات لكيفية تكامل الأنظمة، والمصرف المركزي وDFSA وADGM وVARA للخدمات المالية، ونظرة عامة على الامتثال لما عدا ذلك. تواصل معي - بالعربية مرحّب بك.