UAE の金融および仮想資産向けペネトレーションテスト

4 つの規制当局、1 つの基底にある要件

UAE の金融サービスはオンショアと 2 つのフリーゾーンに分かれ、さらに仮想資産専門の規制当局があります。どこが免許を付与するかによって義務の文言は変わりますが、実質は一点に収束します。定期的に実施される独立したセキュリティテストと、提示できる証跡です。

VARA — ドバイの仮想資産

4 者のうち最も明示的です。Technology and Information Rulebook により、免許を受けたすべての VASP は最低でも年 1 回の独立したペネトレーションテストを要し、VARA が必要かつ相当と判断する場合にはインテリジェンス主導型テストを追加で求めることがあります。本ルールブックは、サイバーセキュリティ・ガバナンス、ハードウェアセキュリティモジュールに裏付けられたマルチシグ鍵管理、コールドストレージの最低比率、深刻度別に 24〜72 時間というインシデント報告期限も対象としています。

CBUAE — オンショアの銀行および金融会社

中央銀行はオンショアで免許を受けた機関に対するセキュリティ要求水準を定めており、インターネット公開システムと顧客向けアプリケーションの定期的な独立テストは、一度きりではなく継続的な期待事項とされています。カード情報が範囲に含まれる場合は PCI DSS 要件 11.4 が並行して適用され大きく重複します。あわせて範囲を設定すれば 1 件の委託です。

DFSA（DIFC）と FSRA（ADGM）

両フリーゾーンの規制当局はいずれも、事業者のリスクプロファイルに見合った独立セキュリティテストを求めており、事業者が採用し説明可能としている間隔は年次です。どちらも VARA のような単一の普遍的頻度を公表していないため、実務上はサイクルを正当化する責任が事業者側にあります。そして成立する説明は「年次、加えて重大な変更後」です。

その下に NESA

金融サービスは重要情報インフラに指定されているため、NESA の Information Assurance Standards が業態規制と並んで適用されることが多く、重大・高深刻度の検出事項に対する 90 日以内の再テスト要求や、テスト実施者の資格審査も含まれます。最初から両方に合わせて範囲を設定してください。後から補うと通常は 2 回テストすることになります。

VASP の場合：フロントエンドではなくカストディ境界を範囲に

ここは率直に述べる価値のある部分です。取引インターフェースに対する従来型の Web アプリケーションテストは認証と認可の問題を見つけますが、実際の損失シナリオはまったく未検証のまま残します。取引所がクロスサイトスクリプティングによって資産を失うことは通常ありません。

仮想資産事業者にとって重要な問いは次のとおりです。

• 署名フロー — 誰が・何が送金を承認できるか、承認が手続きではなく技術的にどう強制されているか、そして侵害された単一の管理者アカウントやサービスアカウントが資産を動かせるか。
• ホットとコールドの分離 — その境界が実際に強制されているのか、文書上そうなっているだけなのか、そして何がそれを越えるか。
• 鍵素材の取り扱い — HSM に裏付けられた署名がどう呼び出されるか、何がそれを呼び出せるか、そして呼び出し側システムへのアクセスが鍵へのアクセスと同等になっていないか。
• 承認の迂回 — 部分的なアクセス権を持つ者が何を達成しうるか。運用アカウント、侵害された開発者端末、財務システムにおける特権的な参照権限など。
• 運用プロセス — 出金やアドレス許可リストをめぐる人的手順。本セクターでソーシャルエンジニアリングが着地するのはここです。

これらはコードと同程度に設計とプロセスの問題であり、まさにそれゆえスキャナーではなくテスト実施者を必要とします。基盤となるプラットフォームには引き続き標準的な対応が必要ですが（Web と API、外部および内部ネットワーク、クラウド）、範囲を集中させるべきはカストディの境界です。

インテリジェンス主導型テストについて

インテリジェンス主導型テスト（TIBER-EU や CBEST を含む系統）は、貴社のような事業者を標的としているのは誰かという現実の脅威情報から出発し、その特定の攻撃者を本番環境に対して、通常は防御側チームに知らせずに模倣します。脆弱性と同程度に検知と対応を測るもので、標準的なテストより長期かつ高額です。

VARA は相当と判断する場合にこれを求めることがあり、これは概ね事業規模とカストディ資産額に連動します。新規に免許を受けた VASP の多くは年次の独立テストから始めますが、相当規模のカストディを担う事業者はこの問いが来ることを計画に織り込むべきです。順序についての率直な助言は、まず標準的なペネトレーションテストを、というものです。従来型の評価を一度も受けていない環境に対するインテリジェンス主導型テストは、より安価な委託で見つかったはずの検出事項で埋まった高額な報告書を生みます。

ご提供内容

着手前に合意する固定価格。テスト実施時間帯とエスカレーション連絡先を含む書面の実施規則（本番のカストディ基盤の近くでテストする以上、合意された中止手順が必要であるため、多くのセクターよりここで重要になります）。重大な検出事項は発見した時点でご連絡します。

報告書には、取締役会と監督当局向けのエグゼクティブサマリー、再現手順と CVSS 評価を備えた技術本編、そしてテストを求めたルールブックまたは管理策へのマッピングを収録します。続いて是正サポート、解消済み項目の再テスト、そして実施者・対象範囲・実施日を明記した実施証明書をお渡しします。これは通常、監督当局や、貴社のデューデリジェンスを行う機関投資家へ提出する書類です。形式はサンプル報告書でご確認いただけます。

実施者について

テスト実施者と直接やり取りいただきます。保有資格について（金融セクターおよび VASP の調達では必ず問われます）：OSCP+、eCPPT、eWPT、eCIR に加え AZ-500、SC-200、SC-300。いずれも OffSec credential wallet から検証可能です。攻撃側の業務に移る前の検知エンジニアリングの経歴はここで直接的に活きます。報告書は攻撃経路の仕組みだけでなく、それが貴社の監視でどう見えたか、何かが検知しえたかまで扱います。検知・対応能力について問う監督当局にとって、その区別こそが答えになります。

アンマンからリモートで、ドバイより 1 時間遅れ、同じ週休体系で、アラビア語または英語に対応します。

次のステップ

保有されている免許、プラットフォームの概要、カストディ基盤を範囲に含めるかどうかをお知らせください。固定見積りと開始日をご返信します。免許取得直後で、初回テストに実際に何を含めるべきか検討中であれば、短時間で有益なご相談になります。お問い合わせください。

関連情報：UAE におけるペネトレーションテスト、NESA の要件、コンプライアンス概要。