Pruebas de penetración para finanzas y activos virtuales en los EAU
Cuatro reguladores, cuatro licencias, un requisito recurrente: pruebas de seguridad independientes, evidenciadas. Para las firmas de activos virtuales bajo VARA el requisito es explícito y anual, y el alcance que importa va bastante más allá de la aplicación web, hasta la frontera de la custodia.
Cuatro reguladores, un requisito de fondo
Los servicios financieros de los EAU se reparten entre onshore y dos zonas francas, más un regulador dedicado a los activos virtuales. Cuál de ellos le licencia decide la redacción de su obligación, pero el fondo converge: pruebas de seguridad independientes, realizadas con regularidad, con evidencias que pueda presentar.
VARA: activos virtuales de Dubái
El más explícito de los cuatro. Bajo el Technology and Information Rulebook, todo VASP licenciado requiere una prueba de penetración independiente al menos anual, y VARA puede exigir además pruebas dirigidas por inteligencia cuando lo juzgue necesario y proporcionado. El rulebook cubre también gobernanza de ciberseguridad, gestión de claves multifirma respaldada por módulos de seguridad hardware, mínimos de almacenamiento en frío y notificación de incidentes en un reloj de 24 a 72 horas según severidad.
CBUAE: bancos y entidades financieras onshore
El Banco Central fija expectativas de seguridad para las entidades licenciadas onshore, con pruebas independientes periódicas de los sistemas expuestos a internet y de las aplicaciones de cara al cliente como expectativa permanente y no puntual. Cuando hay datos de tarjeta en el alcance, el requisito 11.4 de PCI DSS se aplica en paralelo y se solapa mucho: dimensionados juntos, es un solo encargo.
DFSA (DIFC) y FSRA (ADGM)
Ambos reguladores de zona franca esperan pruebas de seguridad independientes proporcionadas al perfil de riesgo de la firma, siendo lo anual el intervalo que las firmas adoptan y defienden. Ninguno publica una frecuencia universal única como hace VARA, lo que en la práctica significa que la carga de justificar su ciclo recae en usted, y «anual, más tras cambio material» es la justificación que se sostiene.
Y NESA por debajo
Los servicios financieros están designados infraestructura crítica de información, así que los Information Assurance Standards de NESA se aplican con frecuencia junto a su regulador sectorial, incluida su expectativa de retest a 90 días para hallazgos críticos y altos, y su revisión de las credenciales de quien prueba. Dimensione para ambos a la vez; adaptarlo después suele implicar probar dos veces.
Para los VASP: dimensione la frontera de custodia, no el front end
Esta es la parte sobre la que conviene ser directo. Una prueba convencional de aplicación web contra una interfaz de trading encontrará problemas de autenticación y autorización, y dejará el escenario real de pérdida completamente sin probar. Los exchanges no suelen perder activos por cross-site scripting.
Las preguntas que importan para una firma de activos virtuales:
- El flujo de firma: quién y qué puede autorizar una transferencia, cómo se imponen las aprobaciones técnicamente y no solo por procedimiento, y si un único administrador o cuenta de servicio comprometida puede mover valor.
- Separación caliente/fría: si la frontera está realmente impuesta o solo documentada, y qué la atraviesa.
- Manejo del material de claves: cómo se invoca la firma respaldada por HSM, qué puede invocarla y si el acceso al sistema invocante equivale al acceso a la clave.
- Elusión de aprobaciones: qué puede lograr alguien con acceso parcial: una cuenta de operaciones, una estación de trabajo de desarrollo comprometida, una lectura privilegiada en un sistema de tesorería.
- El proceso operativo: los pasos humanos en torno a retiradas y listas de direcciones permitidas, que es donde aterriza la ingeniería social en este sector.
Son preguntas de diseño y de proceso tanto como de código, que es exactamente por lo que necesitan a alguien que pruebe y no a un escáner. La plataforma subyacente sigue necesitando el tratamiento estándar —web y API, red externa e interna, nube—, pero la frontera de custodia es donde debe concentrarse el alcance.
Pruebas dirigidas por inteligencia, por si surgen
Las pruebas dirigidas por inteligencia —la familia que incluye TIBER-EU y CBEST— parten de inteligencia de amenazas real sobre quién ataca a firmas como la suya y después emulan a esos adversarios concretos contra producción, normalmente sin avisar al equipo defensor. Miden detección y respuesta tanto como vulnerabilidad, y son más largas y caras que una prueba estándar.
VARA puede exigirlas cuando lo considere proporcionado, lo que sigue a grandes rasgos el tamaño de la firma y los activos bajo custodia. La mayoría de VASP recién licenciados empiezan con la prueba independiente anual; las firmas con custodia significativa deberían planificar la llegada de la pregunta. El consejo honesto sobre la secuencia: primero una prueba de penetración estándar. Las pruebas dirigidas por inteligencia contra un entorno que nunca ha tenido una evaluación convencional producen un informe caro lleno de hallazgos que un encargo más barato habría detectado.
Qué obtiene
Precio cerrado acordado antes de empezar nada. Reglas de enfrentamiento por escrito, incluidas ventanas de prueba y contactos de escalado, lo que aquí importa más que en la mayoría de sectores, porque probar cerca de infraestructura de custodia en producción necesita una vía de aborto acordada. Los hallazgos críticos se reportan en el momento en que se encuentran.
El informe lleva un resumen ejecutivo para su consejo y su regulador, un cuerpo técnico con pasos de reproducción y valoraciones CVSS, y el mapeo al rulebook o control que exigió la prueba. Después, soporte de remediación, un retest de lo que haya cerrado y una carta de atestación que nombre a quien probó, el alcance y las fechas, que es normalmente lo que entrega al regulador o a una contraparte institucional que le somete a diligencia debida. Hay un informe de muestra con el formato.
Quién la realiza
Trabaja directamente con quien prueba. Credenciales, ya que las compras del sector financiero y de los VASP siempre preguntan: OSCP+, eCPPT, eWPT, eCIR, más AZ-500, SC-200 y SC-300, todas verificables a través de la credential wallet de OffSec. El bagaje en ingeniería de detección previo al trabajo ofensivo es directamente relevante aquí: el informe cubre no solo cómo funciona una ruta de ataque, sino qué aspecto habría tenido en su monitorización y si algo la habría detectado. Para un regulador que pregunta por capacidad de detección y respuesta, esa distinción es la respuesta.
En remoto desde Ammán, una hora por detrás de Dubái, la misma semana laboral, en árabe o inglés.
Siguientes pasos
Dígame qué licencia tiene, cómo es la plataforma y si la infraestructura de custodia entra en el alcance. Recibirá presupuesto cerrado y fecha de inicio. Si acaba de obtener licencia y está tratando de averiguar qué debería cubrir realmente su primera prueba, esa es una conversación breve y útil: póngase en contacto.
Relacionado: pruebas de penetración en los EAU, requisitos de NESA y la visión general de cumplimiento.
Preguntas sobre finanzas en los EAU
Bajo el Technology and Information Rulebook de VARA, todo proveedor de servicios de activos virtuales con licencia en Dubái debe someterse a una prueba de penetración independiente al menos anualmente, y VARA puede además exigir pruebas dirigidas por inteligencia cuando lo considere necesario y proporcionado. El rulebook convive con requisitos sobre gobernanza del programa de ciberseguridad, gestión de claves multifirma respaldada por HSM, mínimos de almacenamiento en frío y notificación de incidentes en un plazo de 24 a 72 horas según la severidad. La obligación de pruebas no es todo el rulebook, pero es la parte que necesita un tercero externo.
Las pruebas dirigidas por inteligencia —el modelo que hay detrás de TIBER-EU y CBEST— parten de inteligencia de amenazas real sobre quién ataca de verdad a firmas como la suya y después simulan a esos adversarios concretos contra producción, habitualmente sin que el equipo defensor lo sepa. Son más largas, más caras y más reveladoras que una prueba de penetración estándar. VARA puede exigirlas cuando lo juzgue proporcionado, lo que en la práctica sigue el tamaño de la firma y los activos bajo custodia. La mayoría de VASP recién licenciados empiezan con la prueba independiente anual; las firmas con custodia significativa deberían esperar la pregunta tarde o temprano.
Tanto la DFSA en el DIFC como la FSRA en ADGM esperan pruebas de seguridad independientes y periódicas, proporcionadas al perfil de riesgo de la firma, en lugar de publicar un intervalo universal único como hace VARA. Lo anual es la norma que las firmas adoptan y defienden, con pruebas adicionales tras un cambio material. La expectativa práctica en ambas zonas francas es la misma que en onshore: pruebas independientes, remediación documentada y evidencias que pueda presentar si se las piden.
Casi con total seguridad, y antes de lo que la mayoría de fundadores espera. La obligación llega con la licencia y no con la escala, de modo que una firma en un sandbox o recién licenciada la arrastra justo en la fase en la que el programa de seguridad está menos maduro. El encuadre útil es que la primera prueba es más barata y mucho menos dolorosa cuando la plataforma es pequeña, y los hallazgos son aún los que se pueden corregir arquitectónicamente en lugar de parchear alrededor.
Sí, y para un VASP ahí es donde debería concentrarse el alcance. Una prueba de aplicación web sobre el front end de trading deja sin probar el escenario real de pérdida. Las preguntas que merece la pena responder tienen que ver con el flujo de firma, la separación entre infraestructura caliente y fría, quién y qué puede autorizar una transferencia, cómo puede eludir las aprobaciones alguien con acceso parcial, y si el proceso operativo en torno al material de claves sobrevive a un administrador comprometido. Son preguntas de diseño y de proceso tanto como de código, y por eso necesitan a una persona y no a un escáner.
¿Licenciado por VARA, DFSA, ADGM o CBUAE?
Pruebas independientes con el alcance del rulebook, incluida la frontera de custodia y no solo el front end.