Persyaratan Uji Penetrasi NESA

Apa yang diwajibkan standar ini

Di bawah manajemen kerentanan teknis, Information Assurance Standards UEA mewajibkan penilaian kerentanan dan uji penetrasi untuk dilakukan dan dilacak. Bagi entitas yang tercakup, pada praktiknya hal itu bermuara pada pengujian tahunan - tetapi kewajibannya adalah siklus, bukan peristiwa, dan tiga bagian yang dinilai adalah:

• Pengujian - dilakukan, secara independen, terhadap cakupan yang sesuai bagi entitas tersebut.
• Perbaikan - temuan kritis dan tinggi terdokumentasi dan diperbaiki, dengan keputusannya tercatat bila sebuah risiko justru diterima.
• Pengujian ulang - bukti bahwa perbaikannya berhasil, dalam jendela yang ditetapkan, biasanya 90 hari.

Entitas yang gagal memenuhi NESA pada aspek uji penetrasi hampir selalu telah mengerjakan bagian pertama dan tidak mengerjakan dua lainnya.

Dua persyaratan yang mengubah cara membeli

Tenggat 90 hari berarti Anda tidak boleh menguji terlambat

Jika temuan kritis dan tinggi harus diperbaiki dan diuji ulang dalam 90 hari, konsekuensi penjadwalannya tak terhindarkan: pengujian yang dijalankan pada bulan terakhir tahun kepatuhan Anda tidak menyisakan ruang untuk memperbaiki apa pun dan membuktikannya. Saat laporannya tiba, yang tersisa adalah beberapa pekan, bukan satu kuartal.

Ujilah dengan sisa waktu minimal satu kuartal. Bila lingkungannya besar atau pengujian terakhir sudah lama berlalu, lebih lama lagi - karena upaya perbaikan tidak diketahui sampai laporannya ada, dan daftar temuan yang lebih berat dari perkiraan justru skenario yang hendak diuji oleh jendela waktu itu. Satu keputusan penjadwalan ini menyebabkan lebih banyak kegagalan NESA daripada masalah teknis mana pun.

Auditor meninjau siapa yang menguji

Auditor NESA memeriksa kualifikasi penyedia uji penetrasi, dan OSCP atau setara adalah ekspektasi yang dinyatakan. Hal ini luar biasa konkret - kebanyakan kerangka hanya menyebut "berkualifikasi memadai" lalu berhenti di situ - dan membawa konsekuensi komersial langsung: pengujian yang lebih murah oleh seseorang tanpa sertifikasi ofensif yang diakui dapat ditolak saat audit, dan itu membuat Anda kehilangan biayanya, jendela perbaikannya, sekaligus pengujian ulangnya.

Maka pertanyaan yang perlu diajukan kepada penyedia mana pun sebelum melibatkannya sederhana: siapa yang akan melakukan pengujian, apa kualifikasinya, dan dapatkah saya memverifikasinya? Untuk penugasan ini jawabannya adalah OSCP+ - bentuk terbarukan dari sertifikasi tersebut - bersama eCPPT, eWPT dan eCIR, ditambah AZ-500, SC-200 dan SC-300 di sisi keamanan Microsoft. Semuanya dapat diverifikasi secara independen melalui OffSec credential wallet, dan tautan itu masuk ke paket bukti Anda bersama laporannya.

Cakupan

Apa yang dicakup penugasan yang selaras NESA:

• Jaringan eksternal - seluruh aset yang terekspos internet, termasuk layanan yang dipublikasikan lalu terlupakan.
• Aplikasi web dan API - autentikasi, otorisasi, logika bisnis, injeksi, dan API di balik aplikasi seluler.
• Jaringan internal - sejauh mana sebuah pijakan menjangkau; apakah segmentasinya bertahan.
• Active Directory - penyalahgunaan template sertifikat ADCS, Kerberoasting, delegasi, jalur ACL menuju Domain Admin. Bagi entitas pemerintah atau utilitas UEA, di sinilah pijakan eksternal yang kecil berubah menjadi kompromi menyeluruh.
• Cloud - eskalasi Entra ID dan Azure RBAC, penyimpanan terekspos, kesalahan konfigurasi identitas.

Khusus untuk infrastruktur informasi kritis, pertanyaan yang layak dicakup secara sengaja bukan sekadar apakah perimeternya bertahan, melainkan sejauh mana seseorang melangkah ketika ia tidak bertahan - itulah yang diukur asesmen asumsi pelanggaran, dan itulah yang sesungguhnya ingin diketahui dewan direksi atau regulator.

NESA dan Dubai ISR sekaligus

Banyak organisasi memikul keduanya: NESA di tingkat federal, dan Information Security Regulation dari DESC karena mereka entitas pemerintah Dubai atau memasok salah satunya. Keduanya berjalan paralel alih-alih saling menggantikan, dan persyaratan teknis pengujiannya hampir seluruhnya bertumpang tindih.

Dicakup secara sengaja terhadap keduanya sejak awal, satu penugasan menghasilkan bukti untuk keduanya - pengujiannya sama, pemetaannya berbeda. Dicakup terhadap satu lalu ditambal kemudian, Anda umumnya berakhir menguji dua kali. Tidak ada biayanya untuk menyebutkan saat penentuan cakupan rezim mana saja yang berlaku bagi Anda, dan itu hal paling bernilai yang dapat Anda sampaikan pada panggilan pertama.

Hasil akhirnya

Ringkasan eksekutif untuk pimpinan dan auditor, bagian teknis dengan langkah reproduksi, bukti dan peringkat CVSS, serta pemetaan tiap temuan ke kontrol yang berlaku agar tim kepatuhan Anda tidak menyusun lembar kerja itu sendiri. Lalu dukungan perbaikan selama Anda memperbaiki, pengujian ulang atas temuan yang telah ditutup - yang merupakan persyaratan NESA, bukan penjualan tambahan - dan surat atestasi yang mencatat siapa yang menguji, cakupan apa dan tanggal berapa.

Apa pun yang kritis dilaporkan begitu ditemukan, bukan ditahan sampai laporan. Tersedia contoh laporan bila Anda ingin melihat formatnya sebelum memutuskan.

Hal-hal praktis

Pekerjaan dilakukan jarak jauh. Pengujian eksternal, aplikasi web dan cloud tidak memerlukan apa pun dari Anda selain cakupan dan otorisasi; pengujian internal dan Active Directory dijalankan melalui VPN atau jump host di dalam lingkungan Anda. Bila regulator Anda atau kebijakan Anda sendiri membatasi tempat bukti diproses atau disimpan, hal itu masuk secara tertulis ke aturan pelaksanaan sebelum apa pun dimulai.

Saya berada di Amman, satu jam di belakang Dubai, bekerja pada pekan yang sama dengan kawasan ini, dalam bahasa Arab atau Inggris. Tidak ada kantor di UEA dan saya tidak mengklaim punya - yang Anda dapatkan adalah orang yang melakukan pengujiannya, dengan kualifikasi yang dapat Anda verifikasi dalam waktu kurang dari semenit.

Langkah berikutnya

Sampaikan apakah Anda tercakup sebagai entitas federal, sebagai CII, atau melalui kontrak dengan salah satunya; apa yang masuk cakupan; dan kapan audit Anda jatuh tempo. Penawaran harga tetap dan tanggal mulai akan dikirim balik. Mengingat jendela pengujian ulang 90 hari, pertanyaan pertama yang berguna untuk dijawab adalah berapa banyak sisa waktu yang Anda punya: bila kurang dari satu kuartal, hal itu mengubah urutannya dan sebaiknya kita bicara lebih cepat.

Terkait: uji penetrasi di UEA untuk melihat bagaimana rezim-rezimnya berkaitan, CBUAE, DFSA, ADGM dan VARA untuk jasa keuangan, dan ikhtisar kepatuhan untuk selebihnya. Hubungi saya - bahasa Arab dipersilakan.