SAMA のペネトレーションテスト要件
サウジ中央銀行の監督下にある場合、ペネトレーションテストはプロジェクトではなく毎年繰り返される義務です。フレームワークは、証跡が審査を通るかどうかを左右する 2 点について明確です。テストは独立していなければならず、範囲は顧客が触れるシステムにまで届かなければなりません。
要件を率直に述べると
サウジ中央銀行の監督下にある機関には、外部に面したシステム、Web アプリケーション、ネットワーク基盤を対象とする範囲で、最低でも年 1 回の独立した外部ペネトレーションテストの実施が求められます。
この一文では 3 つの語が重みを担っており、そのいずれもが証跡が審査で落ちやすい箇所です。
- 独立 — テスト対象システムを構築または運用しているチームによる実施ではないこと。
- 最低でも年次 — 年次サイクルは下限であり、インターネット公開システムの重大な変更は別個のトリガーです。
- ペネトレーションテスト — 表紙を変えた脆弱性スキャンではありません。審査員はこの区別に熟達しています。
SAMA の証跡が実際に落ちる場所
指摘される内容の大半は 4 つの失敗パターンで説明でき、いずれも是正するより回避するほうが安く済みます。
スキャンをペネトレーションテストとして提出する
兆候は構造的です。すべての検出事項がベンダー提供の説明付きの CVE であり、何も連鎖しておらず、攻撃者が何を達成しうるかを説明する筋書きがありません。ペネトレーションテストは影響を実証します。この公開サービスから認証情報が得られ、その認証情報でこの内部システムに到達でき、そこにこのデータがある、という形です。報告書がバージョン番号を並べた一覧であれば、それはスキャンです。この区別の詳細はこちら。
成立していない独立性
エンジニアリングチームによるテスト、インフラの運用も担うマネージドサービス事業者によるテスト、あるいは自社製品を評価するベンダーによるテスト。テスト自体がどれほど高い水準であっても、これらはいずれも独立性の要件を満たしません。
顧客向けレイヤーを外した範囲
モバイルバンキングのバックエンド、パートナー API、範囲の確定後に立ち上がった新しいフィンテック連携など。インターネット公開システムと Web アプリケーションはフレームワークに明示されているため、ここでの欠落は判断の問題ではなく直接的な不備です。
再テストがない
高深刻度の検出事項が 12 件あり、そのいずれかが解消された証跡がない報告書は、レビューする側から見れば未解決の問題を記録した文書にすぎません。是正と再テストのサイクルこそが、テストをコンプライアンスの証跡へと変えます。
委託に含まれる内容
規制対応の基準線として、毎年実施するもの：
- 外部ネットワークテスト — インターネットに公開された全資産。インターネットバンキング、決済インターフェース、VPN とリモートアクセス、メール基盤、そしてあるプロジェクトのために公開され撤去されないままのホストを含みます。
- Web アプリケーションおよび API テスト — 認証とセッション管理、顧客間の認可とアクセス制御、取引フローにおける業務ロジック、インジェクション、そしてモバイルアプリの背後にある API。金融機関では業務ロジックに関する検出事項が最も重要であることが多く、自動化が決して見つけられない種類のものです。
あわせて推奨され、多くの機関が年次または隔年のサイクルで実施しているもの：
- 内部ネットワークテスト — 足がかりが実際にどこまで届くか、そして社内環境と決済環境のセグメンテーションが持ちこたえるか。
- Active Directory — ADCS の悪用、Kerberoasting、委任、Domain Admin に至る ACL 経路。わずかな足がかりが銀行全体の侵害へと変わるのはこの経路であり、外部テストからは見えません。
- クラウド — ワークロードの移行先における Entra ID と Azure RBAC の権限昇格、公開状態のストレージ、ID の設定不備。
- 侵害前提評価 — 境界からではなく足がかりから開始する手法で、取締役会が実際に問う「侵入者はどこまで到達しうるか」に答えます。
カード情報も取り扱う場合は PCI DSS 要件 11.4 が並行して適用され、大きく重複します。あわせて範囲を設定すれば、2 件ではなく 1 件の委託になります。
成果物
金融機関が実際に使う形を想定して構成した報告書です。取締役会と監督当局が翻訳なしで読めるエグゼクティブサマリー、エンジニア向けに再現手順・証跡・CVSS 評価を備えた技術本編、そして各検出事項が関係するフレームワーク管理策への明示的なマッピングを備え、コンプライアンス部門がそのマッピングを自ら作らずに済むようにしています。
さらに、報告書を証跡へと変える要素があります。修正作業中の是正サポート、解消済み検出事項の再テスト、そしてテストが実施されたこと、実施者、対象範囲、実施日を記した実施証明書です。すべて込みです。サンプル報告書で形式をご確認いただけます。
実施者について
テスト実施者と直接やり取りいただきます。営業担当を介さず、請求書上は上級者の名義で実際には若手がツールを回すこともなく、テストから報告書まで 3 週間待たされることもありません。規制上の期限がある場合、この直接性こそが期日を守れる理由になります。
保有資格について（金融セクターの調達では必ず問われるため記載します）：OSCP+、eCPPT、eWPT、eCIR に加え、Microsoft および Azure 領域の AZ-500、SC-200、SC-300。いずれも OffSec credential wallet から検証可能です。攻撃側の業務に専念する前は検知エンジニアおよび CTI アナリストを務めており、この経歴はとりわけ本セクターで有用です。報告書は攻撃経路の仕組みだけでなく、それが貴社の SIEM でどう見えたか、監視が検知できたかまで示します。
アンマンから GMT+3 でリモート対応し、リヤドと同じ就業時間・週休体系で、アラビア語または英語に対応します。
進め方
ライセンス種別、範囲に含める対象、テストを完了すべき時期をお知らせください。固定価格のお見積りと開始日をご返信します。年次サイクルが近づいており、まず現在の外部露出を確認されたい場合は、無料の境界スキャンが数分で完了します。
関連情報：SAMA と NCA ECC の関係についてはサウジアラビアにおけるペネトレーションテスト、政府向けの義務も負っている場合は ECC 管理策 2-11、その他についてはコンプライアンス概要をご覧ください。お問い合わせはこちらから。アラビア語も歓迎します。
SAMA に関するご質問
サウジ中央銀行の監督下にある会員組織です。銀行、保険・再保険会社、金融会社、信用情報機関、そして SAMA ライセンスまたは規制サンドボックス下で事業を行うフィンテックを含む決済サービス事業者が該当します。ライセンスが SAMA 発行であれば、フレームワークは適用されます。フィンテック企業はこの点にしばしば驚かれます。義務はライセンスとともに到来し、それはセキュリティ体制がまだ形成途上である段階であることが多いためです。
独立した外部ペネトレーションテストを最低でも年 1 回です。この「最低でも」は実質的な意味を持ちます。インターネット公開システムに重大な変更があった場合、年次サイクルのどの時点であっても一般にテストが必要と見なされ、年次テストの 6 か月後に新たな顧客向けプラットフォームを立ち上げながらテストしなかった機関は、厳しい説明を求められることになります。年次テストは下限、重大な変更は別個のトリガーと捉えてください。
テスト対象システムを構築または運用している者がテストを実施してはならない、ということです。エンジニアリングとは別系統で報告する社内セキュリティ部門はそれに近づきますが、最も明快で広く受け入れられている答えは、環境の構築にも運用にも関与していない外部の第三者です。金融機関が最も誤りやすい要件がこれであり、範囲設定の段階ではなく審査の段階で気づくことになります。これは費用のかかる順序です。
明示されている範囲はインターネット公開システム、Web アプリケーション、ネットワーク基盤です。多くの機関はそれ以上に踏み込んでおり、理由があります。攻撃者が境界に到達できることは示しても、その先で何が起きるかを一度も問わないテストは、問いの半分にしか答えていません。うまく機能するパターンは、規制対応の基準線として外部および Web アプリケーションの完全な評価を毎年実施し、内部ネットワークと Active Directory のテストを少なくとも隔年、あるいは環境が大きく変わるたびに組み込むことです。
はい、むしろそれが通常のケースです。多くの場合、フレームワークのマッピング、GRC 部門、内部監査との関係はすでに整っており、必要なのはそこに組み込めるテストと証跡です。満たすべき管理策に合わせて範囲を設定し、報告書で検出事項をその管理策に紐づけ、コンプライアンス部門が提出する再テストと実施証明をお渡しします。当方は GRC コンサルティング会社ではなく、フレームワーク導入プログラムを売り込むことはありません。テストが当方の担当領域です。
年次の SAMA テストが近づいていますか？
独立性を確保し、フレームワークに沿って範囲を設定。コンプライアンス部門が提出する再テストと実施証明付き。