Requisitos de pruebas de penetración de NESA
Los Information Assurance Standards de NESA son inusuales entre los marcos de cumplimiento por ser específicos en dos puntos sobre los que la mayoría es vaga: la remediación de los hallazgos críticos tiene un reloj en marcha, y se revisan las credenciales de quien realizó la prueba. Ambos cambian la forma en que debería comprar la prueba.
Qué exige el estándar
Dentro de la gestión técnica de vulnerabilidades, los Information Assurance Standards de los EAU exigen que las evaluaciones de vulnerabilidades y las pruebas de penetración se realicen y se sometan a seguimiento. Para las entidades cubiertas eso aterriza, en la práctica, en pruebas anuales, pero la obligación es un ciclo y no un evento, y las tres partes que se evalúan son:
- La prueba: realizada, de forma independiente, contra un alcance apropiado a la entidad.
- La remediación: hallazgos críticos y altos documentados y corregidos, con las decisiones registradas allí donde en su lugar se acepte un riesgo.
- El retest: evidencia de que las correcciones funcionaron, dentro de una ventana definida, típicamente 90 días.
Las entidades que fallan NESA en pruebas de penetración casi siempre han hecho la primera parte y no las otras dos.
Dos requisitos que cambian la forma de comprar
El reloj de 90 días implica que no puede probar tarde
Si los hallazgos críticos y altos deben remediarse y someterse a retest dentro de 90 días, la consecuencia de calendario es inevitable: una prueba ejecutada en el último mes de su año de cumplimiento no deja margen para corregir nada ni para demostrarlo. Para cuando llega el informe, le quedan semanas, no un trimestre.
Pruebe con al menos un trimestre de margen. Cuando el entorno sea grande o haya pasado tiempo desde la última prueba, más, porque el esfuerzo de remediación es desconocido hasta que existe el informe, y una lista de hallazgos más pesada de lo esperado es exactamente el escenario que la ventana está diseñada para poner a prueba. Esta única decisión de calendario provoca más incumplimientos de NESA que ningún problema técnico.
Los assessors revisan quién probó
Los assessors de NESA examinan las credenciales del proveedor de pruebas de penetración, y OSCP o equivalente es la expectativa declarada. Esto es inusualmente concreto —la mayoría de marcos dice «debidamente cualificado» y lo deja ahí— y tiene una consecuencia comercial directa: una prueba más barata realizada por alguien sin una certificación ofensiva reconocida puede rechazarse en la evaluación, lo que le cuesta los honorarios, la ventana de remediación y el retest.
Así que la pregunta que debe hacer a cualquier proveedor antes de contratarlo es sencilla: ¿quién realizará las pruebas, qué acredita y puedo verificarlo? Para este encargo la respuesta es OSCP+ —la forma renovada vigente de la certificación— junto con eCPPT, eWPT y eCIR, más AZ-500, SC-200 y SC-300 en el lado de seguridad de Microsoft. Todas verificables de forma independiente a través de la credential wallet de OffSec, y ese enlace va a su paquete de evidencias junto al informe.
Alcance
Qué cubre un encargo alineado con NESA:
- Red externa: todo el parque expuesto a internet, incluidos los servicios publicados y olvidados.
- Aplicaciones web y APIs: autenticación, autorización, lógica de negocio, inyección y las APIs que hay detrás de las aplicaciones móviles.
- Red interna: hasta dónde llega un punto de apoyo y si aguanta la segmentación.
- Active Directory: abuso de plantillas de certificado de ADCS, Kerberoasting, delegación y rutas de ACL hasta Domain Admin. Para una entidad gubernamental o una utility de los EAU, aquí es donde un pequeño punto de apoyo externo se convierte en un compromiso total.
- Nube: escalada en Entra ID y Azure RBAC, almacenamiento expuesto, configuración incorrecta de identidades.
Para la infraestructura crítica de información en concreto, la pregunta que conviene dimensionar deliberadamente no es solo si el perímetro aguanta, sino hasta dónde llega alguien cuando no aguanta, que es lo que mide una evaluación de brecha asumida y lo que un consejo o un regulador realmente quiere saber.
NESA y el ISR de Dubái juntos
Muchas organizaciones cargan con ambos: NESA a nivel federal y la Information Security Regulation del DESC por ser una entidad del gobierno de Dubái o proveer a una. Los dos corren en paralelo y ninguno sustituye al otro, y sus requisitos técnicos de prueba se solapan casi por completo.
Dimensionado deliberadamente contra ambos desde el inicio, un solo encargo produce evidencias para los dos: las pruebas son las mismas, el mapeo difiere. Dimensionado contra uno y adaptado después, normalmente acaba probando dos veces. No cuesta nada decir en el dimensionamiento qué regímenes le aplican, y es lo más rentable que puede contarme en la primera llamada.
El entregable
Un resumen ejecutivo para la dirección y el assessor, un cuerpo técnico con pasos de reproducción, evidencias y valoraciones CVSS, y el mapeo de cada hallazgo al control aplicable para que su equipo de cumplimiento no construya esa hoja de cálculo por su cuenta. Después, soporte de remediación mientras corrige, un retest de los hallazgos cerrados —que es un requisito de NESA y no una venta adicional— y una carta de atestación que registre quién probó, con qué alcance y en qué fechas.
Cualquier cosa crítica se reporta en el momento en que se encuentra, no se guarda para el informe. Hay un informe de muestra si quiere ver el formato antes de comprometerse.
Cuestiones prácticas
El trabajo es remoto. Las pruebas externas, de aplicaciones web y de nube no necesitan nada de usted salvo alcance y autorización; las pruebas internas y de Active Directory se ejecutan sobre una VPN o un jump host dentro de su entorno. Cuando su regulador o su propia política restrinja dónde se procesan o almacenan las evidencias, eso se incorpora por escrito a las reglas de enfrentamiento antes de empezar nada.
Estoy en Ammán, una hora por detrás de Dubái, trabajando la misma semana que la región, en árabe o inglés. Sin oficina en los EAU y sin afirmar lo contrario: lo que obtiene es la persona que hace las pruebas, con credenciales que puede verificar en menos de un minuto.
Siguientes pasos
Dígame si está cubierto como entidad federal, como CII o a través de un contrato con una de ellas; qué entra en el alcance; y cuándo cae su evaluación. Recibirá presupuesto cerrado y fecha de inicio. Dada la ventana de retest de 90 días, la pregunta útil que conviene responder primero es cuánto margen tiene: si es menos de un trimestre, eso cambia la secuencia y deberíamos hablar más pronto que tarde.
Relacionado: pruebas de penetración en los EAU para ver cómo encajan los regímenes, CBUAE, DFSA, ADGM y VARA para servicios financieros, y la visión general de cumplimiento para todo lo demás. Póngase en contacto: el árabe es bienvenido.
Preguntas sobre NESA
Las entidades del gobierno federal y las organizaciones designadas como infraestructura crítica de información, lo que abarca energía, agua, transporte, telecomunicaciones, servicios financieros y sanidad. Igual que con el ECC saudí, el alcance práctico es mayor que el formal, porque las entidades cubiertas trasladan requisitos equivalentes a sus proveedores por contrato. Si un organismo público de los EAU o una utility le ha pedido evidencias de pruebas de penetración, NESA suele ser la razón.
Las evaluaciones de vulnerabilidades y las pruebas de penetración deben realizarse y hacerse seguimiento dentro de la gestión técnica de vulnerabilidades, lo que en la práctica significa al menos anualmente para las entidades cubiertas. La palabra seguimiento importa tanto como realizarse: NESA busca un ciclo gestionado y evidenciado —alcance, prueba, remediación, retest, registro— y no un informe que aparece una vez al año y acaba en una carpeta.
Los hallazgos críticos y altos necesitan remediación documentada con evidencia de un retest dentro de un plazo definido, típicamente 90 días. La consecuencia práctica tiene que ver con los tiempos: si ejecuta su prueba anual en el último mes de su año de cumplimiento, no queda margen para remediar y hacer retest dentro de la ventana antes de que se cierre el ciclo. Pruebe con al menos un trimestre de margen. Este es el error de planificación más común en los programas NESA y es del todo evitable.
Sí, más que en la mayoría de marcos. Los assessors de NESA revisan las credenciales del proveedor de pruebas de penetración, siendo OSCP o equivalente la expectativa. Las pruebas realizadas por alguien sin una certificación de seguridad ofensiva reconocida se cuestionan y en ocasiones se rechazan en la evaluación, lo que significa que el presupuesto más barato puede acabar siendo el resultado más caro. Pida la certificación y un enlace de verificación antes de contratar a nadie, y ponga ambos en el paquete de evidencias.
Normalmente sí. Los dos regímenes corren en paralelo —NESA a nivel federal, el ISR del DESC para las entidades del gobierno de Dubái y sus proveedores— y el alcance técnico que exigen se solapa casi por completo. Lo que difiere es el mapeo y el reporte. Dimensione el encargo contra ambos desde el principio y obtendrá una prueba y dos conjuntos de evidencias; dimensiónelo contra uno y adaptar el otro después suele implicar volver a probar.
¿Tiene cerca una evaluación NESA?
Certificación OSCP+, alcance conforme a IAS y las evidencias de retest que exige la ventana de 90 días.