Uji Penetrasi untuk Keuangan dan Aset Virtual di UEA
Empat regulator, empat lisensi, satu persyaratan yang berulang: pengujian keamanan independen, dengan bukti. Bagi perusahaan aset virtual di bawah VARA, persyaratannya eksplisit dan tahunan - dan cakupan yang benar-benar penting menjangkau jauh melampaui aplikasi web, hingga ke batas kustodi.
Empat regulator, satu persyaratan dasar
Jasa keuangan UEA terbagi antara onshore dan dua zona bebas, ditambah satu regulator khusus aset virtual. Siapa yang melisensi Anda menentukan rumusan kewajiban Anda, tetapi substansinya bertemu di satu titik: pengujian keamanan independen, dilakukan secara berkala, dengan bukti yang dapat Anda tunjukkan.
VARA - aset virtual Dubai
Yang paling eksplisit dari keempatnya. Berdasarkan Technology and Information Rulebook, setiap VASP berlisensi memerlukan uji penetrasi independen minimal setahun sekali, dan VARA dapat mewajibkan pengujian berbasis intelijen sebagai tambahan bila menilainya perlu dan proporsional. Rulebook itu juga mencakup tata kelola keamanan siber, manajemen kunci multitanda tangan yang didukung modul keamanan perangkat keras, batas minimum penyimpanan dingin, dan pelaporan insiden pada tenggat 24 hingga 72 jam menurut keparahan.
CBUAE - bank dan perusahaan pembiayaan onshore
Bank Sentral menetapkan ekspektasi keamanan bagi lembaga berlisensi onshore, dengan pengujian independen berkala atas sistem yang terekspos internet dan aplikasi yang menghadap pelanggan sebagai ekspektasi yang berjalan terus, bukan sekali jalan. Bila data kartu masuk cakupan, Persyaratan 11.4 PCI DSS berlaku paralel dan sangat bertumpang tindih - dicakup bersama, itu satu penugasan.
DFSA (DIFC) dan FSRA (ADGM)
Kedua regulator zona bebas mengharapkan pengujian keamanan independen yang sepadan dengan profil risiko perusahaan, dengan tahunan sebagai interval yang diadopsi dan dipertahankan perusahaan. Tidak satu pun menerbitkan frekuensi universal tunggal seperti VARA, yang pada praktiknya berarti beban membenarkan siklus Anda ada pada Anda - dan pembenaran yang bertahan adalah "tahunan, ditambah setelah perubahan material".
Dan NESA di bawahnya
Jasa keuangan ditetapkan sebagai infrastruktur informasi kritis, sehingga Information Assurance Standards NESA kerap berlaku berdampingan dengan regulator sektoral Anda - termasuk ekspektasi pengujian ulang 90 hari untuk temuan kritis dan tinggi, serta peninjauan kualifikasi pengujinya. Susun cakupan untuk keduanya sekaligus; menambalnya kemudian biasanya berarti menguji dua kali.
Untuk VASP: cakup batas kustodi, bukan antarmuka depan
Inilah bagian yang perlu dikatakan terus terang. Uji aplikasi web konvensional terhadap antarmuka perdagangan akan menemukan masalah autentikasi dan otorisasi, dan akan membiarkan skenario kerugian yang sebenarnya sepenuhnya tidak teruji. Bursa umumnya tidak kehilangan aset karena cross-site scripting.
Pertanyaan yang penting bagi perusahaan aset virtual:
- Alur penandatanganan - siapa dan apa yang dapat mengotorisasi transfer, bagaimana persetujuan ditegakkan secara teknis alih-alih prosedural, dan apakah satu administrator atau akun layanan yang terkompromi dapat memindahkan nilai.
- Pemisahan panas dan dingin - apakah batasnya benar-benar ditegakkan atau sekadar terdokumentasi, dan apa yang melintasinya.
- Penanganan material kunci - bagaimana penandatanganan berbasis HSM dipanggil, apa yang dapat memanggilnya, dan apakah akses ke sistem pemanggil setara dengan akses ke kuncinya.
- Pelewatan persetujuan - apa yang dapat dicapai seseorang dengan akses parsial: akun operasional, workstation pengembang yang terkompromi, hak baca istimewa di sistem tresuri.
- Proses operasional - langkah-langkah manusia di sekitar penarikan dan daftar alamat yang diizinkan, dan di situlah rekayasa sosial mendarat di sektor ini.
Itu pertanyaan desain dan proses sama banyaknya dengan pertanyaan kode, dan persis karena itulah ia memerlukan penguji, bukan pemindai. Platform di bawahnya tetap memerlukan perlakuan standar - web dan API, jaringan eksternal dan internal, cloud - tetapi batas kustodilah tempat cakupan seharusnya terpusat.
Pengujian berbasis intelijen, bila topik itu muncul
Pengujian berbasis intelijen - keluarga yang mencakup TIBER-EU dan CBEST - bertolak dari intelijen ancaman nyata tentang siapa yang menargetkan perusahaan seperti Anda, lalu mengemulasi lawan spesifik itu terhadap lingkungan produksi, biasanya tanpa memberi tahu tim bertahan. Pengujian ini mengukur deteksi dan respons sama banyaknya dengan kerentanan, dan lebih lama serta lebih mahal daripada uji standar.
VARA dapat mewajibkannya bila menilainya proporsional, yang secara umum mengikuti ukuran perusahaan dan aset dalam kustodi. Sebagian besar VASP yang baru berlisensi memulai dengan uji independen tahunan; perusahaan dengan kustodi signifikan sebaiknya merencanakan datangnya pertanyaan itu. Saran jujur soal urutannya: uji penetrasi standar lebih dahulu. Pengujian berbasis intelijen terhadap lingkungan yang belum pernah menjalani asesmen konvensional akan menghasilkan laporan mahal yang penuh temuan yang sebenarnya bisa ditangkap penugasan yang lebih murah.
Apa yang Anda dapatkan
Harga tetap yang disepakati sebelum apa pun dimulai. Aturan pelaksanaan secara tertulis, termasuk jendela pengujian dan kontak eskalasi - yang di sini lebih penting daripada di kebanyakan sektor, karena menguji di dekat infrastruktur kustodi produksi memerlukan jalur penghentian yang disepakati. Temuan kritis dilaporkan begitu ditemukan.
Laporannya memuat ringkasan eksekutif untuk dewan direksi dan regulator Anda, bagian teknis dengan langkah reproduksi dan peringkat CVSS, serta pemetaan ke rulebook atau kontrol yang mewajibkan pengujian itu. Lalu dukungan perbaikan, pengujian ulang atas apa yang telah Anda tutup, dan surat atestasi yang menyebut pengujinya, cakupannya dan tanggalnya - yang biasanya itulah yang Anda serahkan kepada regulator atau kepada mitra institusional yang melakukan uji tuntas atas Anda. Tersedia contoh laporan untuk formatnya.
Siapa yang melakukannya
Anda bekerja langsung dengan pengujinya. Kualifikasi, karena pengadaan sektor keuangan dan VASP selalu menanyakannya: OSCP+, eCPPT, eWPT, eCIR, ditambah AZ-500, SC-200 dan SC-300 - semuanya dapat diverifikasi melalui OffSec credential wallet. Latar belakang detection engineering sebelum beralih ke pekerjaan ofensif relevan secara langsung di sini: laporannya membahas bukan hanya bagaimana sebuah jalur serangan bekerja, melainkan juga bagaimana ia akan tampak dalam pemantauan Anda, dan apakah ada yang akan menangkapnya. Bagi regulator yang menanyakan kapabilitas deteksi dan respons, pembedaan itulah jawabannya.
Jarak jauh dari Amman, satu jam di belakang Dubai, pekan kerja yang sama, dalam bahasa Arab atau Inggris.
Langkah berikutnya
Sampaikan lisensi apa yang Anda pegang, seperti apa platformnya, dan apakah infrastruktur kustodi masuk cakupan. Penawaran harga tetap dan tanggal mulai akan dikirim balik. Jika Anda baru berlisensi dan sedang mencoba memastikan apa yang sebenarnya harus dicakup pengujian pertama Anda, itu percakapan singkat yang berguna - hubungi saya.
Terkait: uji penetrasi di UEA, persyaratan NESA, dan ikhtisar kepatuhan.
Pertanyaan seputar keuangan UEA
Berdasarkan Technology and Information Rulebook VARA, setiap penyedia layanan aset virtual berlisensi di Dubai harus menjalani uji penetrasi independen minimal setahun sekali, dan VARA dapat pula mewajibkan pengujian berbasis intelijen bila menilainya perlu dan proporsional. Rulebook itu berdampingan dengan persyaratan mengenai tata kelola program keamanan siber, manajemen kunci multitanda tangan yang didukung HSM, batas minimum penyimpanan dingin, serta pelaporan insiden dalam 24 hingga 72 jam bergantung tingkat keparahan. Kewajiban pengujian bukan keseluruhan rulebook, tetapi itulah bagian yang memerlukan pihak eksternal.
Pengujian berbasis intelijen - model di balik TIBER-EU dan CBEST - bertolak dari intelijen ancaman nyata tentang siapa yang sesungguhnya menargetkan perusahaan seperti Anda, lalu menyimulasikan lawan spesifik itu terhadap lingkungan produksi, biasanya tanpa sepengetahuan tim bertahan. Pengujian ini lebih lama, lebih mahal dan lebih mengungkap daripada uji penetrasi standar. VARA dapat mewajibkannya bila menilainya proporsional, yang pada praktiknya mengikuti ukuran perusahaan dan aset dalam kustodi. Sebagian besar VASP yang baru berlisensi memulai dengan uji independen tahunan; perusahaan dengan kustodi signifikan sebaiknya memperkirakan pertanyaan itu akan datang.
Baik DFSA di DIFC maupun FSRA di ADGM mengharapkan pengujian keamanan independen secara berkala yang sepadan dengan profil risiko perusahaan, alih-alih menerbitkan satu interval universal seperti yang dilakukan VARA. Tahunan adalah norma yang diadopsi dan dipertahankan perusahaan, dengan pengujian tambahan setelah perubahan material. Ekspektasi praktis di kedua zona bebas itu sama seperti di onshore: pengujian independen, perbaikan terdokumentasi, dan bukti yang dapat Anda tunjukkan bila diminta.
Hampir pasti berlaku, dan lebih awal daripada dugaan kebanyakan pendiri. Kewajibannya datang bersama lisensi, bukan bersama skala, sehingga perusahaan di dalam sandbox atau yang baru berlisensi memikulnya tepat pada tahap ketika program keamanannya paling belum matang. Cara pandang yang berguna: pengujian pertama lebih murah dan jauh tidak menyakitkan ketika platformnya masih kecil - dan temuannya masih berupa hal-hal yang dapat Anda perbaiki secara arsitektural alih-alih ditambal dari luar.
Bisa, dan bagi sebuah VASP di situlah cakupan seharusnya terpusat. Uji aplikasi web pada antarmuka perdagangan membiarkan skenario kerugian yang sebenarnya tidak teruji. Pertanyaan yang layak dijawab menyangkut alur penandatanganan, pemisahan antara infrastruktur panas dan dingin, siapa dan apa yang dapat mengotorisasi transfer, bagaimana persetujuan dapat dilewati oleh seseorang dengan akses parsial, dan apakah proses operasional di sekitar material kunci bertahan terhadap administrator yang terkompromi. Itu pertanyaan desain dan proses sama banyaknya dengan pertanyaan kode, dan karena itulah ia memerlukan manusia, bukan pemindai.
Berlisensi VARA, DFSA, ADGM atau CBUAE?
Pengujian independen yang dicakup sesuai rulebook - termasuk batas kustodi, bukan hanya antarmuka depan.