Pentesten in Saoedi-Arabië
De meeste pentests in het Koninkrijk worden gekocht omdat een toezichthouder ze eist. De Essential Cybersecurity Controls van de NCA, de controls voor kritieke systemen en het SAMA-raamwerk schrijven elk hun eigen ritme voor - en elk verwacht bewijs dat een auditor kan lezen. Dit is wat dat werk inhoudt en hoe ik het lever.
Wat de Saoedische toezichthouders werkelijk eisen
Drie afzonderlijke regimes verplichten pentests in het Koninkrijk, en welk van toepassing is bepaalt de scope, de frequentie en het bewijs dat u moet bewaren.
NCA Essential Cybersecurity Controls (ECC)
De ECC van de National Cybersecurity Authority vormen de nationale basislijn en binden overheidsinstanties, hun opdrachtnemers en beheerders van kritieke nationale infrastructuur. Control 2-11 gaat over pentesten (pagina in het Engels): de eisen moeten gedefinieerd, gedocumenteerd en goedgekeurd zijn, ze moeten geïmplementeerd zijn, en de scope moet de internetgerichte diensten en de technische infrastructuur daarachter omvatten. Testen is periodiek, en het bewijs waar een auditor naar zoekt is de volledige cyclus - scopedocument, testrapport, remediatie, hertest - niet louter een PDF met een datum.
Critical Systems Cybersecurity Controls (CSCC)
Is een van uw systemen als kritiek geclassificeerd, dan leggen de CSCC de lat hoger: die systemen moeten minstens elke zes maanden worden getest in plaats van jaarlijks. Veel organisaties worden hierdoor verrast, omdat budget en inkoopcyclus doorgaans op één test per jaar zijn gebouwd. Classificeer vroeg, want een halfjaarlijkse cadans verandert de commerciële vorm van de opdracht volledig.
SAMA Cyber Security Framework
Van financiële instellingen onder toezicht van de Saoedische centrale bank - banken, verzekeraars, financieringsmaatschappijen, betaaldienstverleners - wordt verwacht dat ze minimaal jaarlijks onafhankelijke externe pentests uitvoeren (pagina in het Engels), over internetgerichte systemen, webapplicaties en netwerkinfrastructuur. Onafhankelijkheid is de werkzame eis: een test door het team dat het systeem bouwt of beheert voldoet niet, en een kwetsbaarhedenscan die als pentest wordt gepresenteerd evenmin.
En wat daarnaast loopt
De wet op persoonsgegevensbescherming van SDAIA brengt eigen beveiligingsverplichtingen waar persoonsgegevens worden verwerkt, de Cloud Cybersecurity Controls gelden waar workloads bij een cloudprovider staan, en grote ondernemingen leggen steeds vaker eigen leveranciersstandaarden op - de eisen van Aramco aan derden zijn het voorbeeld dat Saoedische leveranciers als eerste tegenkomen. Accepteert u kaartbetalingen, dan geldt PCI DSS-vereiste 11.4 daarbovenop; dat behandelt de PCI DSS-pagina.
Wat een test werkelijk omvat
De scope die control 2-11 en SAMA in de praktijk afdekt, in de gebruikelijke volgorde:
- Externe netwerktests - alles wat uw organisatie aan het internet blootstelt: VPN-concentrators, mail, externe toegang, vergeten stagingservers en diensten die niemand zich herinnert te hebben gepubliceerd. Expliciet binnen de scope van 2-11, en daar begint de meerderheid van de echte inbraken.
- Web- en API-tests - authenticatie, autorisatie, bedrijfslogica en injectie tegen uw klantgerichte applicaties en de API's daarachter. Expliciet genoemd in de SAMA-scope.
- Interne netwerktests - wat iemand bereikt die al een voet tussen de deur heeft: segmentatie die niet standhoudt, platte netwerken, credentials die liggen waar ze niet horen.
- Active Directory - misbruik van ADCS-certificaatsjablonen, Kerberoasting, delegatieproblemen en ACL-paden naar Domain Admin. Vrijwel elke grote Saoedische organisatie draait op AD, en daar wordt een externe voet tussen de deur een volledige compromittering.
- Cloud - escalatiepaden in Entra ID en Azure RBAC, blootgestelde opslag en identiteitsmisconfiguraties die van een cloudtenant een kortere weg maken in plaats van een barrière.
Wat u ontvangt
Een rapport geschreven voor twee doelgroepen tegelijk: een samenvatting die een bestuur of toezichthouder zonder vertaler kan volgen, en een technisch deel met reproductiestappen, bewijs en CVSS-scores waarmee uw engineers direct werken. Elke bevinding is gekoppeld aan de control die de test vereiste, zodat een auditor van verplichting naar bewijs kan lopen zonder dat u die koppeling zelf bouwt.
Remediatieondersteuning is inbegrepen in plaats van apart verkocht - vragen tijdens het herstellen worden beantwoord - net als een hertest van de bevindingen die u heeft gesloten en een attestatiebrief waarin staat dat de test is uitgevoerd, door wie, met welke scope en op welke data. Naar mijn ervaring is de attestatie het document dat bij de auditor belandt of naar de enterprise-klant gaat die om bewijs vraagt. Er is een voorbeeldrapport als u het formaat vooraf wilt zien (in het Engels).
Waarom met een onafhankelijke consultant werken
U spreekt met de persoon die test. Geen accountmanager die vragen doorgeeft, geen junior die een scanner draait onder de naam van een senior op de factuur, en geen drie weken gat tussen het einde van de test en het rapport. Bij een ECC- of SAMA-deadline is die directheid meestal het verschil tussen de datum halen en uitleggen waarom niet.
De praktische aansluiting op de Golf verdient het expliciet gezegd te worden: ik werk vanuit Amman op GMT+3 - dezelfde werktijden en werkweek als Riyad, Jeddah en Dammam - dus een vraag tijdens de test wordt dezelfde dag beantwoord. Arabisch en Engels werken beide. Ik heb OSCP+ plus eCPPT, eWPT, eCIR, AZ-500, SC-200 en SC-300, alle onafhankelijk verifieerbaar in de OffSec-credentialwallet - wat hier telt, omdat auditors steeds vaker vragen wie heeft getest en wat die persoon bezit.
Wat ik niet doe, is doen alsof ik een lokaal bedrijf ben. Ik heb geen kantoor in Riyad en zal dat niet beweren. Wat ik wel ben: een specialist die u rechtstreeks inschakelt, in uw tijdzone en uw taal, met kwalificaties die u in dertig seconden controleert.
Aan de slag
Noem de control die u moet afdekken - 2-11, een halfjaarlijkse CSCC-cyclus, een jaarlijkse SAMA-test - plus de scope en uw deadline. U krijgt een vaste prijs en een startdatum terug, geen ontdekkingstraject. Wilt u eerst iets concreets zien, dan laat de gratis perimeterscan zien wat uw externe oppervlak nu blootgeeft, en het compliance-overzicht vergelijkt de andere raamwerken.
Weet u niet welk regime geldt, dan is dat een normale vraag die een kort gesprek beslecht. Neem contact op - vragen in het Arabisch zijn welkom.
Saoedi-Arabië: veelgestelde vragen
Ja. Control 2-11 van de Essential Cybersecurity Controls gaat specifiek over pentesten en bestaat uit drie delen: de eisen moeten gedefinieerd en gedocumenteerd zijn, ze moeten goedgekeurd zijn, en ze moeten geïmplementeerd zijn. De scope moet minimaal de internetgerichte diensten en de technische infrastructuur daarachter omvatten. Testen is periodiek vereist. Valt u ook onder de Critical Systems Cybersecurity Controls, dan moeten kritieke systemen minstens elke zes maanden worden getest in plaats van jaarlijks.
Van instellingen onder toezicht van de Saoedische centrale bank wordt verwacht dat ze minimaal jaarlijks onafhankelijke externe pentests uitvoeren, over internetgerichte systemen, webapplicaties en netwerkinfrastructuur. Het zwaarstwegende woord daar is onafhankelijke: een test door het team dat het systeem heeft gebouwd of beheert voldoet niet. Voor banken, verzekeraars, financieringsmaatschappijen en betaaldienstverleners is dit een jaarlijks terugkerende verplichting, geen eenmalige actie.
Voor externe tests, webapplicaties, cloud en het grootste deel van intern testen niet - het werk gebeurt op afstand, zoals de overgrote meerderheid van de assessments in de regio. Tests van intern netwerk en Active Directory lopen via een VPN of een kleine jump-host die u beheert, en ik kan desgewenst vanaf een machine binnen uw omgeving werken. Heeft u een dataresidentie-eis die bepaalt waar bewijs wordt opgeslagen of verwerkt, meld dat bij het scopen: het komt schriftelijk in de rules of engagement.
Daar is het voor geschreven. Elk rapport bevat een managementsamenvatting, een technisch deel met reproductiestappen en CVSS-scores, de koppeling aan de control die de test vereiste, en een remediatiedeel dat zo is geschreven dat uw engineers ermee aan de slag kunnen zonder vervolgafspraak. Een hertest van de herstelde bevindingen en een attestatiebrief die bevestigt dat de test is uitgevoerd, door wie en met welke scope zijn inbegrepen - en de attestatie is meestal het document dat een auditor of klant daadwerkelijk archiveert.
Standaard in het Engels, waarmee toezichthouders en de meeste Saoedische inkoopafdelingen werken. Arabisch is op verzoek beschikbaar, en de dagelijkse communicatie tijdens de opdracht kan volledig in het Arabisch. Ik werk vanuit Amman op GMT+3, met dezelfde werkweek en dezelfde uren als Riyad - vragen tijdens de test worden dezelfde dag beantwoord, niet de volgende.
Een deadline bij NCA of SAMA?
Noem de control die u moet afdekken en de scope, dan krijgt u een vaste prijs en een datum.