NCA ECC Penetrationstests: Kontrolle 2-11
Die Essential Cybersecurity Controls der National Cybersecurity Authority regeln Penetrationstests in Kontrolle 2-11, und die Kontrolle ist konkreter, als die meisten erwarten: Sie regelt nicht nur, dass Sie testen, sondern dass die Anforderungen dokumentiert, genehmigt, umgesetzt und auf den von der NCA vorgegebenen Umfang zugeschnitten sind.
Was Kontrolle 2-11 tatsächlich sagt
Die Essential Cybersecurity Controls verorten Penetrationstests in Domäne 2, Cybersecurity Defence, unter Kontrolle 2-11. Ihr Zweck ist, die Wirksamkeit der Verteidigungsfähigkeit der Organisation durch simulierte Angriffe zu bewerten, um Schwachstellen in der technischen Infrastruktur zu finden, die zu einem Einbruch führen könnten.
Die Kontrolle zerfällt in drei Pflichten, und Organisationen erfüllen regelmäßig die dritte und nicht die ersten beiden:
- Definieren, dokumentieren und genehmigen Sie die Anforderungen an Penetrationstests. Das ist eine eigenständige Dokumentationspflicht - Sie brauchen eine schriftliche, genehmigte Festlegung, wie der Umfang bestimmt wird, wie oft getestet wird und wer das freigibt.
- Umsetzen Sie diese Anforderungen. Der Test findet tatsächlich statt, im dokumentierten Zyklus.
- Schneiden Sie den Test mindestens auf die aus dem Internet erreichbaren Dienste und die dahinterliegende technische Infrastruktur zu.
Die praktische Folge: Eine Stelle, die jedes Jahr einen ausgezeichneten Penetrationstest beauftragt, ihre Testanforderungen aber nie aufgeschrieben und genehmigt hat, erfüllt 2-11 trotzdem nicht. Der Prüfer liest ebenso nach Richtlinie und Genehmigungspfad wie nach dem Bericht.
Die Sechs-Monats-Falle: CSCC
Sind Systeme als kritisch eingestuft, gelten zusätzlich die Critical Systems Cybersecurity Controls und heben die Testanforderung für diese Systeme auf mindestens alle sechs Monate.
Das ist das häufigste Budget- und Planungsversagen in saudischen Compliance-Programmen. Die Jahresannahme wird in der Beschaffung festgeschrieben, die Klassifizierung passiert später oder in einem anderen Team, und der Widerspruch fällt bei der Prüfung auf, wenn für einen zweiten Test keine Zeit mehr bleibt. Klassifizieren Sie zuerst und planen Sie das Testprogramm um das Ergebnis - und wenn manche Systeme kritisch sind und andere nicht, lässt sich oft ein kleinerer Halbjahresauftrag auf die kritische Teilmenge mit einem vollen Jahresauftrag über den Gesamtbestand kombinieren, was erheblich günstiger ist, als alles zweimal jährlich zu prüfen.
Einen prüfungsfesten Umfang zuschneiden
Der Mindestumfang der Kontrolle sind die aus dem Internet erreichbaren Dienste plus die technische Infrastruktur dahinter. Das ist eine Untergrenze. Ein nur auf die Untergrenze gebauter Umfang provoziert eine naheliegende Prüferfrage: Wenn Ihre Expositionsanalyse am Perimeter endet, woher wissen Sie, dass ein Perimeter-Fuß in der Tür nirgendwohin führt?
Der Umfang, der ohne Diskussion hält:
- Externes Netz - der gesamte aus dem Internet erreichbare Bestand, einschließlich der vor Jahren veröffentlichten und vergessenen Dienste. Von der Kontrolle ausdrücklich verlangt.
- Webanwendungen und APIs - Authentifizierung, Autorisierung, Geschäftslogik, Injection. Praktisch die technische Infrastruktur hinter dem erreichbaren Dienst.
- Internes Netz - was ein Fuß in der Tür erreicht, und ob Segmentierung unter Druck hält.
- Active Directory - Missbrauch von ADCS-Zertifikatsvorlagen, Kerberoasting, Delegation, ACL-Pfade zu Domain Admin. In einem saudischen Behörden- oder Konzernbestand wird fast immer dort aus einem kleinen externen Fuß in der Tür eine vollständige Kompromittierung, und genau das findet eine scannerbasierte Prüfung nie.
- Cloud - wo Workloads hingewandert sind, gelten die Cloud Cybersecurity Controls daneben, und der Tenant braucht dieselbe Behandlung: Eskalationspfade in Entra ID und Azure RBAC, offener Speicher, Identitäts-Fehlkonfiguration.
Das Nachweispaket
Vier Artefakte, und am häufigsten fehlt das letzte:
- Die genehmigten Testanforderungen - der Teil von 2-11, der nicht der Test ist.
- Ein Scope-Dokument, das zeigt, was drin und draußen war und warum das angemessen war.
- Der Bericht: Befunde, CVSS-Bewertungen, Reproduktionsschritte und ausdrückliche Zuordnung zu Kontrolle 2-11.
- Behebung und Nachtest-Nachweis - was wann behoben wurde, bestätigt durch einen Nachtest. Bewusst akzeptierte Risiken brauchen eine festgehaltene Entscheidung und eine Begründung; Akzeptanz ist erlaubt, Schweigen nicht.
Ein Attestierungsschreiben mit Prüfer, Umfang und Daten vervollständigt das Paket. Jeder Auftrag hier enthält Bericht, Nachtest und Attestierung standardmäßig und nicht als bezahlte Zusatzleistung, denn das eigentliche Ergebnis ist ein prüfungsfertiges Paket - der Bericht allein ist es nicht.
Warum der Tester zählt
ECC schreibt keine Zertifizierung vor, wie NESA es in den VAE tut, aber die Frage kommt bei der Prüfung und von den Behördenkunden, die die Anforderung weiterreichen: Wer hat das durchgeführt, und was hält diese Person?
Ich halte OSCP+, die erneuerte Form der OffSec-Zertifizierung, dazu eCPPT, eWPT und eCIR sowie AZ-500, SC-200 und SC-300 für den Microsoft- und Azure-Teil der Arbeit. Alle sind unabhängig über die OffSec-Credential-Wallet überprüfbar, und dieser Link gehört neben den Bericht in Ihr Nachweispaket.
Ich arbeite aus Amman in GMT+3 - identische Arbeitszeiten wie Riad - auf Arabisch oder Englisch, remote. Interne und Active-Directory-Tests laufen über VPN oder einen Jump-Host in Ihrer Umgebung, und jede Einschränkung dazu, wo Nachweise verarbeitet oder gespeichert werden, geht vor Testbeginn schriftlich in die Rules of Engagement.
Nächste Schritte
Sagen Sie mir, ob CSCC für eines Ihrer Systeme gilt, wie die Umgebung aussieht und wann Ihre Prüfung ansteht. Sie erhalten ein Festpreisangebot und einen Starttermin. Wenn Sie das Ergebnis vorab sehen möchten, gibt es einen Musterbericht; wenn Sie Ihre aktuelle externe Exposition in wenigen Minuten sehen möchten, tut das der kostenlose Perimeter-Scan unverbindlich.
Mehr Kontext: Penetrationstests in Saudi-Arabien erklärt das Zusammenspiel von ECC, CSCC und SAMA, die SAMA-Seite behandelt die Anforderung des Finanzsektors, und die Compliance-Übersicht vergleicht alle Rahmenwerke. Kontakt aufnehmen - Arabisch willkommen.
Fragen zu NCA ECC
Für Behörden auf allen Ebenen, für Unternehmen, die ihnen Leistungen erbringen, und für Betreiber kritischer nationaler Infrastruktur. Praktisch reicht das weiter, als es klingt, denn die Pflicht wird weitergegeben: Erfasste Stellen schreiben ECC-konforme Anforderungen vertraglich an ihre Lieferanten durch, sodass ein Privatunternehmen ohne direkte Pflicht gegenüber der NCA häufig eine sehr reale Pflicht gegenüber seinem Behördenkunden hat. Wenn ein saudischer Kunde aus dem öffentlichen Sektor Nachweise über Penetrationstests verlangt, steht meist diese Kontrolle dahinter.
Kontrolle 2-11 verlangt regelmäßige Tests; jährlich ist der Zyklus, den die meisten Stellen wählen und erfolgreich vertreten. Sind Systeme als kritisch eingestuft, greifen die Critical Systems Cybersecurity Controls und heben die Anforderung für diese Systeme auf mindestens alle sechs Monate. Klassifizieren Sie, bevor Sie budgetieren - einen Halbjahresrhythmus erst zu entdecken, nachdem die Beschaffung eine jährliche Position genehmigt hat, ist ein wirklich häufiges und vermeidbares Problem.
Mindestens die aus dem Internet erreichbaren Dienste und die dahinterliegende technische Infrastruktur. Dieses Minimum ist eine Untergrenze, kein Ziel: Ein Prüfer, der einen Umfang sieht, der am Perimeter endet, während die Stelle einen großen internen Bestand betreibt, wird nachfragen. Der Umfang, der eine Prüfung bequem übersteht, umfasst externe Angriffsfläche, Webanwendungen und APIs, internes Netz, Active Directory und den Cloud-Tenant, wo Workloads dort liegen.
Trennung zählt - wer ein System baut oder betreibt, sollte es nicht bewerten - und in der Praxis holen auch Stellen mit reifer interner Fähigkeit für den Jahreszyklus einen externen Tester, weil Unabhängigkeit leichter zu belegen als zu begründen ist. Wo Sie ein starkes internes Team haben, funktioniert üblicherweise diese Aufteilung: internes Testen fortlaufend über das Jahr und ein unabhängiger externer Auftrag für den regulatorischen Zyklus.
Die Fassung 2024 aktualisiert und erweitert die Kontrollen, belässt Penetrationstests aber bei 2-11 in derselben Grundform: Anforderungen definieren, dokumentieren und genehmigen; umsetzen; den Testumfang mindestens auf die aus dem Internet erreichbaren Dienste und die technische Infrastruktur zuschneiden. Wenn Sie Ihr Compliance-Programm gegen die frühere Fassung gebaut haben, ist die Testpflicht fortlaufend und nicht neu - prüfenswert sind Ihr dokumentierter Umfang und der Genehmigungspfad gegen den aktuellen Text, denn dort liegt der meiste Unterschied.
Nachweise zu 2-11 vor einer Prüfung nötig?
Auf die Kontrolle zugeschnitten, mit Zuordnung berichtet, nachgetestet und attestiert.