Exigences NESA en matière de tests d'intrusion
Les Information Assurance Standards de NESA sont inhabituels parmi les référentiels de conformité en ce qu'ils sont précis sur deux points où la plupart restent vagues : la remédiation des constats critiques est chronométrée, et les certifications de celui qui a réalisé le test sont revues. Les deux changent la façon dont vous devriez acheter le test.
Ce qu'exige la norme
Au titre de la gestion technique des vulnérabilités, les Information Assurance Standards des Émirats exigent que les évaluations de vulnérabilités et les tests d'intrusion soient réalisés et suivis. Pour les entités couvertes, cela se traduit en pratique par des tests annuels — mais l'obligation est un cycle plutôt qu'un événement, et les trois parties évaluées sont :
- Le test — réalisé, de façon indépendante, sur un périmètre adapté à l'entité.
- La remédiation — constats critiques et élevés documentés et corrigés, avec les décisions consignées là où un risque est accepté à la place.
- Le retest — la preuve que les correctifs ont fonctionné, dans une fenêtre définie, typiquement 90 jours.
Les entités qui échouent à NESA sur les tests d'intrusion ont presque toujours fait la première partie et pas les deux autres.
Deux exigences qui changent la façon d'acheter
L'horloge des 90 jours interdit de tester tard
Si les constats critiques et élevés doivent être corrigés et retestés sous 90 jours, la conséquence calendaire est inévitable : un test lancé le dernier mois de votre année de conformité ne laisse aucune marge pour corriger quoi que ce soit et le prouver. Le temps que le rapport arrive, il vous reste des semaines, pas un trimestre.
Testez avec au moins un trimestre de marge. Lorsque l'environnement est vaste ou que le dernier test remonte à loin, davantage — car l'effort de remédiation est inconnu tant que le rapport n'existe pas, et une liste de constats plus lourde que prévu est exactement le scénario que la fenêtre est conçue pour éprouver. Cette seule décision de calendrier cause plus d'échecs NESA que n'importe quel problème technique.
Les évaluateurs examinent qui a testé
Les évaluateurs NESA examinent les certifications du prestataire de tests d'intrusion, et l'OSCP ou équivalent est l'attente déclarée. C'est inhabituellement concret — la plupart des référentiels disent « dûment qualifié » et s'arrêtent là — et cela a une conséquence commerciale directe : un test moins cher réalisé par quelqu'un sans certification offensive reconnue peut être rejeté à l'évaluation, ce qui vous coûte les honoraires, la fenêtre de remédiation et le retest.
La question à poser à tout prestataire avant de l'engager est donc simple : qui réalisera les tests, que détient-il, et puis-je le vérifier ? Pour cette mission, la réponse est OSCP+ — la forme renouvelée actuelle de la certification — aux côtés d'eCPPT, eWPT et eCIR, plus AZ-500, SC-200 et SC-300 côté sécurité Microsoft. Toutes vérifiables indépendamment via le credential wallet OffSec, et ce lien va dans votre dossier de preuves à côté du rapport.
Périmètre
Ce que couvre une mission alignée NESA :
- Réseau externe — tout le parc exposé sur internet, y compris les services publiés puis oubliés.
- Applications web et API — authentification, autorisation, logique métier, injection, et les API derrière les applications mobiles.
- Réseau interne — jusqu'où mène un point d'appui, si la segmentation tient.
- Active Directory — abus de modèles de certificats ADCS, Kerberoasting, délégation, chemins d'ACL vers Domain Admin. Pour une entité publique émirienne ou un opérateur de service public, c'est là qu'un petit point d'appui externe devient une compromission totale.
- Cloud — escalade Entra ID et Azure RBAC, stockage exposé, mauvaise configuration des identités.
Pour les infrastructures d'information critiques en particulier, la question qu'il vaut la peine de cadrer délibérément n'est pas seulement si le périmètre tient, mais jusqu'où quelqu'un va quand il ne tient pas — ce que mesure une évaluation en compromission présumée, et ce qu'un conseil ou un régulateur veut réellement savoir.
NESA et l'ISR de Dubaï ensemble
Beaucoup d'organisations portent les deux : NESA au fédéral, et l'Information Security Regulation du DESC parce qu'elles sont une entité du gouvernement de Dubaï ou en fournissent une. Les deux fonctionnent en parallèle plutôt que l'un supplantant l'autre, et leurs exigences techniques de test se recoupent presque entièrement.
Cadrée délibérément sur les deux dès le départ, une seule mission produit des preuves pour les deux — les tests sont les mêmes, le mapping diffère. Cadrée sur un seul puis rattrapée ensuite, vous finissez généralement par tester deux fois. Cela ne coûte rien de dire au cadrage quels régimes vous concernent, et c'est la chose la plus rentable que vous puissiez me dire lors du premier appel.
Le livrable
Une synthèse pour la direction et l'évaluateur, un corps technique avec étapes de reproduction, preuves et notations CVSS, et le rattachement de chaque constat au contrôle applicable pour que votre équipe conformité ne construise pas ce tableau elle-même. Puis un accompagnement à la remédiation pendant que vous corrigez, un retest des constats clos — qui est une exigence NESA et non une vente additionnelle — et une lettre d'attestation consignant qui a testé, sur quel périmètre et à quelles dates.
Tout élément critique est signalé dès qu'il est trouvé, et non gardé pour le rapport. Il y a un rapport d'exemple si vous voulez le format avant de vous engager.
Aspects pratiques
Le travail est à distance. Les tests externes, applicatifs et cloud ne demandent rien de vous hormis le périmètre et l'autorisation ; les tests internes et Active Directory passent par un VPN ou un rebond dans votre environnement. Lorsque votre régulateur ou votre propre politique encadre le lieu de traitement ou de stockage des preuves, cela entre par écrit dans les règles d'engagement avant tout démarrage.
Je suis à Amman, une heure derrière Dubaï, sur la même semaine de travail que la région, en arabe ou en anglais. Pas de bureau aux Émirats et aucune prétention à en avoir un — ce que vous obtenez, c'est la personne qui réalise les tests, avec des certifications vérifiables en moins d'une minute.
Prochaines étapes
Dites-moi si vous êtes couvert comme entité fédérale, comme CII, ou via un contrat avec l'une d'elles ; ce qui est dans le périmètre ; et quand tombe votre évaluation. Devis ferme et date de démarrage en retour. Compte tenu de la fenêtre de retest de 90 jours, la question utile à trancher en premier est de savoir combien de marge vous avez : si c'est moins d'un trimestre, cela change le séquencement et nous devrions parler plus tôt que tard.
Sur le même thème : les tests d'intrusion aux Émirats pour l'articulation des régimes, CBUAE, DFSA, ADGM et VARA pour les services financiers, et la vue d'ensemble conformité pour tout le reste. Prenez contact — l'arabe est bienvenu.
Questions sur NESA
Les entités du gouvernement fédéral et les organisations désignées comme infrastructures d'information critiques — ce qui couvre l'énergie, l'eau, les transports, les télécommunications, les services financiers et la santé. Comme pour l'ECC saoudien, la portée pratique est plus large que le périmètre formel, car les entités couvertes répercutent contractuellement des exigences équivalentes à leurs fournisseurs. Si un organisme public émirien ou un opérateur de service public vous a demandé des preuves de test d'intrusion, NESA en est généralement la raison.
Les évaluations de vulnérabilités et les tests d'intrusion doivent être réalisés et suivis au titre de la gestion technique des vulnérabilités, ce qui signifie en pratique au moins annuellement pour les entités couvertes. Le mot suivis compte autant que réalisés : NESA cherche un cycle piloté et prouvé — cadrer, tester, remédier, retester, consigner — plutôt qu'un rapport qui paraît une fois par an et finit dans un dossier.
Les constats critiques et élevés exigent une remédiation documentée avec preuve d'un retest dans un délai défini, typiquement 90 jours. La conséquence pratique est une question de calendrier : si vous réalisez votre test annuel le dernier mois de votre année de conformité, il ne reste aucune marge pour remédier et retester dans la fenêtre avant la clôture du cycle. Testez avec au moins un trimestre de marge. C'est l'erreur de planification la plus courante dans les programmes NESA et elle est entièrement évitable.
Oui — plus que dans la plupart des référentiels. Les évaluateurs NESA examinent les certifications du prestataire de tests d'intrusion, l'OSCP ou équivalent étant l'attente. Les tests réalisés par quelqu'un sans certification offensive reconnue sont questionnés et parfois rejetés à l'évaluation, ce qui signifie que le devis le moins cher peut devenir le résultat le plus coûteux. Demandez la certification et un lien de vérification avant d'engager qui que ce soit, et mettez les deux dans le dossier de preuves.
Généralement oui. Les deux régimes fonctionnent en parallèle — NESA au fédéral, l'ISR du DESC pour les entités du gouvernement de Dubaï et leurs fournisseurs — et le périmètre technique qu'ils exigent se recoupe presque entièrement. Ce qui diffère, c'est le mapping et le reporting. Cadrez la mission sur les deux dès le départ et vous obtenez un test et deux jeux de preuves ; cadrez-la sur un seul et rattraper l'autre ensuite signifie généralement retester.
Évaluation NESA en approche ?
Certifié OSCP+, cadré sur l'IAS, avec les preuves de retest qu'exige la fenêtre de 90 jours.