Pruebas de penetración NCA ECC: control 2-11
Los Essential Cybersecurity Controls de la National Cybersecurity Authority sitúan las pruebas de penetración en el control 2-11, y el control es más específico de lo que la mayoría espera: regula no solo que se realicen pruebas, sino que los requisitos estén documentados, aprobados, implementados y con un alcance que cubra lo que la NCA determina.
Qué dice realmente el control 2-11
Los Essential Cybersecurity Controls sitúan las pruebas de penetración en el dominio 2, Cybersecurity Defence, en el control 2-11. Su propósito es evaluar la eficacia de la capacidad defensiva de la organización mediante ataque simulado, con el fin de encontrar debilidades en la infraestructura técnica que pudieran derivar en una brecha.
El control se descompone en tres obligaciones, y las organizaciones cumplen habitualmente la tercera mientras incumplen las dos primeras:
- Definir, documentar y aprobar los requisitos de ciberseguridad para las pruebas de penetración. Esta es una obligación documental por derecho propio: necesita una declaración escrita y aprobada de cómo se delimita el alcance de las pruebas, con qué frecuencia se ejecutan y quién las autoriza.
- Implementar esos requisitos. Las pruebas se realizan efectivamente, en el ciclo que usted documentó.
- Delimitar el alcance de las pruebas para cubrir, como mínimo, los servicios expuestos a internet y la infraestructura técnica que hay detrás.
La consecuencia práctica: una entidad que encarga una excelente prueba de penetración todos los años pero que nunca ha redactado y aprobado sus requisitos de pruebas sigue incumpliendo 2-11. El evaluador busca la política y la traza de aprobación tanto como el informe.
La trampa de los seis meses: CSCC
Si alguno de sus sistemas está clasificado como crítico, los Critical Systems Cybersecurity Controls se aplican por encima del ECC y elevan el requisito de pruebas para esos sistemas a al menos cada seis meses.
Este es el fallo de presupuesto y planificación más común en los programas de cumplimiento saudíes. La hipótesis anual queda fijada en compras, el ejercicio de clasificación ocurre más tarde o en otro equipo, y el desajuste aflora en la evaluación, cuando ya no queda tiempo para una segunda prueba. Haga primero la clasificación y después dimensione el programa de pruebas en torno a esa respuesta; y si unos sistemas son críticos y otros no, a menudo puede ejecutar un encargo semestral más reducido sobre el subconjunto crítico y un encargo anual completo sobre todo el parque, lo que resulta bastante más económico que probar todo el entorno dos veces al año.
Delimitar un alcance que supere la evaluación
El alcance mínimo del control son los servicios expuestos a internet más la infraestructura técnica que hay detrás. Eso es un suelo. Un alcance construido solo hasta el suelo invita a una pregunta evidente del evaluador: si su análisis de exposición se detiene en el perímetro, ¿cómo sabe que un punto de apoyo en el perímetro no lleva a ninguna parte?
El alcance que se sostiene sin discusión:
- Red externa: todo el parque expuesto a internet, incluidos los hosts y servicios que se publicaron hace años y se olvidaron. Exigido explícitamente por el control.
- Aplicaciones web y APIs: autenticación, autorización, lógica de negocio, inyección. En la práctica, la infraestructura técnica que hay detrás del servicio expuesto a internet.
- Red interna: hasta dónde llega un punto de apoyo y si la segmentación aguanta bajo presión.
- Active Directory: abuso de plantillas de certificado de ADCS, Kerberoasting, delegación y rutas de ACL hasta Domain Admin. En un parque gubernamental o corporativo saudí, aquí es casi siempre donde un punto de apoyo perimetral se convierte en un compromiso total, y es la parte que una evaluación basada en escáner nunca encontrará.
- Nube: allí donde se han trasladado las cargas de trabajo, los Cloud Cybersecurity Controls se aplican en paralelo y el tenant necesita el mismo tratamiento: rutas de escalada en Entra ID y Azure RBAC, almacenamiento expuesto, configuración incorrecta de identidades.
El paquete de evidencias
Cuatro artefactos, y el que más a menudo falta es el último:
- El documento de requisitos de pruebas aprobados: esta es la parte de 2-11 que no es la prueba.
- Un documento de alcance que muestre qué entró y qué quedó fuera, y por qué era lo apropiado.
- El informe: hallazgos, valoraciones CVSS, pasos de reproducción y mapeo explícito al control 2-11.
- Evidencias de remediación y retest: qué se corrigió, cuándo, confirmado mediante un retest. Los riesgos que decida aceptar necesitan una decisión registrada y un motivo; aceptar está permitido, callar no.
Una carta de atestación que indique quién realizó las pruebas, contra qué alcance y en qué fechas completa el paquete. Todos los encargos aquí incluyen el informe, el retest y la atestación como estándar y no como extras de pago, porque el entregable real es un paquete listo para la evaluación: el informe por sí solo no lo es.
Por qué importa quién realiza la prueba
ECC no prescribe una certificación como sí hace NESA en los EAU, pero la pregunta surge en la evaluación y por parte de los clientes públicos que trasladan el requisito hacia abajo: ¿quién ha hecho esto y qué acredita?
Poseo OSCP+, la forma renovada de la certificación de OffSec, junto con eCPPT, eWPT y eCIR, y AZ-500, SC-200 y SC-300 para la parte Microsoft y Azure del trabajo. Todas se verifican de forma independiente a través de la credential wallet de OffSec, y ese enlace debe figurar en su paquete de evidencias junto al informe.
Trabajo desde Ammán en GMT+3, horario idéntico al de Riad, en árabe o inglés, en remoto. Las pruebas internas y de Active Directory se ejecutan sobre una VPN o un jump host dentro de su entorno, y cualquier restricción sobre dónde se procesan o almacenan las evidencias se incorpora por escrito a las reglas de enfrentamiento antes de empezar.
Siguientes pasos
Cuénteme si CSCC se aplica a alguno de sus sistemas, cómo es el entorno y cuándo tiene la evaluación. Recibirá un presupuesto cerrado y una fecha de inicio. Si quiere ver antes el entregable, hay un informe de muestra; y si quiere ver su exposición externa actual en unos minutos, el escaneo de perímetro gratuito lo hace sin ningún compromiso.
Más contexto: pruebas de penetración en Arabia Saudí explica cómo encajan ECC, CSCC y SAMA, la página de SAMA cubre el requisito del sector financiero y la visión general de cumplimiento compara todos los marcos. Póngase en contacto: el árabe es bienvenido.
Preguntas sobre NCA ECC
A las entidades gubernamentales de todos los niveles, a las empresas que les prestan servicios y a los operadores de infraestructuras nacionales críticas. En la práctica el alcance es mayor de lo que parece, porque la obligación se transmite en cascada: las entidades trasladan contractualmente requisitos alineados con ECC a sus proveedores, de modo que una empresa privada sin obligación directa ante la NCA suele tener una obligación muy real ante su cliente público. Si un cliente del sector público saudí le ha pedido evidencias de pruebas de penetración, normalmente este es el control que hay detrás de esa petición.
El control 2-11 de ECC exige pruebas periódicas, y el ciclo anual es el que la mayoría de entidades adopta y defiende con éxito. Si alguno de sus sistemas está clasificado como crítico, se aplican los Critical Systems Cybersecurity Controls, que elevan el requisito a al menos cada seis meses para esos sistemas. Clasifique antes de presupuestar: descubrir una cadencia semestral después de que compras haya aprobado una partida anual es un problema genuinamente habitual y perfectamente evitable.
Como mínimo, los servicios expuestos a internet y la infraestructura técnica que hay detrás. Ese mínimo es un suelo, no un objetivo: un evaluador que vea un alcance que se detiene en el perímetro mientras la entidad opera un gran parque interno preguntará por qué. El alcance que supera una evaluación con comodidad es: superficie externa, aplicaciones web y APIs, red interna, Active Directory y el tenant de nube donde residan las cargas de trabajo.
La separación importa —quienes construyen u operan un sistema no deberían ser quienes lo evalúan— y, en la práctica, incluso entidades con capacidad interna madura recurren a un evaluador externo para el ciclo anual, porque la independencia es más sencilla de evidenciar que de argumentar. Cuando sí existe un equipo interno capaz, el reparto que suele funcionar bien es pruebas internas de forma continua durante el año y un encargo externo independiente para el ciclo regulatorio.
La revisión de 2024 actualiza y amplía los controles manteniendo las pruebas de penetración en 2-11 con la misma forma esencial: definir, documentar y aprobar los requisitos; implementarlos; y dar a las pruebas un alcance que cubra como mínimo los servicios expuestos a internet y la infraestructura técnica. Si construyó su programa de cumplimiento sobre la versión anterior, la obligación de realizar pruebas es continua más que nueva: lo que conviene revisar es su alcance documentado y su traza de aprobación frente al texto vigente, porque ahí es donde se concentra la mayor parte de la diferencia.
¿Necesita evidencias de ECC 2-11 antes de una evaluación?
Con el alcance del control, informe con el mapeo, retest y atestación.