Penetration test per la finanza e gli asset virtuali negli Emirati
Quattro regolatori, quattro licenze, un requisito ricorrente: test di sicurezza indipendenti, documentati. Per le società di asset virtuali sotto VARA il requisito è esplicito e annuale — e il perimetro che conta va ben oltre l'applicazione web, fino al confine della custodia.
Quattro regolatori, un requisito di fondo
I servizi finanziari degli Emirati si dividono tra onshore e due zone franche, più un regolatore dedicato agli asset virtuali. Quale di essi vi licenzia decide la formulazione del vostro obbligo, ma la sostanza converge: test di sicurezza indipendenti, eseguiti regolarmente, con evidenze che potete produrre.
VARA — asset virtuali di Dubai
Il più esplicito dei quattro. In base al Technology and Information Rulebook, ogni VASP licenziato richiede un penetration test indipendente almeno annuale, e VARA può richiedere in aggiunta test guidati dall'intelligence dove lo giudichi necessario e proporzionato. Il rulebook copre anche la governance della cybersecurity, la gestione di chiavi multi-firma supportata da moduli di sicurezza hardware, i minimi di cold storage e la segnalazione degli incidenti su un orologio di 24-72 ore per gravità.
CBUAE — banche e società finanziarie onshore
La Banca Centrale fissa aspettative di sicurezza per gli istituti licenziati onshore, con test indipendenti regolari dei sistemi esposti su internet e delle applicazioni rivolte ai clienti come aspettativa permanente anziché una tantum. Dove rientrano dati di carta, il requisito 11.4 di PCI DSS si applica in parallelo e si sovrappone fortemente — dimensionati insieme, è un solo incarico.
DFSA (DIFC) e FSRA (ADGM)
Entrambi i regolatori di zona franca si aspettano test di sicurezza indipendenti proporzionati al profilo di rischio della società, con l'annuale come intervallo che le società adottano e difendono. Nessuno dei due pubblica una frequenza universale unica come fa VARA, il che nella pratica significa che l'onere di giustificare il vostro ciclo ricade su di voi — e «annuale, più dopo cambiamento rilevante» è la giustificazione che regge.
E NESA sotto
I servizi finanziari sono designati infrastruttura informativa critica, perciò gli Information Assurance Standards di NESA si applicano frequentemente accanto al vostro regolatore settoriale — inclusa la sua aspettativa di retest a 90 giorni per i finding critici e alti, e la sua verifica delle certificazioni di chi testa. Dimensionate per entrambi subito; recuperare dopo significa di norma testare due volte.
Per i VASP: dimensionate il confine della custodia, non il front end
È la parte su cui conviene essere diretti. Un test applicativo convenzionale contro un'interfaccia di trading troverà problemi di autenticazione e autorizzazione, e lascerà lo scenario reale di perdita del tutto non testato. Gli exchange di norma non perdono asset a causa di cross-site scripting.
Le domande che contano per una società di asset virtuali:
- Il flusso di firma — chi e cosa può autorizzare un trasferimento, come le approvazioni sono imposte tecnicamente anziché proceduralmente, e se un singolo amministratore o account di servizio compromesso può muovere valore.
- Separazione caldo/freddo — se il confine è realmente imposto o solo documentato, e cosa lo attraversa.
- Gestione del materiale delle chiavi — come viene invocata la firma supportata da HSM, cosa può invocarla, e se l'accesso al sistema invocante equivale all'accesso alla chiave.
- Aggiramento delle approvazioni — cosa può ottenere qualcuno con accesso parziale: un account operativo, una postazione di sviluppo compromessa, una lettura privilegiata in un sistema di tesoreria.
- Il processo operativo — i passaggi umani attorno ai prelievi e alle liste di indirizzi consentiti, che è dove atterra il social engineering in questo settore.
Sono domande di progettazione e di processo tanto quanto di codice, ed è esattamente per questo che richiedono un tester e non uno scanner. La piattaforma sottostante ha comunque bisogno del trattamento standard — web e API, rete esterna e interna, cloud — ma è sul confine della custodia che il perimetro deve concentrarsi.
Test guidati dall'intelligence, se la questione si pone
I test guidati dall'intelligence — la famiglia che include TIBER-EU e CBEST — partono da intelligence reale su chi prende di mira società come la vostra, poi emulano quegli specifici avversari contro la produzione, tipicamente senza informare il team difensivo. Misurano rilevamento e risposta tanto quanto la vulnerabilità, e sono più lunghi e costosi di un test standard.
VARA può richiederli dove lo ritenga proporzionato, il che segue a grandi linee la dimensione della società e gli asset in custodia. La maggior parte dei VASP appena licenziati inizia con il test indipendente annuale; le società con custodia significativa dovrebbero pianificare l'arrivo della domanda. Il consiglio onesto sulla sequenza: prima un penetration test standard. Un test guidato dall'intelligence contro un ambiente che non ha mai avuto una valutazione convenzionale produce un report costoso pieno di finding che un incarico più economico avrebbe trovato.
Cosa ottenete
Prezzo fisso concordato prima che inizi qualsiasi cosa. Regole d'ingaggio per iscritto, incluse finestre di test e contatti di escalation — cosa che qui conta più che nella maggior parte dei settori, perché testare in prossimità di infrastruttura di custodia in produzione richiede una via di interruzione concordata. I finding critici vengono segnalati nel momento in cui sono trovati.
Il report porta una sintesi esecutiva per il vostro consiglio e il vostro regolatore, un corpo tecnico con passi di riproduzione e valutazioni CVSS, e il mapping al rulebook o al controllo che ha richiesto il test. Poi supporto alla remediation, un retest di ciò che avete chiuso e una lettera di attestazione che nomini chi ha testato, il perimetro e le date — che è tipicamente ciò che consegnate al regolatore o a una controparte istituzionale che vi sta facendo due diligence. C'è un report di esempio per il formato.
Chi lo esegue
Lavorate direttamente con chi testa. Certificazioni, dato che gli acquisti del settore finanziario e dei VASP le chiedono sempre: OSCP+, eCPPT, eWPT, eCIR, più AZ-500, SC-200 e SC-300 — tutte verificabili tramite il credential wallet di OffSec. Il bagaglio di detection engineering precedente al lavoro offensivo è direttamente rilevante qui: il report copre non solo come funziona un percorso d'attacco, ma che aspetto avrebbe avuto nel vostro monitoraggio e se qualcosa l'avrebbe intercettato. Per un regolatore che chiede della capacità di rilevamento e risposta, quella distinzione è la risposta.
Da remoto da Amman, un'ora indietro rispetto a Dubai, stessa settimana lavorativa, in arabo o inglese.
Prossimi passi
Mi dica quale licenza avete, com'è fatta la piattaforma e se l'infrastruttura di custodia rientra nel perimetro. Preventivo fisso e data di avvio in risposta. Se siete appena licenziati e state cercando di capire cosa dovrebbe davvero coprire il vostro primo test, è una conversazione breve e utile — si metta in contatto.
Correlati: penetration test negli Emirati, requisiti NESA, e la panoramica conformità.
Domande sulla finanza negli Emirati
In base al Technology and Information Rulebook di VARA, ogni prestatore di servizi su asset virtuali licenziato a Dubai deve sottoporsi a un penetration test indipendente almeno annualmente, e VARA può inoltre richiedere test guidati dall'intelligence dove lo ritenga necessario e proporzionato. Il rulebook si accompagna a requisiti su governance del programma di cybersecurity, gestione di chiavi multi-firma supportata da HSM, minimi di cold storage e segnalazione degli incidenti entro 24-72 ore a seconda della gravità. L'obbligo di test non è tutto il rulebook, ma è la parte che richiede una parte esterna.
I test guidati dall'intelligence — il modello dietro TIBER-EU e CBEST — partono da intelligence reale su chi effettivamente prende di mira società come la sua, poi simulano quegli specifici avversari contro la produzione, di norma senza che il team difensivo lo sappia. Sono più lunghi, più costosi e più rivelatori di un penetration test standard. VARA può richiederli dove lo giudichi proporzionato, il che nella pratica segue la dimensione della società e gli asset in custodia. La maggior parte dei VASP appena licenziati parte dal test indipendente annuale; le società con custodia significativa devono aspettarsi la domanda prima o poi.
Sia la DFSA nel DIFC sia la FSRA nell'ADGM si aspettano test di sicurezza indipendenti regolari, proporzionati al profilo di rischio della società, anziché pubblicare un intervallo universale unico come fa VARA. L'annuale è la norma che le società adottano e difendono, con test aggiuntivi dopo un cambiamento rilevante. L'aspettativa pratica in entrambe le zone franche è la stessa dell'onshore: test indipendenti, remediation documentata ed evidenze che potete produrre su richiesta.
Quasi certamente, e prima di quanto la maggior parte dei fondatori si aspetti. L'obbligo arriva con la licenza anziché con la scala, cosicché una società in sandbox o appena licenziata se lo porta proprio nella fase in cui il programma di sicurezza è meno maturo. L'inquadramento utile è che il primo test costa meno ed è molto meno doloroso quando la piattaforma è piccola — e i finding sono ancora quelli che si possono correggere architetturalmente anziché aggirare con patch.
Sì, e per un VASP è lì che il perimetro dovrebbe concentrarsi. Un test applicativo sul front end di trading lascia non testato lo scenario reale di perdita. Le domande che vale la pena rispondere riguardano il flusso di firma, la separazione tra infrastruttura calda e fredda, chi e cosa può autorizzare un trasferimento, come le approvazioni possono essere aggirate da qualcuno con accesso parziale, e se il processo operativo attorno al materiale delle chiavi sopravvive a un amministratore compromesso. Sono domande di progettazione e di processo tanto quanto di codice, ed è per questo che richiedono una persona e non uno scanner.
Licenziati da VARA, DFSA, ADGM o CBUAE?
Test indipendenti dimensionati sul rulebook — incluso il confine della custodia, non solo il front end.