Penetration test negli Emirati Arabi Uniti
Gli EAU accumulano più regimi di cybersicurezza sovrapposti di quasi ogni altro Paese — federali, di emirato, settoriali e di zona franca — e quasi tutti sfociano nello stesso requisito: un penetration test indipendente, almeno annuale, con prove. Ecco quale vi riguarda e cosa comporta il test.
La mappa normativa degli EAU, in breve
Gli EAU sovrappongono regole federali, di emirato e settoriali. La maggior parte delle organizzazioni è coperta da più di una, e l'intuizione utile è che un solo test ben perimetrato può soddisfarne diverse insieme — se è pensato così deliberatamente e non per caso.
NESA / UAE Information Assurance Standards
La base federale, applicabile agli enti pubblici e alle organizzazioni designate come infrastrutture informative critiche in energia, acqua, trasporti, telecomunicazioni, servizi finanziari e sanità. La gestione delle vulnerabilità tecniche richiede che valutazioni e penetration test siano eseguiti e tracciati — annualmente, nella pratica. Due requisiti colgono impreparati: i risultati critici e alti richiedono remediation documentata con prova di retest entro un termine definito, di solito 90 giorni; e gli auditor esaminano le qualifiche di chi ha testato, con OSCP o equivalente come aspettativa dichiarata. La pagina NESA entra nel dettaglio (in inglese).
Dubai ISR (DESC)
L'Information Security Regulation del Dubai Electronic Security Centre vincola gli enti pubblici di Dubai e i fornitori che li servono. Corre in parallelo a NESA anziché sostituirla, e le organizzazioni che lavorano con il governo di Dubai devono spesso documentare entrambe. Il requisito di test è sostanzialmente simile, quindi un incarico perimetrato per entrambe produce un unico fascicolo di prove.
Servizi finanziari: CBUAE, DFSA, ADGM
La banca centrale degli EAU fissa le aspettative per banche e finanziarie onshore; la DFSA regola le società del DIFC e la FSRA quelle dell'ADGM. Tutte e tre si attendono test di sicurezza indipendenti periodici, e tutte e tre guardano con sfavore a una scansione di vulnerabilità presentata come penetration test. Approfondito qui (in inglese).
VARA: attività virtuali
L'autorità di regolazione delle attività virtuali di Dubai impone a ogni prestatore autorizzato un penetration test indipendente almeno annuale ai sensi del suo Technology and Information Rulebook, con test guidati dall'intelligence ove lo ritenga necessario e proporzionato. Il rulebook affianca requisiti su gestione delle chiavi con HSM, minimi di cold storage e notifica degli incidenti entro 24-72 ore per gravità.
Sanità: ADHICS
Lo standard di Abu Dhabi per la sicurezza delle informazioni sanitarie si applica alle strutture sanitarie e ai loro fornitori tecnologici nell'emirato, con requisiti di test e di prova accanto ai controlli sui dati clinici. Maggiori dettagli qui (in inglese).
Protezione dei dati
La PDPL federale, oltre alle leggi separate di DIFC e ADGM, porta obblighi di sicurezza ovunque si trattino dati personali. Non nominano il penetration test, ma lo standard è quello delle "misure tecniche appropriate", e dimostrarlo dopo un incidente è assai più semplice con un test indipendente recente agli atti.
Un test, più obblighi
L'errore costoso negli EAU è comprare una valutazione separata per ogni regolatore. Nella maggior parte dei casi il perimetro tecnico si sovrappone quasi del tutto — superficie esterna, applicazioni web e API, rete interna e Active Directory, tenant cloud — e ciò che cambia è la corrispondenza e il formato del report, non il test.
Perciò l'incarico viene perimetrato una volta rispetto a tutto ciò a cui siete soggetti, e il report collega ogni risultato a ogni controllo applicabile. Il perimetro pratico:
- Rete esterna - tutto ciò che è raggiungibile da Internet, inclusi gli host che nessuno ricorda di aver pubblicato.
- Applicazioni web e API - autenticazione, autorizzazione, logica di business, injection. Lo strato rivolto ai clienti su cui ogni regolatore interroga.
- Rete interna - cosa raggiunge un punto d'appoggio e se la vostra segmentazione tiene davvero.
- Active Directory - abuso di ADCS, Kerberoasting, delega e percorsi ACL verso Domain Admin.
- Cloud - escalation in Entra ID e Azure RBAC, storage esposto, errori di configurazione dell'identità.
Per i prestatori su attività virtuali soggetti a VARA, aggiungete il confine della custodia: infrastruttura dei wallet, flussi di firma e controlli operativi attorno al materiale delle chiavi — è lì che avviene la perdita, non nel front end web.
Il requisito sulle qualifiche, nel concreto
La maggior parte delle pagine di conformità ci passa sopra, ma negli EAU è insolitamente concreto: gli auditor NESA esaminano chi ha eseguito il test, e OSCP o equivalente è l'aspettativa. I test eseguiti da chi non possiede una certificazione offensiva riconosciuta vengono contestati e talvolta respinti in audit.
Ho l'OSCP+ — la forma attuale e rinnovata della certificazione — insieme a eCPPT, eWPT ed eCIR sul lato offensivo, e AZ-500, SC-200 e SC-300 sul lato sicurezza Microsoft, il che rende credibile e non generica la parte su Entra ID e Azure. Tutte sono verificabili in modo indipendente nel portafoglio credenziali OffSec, e quel link va nel vostro fascicolo di prove accanto al report.
Come si svolge l'incarico
Prima perimetro e preventivo: indicate obbligo, ambiente e scadenza; ricevete un prezzo fisso e una data di avvio, di norma entro una o due settimane. Le regole d'ingaggio si concordano per iscritto, incluse finestre di test, contatti di escalation e qualunque vincolo imposto dal vostro regolatore su dove le prove vengono elaborate o conservate.
Il test dura di norma una o due settimane a seconda del perimetro, con qualunque elemento critico segnalato subito anziché conservato per il documento finale. Il report segue entro pochi giorni: sintesi, risultati tecnici con passi di riproduzione e punteggi CVSS, corrispondenza con i controlli e remediation prioritizzata. Poi un retest di quanto avete corretto e una lettera di attestazione — negli EAU più importante di quanto si pensi, perché la prova di retest entro 90 giorni è essa stessa un requisito, non un extra.
Lavoro da remoto da Amman, un'ora indietro rispetto a Dubai, con lo stesso ritmo settimanale della regione, in arabo o inglese. Nessun ufficio locale, e non ne rivendicherò uno: ciò che ottenete è la persona che fa il lavoro, direttamente, con qualifiche verificabili.
Si parte da qui
Ditemi a quale regolatore rispondete e cosa rientra nel perimetro. Se non ne siete certi — del tutto normale con tanti regimi sovrapposti — una breve chiamata lo chiarisce. La panoramica sulla conformità mette a confronto le normative, lo scan perimetrale gratuito mostra la vostra esposizione esterna attuale in pochi minuti, e il report di esempio mostra esattamente cosa ricevereste.
Scrivetemi — le richieste in arabo sono benvenute, e se una scadenza di deposito detta il calendario, ditelo nella prima riga.
Emirati: domande frequenti
In breve: enti federali e infrastrutture informative designate critiche — energia, acqua, trasporti, telecomunicazioni, servizi finanziari, sanità — ricadono negli Information Assurance Standards di NESA. Gli enti pubblici di Dubai e i loro fornitori ricadono nell'ISR del DESC. Banche e finanziarie rispondono alla banca centrale; le società del DIFC alla DFSA e quelle dell'ADGM alla FSRA; i prestatori di servizi su attività virtuali di Dubai a VARA. La sanità di Abu Dhabi ricade in ADHICS. Molte organizzazioni sono coperte da due o tre contemporaneamente, il che di norma non è un problema: un test ben perimetrato può produrre prove per tutte, se è impostato così fin dall'inizio.
Sì. La gestione delle vulnerabilità tecniche negli Information Assurance Standards richiede che valutazioni delle vulnerabilità e penetration test siano eseguiti e tracciati, il che nella pratica significa almeno annualmente per gli enti coperti. Due dettagli contano oltre al test: i risultati critici e alti richiedono remediation documentata con prova di retest entro un termine definito, tipicamente 90 giorni — un test senza retest è una risposta incompleta. E gli auditor NESA esaminano le qualifiche di chi ha eseguito il test, con OSCP o equivalente come aspettativa.
Sì. Ai sensi del Technology and Information Rulebook di VARA, ogni prestatore di servizi su attività virtuali autorizzato a Dubai necessita di un penetration test indipendente almeno una volta l'anno, e VARA può inoltre richiedere test guidati dall'intelligence quando lo ritenga necessario e proporzionato. Il rulebook copre anche la gestione delle chiavi con HSM, i minimi di cold storage e la notifica degli incidenti entro 24-72 ore in base alla gravità. Per questi prestatori, il perimetro deve di norma spingersi oltre un test applicativo standard: infrastruttura dei wallet, flussi di firma e il confine della custodia concentrano il rischio reale.
No. Test esterni, applicazioni web, cloud e la maggior parte dei test interni si eseguono da remoto, prassi standard nella regione. Rete interna e Active Directory si trattano via VPN o host di appoggio nel vostro ambiente. Dove un regolatore o la vostra policy limita dove i dati sono elaborati o le prove conservate, questo entra per iscritto nelle regole d'ingaggio prima di qualsiasi avvio.
Di norma entro una o due settimane dall'accordo sul perimetro, più in fretta quando preme una scadenza di deposito. Poiché ingaggiate direttamente chi esegue i test, tra la firma e l'avvio non si frappone alcuna coda interna di assegnazione risorse. Un incarico tipico di esterno più applicazioni web richiede una o due settimane di test, con il report entro pochi giorni dalla fine — il calendario in dettaglio (in inglese).
Avete una scadenza con NESA, ISR o VARA?
Ditemi l'obbligo e il perimetro: riceverete un preventivo fisso e una data di avvio.