اختبار الاختراق في المملكة العربية السعودية

ما تتطلبه الجهات التنظيمية السعودية فعلياً

ثلاثة أنظمة منفصلة تفرض اختبار الاختراق في المملكة، وأيها ينطبق عليك هو ما يحدد النطاق والتكرار والأدلة التي يجب أن تحتفظ بها.

الضوابط الأساسية للأمن السيبراني (NCA ECC)

الضوابط الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني هي الحد الوطني الأدنى، وتلزم الجهات الحكومية ومتعاقديها ومشغّلي البنية التحتية الوطنية الحساسة. والضابط 2-11 يغطي اختبار الاختراق: يجب تحديد المتطلبات وتوثيقها واعتمادها، ويجب تطبيقها، ويجب أن يشمل النطاق الخدمات المتاحة عبر الإنترنت والبنية التحتية التقنية خلفها. والاختبار دوري، والدليل الذي يبحث عنه المدقق هو الدورة الكاملة - وثيقة النطاق، تقرير الاختبار، المعالجة، إعادة الاختبار - لا مجرد ملف PDF عليه تاريخ.

ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC)

إن كان أي من أنظمتكم مصنّفاً كنظام حساس، فإن ضوابط الأنظمة الحساسة ترفع السقف: يجب اختبار تلك الأنظمة كل ستة أشهر على الأقل بدلاً من سنوياً. وهذا يفاجئ كثيراً من المنشآت، لأن دورة الميزانية والشراء تُبنى عادةً على اختبار واحد في السنة. صنّفوا مبكراً، فدورة الستة أشهر تغيّر الشكل التجاري للارتباط بالكامل.

إطار الأمن السيبراني للبنك المركزي السعودي (SAMA)

المنشآت المالية الخاضعة لإشراف البنك المركزي السعودي - البنوك وشركات التأمين وشركات التمويل ومزودو خدمات المدفوعات - يُتوقع منها إجراء اختبارات اختراق خارجية مستقلة سنوياً كحد أدنى، تغطي الأنظمة المتاحة عبر الإنترنت وتطبيقات الويب والبنية التحتية للشبكة. والاستقلالية هي الشرط الفاعل: فاختبار ينفّذه الفريق الذي يبني النظام أو يشغّله لا يستوفيه، ولا يستوفيه كذلك فحص آلي للثغرات يُقدَّم على أنه اختبار اختراق.

وما يسري بالتوازي معها

نظام حماية البيانات الشخصية الصادر عن سدايا يأتي بالتزاماته الأمنية حيثما تُعالَج بيانات شخصية، وضوابط الأمن السيبراني للحوسبة السحابية تسري حيث تستضاف أحمال العمل لدى مزود سحابي، والمنشآت الكبرى تفرض بشكل متزايد معايير أمنية خاصة بمورّديها - ومتطلبات أرامكو للأطراف الثالثة هي المثال الذي يواجهه أغلب المورّدين السعوديين أولاً. وحيث تقبلون مدفوعات بالبطاقات، يسري المتطلب 11.4 من PCI DSS فوق كل ما سبق؛ وهو مشروح في صفحة اختبار PCI DSS.

ما الذي يغطيه الاختبار فعلياً

النطاق الذي يستوفي الضابط 2-11 وإطار SAMA عملياً، بالترتيب الذي يُنفَّذ به عادةً:

• اختبار الشبكة الخارجية - كل ما تعرضه منشأتكم على الإنترنت: بوابات VPN والبريد والوصول عن بُعد والخوادم التجريبية المنسية والخدمات التي لم يعد أحد يذكر أنه نشرها. وهذا مشمول صراحةً بالضابط 2-11، وهو المكان الذي تبدأ منه غالبية الاختراقات الحقيقية.
• اختبار تطبيقات الويب وواجهات API - المصادقة والتفويض ومنطق الأعمال والحقن، مقابل تطبيقاتكم الموجّهة للعملاء وواجهات API خلفها. ومذكور ضمن نطاق SAMA.
• اختبار الشبكة الداخلية - ما يستطيع الوصول إليه من حصل على موطئ قدم مسبقاً: عزل شبكي لا يصمد، شبكات مسطّحة، بيانات اعتماد مخزّنة حيث لا ينبغي.
• Active Directory - استغلال قوالب الشهادات في ADCS، وKerberoasting، ومشاكل التفويض، ومسارات ACL للوصول إلى Domain Admin. فكل منشأة سعودية كبيرة تقريباً تعمل على AD، وهو المكان الذي يتحول فيه موطئ قدم خارجي إلى اختراق كامل.
• السحابة - مسارات تصعيد الصلاحيات في Entra ID وAzure RBAC، والتخزين المكشوف، وأخطاء إعداد الهوية التي تجعل من البيئة السحابية طريقاً مختصراً بدل أن تكون حاجزاً.

ما الذي ستحصل عليه

تقرير مكتوب ليقرأه جمهوران في آن واحد: ملخص تنفيذي يستطيع مجلس إدارة أو جهة تنظيمية متابعته دون وسيط، ومتن تقني فيه خطوات إعادة الإنتاج والأدلة وتصنيفات CVSS يستطيع مهندسوكم العمل به مباشرة. وكل نتيجة مربوطة بالضابط الذي استوجب الاختبار، بحيث يستطيع المدقق تتبع الالتزام وصولاً إلى الدليل دون أن تبنوا أنتم هذا الربط.

ودعم المعالجة مشمول وليس مبيعاً منفصلاً - تُجاب الأسئلة أثناء الإصلاح - وكذلك إعادة اختبار النتائج التي أغلقتموها، إضافة إلى خطاب إقرار يذكر أن الاختبار نُفّذ، ومن نفّذه، وعلى أي نطاق، وفي أي تواريخ. وبحسب خبرتي، خطاب الإقرار هو المستند الذي يُحفظ لدى المدقق أو يُرسل إلى العميل المؤسسي الذي يطلب إثباتاً. ويوجد نموذج تقرير إن أردتم رؤية الشكل قبل الالتزام (بالإنجليزية).

لماذا العمل مع مستشار مستقل

تتحدث مباشرةً مع من ينفّذ الاختبار. لا مدير حسابات ينقل الأسئلة، ولا مبتدئ يشغّل أداة آلية تحت اسم خبير على الفاتورة، ولا فجوة ثلاثة أسابيع بين انتهاء الاختبار ووصول التقرير. وبالنسبة لموعد نهائي مع ECC أو SAMA، هذه المباشرة هي عادةً الفارق بين الالتزام بالموعد وتبرير التأخر عنه.

والملاءمة العملية للخليج تستحق الذكر صراحةً: أعمل من عمّان على توقيت GMT+3 - نفس ساعات العمل ونفس الأسبوع في الرياض وجدة والدمام - فيُجاب أي سؤال يُطرح أثناء الاختبار في اليوم نفسه. والعربية والإنجليزية كلتاهما تصلح للارتباط. وأحمل OSCP+ إلى جانب eCPPT وeWPT وeCIR وAZ-500 وSC-200 وSC-300، وجميعها قابلة للتحقق بشكل مستقل عبر محفظة شهادات OffSec - وهذا مهم هنا، لأن المدققين الذين يراجعون اختباراً صاروا يسألون بشكل متزايد عمّن نفّذه وما الذي يحمله.

وما لن أفعله هو التظاهر بأنني شركة محلية. ليس لديّ مكتب في الرياض ولن أدّعي ذلك. ما أنا عليه هو مختص تتعاقد معه مباشرةً، بتوقيتك ولغتك، بشهادات يمكنك التحقق منها في ثلاثين ثانية.

كيف تبدأ

أخبرني بالضابط المطلوب استيفاؤه - الضابط 2-11، أو دورة ستة أشهر ضمن CSCC، أو اختبار SAMA السنوي - إضافةً إلى ما يشمله النطاق وموعدك النهائي. ستحصل على عرض سعر ثابت وتاريخ بدء، لا على عملية استكشاف مطوّلة. وإن كنت تفضّل رؤية شيء ملموس أولاً، فإن الفحص الخارجي المجاني يُظهر ما يكشفه سطحك الخارجي حالياً، ونظرة عامة على الامتثال تشرح كيف تقارن بقية الأطر.

وإن لم تكن متأكداً أي نظام ينطبق عليك، فهذا سؤال طبيعي ومكالمة قصيرة تحسمه. تواصل معي - الاستفسارات بالعربية مرحّب بها.