Tests d'intrusion en Arabie saoudite
Dans le Royaume, la plupart des tests d'intrusion sont achetés parce qu'un régulateur les impose. Les Essential Cybersecurity Controls de la NCA, les contrôles pour systèmes critiques et le référentiel SAMA imposent chacun leur propre rythme - et chacun attend des preuves qu'un auditeur puisse lire. Voici ce que ce travail recouvre et comment je le livre.
Ce qu'exigent réellement les régulateurs saoudiens
Trois régimes distincts imposent des tests d'intrusion dans le Royaume, et celui qui vous concerne détermine le périmètre, la fréquence et les preuves à conserver.
NCA Essential Cybersecurity Controls (ECC)
Les ECC de la National Cybersecurity Authority constituent le socle national et engagent les entités publiques, leurs prestataires et les opérateurs d'infrastructures nationales critiques. Le contrôle 2-11 porte sur les tests d'intrusion (page en anglais) : les exigences doivent être définies, documentées et approuvées, elles doivent être mises en œuvre, et le périmètre doit couvrir les services exposés sur Internet et l'infrastructure technique derrière eux. Le test est périodique, et la preuve que recherche un auditeur est le cycle complet - document de périmètre, rapport, remédiation, contre-test - et non un simple PDF daté.
Critical Systems Cybersecurity Controls (CSCC)
Si l'un de vos systèmes est classé critique, les CSCC relèvent le niveau : ces systèmes doivent être testés au moins tous les six mois plutôt qu'annuellement. Beaucoup d'organisations se font surprendre, car le budget et le cycle d'achat sont généralement bâtis sur un test par an. Classifiez tôt, car un rythme semestriel change entièrement la forme commerciale de la mission.
SAMA Cyber Security Framework
Il est attendu des établissements financiers supervisés par la banque centrale saoudienne - banques, assureurs, sociétés de financement, prestataires de paiement - qu'ils réalisent des tests d'intrusion externes indépendants au moins annuels (page en anglais), couvrant les systèmes exposés sur Internet, les applications web et l'infrastructure réseau. L'indépendance est l'exigence opérante : un test réalisé par l'équipe qui construit ou exploite le système ne la satisfait pas, pas plus qu'un scan de vulnérabilités présenté comme un test d'intrusion.
Et ce qui s'applique en parallèle
La loi de protection des données personnelles de la SDAIA apporte ses propres obligations de sécurité là où des données personnelles sont traitées, les Cloud Cybersecurity Controls s'appliquent lorsque les charges de travail résident chez un fournisseur cloud, et les grands groupes imposent de plus en plus leurs propres standards fournisseurs - les exigences d'Aramco envers les tiers étant l'exemple que les fournisseurs saoudiens rencontrent en premier. Si vous acceptez des paiements par carte, l'exigence 11.4 de PCI DSS s'ajoute à tout cela ; c'est traité sur la page dédiée à PCI DSS.
Ce que couvre réellement un test
Le périmètre qui satisfait le contrôle 2-11 et SAMA en pratique, dans l'ordre habituel :
- Tests réseau externes - tout ce que votre organisation expose sur Internet : concentrateurs VPN, messagerie, accès distants, serveurs de préproduction oubliés et services dont plus personne ne se rappelle la publication. Explicitement dans le périmètre du 2-11, et c'est là que commencent la majorité des intrusions réelles.
- Tests web et API - authentification, autorisation, logique métier et injections sur vos applications destinées aux clients et les API derrière elles. Explicitement cité dans le périmètre SAMA.
- Tests réseau internes - ce qu'atteint quelqu'un qui a déjà un pied dans la place : une segmentation qui ne tient pas, des réseaux plats, des identifiants stockés là où ils ne devraient pas l'être.
- Active Directory - abus de modèles de certificats ADCS, Kerberoasting, problèmes de délégation et chemins ACL vers Domain Admin. Presque toutes les grandes organisations saoudiennes tournent sur AD, et c'est là qu'un simple pied dans la porte devient une compromission complète.
- Cloud - chemins d'élévation dans Entra ID et Azure RBAC, stockage exposé et erreurs de configuration d'identité qui transforment un tenant cloud en raccourci plutôt qu'en barrière.
Ce que vous recevez
Un rapport écrit pour deux publics à la fois : une synthèse qu'un conseil d'administration ou un régulateur peut suivre sans traducteur, et un corps technique avec étapes de reproduction, preuves et scores CVSS sur lequel vos ingénieurs travaillent directement. Chaque constat est rattaché au contrôle ayant motivé le test, pour qu'un auditeur puisse remonter de l'obligation à la preuve sans que vous ayez à bâtir cette correspondance.
L'accompagnement à la remédiation est inclus plutôt que vendu à part - les questions posées pendant les corrections reçoivent une réponse - tout comme un contre-test des constats que vous avez clos et une lettre d'attestation précisant que le test a été réalisé, par qui, sur quel périmètre et à quelles dates. D'expérience, l'attestation est le document qui finit chez l'auditeur ou chez le grand compte qui réclame une preuve. Il existe un rapport type si vous voulez voir le format avant de vous engager (en anglais).
Pourquoi travailler avec un consultant indépendant
Vous parlez à la personne qui réalise les tests. Pas de responsable de compte qui relaie les questions, pas de junior lançant un scanner sous le nom d'un senior sur la facture, et pas de trois semaines d'écart entre la fin du test et l'arrivée du rapport. Face à une échéance ECC ou SAMA, cette franchise fait généralement la différence entre tenir la date et expliquer pourquoi vous ne l'avez pas tenue.
L'adéquation pratique avec le Golfe mérite d'être dite clairement : je travaille depuis Amman en GMT+3 - mêmes horaires et même semaine de travail que Riyad, Djeddah et Dammam - une question posée pendant le test reçoit une réponse le jour même. L'arabe comme l'anglais conviennent. Je détiens l'OSCP+ ainsi que eCPPT, eWPT, eCIR, AZ-500, SC-200 et SC-300, toutes vérifiables indépendamment dans le portefeuille de certifications OffSec - ce qui compte ici, car les auditeurs demandent de plus en plus qui a testé et ce qu'il détient.
Ce que je ne ferai pas : prétendre être un cabinet local. Je n'ai pas de bureau à Riyad et je n'en revendiquerai pas. Ce que je suis : un spécialiste que vous engagez directement, dans votre fuseau horaire et votre langue, avec des qualifications vérifiables en trente secondes.
Pour commencer
Indiquez-moi le contrôle à satisfaire - 2-11, un cycle semestriel CSCC, un test annuel SAMA - ainsi que le périmètre et votre échéance. Vous recevrez un devis ferme et une date de démarrage, pas un processus de découverte. Si vous préférez d'abord du concret, le scan de périmètre gratuit montre ce que votre surface externe expose aujourd'hui, et la vue d'ensemble de la conformité compare les autres référentiels.
Si vous ne savez pas quel régime s'applique, la question est normale et un court échange la tranche. Écrivez-moi - les demandes en arabe sont bienvenues.
Arabie saoudite : questions fréquentes
Oui. Le contrôle 2-11 des Essential Cybersecurity Controls porte spécifiquement sur les tests d'intrusion, et comporte trois volets : les exigences doivent être définies et documentées, elles doivent être approuvées, et elles doivent être mises en œuvre. Le périmètre doit couvrir au minimum les services exposés sur Internet et l'infrastructure technique située derrière. Le test est requis de façon périodique. Si vous relevez également des Critical Systems Cybersecurity Controls, les systèmes critiques doivent être testés au moins tous les six mois plutôt qu'annuellement.
Il est attendu des établissements supervisés par la banque centrale saoudienne qu'ils réalisent des tests d'intrusion externes indépendants au moins annuellement, couvrant les systèmes exposés sur Internet, les applications web et l'infrastructure réseau. Le mot qui pèse le plus est indépendants : un test réalisé par l'équipe qui a construit ou qui exploite le système ne satisfait pas l'exigence. Pour les banques, assureurs, sociétés de financement et prestataires de paiement, c'est une obligation annuelle récurrente, pas une opération ponctuelle.
Pour les tests externes, applicatifs web, cloud et la majorité des tests internes, non - le travail se fait à distance, comme la grande majorité des évaluations dans la région. Les tests de réseau interne et d'Active Directory passent par un VPN ou un petit rebond que vous contrôlez, et je peux travailler depuis une machine située dans votre environnement si votre politique l'exige. Si une contrainte de résidence des données encadre le lieu de stockage ou de traitement des preuves, signalez-le au cadrage : cela figure par écrit dans les règles d'engagement.
C'est précisément pour cela qu'il est écrit. Chaque rapport comporte une synthèse pour la direction, un corps technique avec les étapes de reproduction et les scores CVSS, le rattachement au contrôle ayant motivé le test, et une section de remédiation rédigée pour que vos ingénieurs puissent agir sans appel de suivi. Le contre-test des constats corrigés et une lettre d'attestation confirmant la réalisation du test, son auteur et son périmètre sont inclus - et l'attestation est généralement le document que l'auditeur ou le client archive réellement.
En anglais par défaut, langue de travail des régulateurs et de la plupart des services achats saoudiens. L'arabe est possible sur demande, et les échanges courants pendant la mission peuvent se faire entièrement en arabe. Je travaille depuis Amman en GMT+3, même semaine et mêmes horaires que Riyad : les questions posées pendant le test reçoivent une réponse le jour même, pas le lendemain.
Une échéance NCA ou SAMA ?
Indiquez-moi le contrôle à satisfaire et le périmètre : vous recevrez un devis ferme et une date.