NCA ECC-penetratietesten: control 2-11

Wat control 2-11 werkelijk zegt

De Essential Cybersecurity Controls plaatsen penetratietesten in domein 2, Cybersecurity Defence, bij control 2-11. Het doel is de effectiviteit van het verdedigend vermogen van de organisatie te beoordelen via een gesimuleerde aanval, om zwakheden in de technische infrastructuur te vinden die tot een inbreuk kunnen leiden.

Het control valt uiteen in drie verplichtingen, en organisaties voldoen routinematig aan de derde terwijl ze de eerste twee missen:

• Definieer, documenteer en keur goed de cybersecurity-eisen voor penetratietesten. Dit is een documentatieverplichting op zichzelf: u heeft een geschreven, goedgekeurde verklaring nodig over hoe de test wordt gescoped, hoe vaak die draait en wie ervoor tekent.
• Implementeer die eisen. De tests vinden daadwerkelijk plaats, in de cyclus die u heeft gedocumenteerd.
• Scope de test zodat die minimaal de op internet ontsloten diensten en de technische infrastructuur daarachter dekt.

Het praktische gevolg: een instantie die elk jaar een uitstekende penetratietest laat uitvoeren maar haar testeisen nooit heeft opgeschreven en goedgekeurd, voldoet nog steeds niet aan 2-11. De assessor leest evenzeer op het beleid en het goedkeuringsspoor als op het rapport.

De valkuil van zes maanden: CSCC

Als een van uw systemen als kritiek is geclassificeerd, gelden de Critical Systems Cybersecurity Controls bovenop de ECC en gaat de testeis voor die systemen naar minimaal elke zes maanden.

Dit is de meest voorkomende budget- en planningsfout in Saudische complianceprogramma's. De jaarlijkse aanname wordt in inkoop vastgelegd, de classificatie-exercitie gebeurt later of in een ander team, en de mismatch komt bovendrijven bij het assessment, wanneer er geen tijd meer is voor een tweede test. Doe eerst de classificatie en scope het testprogramma daarna rond het antwoord — en als sommige systemen kritiek zijn en andere niet, kunt u vaak een kleinere halfjaarlijkse opdracht op de kritieke subset draaien en een volledige jaarlijkse opdracht over het geheel, wat aanzienlijk goedkoper is dan het hele landschap twee keer per jaar testen.

Een scope die het assessment doorstaat

De minimumscope van het control is: op internet ontsloten diensten plus de technische infrastructuur daarachter. Dat is een ondergrens. Een scope die alleen tot de ondergrens is gebouwd, roept een voor de hand liggende vraag op bij een assessor: als uw blootstellingsanalyse stopt bij de perimeter, hoe weet u dan dat een voet aan de grond daar nergens heen leidt?

De scope die zonder discussie standhoudt:

• Extern netwerk — het volledige op internet ontsloten landschap, inclusief de hosts en diensten die jaren geleden zijn gepubliceerd en vergeten. Expliciet vereist door het control.
• Webapplicaties en API's — authenticatie, autorisatie, bedrijfslogica, injectie. In de praktijk de technische infrastructuur achter de op internet ontsloten dienst.
• Intern netwerk — hoever een voet aan de grond reikt, en of de segmentatie onder druk standhoudt.
• Active Directory — misbruik van ADCS-certificaatsjablonen, Kerberoasting, delegatie en ACL-paden naar Domain Admin. In een Saudisch overheids- of ondernemingslandschap is dit vrijwel altijd waar een voet aan de grond op de perimeter een volledige compromittering wordt, en het is het deel dat een scanner-gebaseerd assessment nooit zal vinden.
• Cloud — waar workloads naartoe zijn verhuisd, gelden de Cloud Cybersecurity Controls parallel en heeft de tenant dezelfde behandeling nodig: escalatiepaden in Entra ID en Azure RBAC, blootgestelde opslag, verkeerd geconfigureerde identiteiten.

Het bewijspakket

Vier artefacten, en degene die het vaakst ontbreekt is de laatste:

• Het document met de goedgekeurde testeisen — dit is het deel van 2-11 dat niet de test is.
• Een scopedocument dat laat zien wat erin en eruit zat, en waarom dat passend was.
• Het rapport: bevindingen, CVSS-scores, reproductiestappen en expliciete mapping naar control 2-11.
• Bewijs van remediatie en hertest — wat is hersteld, wanneer, bevestigd door een hertest. Risico's die u bewust accepteert hebben een vastgelegd besluit en een reden nodig; accepteren mag, zwijgen niet.

Een attestatiebrief die vermeldt wie heeft getest, tegen welke scope en op welke data, maakt het pakket compleet. Elke opdracht hier omvat standaard het rapport, de hertest en de attestatie in plaats van als betaalde extra's, want het werkelijke resultaat is een assessment-klaar pakket — het rapport op zichzelf is dat niet.

Waarom de tester ertoe doet

ECC schrijft geen certificering voor zoals NESA in de VAE doet, maar de vraag komt op bij het assessment en van de overheidsklanten die de eis doorgeven: wie heeft dit uitgevoerd, en wat heeft diegene?

Ik heb OSCP+, de vernieuwde vorm van de OffSec-certificering, met eCPPT, eWPT en eCIR daarnaast, en AZ-500, SC-200 en SC-300 voor het Microsoft- en Azure-deel van het werk. Alle zijn onafhankelijk te verifiëren via de OffSec credential wallet, en die link hoort in uw bewijspakket naast het rapport.

Ik werk vanuit Amman op GMT+3 — identieke werktijden als Riyad — in het Arabisch of Engels, op afstand. Interne en Active Directory-tests lopen over een VPN of een jump host binnen uw omgeving, en elke beperking op waar bewijs wordt verwerkt of opgeslagen gaat schriftelijk in de rules of engagement voordat het testen begint.

Volgende stappen

Laat me weten of CSCC op een van uw systemen van toepassing is, hoe de omgeving eruitziet en wanneer uw assessment is. U krijgt een vaste prijsopgave en een startdatum. Wilt u eerst het eindproduct zien, dan is er een voorbeeldrapport; en wilt u uw huidige externe blootstelling in een paar minuten zien, dan doet de gratis perimeterscan dat zonder enige verplichting.

Meer context: penetratietesten in Saoedi-Arabië behandelt hoe ECC, CSCC en SAMA in elkaar grijpen, de SAMA-pagina dekt de eis voor de financiële sector, en het complianceoverzicht vergelijkt alle raamwerken. Neem contact op — Arabisch is welkom.