Tests d'intrusion NCA ECC : contrôle 2-11
Les Essential Cybersecurity Controls de la National Cybersecurity Authority placent les tests d'intrusion au contrôle 2-11, et ce contrôle est plus précis que la plupart ne l'imaginent : il encadre non seulement le fait de tester, mais aussi que les exigences soient documentées, approuvées, mises en œuvre et dotées d'un périmètre couvrant ce que la NCA impose.
Ce que dit réellement le contrôle 2-11
Les Essential Cybersecurity Controls placent les tests d'intrusion dans le domaine 2, Cybersecurity Defence, au contrôle 2-11. Son objet est d'évaluer l'efficacité de la capacité défensive de l'organisation par une attaque simulée, afin de trouver dans l'infrastructure technique les faiblesses susceptibles de conduire à une compromission.
Le contrôle se décompose en trois obligations, et les organisations satisfont couramment la troisième tout en manquant les deux premières :
- Définir, documenter et approuver les exigences de cybersécurité relatives aux tests d'intrusion. C'est une obligation documentaire à part entière : il vous faut une déclaration écrite et approuvée précisant comment le périmètre est défini, à quelle fréquence les tests ont lieu et qui les valide.
- Mettre en œuvre ces exigences. Les tests ont effectivement lieu, selon le cycle que vous avez documenté.
- Définir le périmètre des tests pour couvrir, au minimum, les services exposés sur internet et l'infrastructure technique qui les sous-tend.
Conséquence pratique : une entité qui commande chaque année un excellent test d'intrusion mais n'a jamais rédigé ni approuvé ses exigences de test reste non conforme au 2-11. L'évaluateur cherche la politique et la piste d'approbation autant que le rapport.
Le piège des six mois : le CSCC
Si l'un de vos systèmes est classé critique, les Critical Systems Cybersecurity Controls s'appliquent au-dessus de l'ECC et portent l'exigence de test pour ces systèmes à au moins tous les six mois.
C'est l'échec de budget et de planification le plus répandu dans les programmes de conformité saoudiens. L'hypothèse annuelle est figée aux achats, l'exercice de classification intervient plus tard ou dans une autre équipe, et le décalage apparaît à l'évaluation, quand il ne reste plus le temps de lancer un second test. Faites d'abord la classification, puis dimensionnez le programme de tests autour de la réponse ; et si certains systèmes sont critiques et d'autres non, vous pouvez souvent mener une mission semestrielle plus réduite sur le sous-ensemble critique et une mission annuelle complète sur l'ensemble du parc, ce qui revient nettement moins cher que de tester tout l'environnement deux fois par an.
Cadrer un test qui passe l'évaluation
Le périmètre minimal du contrôle, ce sont les services exposés sur internet plus l'infrastructure technique derrière. C'est un plancher. Un périmètre construit au seul niveau du plancher appelle une question évidente de l'évaluateur : si votre analyse d'exposition s'arrête à la frontière réseau, comment savez-vous qu'un point d'appui sur le périmètre ne mène nulle part ?
Le périmètre qui tient sans discussion :
- Réseau externe — l'ensemble du parc exposé sur internet, y compris les hôtes et services publiés il y a des années puis oubliés. Explicitement exigé par le contrôle.
- Applications web et API — authentification, autorisation, logique métier, injection. En pratique, l'infrastructure technique derrière le service exposé sur internet.
- Réseau interne — jusqu'où mène un point d'appui, et si la segmentation tient sous pression.
- Active Directory — abus de modèles de certificats ADCS, Kerberoasting, délégation et chemins d'ACL vers Domain Admin. Dans un parc gouvernemental ou d'entreprise saoudien, c'est presque toujours là qu'un point d'appui périmétrique devient une compromission totale, et c'est la partie qu'une évaluation à base de scanner ne trouvera jamais.
- Cloud — là où les charges de travail ont migré, les Cloud Cybersecurity Controls s'appliquent en parallèle et le tenant exige le même traitement : chemins d'escalade Entra ID et Azure RBAC, stockage exposé, mauvaise configuration des identités.
Le dossier de preuves
Quatre artefacts, et celui qui manque le plus souvent est le dernier :
- Le document des exigences de test approuvées — c'est la partie du 2-11 qui n'est pas le test.
- Un document de périmètre montrant ce qui était inclus et exclu, et pourquoi c'était approprié.
- Le rapport : constats, notations CVSS, étapes de reproduction et mapping explicite vers le contrôle 2-11.
- Les preuves de remédiation et de retest — ce qui a été corrigé, quand, confirmé par un retest. Les risques que vous choisissez d'accepter exigent une décision consignée et un motif ; accepter est permis, se taire ne l'est pas.
Une lettre d'attestation indiquant qui a testé, sur quel périmètre et à quelles dates complète le dossier. Chaque mission ici inclut le rapport, le retest et l'attestation en standard plutôt qu'en options payantes, car le livrable réel est un dossier prêt pour l'évaluation : le rapport seul n'en est pas un.
Pourquoi le testeur compte
L'ECC ne prescrit pas de certification comme le fait NESA aux Émirats, mais la question revient à l'évaluation et de la part des clients publics qui répercutent l'exigence : qui a réalisé ceci, et que détient-il ?
Je détiens l'OSCP+, la forme renouvelée de la certification OffSec, avec eCPPT, eWPT et eCIR à côté, ainsi qu'AZ-500, SC-200 et SC-300 pour la partie Microsoft et Azure. Toutes sont vérifiables indépendamment via le credential wallet OffSec, et ce lien a sa place dans votre dossier de preuves à côté du rapport.
Je travaille depuis Amman en GMT+3 — horaires identiques à Riyad — en arabe ou en anglais, à distance. Les tests internes et Active Directory passent par un VPN ou un rebond dans votre environnement, et toute contrainte sur le lieu de traitement ou de stockage des preuves est inscrite par écrit dans les règles d'engagement avant le début des tests.
Prochaines étapes
Dites-moi si le CSCC s'applique à certains de vos systèmes, à quoi ressemble l'environnement et quand a lieu votre évaluation. Vous recevez un devis à prix ferme et une date de démarrage. Si vous souhaitez voir le livrable d'abord, il y a un rapport d'exemple ; et si vous voulez voir votre exposition externe actuelle en quelques minutes, le scan de périmètre gratuit le fait sans engagement.
Pour aller plus loin : les tests d'intrusion en Arabie saoudite explique comment ECC, CSCC et SAMA s'articulent, la page SAMA traite de l'exigence du secteur financier, et la vue d'ensemble conformité compare tous les référentiels. Prenez contact — l'arabe est bienvenu.
Questions sur NCA ECC
Aux entités gouvernementales à tous les niveaux, aux entreprises qui leur fournissent des services et aux opérateurs d'infrastructures nationales critiques. En pratique la portée est plus large qu'il n'y paraît, car l'obligation se propage en cascade : les entités répercutent contractuellement des exigences alignées sur l'ECC à leurs fournisseurs, si bien qu'une entreprise privée sans obligation directe envers la NCA a souvent une obligation bien réelle envers son client public. Si un client du secteur public saoudien vous a demandé des preuves de tests d'intrusion, c'est généralement ce contrôle qui est derrière la demande.
Le contrôle 2-11 de l'ECC impose des tests périodiques, le cycle annuel étant celui que la plupart des entités adoptent et défendent avec succès. Si l'un de vos systèmes est classé critique, les Critical Systems Cybersecurity Controls s'appliquent et relèvent l'exigence à au moins tous les six mois pour ces systèmes. Classifiez avant de budgéter : découvrir une cadence semestrielle après que les achats ont validé une ligne annuelle est un problème réellement courant et parfaitement évitable.
Au minimum, les services exposés sur internet et l'infrastructure technique qui les sous-tend. Ce minimum est un plancher et non un objectif : un évaluateur face à un périmètre qui s'arrête à la frontière réseau alors que l'entité exploite un vaste parc interne demandera pourquoi. Le périmètre qui passe l'évaluation sans difficulté est : surface externe, applications web et API, réseau interne, Active Directory et le tenant cloud lorsque les charges de travail y résident.
La séparation compte — ceux qui construisent ou exploitent un système ne devraient pas être ceux qui l'évaluent — et en pratique, même les entités dotées d'une capacité interne mature font appel à un testeur externe pour le cycle annuel, car l'indépendance est plus simple à prouver qu'à argumenter. Lorsque vous disposez d'une équipe interne compétente, la répartition qui fonctionne bien consiste en des tests internes en continu sur l'année et une mission externe indépendante pour le cycle réglementaire.
La révision de 2024 met à jour et étend les contrôles tout en maintenant les tests d'intrusion au 2-11 avec la même forme essentielle : définir, documenter et approuver les exigences ; les mettre en œuvre ; donner aux tests un périmètre couvrant au minimum les services exposés sur internet et l'infrastructure technique. Si vous avez bâti votre programme de conformité sur la version précédente, l'obligation de test est continue plutôt que nouvelle : ce qu'il vaut la peine de revérifier, c'est votre périmètre documenté et votre piste d'approbation face au texte en vigueur, car c'est là que se concentre l'essentiel de l'écart.
Besoin de preuves ECC 2-11 avant une évaluation ?
Périmètre calé sur le contrôle, rapport avec le mapping, retest et attestation.