Anforderungen an Penetrationstests nach SAMA
Wenn die saudische Zentralbank Sie beaufsichtigt, sind Penetrationstests eine jährlich wiederkehrende Pflicht und kein Projekt. Das Rahmenwerk ist bei zwei Dingen konkret, die darüber entscheiden, ob Ihre Nachweise die Prüfung überstehen: Der Test muss unabhängig sein, und der Umfang muss die Systeme erreichen, die Ihre Kunden anfassen.
Die Anforderung, klar gesagt
Von Instituten unter Aufsicht der saudischen Zentralbank wird erwartet, mindestens jährlich unabhängige externe Penetrationstests durchzuführen, mit einem Umfang, der extern erreichbare Systeme, Webanwendungen und Netzinfrastruktur abdeckt.
Drei Wörter in diesem Satz tragen das Gewicht, und jedes ist eine Stelle, an der Nachweise häufig scheitern:
- Unabhängig - nicht durchgeführt vom Team, das die geprüften Systeme baut oder betreibt.
- Mindestens jährlich - der Jahreszyklus ist eine Untergrenze, wesentliche Änderungen an erreichbaren Systemen sind ein eigener Auslöser.
- Penetrationstest - kein Schwachstellenscan mit anderem Deckblatt. Prüfer unterscheiden das inzwischen zuverlässig.
Wo SAMA-Nachweise tatsächlich scheitern
Vier Fehlermuster machen den Großteil der Beanstandungen aus, und alle vier zu vermeiden ist günstiger, als sie zu heilen.
Ein Scan, eingereicht als Penetrationstest
Das Erkennungsmerkmal ist strukturell: Jeder Befund ist eine CVE mit herstellergelieferter Beschreibung, nichts ist verkettet, und es fehlt die Erzählung, was ein Angreifer erreichen könnte. Ein Penetrationstest zeigt Wirkung - dieser exponierte Dienst liefert Zugangsdaten, diese Zugangsdaten erreichen jenes interne System, das diese Daten hält. Ist Ihr Bericht eine sortierte Versionsliste, ist es ein Scan. Der Unterschied vollständig (auf Englisch).
Unabhängigkeit, die nicht hält
Tests durch das Entwicklungsteam, durch den Managed-Service-Provider, der die Infrastruktur auch betreibt, oder durch einen Hersteller, der sein eigenes Produkt bewertet. Jeder dieser Fälle verfehlt die Unabhängigkeitsanforderung, wie kompetent auch getestet wurde.
Umfang, der die kundenseitige Schicht auslässt
Mobile-Banking-Backends, Partner-APIs, die nach der Umfangsfreigabe gestartete Fintech-Integration. Aus dem Internet erreichbare Systeme und Webanwendungen sind im Rahmenwerk ausdrücklich genannt, eine Lücke hier ist also ein direkter Verstoß und keine Ermessensfrage.
Kein Nachtest
Ein Bericht mit zwölf hochkritischen Befunden und ohne Beleg, dass einer davon geschlossen wurde, ist aus Prüfersicht die Dokumentation eines ungelösten Problems. Erst der Zyklus aus Behebung und Nachtest macht aus einem Test einen Compliance-Nachweis.
Was der Auftrag abdeckt
Die regulatorische Grundlinie, jedes Jahr:
- Externe Netzwerktests - der gesamte aus dem Internet erreichbare Bestand: Online-Banking, Zahlungsschnittstellen, VPN und Fernzugriff, Mail-Infrastruktur und die Hosts, die für ein Projekt veröffentlicht und nie zurückgezogen wurden.
- Webanwendungs- und API-Tests - Authentifizierung und Sitzungsverwaltung, Autorisierung und Zugriffskontrolle zwischen Kunden, Geschäftslogik in Transaktionsflüssen, Injection und die APIs hinter mobilen Apps. In einem Finanzinstitut sind die Geschäftslogikbefunde meist die wichtigsten und die, die Automatisierung nie findet.
Daneben empfohlen und von den meisten Instituten jährlich oder abwechselnd aufgenommen:
- Interne Netzwerktests - was ein Fuß in der Tür wirklich erreicht, und ob die Trennung zwischen Unternehmens- und Zahlungsumgebung hält.
- Active Directory - ADCS-Missbrauch, Kerberoasting, Delegation und ACL-Pfade zu Domain Admin. So wird aus einem bescheidenen Fuß in der Tür eine bankweite Kompromittierung, und für externe Tests ist das unsichtbar.
- Cloud - Eskalation in Entra ID und Azure RBAC, offener Speicher und Identitäts-Fehlkonfiguration, wo Workloads hingewandert sind.
- Assumed Breach - Start von einem Fuß in der Tür statt vom Perimeter, was die Frage beantwortet, die ein Vorstand tatsächlich stellt: Wie weit käme jemand?
Wo Sie zusätzlich Kartendaten verarbeiten, gilt PCI DSS Anforderung 11.4 parallel und überschneidet sich erheblich - gemeinsam zugeschnitten ist das ein Auftrag, nicht zwei.
Das Ergebnis
Ein Bericht, gebaut für die Art, wie Finanzinstitute ihn tatsächlich nutzen: eine Zusammenfassung, die Vorstand und Aufsicht ohne Übersetzung lesen können, ein technischer Teil mit Reproduktionsschritten, Belegen und CVSS-Bewertungen für Ihre Techniker, und die ausdrückliche Zuordnung jedes Befunds zur betroffenen Rahmenwerkskontrolle, damit Ihr Compliance-Team diese Zuordnung nicht selbst konstruieren muss.
Dann die Teile, die aus einem Bericht einen Nachweis machen: Unterstützung während der Behebung, ein Nachtest der geschlossenen Befunde und ein Attestierungsschreiben, das Durchführung, Prüfer, Umfang und Daten festhält. Alles enthalten. Ein Musterbericht zeigt das Format.
Wer prüft
Sie haben direkt mit dem Tester zu tun - kein Account Manager, kein Junior, der unter dem Namen eines Seniors auf der Rechnung Werkzeuge laufen lässt, keine drei Wochen zwischen Test und Bericht. Bei einer regulatorischen Frist ist diese Direktheit meist das, was den Termin rettet.
Qualifikationen, da im Finanzsektor-Einkauf stets gefragt: OSCP+, eCPPT, eWPT, eCIR sowie AZ-500, SC-200 und SC-300 für den Microsoft- und Azure-Teil - alle über die OffSec-Credential-Wallet überprüfbar. Vor dem Wechsel in die offensive Arbeit war ich Detection Engineer und CTI-Analyst, was in diesem Sektor besonders nützlich ist: Der Bericht sagt nicht nur, wie ein Angriffspfad funktioniert, sondern wie er in Ihrem SIEM ausgesehen hätte und ob Ihre Überwachung ihn erkannt hätte.
Ich arbeite remote aus Amman in GMT+3, mit denselben Arbeitszeiten und derselben Arbeitswoche wie Riad, auf Arabisch oder Englisch.
Einstieg
Nennen Sie mir Ihren Lizenztyp, den Umfang und bis wann der Test abgeschlossen sein muss. Sie erhalten ein Festpreisangebot und einen Starttermin. Wenn Ihr Jahreszyklus näher rückt und Sie zuerst Ihre aktuelle externe Exposition sehen möchten, dauert der kostenlose Perimeter-Scan wenige Minuten.
Verwandt: Penetrationstests in Saudi-Arabien dazu, wie SAMA neben NCA ECC steht, ECC Kontrolle 2-11, falls Sie zusätzlich eine behördliche Pflicht tragen, und die Compliance-Übersicht für alles Weitere. Kontakt aufnehmen - Arabisch willkommen.
Fragen zu SAMA
Von der saudischen Zentralbank beaufsichtigte Mitgliedsorganisationen: Banken, Versicherer und Rückversicherer, Finanzierungsgesellschaften, Auskunfteien und Zahlungsdienstleister einschließlich Fintechs mit SAMA-Lizenz oder in deren Regulatory Sandbox. Kommt Ihre Lizenz von SAMA, gilt das Rahmenwerk für Sie. Fintechs überrascht das häufig - die Pflicht kommt mit der Lizenz, zu einem Zeitpunkt, an dem das Sicherheitsprogramm oft noch im Aufbau ist.
Unabhängige externe Penetrationstests mindestens jährlich. "Mindestens" leistet dort echte Arbeit: Wesentliche Änderungen an aus dem Internet erreichbaren Systemen lösen in der Regel unabhängig vom Jahreszyklus einen Test aus, und ein Institut, das sechs Monate nach dem Jahrestest eine neue kundenseitige Plattform gestartet und nicht geprüft hat, wird ein schwieriges Gespräch führen. Behandeln Sie den Jahrestest als Untergrenze und wesentliche Änderungen als eigenen Auslöser.
Der Test darf nicht von den Personen durchgeführt werden, die die geprüften Systeme bauen oder betreiben. Eine interne Sicherheitsfunktion, die getrennt von der Entwicklung berichtet, kommt näher heran, aber die sauberste und am häufigsten akzeptierte Antwort ist ein externer Dritter ohne Rolle beim Bau oder Betrieb der Umgebung. Das ist die Anforderung, die Institute am häufigsten falsch verstehen, und sie entdecken es bei der Prüfung statt beim Scoping - die teure Reihenfolge.
Ausdrücklich genannt sind aus dem Internet erreichbare Systeme, Webanwendungen und Netzinfrastruktur. Die meisten Institute gehen aus gutem Grund weiter: Ein Test, der zeigt, dass ein Angreifer den Perimeter erreicht, aber nie fragt, was danach passiert, beantwortet die halbe Frage. Bewährt hat sich eine vollständige externe und Webanwendungs-Prüfung jährlich als regulatorische Grundlinie, mit internen Netz- und Active-Directory-Tests mindestens in abwechselnden Jahren oder immer dann, wenn sich der Bestand wesentlich ändert.
Ja, das ist der Normalfall. Sie haben typischerweise bereits die Rahmenwerkszuordnung, eine GRC-Funktion und eine Beziehung zur internen Revision; was Sie brauchen, sind die Tests und Nachweise, die sich darin einfügen. Ich schneide auf die zu erfüllende Kontrolle zu, ordne Befunde im Bericht zurück und liefere Nachtest und Attestierung, die Ihr Compliance-Team ablegt. Ich bin keine GRC-Beratung und werde Ihnen kein Rahmenwerksprogramm verkaufen - das Testen ist der Teil, den ich mache.
Jährlicher SAMA-Test fällig?
Unabhängig, auf das Rahmenwerk zugeschnitten, mit Nachtest und Attestierung für Ihr Compliance-Team.