Pentesten in de Verenigde Arabische Emiraten
De VAE stapelen meer overlappende cybersecurityregimes dan vrijwel enig ander land - federaal, per emiraat, sectorspecifiek en per vrijhandelszone - en vrijwel alle komen uit op dezelfde eis: een onafhankelijke pentest, minstens jaarlijks, met bewijs. Hier staat welke op u van toepassing is en wat de test inhoudt.
De regelgevingskaart van de VAE, kort
De VAE stapelen federale, emiraats- en sectorregels op elkaar. De meeste organisaties vallen onder meer dan één, en het bruikbare inzicht is dat één goed afgebakende test er meerdere tegelijk kan afdekken - mits bewust zo opgezet en niet per toeval.
NESA / UAE Information Assurance Standards
De federale basislijn, van toepassing op overheidsinstanties en op organisaties die zijn aangewezen als kritieke informatie-infrastructuur in energie, water, transport, telecom, financiële dienstverlening en zorg. Technisch kwetsbaarhedenbeheer vereist dat beoordelingen en pentests worden uitgevoerd en gevolgd - in de praktijk jaarlijks. Twee eisen verrassen mensen: kritieke en hoge bevindingen vereisen gedocumenteerde remediatie met hertestbewijs binnen een vastgestelde termijn, meestal 90 dagen; en auditors beoordelen de kwalificaties van de tester, met OSCP of gelijkwaardig als uitgesproken verwachting. De NESA-pagina gaat de diepte in (in het Engels).
Dubai ISR (DESC)
De Information Security Regulation van het Dubai Electronic Security Centre bindt overheidsinstanties van Dubai en de leveranciers die hen bedienen. Zij loopt naast NESA in plaats van die te vervangen, en organisaties die met de overheid van Dubai werken moeten vaak beide onderbouwen. De testeis is inhoudelijk vergelijkbaar, dus één opdracht die op beide is gescopet levert één bewijsdossier.
Financiële dienstverlening: CBUAE, DFSA, ADGM
De centrale bank van de VAE stelt de verwachtingen voor banken en financieringsmaatschappijen onshore; de DFSA reguleert bedrijven in de DIFC en de FSRA die in de ADGM. Alle drie verwachten regelmatige onafhankelijke beveiligingstests, en alle drie kijken met scepsis naar een kwetsbaarhedenscan die als pentest wordt gepresenteerd. Uitgebreid hier (in het Engels).
VARA: virtuele activa
De toezichthouder voor virtuele activa van Dubai eist van elke vergunde aanbieder minstens jaarlijks een onafhankelijke pentest onder haar Technology and Information Rulebook, met intelligence-gestuurde tests waar zij dat noodzakelijk en proportioneel acht. Het rulebook staat naast eisen aan HSM-ondersteund sleutelbeheer, minima voor cold storage en incidentmelding binnen 24 tot 72 uur naar ernst.
Zorg: ADHICS
De standaard van Abu Dhabi voor informatiebeveiliging in de zorg geldt voor zorgaanbieders en hun technologieleveranciers in het emiraat, met eisen aan beveiligingstests en bewijs naast de controls op klinische gegevens. Meer hier (in het Engels).
Gegevensbescherming
De federale PDPL, plus de afzonderlijke wetten van DIFC en ADGM, brengen beveiligingsverplichtingen overal waar persoonsgegevens worden verwerkt. Ze noemen pentesten niet met zoveel woorden, maar de norm is "passende technische maatregelen", en dat aantonen na een incident is aanzienlijk eenvoudiger met een recente onafhankelijke test in het dossier.
Eén test, meerdere verplichtingen
De dure fout in de VAE is per toezichthouder een aparte beoordeling kopen. In de meeste gevallen overlapt de technische scope vrijwel volledig - extern oppervlak, webapplicaties en API's, intern netwerk en Active Directory, cloudtenant - en wat verschilt is de koppeling en de rapportage, niet het testen.
De opdracht wordt dus één keer afgebakend tegen alles waaronder u valt, en het rapport koppelt elke bevinding aan elke toepasselijke control. De praktische scope:
- Extern netwerk - alles wat vanaf internet bereikbaar is, inclusief de servers die niemand zich herinnert te hebben gepubliceerd.
- Webapplicaties en API's - authenticatie, autorisatie, bedrijfslogica, injectie. De klantgerichte laag waar elke toezichthouder naar vraagt.
- Intern netwerk - wat een voet tussen de deur bereikt, en of uw segmentatie werkelijk standhoudt.
- Active Directory - ADCS-misbruik, Kerberoasting, delegatie en ACL-paden naar Domain Admin.
- Cloud - escalatie in Entra ID en Azure RBAC, blootgestelde opslag, identiteitsmisconfiguratie.
Voor aanbieders van diensten in virtuele activa onder VARA komt de bewaargrens erbij: wallet-infrastructuur, ondertekeningsprocessen en de operationele controls rond sleutelmateriaal - daar gebeurt het verlies, niet in de webfrontend.
De kwalificatie-eis, concreet
De meeste compliancepagina's gaan hier luchtig overheen, maar in de VAE is het ongewoon concreet: NESA-auditors beoordelen wie de test heeft uitgevoerd, en OSCP of gelijkwaardig is de verwachting. Tests uitgevoerd door iemand zonder erkende offensieve certificering worden bevraagd en soms afgewezen bij de audit.
Ik heb OSCP+ - de huidige, vernieuwde vorm van de certificering - plus eCPPT, eWPT en eCIR aan de offensieve kant, en AZ-500, SC-200 en SC-300 aan de Microsoft-securitykant, wat het Entra ID- en Azure-deel geloofwaardig maakt in plaats van generiek. Alle zijn onafhankelijk verifieerbaar in de OffSec-credentialwallet, en die link hoort naast het rapport in uw bewijsdossier.
Hoe de opdracht verloopt
Eerst scope en offerte: u noemt de verplichting, de omgeving en de deadline; u krijgt een vaste prijs en een startdatum, meestal binnen één tot twee weken. De rules of engagement worden schriftelijk afgesproken, inclusief testvensters, escalatiecontacten en alles wat uw toezichthouder voorschrijft over waar bewijs wordt verwerkt of opgeslagen.
De test duurt doorgaans één tot twee weken afhankelijk van de scope, waarbij alles wat kritiek is direct wordt gemeld in plaats van bewaard voor het eindrapport. Het rapport volgt binnen dagen: samenvatting, technische bevindingen met reproductiestappen en CVSS-scores, koppeling aan controls en geprioriteerde remediatie. Daarna een hertest van wat u heeft hersteld en een attestatiebrief - in de VAE belangrijker dan men denkt, omdat het hertestbewijs binnen 90 dagen zelf een eis is en geen extraatje.
Ik werk op afstand vanuit Amman, een uur achter Dubai, in hetzelfde weekritme als de regio, in het Arabisch of Engels. Geen lokaal kantoor, en ik beweer dat ook niet - wat u in plaats daarvan krijgt is de persoon die het werk doet, rechtstreeks, met verifieerbare kwalificaties.
Begin hier
Vertel me onder welke toezichthouder u valt en wat binnen de scope ligt. Weet u het niet zeker - volstrekt normaal bij zoveel overlappende regimes - dan lost een kort gesprek het op. Het compliance-overzicht vergelijkt de raamwerken, de gratis perimeterscan toont uw huidige externe blootstelling in minuten, en het voorbeeldrapport laat precies zien wat u zou ontvangen.
Neem contact op - vragen in het Arabisch zijn welkom, en als een indieningsdeadline het tijdpad bepaalt, zet dat in de eerste regel.
VAE: veelgestelde vragen
Grofweg: federale instanties en als kritiek aangewezen informatie-infrastructuur - energie, water, transport, telecom, financiële dienstverlening, zorg - vallen onder de Information Assurance Standards van NESA. Overheidsinstanties van Dubai en hun leveranciers vallen onder de ISR van het DESC. Banken en financieringsmaatschappijen antwoorden aan de centrale bank; DIFC-bedrijven aan de DFSA en ADGM-bedrijven aan de FSRA; Dubaise aanbieders van diensten in virtuele activa aan VARA. De zorg in Abu Dhabi valt onder ADHICS. Veel organisaties worden door twee of drie tegelijk geraakt, wat normaal geen probleem is - één goed afgebakende test kan bewijs voor alle leveren, mits daar vanaf het begin op is gescopet.
Ja. Technisch kwetsbaarhedenbeheer onder de Information Assurance Standards vereist dat kwetsbaarheidsbeoordelingen en pentests worden uitgevoerd en gevolgd, wat in de praktijk minstens jaarlijks betekent voor de betrokken instanties. Twee details tellen naast de test zelf: kritieke en hoge bevindingen vereisen gedocumenteerde remediatie met hertestbewijs binnen een vastgestelde termijn, doorgaans 90 dagen - een test zonder hertest is een onvolledig antwoord. En NESA-auditors beoordelen de kwalificaties van degene die testte, waarbij OSCP of gelijkwaardig de verwachting is.
Ja. Onder het Technology and Information Rulebook van VARA heeft elke in Dubai vergunde aanbieder van diensten in virtuele activa minstens jaarlijks een onafhankelijke pentest nodig, en VARA kan daarnaast intelligence-gestuurde tests eisen waar zij dat noodzakelijk en proportioneel acht. Het rulebook behandelt ook sleutelbeheer met HSM's, minima voor cold storage en incidentmelding binnen 24 tot 72 uur naar gelang de ernst. Voor deze aanbieders moet de scope doorgaans verder reiken dan een standaard webtest - wallet-infrastructuur, ondertekeningsprocessen en de bewaargrens dragen het werkelijke risico.
Nee. Externe tests, webapplicaties, cloud en het merendeel van intern testen worden op afstand geleverd, wat standaard is in de regio. Intern netwerk en Active Directory lopen via een VPN of een jump-host binnen uw omgeving. Waar een toezichthouder of uw eigen beleid beperkt waar gegevens worden verwerkt of bewijs wordt opgeslagen, komt dat schriftelijk in de rules of engagement vóór enige start.
Doorgaans binnen één tot twee weken na overeenstemming over de scope, sneller als een indieningsdeadline dringt. Omdat u de tester rechtstreeks inschakelt, zit er geen interne resourcewachtrij tussen handtekening en startdatum. Een typische opdracht extern plus webapplicaties duurt één tot twee weken testen, met het rapport binnen enkele dagen na afronding - het tijdpad in detail (in het Engels).
Een deadline bij NESA, ISR of VARA?
Noem de verplichting en de scope, dan krijgt u een vaste prijs en een startdatum.