サウジアラビアのペネトレーションテスト
サウジアラビアにおけるペネトレーションテストの多くは、規制当局が求めるために発注されます。NCA の Essential Cybersecurity Controls、重要システム向け管理策、SAMA のフレームワークはそれぞれ独自の周期を課し、いずれも監査人が読める証跡を求めます。本ページではその作業内容と提供方法を説明します。
サウジの規制当局が実際に求めるもの
サウジアラビアでは三つの異なる規制がペネトレーションテストを義務づけており、どれが適用されるかによって範囲、頻度、保管すべき証跡が決まります。
NCA Essential Cybersecurity Controls（ECC）
National Cybersecurity Authority の ECC は国家基準であり、政府機関、その請負業者、重要国家インフラの運営者を拘束します。管理策 2-11 がペネトレーションテストを扱います（ページは英語）。要件は定義・文書化・承認され、実施され、範囲はインターネットに面したサービスとその背後の技術基盤を含む必要があります。テストは定期的で、監査人が探す証跡は完全なサイクル——範囲定義書、報告書、是正、再テスト——であって、日付の入った PDF 一枚ではありません。
Critical Systems Cybersecurity Controls（CSCC）
いずれかのシステムが重要と分類されている場合、CSCC は基準を引き上げます。該当システムは年次ではなく少なくとも6か月ごとのテストが必要です。予算と調達サイクルが年1回のテストを前提に組まれていることが多いため、これに足をすくわれる組織は少なくありません。分類を先に行ってください。半年周期は案件の商業的な形を根本から変えます。
SAMA Cyber Security Framework
サウジ中央銀行の監督下にある金融機関——銀行、保険会社、金融会社、決済事業者——には、少なくとも年1回の独立した外部ペネトレーションテスト（ページは英語）の実施が期待され、対象はインターネットに面したシステム、Webアプリケーション、ネットワーク基盤です。実効的な要件は独立性であり、システムを構築・運用するチームによるテストは要件を満たしません。ペネトレーションテストとして提出された脆弱性スキャンも同様です。
並行して適用されるもの
SDAIA の個人データ保護法は個人データを扱う場面で独自のセキュリティ義務をもたらし、Cloud Cybersecurity Controls はワークロードがクラウド事業者上にある場合に適用されます。また大企業は自社の供給業者向けセキュリティ基準を課す例が増えており、サウジの供給業者が最初に直面するのは Aramco の第三者要件です。カード決済を扱う場合はこれらに加えて PCI DSS 要件 11.4 が適用されます。詳細はPCI DSS のページをご覧ください。
テストが実際に対象とする範囲
実務上、管理策 2-11 と SAMA を満たす範囲を通常の順序で示します。
- 外部ネットワークテスト — 組織がインターネットに公開しているすべて。VPN 集約装置、メール、リモートアクセス、忘れられたステージングホスト、誰も公開した記憶のないサービス。2-11 の範囲に明示されており、実際の侵入の多くはここから始まります。
- Web・API テスト — 顧客向けアプリケーションとその背後の API に対する認証、認可、ビジネスロジック、インジェクション。SAMA の範囲に明記されています。
- 内部ネットワークテスト — すでに足場を得た者がどこまで到達できるか。保たないセグメンテーション、フラットなネットワーク、あるべきでない場所に置かれた認証情報。
- Active Directory — ADCS 証明書テンプレートの悪用、Kerberoasting、委任の問題、Domain Admin へ至る ACL 経路。サウジの大企業はほぼ例外なく AD 上で稼働しており、外部の小さな足場が完全な侵害に変わるのはここです。
- クラウド — Entra ID と Azure RBAC における権限昇格経路、公開されたストレージ、クラウドテナントを障壁ではなく近道に変える ID 設定の不備。
提供物
二つの読者を同時に想定した報告書です。取締役会や規制当局が翻訳なしに追える要約と、技術者がそのまま作業できる再現手順・証跡・CVSS 評価を含む技術本編。各指摘はテストを必要とした管理策に紐づけられており、監査人は義務から証跡へと辿れます。この対応関係を御社が作る必要はありません。
是正支援は別売りではなく込みで、修正中の質問にも回答します。解消した指摘の再テスト、ならびにテストの実施・実施者・範囲・日付を記したアテステーションレターも同様です。経験上、監査人に渡るのも、証明を求める大企業顧客に送られるのもこのアテステーションです。着手前に形式を確認したい場合はサンプル報告書（英語）があります。
独立コンサルタントと組む理由
テストを実施する本人と直接話せます。質問を取り次ぐ営業担当はおらず、請求書上は上級者の名義で実際はジュニアがスキャナを回すこともなく、テスト終了から報告書到着まで3週間空くこともありません。ECC や SAMA の期限がある場合、この直接性が期限を守れるかどうかの分かれ目になります。
湾岸地域との実務的な相性は明言しておきます。アンマンから GMT+3 で稼働しており、リヤド、ジッダ、ダンマームと同じ稼働時間・同じ稼働週です。テスト中に生じた質問は当日中に回答します。アラビア語でも英語でも対応できます。OSCP+ に加え eCPPT、eWPT、eCIR、AZ-500、SC-200、SC-300 を保有し、すべて OffSec の資格ウォレットで独立して検証できます。監査人が実施者とその保有資格を問う例が増えているため、ここでは重要な点です。
やらないことも明確にしておきます。現地企業であるかのように装うことはしません。リヤドに事務所はなく、あるとは主張しません。提供できるのは、同じタイムゾーンと言語で直接契約でき、資格を30秒で検証できる専門家です。
進め方
満たすべき管理策——2-11、CSCC の半年周期、SAMA の年次テスト——に加え、範囲と期限をお知らせください。調査プロセスではなく、固定価格の見積もりと開始日をご返答します。先に具体的なものを確認したい場合は、無料の境界スキャンが現在の外部公開状況を示し、コンプライアンス概要が他の基準を比較します。
どの規制が適用されるか分からない場合も通常の質問であり、短い打ち合わせで解決します。お問い合わせください。アラビア語でのご相談も歓迎します。
サウジアラビア: よくある質問
はい。Essential Cybersecurity Controls の管理策 2-11 がペネトレーションテストを直接扱い、三つの要素から成ります。要件が定義・文書化されていること、承認されていること、実施されていること。範囲は少なくともインターネットに面したサービスとその背後の技術基盤を含む必要があります。テストは定期的に求められます。さらに Critical Systems Cybersecurity Controls の対象であれば、重要システムは年次ではなく少なくとも6か月ごとのテストが必要です。
サウジ中央銀行の監督下にある機関には、少なくとも年1回の独立した外部ペネトレーションテストの実施が期待され、対象はインターネットに面したシステム、Webアプリケーション、ネットワーク基盤です。最も重いのは独立したという語で、システムを構築または運用するチームによるテストはこれを満たしません。銀行、保険会社、金融会社、決済事業者にとっては毎年繰り返される義務であり、一度きりの対応ではありません。
外部テスト、Webアプリケーション、クラウド、内部テストの大半については不要です。作業はリモートで行い、地域における評価の大多数がこの形で提供されています。内部ネットワークと Active Directory のテストは、御社が管理する VPN または小規模な踏み台を経由して実施し、ポリシー上必要であれば御社環境内のマシンから作業します。証跡の保管場所や処理場所に関するデータ所在要件があれば範囲設定時にお知らせください。実施規約へ書面で盛り込みます。
そのために書いています。各報告書には経営層向けの要約、再現手順と CVSS 評価を含む技術本編、テストを必要とした管理策への紐づけ、そして追加の打ち合わせなしに技術者が着手できる是正セクションが含まれます。修正済み指摘の再テストと、テストの実施・実施者・対象範囲を確認するアテステーションレターも含まれます。実務上、監査人や顧客が実際に保管するのはこのアテステーションです。
既定は英語で、規制当局およびサウジの調達部門の多くが英語で業務を行っています。アラビア語はご要望に応じて対応し、案件中の日常的なやり取りは全面的にアラビア語でも構いません。アンマンから GMT+3 で稼働しており、リヤドと同じ稼働週・同じ時間帯です。テスト中の質問は翌日ではなく当日中に回答します。
NCA または SAMA の期限がありますか。
満たすべき管理策と範囲をお知らせいただければ、固定価格と開始日をご返答します。