Tests d'intrusion aux Émirats arabes unis
Les Émirats superposent plus de régimes de cybersécurité que presque n'importe quel autre pays - fédéraux, à l'échelle de l'émirat, sectoriels et propres aux zones franches - et presque tous aboutissent à la même exigence : un test d'intrusion indépendant, au moins annuel, avec des preuves. Voici celui qui vous concerne et ce que le test recouvre.
La carte réglementaire des Émirats, en bref
Les Émirats superposent règles fédérales, règles d'émirat et règles sectorielles. La plupart des organisations relèvent de plus d'une, et l'enseignement utile est qu'un seul test bien cadré peut en satisfaire plusieurs à la fois - à condition d'être conçu ainsi délibérément et non par hasard.
NESA / UAE Information Assurance Standards
Le socle fédéral, applicable aux entités publiques et aux organisations désignées comme infrastructures d'information critiques dans l'énergie, l'eau, les transports, les télécoms, les services financiers et la santé. La gestion des vulnérabilités techniques exige que les évaluations et les tests d'intrusion soient réalisés et suivis - annuellement, en pratique. Deux exigences prennent les organisations de court : les constats critiques et élevés requièrent une remédiation documentée avec preuve de contre-test dans un délai défini, souvent 90 jours ; et les auditeurs examinent les qualifications du testeur, l'OSCP ou équivalent étant l'attente affichée. La page NESA entre dans le détail (en anglais).
Dubai ISR (DESC)
L'Information Security Regulation du Dubai Electronic Security Centre engage les entités publiques de Dubaï et les fournisseurs qui les servent. Elle s'applique en parallèle de NESA plutôt qu'à sa place, et les organisations travaillant avec le gouvernement de Dubaï doivent fréquemment documenter les deux. L'exigence de test est substantiellement similaire : une mission cadrée pour les deux produit un seul dossier de preuves.
Services financiers : CBUAE, DFSA, ADGM
La banque centrale des Émirats fixe les attentes pour les banques et sociétés de financement onshore ; la DFSA régule les sociétés du DIFC et la FSRA celles de l'ADGM. Les trois attendent des tests de sécurité indépendants réguliers, et les trois voient d'un mauvais œil un scan de vulnérabilités présenté comme un test d'intrusion. Détaillé ici (en anglais).
VARA : actifs virtuels
L'autorité de régulation des actifs virtuels de Dubaï impose à chaque prestataire agréé un test d'intrusion indépendant au moins annuel au titre de son Technology and Information Rulebook, avec des tests pilotés par le renseignement lorsqu'elle le juge nécessaire et proportionné. Le rulebook s'accompagne d'exigences sur la gestion des clés adossée à des HSM, les minimums de stockage à froid et la notification d'incident sous 24 à 72 heures selon la gravité.
Santé : ADHICS
Le standard d'Abou Dabi pour la sécurité de l'information de santé s'applique aux établissements de santé et à leurs fournisseurs technologiques dans l'émirat, avec des exigences de tests et de preuves en plus de ses contrôles sur les données cliniques. Plus de détails ici (en anglais).
Protection des données
La PDPL fédérale, ainsi que les lois distinctes du DIFC et de l'ADGM, imposent des obligations de sécurité partout où des données personnelles sont traitées. Elles ne nomment pas le test d'intrusion, mais le critère est celui des « mesures techniques appropriées », et le démontrer après un incident est considérablement plus simple avec un test indépendant récent au dossier.
Un test, plusieurs obligations
L'erreur coûteuse aux Émirats consiste à acheter une évaluation distincte par régulateur. Dans la plupart des cas, le périmètre technique se recoupe presque entièrement - surface externe, applications web et API, réseau interne et Active Directory, tenant cloud - et ce qui diffère est la correspondance et le format de restitution, pas le test.
La mission est donc cadrée une fois au regard de tout ce à quoi vous êtes soumis, et le rapport rattache chaque constat à chaque contrôle applicable. Le périmètre concret :
- Réseau externe - tout ce qui est joignable depuis Internet, y compris les serveurs dont personne ne se souvient avoir autorisé la publication.
- Applications web et API - authentification, autorisation, logique métier, injections. La couche exposée aux clients, celle sur laquelle tout régulateur interroge.
- Réseau interne - ce qu'atteint un point d'entrée, et si votre segmentation tient réellement.
- Active Directory - abus ADCS, Kerberoasting, délégation et chemins ACL vers Domain Admin.
- Cloud - élévation dans Entra ID et Azure RBAC, stockage exposé, erreurs de configuration d'identité.
Pour les prestataires sur actifs virtuels soumis à VARA, il faut y ajouter la frontière de conservation : infrastructure de portefeuilles, flux de signature et contrôles opérationnels autour du matériel de clés - c'est là que survient la perte, pas dans l'interface web.
L'exigence de qualification, concrètement
La plupart des pages de conformité passent rapidement là-dessus, mais c'est particulièrement concret aux Émirats : les auditeurs NESA examinent qui a réalisé le test, et l'OSCP ou équivalent est l'attente. Les tests réalisés par quelqu'un sans certification offensive reconnue sont questionnés, et parfois rejetés, lors de l'audit.
Je détiens l'OSCP+ - la forme actuelle et renouvelée de la certification - avec eCPPT, eWPT et eCIR côté offensif, et AZ-500, SC-200 et SC-300 côté sécurité Microsoft, ce qui rend crédible plutôt que générique la partie Entra ID et Azure. Toutes sont vérifiables indépendamment dans le portefeuille de certifications OffSec, et ce lien a sa place dans votre dossier de preuves, à côté du rapport.
Comment se déroule la mission
Périmètre et devis d'abord : vous indiquez l'obligation, l'environnement et l'échéance ; vous recevez un prix ferme et une date de démarrage, généralement sous une à deux semaines. Les règles d'engagement sont fixées par écrit, y compris les fenêtres de test, les contacts d'escalade et tout ce que votre régulateur encadre quant au traitement ou au stockage des preuves.
Le test dure généralement une à deux semaines selon le périmètre, tout élément critique vous étant signalé immédiatement plutôt que conservé pour le document final. Le rapport suit sous quelques jours : synthèse, constats techniques avec étapes de reproduction et scores CVSS, correspondance avec les contrôles et remédiation priorisée. Puis un contre-test de ce que vous avez corrigé et une lettre d'attestation - plus importante qu'on ne le croit aux Émirats, car la preuve de contre-test sous 90 jours est elle-même une exigence et non un supplément.
Je travaille à distance depuis Amman, une heure derrière Dubaï, sur le même rythme de semaine que la région, en arabe ou en anglais. Pas de bureau local, et je n'en revendiquerai pas - ce que vous obtenez à la place, c'est la personne qui fait le travail, directement, avec des qualifications vérifiables.
Pour commencer
Indiquez-moi de quel régulateur vous relevez et ce qui entre dans le périmètre. Si vous n'en êtes pas certain - parfaitement normal avec autant de régimes superposés - un court échange le règle. La vue d'ensemble de la conformité compare les référentiels, le scan de périmètre gratuit montre votre exposition externe actuelle en quelques minutes, et le rapport type montre exactement ce que vous recevrez.
Écrivez-moi - les demandes en arabe sont bienvenues, et si une échéance de dépôt dicte le calendrier, dites-le dès la première ligne.
Émirats : questions fréquentes
En gros : les entités fédérales et les infrastructures d'information désignées critiques - énergie, eau, transports, télécoms, services financiers, santé - relèvent des Information Assurance Standards de NESA. Les entités publiques de Dubaï et leurs fournisseurs relèvent de l'ISR du DESC. Les banques et sociétés de financement répondent à la banque centrale ; les sociétés du DIFC à la DFSA et celles de l'ADGM à la FSRA ; les prestataires de services sur actifs virtuels de Dubaï à VARA. La santé à Abou Dabi relève d'ADHICS. Beaucoup d'organisations sont couvertes par deux ou trois à la fois, ce qui ne pose normalement pas de problème - un test bien cadré peut produire des preuves pour tous, s'il est pensé ainsi dès le départ.
Oui. La gestion des vulnérabilités techniques au titre des Information Assurance Standards exige que des évaluations de vulnérabilités et des tests d'intrusion soient réalisés et suivis, ce qui signifie en pratique au moins annuellement pour les entités concernées. Deux détails comptent au-delà du test : les constats critiques et élevés requièrent une remédiation documentée avec preuve de contre-test dans un délai défini, typiquement 90 jours - un test sans contre-test est une réponse incomplète. Et les auditeurs NESA examinent les qualifications de celui qui a réalisé le test, l'OSCP ou équivalent étant l'attente.
Oui. Au titre du Technology and Information Rulebook de VARA, tout prestataire de services sur actifs virtuels agréé à Dubaï doit faire réaliser un test d'intrusion indépendant au moins une fois par an, et VARA peut en outre exiger des tests pilotés par le renseignement lorsqu'elle l'estime nécessaire et proportionné. Le rulebook couvre aussi la gestion des clés avec HSM, les minimums de stockage à froid et la notification d'incident sous 24 à 72 heures selon la gravité. Pour ces prestataires, le périmètre doit généralement aller bien au-delà d'un test applicatif classique - l'infrastructure de portefeuilles, les flux de signature et la frontière de conservation concentrent le risque réel.
Non. Les tests externes, applicatifs web, cloud et la majorité des tests internes se livrent à distance, ce qui est la norme dans la région. Le réseau interne et Active Directory se traitent via un VPN ou un rebond dans votre environnement. Lorsqu'un régulateur ou votre propre politique encadre le lieu de traitement des données ou de stockage des preuves, cela figure par écrit dans les règles d'engagement avant tout démarrage.
Généralement sous une à deux semaines après accord sur le périmètre, plus vite lorsqu'une échéance de dépôt l'impose. Comme vous engagez directement le testeur, aucune file d'attente interne ne s'intercale entre la signature et le démarrage. Une mission type externe plus applications web représente une à deux semaines de test, le rapport suivant sous quelques jours - le calendrier en détail (en anglais).
Une échéance NESA, ISR ou VARA ?
Indiquez-moi l'obligation et le périmètre : vous recevrez un devis ferme et une date de démarrage.