NCA ECC ペネトレーションテスト：管理策 2-11

管理策 2-11 が実際に定めていること

Essential Cybersecurity Controls は、ペネトレーションテストをドメイン 2「Cybersecurity Defence」の管理策 2-11 に位置づけています。その目的は、模擬攻撃を通じて組織の防御能力の有効性を評価し、侵害につながりうる技術基盤上の弱点を発見することです。

この管理策は 3 つの義務に分かれており、組織は日常的に 3 番目を満たしながら、最初の 2 つを満たせていません。

• ペネトレーションテストに関するサイバーセキュリティ要件を定義し、文書化し、承認すること。これはそれ自体が独立した文書化義務です。テストの範囲をどう定めるか、どの頻度で実施するか、誰が承認するかを記した、承認済みの文書が必要です。
• その要件を実装すること。文書化したサイクルどおりに、テストが実際に行われることです。
• テストの範囲を、最低でもインターネット公開サービスとその背後の技術基盤を含むように設定すること。

実務上の帰結はこうです。毎年優れたペネトレーションテストを発注していても、テスト要件を文書化し承認したことが一度もない機関は、依然として 2-11 に適合していません。審査員は報告書と同じくらい、方針と承認の記録を読み込みます。

6 か月の落とし穴：CSCC

いずれかのシステムが重要システムに分類されている場合、Critical Systems Cybersecurity Controls が ECC の上に適用され、当該システムのテスト要件は最低でも 6 か月ごとに引き上げられます。

これはサウジのコンプライアンスプログラムにおいて最も多い予算・計画上の失敗です。年次という前提が調達段階で固定され、分類作業は後から、あるいは別のチームで行われ、両者の食い違いが審査の場で、2 回目のテストを行う時間が残っていない段階で表面化します。まず分類を行い、その結果を踏まえてテストプログラムを設計してください。一部のシステムのみが重要である場合は、重要な部分集合に対する小規模な半期ごとの委託と、環境全体に対する年次の完全な委託を組み合わせられることが多く、これは環境全体を年 2 回テストするよりかなり安く済みます。

審査を通過する範囲設定

管理策の最低範囲は、インターネット公開サービスとその背後の技術基盤です。これは下限です。下限に合わせただけの範囲は、審査員から当然の問いを招きます。露出分析が境界で止まっているのであれば、境界での足がかりがどこにもつながらないとなぜ言えるのか、という問いです。

議論の余地なく通る範囲は次のとおりです。

• 外部ネットワーク — 数年前に公開されたまま忘れられたホストやサービスを含む、インターネットに公開された全資産。管理策が明示的に要求しています。
• Web アプリケーションと API — 認証、認可、業務ロジック、インジェクション。実務上は、インターネット公開サービスの背後にある技術基盤そのものです。
• 内部ネットワーク — 足がかりがどこまで届くか、そしてセグメンテーションが圧力下で持ちこたえるか。
• Active Directory — ADCS 証明書テンプレートの悪用、Kerberoasting、委任、Domain Admin に至る ACL 経路。サウジの政府系または企業環境において、境界での足がかりが完全な侵害へと変わるのはほぼ必ずここであり、スキャナーベースの評価では決して見つからない部分です。
• クラウド — ワークロードが移行した先では Cloud Cybersecurity Controls が並行して適用され、テナントにも同じ扱いが必要です。Entra ID と Azure RBAC の権限昇格経路、公開状態のストレージ、ID の設定不備などです。

証跡一式

4 つの成果物があり、最も欠けがちなのは最後のものです。

• 承認済みテスト要件の文書 — 2-11 のうち、テストそのものではない部分です。
• 何を範囲に含め、何を除外し、なぜそれが妥当だったかを示す範囲定義書。
• 報告書：検出事項、CVSS 評価、再現手順、そして管理策 2-11 への明示的なマッピング。
• 是正と再テストの証跡 — 何をいつ修正し、再テストで確認したか。受容すると判断したリスクには、記録された決定と理由が必要です。受容は認められますが、沈黙は認められません。

誰が、どの範囲に対して、どの日付でテストしたかを記した実施証明書が一式を完成させます。当方の案件では報告書・再テスト・実施証明を有償オプションではなく標準で含めています。実際の成果物は審査に耐える一式であり、報告書単体ではそれに当たらないためです。

誰がテストするかが重要な理由

ECC は UAE の NESA のように資格を規定してはいませんが、審査の場、そして要件を下流に展開する官公庁の顧客から、必ず問われます。これは誰が実施したのか、どの資格を保有しているのか、と。

私は OffSec 認定の更新版である OSCP+ を保有し、あわせて eCPPT、eWPT、eCIR、さらに Microsoft および Azure 領域については AZ-500、SC-200、SC-300 を保有しています。いずれも OffSec credential wallet から独立して検証でき、このリンクは報告書とあわせて証跡一式に含めるべきものです。

アンマンから GMT+3（リヤドと同一の就業時間帯）で、アラビア語または英語によりリモートで対応します。内部ネットワークおよび Active Directory のテストは、貴社環境内の VPN または踏み台ホスト経由で実施し、証跡の処理・保管場所に関する制約はすべて、テスト開始前に書面で実施規則に明記します。

次のステップ

CSCC がいずれかのシステムに適用されるか、環境の概要、審査の時期をお知らせください。固定価格のお見積りと開始日をご提示します。先に成果物をご覧になりたい場合はサンプル報告書がございます。現在の外部露出を数分で確認されたい場合は、無料の境界スキャンをご利用いただけます（お申し込みの義務は一切ありません）。

関連情報：サウジアラビアにおけるペネトレーションテストでは ECC・CSCC・SAMA の関係を、SAMA のページでは金融セクターの要件を扱い、コンプライアンス概要では全フレームワークを比較しています。お問い合わせはこちらから。アラビア語も歓迎します。