アラブ首長国連邦のペネトレーションテスト

UAE の規制地図（概要）

UAE は連邦、首長国、業種別の規則を積み重ねています。多くの組織が複数の対象となっており、有用な示唆は、適切に範囲設定した1回のテストで複数を同時に満たせるということです。ただし偶然ではなく意図的にそう設計した場合に限ります。

NESA / UAE Information Assurance Standards

連邦の基準であり、政府機関と、エネルギー、水、運輸、通信、金融サービス、医療において重要情報インフラと指定された組織に適用されます。技術的脆弱性管理は評価とペネトレーションテストの実施・追跡を求め、実務上は年次です。見落とされやすい要件が二つあります。重大および高の指摘には定められた期限——通常90日——内の是正記録と再テスト証跡が必要であること、そして監査人が実施者の資格を確認し、OSCP または同等のものが明示的な期待であることです。NESA のページで詳述しています（英語）。

Dubai ISR（DESC）

Dubai Electronic Security Centre の Information Security Regulation は、ドバイ政府機関とそれに供給する事業者を拘束します。NESA を置き換えるのではなく並行して適用されるため、ドバイ政府と取引する組織は双方の証跡を求められることが少なくありません。テスト要件は実質的に類似しているため、双方を想定して範囲設定すれば証跡一式は1回で済みます。

金融サービス: CBUAE、DFSA、ADGM

UAE 中央銀行はオンショアの銀行・金融会社に対する期待を定め、DFSA は DIFC の企業を、FSRA は ADGM の企業を規制します。三者とも定期的な独立したセキュリティテストを期待し、三者ともペネトレーションテストとして提示された脆弱性スキャンには厳しい目を向けます。詳細はこちら（英語）。

VARA: 仮想資産

ドバイの仮想資産規制当局は、認可を受けたすべての事業者に対し Technology and Information Rulebook に基づく少なくとも年1回の独立したペネトレーションテストを求め、必要かつ相当と判断する場合はインテリジェンス主導のテストも求めます。同ルールブックは HSM に裏付けられた鍵管理、コールドストレージの最低比率、深刻度に応じた24〜72時間のインシデント報告の要件と並存します。

医療: ADHICS

アブダビの医療情報セキュリティ基準は、同首長国の医療機関とその技術供給業者に適用され、臨床データに関する管理策に加えてテストと証跡の要件を定めています。詳細はこちら（英語）。

データ保護

連邦 PDPL、ならびに DIFC と ADGM の個別のデータ保護法は、個人データを処理するあらゆる場面でセキュリティ義務をもたらします。ペネトレーションテストを名指ししてはいませんが、基準は「適切な技術的措置」であり、インシデント後にそれを立証するのは、最近の独立したテストが手元にあるほうが格段に容易です。

1回のテストで複数の義務に対応する

UAE で費用がかさむ誤りは、規制当局ごとに別々の評価を購入することです。多くの場合、技術的範囲はほぼ完全に重なります——外部攻撃面、Webアプリケーションと API、内部ネットワークと Active Directory、クラウドテナント——異なるのは紐づけと報告形式であって、テストではありません。

したがって案件は、適用されるすべてに対して一度だけ範囲設定し、報告書は各指摘を該当するすべての管理策に紐づけます。実務上の範囲は次のとおりです。

• 外部ネットワーク — インターネットから到達可能なすべて。誰も公開した記憶のないホストを含みます。
• Webアプリケーションと API — 認証、認可、ビジネスロジック、インジェクション。どの規制当局も必ず尋ねる顧客向けレイヤーです。
• 内部ネットワーク — 足場からどこまで到達できるか、セグメンテーションが実際に保つか。
• Active Directory — ADCS の悪用、Kerberoasting、委任、Domain Admin へ至る ACL 経路。
• クラウド — Entra ID と Azure RBAC における権限昇格、公開されたストレージ、ID 設定の不備。

VARA の対象となる仮想資産事業者では、カストディ境界を加えてください。ウォレット基盤、署名ワークフロー、鍵マテリアル周りの運用統制です。損失が発生するのは Web のフロントエンドではなくここです。

資格要件について（具体的に）

多くのコンプライアンス解説はここを素通りしますが、UAE では異例なほど具体的です。NESA の監査人は誰がテストを実施したかを確認し、OSCP または同等のものが期待されています。認知された攻撃的セキュリティ資格を持たない者によるテストは監査時に疑問を呈され、場合によっては却下されます。

私は OSCP+——同資格の現行の更新形態——に加え、攻撃側で eCPPT、eWPT、eCIR を、Microsoft セキュリティ側で AZ-500、SC-200、SC-300 を保有しています。これにより Entra ID と Azure の部分が一般論ではなく実証的なものになります。すべて OffSec の資格ウォレットで独立して検証でき、このリンクは報告書とともに証跡一式へ含めるべきものです。

案件の進行

まず範囲と見積もり。義務、環境、期限をお知らせいただき、固定価格と開始日をご返答します。通常は1〜2週間以内です。実施規約は書面で合意し、テスト時間帯、エスカレーション連絡先、証跡の処理・保管場所に関する規制当局の制約も含めます。

テストは範囲に応じて通常1〜2週間。重大な事項は最終文書まで伏せず、判明した時点で即時に連絡します。報告書は数日以内に提出し、要約、再現手順と CVSS 評価を含む技術的指摘、管理策への紐づけ、優先順位づけされた是正策を収録します。その後、修正済み箇所の再テストとアテステーションレターをお渡しします。UAE では想像以上に重要です。90日以内の再テスト証跡そのものが要件であり、追加サービスではないためです。

アンマンからリモートで作業します。ドバイより1時間遅れ、地域と同じ週のリズムで、アラビア語または英語で対応します。現地事務所はなく、あるとも主張しません。代わりに提供するのは、実際に作業する本人と直接やり取りでき、資格を検証できることです。

はじめに

どの規制当局に対して責任を負っているか、範囲に何が含まれるかをお知らせください。判然としない場合も——これだけ規制が重なっていればまったく普通のことです——短い打ち合わせで整理できます。コンプライアンス概要が各基準を並べて比較し、無料の境界スキャンが現在の外部公開状況を数分で示し、サンプル報告書が受け取る成果物をそのまま示します。

お問い合わせください。アラビア語でのご相談も歓迎します。提出期限がスケジュールを左右する場合は、最初の一行にその旨をお書きください。