SAMA-eisen voor penetratietesten
Als de Saudische centrale bank op u toeziet, is een penetratietest een jaarlijks terugkerende verplichting en geen project. Het raamwerk is specifiek over twee dingen die bepalen of uw bewijs de toets doorstaat: de test moet onafhankelijk zijn, en de scope moet reiken tot de systemen die uw klanten kunnen aanraken.
De eis, eenvoudig gesteld
Van instellingen onder toezicht van de Saudische centrale bank wordt verwacht dat zij onafhankelijke externe penetratietesten minimaal jaarlijks uitvoeren, met een scope die de naar buiten gerichte systemen, webapplicaties en netwerkinfrastructuur dekt.
Drie woorden in die zin dragen het gewicht, en elk is een plek waar bewijs vaak sneuvelt bij de toetsing:
- Onafhankelijk — niet uitgevoerd door het team dat de geteste systemen bouwt of beheert.
- Jaarlijks, minimaal — de jaarcyclus is een ondergrens, en materiële wijziging aan op internet ontsloten systemen is een aparte trigger.
- Penetratietest — geen kwetsbaarheidsscan met een andere omslag. Assessors zijn goed geworden in het onderscheid.
Waar SAMA-bewijs werkelijk sneuvelt
Vier faalvormen verklaren het meeste van wat betwist wordt, en alle vier zijn goedkoper te voorkomen dan te herstellen.
Een scan ingediend als penetratietest
Het signaal is structureel: elke bevinding is een CVE met een door de leverancier aangeleverde beschrijving, niets is geketend, en er is geen verhaal dat uitlegt wat een aanvaller zou kunnen bereiken. Een penetratietest toont impact: deze blootgestelde dienst levert een credential, die credential bereikt dit interne systeem, dat deze data bevat. Is uw rapport een gesorteerde lijst versienummers, dan is het een scan. Het verschil volledig.
Onafhankelijkheid die niet standhoudt
Testen uitgevoerd door het engineeringteam, door de managed service provider die ook de infrastructuur draait, of door een leverancier die zijn eigen product beoordeelt. Elk van deze gevallen faalt de onafhankelijkheidseis, hoe bekwaam de test ook was.
Een scope die de klantlaag mist
Backends van mobiel bankieren, partner-API's, de nieuwe fintech-integratie die na ondertekening van de scope live ging. Op internet ontsloten systemen en webapplicaties worden expliciet genoemd in het raamwerk, dus een gat hier is een directe misser en geen beoordelingskwestie.
Geen hertest
Een rapport met twaalf bevindingen van hoge ernst en geen enkel bewijs dat er één is gesloten, is vanuit het perspectief van een toetser de documentatie van een onopgelost probleem. De remediatie- en hertestcyclus is wat een test omzet in compliancebewijs.
Wat de opdracht dekt
De regulatoire basislijn, elk jaar:
- Externe netwerktests — het volledige op internet ontsloten landschap: internetbankieren, betaalinterfaces, VPN en remote access, mailinfrastructuur, en de hosts die ooit voor een project zijn gepubliceerd en nooit zijn ingetrokken.
- Webapplicatie- en API-tests — authenticatie en sessiebeheer, autorisatie en toegangscontrole tussen klanten, bedrijfslogica in transactiestromen, injectie, en de API's achter mobiele apps. In een financiële instelling zijn de bedrijfslogica-bevindingen meestal die er het meest toe doen en die automatisering nooit vindt.
Aanbevolen daarnaast, en door de meeste instellingen opgenomen in een jaarlijkse of afwisselende cyclus:
- Interne netwerktests — hoever een voet aan de grond werkelijk reikt, en of de segmentatie tussen de kantoor- en betaalomgeving standhoudt.
- Active Directory — ADCS-misbruik, Kerberoasting, delegatie en ACL-paden naar Domain Admin. Zo wordt een bescheiden voet aan de grond een bankbrede compromittering, en het is onzichtbaar voor externe tests.
- Cloud — escalatie in Entra ID en Azure RBAC, blootgestelde opslag en verkeerd geconfigureerde identiteiten, waar workloads naartoe zijn verhuisd.
- Assumed breach — beginnen vanaf een voet aan de grond in plaats van de perimeter, wat de vraag beantwoordt die een bestuur werkelijk stelt: hoe ver zou iemand kunnen komen?
Waar u ook kaartdata verwerkt, geldt PCI DSS-eis 11.4 parallel en overlapt die aanzienlijk — samen gescoped is het één opdracht, geen twee.
Het eindproduct
Een rapport gebouwd voor de manier waarop financiële instellingen het werkelijk gebruiken: een managementsamenvatting die uw bestuur en uw toezichthouder zonder vertaling kunnen lezen, een technisch deel met reproductiestappen, bewijs en CVSS-scores voor uw engineers, en expliciete mapping van elke bevinding naar het raamwerkcontrol waarop die betrekking heeft, zodat uw complianceteam die mapping niet zelf hoeft te bouwen.
Dan de delen die een rapport in bewijs veranderen: remediatieondersteuning terwijl u herstelt, een hertest van de gesloten bevindingen, en een attestatiebrief die vaststelt dat de test is uitgevoerd, door wie, tegen welke scope en op welke data. Alles inbegrepen. Een voorbeeldrapport toont het formaat.
Wie het uitvoert
U heeft direct met de tester te maken — geen accountmanager, geen junior die tooling draait onder de naam van een senior op de factuur, geen drie weken wachten tussen test en rapport. Voor een regulatoire deadline is die directheid meestal wat de datum haalbaar maakt.
Certificeringen, aangezien hier in financiële inkoop altijd naar gevraagd wordt: OSCP+, eCPPT, eWPT, eCIR, plus AZ-500, SC-200 en SC-300 voor het Microsoft- en Azure-deel — alle verifieerbaar via de OffSec credential wallet. Voordat ik fulltime offensief werk ging doen was ik detection engineer en CTI-analist, een nuttige achtergrond juist in deze sector: het rapport vertelt u niet alleen hoe een aanvalspad werkt, maar ook hoe het eruit zou hebben gezien in uw SIEM, en of uw monitoring het zou hebben opgemerkt.
Ik werk op afstand vanuit Amman op GMT+3, dezelfde uren en werkweek als Riyad, in het Arabisch of Engels.
Aan de slag
Laat me weten welk vergunningtype u heeft, wat in scope zit en wanneer de test afgerond moet zijn. U krijgt een vaste prijsopgave en een startdatum terug. Nadert uw jaarcyclus en wilt u eerst uw huidige externe blootstelling zien, dan kost de gratis perimeterscan een paar minuten.
Gerelateerd: penetratietesten in Saoedi-Arabië voor hoe SAMA naast NCA ECC staat, ECC control 2-11 als u ook een overheidsverplichting draagt, en het complianceoverzicht voor al het overige. Neem contact op — Arabisch is welkom.
Vragen over SAMA
Lidorganisaties onder toezicht van de Saudische centrale bank: banken, verzekeraars en herverzekeraars, financieringsmaatschappijen, kredietbureaus en betaaldienstverleners, inclusief fintechs die onder SAMA-vergunning of in haar regulatory sandbox opereren. Komt uw vergunning van SAMA, dan geldt het raamwerk voor u. Fintechs worden hier vaak door verrast: de verplichting arriveert met de vergunning, op een moment dat het securityprogramma vaak nog in opbouw is.
Onafhankelijke externe penetratietesten, minimaal jaarlijks. Dat «minimaal» doet echt werk in die zin: van een materiële wijziging aan op internet ontsloten systemen wordt doorgaans verwacht dat die een test uitlokt, ongeacht waar u in de jaarcyclus zit, en een instelling die een nieuw klantplatform lanceerde zes maanden na de jaarlijkse test en dat niet testte, krijgt een lastig gesprek. Behandel de jaarlijkse test als ondergrens en significante wijziging als een aparte trigger.
Dat de test niet uitgevoerd mag worden door de mensen die de geteste systemen bouwen of beheren. Een interne securityfunctie die los van engineering rapporteert komt dichterbij, maar het schoonste en breedst geaccepteerde antwoord is een externe partij zonder enige rol in het bouwen of draaien van de omgeving. Dit is de eis die instellingen het vaakst verkeerd krijgen, en ze ontdekken het bij de toetsing in plaats van bij de scoping — de dure volgorde.
De expliciet genoemde scope is: op internet ontsloten systemen, webapplicaties en netwerkinfrastructuur. De meeste instellingen gaan verder, en met reden: een test die bewijst dat een aanvaller de perimeter kan bereiken maar nooit vraagt wat er daarna gebeurt, beantwoordt de helft van de vraag. Het patroon dat goed werkt is jaarlijks een volledige externe en webapplicatiebeoordeling als regulatoire basislijn, met interne netwerk- en Active Directory-tests minstens om het jaar of zodra het landschap materieel verandert.
Ja, en dat is het gebruikelijke geval. U heeft doorgaans de raamwerkmapping, een GRC-functie en een relatie met internal audit al; wat u nodig heeft zijn de tests en het bewijs dat daarin past. Ik scope tegen het control dat u moet afdekken, map bevindingen daar in het rapport naar terug, en lever de hertest en attestatie die uw complianceteam moet archiveren. Ik ben geen GRC-adviesbureau en zal u geen raamwerkprogramma proberen te verkopen — het testen is het deel dat ik doe.
Jaarlijkse SAMA-test op komst?
Onafhankelijk, gescoped op het raamwerk, met de hertest en attestatie die uw complianceteam archiveert.