Penetration test in Arabia Saudita
Nel Regno la maggior parte dei penetration test viene acquistata perché un regolatore li impone. Gli Essential Cybersecurity Controls della NCA, i controlli per i sistemi critici e il framework SAMA impongono ciascuno il proprio calendario, e ciascuno si aspetta prove che un auditor possa leggere. Ecco cosa comporta questo lavoro e come lo consegno.
Cosa impongono davvero i regolatori sauditi
Tre regimi distinti impongono penetration test nel Regno, e quale vi riguardi determina perimetro, frequenza e prove da conservare.
NCA Essential Cybersecurity Controls (ECC)
Gli ECC della National Cybersecurity Authority sono la base nazionale e vincolano enti pubblici, loro appaltatori e operatori di infrastrutture nazionali critiche. Il controllo 2-11 riguarda i penetration test (pagina in inglese): i requisiti vanno definiti, documentati e approvati, vanno attuati, e il perimetro deve coprire i servizi esposti a Internet e l'infrastruttura tecnica sottostante. Il test è periodico e la prova che un auditor cerca è il ciclo completo — documento di perimetro, report, remediation, retest — non un semplice PDF con una data.
Critical Systems Cybersecurity Controls (CSCC)
Se uno dei vostri sistemi è classificato critico, i CSCC alzano l'asticella: quei sistemi vanno testati almeno ogni sei mesi anziché annualmente. Molte organizzazioni ci cascano, perché budget e ciclo di acquisto sono di norma costruiti su un test l'anno. Classificate per tempo, perché una cadenza semestrale cambia del tutto la forma commerciale dell'incarico.
SAMA Cyber Security Framework
Dalle istituzioni finanziarie vigilate dalla banca centrale saudita — banche, assicurazioni, finanziarie, prestatori di pagamento — ci si attende penetration test esterni indipendenti almeno annuali (pagina in inglese), su sistemi esposti a Internet, applicazioni web e infrastruttura di rete. L'indipendenza è il requisito operante: un test svolto dal team che costruisce o gestisce il sistema non lo soddisfa, e nemmeno una scansione di vulnerabilità presentata come penetration test.
E ciò che corre in parallelo
La legge sulla protezione dei dati personali della SDAIA porta obblighi di sicurezza propri dove si trattano dati personali, i Cloud Cybersecurity Controls si applicano dove i carichi di lavoro risiedono presso un provider cloud, e i grandi gruppi impongono sempre più standard propri ai fornitori — i requisiti di Aramco verso i terzi sono l'esempio in cui i fornitori sauditi si imbattono per primi. Se accettate pagamenti con carta, il requisito 11.4 del PCI DSS si aggiunge a tutto questo; è trattato nella pagina PCI DSS.
Cosa copre davvero un test
Il perimetro che soddisfa il controllo 2-11 e SAMA nella pratica, nell'ordine abituale:
- Test di rete esterna - tutto ciò che la vostra organizzazione espone a Internet: concentratori VPN, posta, accessi remoti, host di staging dimenticati e servizi che nessuno ricorda di aver pubblicato. Esplicitamente nel perimetro del 2-11, ed è lì che inizia la maggioranza delle intrusioni reali.
- Test web e API - autenticazione, autorizzazione, logica di business e injection sulle applicazioni rivolte ai clienti e sulle API sottostanti. Citato nel perimetro SAMA.
- Test di rete interna - cosa raggiunge chi ha già un punto d'appoggio: segmentazione che non tiene, reti piatte, credenziali salvate dove non dovrebbero.
- Active Directory - abuso dei template di certificato ADCS, Kerberoasting, problemi di delega e percorsi ACL verso Domain Admin. Quasi ogni grande organizzazione saudita gira su AD, ed è lì che un punto d'appoggio esterno diventa una compromissione completa.
- Cloud - percorsi di escalation in Entra ID e Azure RBAC, storage esposto ed errori di configurazione dell'identità che trasformano un tenant cloud in una scorciatoia anziché in una barriera.
Cosa ricevete
Un report scritto per due pubblici insieme: una sintesi che un consiglio di amministrazione o un regolatore può seguire senza traduttore, e un corpo tecnico con passi di riproduzione, evidenze e punteggi CVSS su cui i vostri ingegneri lavorano direttamente. Ogni risultato è collegato al controllo che ha reso necessario il test, così un auditor può risalire dall'obbligo alla prova senza che siate voi a costruire quella corrispondenza.
Il supporto alla remediation è incluso anziché venduto a parte — le domande durante le correzioni ricevono risposta — così come un retest dei risultati che avete chiuso e una lettera di attestazione che indica che il test è stato eseguito, da chi, con quale perimetro e in quali date. Per esperienza, l'attestazione è il documento che finisce dall'auditor o al cliente enterprise che chiede una prova. C'è un report di esempio se volete vedere il formato prima di impegnarvi (in inglese).
Perché lavorare con un consulente indipendente
Parlate con la persona che esegue i test. Nessun account manager che gira le domande, nessun junior che lancia uno scanner sotto il nome di un senior in fattura, e nessuna distanza di tre settimane tra la fine del test e l'arrivo del report. Davanti a una scadenza ECC o SAMA, questa immediatezza è di solito la differenza tra rispettare la data e spiegare perché non l'avete rispettata.
Vale la pena dire chiaramente l'aderenza pratica al Golfo: lavoro da Amman in GMT+3 — stessi orari e stessa settimana lavorativa di Riyadh, Gedda e Dammam — quindi una domanda posta durante il test riceve risposta in giornata. Arabo e inglese vanno entrambi bene. Ho l'OSCP+ insieme a eCPPT, eWPT, eCIR, AZ-500, SC-200 e SC-300, tutte verificabili in modo indipendente nel portafoglio credenziali OffSec — cosa che qui conta, perché gli auditor chiedono sempre più chi ha testato e cosa possiede.
Quello che non farò è fingermi uno studio locale. Non ho un ufficio a Riyadh e non lo sosterrò. Quello che sono: uno specialista che ingaggiate direttamente, nel vostro fuso e nella vostra lingua, con qualifiche verificabili in trenta secondi.
Come iniziare
Ditemi quale controllo dovete soddisfare — 2-11, un ciclo semestrale CSCC, un test annuale SAMA — oltre al perimetro e alla scadenza. Riceverete un preventivo a prezzo fisso e una data di avvio, non un processo di scoperta. Se preferite vedere prima qualcosa di concreto, lo scan perimetrale gratuito mostra cosa espone oggi la vostra superficie esterna, e la panoramica sulla conformità confronta le altre normative.
Se non siete sicuri di quale regime vi riguardi, è una domanda normale e una breve chiamata la risolve. Scrivetemi — le richieste in arabo sono benvenute.
Arabia Saudita: domande frequenti
Sì. Il controllo 2-11 degli Essential Cybersecurity Controls riguarda specificamente i penetration test e ha tre parti: i requisiti devono essere definiti e documentati, devono essere approvati e devono essere attuati. Il perimetro deve coprire almeno i servizi esposti a Internet e l'infrastruttura tecnica sottostante. Il test è richiesto con cadenza periodica. Se siete soggetti anche ai Critical Systems Cybersecurity Controls, i sistemi critici vanno testati almeno ogni sei mesi anziché annualmente.
Dalle istituzioni vigilate dalla banca centrale saudita ci si attende penetration test esterni indipendenti almeno annuali, su sistemi esposti a Internet, applicazioni web e infrastruttura di rete. La parola che pesa di più lì è indipendenti: un test svolto dal team che ha costruito o gestisce il sistema non soddisfa il requisito. Per banche, assicurazioni, finanziarie e prestatori di pagamento è un obbligo annuale ricorrente, non un adempimento una tantum.
Per test esterni, applicazioni web, cloud e gran parte dei test interni no: il lavoro si svolge da remoto, come la stragrande maggioranza delle valutazioni nella regione. I test di rete interna e Active Directory passano da una VPN o da un piccolo host di appoggio che controllate voi, e posso lavorare da una macchina all'interno del vostro ambiente se la vostra policy lo richiede. Se avete un requisito di residenza dei dati che vincola dove le prove sono conservate o elaborate, segnalatelo in perimetrazione: finisce per iscritto nelle regole d'ingaggio.
È scritto esattamente per questo. Ogni report contiene una sintesi per la direzione, un corpo tecnico con passi di riproduzione e punteggi CVSS, la corrispondenza con il controllo che ha motivato il test e una sezione di remediation scritta perché i vostri ingegneri possano agire senza una chiamata di chiarimento. Sono inclusi il retest dei risultati corretti e una lettera di attestazione che conferma l'esecuzione del test, da parte di chi e con quale perimetro: l'attestazione è di solito il documento che l'auditor o il cliente archivia davvero.
In inglese per impostazione predefinita, la lingua con cui lavorano i regolatori e la maggior parte degli uffici acquisti sauditi. L'arabo è disponibile su richiesta e la comunicazione quotidiana durante l'incarico può essere interamente in arabo. Lavoro da Amman in GMT+3, con la stessa settimana lavorativa e gli stessi orari di Riyadh: le domande durante il test ricevono risposta in giornata, non il giorno dopo.
Avete una scadenza con NCA o SAMA?
Ditemi quale controllo dovete soddisfare e il perimetro: riceverete un preventivo fisso e una data.