Penetrationstests in Saudi-Arabien
Die meisten Penetrationstests im Königreich werden gekauft, weil eine Aufsichtsbehörde sie verlangt. Die Essential Cybersecurity Controls der NCA, die Controls für kritische Systeme und das SAMA-Rahmenwerk schreiben jeweils eigene Intervalle vor - und jedes erwartet Nachweise, die ein Prüfer lesen kann. Hier steht, was diese Arbeit umfasst und wie ich sie liefere.
Was die saudischen Aufsichtsbehörden tatsächlich verlangen
Drei getrennte Regime schreiben im Königreich Penetrationstests vor, und welches für Sie gilt, bestimmt Umfang, Intervall und die Nachweise, die Sie führen müssen.
NCA Essential Cybersecurity Controls (ECC)
Die ECC der National Cybersecurity Authority sind die nationale Grundlinie und binden Behörden, deren Auftragnehmer und Betreiber kritischer nationaler Infrastruktur. Kontrolle 2-11 behandelt Penetrationstests: Die Anforderungen müssen definiert, dokumentiert und genehmigt sein, sie müssen umgesetzt sein, und der Umfang muss die aus dem Internet erreichbaren Dienste und die dahinterliegende technische Infrastruktur abdecken. Getestet wird regelmäßig, und der Nachweis, den ein Prüfer sucht, ist der vollständige Zyklus - Scope-Dokument, Testbericht, Behebung, Nachtest - nicht bloß ein PDF mit Datum.
Critical Systems Cybersecurity Controls (CSCC)
Sind Systeme als kritisch eingestuft, heben die CSCC die Latte: Diese Systeme müssen mindestens alle sechs Monate statt jährlich geprüft werden. Das überrascht viele Unternehmen, weil Budget und Beschaffung üblicherweise auf einen Test pro Jahr ausgelegt sind. Klassifizieren Sie früh, denn ein Halbjahresrhythmus verändert die kommerzielle Form des Auftrags vollständig.
SAMA Cyber Security Framework
Von Finanzinstituten unter Aufsicht der saudischen Zentralbank - Banken, Versicherern, Finanzierungsgesellschaften, Zahlungsdienstleistern - wird erwartet, dass sie mindestens jährlich unabhängige externe Penetrationstests durchführen, die aus dem Internet erreichbare Systeme, Webanwendungen und Netzinfrastruktur abdecken. Unabhängigkeit ist die entscheidende Anforderung: Tests durch das Team, das das System baut oder betreibt, erfüllen sie nicht, und ein als Penetrationstest verkaufter Schwachstellenscan ebenso wenig.
Und was daneben gilt
Das Datenschutzgesetz der SDAIA bringt eigene Sicherheitspflichten, wo personenbezogene Daten verarbeitet werden, die Cloud Cybersecurity Controls greifen, wo Workloads bei einem Cloud-Anbieter liegen, und Großunternehmen setzen zunehmend eigene Lieferantenstandards durch - die Anforderungen von Aramco an Dritte sind das Beispiel, dem saudische Lieferanten zuerst begegnen. Wo Sie Kartenzahlungen annehmen, gilt zusätzlich PCI DSS Anforderung 11.4; das behandelt die Seite zu PCI-DSS-Tests.
Was ein Test tatsächlich abdeckt
Der Umfang, der Kontrolle 2-11 und SAMA in der Praxis genügt, in der üblichen Reihenfolge:
- Externe Netzwerktests - alles, was Ihr Unternehmen ins Internet stellt: VPN-Konzentratoren, Mail, Fernzugriff, vergessene Staging-Hosts und Dienste, an deren Veröffentlichung sich niemand mehr erinnert. Ausdrücklich im Umfang von 2-11, und dort beginnen die meisten echten Einbrüche.
- Web- und API-Tests - Authentifizierung, Autorisierung, Geschäftslogik und Injection gegen Ihre kundenseitigen Anwendungen und die APIs dahinter. Im SAMA-Umfang ausdrücklich genannt.
- Interne Netzwerktests - was jemand erreicht, der bereits Fuß gefasst hat: Segmentierung, die nicht hält, flache Netze, Zugangsdaten an Orten, an denen sie nicht liegen sollten.
- Active Directory - Missbrauch von ADCS-Zertifikatsvorlagen, Kerberoasting, Delegationsprobleme und ACL-Pfade zu Domain Admin. Praktisch jedes saudische Großunternehmen läuft auf AD, und dort wird aus einem externen Fuß in der Tür eine vollständige Kompromittierung.
- Cloud - Eskalationspfade in Entra ID und Azure RBAC, offener Speicher und Identitäts-Fehlkonfigurationen, die aus einem Cloud-Tenant eine Abkürzung statt einer Barriere machen.
Was Sie erhalten
Einen Bericht, der für zwei Zielgruppen zugleich geschrieben ist: eine Zusammenfassung, der ein Vorstand oder eine Aufsichtsbehörde ohne Übersetzer folgen kann, und einen technischen Teil mit Reproduktionsschritten, Belegen und CVSS-Bewertungen, mit dem Ihre Techniker direkt arbeiten. Jeder Befund ist der Kontrolle zugeordnet, die den Test erforderlich gemacht hat, damit ein Prüfer von der Pflicht zum Nachweis durchgehen kann, ohne dass Sie diese Zuordnung selbst bauen.
Unterstützung bei der Behebung ist enthalten statt separat verkauft - Fragen während der Korrektur werden beantwortet - ebenso ein Nachtest der geschlossenen Befunde und ein Attestierungsschreiben, das Durchführung, Prüfer, Umfang und Daten festhält. Nach meiner Erfahrung ist das Attestierungsschreiben das Dokument, das beim Prüfer landet oder an den Großkunden geht, der einen Nachweis verlangt. Es gibt einen Musterbericht, falls Sie das Format vorab sehen möchten (auf Englisch).
Warum mit einem unabhängigen Berater arbeiten
Sie sprechen mit der Person, die testet. Kein Account Manager, der Fragen weiterreicht, kein Junior, der unter dem Namen eines Seniors auf der Rechnung einen Scanner laufen lässt, und keine drei Wochen Lücke zwischen Testende und Bericht. Bei einer ECC- oder SAMA-Frist ist genau diese Direktheit meist der Unterschied zwischen eingehaltenem Termin und Erklärungsbedarf.
Die praktische Passung für den Golf gehört ausgesprochen: Ich arbeite aus Amman in GMT+3 - dieselben Arbeitszeiten und dieselbe Woche wie Riad, Dschidda und Dammam - eine Frage während des Tests wird am selben Tag beantwortet. Arabisch und Englisch funktionieren beide. Ich halte OSCP+ sowie eCPPT, eWPT, eCIR, AZ-500, SC-200 und SC-300, alle unabhängig überprüfbar in der OffSec-Credential-Wallet - was hier zählt, denn Prüfer fragen zunehmend, wer getestet hat und was diese Person vorweist.
Was ich nicht tue: so tun, als wäre ich eine lokale Firma. Ich habe kein Büro in Riad und werde keines behaupten. Was ich bin: ein Spezialist, den Sie direkt beauftragen, in Ihrer Zeitzone und Ihrer Sprache, mit Qualifikationen, die Sie in dreißig Sekunden prüfen können.
Einstieg
Nennen Sie mir die zu erfüllende Kontrolle - 2-11, einen CSCC-Halbjahreszyklus, einen jährlichen SAMA-Test - dazu den Umfang und Ihre Frist. Sie bekommen ein Festpreisangebot und einen Starttermin zurück, keinen Entdeckungsprozess. Wenn Sie zuerst etwas Konkretes sehen wollen: Der kostenlose Perimeter-Scan zeigt, was Ihre externe Angriffsfläche derzeit preisgibt, und die Compliance-Übersicht vergleicht die übrigen Rahmenwerke.
Wenn unklar ist, welches Regime für Sie gilt, ist das eine normale Frage, die ein kurzes Gespräch klärt. Nehmen Sie Kontakt auf - Anfragen auf Arabisch sind willkommen.
Saudi-Arabien: häufige Fragen
Ja. Kontrolle 2-11 der Essential Cybersecurity Controls behandelt Penetrationstests ausdrücklich und besteht aus drei Teilen: Die Anforderungen müssen definiert und dokumentiert, sie müssen genehmigt und sie müssen umgesetzt sein. Der Umfang muss mindestens die aus dem Internet erreichbaren Dienste und die dahinterliegende technische Infrastruktur abdecken. Getestet wird regelmäßig. Unterliegen Sie zusätzlich den Critical Systems Cybersecurity Controls, müssen kritische Systeme mindestens alle sechs Monate statt jährlich geprüft werden.
Von Instituten unter Aufsicht der saudischen Zentralbank wird erwartet, dass sie mindestens jährlich unabhängige externe Penetrationstests durchführen, die aus dem Internet erreichbare Systeme, Webanwendungen und Netzinfrastruktur abdecken. Das Wort mit dem größten Gewicht ist dort unabhängig - ein Test durch das Team, das das System gebaut hat oder betreibt, genügt nicht. Für Banken, Versicherer, Finanzierungsgesellschaften und Zahlungsdienstleister ist das eine jährlich wiederkehrende Pflicht, keine einmalige Sache.
Für externe Tests, Webanwendungen, Cloud und den größten Teil interner Tests nein - die Arbeit erfolgt remote, so wird die überwiegende Mehrheit der Prüfungen in der Region geliefert. Interne Netz- und Active-Directory-Tests laufen über VPN oder einen kleinen Jump-Host unter Ihrer Kontrolle, und ich arbeite auf Wunsch von einer Jump-Box innerhalb Ihrer Umgebung. Gibt es Anforderungen an die Datenhaltung, die einschränken, wo Nachweise gespeichert oder verarbeitet werden, sagen Sie es beim Scoping - es geht schriftlich in die Rules of Engagement.
Dafür ist er geschrieben. Jeder Bericht enthält eine Zusammenfassung für die Leitungsebene, einen technischen Teil mit Reproduktionsschritten und CVSS-Bewertungen, die Zuordnung zu der Kontrolle, die den Test ausgelöst hat, und einen Behebungsteil, mit dem Ihre Techniker ohne Rückfrage arbeiten können. Ein Nachtest der behobenen Befunde und ein Attestierungsschreiben, das Durchführung, Prüfer, Umfang und Zeitraum bestätigt, sind enthalten - und das Attestierungsschreiben ist meist genau das Dokument, das ein Prüfer oder Kunde tatsächlich ablegt.
Standardmäßig Englisch, womit Aufsichtsbehörden und der saudische Einkauf überwiegend arbeiten. Arabisch ist auf Anfrage möglich, und die laufende Kommunikation während des Auftrags kann vollständig auf Arabisch erfolgen. Ich arbeite aus Amman in GMT+3, mit derselben Arbeitswoche und denselben Zeiten wie Riad - Fragen während des Tests werden am selben Tag beantwortet, nicht über Nacht.
Frist bei NCA oder SAMA?
Nennen Sie mir die zu erfüllende Kontrolle und den Umfang, und Sie erhalten Festpreis und Termin.