Uji Penetrasi Berbasis Kepatuhan
Sebagian besar uji penetrasi dibeli karena ada ketentuan yang mewajibkannya. Kerangka regulasinya menentukan cakupan, frekuensi, dan - bagian yang sering diremehkan - bukti yang harus dapat Anda tunjukkan setelahnya. Halaman ini membandingkan rezim-rezim yang saya uji, agar Anda dapat memastikan ketentuan mana yang sebenarnya berlaku bagi Anda.
Perbandingan kerangka regulasi
Masing-masing kerangka berikut mewajibkan, atau secara efektif mengharuskan, pengujian keamanan independen. Perbedaan yang penting adalah siapa yang terikat, seberapa sering, dan apa yang harus dapat Anda tunjukkan setelahnya.
Arab Saudi
- NCA Essential Cybersecurity Controls - acuan nasional bagi instansi pemerintah, kontraktornya, dan infrastruktur kritis. Kontrol 2-11 mengatur uji penetrasi: didefinisikan, didokumentasikan, disetujui dan diimplementasikan, dengan cakupan meliputi layanan yang terekspos internet dan infrastruktur teknis di baliknya. Bersifat berkala.
- NCA Critical Systems Cybersecurity Controls - bila sistem diklasifikasikan kritis, pengujian naik menjadi minimal setiap enam bulan. Perubahan frekuensi inilah yang biasanya meruntuhkan asumsi anggaran.
- SAMA Cyber Security Framework - bank, asuransi, perusahaan pembiayaan dan penyedia pembayaran yang diawasi Bank Sentral Saudi. Pengujian eksternal independen minimal setahun sekali, mencakup sistem yang terekspos internet, aplikasi web dan infrastruktur jaringan.
Uni Emirat Arab
- NESA / UAE Information Assurance Standards - entitas federal dan infrastruktur informasi kritis yang ditetapkan. Penilaian kerentanan dan uji penetrasi dilakukan serta dilacak, pada praktiknya setahun sekali, dengan perbaikan terdokumentasi dan bukti pengujian ulang untuk temuan kritis dan tinggi dalam jangka waktu tertentu. Auditor memeriksa kualifikasi penguji.
- Dubai ISR (DESC) - entitas pemerintah Dubai dan para pemasoknya. Berjalan paralel dengan NESA; satu penugasan dapat menjadi bukti untuk keduanya.
- CBUAE, DFSA dan ADGM - bank dan perusahaan pembiayaan onshore, perusahaan di DIFC, perusahaan di ADGM. Pengujian independen berkala diharapkan di ketiganya.
- VARA - penyedia layanan aset virtual di Dubai. Uji penetrasi independen minimal setahun sekali berdasarkan Technology and Information Rulebook, disertai pengujian berbasis intelijen bila VARA menilainya proporsional.
- ADHICS - penyedia layanan kesehatan di Abu Dhabi dan pemasok teknologinya.
Internasional
- PCI DSS - siapa pun yang menyimpan, memproses atau mengirimkan data pemegang kartu. Persyaratan 11.4 mewajibkan uji penetrasi internal dan eksternal minimal setahun sekali serta setelah perubahan signifikan, ditambah pengujian segmentasi bila segmentasi digunakan untuk mempersempit cakupan.
- SOC 2 - bukan mandat preskriptif, tetapi uji penetrasi adalah bukti yang paling diharapkan auditor untuk CC4.1 dan CC7.1, dan pelanggan korporat kian mensyaratkannya dalam laporan.
- ISO 27001 - manajemen kerentanan teknis di bawah Annex A, di mana pengujian adalah cara praktis untuk menunjukkan kontrol itu berjalan.
Apa yang sebenarnya diminta auditor
Laporan itu perlu, tetapi tidak cukup. Paket bukti yang lengkap terdiri dari empat artefak, dan sebagian besar organisasi datang hanya dengan yang kedua:
- Dokumen cakupan - apa yang diuji, apa yang tidak, dan mengapa cakupan itu sesuai dengan kontrolnya. Pengujian yang mengecualikan sistem yang justru diatur kontrol tersebut akan gagal, sebaik apa pun pengujiannya.
- Laporan - temuan, tingkat keparahan, detail reproduksi, dan pemetaan ke kontrol yang bersangkutan.
- Perbaikan terdokumentasi - apa yang Anda perbaiki, kapan, dan apa yang Anda terima sebagai risiko disertai alasan tertulis. Menerima risiko diperbolehkan; tidak mencatat keputusannya tidak.
- Bukti pengujian ulang - konfirmasi bahwa temuan kritis dan tinggi benar-benar tertutup, dalam jangka waktu yang ditetapkan kerangka Anda. Ekspektasi 90 hari NESA-lah yang paling sering menjebak, karena pengujian yang dilakukan di bulan kesebelas tidak menyisakan ruang untuk pengujian ulang sebelum siklus tahunan ditutup.
Surat atestasi - siapa yang menguji, cakupan apa, tanggal berapa - mengikat paket itu menjadi satu dan biasanya itulah yang diarsipkan atau diteruskan ke klien. Setiap penugasan di sini menyertakannya.
Independensi adalah syarat yang paling sering disalahpahami
Beberapa kerangka ini menggunakan kata independen, dan maknanya spesifik: pengujian tidak boleh dilakukan oleh orang-orang yang membangun atau mengoperasikan sistem yang diuji. Tim keamanan internal yang menguji infrastruktur organisasinya sendiri memenuhi sebagian kerangka dan tidak memenuhi sebagian lain; tim yang menulis aplikasi lalu menguji aplikasi itu tidak memenuhi satu pun.
Inilah sebagian besar alasan keberadaan konsultan eksternal di pasar ini, dan patut diperiksa terhadap kewajiban spesifik Anda sebelum mengasumsikan kapasitas internal sudah mencukupi. Salah menilai hal ini mahal harganya, karena Anda baru mengetahuinya saat audit, bukan saat penentuan cakupan.
Bagaimana saya menyusun cakupan penugasan kepatuhan
Percakapan pertama membahas kewajibannya, bukan teknologinya: kerangka mana, kontrol mana, tenggat kapan, dan apakah ada yang berubah secara material sejak pengujian terakhir. Dari situ saya biasanya dapat menyampaikan dalam satu panggilan apakah satu penugasan mencakup seluruh kewajiban Anda, dan apa saja yang harus masuk cakupan agar menghasilkan bukti yang bertahan di audit.
Yang Anda dapatkan: harga tetap yang disepakati sebelum pekerjaan dimulai, pengujian oleh orang yang Anda ajak bicara, pemberitahuan langsung untuk hal yang kritis alih-alih kejutan di dokumen akhir, laporan yang ditulis untuk direksi sekaligus untuk para insinyur, dukungan perbaikan selama Anda memperbaiki, pengujian ulang, dan surat atestasi. Tersedia contoh laporan bila Anda ingin melihat formatnya lebih dulu, serta harga untuk gambaran umum angkanya.
Berdasarkan kawasan
Jika Anda berada di Teluk, halaman kawasan membahas lebih dalam rezim mana yang berlaku dan bagaimana keduanya berinteraksi: uji penetrasi di Arab Saudi dan uji penetrasi di UEA. Untuk selebihnya, halaman layanan membahas pengujiannya sendiri, dan menghubungi saya adalah jalur tercepat untuk mendapat jawaban lugas tentang apa yang Anda butuhkan.
Pertanyaan seputar uji kepatuhan
Biasanya bisa, dan itu jauh lebih murah daripada alternatifnya. Cakupan teknisnya sangat bertumpang tindih - permukaan eksternal, aplikasi web dan API, jaringan internal, Active Directory, cloud - sehingga yang berbeda antarkerangka adalah pemetaan dan pelaporannya, bukan pengujiannya sendiri. Syaratnya, cakupan harus disusun demikian sejak awal: pengujian yang hanya dicakup untuk PCI tidak akan menghasilkan bukti yang diinginkan NESA, meskipun pekerjaan dasarnya hampir identik. Sampaikan semua rezim yang berlaku bagi Anda saat penentuan cakupan, dan laporan akan memetakan temuan ke masing-masingnya.
Tidak, dan inilah alasan paling umum bukti ditolak. Pemindaian menjalankan signature yang dikenal terhadap versi yang dikenal lalu menghasilkan daftar; uji penetrasi merangkai temuan untuk menunjukkan apa yang sebenarnya bisa dilakukan seseorang dengan temuan itu. Kerangka-kerangka regulasi semakin eksplisit menyatakannya, dan auditor kini cakap mengenali laporan pemindaian yang diberi sampul uji penetrasi - cirinya adalah setiap temuan berupa CVE dan tidak ada satu pun yang saling terhubung. Perbedaannya dibahas rinci di sini.
Empat hal, dan sebagian besar organisasi hanya menyimpan yang kedua. Dokumen cakupan yang menunjukkan apa yang diuji dan mengapa cakupan itu tepat. Laporannya sendiri, berisi temuan, peringkat keparahan dan detail reproduksi. Dokumentasi perbaikan atas temuan kritis dan tinggi. Serta bukti pengujian ulang yang mengonfirmasi perbaikan itu berhasil, dalam jangka waktu yang ditetapkan kerangka Anda - 90 hari adalah yang lazim. Surat atestasi yang menyatakan siapa yang melakukan pengujian, terhadap cakupan apa dan pada tanggal berapa mengikat semuanya, dan biasanya itulah satu halaman yang diarsipkan.
Setahun sekali adalah patokan umum - SAMA, NESA, VARA dan PCI DSS semuanya berada di sana. Dua hal yang memperpendeknya: klasifikasi sistem kritis di bawah CSCC Saudi, yang mewajibkan pengujian minimal setiap enam bulan, dan perubahan signifikan. Hampir setiap kerangka mewajibkan pengujian ulang setelah perubahan material pada lingkungan, terlepas dari kapan uji tahunan terakhir dilakukan, sehingga migrasi besar atau aplikasi baru yang terekspos internet pada praktiknya mengatur ulang hitungan waktunya.
Biasanya bisa, dan penyebabnya dapat diduga: cakupan terlalu sempit untuk memenuhi yang diminta kontrol, pengujian dilakukan oleh tim yang membangun sistem sehingga tidak independen, tidak ada bukti pengujian ulang, atau pemindaian diajukan sebagai uji penetrasi. Keempatnya dapat diperbaiki, dan perbaikannya biasanya berupa satu penugasan dengan cakupan yang benar, bukan sebuah program. Kirimkan temuan auditor dan laporan sebelumnya, dan saya akan memberi tahu yang mana dari keempatnya sebelum Anda mengeluarkan biaya apa pun.
Belum yakin kerangka mana yang berlaku bagi Anda?
Satu percakapan singkat biasanya menuntaskannya - sekaligus memberi tahu apakah satu pengujian bisa mencakup semuanya.