Penetrationstests für Finanzsektor und virtuelle Vermögenswerte in den VAE
Vier Aufsichtsbehörden, vier Lizenzen, eine wiederkehrende Anforderung: unabhängige Sicherheitstests, belegt. Für Firmen mit virtuellen Vermögenswerten unter VARA ist die Anforderung ausdrücklich und jährlich - und der Umfang, auf den es ankommt, reicht weit über die Webanwendung hinaus bis an die Verwahrungsgrenze.
Vier Aufsichtsbehörden, eine zugrundeliegende Anforderung
Die Finanzdienstleistungen der VAE verteilen sich auf onshore und zwei Freizonen, dazu eine eigene Aufsicht für virtuelle Vermögenswerte. Welche Sie lizenziert, bestimmt den Wortlaut Ihrer Pflicht, aber die Substanz läuft zusammen: unabhängige Sicherheitstests, regelmäßig durchgeführt, mit vorlegbaren Nachweisen.
VARA - virtuelle Vermögenswerte in Dubai
Die ausdrücklichste der vier. Nach dem Technology and Information Rulebook braucht jeder lizenzierte VASP mindestens jährlich einen unabhängigen Penetrationstest, und VARA kann zusätzlich intelligence-geführte Tests verlangen, wo sie das für notwendig und angemessen hält. Das Rulebook deckt außerdem Cybersicherheits-Governance, Multi-Signature-Schlüsselverwaltung mit Hardware-Sicherheitsmodulen, Cold-Storage-Mindestwerte und Vorfallmeldungen auf einer 24- bis 72-Stunden-Uhr je nach Schwere ab.
CBUAE - Banken und Finanzierungsgesellschaften onshore
Die Zentralbank setzt Sicherheitserwartungen für lizenzierte Institute onshore, mit regelmäßigen unabhängigen Tests der aus dem Internet erreichbaren Systeme und kundenseitigen Anwendungen als stehender Erwartung statt als Einmalaktion. Wo Kartendaten im Umfang liegen, gilt PCI DSS Anforderung 11.4 parallel und überschneidet sich stark - gemeinsam zugeschnitten ist das ein Auftrag.
DFSA (DIFC) und FSRA (ADGM)
Beide Freizonenaufsichten erwarten unabhängige Sicherheitstests im Verhältnis zum Risikoprofil der Firma, wobei jährlich das Intervall ist, das Firmen wählen und vertreten. Keine der beiden veröffentlicht ein einziges universelles Intervall wie VARA, was praktisch heißt, dass die Begründungslast bei Ihnen liegt - und "jährlich, plus nach wesentlichen Änderungen" ist die Begründung, die hält.
Und NESA darunter
Finanzdienstleistungen gelten als kritische Informationsinfrastruktur, sodass die Information Assurance Standards der NESA häufig neben Ihrer Sektoraufsicht gelten - einschließlich der 90-Tage-Nachtesterwartung für kritische und hohe Befunde und der Prüfung der Testerqualifikation. Schneiden Sie auf beides zugleich zu; später nachzurüsten bedeutet meist, zweimal zu testen.
Für VASPs: die Verwahrungsgrenze zuschneiden, nicht das Frontend
Das gehört deutlich gesagt. Ein konventioneller Webanwendungstest gegen eine Handelsoberfläche findet Authentifizierungs- und Autorisierungsprobleme - und lässt das eigentliche Verlustszenario vollständig ungeprüft. Börsen verlieren Vermögenswerte typischerweise nicht wegen Cross-Site-Scripting.
Die Fragen, die für eine Firma mit virtuellen Vermögenswerten zählen:
- Der Signaturablauf - wer und was eine Überweisung autorisieren kann, wie Freigaben technisch statt prozedural durchgesetzt werden, und ob ein einzelner kompromittierter Administrator oder ein Dienstkonto Werte bewegen kann.
- Trennung von heiß und kalt - ob die Grenze tatsächlich durchgesetzt oder nur dokumentiert ist, und was sie überschreitet.
- Umgang mit Schlüsselmaterial - wie HSM-gestütztes Signieren aufgerufen wird, was es aufrufen kann, und ob Zugriff auf das aufrufende System dem Zugriff auf den Schlüssel gleichkommt.
- Umgehung von Freigaben - was jemand mit Teilzugriff erreicht: ein Betriebskonto, ein kompromittierter Entwicklerarbeitsplatz, ein privilegierter Lesezugriff in einem Treasury-System.
- Der operative Prozess - die menschlichen Schritte rund um Auszahlungen und Adress-Allowlisting, wo in diesem Sektor Social Engineering landet.
Das sind ebenso Design- und Prozessfragen wie Codefragen, weshalb sie genau einen Tester brauchen und keinen Scanner. Die darunterliegende Plattform braucht weiterhin die Standardbehandlung - Web und API, externes und internes Netz, Cloud - aber die Verwahrungsgrenze ist der Schwerpunkt.
Intelligence-geführtes Testen, falls es aufkommt
Intelligence-geführtes Testen - die Familie um TIBER-EU und CBEST - startet von echten Bedrohungsinformationen darüber, wer Firmen wie Ihre angreift, und emuliert dann genau diese Gegner gegen die Produktion, typischerweise ohne Vorwarnung des verteidigenden Teams. Es misst Erkennung und Reaktion ebenso wie Schwachstellen und ist länger und teurer als ein Standardtest.
VARA kann es verlangen, wo sie es für angemessen hält, was grob mit Firmengröße und verwahrten Vermögenswerten korreliert. Die meisten neu lizenzierten VASPs beginnen mit dem jährlichen unabhängigen Test; Firmen mit nennenswerter Verwahrung sollten mit der Frage rechnen. Der ehrliche Rat zur Reihenfolge: zuerst ein Standard-Penetrationstest. Intelligence-geführtes Testen gegen eine Umgebung, die nie eine konventionelle Prüfung hatte, erzeugt einen teuren Bericht voller Befunde, die ein günstigerer Auftrag gefunden hätte.
Was Sie bekommen
Festpreis, vereinbart bevor irgendetwas beginnt. Schriftliche Rules of Engagement mit Testfenstern und Eskalationskontakten - hier wichtiger als in den meisten Sektoren, weil Tests in der Nähe produktiver Verwahrungsinfrastruktur einen vereinbarten Abbruchweg brauchen. Kritische Befunde werden im Moment des Fundes gemeldet.
Der Bericht enthält eine Zusammenfassung für Vorstand und Aufsicht, einen technischen Teil mit Reproduktionsschritten und CVSS-Bewertungen und die Zuordnung zum Rulebook oder zur Kontrolle, die den Test verlangt hat. Dann Unterstützung bei der Behebung, ein Nachtest des Geschlossenen und ein Attestierungsschreiben mit Prüfer, Umfang und Daten - typischerweise genau das, was Sie der Aufsicht oder einer institutionellen Gegenpartei bei deren Due Diligence vorlegen. Ein Musterbericht zeigt das Format.
Wer prüft
Sie arbeiten direkt mit dem Tester. Qualifikationen, da Einkauf im Finanzsektor und bei VASPs stets danach fragt: OSCP+, eCPPT, eWPT, eCIR sowie AZ-500, SC-200 und SC-300 - alle über die OffSec-Credential-Wallet überprüfbar. Der Hintergrund als Detection Engineer vor der offensiven Arbeit ist hier unmittelbar relevant: Der Bericht behandelt nicht nur, wie ein Angriffspfad funktioniert, sondern wie er in Ihrer Überwachung ausgesehen hätte und ob irgendetwas ihn erkannt hätte. Für eine Aufsicht, die nach Erkennungs- und Reaktionsfähigkeit fragt, ist diese Unterscheidung die Antwort.
Remote aus Amman, eine Stunde hinter Dubai, dieselbe Arbeitswoche, auf Arabisch oder Englisch.
Nächste Schritte
Sagen Sie mir, welche Lizenz Sie halten, wie die Plattform aussieht und ob Verwahrungsinfrastruktur im Umfang liegt. Festpreis und Starttermin kommen zurück. Wenn Sie frisch lizenziert sind und herausfinden wollen, was Ihr erster Test eigentlich abdecken sollte, ist das ein kurzes und nützliches Gespräch - nehmen Sie Kontakt auf.
Verwandt: Penetrationstests in den VAE, NESA-Anforderungen und die Compliance-Übersicht.
Fragen zum VAE-Finanzsektor
Nach VARAs Technology and Information Rulebook muss jeder lizenzierte Dubaier Dienstleister für virtuelle Vermögenswerte mindestens jährlich einen unabhängigen Penetrationstest durchlaufen, und VARA kann zusätzlich intelligence-geführte Tests verlangen, wo sie das für notwendig und angemessen hält. Das Rulebook deckt daneben Governance des Cybersicherheitsprogramms, Multi-Signature-Schlüsselverwaltung mit HSMs, Cold-Storage-Mindestwerte und Vorfallmeldungen binnen 24 bis 72 Stunden je nach Schwere ab. Die Testpflicht ist nicht das ganze Rulebook, aber der Teil, der einen externen Dritten braucht.
Intelligence-geführtes Testen - das Modell hinter TIBER-EU und CBEST - startet von echten Bedrohungsinformationen darüber, wer Firmen wie Ihre tatsächlich angreift, und simuliert dann genau diese Gegner gegen die Produktion, meist ohne Wissen des verteidigenden Teams. Es ist länger, teurer und aufschlussreicher als ein Standard-Penetrationstest. VARA kann es verlangen, wo sie das für angemessen hält, was praktisch mit Firmengröße und verwahrten Vermögenswerten korreliert. Die meisten neu lizenzierten VASPs beginnen mit dem jährlichen unabhängigen Test; Firmen mit nennenswerter Verwahrung sollten die Frage erwarten.
Sowohl die DFSA im DIFC als auch die FSRA im ADGM erwarten regelmäßige unabhängige Sicherheitstests im Verhältnis zum Risikoprofil der Firma, statt ein einziges universelles Intervall zu veröffentlichen, wie VARA es tut. Jährlich ist die Norm, die Firmen wählen und vertreten, mit zusätzlichen Tests nach wesentlichen Änderungen. Die praktische Erwartung in beiden Freizonen gleicht der onshore: unabhängige Tests, dokumentierte Behebung und Nachweise, die Sie auf Anfrage vorlegen können.
Mit ziemlicher Sicherheit, und früher, als die meisten Gründer erwarten. Die Pflicht kommt mit der Lizenz und nicht mit der Größe, sodass eine Firma in einer Sandbox oder frisch lizenziert sie genau dann trägt, wenn ihr Sicherheitsprogramm am wenigsten ausgereift ist. Hilfreich ist die Sicht, dass der erste Test günstiger und weit weniger schmerzhaft ist, solange die Plattform klein ist - und die Befunde dann noch jene sind, die Sie architektonisch beheben können statt zu umgehen.
Ja, und für einen VASP sollte sich der Umfang genau dort konzentrieren. Ein Webanwendungstest am Handels-Frontend lässt das eigentliche Verlustszenario ungeprüft. Die Fragen, die zählen, betreffen den Signaturablauf, die Trennung zwischen heißer und kalter Infrastruktur, wer und was eine Überweisung autorisieren kann, wie Freigaben von jemandem mit Teilzugriff umgangen werden können, und ob der operative Prozess rund um Schlüsselmaterial einen kompromittierten Administrator übersteht. Das sind ebenso Design- und Prozessfragen wie Codefragen - weshalb sie einen Menschen brauchen und keinen Scanner.
Von VARA, DFSA, ADGM oder CBUAE lizenziert?
Unabhängige Tests, auf das Rulebook zugeschnitten - inklusive Verwahrungsgrenze, nicht nur Frontend.