Uji Penetrasi NCA ECC: kontrol 2-11
Essential Cybersecurity Controls dari National Cybersecurity Authority menempatkan uji penetrasi pada kontrol 2-11, dan kontrol ini lebih spesifik daripada dugaan kebanyakan orang: ia mengatur bukan hanya bahwa Anda menguji, melainkan juga bahwa persyaratannya terdokumentasi, disetujui, diimplementasikan, dan dicakup sesuai ketentuan NCA.
Apa yang sebenarnya dinyatakan kontrol 2-11
Essential Cybersecurity Controls menempatkan uji penetrasi pada domain 2, Cybersecurity Defence, di kontrol 2-11. Tujuannya adalah menilai efektivitas kapabilitas pertahanan organisasi melalui serangan simulasi, guna menemukan kelemahan pada infrastruktur teknis yang dapat berujung pada pelanggaran keamanan.
Kontrol ini terbagi menjadi tiga kewajiban, dan organisasi secara rutin memenuhi yang ketiga sambil gagal memenuhi dua yang pertama:
- Definisikan, dokumentasikan dan setujui persyaratan keamanan siber untuk uji penetrasi. Ini adalah kewajiban dokumentasi tersendiri - Anda memerlukan pernyataan tertulis yang telah disetujui mengenai bagaimana cakupan pengujian ditentukan, seberapa sering dijalankan, dan siapa yang menyetujuinya.
- Implementasikan persyaratan tersebut. Pengujian benar-benar berlangsung, mengikuti siklus yang Anda dokumentasikan.
- Tentukan cakupan pengujian agar meliputi, minimal, layanan yang terekspos internet dan infrastruktur teknis di baliknya.
Konsekuensi praktisnya: instansi yang setiap tahun memesan uji penetrasi yang sangat baik namun tidak pernah menuliskan dan menyetujui persyaratan pengujiannya tetap tidak patuh terhadap 2-11. Auditor membaca kebijakan dan jejak persetujuan sama telitinya dengan membaca laporan.
Jebakan enam bulan: CSCC
Jika ada sistem Anda yang diklasifikasikan kritis, Critical Systems Cybersecurity Controls berlaku di atas ECC dan menaikkan persyaratan pengujian bagi sistem tersebut menjadi minimal setiap enam bulan.
Inilah kegagalan anggaran dan perencanaan yang paling sering terjadi pada program kepatuhan di Saudi. Asumsi tahunan telanjur dikunci di pengadaan, pekerjaan klasifikasi terjadi belakangan atau di tim lain, dan ketidaksesuaiannya baru muncul saat audit ketika tidak tersisa waktu untuk menjalankan pengujian kedua. Lakukan klasifikasi lebih dahulu, lalu susun program pengujian berdasarkan hasilnya - dan bila sebagian sistem kritis dan sebagian tidak, Anda kerap dapat menjalankan penugasan enam bulanan yang lebih kecil untuk subset kritis dan penugasan tahunan penuh untuk keseluruhan lingkungan, yang jauh lebih hemat daripada menguji seluruh lingkungan dua kali setahun.
Menyusun cakupan yang lolos audit
Cakupan minimum kontrol ini adalah layanan yang terekspos internet ditambah infrastruktur teknis di baliknya. Itu lantai. Cakupan yang dibangun hanya sampai lantai mengundang pertanyaan yang jelas dari auditor: jika analisis eksposur Anda berhenti di perimeter, bagaimana Anda tahu bahwa pijakan di perimeter tidak membawa ke mana-mana?
Cakupan yang bertahan tanpa perdebatan:
- Jaringan eksternal - seluruh aset yang terekspos internet, termasuk host dan layanan yang dipublikasikan bertahun-tahun lalu dan terlupakan. Diwajibkan secara eksplisit oleh kontrol ini.
- Aplikasi web dan API - autentikasi, otorisasi, logika bisnis, injeksi. Pada praktiknya inilah infrastruktur teknis di balik layanan yang terekspos internet.
- Jaringan internal - sejauh mana sebuah pijakan menjangkau, dan apakah segmentasi bertahan di bawah tekanan.
- Active Directory - penyalahgunaan template sertifikat ADCS, Kerberoasting, delegasi dan jalur ACL menuju Domain Admin. Pada lingkungan pemerintah atau korporat Saudi, hampir selalu di sinilah pijakan perimeter berubah menjadi kompromi menyeluruh, dan inilah bagian yang tidak akan pernah ditemukan asesmen berbasis pemindai.
- Cloud - di tempat beban kerja berpindah, Cloud Cybersecurity Controls berlaku secara paralel dan tenant memerlukan perlakuan yang sama: jalur eskalasi Entra ID dan Azure RBAC, penyimpanan yang terekspos, kesalahan konfigurasi identitas.
Paket bukti
Empat artefak, dan yang paling sering hilang adalah yang terakhir:
- Dokumen persyaratan pengujian yang disetujui - inilah bagian dari 2-11 yang bukan pengujian itu sendiri.
- Sebuah dokumen cakupan yang menunjukkan apa yang masuk dan tidak masuk, serta mengapa hal itu tepat.
- Laporan: temuan, peringkat CVSS, langkah reproduksi, dan pemetaan eksplisit ke kontrol 2-11.
- Bukti perbaikan dan pengujian ulang - apa yang diperbaiki, kapan, dikonfirmasi melalui pengujian ulang. Risiko yang Anda pilih untuk diterima memerlukan keputusan tercatat beserta alasannya; menerima diperbolehkan, mendiamkan tidak.
Surat atestasi yang menyatakan siapa yang menguji, terhadap cakupan apa, pada tanggal berapa, melengkapi paket tersebut. Setiap penugasan di sini menyertakan laporan, pengujian ulang dan atestasi sebagai standar, bukan sebagai tambahan berbayar, karena hasil akhir yang sesungguhnya adalah paket yang siap audit - laporan saja belum memenuhi itu.
Mengapa penting siapa yang menguji
ECC tidak menetapkan sertifikasi seperti yang dilakukan NESA di UEA, tetapi pertanyaannya tetap muncul saat audit dan dari klien pemerintah yang meneruskan persyaratan itu ke bawah: siapa yang melakukannya, dan apa yang dimilikinya?
Saya memegang OSCP+, bentuk terbarukan dari sertifikasi OffSec, bersama eCPPT, eWPT dan eCIR, serta AZ-500, SC-200 dan SC-300 untuk bagian Microsoft dan Azure dari pekerjaan ini. Semuanya dapat diverifikasi secara independen melalui OffSec credential wallet, dan tautan itu layak berada di paket bukti Anda bersama laporannya.
Saya bekerja dari Amman pada GMT+3 - jam kerja identik dengan Riyadh - dalam bahasa Arab atau Inggris, secara jarak jauh. Pengujian internal dan Active Directory dijalankan melalui VPN atau jump host di dalam lingkungan Anda, dan setiap batasan mengenai tempat bukti diproses atau disimpan dituangkan secara tertulis ke aturan pelaksanaan sebelum pengujian dimulai.
Langkah berikutnya
Sampaikan apakah CSCC berlaku untuk salah satu sistem Anda, seperti apa lingkungannya, dan kapan audit Anda berlangsung. Anda akan menerima penawaran harga tetap dan tanggal mulai. Jika ingin melihat hasil akhirnya lebih dulu, tersedia contoh laporan; dan jika ingin melihat eksposur eksternal Anda saat ini dalam beberapa menit, pemindaian perimeter gratis melakukannya tanpa komitmen apa pun.
Konteks lebih lanjut: uji penetrasi di Arab Saudi membahas bagaimana ECC, CSCC dan SAMA saling berkaitan, halaman SAMA membahas persyaratan sektor keuangan, dan ikhtisar kepatuhan membandingkan seluruh kerangka. Hubungi saya - bahasa Arab dipersilakan.
Pertanyaan seputar NCA ECC
Kepada instansi pemerintah di setiap tingkatan, perusahaan yang menyediakan layanan bagi mereka, dan operator infrastruktur nasional kritis. Pada praktiknya jangkauannya lebih luas daripada bunyinya, karena kewajiban itu mengalir berjenjang: instansi meneruskan persyaratan yang selaras ECC kepada pemasoknya secara kontraktual, sehingga perusahaan swasta tanpa kewajiban langsung kepada NCA kerap memiliki kewajiban yang sangat nyata kepada pelanggan pemerintahnya. Jika klien sektor publik Saudi meminta bukti uji penetrasi dari Anda, biasanya kontrol inilah yang ada di balik permintaan itu.
Kontrol 2-11 ECC mewajibkan pengujian berkala, dan siklus tahunan adalah yang paling banyak diadopsi dan berhasil dipertahankan instansi. Jika ada sistem Anda yang diklasifikasikan kritis, Critical Systems Cybersecurity Controls berlaku dan menaikkan persyaratan menjadi minimal setiap enam bulan untuk sistem tersebut. Lakukan klasifikasi sebelum menyusun anggaran: menemukan irama enam bulan setelah bagian pengadaan menyetujui pos anggaran tahunan adalah masalah yang benar-benar lazim dan sepenuhnya dapat dihindari.
Minimal, layanan yang terekspos internet dan infrastruktur teknis di baliknya. Batas minimum itu adalah lantai, bukan sasaran: auditor yang melihat cakupan berhenti di perimeter padahal instansinya mengoperasikan lingkungan internal yang besar akan bertanya mengapa. Cakupan yang lolos audit dengan nyaman adalah: permukaan eksternal, aplikasi web dan API, jaringan internal, Active Directory, serta tenant cloud bila beban kerja berada di sana.
Pemisahan itu penting - mereka yang membangun atau mengoperasikan sebuah sistem tidak seharusnya menjadi pihak yang menilainya - dan pada praktiknya instansi dengan kapabilitas internal yang matang pun tetap mendatangkan penguji eksternal untuk siklus tahunan, karena independensi lebih sederhana dibuktikan daripada diperdebatkan. Bila Anda memang punya tim internal yang mumpuni, pembagian yang biasanya berhasil adalah pengujian internal berjalan terus sepanjang tahun, ditambah penugasan eksternal independen untuk siklus regulasi.
Revisi 2024 memperbarui dan memperluas kontrol-kontrolnya sambil tetap menempatkan uji penetrasi pada 2-11 dengan bentuk pokok yang sama: definisikan, dokumentasikan dan setujui persyaratannya; implementasikan; dan susun cakupan pengujian agar minimal meliputi layanan yang terekspos internet dan infrastruktur teknis. Jika Anda membangun program kepatuhan berdasarkan versi sebelumnya, kewajiban pengujiannya bersifat berkelanjutan, bukan baru - yang patut diperiksa ulang adalah cakupan terdokumentasi dan jejak persetujuan Anda terhadap teks yang berlaku, karena di situlah sebagian besar perbedaannya berada.
Butuh bukti ECC 2-11 sebelum audit?
Dicakup sesuai kontrol, dilaporkan dengan pemetaannya, diuji ulang dan diatestasi.