Compliance-getriebene Penetrationstests
Die meisten Penetrationstests werden gekauft, weil eine Vorschrift sie verlangt. Das Rahmenwerk bestimmt den Umfang, das Intervall und - der Teil, den man regelmäßig unterschätzt - die Nachweise, die Sie danach vorlegen können müssen. Diese Seite vergleicht die Regelwerke, gegen die ich teste, damit Sie erkennen, welches tatsächlich für Sie gilt.
Die Rahmenwerke im Vergleich
Jedes dieser Regelwerke schreibt unabhängige Sicherheitstests vor oder verlangt sie faktisch. Die Unterschiede, auf die es ankommt: wen es bindet, wie oft, und was Sie danach vorweisen müssen.
Saudi-Arabien
- NCA Essential Cybersecurity Controls - die nationale Grundlinie für Behörden, deren Auftragnehmer und kritische Infrastruktur. Kontrolle 2-11 behandelt Penetrationstests: definiert, dokumentiert, genehmigt und umgesetzt, mit einem Umfang, der mindestens die aus dem Internet erreichbaren Dienste und die dahinterliegende technische Infrastruktur abdeckt. Regelmäßig.
- NCA Critical Systems Cybersecurity Controls - werden Systeme als kritisch eingestuft, verschiebt sich das Intervall auf mindestens alle sechs Monate. Diese Intervalländerung bringt üblicherweise die Budgetannahme zu Fall.
- SAMA Cyber Security Framework - Banken, Versicherer, Finanzierungsgesellschaften und Zahlungsdienstleister unter Aufsicht der saudischen Zentralbank. Unabhängige externe Tests mindestens jährlich, mit Abdeckung der aus dem Internet erreichbaren Systeme, Webanwendungen und Netzinfrastruktur.
Vereinigte Arabische Emirate
- NESA / UAE Information Assurance Standards - Bundesbehörden und als kritisch eingestufte Informationsinfrastruktur. Schwachstellenbewertungen und Penetrationstests werden durchgeführt und nachverfolgt, praktisch jährlich, mit dokumentierter Behebung und Nachtest-Nachweis für kritische und hohe Befunde innerhalb einer festgelegten Frist. Prüfer sehen sich die Qualifikation des Testers an.
- Dubai ISR (DESC) - Dubaier Behörden und deren Lieferanten. Läuft parallel zu NESA; ein Auftrag kann beide belegen.
- CBUAE, DFSA und ADGM - Banken und Finanzierungsgesellschaften onshore, Firmen im DIFC, Firmen im ADGM. In allen drei Fällen werden regelmäßige unabhängige Tests erwartet.
- VARA - Dubaier Dienstleister für virtuelle Vermögenswerte. Unabhängiger Penetrationstest mindestens jährlich nach dem Technology and Information Rulebook, dazu intelligence-geführte Tests, wo VARA das für angemessen hält.
- ADHICS - Gesundheitsdienstleister in Abu Dhabi und deren Technologielieferanten.
International
- PCI DSS - für alle, die Karteninhaberdaten speichern, verarbeiten oder übertragen. Anforderung 11.4 verlangt interne und externe Penetrationstests mindestens jährlich und nach wesentlichen Änderungen, dazu Segmentierungstests, wo Segmentierung den Geltungsbereich reduziert.
- SOC 2 - kein präskriptives Gebot, aber Penetrationstests sind der Nachweis, den die meisten Prüfer zu CC4.1 und CC7.1 erwarten, und Großkunden verlangen ihn zunehmend im Bericht.
- ISO 27001 - technisches Schwachstellenmanagement nach Anhang A, wo Tests der praktische Weg sind, die Wirksamkeit der Kontrolle zu belegen.
Was Prüfer tatsächlich verlangen
Der Bericht ist notwendig und nicht hinreichend. Vier Artefakte bilden ein vollständiges Nachweispaket, und die meisten Unternehmen erscheinen nur mit dem zweiten:
- Ein Scope-Dokument - was geprüft wurde, was nicht, und warum dieser Umfang zur Kontrolle passte. Ein Test, der genau die Systeme ausklammert, um die es der Kontrolle geht, fällt durch, wie gut er auch war.
- Der Bericht - Befunde, Schweregrade, Reproduktionsdetails und die Zuordnung zu den betroffenen Kontrollen.
- Dokumentierte Behebung - was Sie behoben haben, wann, und was Sie mit welcher Begründung als Risiko akzeptiert haben. Risikoakzeptanz ist erlaubt; die Entscheidung nicht festzuhalten, nicht.
- Nachtest-Nachweis - die Bestätigung, dass die kritischen und hohen Befunde wirklich geschlossen sind, innerhalb der Frist Ihres Rahmenwerks. Die 90-Tage-Erwartung bei NESA ist die, die Unternehmen erwischt: Ein Test im elften Monat lässt keinen Raum für einen Nachtest vor Ablauf des Zyklus.
Ein Attestierungsschreiben - wer, welcher Umfang, welche Tage - verbindet das Paket und ist üblicherweise das, was abgelegt oder an einen Kunden weitergereicht wird. Jeder Auftrag hier enthält eines.
Unabhängigkeit ist die Anforderung, die falsch gelesen wird
Mehrere dieser Rahmenwerke verwenden das Wort unabhängig, und es hat eine konkrete Bedeutung: Die Prüfung darf nicht von denen durchgeführt werden, die das geprüfte System gebaut haben oder betreiben. Ein internes Sicherheitsteam, das die eigene Infrastruktur testet, genügt manchen Rahmenwerken und anderen nicht; das Team, das die Anwendung geschrieben hat und sie dann prüft, genügt keinem davon.
Das ist ein wesentlicher Grund, warum es externe Berater in diesem Markt gibt, und es lohnt sich, das gegen Ihre konkrete Pflicht zu prüfen, bevor Sie annehmen, Ihre internen Kapazitäten deckten es ab. Ein Fehler hier ist teuer, weil er bei der Prüfung auffällt und nicht beim Scoping.
Wie ich einen Compliance-Auftrag zuschneide
Das erste Gespräch dreht sich um die Pflicht, nicht um die Technik: welches Rahmenwerk, welche Kontrolle, welche Frist, und ob sich seit dem letzten Test etwas Wesentliches geändert hat. Daraus kann ich Ihnen meist innerhalb eines Gesprächs sagen, ob ein Auftrag alles abdeckt, dem Sie unterliegen, und was der Umfang enthalten muss, damit die Nachweise eine Prüfung überstehen.
Was Sie bekommen: einen Festpreis, bevor irgendetwas beginnt, die Prüfung durch genau die Person, mit der Sie gesprochen haben, sofortige Meldung kritischer Befunde statt einer Überraschung im Abschlussdokument, einen Bericht, der für Vorstand und Entwickler zugleich geschrieben ist, Unterstützung während der Behebung, einen Nachtest und das Attestierungsschreiben. Es gibt einen Musterbericht, falls Sie das Format zuerst sehen möchten (auf Englisch), und die Preisseite für die Größenordnung.
Nach Region
Für den Golf gehen die Regionalseiten tiefer darauf ein, welche Regelwerke gelten und wie sie zusammenwirken: Penetrationstests in Saudi-Arabien und Penetrationstests in den VAE. Ansonsten behandeln die Leistungsseiten das Testen selbst, und ein kurzer Kontakt ist der schnellste Weg zu einer klaren Antwort.
Fragen zu Compliance-Tests
Meistens ja, und es ist deutlich günstiger als die Alternative. Der technische Umfang überschneidet sich stark - externe Angriffsfläche, Webanwendungen und APIs, internes Netz, Active Directory, Cloud - was sich unterscheidet, ist die Zuordnung zu den Kontrollen und die Berichtsform, nicht das Testen selbst. Bedingung ist, dass von Anfang an so zugeschnitten wird: Ein Test, der nur für PCI definiert wurde, liefert nicht die Nachweise, die NESA verlangt, obwohl die eigentliche Arbeit nahezu identisch ist. Nennen Sie mir bei der Abstimmung jedes Regelwerk, dem Sie unterliegen, und der Bericht ordnet die Befunde jedem einzelnen zu.
Nein, und das ist der häufigste Grund, warum Nachweise zurückgewiesen werden. Ein Scan gleicht bekannte Signaturen mit bekannten Versionen ab und erzeugt eine Liste; ein Penetrationstest verkettet Befunde und zeigt, was jemand damit tatsächlich erreichen könnte. Rahmenwerke sagen das zunehmend ausdrücklich, und Prüfer erkennen einen Scanbericht mit Penetrationstest-Deckblatt inzwischen zuverlässig - das Erkennungsmerkmal ist, dass jeder Befund eine CVE ist und keiner mit einem anderen zusammenhängt. Der Unterschied im Detail (auf Englisch).
Vier Dinge, und die meisten Unternehmen haben nur das zweite. Ein Scope-Dokument, das zeigt, was geprüft wurde und warum dieser Umfang angemessen war. Den Bericht selbst, mit Befunden, Schweregraden und nachvollziehbaren Reproduktionsschritten. Die dokumentierte Behebung der kritischen und hohen Befunde. Und den Nachweis eines Nachtests, der bestätigt, dass die Korrekturen gewirkt haben, innerhalb der Frist Ihres Rahmenwerks - 90 Tage sind üblich. Ein Attestierungsschreiben, das festhält, wer getestet hat, mit welchem Umfang und an welchen Tagen, verbindet das Ganze und ist meist genau die Seite, die abgelegt wird.
Jährlich ist die übliche Grundlinie - SAMA, NESA, VARA und PCI DSS landen alle dort. Zwei Dinge verkürzen das: eine Einstufung als kritisches System nach den saudischen CSCC, die mindestens halbjährliche Tests verlangt, und wesentliche Änderungen. Nahezu jedes Rahmenwerk verlangt nach materiellen Änderungen an der Umgebung einen erneuten Test, unabhängig davon, wann zuletzt jährlich geprüft wurde - eine größere Migration oder eine neue, aus dem Internet erreichbare Anwendung setzt die Uhr also praktisch zurück.
Meistens ja, und die Gründe sind vorhersehbar: Der Umfang war zu eng für das, was die Kontrolle verlangt; getestet hat das Team, das das System gebaut hat, also war es nicht unabhängig; es wurde kein Nachtest-Nachweis erbracht; oder ein Scan wurde als Penetrationstest eingereicht. Alle vier sind behebbar, und die Korrektur ist normalerweise ein einzelner, richtig zugeschnittener Auftrag und kein Programm. Schicken Sie mir die Feststellung des Prüfers und den alten Bericht, und ich sage Ihnen, welcher der vier Fälle es war, bevor Sie irgendetwas ausgeben.
Unklar, welches Rahmenwerk für Sie gilt?
Ein kurzes Gespräch klärt das meist - und zeigt, ob ein Test alle abdecken kann.