اختبار الاختراق في الإمارات العربية المتحدة

خريطة الأنظمة الإماراتية باختصار

تضع الإمارات أنظمة اتحادية وأخرى على مستوى الإمارة وثالثة قطاعية بعضها فوق بعض. ومعظم المنشآت تخضع لأكثر من واحد، والملاحظة المفيدة هي أن اختباراً واحداً محدد النطاق جيداً يمكن أن يستوفي عدة أنظمة في آن واحد - إن حُدد نطاقه على هذا الأساس عن قصد لا بالمصادفة.

NESA / معايير ضمان المعلومات الإماراتية

الحد الاتحادي الأساسي، ويسري على الجهات الحكومية وعلى المنشآت المصنّفة كبنية تحتية معلوماتية حرجة في الطاقة والمياه والنقل والاتصالات والخدمات المالية والرعاية الصحية. وتتطلب إدارة الثغرات التقنية تنفيذ تقييمات الثغرات واختبارات الاختراق ومتابعتها - سنوياً، عملياً. وهناك متطلبان يوقعان الناس: النتائج الحرجة والعالية تحتاج معالجة موثّقة مع دليل إعادة اختبار ضمن مهلة محددة تكون عادةً 90 يوماً؛ والمدققون يراجعون مؤهلات من نفّذ الاختبار، وشهادة OSCP أو ما يعادلها هي التوقع المعلن. صفحة NESA تغطي التفاصيل.

تنظيم أمن المعلومات في دبي (ISR - DESC)

تنظيم أمن المعلومات الصادر عن مركز دبي للأمن الإلكتروني يلزم الجهات الحكومية في دبي والمورّدين الذين يخدمونها. ويسري بالتوازي مع NESA لا بديلاً عنه، والمنشآت العاملة مع حكومة دبي تحتاج كثيراً إلى إثبات الاثنين معاً. ومتطلب الاختبار متشابه في جوهره، فارتباط واحد محدد النطاق للاثنين يُنتج حزمة أدلة واحدة.

الخدمات المالية: المصرف المركزي وDFSA وADGM

يضع مصرف الإمارات المركزي توقعاته للبنوك وشركات التمويل داخل الدولة؛ وتنظّم DFSA الشركات في مركز دبي المالي العالمي، وتنظّم FSRA شركات سوق أبوظبي العالمي. والثلاثة يتوقعون اختباراً أمنياً مستقلاً منتظماً، والثلاثة لا ينظرون بعين الرضا إلى فحص آلي للثغرات يُقدَّم على أنه اختبار اختراق. مشروح بالتفصيل هنا.

VARA: الأصول الافتراضية

تطلب هيئة تنظيم الأصول الافتراضية في دبي من كل مزود خدمات أصول افتراضية مرخّص الخضوع لاختبار اختراق مستقل سنوياً على الأقل بموجب قواعد التقنية والمعلومات، مع اختبار قائم على المعلومات الاستخباراتية حيث ترى VARA ذلك ضرورياً ومتناسباً. وتسري القواعد إلى جانب متطلبات إدارة المفاتيح عبر وحدات HSM والحدود الدنيا للتخزين البارد والإبلاغ عن الحوادث خلال 24 إلى 72 ساعة بحسب الخطورة.

الرعاية الصحية: ADHICS

معيار أبوظبي لأمن معلومات الرعاية الصحية والأمن السيبراني يسري على مقدمي الرعاية الصحية ومورّدي التقنية لهم في الإمارة، مع متطلبات للاختبار الأمني والأدلة إلى جانب ضوابطه على البيانات السريرية. المزيد هنا.

حماية البيانات

قانون حماية البيانات الشخصية الاتحادي، إضافةً إلى قانوني حماية البيانات المنفصلين في مركز دبي المالي العالمي وسوق أبوظبي العالمي، تأتي بالتزامات أمنية حيثما تُعالَج بيانات شخصية. وهي لا تسمّي اختبار الاختراق صراحةً، لكن المعيار هو «التدابير التقنية المناسبة»، وإثبات ذلك بعد وقوع حادث أسهل بكثير مع اختبار مستقل حديث محفوظ في الملف.

اختبار واحد، التزامات متعددة

الخطأ المكلف في الإمارات هو شراء تقييم منفصل لكل جهة تنظيمية. ففي معظم الحالات يتداخل النطاق التقني تداخلاً شبه كامل - السطح الخارجي، تطبيقات الويب وواجهات API، الشبكة الداخلية وActive Directory، والبيئة السحابية - وما يختلف هو الربط بالضوابط وإعداد التقرير، لا الاختبار.

لذلك يُحدَّد نطاق الارتباط مرة واحدة مقابل كل ما تخضع له، ويربط التقرير كل نتيجة بكل ضابط منطبق. والنطاق العملي:

• الشبكة الخارجية - كل ما يمكن الوصول إليه من الإنترنت، بما في ذلك الخوادم التي لم يعد أحد يذكر أنه نشرها.
• تطبيقات الويب وواجهات API - المصادقة والتفويض ومنطق الأعمال والحقن. الطبقة الموجّهة للعملاء التي تسأل عنها كل جهة تنظيمية.
• الشبكة الداخلية - ما يصل إليه موطئ القدم، وهل يصمد العزل الشبكي فعلاً.
• Active Directory - استغلال ADCS وKerberoasting والتفويض ومسارات ACL إلى Domain Admin.
• السحابة - تصعيد الصلاحيات في Entra ID وAzure RBAC، والتخزين المكشوف، وأخطاء إعداد الهوية.

ولمزودي خدمات الأصول الافتراضية الخاضعين لـ VARA، يُضاف إلى ذلك حد الحفظ: البنية التحتية للمحافظ وسير عمليات التوقيع والضوابط التشغيلية حول مادة المفاتيح، وهو موضع وقوع الخسارة فعلياً وليس واجهة الويب.

متطلب الشهادات تحديداً

معظم صفحات الامتثال تمرّ على هذا سريعاً، لكنه ملموس بدرجة غير معتادة في الإمارات: مدققو NESA يراجعون من نفّذ الاختبار، وشهادة OSCP أو ما يعادلها هي المتوقع. والاختبارات التي ينفّذها شخص بلا شهادة هجومية معترف بها تُثار حولها أسئلة، وتُرفض أحياناً، عند التدقيق.

أحمل OSCP+ - الصيغة الحالية المجددة من الشهادة - إلى جانب eCPPT وeWPT وeCIR في الجانب الهجومي، وAZ-500 وSC-200 وSC-300 في جانب أمن Microsoft، وهو ما يجعل الجزء الخاص بـ Entra ID وAzure ذا مصداقية لا عاماً. وكل واحدة منها قابلة للتحقق بشكل مستقل عبر محفظة شهادات OffSec، ورابط التحقق هذا ينتمي إلى حزمة الأدلة إلى جانب التقرير.

كيف يسير الارتباط

النطاق وعرض السعر أولاً: تخبرني بالالتزام والبيئة والموعد النهائي؛ وتحصل على سعر ثابت وتاريخ بدء، عادةً خلال أسبوع أو أسبوعين. وتُعتمد قواعد الارتباط كتابةً، بما فيها نوافذ الاختبار وجهات التصعيد وأي قيد تفرضه جهتكم التنظيمية على مكان معالجة الأدلة أو تخزينها.

يستغرق الاختبار عادةً أسبوعاً إلى أسبوعين بحسب النطاق، مع إبلاغكم فوراً بأي أمر حرج بدل حجزه للمستند النهائي. ويتبعه التقرير خلال أيام: ملخص تنفيذي، نتائج تقنية بخطوات إعادة الإنتاج وتصنيفات CVSS، ربط بالضوابط، ومعالجة مرتبة بالأولوية. ثم إعادة اختبار لما أصلحتموه وخطاب إقرار - وهو أهم مما يتوقعه الناس في الإمارات، لأن دليل إعادة الاختبار خلال 90 يوماً متطلب بحد ذاته لا خدمة إضافية.

أعمل عن بُعد من عمّان، بفارق ساعة واحدة عن دبي، وبنفس إيقاع الأسبوع من الأحد إلى الخميس، بالعربية أو الإنجليزية. لا مكتب محلي، ولن أدّعي وجوده - ما تحصل عليه بدلاً من ذلك هو الشخص الذي ينفّذ العمل، مباشرةً، بشهادات يمكن التحقق منها.

ابدأ من هنا

أخبرني لأي جهة تنظيمية تخضع وما الذي يشمله النطاق. وإن لم تكن متأكداً - وهذا طبيعي تماماً مع هذا العدد من الأنظمة المتداخلة - فمكالمة قصيرة تحسم الأمر. ونظرة عامة على الامتثال تقارن الأطر جنباً إلى جنب، والفحص الخارجي المجاني يُظهر تعرّضك الخارجي الحالي خلال دقائق، ونموذج التقرير يُظهر بالضبط ما ستستلمه.

تواصل معي - الاستفسارات بالعربية مرحّب بها، وإن كان هناك موعد تقديم يفرض الجدول الزمني فاذكر ذلك في السطر الأول.