Uji Penetrasi di UEA
UEA memiliki rezim keamanan siber yang saling tumpang tindih lebih banyak daripada hampir mana pun - federal, tingkat emirat, spesifik sektor, dan zona bebas - dan nyaris semuanya bermuara pada persyaratan yang sama: uji penetrasi independen, minimal setahun sekali, disertai bukti. Berikut rezim mana yang berlaku bagi Anda dan apa saja yang dicakup pengujiannya.
Peta regulasi UEA, secara ringkas
UEA menumpuk aturan federal, emirat dan sektoral di atas satu sama lain. Sebagian besar organisasi tercakup lebih dari satu, dan wawasan yang berguna adalah bahwa satu pengujian dengan cakupan yang baik dapat memenuhi beberapa sekaligus - bila cakupannya disusun demikian secara sengaja, bukan kebetulan.
NESA / UAE Information Assurance Standards
Acuan federal, berlaku bagi instansi pemerintah dan organisasi yang ditetapkan sebagai infrastruktur informasi kritis di bidang energi, air, transportasi, telekomunikasi, jasa keuangan dan kesehatan. Manajemen kerentanan teknis mewajibkan penilaian kerentanan dan uji penetrasi dilakukan serta dilacak - pada praktiknya setahun sekali. Dua persyaratan kerap menjebak: temuan kritis dan tinggi memerlukan perbaikan terdokumentasi dengan bukti pengujian ulang dalam jangka waktu tertentu, biasanya 90 hari; dan auditor memeriksa kualifikasi pihak yang melakukan pengujian, dengan OSCP atau setara sebagai ekspektasi yang dinyatakan. Halaman NESA membahas detailnya.
Dubai ISR (DESC)
Information Security Regulation dari Dubai Electronic Security Centre mengikat entitas pemerintah Dubai dan para pemasok yang melayaninya. Regulasi ini berjalan paralel dengan NESA alih-alih menggantikannya, dan organisasi yang bekerja dengan pemerintah Dubai kerap perlu membuktikan keduanya. Persyaratan pengujiannya secara substansi serupa, sehingga satu penugasan yang dicakup untuk keduanya menghasilkan satu set bukti.
Jasa keuangan: CBUAE, DFSA, ADGM
Bank Sentral UEA menetapkan ekspektasi bagi bank dan perusahaan pembiayaan onshore; DFSA mengatur perusahaan di DIFC dan FSRA mengatur perusahaan di ADGM. Ketiganya mengharapkan pengujian keamanan independen secara berkala, dan ketiganya memandang negatif pemindaian kerentanan yang disajikan sebagai uji penetrasi. Dibahas rinci di sini.
VARA: aset virtual
Virtual Assets Regulatory Authority Dubai mewajibkan setiap VASP berlisensi menjalani uji penetrasi independen minimal setahun sekali berdasarkan Technology and Information Rulebook, disertai pengujian berbasis intelijen bila VARA menilainya perlu dan proporsional. Rulebook itu berdampingan dengan persyaratan manajemen kunci berbasis HSM, batas minimum penyimpanan dingin, dan pelaporan insiden dalam 24 hingga 72 jam menurut tingkat keparahan.
Kesehatan: ADHICS
Standar Abu Dhabi Healthcare Information and Cyber Security berlaku bagi penyedia layanan kesehatan dan pemasok teknologinya di emirat tersebut, dengan persyaratan pengujian keamanan dan bukti di samping kontrolnya atas data klinis. Selengkapnya di sini.
Pelindungan data
PDPL federal, ditambah undang-undang pelindungan data DIFC dan ADGM yang terpisah, membawa kewajiban keamanan di mana pun data pribadi diproses. Keduanya tidak menyebut uji penetrasi secara spesifik, tetapi standarnya adalah "langkah teknis yang memadai", dan membuktikannya setelah insiden jauh lebih mudah bila ada pengujian independen terkini yang terarsip.
Satu pengujian, beberapa kewajiban
Kesalahan yang mahal di UEA adalah membeli asesmen terpisah untuk tiap regulator. Dalam kebanyakan kasus cakupan teknisnya hampir sepenuhnya bertumpang tindih - permukaan eksternal, aplikasi web dan API, jaringan internal dan Active Directory, tenant cloud - dan yang berbeda adalah pemetaan serta pelaporannya, bukan pengujiannya.
Maka penugasan dicakup satu kali terhadap seluruh kewajiban Anda, dan laporannya memetakan setiap temuan ke tiap kontrol yang berlaku. Cakupan praktisnya:
- Jaringan eksternal - segala yang dapat dijangkau dari internet, termasuk host yang tak seorang pun ingat pernah dipublikasikan.
- Aplikasi web dan API - autentikasi, otorisasi, logika bisnis, injeksi. Lapisan yang menghadap pelanggan dan ditanyakan setiap regulator.
- Jaringan internal - sejauh mana sebuah pijakan menjangkau, dan apakah segmentasi Anda benar-benar bertahan.
- Active Directory - penyalahgunaan ADCS, Kerberoasting, delegasi dan jalur ACL menuju Domain Admin.
- Cloud - eskalasi Entra ID dan Azure RBAC, penyimpanan terekspos, kesalahan konfigurasi identitas.
Untuk VASP di bawah VARA, tambahkan batas kustodi: infrastruktur dompet, alur penandatanganan dan kontrol operasional di sekitar material kunci, karena di situlah peristiwa kerugian sebenarnya terjadi, bukan di antarmuka web.
Persyaratan kualifikasi, secara spesifik
Sebagian besar halaman kepatuhan melewatkan hal ini, tetapi di UEA ia luar biasa konkret: auditor NESA memeriksa siapa yang melakukan pengujian, dan OSCP atau setara adalah ekspektasinya. Pengujian yang dilakukan seseorang tanpa sertifikasi keamanan ofensif yang diakui akan dipertanyakan, dan kadang ditolak, saat audit.
Saya memegang OSCP+ - bentuk terbarukan dari sertifikasi tersebut - bersama eCPPT, eWPT dan eCIR di sisi ofensif, serta AZ-500, SC-200 dan SC-300 di sisi keamanan Microsoft, yang membuat bagian Entra ID dan Azure menjadi kredibel alih-alih generik. Semuanya dapat diverifikasi secara independen di OffSec credential wallet, dan tautan verifikasi itu layak berada di paket bukti Anda bersama laporannya.
Bagaimana penugasan berjalan
Cakupan dan penawaran lebih dahulu: Anda menyampaikan kewajiban, lingkungan dan tenggatnya; Anda menerima harga tetap dan tanggal mulai, biasanya dalam satu atau dua pekan. Aturan pelaksanaan disepakati secara tertulis, termasuk jendela pengujian, kontak eskalasi, dan apa pun yang dibatasi regulator Anda mengenai tempat bukti diproses atau disimpan.
Pengujian biasanya berjalan satu hingga dua pekan bergantung cakupan, dengan hal apa pun yang kritis dilaporkan kepada Anda seketika alih-alih ditahan sampai dokumen akhir. Laporan menyusul dalam hitungan hari: ringkasan eksekutif, temuan teknis dengan langkah reproduksi dan peringkat CVSS, pemetaan kontrol, serta perbaikan yang diprioritaskan. Kemudian pengujian ulang atas apa yang telah Anda perbaiki dan surat atestasi - yang di UEA lebih penting daripada dugaan banyak orang, karena bukti pengujian ulang 90 hari itu sendiri merupakan persyaratan, bukan pelengkap.
Saya bekerja jarak jauh dari Amman, satu jam di belakang Dubai, dengan irama Minggu sampai Kamis yang sama seperti kawasan ini, dalam bahasa Arab atau Inggris. Tidak ada kantor lokal, dan saya tidak akan mengklaimnya - sebagai gantinya Anda mendapatkan orang yang mengerjakannya, secara langsung, dengan kualifikasi yang dapat diverifikasi.
Mulai di sini
Sampaikan regulator mana yang membawahi Anda dan apa yang masuk cakupan. Jika Anda belum pasti - dan dengan rezim sebanyak ini hal itu sepenuhnya wajar - satu percakapan singkat akan menyelesaikannya. Ikhtisar kepatuhan membandingkan kerangka-kerangkanya berdampingan, pemindaian perimeter gratis menunjukkan eksposur eksternal Anda saat ini dalam beberapa menit, dan contoh laporan memperlihatkan persis apa yang akan Anda terima.
Hubungi saya - pertanyaan dalam bahasa Arab dipersilakan, dan jika ada tenggat pelaporan yang mendorong lini masanya, sebutkan di baris pertama.
UEA: pertanyaan umum
Secara garis besar: entitas federal dan infrastruktur informasi kritis yang ditetapkan - energi, air, transportasi, telekomunikasi, jasa keuangan, kesehatan - tunduk pada Information Assurance Standards NESA. Entitas pemerintah Dubai dan pemasoknya tunduk pada ISR dari DESC. Bank dan perusahaan pembiayaan bertanggung jawab kepada Bank Sentral; perusahaan di DIFC kepada DFSA dan perusahaan di ADGM kepada FSRA; penyedia layanan aset virtual Dubai kepada VARA. Layanan kesehatan Abu Dhabi tunduk pada ADHICS. Banyak organisasi tercakup dua atau tiga sekaligus, dan itu biasanya tidak masalah - satu pengujian dengan cakupan yang baik dapat menghasilkan bukti untuk semuanya bila cakupannya disusun dengan mempertimbangkan hal itu sejak awal.
Ya. Manajemen kerentanan teknis dalam Information Assurance Standards mewajibkan penilaian kerentanan dan uji penetrasi dilakukan serta dilacak, dan pada praktiknya itu berarti minimal setahun sekali bagi entitas yang tercakup. Dua detail penting di luar pengujiannya sendiri: temuan kritis dan tinggi memerlukan perbaikan terdokumentasi disertai bukti pengujian ulang dalam jangka waktu tertentu, biasanya 90 hari - sehingga pengujian tanpa pengujian ulang adalah jawaban yang belum lengkap. Dan auditor NESA memeriksa kualifikasi pihak yang melakukan pengujian, dengan OSCP atau setara sebagai ekspektasinya.
Ya. Berdasarkan Technology and Information Rulebook VARA, setiap penyedia layanan aset virtual di Dubai memerlukan uji penetrasi independen minimal setahun sekali, dan VARA dapat pula mewajibkan pengujian berbasis intelijen bila menilainya perlu dan proporsional. Rulebook tersebut juga mengatur manajemen kunci dengan HSM, batas minimum penyimpanan dingin, dan pelaporan insiden dalam 24 hingga 72 jam bergantung tingkat keparahan. Bagi VASP, cakupan pengujian biasanya perlu menjangkau lebih jauh daripada uji aplikasi web standar - infrastruktur dompet, alur penandatanganan dan batas kustodi adalah tempat risiko sebenarnya berada.
Tidak. Pengujian eksternal, aplikasi web, cloud dan sebagian besar pengujian internal dilakukan jarak jauh, dan itu lazim di seluruh kawasan. Pekerjaan jaringan internal dan Active Directory dijalankan melalui VPN atau jump host di dalam lingkungan Anda. Bila regulator atau kebijakan Anda sendiri membatasi tempat data diproses atau bukti disimpan, hal itu masuk ke aturan pelaksanaan secara tertulis sebelum apa pun dimulai.
Biasanya dalam satu hingga dua pekan setelah cakupan disepakati, dan lebih cepat bila ada tenggat pelaporan yang mendorongnya. Karena Anda melibatkan pengujinya secara langsung, tidak ada antrean alokasi sumber daya internal antara penandatanganan dan tanggal mulai. Penugasan eksternal dan aplikasi web yang tipikal berjalan satu hingga dua pekan pengujian dengan laporan tersedia beberapa hari setelah selesai - lini masanya dibahas rinci di sini.
Punya tenggat NESA, ISR atau VARA?
Sampaikan kewajiban dan cakupannya, lalu Anda akan menerima penawaran harga tetap dan tanggal mulai.