Penetratietesten voor de financiële sector en virtuele activa in de VAE
Vier toezichthouders, vier vergunningen, één terugkerende eis: onafhankelijke securitytests, aantoonbaar. Voor bedrijven in virtuele activa onder VARA is de eis expliciet en jaarlijks — en de scope die ertoe doet reikt ver voorbij de webapplicatie, tot aan de custody-grens.
Vier toezichthouders, één onderliggende eis
De financiële dienstverlening in de VAE is verdeeld over onshore en twee vrije zones, plus een aparte toezichthouder voor virtuele activa. Wie u vergunt bepaalt de formulering van uw verplichting, maar de kern komt samen: onafhankelijke securitytests, regelmatig uitgevoerd, met bewijs dat u kunt overleggen.
VARA — virtuele activa in Dubai
De meest expliciete van de vier. Onder het Technology and Information Rulebook vereist elke vergunde VASP een onafhankelijke penetratietest minimaal jaarlijks, en VARA kan daarnaast intelligence-led testen eisen waar zij dat noodzakelijk en proportioneel acht. Het rulebook behandelt ook cybersecurity-governance, multi-signature sleutelbeheer ondersteund door hardware security modules, minima voor cold storage, en incidentmelding op een klok van 24 tot 72 uur naar ernst.
CBUAE — onshore banken en financieringsmaatschappijen
De centrale bank stelt securityverwachtingen voor onshore vergunde instellingen, met regelmatige onafhankelijke tests van op internet ontsloten systemen en klantgerichte applicaties als staande verwachting in plaats van eenmalig. Waar kaartdata in scope zit, geldt PCI DSS-eis 11.4 parallel en overlapt die sterk — samen gescoped is het één opdracht.
DFSA (DIFC) en FSRA (ADGM)
Beide vrijezone-toezichthouders verwachten onafhankelijke securitytests proportioneel aan het risicoprofiel van de onderneming, met jaarlijks als het interval dat ondernemingen hanteren en verdedigen. Geen van beide publiceert één universele frequentie zoals VARA, wat in de praktijk betekent dat de last om uw cyclus te rechtvaardigen bij u ligt — en «jaarlijks, plus na materiële wijziging» is de rechtvaardiging die standhoudt.
En NESA eronder
Financiële dienstverlening is aangewezen als kritieke informatie-infrastructuur, dus de Information Assurance Standards van NESA gelden vaak naast uw sectorale toezichthouder — inclusief de hertestverwachting van 90 dagen voor kritieke en hoge bevindingen, en de beoordeling van de certificeringen van de tester. Scope meteen voor beide; later bijwerken betekent doorgaans twee keer testen.
Voor VASP's: scope de custody-grens, niet de frontend
Dit is het deel waarover het de moeite waard is om direct te zijn. Een conventionele webapplicatietest tegen een trading-interface vindt authenticatie- en autorisatieproblemen, en laat het werkelijke verliesscenario volledig ongetest. Exchanges verliezen doorgaans geen activa door cross-site scripting.
De vragen die ertoe doen voor een onderneming in virtuele activa:
- De ondertekeningsstroom — wie en wat een overboeking kan autoriseren, hoe goedkeuringen technisch in plaats van procedureel worden afgedwongen, en of één gecompromitteerde beheerder of serviceaccount waarde kan verplaatsen.
- Hot/cold-scheiding — of de grens werkelijk wordt afgedwongen of slechts gedocumenteerd is, en wat eroverheen reikt.
- Omgang met sleutelmateriaal — hoe HSM-ondersteunde ondertekening wordt aangeroepen, wat die kan aanroepen, en of toegang tot het aanroepende systeem gelijkstaat aan toegang tot de sleutel.
- Omzeilen van goedkeuringen — wat iemand met gedeeltelijke toegang kan bereiken: een operations-account, een gecompromitteerd ontwikkelaarswerkstation, een geprivilegieerde leesrechten in een treasurysysteem.
- Het operationele proces — de menselijke stappen rond opnames en adres-allowlisting, waar social engineering in deze sector landt.
Dat zijn ontwerp- en procesvragen evenzeer als codevragen, en precies daarom vergen ze een tester en geen scanner. Het onderliggende platform heeft nog steeds de standaardbehandeling nodig — web en API, extern en intern netwerk, cloud — maar op de custody-grens hoort de scope zich te concentreren.
Intelligence-led testen, mocht het ter sprake komen
Intelligence-led testen — de familie waartoe TIBER-EU en CBEST behoren — begint bij echte threat intelligence over wie ondernemingen als de uwe aanvalt, en emuleert vervolgens die specifieke tegenstanders tegen productie, doorgaans zonder het verdedigende team in te lichten. Het meet detectie en respons evenzeer als kwetsbaarheid, en is langer en duurder dan een standaardtest.
VARA kan het eisen waar zij dat proportioneel acht, wat grofweg meebeweegt met de omvang van de onderneming en de activa onder custody. De meeste net vergunde VASP's beginnen met de jaarlijkse onafhankelijke test; ondernemingen met substantiële custody doen er goed aan de vraag in te plannen. Het eerlijke advies over de volgorde: eerst een standaard penetratietest. Intelligence-led testen tegen een omgeving die nooit een conventionele beoordeling heeft gehad, levert een duur rapport vol bevindingen die een goedkopere opdracht had gevonden.
Wat u krijgt
Vaste prijs afgesproken voordat er iets begint. Rules of engagement op schrift, inclusief testvensters en escalatiecontacten — wat hier meer telt dan in de meeste sectoren, omdat testen in de buurt van productie-custody-infrastructuur een afgesproken afbreekpad vergt. Kritieke bevindingen worden gemeld op het moment dat ze gevonden worden.
Het rapport bevat een managementsamenvatting voor uw bestuur en uw toezichthouder, een technisch deel met reproductiestappen en CVSS-scores, en mapping naar het rulebook of control dat de test vereiste. Dan remediatieondersteuning, een hertest van wat u heeft gesloten, en een attestatiebrief die de tester, de scope en de data noemt — doorgaans wat u overhandigt aan de toezichthouder of aan een institutionele tegenpartij die due diligence op u doet. Er is een voorbeeldrapport voor het formaat.
Wie het uitvoert
U werkt direct met de tester. Certificeringen, aangezien inkoop in de financiële sector en bij VASP's er altijd naar vraagt: OSCP+, eCPPT, eWPT, eCIR, plus AZ-500, SC-200 en SC-300 — alle verifieerbaar via de OffSec credential wallet. De achtergrond in detection engineering van vóór het offensieve werk is hier direct relevant: het rapport behandelt niet alleen hoe een aanvalspad werkt, maar ook hoe het eruit zou hebben gezien in uw monitoring, en of iets het zou hebben opgemerkt. Voor een toezichthouder die vraagt naar detectie- en responsvermogen is dat onderscheid het antwoord.
Op afstand vanuit Amman, een uur achter Dubai, dezelfde werkweek, in het Arabisch of Engels.
Volgende stappen
Laat me weten welke vergunning u heeft, hoe het platform eruitziet, en of custody-infrastructuur in scope zit. Vaste prijsopgave en startdatum terug. Bent u net vergund en probeert u uit te zoeken wat uw eerste test werkelijk zou moeten dekken, dan is dat een kort en nuttig gesprek — neem contact op.
Gerelateerd: penetratietesten in de VAE, NESA-eisen, en het complianceoverzicht.
Vragen over de financiële sector in de VAE
Onder VARA's Technology and Information Rulebook moet elke in Dubai vergunde aanbieder van diensten in virtuele activa minimaal jaarlijks een onafhankelijke penetratietest ondergaan, en VARA kan daarnaast intelligence-led testen eisen waar zij dat noodzakelijk en proportioneel acht. Het rulebook staat naast eisen over governance van het cybersecurityprogramma, multi-signature sleutelbeheer ondersteund door HSM's, minima voor cold storage, en incidentmelding binnen 24 tot 72 uur afhankelijk van de ernst. De testverplichting is niet het hele rulebook, maar wel het deel dat een externe partij vergt.
Intelligence-led testen — het model achter TIBER-EU en CBEST — begint bij echte threat intelligence over wie bedrijven als het uwe daadwerkelijk aanvalt, en simuleert vervolgens die specifieke tegenstanders tegen productie, meestal zonder dat het verdedigende team het weet. Het is langer, duurder en onthullender dan een standaard penetratietest. VARA kan het eisen waar zij dat proportioneel acht, wat in de praktijk meebeweegt met de omvang van de onderneming en de activa onder custody. De meeste net vergunde VASP's beginnen met de jaarlijkse onafhankelijke test; ondernemingen met substantiële custody mogen de vraag vroeg of laat verwachten.
Zowel de DFSA in de DIFC als de FSRA in ADGM verwachten regelmatige onafhankelijke securitytests, proportioneel aan het risicoprofiel van de onderneming, in plaats van één universeel interval te publiceren zoals VARA doet. Jaarlijks is de norm die ondernemingen hanteren en verdedigen, met extra tests na materiële wijziging. De praktische verwachting in beide vrije zones is dezelfde als onshore: onafhankelijke tests, gedocumenteerde remediatie, en bewijs dat u op verzoek kunt overleggen.
Vrijwel zeker, en eerder dan de meeste oprichters verwachten. De verplichting arriveert met de vergunning in plaats van met de schaal, waardoor een onderneming in een sandbox of met een verse vergunning die draagt op precies het moment dat het securityprogramma het minst volwassen is. De nuttige blik is dat de eerste test goedkoper en veel minder pijnlijk is wanneer het platform klein is — en de bevindingen zijn dan nog die u architectonisch kunt oplossen in plaats van omheen te patchen.
Ja, en voor een VASP is dat waar de scope zich op zou moeten concentreren. Een webapplicatietest op de trading-frontend laat het werkelijke verliesscenario ongetest. De vragen die het beantwoorden waard zijn gaan over de ondertekeningsstroom, de scheiding tussen hot- en cold-infrastructuur, wie en wat een overboeking kan autoriseren, hoe goedkeuringen omzeild kunnen worden door iemand met gedeeltelijke toegang, en of het operationele proces rond sleutelmateriaal een gecompromitteerde beheerder overleeft. Dat zijn ontwerp- en procesvragen evenzeer als codevragen, en daarom vergen ze een mens en geen scanner.
Vergund door VARA, DFSA, ADGM of CBUAE?
Onafhankelijke tests gescoped op het rulebook — inclusief de custody-grens, niet alleen de frontend.