NESA-eisen voor penetratietesten
De Information Assurance Standards van NESA zijn ongebruikelijk onder complianceraamwerken doordat ze specifiek zijn over twee dingen waarover de meeste vaag blijven: op de remediatie van kritieke bevindingen staat een klok, en de certificeringen van wie de test uitvoerde worden beoordeeld. Beide veranderen hoe u de test zou moeten inkopen.
Wat de standaard eist
Onder technisch kwetsbaarhedenbeheer eisen de Information Assurance Standards van de VAE dat kwetsbaarheidsbeoordelingen en penetratietesten worden uitgevoerd en gevolgd. Voor gedekte entiteiten komt dat in de praktijk neer op jaarlijks testen — maar de verplichting is een cyclus en geen gebeurtenis, en de drie delen die beoordeeld worden zijn:
- De test — uitgevoerd, onafhankelijk, tegen een scope die past bij de entiteit.
- De remediatie — kritieke en hoge bevindingen gedocumenteerd en hersteld, met de besluiten vastgelegd waar een risico in plaats daarvan wordt geaccepteerd.
- De hertest — bewijs dat de herstelmaatregelen werkten, binnen een vastgesteld venster, doorgaans 90 dagen.
Entiteiten die op penetratietesten zakken voor NESA hebben vrijwel altijd het eerste deel gedaan en de andere twee niet.
Twee eisen die veranderen hoe u inkoopt
De klok van 90 dagen maakt laat testen onmogelijk
Als kritieke en hoge bevindingen binnen 90 dagen hersteld en hertest moeten zijn, is het planningsgevolg onontkoombaar: een test in de laatste maand van uw compliancejaar laat geen ruimte om iets te herstellen en dat aan te tonen. Tegen de tijd dat het rapport er is, heeft u weken, geen kwartaal.
Test met minstens een kwartaal aanloop. Is de omgeving groot of ligt de laatste test lang achter u, dan meer — want de remediatie-inspanning is onbekend totdat het rapport bestaat, en een zwaardere bevindingenlijst dan verwacht is precies het scenario waarop het venster is ontworpen om te drukken. Deze ene planningsbeslissing veroorzaakt meer NESA-mislukkingen dan welk technisch probleem ook.
Assessors beoordelen wie er testte
NESA-assessors onderzoeken de certificeringen van de aanbieder van penetratietesten, en OSCP of gelijkwaardig is de uitgesproken verwachting. Dat is ongebruikelijk concreet — de meeste raamwerken zeggen «passend gekwalificeerd» en laten het daarbij — en het heeft een direct commercieel gevolg: een goedkopere test uitgevoerd door iemand zonder erkende offensieve certificering kan bij het assessment worden afgewezen, wat u het honorarium, het remediatievenster en de hertest kost.
De vraag die u aan elke aanbieder moet stellen voordat u die inschakelt is dus simpel: wie voert de test uit, wat heeft die persoon, en kan ik het verifiëren? Voor deze opdracht is het antwoord OSCP+ — de huidige vernieuwde vorm van de certificering — naast eCPPT, eWPT en eCIR, plus AZ-500, SC-200 en SC-300 aan de Microsoft-securitykant. Alle onafhankelijk verifieerbaar via de OffSec credential wallet, en die link gaat in uw bewijspakket naast het rapport.
Scope
Wat een NESA-conforme opdracht dekt:
- Extern netwerk — het volledige op internet ontsloten landschap, inclusief gepubliceerde en vergeten diensten.
- Webapplicaties en API's — authenticatie, autorisatie, bedrijfslogica, injectie, en de API's achter mobiele apps.
- Intern netwerk — hoever een voet aan de grond reikt; of de segmentatie standhoudt.
- Active Directory — misbruik van ADCS-certificaatsjablonen, Kerberoasting, delegatie, ACL-paden naar Domain Admin. Voor een overheidsentiteit of nutsbedrijf in de VAE is dit waar een kleine externe voet aan de grond een volledige compromittering wordt.
- Cloud — escalatie in Entra ID en Azure RBAC, blootgestelde opslag, verkeerd geconfigureerde identiteiten.
Voor kritieke informatie-infrastructuur in het bijzonder is de vraag die bewust gescoped hoort te worden niet alleen of de perimeter standhoudt, maar hoever iemand komt wanneer dat niet zo is — wat een assumed-breach-beoordeling meet, en wat een bestuur of toezichthouder werkelijk wil weten.
NESA en Dubai ISR samen
Veel organisaties dragen beide: NESA federaal, en DESC's Information Security Regulation omdat ze een entiteit van de overheid van Dubai zijn of er een beleveren. De twee lopen parallel in plaats van dat de een de ander vervangt, en hun technische testeisen overlappen vrijwel volledig.
Bewust vanaf het begin tegen beide gescoped levert één opdracht bewijs voor allebei — de test is dezelfde, de mapping verschilt. Tegen één gescoped en later bijgewerkt betekent meestal twee keer testen. Het kost niets om bij de scoping te zeggen welke regimes op u van toepassing zijn, en het is het meest renderende dat u me in het eerste gesprek kunt vertellen.
Het eindproduct
Een managementsamenvatting voor de leiding en de assessor, een technisch deel met reproductiestappen, bewijs en CVSS-scores, en mapping van elke bevinding naar het toepasselijke control zodat uw complianceteam die spreadsheet niet zelf bouwt. Dan remediatieondersteuning terwijl u herstelt, een hertest van de gesloten bevindingen — een NESA-eis, geen upsell — en een attestatiebrief die vastlegt wie testte, welke scope en welke data.
Alles wat kritiek is wordt gemeld op het moment dat het gevonden wordt, niet bewaard voor het rapport. Er is een voorbeeldrapport als u het formaat wilt zien voordat u zich vastlegt.
Praktische zaken
Het werk is op afstand. Externe, webapplicatie- en cloudtests vragen niets van u behalve scope en toestemming; interne en Active Directory-tests lopen over een VPN of een jump host binnen uw omgeving. Waar uw toezichthouder of uw eigen beleid beperkt waar bewijs wordt verwerkt of opgeslagen, gaat dat schriftelijk in de rules of engagement voordat er iets begint.
Ik zit in Amman, een uur achter Dubai, met dezelfde werkweek als de regio, in het Arabisch of Engels. Geen kantoor in de VAE en geen claim daarvan — wat u krijgt is de persoon die de test uitvoert, met certificeringen die u in minder dan een minuut kunt verifiëren.
Volgende stappen
Laat me weten of u gedekt bent als federale entiteit, als CII, of via een contract met een van beide; wat in scope zit; en wanneer uw assessment valt. Vaste prijsopgave en startdatum terug. Gezien het hertestvenster van 90 dagen is de nuttige vraag om eerst te beantwoorden hoeveel aanloop u heeft: is dat minder dan een kwartaal, dan verandert dat de volgorde en moeten we eerder dan later praten.
Gerelateerd: penetratietesten in de VAE voor hoe de regimes in elkaar grijpen, CBUAE, DFSA, ADGM en VARA voor financiële diensten, en het complianceoverzicht voor al het overige. Neem contact op — Arabisch is welkom.
Vragen over NESA
Federale overheidsentiteiten en organisaties aangewezen als kritieke informatie-infrastructuur — wat energie, water, transport, telecommunicatie, financiële diensten en zorg omvat. Net als bij de Saudische ECC reikt het in de praktijk verder dan de formele scope, omdat gedekte entiteiten gelijkwaardige eisen contractueel doorgeven aan hun leveranciers. Als een overheidsinstantie of nutsbedrijf in de VAE u om bewijs van een penetratietest heeft gevraagd, is NESA meestal de reden.
Kwetsbaarheidsbeoordelingen en penetratietesten moeten worden uitgevoerd en gevolgd onder technisch kwetsbaarhedenbeheer, wat in de praktijk neerkomt op minimaal jaarlijks voor gedekte entiteiten. Het woord gevolgd telt even zwaar als uitgevoerd: NESA zoekt een beheerste, aantoonbare cyclus — scopen, testen, herstellen, hertesten, vastleggen — en niet een rapport dat eens per jaar verschijnt en in een map verdwijnt.
Kritieke en hoge bevindingen hebben gedocumenteerde remediatie nodig met bewijs van een hertest binnen een vastgestelde periode, doorgaans 90 dagen. Het praktische gevolg gaat over timing: voert u uw jaarlijkse test in de laatste maand van uw compliancejaar uit, dan is er geen ruimte meer om te herstellen en te hertesten binnen het venster voordat de cyclus sluit. Test met minstens een kwartaal aanloop. Dit is de meest gemaakte planningsfout in NESA-programma's en volledig vermijdbaar.
Ja — meer dan in de meeste raamwerken. NESA-assessors beoordelen de certificeringen van de aanbieder van penetratietesten, waarbij OSCP of gelijkwaardig de verwachting is. Tests uitgevoerd door iemand zonder een erkende offensieve securitycertificering worden bevraagd en soms afgewezen bij het assessment, wat betekent dat de goedkoopste offerte de duurste uitkomst kan worden. Vraag om de certificering en een verificatielink voordat u iemand inschakelt, en stop beide in het bewijspakket.
Meestal wel. De twee regimes lopen parallel — NESA federaal, DESC's ISR voor entiteiten van de overheid van Dubai en hun leveranciers — en de technische scope die ze eisen overlapt vrijwel volledig. Wat verschilt is de mapping en de rapportage. Scope de opdracht vanaf het begin tegen beide en u krijgt één test en twee sets bewijs; scope tegen één en het andere er later bij halen betekent doorgaans opnieuw testen.
NESA-assessment op komst?
OSCP+-gecertificeerd, gescoped op IAS, met het hertestbewijs dat het venster van 90 dagen vereist.