NESA のペネトレーションテスト要件

標準が求めていること

技術的脆弱性管理の一環として、UAE の Information Assurance Standards は脆弱性評価とペネトレーションテストが実施され、かつ追跡されることを求めています。対象組織では実務上これが年次のテストに落ち着きますが、義務は出来事ではなくサイクルであり、審査される 3 つの要素は次のとおりです。

• テスト — 組織に見合った範囲に対して、独立して実施されていること。
• 是正 — 重大および高深刻度の検出事項が文書化され修正されていること。リスクを受容する場合はその判断が記録されていること。
• 再テスト — 修正が有効であったことの証跡が、定められた期間（通常 90 日）以内に得られていること。

ペネトレーションテストで NESA に適合できない組織は、ほぼ例外なく最初の要素は実施し、残り 2 つを実施していません。

調達の仕方を変える 2 つの要件

90 日という期限は、遅いテストを許さない

重大および高深刻度の検出事項を 90 日以内に是正し再テストしなければならないのであれば、日程上の帰結は避けられません。コンプライアンス年度の最終月に実施したテストでは、何かを修正しそれを証明する余地が残りません。報告書が出てくる頃には、残っているのは四半期ではなく数週間です。

少なくとも四半期分の余裕をもってテストしてください。環境が大きい場合や前回のテストから時間が経っている場合はそれ以上を。是正の工数は報告書が存在するまで分からず、想定より重い検出事項の一覧こそ、この期間が負荷として想定している場面そのものだからです。この一つの日程判断が、どの技術的問題よりも多くの NESA 不適合を引き起こしています。

審査員は誰がテストしたかを確認する

NESA の審査員はペネトレーションテスト提供者の資格を精査し、OSCP または同等のものが明示された期待水準とされています。これは異例なほど具体的で（多くのフレームワークは「適切な資格を有する」と述べてそこで止まります）、直接的な商業上の帰結を伴います。認知された攻撃的資格を持たない者が実施した安価なテストは審査で却下されることがあり、その場合は費用も是正期間も再テストの機会も失われます。

したがって発注前に提供者へ確認すべき問いは単純です。テストを実施するのは誰か、どの資格を保有しているか、それを検証できるか。本件での答えは、資格の現行更新版である OSCP+ に加え、eCPPT、eWPT、eCIR、さらに Microsoft セキュリティ領域の AZ-500、SC-200、SC-300 です。いずれも OffSec credential wallet から独立して検証でき、このリンクは報告書とあわせて証跡一式に含まれます。

範囲

NESA に沿った委託が対象とする範囲：

• 外部ネットワーク — 公開されたまま忘れられたサービスを含む、インターネットに公開された全資産。
• Web アプリケーションと API — 認証、認可、業務ロジック、インジェクション、そしてモバイルアプリの背後にある API。
• 内部ネットワーク — 足がかりがどこまで届くか、セグメンテーションが持ちこたえるか。
• Active Directory — ADCS 証明書テンプレートの悪用、Kerberoasting、委任、Domain Admin に至る ACL 経路。UAE の政府機関や公益事業者にとって、小さな外部の足がかりが完全な侵害へと変わるのはここです。
• クラウド — Entra ID と Azure RBAC の権限昇格、公開状態のストレージ、ID の設定不備。

とりわけ重要情報インフラの場合、意識的に範囲へ含める価値がある問いは、境界が持ちこたえるかどうかだけでなく、持ちこたえなかったときに侵入者がどこまで到達するかです。それを測るのが侵害前提評価であり、取締役会や監督当局が実際に知りたいことでもあります。

NESA とドバイ ISR をあわせて

多くの組織は両方を負っています。連邦レベルの NESA と、ドバイ政府機関である、あるいはそこへ納入しているために適用される DESC の Information Security Regulation です。2 つは一方が他方に優先するのではなく並行して機能し、技術的なテスト要件はほぼ完全に重複します。

最初から意識的に両方へ合わせて範囲を設定すれば、1 回の委託で両方の証跡が得られます。テストは同一で、異なるのはマッピングです。片方だけで範囲を設定し後から補おうとすると、通常は 2 回テストすることになります。どの制度が適用されるかを範囲設定の段階でお伝えいただくのに費用はかからず、初回のお打ち合わせで共有いただける情報として最も効果的です。

成果物

経営層と審査員向けのエグゼクティブサマリー、再現手順・証跡・CVSS 評価を備えた技術本編、そして各検出事項の該当管理策へのマッピングにより、コンプライアンス部門がその一覧表を自ら作らずに済みます。さらに、修正作業中の是正サポート、解消済み検出事項の再テスト（これは NESA の要件であり追加販売ではありません）、そして実施者・対象範囲・実施日を記録した実施証明書をお渡しします。

重大な事項は報告書まで留め置かず、発見した時点でご連絡します。ご契約前に形式をご確認されたい場合はサンプル報告書をご用意しています。

実務上の事項

作業はリモートで行います。外部・Web アプリケーション・クラウドのテストには、範囲と承認以外に貴社側でご用意いただくものはありません。内部ネットワークおよび Active Directory のテストは、貴社環境内の VPN または踏み台ホスト経由で実施します。監督当局または貴社の方針により、証跡の処理・保管場所に制約がある場合は、作業開始前に書面で実施規則に明記します。

当方はアンマンに所在し、ドバイより 1 時間遅れ、地域と同じ週休体系で、アラビア語または英語に対応します。UAE に拠点はなく、あるとも主張しません。お受けいただけるのは、1 分以内に検証できる資格を持つ、テストを実施する本人です。

次のステップ

連邦機関として対象なのか、CII として対象なのか、あるいはそのいずれかとの契約を通じて対象なのか、範囲に含める対象、そして審査の時期をお知らせください。固定見積りと開始日をご返信します。90 日の再テスト期間を踏まえると、最初に確認すべき有用な問いは、どれだけの余裕があるかです。四半期未満であれば進め方の順序が変わりますので、早めにご相談ください。

関連情報：制度の関係については UAE におけるペネトレーションテスト、金融サービスについては CBUAE、DFSA、ADGM、VARA、その他についてはコンプライアンス概要をご覧ください。お問い合わせはこちらから。アラビア語も歓迎します。