Uji Penetrasi di Arab Saudi
Sebagian besar uji penetrasi di Kerajaan dibeli karena diwajibkan regulator. Essential Cybersecurity Controls dari NCA, kontrol Sistem Kritis, dan kerangka SAMA masing-masing mewajibkan pengujian dengan jadwalnya sendiri - dan masing-masing menuntut bukti yang dapat dibaca auditor. Inilah cakupan pekerjaan itu dan cara saya menjalankannya.
Apa yang sebenarnya diwajibkan regulator Saudi
Tiga rezim terpisah mewajibkan uji penetrasi di Kerajaan, dan rezim mana yang berlaku bagi Anda menentukan cakupan, frekuensi, dan bukti yang harus Anda simpan.
NCA Essential Cybersecurity Controls (ECC)
ECC dari National Cybersecurity Authority adalah acuan nasional, dan mengikat instansi pemerintah, kontraktornya, serta operator infrastruktur kritis. Kontrol 2-11 mengatur uji penetrasi: persyaratannya harus didefinisikan, didokumentasikan dan disetujui, harus diimplementasikan, dan cakupannya harus meliputi layanan yang terekspos internet beserta infrastruktur teknis di baliknya. Pengujian bersifat berkala, dan bukti yang dicari auditor adalah keseluruhan siklusnya - dokumen cakupan, laporan pengujian, perbaikan, pengujian ulang - bukan sekadar PDF bertanggal.
Critical Systems Cybersecurity Controls (CSCC)
Jika ada sistem Anda yang diklasifikasikan kritis, CSCC menaikkan standarnya: sistem tersebut harus diuji minimal setiap enam bulan, bukan setahun sekali. Hal ini kerap menyulitkan banyak organisasi, karena siklus penganggaran dan pengadaan biasanya disusun untuk satu pengujian per tahun. Lakukan klasifikasi sejak dini, sebab irama enam bulan sepenuhnya mengubah bentuk komersial penugasannya.
SAMA Cyber Security Framework
Lembaga keuangan yang diawasi Bank Sentral Saudi - bank, asuransi, perusahaan pembiayaan, penyedia jasa pembayaran - diharapkan menjalankan uji penetrasi eksternal independen minimal setahun sekali, mencakup sistem yang terekspos internet, aplikasi web dan infrastruktur jaringan. Independensi adalah syarat kuncinya: pengujian yang dilakukan tim yang membangun atau menjalankan sistem tidak memenuhinya, begitu pula pemindaian kerentanan yang disajikan sebagai uji penetrasi.
Dan yang berjalan berdampingan
Personal Data Protection Law dari SDAIA membawa kewajiban keamanannya sendiri bila data pribadi diproses, Cloud Cybersecurity Controls berlaku bila beban kerja berada pada penyedia cloud, dan perusahaan besar kian memberlakukan standar keamanan pemasoknya sendiri - persyaratan pihak ketiga Aramco adalah contoh yang pertama kali dihadapi kebanyakan vendor Saudi. Bila Anda menerima pembayaran kartu, Persyaratan 11.4 PCI DSS berlaku di atas semua itu; hal tersebut dibahas di halaman pengujian PCI DSS.
Apa yang sebenarnya dicakup sebuah pengujian
Cakupan yang pada praktiknya memenuhi ECC 2-11 dan SAMA, dalam urutan yang biasa dijalankan:
- Pengujian jaringan eksternal - segala yang organisasi Anda ekspos ke internet: konsentrator VPN, surel, akses jarak jauh, host staging yang terlupakan, dan layanan yang tak seorang pun ingat pernah dipublikasikan. Ini secara eksplisit masuk cakupan ECC 2-11 dan di sinilah mayoritas penyusupan nyata bermula.
- Pengujian web dan API - autentikasi, otorisasi, logika bisnis dan injeksi terhadap aplikasi yang menghadap pelanggan serta API di baliknya. Disebut dalam cakupan SAMA.
- Pengujian jaringan internal - sejauh mana seseorang yang sudah memiliki pijakan dapat menjangkau: segmentasi yang tidak bertahan, jaringan datar, kredensial yang tersimpan di tempat yang seharusnya tidak.
- Active Directory - penyalahgunaan template sertifikat ADCS, Kerberoasting, masalah delegasi dan jalur ACL menuju Domain Admin. Hampir semua perusahaan Saudi berjalan di atas AD, dan di situlah pijakan eksternal berubah menjadi kompromi menyeluruh.
- Cloud - jalur eskalasi Entra ID dan Azure RBAC, penyimpanan yang terekspos, serta kesalahan konfigurasi identitas yang membuat tenant cloud menjadi jalan pintas alih-alih penghalang.
Apa yang Anda terima
Laporan yang ditulis agar terbaca oleh dua audiens sekaligus: ringkasan eksekutif yang dapat diikuti direksi atau regulator tanpa penerjemah, dan bagian teknis dengan langkah reproduksi, bukti serta peringkat CVSS yang dapat langsung ditindaklanjuti para insinyur Anda. Setiap temuan dipetakan ke kontrol yang mewajibkan pengujian, sehingga auditor dapat menelusuri kewajiban hingga ke buktinya tanpa Anda perlu menyusun pemetaan itu sendiri.
Dukungan perbaikan sudah termasuk, bukan dijual terpisah - pertanyaan saat memperbaiki akan dijawab - begitu pula pengujian ulang atas temuan yang telah Anda tutup, ditambah surat atestasi yang menyatakan pengujian telah dilakukan, oleh siapa, terhadap cakupan apa dan pada tanggal berapa. Menurut pengalaman saya, atestasi itulah dokumen yang benar-benar diarsipkan auditor atau dikirimkan ke klien korporat yang meminta bukti. Tersedia contoh laporan bila Anda ingin melihat formatnya sebelum memutuskan.
Mengapa bekerja dengan konsultan independen
Anda berbicara dengan orang yang melakukan pengujian. Tidak ada manajer akun yang meneruskan pertanyaan, tidak ada junior yang menjalankan pemindai atas nama senior di faktur, dan tidak ada jeda tiga minggu antara selesainya pengujian dan tibanya laporan. Untuk tenggat ECC atau SAMA, kelangsungan itu biasanya menjadi pembeda antara memenuhi tanggal dan menjelaskan mengapa tidak.
Kecocokan praktis untuk kawasan Teluk perlu dinyatakan terus terang: saya bekerja dari Amman pada GMT+3 - jam kerja dan pekan kerja yang sama dengan Riyadh, Jeddah dan Dammam - sehingga pertanyaan yang muncul selama pengujian dijawab di hari yang sama. Bahasa Arab maupun Inggris sama-sama dapat digunakan. Saya memegang OSCP+ bersama eCPPT, eWPT, eCIR, AZ-500, SC-200 dan SC-300, semuanya dapat diverifikasi secara independen di OffSec credential wallet - hal ini penting di sini, karena auditor yang meninjau sebuah pengujian makin sering menanyakan siapa yang melakukannya dan apa kualifikasinya.
Yang tidak akan saya lakukan adalah berpura-pura sebagai firma lokal. Saya tidak punya kantor di Riyadh dan tidak akan mengklaim punya. Yang saya tawarkan adalah seorang spesialis yang Anda libatkan langsung, dalam zona waktu dan bahasa Anda, dengan kualifikasi yang dapat Anda verifikasi dalam tiga puluh detik.
Memulai
Sampaikan kontrol yang harus Anda penuhi - ECC 2-11, siklus enam bulan CSCC, uji tahunan SAMA - beserta apa yang masuk cakupan dan tenggat Anda. Anda akan menerima penawaran harga tetap dan tanggal mulai, bukan sebuah proses penjajakan. Jika Anda lebih suka melihat sesuatu yang konkret lebih dahulu, pemindaian perimeter gratis menunjukkan apa yang saat ini terekspos di permukaan eksternal Anda, dan ikhtisar kepatuhan membahas perbandingan kerangka lainnya.
Jika Anda belum yakin rezim mana yang berlaku bagi Anda, itu pertanyaan yang wajar dan satu percakapan singkat akan menuntaskannya. Hubungi saya - pertanyaan dalam bahasa Arab dipersilakan.
Arab Saudi: pertanyaan umum
Ya. Kontrol 2-11 Essential Cybersecurity Controls secara khusus mengatur uji penetrasi, dan terdiri dari tiga bagian: persyaratannya harus didefinisikan dan didokumentasikan, harus disetujui, dan harus diimplementasikan. Cakupannya minimal harus meliputi layanan yang terekspos internet dan infrastruktur teknis di baliknya. Pengujian diwajibkan secara berkala. Jika Anda juga tunduk pada Critical Systems Cybersecurity Controls, sistem kritis harus diuji minimal setiap enam bulan, bukan setahun sekali.
Lembaga yang diatur Bank Sentral Saudi diharapkan menjalankan uji penetrasi eksternal independen minimal setahun sekali, mencakup sistem yang terekspos internet, aplikasi web dan infrastruktur jaringan. Kata yang paling berbobot di sana adalah independen - pengujian yang dijalankan tim yang membangun atau mengoperasikan sistem tidak memenuhinya. Bagi bank, asuransi, perusahaan pembiayaan dan penyedia pembayaran, ini kewajiban tahunan yang berulang, bukan sekali jalan.
Untuk pengujian eksternal, aplikasi web, cloud dan sebagian besar pengujian internal, tidak - pekerjaan dilakukan jarak jauh, dan begitulah mayoritas asesmen di kawasan ini dikerjakan. Pengujian jaringan internal dan Active Directory ditangani melalui VPN atau jump host kecil yang Anda kendalikan, dan saya dapat bekerja dari jump box di dalam lingkungan Anda bila kebijakan Anda mensyaratkannya. Jika ada persyaratan residensi data yang membatasi tempat bukti disimpan atau diproses, sampaikan saat penentuan cakupan dan hal itu akan masuk ke aturan pelaksanaan secara tertulis.
Justru untuk itulah laporannya ditulis. Setiap laporan memuat ringkasan eksekutif untuk direksi, bagian teknis dengan langkah reproduksi dan peringkat CVSS, pemetaan ke kontrol yang mewajibkan pengujian, serta bagian perbaikan yang ditulis agar para insinyur Anda dapat menindaklanjutinya tanpa perlu panggilan lanjutan. Pengujian ulang atas temuan yang telah diperbaiki dan surat atestasi yang menegaskan pengujian telah dilakukan, oleh siapa dan terhadap cakupan apa, sudah termasuk - atestasi biasanya justru dokumen yang diarsipkan auditor atau klien.
Bahasa Inggris secara baku, karena itulah bahasa kerja regulator dan sebagian besar proses pengadaan korporat Saudi. Bahasa Arab tersedia atas permintaan, dan komunikasi harian selama penugasan dapat sepenuhnya dalam bahasa Arab. Saya bekerja dari Amman pada GMT+3, pekan kerja dan jam kerja yang sama dengan Riyadh, sehingga pertanyaan selama pengujian terjawab di hari yang sama, bukan keesokan paginya.
Punya tenggat dari NCA atau SAMA?
Sampaikan kontrol yang harus Anda penuhi dan cakupannya, lalu Anda akan menerima penawaran harga tetap dan tanggal mulai.