اختبار الاختراق للقطاع المالي والأصول الافتراضية في الإمارات

أربع جهات تنظيمية، ومتطلب جوهري واحد

تتوزع الخدمات المالية في الإمارات بين داخل الدولة ومنطقتين حرتين، إضافةً إلى جهة تنظيمية مخصصة للأصول الافتراضية. وأيها يمنحك الترخيص هو ما يحدد صياغة التزامك، لكن الجوهر يتقارب: اختبار أمني مستقل، يُنفَّذ بانتظام، بأدلة يمكنك تقديمها.

VARA - الأصول الافتراضية في دبي

الأوضح بين الأربعة. فبموجب قواعد التقنية والمعلومات، يحتاج كل مزود خدمات أصول افتراضية مرخّص إلى اختبار اختراق مستقل سنوياً على الأقل، ويجوز لـ VARA أن تطلب اختباراً قائماً على المعلومات الاستخباراتية إضافةً إلى ذلك حين ترى ذلك ضرورياً ومتناسباً. وتغطي القواعد كذلك حوكمة الأمن السيبراني، وإدارة المفاتيح متعددة التواقيع المدعومة بوحدات الأمان المادية HSM، والحدود الدنيا للتخزين البارد، والإبلاغ عن الحوادث خلال 24 إلى 72 ساعة بحسب الخطورة.

المصرف المركزي - البنوك وشركات التمويل داخل الدولة

يضع المصرف المركزي توقعاته الأمنية للمنشآت المرخّصة داخل الدولة، مع اختبار مستقل منتظم للأنظمة المتاحة عبر الإنترنت والتطبيقات الموجّهة للعملاء كتوقع قائم لا أمر لمرة واحدة. وحيث تدخل بيانات البطاقات في النطاق، يسري المتطلب 11.4 من PCI DSS بالتوازي ويتداخل بدرجة كبيرة - وبتحديد نطاقهما معاً يصبحان ارتباطاً واحداً.

DFSA في مركز دبي المالي العالمي وFSRA في سوق أبوظبي العالمي

الجهتان التنظيميتان في المنطقتين الحرتين تتوقعان اختباراً أمنياً مستقلاً يتناسب مع ملف مخاطر الشركة، والسنوي هو الفترة التي تتبناها الشركات وتدافع عنها. ولا تنشر أي منهما تكراراً واحداً شاملاً كما تفعل VARA، وهو ما يعني عملياً أن عبء التبرير يقع عليكم - و«سنوياً، إضافةً إلى ما بعد أي تغيير جوهري» هو التبرير الذي يصمد.

وNESA تحتها

الخدمات المالية مصنّفة كبنية تحتية معلوماتية حرجة، لذا تسري معايير ضمان المعلومات من NESA كثيراً إلى جانب جهتكم التنظيمية القطاعية - بما في ذلك توقع إعادة الاختبار خلال 90 يوماً للنتائج الحرجة والعالية، ومراجعة مؤهلات المختبِر. حدّدوا النطاق للاثنين معاً؛ فالإلحاق لاحقاً يعني عادةً اختباراً مرتين.

لمزودي خدمات الأصول الافتراضية: حدّدوا نطاق حدود الحفظ لا الواجهة الأمامية

هذا هو الجزء الذي يستحق الصراحة. فاختبار تطبيق ويب تقليدي على واجهة التداول سيجد مشاكل في المصادقة والتفويض، وسيترك سيناريو الخسارة الفعلي دون اختبار على الإطلاق. فمنصات التداول لا تفقد الأصول عادةً بسبب ثغرة XSS.

الأسئلة التي تهم شركة أصول افتراضية:

• سير عملية التوقيع - من وما الذي يستطيع اعتماد تحويل، وكيف تُفرض الموافقات تقنياً لا إجرائياً، وهل يستطيع مسؤول نظام واحد مخترَق أو حساب خدمة واحد تحريك القيمة.
• الفصل بين الساخن والبارد - هل الحد مفروض فعلياً أم موثّق فقط، وما الذي يعبره.
• التعامل مع مادة المفاتيح - كيف يُستدعى التوقيع المدعوم بـ HSM، وما الذي يستطيع استدعاءه، وهل الوصول إلى النظام المستدعي يعادل الوصول إلى المفتاح.
• الالتفاف على الموافقات - ما الذي يستطيع تحقيقه من يملك وصولاً جزئياً: حساب عمليات، أو جهاز مطوّر مخترَق، أو صلاحية قراءة في نظام الخزينة.
• العملية التشغيلية - الخطوات البشرية حول عمليات السحب وقوائم العناوين المسموح بها، وهي موضع وقوع الهندسة الاجتماعية في هذا القطاع.

وهذه أسئلة تصميم وعمليات بقدر ما هي أسئلة برمجية، ولهذا بالضبط تحتاج مختبِراً لا أداة فحص. وتبقى المنصة الأساسية بحاجة إلى المعاملة القياسية - الويب وواجهات API، والشبكة الخارجية والداخلية، والسحابة - لكن حدود الحفظ هي ما ينبغي أن يتركز فيه النطاق.

الاختبار القائم على المعلومات الاستخباراتية، إن طُرح

هذا النوع من الاختبار - وتندرج تحته TIBER-EU وCBEST - ينطلق من معلومات استخباراتية حقيقية عمّن يستهدف شركات مثل شركتكم، ثم يحاكي هؤلاء الخصوم تحديداً على بيئة الإنتاج، وعادةً دون إبلاغ الفريق المدافع. وهو يقيس الاكتشاف والاستجابة بقدر ما يقيس الثغرات، وهو أطول وأغلى من الاختبار التقليدي.

ويجوز لـ VARA أن تطلبه حيث ترى ذلك متناسباً، وهو ما يرتبط عموماً بحجم الشركة وبالأصول المحفوظة. ومعظم مزودي الخدمات حديثي الترخيص يبدأون بالاختبار المستقل السنوي؛ أما من يحفظ أصولاً كبيرة فعليه التخطيط لوصول هذا السؤال. والنصيحة الصادقة بشأن الترتيب: اختبار اختراق تقليدي أولاً. فالاختبار القائم على المعلومات الاستخباراتية على بيئة لم تخضع قط لتقييم تقليدي يُنتج تقريراً باهظ الثمن مليئاً بنتائج كان ارتباط أرخص سيكتشفها.

ما الذي ستحصل عليه

سعر ثابت يُتفق عليه قبل بدء أي شيء. وقواعد ارتباط مكتوبة تشمل نوافذ الاختبار وجهات التصعيد - وهو أهم هنا من معظم القطاعات، لأن الاختبار قرب بنية الحفظ في بيئة الإنتاج يحتاج مساراً متفقاً عليه للإيقاف الفوري. ويُبلَّغ عن النتائج الحرجة لحظة اكتشافها.

ويتضمن التقرير ملخصاً تنفيذياً لمجلس إدارتكم وجهتكم التنظيمية، ومتناً تقنياً فيه خطوات إعادة الإنتاج وتصنيفات CVSS، وربطاً بالقاعدة أو الضابط الذي استوجب الاختبار. ثم دعم المعالجة، وإعادة اختبار ما أغلقتموه، وخطاب إقرار يذكر المختبِر والنطاق والتواريخ - وهو عادةً ما تقدّمونه للجهة التنظيمية أو للطرف المؤسسي الذي يجري فحصاً نافياً للجهالة عنكم. ويوجد نموذج تقرير يبيّن الشكل.

من ينفّذ الاختبار

تعمل مع المختبِر مباشرةً. أما الشهادات، فمشتريات القطاع المالي ومزودي خدمات الأصول الافتراضية تسأل عنها دائماً: OSCP+ وeCPPT وeWPT وeCIR، إضافةً إلى AZ-500 وSC-200 وSC-300 - وجميعها قابلة للتحقق عبر محفظة شهادات OffSec. وخلفية هندسة الاكتشاف قبل العمل الهجومي وثيقة الصلة هنا: فالتقرير يغطي لا كيف يعمل مسار الهجوم فحسب، بل كيف كان سيبدو في مراقبتكم، وهل كان شيء ليلتقطه. وبالنسبة لجهة تنظيمية تسأل عن قدرات الاكتشاف والاستجابة، هذا التمييز هو الإجابة.

عن بُعد من عمّان، بفارق ساعة واحدة عن دبي، بنفس أسبوع العمل، بالعربية أو الإنجليزية.

الخطوات التالية

أخبرني بالترخيص الذي تحملونه، وكيف تبدو المنصة، وهل تدخل بنية الحفظ في النطاق. وستحصلون على عرض سعر ثابت وتاريخ بدء. وإن كنتم حديثي الترخيص وتحاولون تحديد ما ينبغي أن يغطيه اختباركم الأول، فتلك محادثة قصيرة ومفيدة - تواصل معي.

ذات صلة: اختبار الاختراق في الإمارات، ومتطلبات NESA، ونظرة عامة على الامتثال.