Testy penetracyjne NCA ECC: kontrola 2-11

Co kontrola 2-11 naprawdę mówi

Essential Cybersecurity Controls umieszczają testy penetracyjne w domenie 2, Cybersecurity Defence, w kontroli 2-11. Jej celem jest ocena skuteczności zdolności obronnych organizacji poprzez symulowany atak, aby znaleźć w infrastrukturze technicznej słabości mogące doprowadzić do naruszenia.

Kontrola rozpada się na trzy obowiązki, a organizacje rutynowo spełniają trzeci, nie spełniając dwóch pierwszych:

• Zdefiniować, udokumentować i zatwierdzić wymagania cyberbezpieczeństwa dotyczące testów penetracyjnych. To samodzielny obowiązek dokumentacyjny: potrzebne jest pisemne, zatwierdzone oświadczenie o tym, jak ustala się zakres testów, jak często są prowadzone i kto je zatwierdza.
• Wdrożyć te wymagania. Testy faktycznie się odbywają, w cyklu, który Państwo udokumentowali.
• Ustalić zakres testów tak, aby obejmował co najmniej usługi dostępne z internetu i infrastrukturę techniczną za nimi.

Praktyczna konsekwencja: podmiot, który co roku zamawia znakomity test penetracyjny, ale nigdy nie spisał i nie zatwierdził swoich wymagań dotyczących testów, nadal nie spełnia 2-11. Audytor czyta politykę i ścieżkę zatwierdzeń równie uważnie jak raport.

Pułapka sześciu miesięcy: CSCC

Jeśli którykolwiek z Państwa systemów jest sklasyfikowany jako krytyczny, Critical Systems Cybersecurity Controls stosuje się ponad ECC i podnosi wymóg testowania tych systemów do co najmniej raz na sześć miesięcy.

To najczęstszy błąd budżetowy i planistyczny w saudyjskich programach zgodności. Roczne założenie zostaje utrwalone w zakupach, klasyfikacja odbywa się później lub w innym zespole, a rozbieżność wychodzi na audycie, gdy nie ma już czasu na drugi test. Najpierw klasyfikacja, potem budowanie programu testów wokół wyniku; a jeśli część systemów jest krytyczna, a część nie, często można prowadzić mniejsze zlecenie półroczne na podzbiorze krytycznym i pełne roczne na całym środowisku, co wychodzi wyraźnie taniej niż testowanie całości dwa razy w roku.

Jak ustalić zakres, który przejdzie audyt

Minimalny zakres kontroli to usługi dostępne z internetu plus infrastruktura techniczna za nimi. To podłoga. Zakres zbudowany wyłącznie do podłogi zaprasza oczywiste pytanie audytora: jeśli Państwa analiza ekspozycji kończy się na granicy sieci, skąd wiadomo, że przyczółek na obwodzie nigdzie nie prowadzi?

Zakres, który broni się bez dyskusji:

• Sieć zewnętrzna — całe środowisko dostępne z internetu, łącznie z hostami i usługami opublikowanymi lata temu i zapomnianymi. Wprost wymagane przez kontrolę.
• Aplikacje webowe i API — uwierzytelnianie, autoryzacja, logika biznesowa, wstrzyknięcia. W praktyce infrastruktura techniczna za usługą dostępną z internetu.
• Sieć wewnętrzna — dokąd sięga przyczółek i czy segmentacja wytrzymuje pod presją.
• Active Directory — nadużycie szablonów certyfikatów ADCS, Kerberoasting, delegacja i ścieżki ACL do Domain Admin. W saudyjskim środowisku rządowym lub korporacyjnym to niemal zawsze miejsce, gdzie przyczółek na obwodzie zamienia się w pełne przejęcie, i to ta część, której ocena oparta na skanerze nigdy nie znajdzie.
• Chmura — tam, dokąd przeniosły się obciążenia, równolegle obowiązują Cloud Cybersecurity Controls, a dzierżawa wymaga tego samego podejścia: ścieżki eskalacji w Entra ID i Azure RBAC, odsłonięte magazyny, błędna konfiguracja tożsamości.

Pakiet dowodowy

Cztery artefakty, a najczęściej brakuje ostatniego:

• Dokument zatwierdzonych wymagań dotyczących testów — to ta część 2-11, która nie jest samym testem.
• Dokument zakresu pokazujący, co weszło i co nie weszło oraz dlaczego było to właściwe.
• Raport: ustalenia, oceny CVSS, kroki odtworzenia i wyraźne mapowanie do kontroli 2-11.
• Dowody naprawy i retestu — co naprawiono, kiedy, potwierdzone retestem. Ryzyka, które zdecydują się Państwo zaakceptować, wymagają zapisanej decyzji i uzasadnienia; akceptacja jest dozwolona, milczenie nie.

Pismo poświadczające, kto testował, w jakim zakresie i w jakich terminach, domyka pakiet. Każde zlecenie tutaj obejmuje raport, retest i poświadczenie standardowo, a nie jako płatne dodatki, ponieważ rzeczywistym produktem jest pakiet gotowy na audyt — sam raport nim nie jest.

Dlaczego liczy się, kto testuje

ECC nie narzuca certyfikacji tak, jak robi to NESA w ZEA, ale pytanie pojawia się na audycie i ze strony klientów publicznych przekazujących wymóg w dół łańcucha: kto to wykonał i jakie ma kwalifikacje?

Posiadam OSCP+, odnowioną formę certyfikacji OffSec, a obok eCPPT, eWPT i eCIR oraz AZ-500, SC-200 i SC-300 dla części microsoftowej i azure'owej. Wszystkie weryfikują się niezależnie przez credential wallet OffSec, a ten link powinien znaleźć się w Państwa pakiecie dowodowym obok raportu.

Pracuję z Ammanu w GMT+3 — identyczne godziny pracy jak w Rijadzie — po arabsku lub angielsku, zdalnie. Testy wewnętrzne i Active Directory prowadzone są przez VPN lub host pośredniczący wewnątrz Państwa środowiska, a wszelkie ograniczenia dotyczące miejsca przetwarzania lub przechowywania dowodów trafiają na piśmie do zasad prowadzenia prac przed rozpoczęciem testów.

Kolejne kroki

Proszę napisać, czy CSCC dotyczy któregokolwiek z Państwa systemów, jak wygląda środowisko i kiedy przypada audyt. Otrzymacie wycenę ryczałtową i datę startu. Jeśli chcecie najpierw zobaczyć produkt, jest przykładowy raport; a jeśli chcecie w kilka minut zobaczyć bieżącą ekspozycję zewnętrzną, darmowy skan obwodu zrobi to bez żadnych zobowiązań.

Więcej kontekstu: testy penetracyjne w Arabii Saudyjskiej wyjaśniają, jak łączą się ECC, CSCC i SAMA, strona SAMA omawia wymóg sektora finansowego, a przegląd zgodności porównuje wszystkie standardy. Skontaktujcie się — język arabski mile widziany.