Test de intrusión en Arabia Saudí
La mayoría de los test de intrusión en el Reino se compran porque un regulador los exige. Los Essential Cybersecurity Controls de la NCA, los controles de sistemas críticos y el marco de SAMA imponen cada uno su propio calendario, y cada uno espera evidencias que un auditor pueda leer. Esto es lo que implica ese trabajo y cómo lo entrego.
Qué exigen realmente los reguladores saudíes
Tres regímenes distintos obligan a realizar test de intrusión en el Reino, y cuál le aplica determina el alcance, la frecuencia y las evidencias que debe conservar.
NCA Essential Cybersecurity Controls (ECC)
Los ECC de la National Cybersecurity Authority son la base nacional y obligan a entidades públicas, sus contratistas y operadores de infraestructura nacional crítica. El control 2-11 cubre el test de intrusión (página en inglés): los requisitos deben definirse, documentarse y aprobarse, deben implantarse, y el alcance debe cubrir los servicios expuestos a Internet y la infraestructura técnica que hay detrás. La prueba es periódica, y la evidencia que busca un auditor es el ciclo completo —documento de alcance, informe, remediación, retest— no un PDF con fecha.
Critical Systems Cybersecurity Controls (CSCC)
Si alguno de sus sistemas está clasificado como crítico, los CSCC suben el listón: esos sistemas deben probarse al menos cada seis meses en lugar de anualmente. Esto sorprende a muchas organizaciones, porque el presupuesto y el ciclo de compras suelen construirse sobre una prueba al año. Clasifique pronto, porque una cadencia semestral cambia por completo la forma comercial del encargo.
SAMA Cyber Security Framework
Se espera que las entidades financieras supervisadas por el banco central saudí —bancos, aseguradoras, financieras, proveedores de pagos— realicen test de intrusión externos independientes al menos anuales (página en inglés), cubriendo sistemas expuestos a Internet, aplicaciones web e infraestructura de red. La independencia es el requisito operante: una prueba realizada por el equipo que construye u opera el sistema no lo cumple, y tampoco lo cumple un escaneo de vulnerabilidades presentado como test de intrusión.
Y lo que convive con ello
La ley de protección de datos de SDAIA trae sus propias obligaciones de seguridad donde se traten datos personales, los Cloud Cybersecurity Controls aplican donde las cargas residan en un proveedor cloud, y las grandes corporaciones imponen cada vez más sus propios estándares a proveedores: los requisitos de Aramco para terceros son el ejemplo con el que primero se topan los proveedores saudíes. Si acepta pagos con tarjeta, el requisito 11.4 de PCI DSS se suma a todo lo anterior; está tratado en la página de PCI DSS.
Qué cubre realmente una prueba
El alcance que satisface el control 2-11 y a SAMA en la práctica, en el orden habitual:
- Pruebas de red externa - todo lo que su organización expone a Internet: concentradores VPN, correo, accesos remotos, servidores de preproducción olvidados y servicios que nadie recuerda haber publicado. Explícitamente dentro del alcance del 2-11, y donde empiezan la mayoría de las intrusiones reales.
- Pruebas web y de API - autenticación, autorización, lógica de negocio e inyección contra sus aplicaciones de cara al cliente y las API que hay detrás. Citado expresamente en el alcance de SAMA.
- Pruebas de red interna - qué alcanza alguien que ya tiene un punto de apoyo: segmentación que no aguanta, redes planas, credenciales guardadas donde no deberían.
- Active Directory - abuso de plantillas de certificado ADCS, Kerberoasting, problemas de delegación y rutas de ACL hasta Domain Admin. Casi toda gran organización saudí funciona sobre AD, y ahí es donde un punto de apoyo externo se convierte en compromiso total.
- Nube - rutas de escalada en Entra ID y Azure RBAC, almacenamiento expuesto y errores de configuración de identidad que convierten un tenant en atajo en lugar de barrera.
Qué recibe
Un informe escrito para dos públicos a la vez: un resumen ejecutivo que un consejo o un regulador puede seguir sin traductor, y un cuerpo técnico con pasos de reproducción, evidencias y puntuaciones CVSS con el que sus ingenieros trabajan directamente. Cada hallazgo está vinculado al control que motivó la prueba, de modo que un auditor pueda ir de la obligación a la evidencia sin que usted construya esa correspondencia.
El acompañamiento en la remediación está incluido en lugar de venderse aparte —las dudas durante las correcciones se responden— igual que un retest de los hallazgos que haya cerrado y una carta de atestación que indica que la prueba se realizó, por quién, con qué alcance y en qué fechas. Por experiencia, la atestación es el documento que acaba en manos del auditor o del cliente corporativo que pide una prueba. Hay un informe de muestra si quiere ver el formato antes de comprometerse (en inglés).
Por qué trabajar con un consultor independiente
Habla con la persona que realiza las pruebas. Sin gestor de cuentas que traslade preguntas, sin un júnior ejecutando un escáner bajo el nombre de un sénior en la factura, y sin tres semanas de hueco entre el fin de la prueba y la llegada del informe. Ante un plazo de ECC o SAMA, esa inmediatez suele ser la diferencia entre cumplir la fecha y explicar por qué no.
El encaje práctico con el Golfo conviene decirlo claro: trabajo desde Amán en GMT+3 —mismo horario y misma semana laboral que Riad, Yeda y Dammam—, así que una duda durante la prueba se responde el mismo día. El árabe y el inglés funcionan igual. Tengo OSCP+ junto con eCPPT, eWPT, eCIR, AZ-500, SC-200 y SC-300, todas verificables de forma independiente en el monedero de credenciales de OffSec, algo que aquí importa porque los auditores preguntan cada vez más quién realizó la prueba y qué acredita.
Lo que no haré es fingir que soy una firma local. No tengo oficina en Riad y no voy a afirmar lo contrario. Lo que sí soy: un especialista al que contrata directamente, en su huso horario y su idioma, con credenciales que puede verificar en treinta segundos.
Cómo empezar
Dígame qué control debe satisfacer —2-11, un ciclo semestral de CSCC, una prueba anual de SAMA— además del alcance y su plazo. Recibirá un precio cerrado y una fecha de inicio, no un proceso de descubrimiento. Si prefiere ver algo concreto primero, el escaneo de perímetro gratuito muestra qué expone hoy su superficie externa, y la visión general de cumplimiento compara el resto de marcos.
Si no sabe qué régimen le aplica, es una duda normal y una llamada breve la resuelve. Escríbame: las consultas en árabe son bienvenidas.
Arabia Saudí: preguntas frecuentes
Sí. El control 2-11 de los Essential Cybersecurity Controls cubre específicamente el test de intrusión y tiene tres partes: los requisitos deben definirse y documentarse, deben aprobarse y deben implantarse. El alcance debe cubrir al menos los servicios expuestos a Internet y la infraestructura técnica que hay detrás. La prueba se exige de forma periódica. Si además está sujeto a los Critical Systems Cybersecurity Controls, los sistemas críticos deben probarse al menos cada seis meses en lugar de anualmente.
Se espera que las entidades supervisadas por el banco central saudí realicen test de intrusión externos independientes al menos anualmente, cubriendo sistemas expuestos a Internet, aplicaciones web e infraestructura de red. La palabra con más peso ahí es independientes: una prueba realizada por el equipo que construyó u opera el sistema no lo satisface. Para bancos, aseguradoras, financieras y proveedores de pagos es una obligación anual recurrente, no algo puntual.
Para pruebas externas, aplicaciones web, nube y la mayor parte de las pruebas internas, no: el trabajo se hace en remoto, que es como se entrega la gran mayoría de evaluaciones en la región. Las pruebas de red interna y Active Directory se realizan por VPN o un pequeño equipo puente que usted controla, y puedo trabajar desde una máquina dentro de su entorno si su política lo requiere. Si tiene un requisito de residencia de datos que limite dónde se almacenan o procesan las evidencias, dígalo en el alcance: queda por escrito en las reglas de compromiso.
Está escrito para eso. Cada informe lleva un resumen ejecutivo para la dirección, un cuerpo técnico con pasos de reproducción y puntuaciones CVSS, la correspondencia con el control que motivó la prueba y una sección de remediación redactada para que sus ingenieros puedan actuar sin una llamada adicional. Se incluyen el retest de los hallazgos corregidos y una carta de atestación que confirma que la prueba se realizó, por quién y con qué alcance; la atestación suele ser el documento que el auditor o el cliente archiva de verdad.
En inglés por defecto, que es con lo que trabajan los reguladores y la mayoría de los departamentos de compras saudíes. El árabe está disponible bajo petición, y la comunicación diaria durante el encargo puede ser íntegramente en árabe. Trabajo desde Amán en GMT+3, con la misma semana laboral y el mismo horario que Riad, así que las preguntas durante la prueba se responden el mismo día, no al día siguiente.
¿Tiene un plazo con NCA o SAMA?
Dígame qué control debe satisfacer y el alcance, y recibirá precio cerrado y fecha.