Penetration test NCA ECC: controllo 2-11
Gli Essential Cybersecurity Controls della National Cybersecurity Authority collocano i penetration test nel controllo 2-11, e il controllo è più specifico di quanto la maggior parte si aspetti: disciplina non solo il fatto che si effettuino test, ma che i requisiti siano documentati, approvati, implementati e con un perimetro che copra ciò che la NCA stabilisce.
Cosa dice davvero il controllo 2-11
Gli Essential Cybersecurity Controls collocano i penetration test nel dominio 2, Cybersecurity Defence, al controllo 2-11. Il suo scopo è valutare l'efficacia della capacità difensiva dell'organizzazione tramite attacco simulato, al fine di individuare nell'infrastruttura tecnica le debolezze che potrebbero portare a una violazione.
Il controllo si scompone in tre obblighi, e le organizzazioni soddisfano abitualmente il terzo mancando i primi due:
- Definire, documentare e approvare i requisiti di cybersecurity per i penetration test. Questo è un obbligo documentale a sé stante: serve una dichiarazione scritta e approvata su come viene definito il perimetro dei test, con che frequenza vengono eseguiti e chi li autorizza.
- Implementare quei requisiti. I test avvengono effettivamente, secondo il ciclo che ha documentato.
- Definire il perimetro dei test perché copra, come minimo, i servizi esposti su internet e l'infrastruttura tecnica che li sostiene.
La conseguenza pratica: un ente che commissiona ogni anno un eccellente penetration test ma non ha mai redatto e approvato i propri requisiti di test resta non conforme al 2-11. L'assessor cerca la policy e la traccia di approvazione tanto quanto il report.
La trappola dei sei mesi: il CSCC
Se qualcuno dei suoi sistemi è classificato come critico, i Critical Systems Cybersecurity Controls si applicano sopra l'ECC ed elevano il requisito di test per quei sistemi ad almeno ogni sei mesi.
È il più comune fallimento di budget e pianificazione nei programmi di conformità sauditi. L'ipotesi annuale viene fissata negli acquisti, l'esercizio di classificazione avviene più tardi o in un altro team, e il disallineamento emerge all'assessment, quando non resta tempo per un secondo test. Faccia prima la classificazione, poi dimensioni il programma di test attorno alla risposta; e se alcuni sistemi sono critici e altri no, spesso può eseguire un incarico semestrale più ridotto sul sottoinsieme critico e un incarico annuale completo su tutto il parco, cosa considerevolmente più economica che testare l'intero ambiente due volte l'anno.
Definire un perimetro che superi l'assessment
Il perimetro minimo del controllo sono i servizi esposti su internet più l'infrastruttura tecnica retrostante. Quello è un pavimento. Un perimetro costruito solo fino al pavimento invita una domanda ovvia dall'assessor: se la sua analisi di esposizione si ferma alla frontiera, come fa a sapere che un punto d'appoggio sul perimetro non porta da nessuna parte?
Il perimetro che regge senza discussioni:
- Rete esterna — l'intero parco esposto su internet, inclusi host e servizi pubblicati anni fa e dimenticati. Esplicitamente richiesto dal controllo.
- Applicazioni web e API — autenticazione, autorizzazione, logica di business, injection. Nella pratica, l'infrastruttura tecnica dietro il servizio esposto su internet.
- Rete interna — fin dove arriva un punto d'appoggio e se la segmentazione regge sotto pressione.
- Active Directory — abuso di template di certificato ADCS, Kerberoasting, delega e percorsi ACL verso Domain Admin. In un parco governativo o aziendale saudita è quasi sempre qui che un punto d'appoggio perimetrale diventa una compromissione totale, ed è la parte che un assessment basato su scanner non troverà mai.
- Cloud — dove i carichi di lavoro si sono spostati, i Cloud Cybersecurity Controls si applicano in parallelo e il tenant richiede lo stesso trattamento: percorsi di escalation in Entra ID e Azure RBAC, storage esposto, errata configurazione delle identità.
Il pacchetto di evidenze
Quattro artefatti, e quello che manca più spesso è l'ultimo:
- Il documento dei requisiti di test approvati — è la parte del 2-11 che non è il test.
- Un documento di perimetro che mostri cosa era dentro e cosa fuori, e perché era appropriato.
- Il report: finding, valutazioni CVSS, passi di riproduzione e mapping esplicito al controllo 2-11.
- Evidenze di remediation e retest — cosa è stato corretto, quando, confermato da un retest. I rischi che sceglie di accettare richiedono una decisione registrata e una motivazione; accettare è consentito, tacere no.
Una lettera di attestazione che indichi chi ha testato, su quale perimetro e in quali date completa il pacchetto. Ogni incarico qui include report, retest e attestazione come standard e non come extra a pagamento, perché il deliverable reale è un pacchetto pronto per l'assessment: il report da solo non lo è.
Perché conta chi esegue il test
L'ECC non prescrive una certificazione come fa NESA negli Emirati, ma la domanda arriva all'assessment e dai clienti pubblici che trasferiscono il requisito a valle: chi ha fatto questo e cosa possiede?
Possiedo OSCP+, la forma rinnovata della certificazione OffSec, insieme a eCPPT, eWPT ed eCIR, e AZ-500, SC-200 e SC-300 per la parte Microsoft e Azure del lavoro. Tutte verificabili in modo indipendente tramite il credential wallet di OffSec, e quel link va nel suo pacchetto di evidenze accanto al report.
Lavoro da Amman su GMT+3 — orario identico a Riyad — in arabo o inglese, da remoto. I test interni e su Active Directory passano da una VPN o da un jump host dentro il suo ambiente, e ogni vincolo su dove le evidenze vengono elaborate o conservate entra per iscritto nelle regole d'ingaggio prima dell'inizio.
Prossimi passi
Mi dica se il CSCC si applica a qualcuno dei suoi sistemi, com'è fatto l'ambiente e quando è previsto l'assessment. Riceve un preventivo a prezzo fisso e una data di avvio. Se vuole prima vedere il deliverable c'è un report di esempio; e se vuole vedere la sua esposizione esterna attuale in pochi minuti, la scansione del perimetro gratuita lo fa senza alcun impegno.
Per approfondire: penetration test in Arabia Saudita spiega come ECC, CSCC e SAMA si incastrano, la pagina SAMA copre il requisito del settore finanziario e la panoramica conformità confronta tutti i framework. Si metta in contatto — l'arabo è benvenuto.
Domande su NCA ECC
Agli enti governativi di ogni livello, alle aziende che forniscono loro servizi e agli operatori di infrastrutture nazionali critiche. Nella pratica la portata è più ampia di quanto sembri, perché l'obbligo si propaga a cascata: gli enti trasferiscono contrattualmente requisiti allineati all'ECC ai propri fornitori, cosicché un'azienda privata senza obblighi diretti verso la NCA ha spesso un obbligo molto concreto verso il proprio cliente pubblico. Se un cliente del settore pubblico saudita le ha chiesto evidenze di penetration test, di norma è questo il controllo dietro la richiesta.
Il controllo 2-11 dell'ECC richiede test periodici, e il ciclo annuale è quello che la maggior parte degli enti adotta e difende con successo. Se qualcuno dei suoi sistemi è classificato come critico, si applicano i Critical Systems Cybersecurity Controls, che elevano il requisito ad almeno ogni sei mesi per quei sistemi. Classifichi prima di fare budget: scoprire una cadenza semestrale dopo che gli acquisti hanno approvato una voce annuale è un problema davvero comune e perfettamente evitabile.
Come minimo, i servizi esposti su internet e l'infrastruttura tecnica che li sostiene. Quel minimo è un pavimento, non un obiettivo: un assessor che vede un perimetro fermo alla frontiera mentre l'ente gestisce un ampio parco interno chiederà perché. Il perimetro che supera comodamente un assessment è: superficie esterna, applicazioni web e API, rete interna, Active Directory e il tenant cloud dove risiedono i carichi di lavoro.
La separazione conta — chi costruisce o gestisce un sistema non dovrebbe essere chi lo valuta — e nella pratica anche enti con capacità interna matura coinvolgono un tester esterno per il ciclo annuale, perché l'indipendenza è più semplice da dimostrare che da argomentare. Dove esiste un team interno capace, la suddivisione che funziona bene è test interni continuativi durante l'anno e un incarico esterno indipendente per il ciclo regolamentare.
La revisione del 2024 aggiorna ed estende i controlli mantenendo i penetration test al 2-11 con la stessa forma essenziale: definire, documentare e approvare i requisiti; implementarli; dare ai test un perimetro che copra come minimo i servizi esposti su internet e l'infrastruttura tecnica. Se ha costruito il suo programma di conformità sulla versione precedente, l'obbligo di test è continuativo più che nuovo: ciò che conviene riverificare è il perimetro documentato e la traccia di approvazione rispetto al testo vigente, perché è lì che si concentra gran parte della differenza.
Servono evidenze ECC 2-11 prima di un assessment?
Perimetro sul controllo, report con il mapping, retest e attestazione.