Requisiti NESA per i penetration test
Gli Information Assurance Standards di NESA sono inusuali tra i framework di conformità per essere specifici su due punti su cui la maggior parte è vaga: la remediation dei finding critici ha un orologio, e le certificazioni di chi ha eseguito il test vengono esaminate. Entrambi cambiano il modo in cui dovrebbe acquistare il test.
Cosa richiede lo standard
Nell'ambito della gestione tecnica delle vulnerabilità, gli Information Assurance Standards degli Emirati richiedono che le valutazioni di vulnerabilità e i penetration test siano condotti e tracciati. Per gli enti coperti questo si traduce, nella pratica, in test annuali — ma l'obbligo è un ciclo e non un evento, e le tre parti che vengono valutate sono:
- Il test — eseguito, in modo indipendente, su un perimetro appropriato all'ente.
- La remediation — finding critici e alti documentati e corretti, con le decisioni registrate laddove un rischio venga invece accettato.
- Il retest — evidenza che le correzioni hanno funzionato, entro una finestra definita, tipicamente 90 giorni.
Gli enti che falliscono NESA sui penetration test hanno quasi sempre fatto la prima parte e non le altre due.
Due requisiti che cambiano il modo di acquistare
L'orologio dei 90 giorni impedisce di testare tardi
Se i finding critici e alti devono essere corretti e ritestati entro 90 giorni, la conseguenza di calendario è inevitabile: un test eseguito nell'ultimo mese del suo anno di conformità non lascia margine per correggere alcunché e dimostrarlo. Quando arriva il report le restano settimane, non un trimestre.
Testi con almeno un trimestre di margine. Dove l'ambiente è ampio o l'ultimo test risale a tempo fa, di più — perché lo sforzo di remediation è ignoto finché il report non esiste, e un elenco di finding più pesante del previsto è esattamente lo scenario che la finestra è progettata per mettere sotto stress. Questa singola decisione di calendario causa più fallimenti NESA di qualunque problema tecnico.
Gli assessor esaminano chi ha testato
Gli assessor NESA esaminano le certificazioni del fornitore di penetration test, e OSCP o equivalente è l'aspettativa dichiarata. È inusualmente concreto — la maggior parte dei framework dice «adeguatamente qualificato» e si ferma lì — e ha una conseguenza commerciale diretta: un test più economico eseguito da qualcuno senza una certificazione offensiva riconosciuta può essere respinto in sede di assessment, il che le costa l'onorario, la finestra di remediation e il retest.
Quindi la domanda da porre a qualsiasi fornitore prima di ingaggiarlo è semplice: chi eseguirà i test, cosa possiede e posso verificarlo? Per questo incarico la risposta è OSCP+ — la forma rinnovata attuale della certificazione — insieme a eCPPT, eWPT ed eCIR, più AZ-500, SC-200 e SC-300 sul versante sicurezza Microsoft. Tutte verificabili in modo indipendente tramite il credential wallet di OffSec, e quel link va nel suo pacchetto di evidenze accanto al report.
Perimetro
Cosa copre un incarico allineato a NESA:
- Rete esterna — l'intero parco esposto su internet, inclusi i servizi pubblicati e dimenticati.
- Applicazioni web e API — autenticazione, autorizzazione, logica di business, injection, e le API dietro le app mobili.
- Rete interna — fin dove arriva un punto d'appoggio; se la segmentazione regge.
- Active Directory — abuso di template di certificato ADCS, Kerberoasting, delega, percorsi ACL verso Domain Admin. Per un ente governativo o una utility degli Emirati è qui che un piccolo punto d'appoggio esterno diventa una compromissione totale.
- Cloud — escalation in Entra ID e Azure RBAC, storage esposto, errata configurazione delle identità.
Per le infrastrutture informative critiche in particolare, la domanda che conviene dimensionare deliberatamente non è solo se il perimetro regge, ma fin dove arriva qualcuno quando non regge — che è ciò che misura una valutazione assumed breach, e ciò che un consiglio o un regolatore vuole davvero sapere.
NESA e l'ISR di Dubai insieme
Molte organizzazioni portano entrambi: NESA a livello federale, e l'Information Security Regulation del DESC perché sono un ente del governo di Dubai o ne riforniscono uno. I due corrono in parallelo anziché l'uno sostituire l'altro, e i loro requisiti tecnici di test si sovrappongono quasi del tutto.
Dimensionato deliberatamente su entrambi fin dall'inizio, un solo incarico produce evidenze per entrambi — i test sono gli stessi, il mapping differisce. Dimensionato su uno e recuperato dopo, di norma si finisce per testare due volte. Non costa nulla dire in fase di scoping quali regimi la riguardano, ed è la cosa più redditizia che può dirmi nella prima call.
Il deliverable
Una sintesi esecutiva per la direzione e per l'assessor, un corpo tecnico con passi di riproduzione, evidenze e valutazioni CVSS, e il mapping di ogni finding al controllo applicabile così che il team compliance non costruisca quel foglio di calcolo da sé. Poi supporto alla remediation mentre correggete, un retest dei finding chiusi — che è un requisito NESA e non un upsell — e una lettera di attestazione che registri chi ha testato, su quale perimetro e in quali date.
Qualsiasi cosa critica viene segnalata nel momento in cui è trovata, non trattenuta per il report. C'è un report di esempio se vuole il formato prima di impegnarsi.
Aspetti pratici
Il lavoro è da remoto. I test esterni, applicativi e cloud non richiedono nulla da voi se non perimetro e autorizzazione; i test interni e su Active Directory passano da una VPN o da un jump host dentro il vostro ambiente. Dove il vostro regolatore o la vostra stessa policy vincola dove le evidenze vengono elaborate o conservate, questo entra per iscritto nelle regole d'ingaggio prima che inizi qualsiasi cosa.
Sono ad Amman, un'ora indietro rispetto a Dubai, con la stessa settimana lavorativa della regione, in arabo o inglese. Nessun ufficio negli Emirati e nessuna pretesa di averne uno — ciò che ottenete è la persona che esegue i test, con certificazioni verificabili in meno di un minuto.
Prossimi passi
Mi dica se è coperto come ente federale, come CII, o tramite un contratto con uno di essi; cosa rientra nel perimetro; e quando cade il vostro assessment. Preventivo fisso e data di avvio in risposta. Vista la finestra di retest di 90 giorni, la domanda utile a cui rispondere per prima è quanto margine avete: se è meno di un trimestre, questo cambia la sequenza e dovremmo parlarne prima che poi.
Correlati: penetration test negli Emirati per come si incastrano i regimi, CBUAE, DFSA, ADGM e VARA per i servizi finanziari, e la panoramica conformità per tutto il resto. Si metta in contatto — l'arabo è benvenuto.
Domande su NESA
Gli enti del governo federale e le organizzazioni designate come infrastrutture informative critiche — il che copre energia, acqua, trasporti, telecomunicazioni, servizi finanziari e sanità. Come per l'ECC saudita, la portata pratica è più ampia del perimetro formale, perché gli enti coperti trasferiscono requisiti equivalenti ai propri fornitori per contratto. Se un organismo pubblico degli Emirati o una utility le ha chiesto evidenze di penetration test, NESA è di norma la ragione.
Le valutazioni di vulnerabilità e i penetration test devono essere condotti e tracciati nell'ambito della gestione tecnica delle vulnerabilità, il che nella pratica significa almeno annualmente per gli enti coperti. La parola tracciati conta quanto condotti: NESA cerca un ciclo gestito e documentato — definire il perimetro, testare, rimediare, ritestare, registrare — e non un report che compare una volta l'anno e finisce in una cartella.
I finding critici e alti richiedono remediation documentata con evidenza di un retest entro un periodo definito, tipicamente 90 giorni. La conseguenza pratica riguarda i tempi: se esegue il test annuale nell'ultimo mese del suo anno di conformità, non resta margine per rimediare e ritestare dentro la finestra prima della chiusura del ciclo. Testi con almeno un trimestre di margine. È l'errore di pianificazione più comune nei programmi NESA ed è del tutto evitabile.
Sì — più che nella maggior parte dei framework. Gli assessor NESA esaminano le certificazioni del fornitore di penetration test, con OSCP o equivalente come aspettativa. I test eseguiti da qualcuno senza una certificazione di sicurezza offensiva riconosciuta vengono contestati e talvolta respinti in sede di assessment, il che significa che il preventivo più economico può diventare l'esito più costoso. Chieda la certificazione e un link di verifica prima di ingaggiare chiunque, e metta entrambi nel pacchetto di evidenze.
Di norma sì. I due regimi corrono in parallelo — NESA a livello federale, l'ISR del DESC per gli enti del governo di Dubai e i loro fornitori — e il perimetro tecnico che richiedono si sovrappone quasi completamente. Ciò che differisce è il mapping e la rendicontazione. Dimensioni l'incarico su entrambi fin dall'inizio e otterrà un test e due set di evidenze; lo dimensioni su uno e recuperare l'altro dopo significa di norma ritestare.
Assessment NESA in arrivo?
Certificato OSCP+, dimensionato sull'IAS, con le evidenze di retest che la finestra di 90 giorni richiede.