Testy penetracyjne dla finansów i aktywów wirtualnych w ZEA
Czterech regulatorów, cztery licencje, jeden powtarzalny wymóg: niezależne testy bezpieczeństwa, udokumentowane. Dla firm obsługujących aktywa wirtualne pod VARA wymóg jest wyraźny i coroczny — a zakres, który ma znaczenie, sięga daleko poza aplikację webową, aż do granicy przechowywania aktywów.
Czterech regulatorów, jeden wymóg u podstaw
Usługi finansowe w ZEA dzielą się pomiędzy obszar lądowy i dwie strefy wolnocłowe, plus osobny regulator aktywów wirtualnych. To, kto Państwa licencjonuje, decyduje o brzmieniu obowiązku, ale istota jest zbieżna: niezależne testy bezpieczeństwa, prowadzone regularnie, z dowodami, które można przedstawić.
VARA — aktywa wirtualne w Dubaju
Najbardziej wyraźny z czterech. Zgodnie z Technology and Information Rulebook każdy licencjonowany VASP wymaga niezależnego testu penetracyjnego co najmniej raz w roku, a VARA może dodatkowo wymagać testów sterowanych wywiadem tam, gdzie uzna to za konieczne i proporcjonalne. Rulebook obejmuje także nadzór nad cyberbezpieczeństwem, zarządzanie kluczami wielopodpisowymi w oparciu o sprzętowe moduły bezpieczeństwa, minima zimnego przechowywania oraz zgłaszanie incydentów w zegarze 24 do 72 godzin według istotności.
CBUAE — banki lądowe i firmy finansowe
Bank Centralny ustala oczekiwania bezpieczeństwa dla instytucji licencjonowanych na lądzie, gdzie regularne niezależne testy systemów dostępnych z internetu i aplikacji klientowskich są oczekiwaniem stałym, a nie jednorazowym. Gdy w zakresie są dane kartowe, równolegle obowiązuje wymaganie 11.4 PCI DSS i mocno się pokrywa — objęte wspólnym zakresem to jedno zlecenie.
DFSA (DIFC) i FSRA (ADGM)
Obaj regulatorzy stref wolnocłowych oczekują niezależnych testów bezpieczeństwa proporcjonalnych do profilu ryzyka firmy, przy czym rocznie to interwał, który firmy przyjmują i bronią. Żaden nie publikuje jednej uniwersalnej częstotliwości jak VARA, co w praktyce oznacza, że ciężar uzasadnienia Państwa cyklu spoczywa na Państwu — a uzasadnieniem, które się broni, jest „rocznie, plus po istotnej zmianie".
A pod spodem NESA
Usługi finansowe są wyznaczone jako krytyczna infrastruktura informacyjna, więc Information Assurance Standards NESA często obowiązują obok Państwa regulatora sektorowego — wraz z oczekiwaniem retestu w 90 dni dla ustaleń krytycznych i wysokich oraz weryfikacją kwalifikacji testera. Ustalcie zakres od razu pod oba; uzupełnianie później zwykle oznacza dwukrotne testowanie.
Dla VASP: obejmijcie zakresem granicę przechowywania, nie front
To ta część, co do której warto być bezpośrednim. Konwencjonalny test aplikacji webowej wobec interfejsu handlowego znajdzie problemy uwierzytelniania i autoryzacji, a rzeczywisty scenariusz straty pozostawi całkowicie nieprzetestowany. Giełdy zazwyczaj nie tracą aktywów przez cross-site scripting.
Pytania, które mają znaczenie dla firmy aktywów wirtualnych:
- Przepływ podpisu — kto i co może autoryzować przelew, jak zatwierdzenia są egzekwowane technicznie, a nie proceduralnie, i czy jeden skompromitowany administrator albo konto serwisowe może przesunąć wartość.
- Rozdzielenie gorące/zimne — czy granica jest naprawdę egzekwowana, czy jedynie udokumentowana, i co ją przekracza.
- Obsługa materiału kluczowego — jak wywoływane jest podpisywanie oparte na HSM, co może je wywołać i czy dostęp do systemu wywołującego jest równoznaczny z dostępem do klucza.
- Obejście zatwierdzeń — co może osiągnąć ktoś z dostępem częściowym: konto operacyjne, skompromitowana stacja robocza dewelopera, uprzywilejowany odczyt w systemie skarbowym.
- Proces operacyjny — ludzkie kroki wokół wypłat i list dozwolonych adresów; tam właśnie w tym sektorze ląduje socjotechnika.
To pytania projektowe i procesowe w równym stopniu co kodowe, i dokładnie dlatego wymagają testera, a nie skanera. Platforma u podstaw nadal potrzebuje standardowego podejścia — web i API, sieć zewnętrzna i wewnętrzna, chmura — ale to na granicy przechowywania powinien skupić się zakres.
Testy sterowane wywiadem, gdyby temat się pojawił
Testy sterowane wywiadem — rodzina obejmująca TIBER-EU i CBEST — zaczynają się od rzeczywistych informacji o tym, kto atakuje firmy takie jak Państwa, a następnie emulują tych konkretnych przeciwników wobec produkcji, zwykle bez informowania zespołu broniącego. Mierzą detekcję i reakcję w równym stopniu co podatność i są dłuższe oraz droższe niż test standardowy.
VARA może ich wymagać tam, gdzie uzna to za proporcjonalne, co z grubsza podąża za wielkością firmy i aktywami w przechowywaniu. Większość nowo licencjonowanych VASP zaczyna od corocznego testu niezależnego; firmy z istotnym przechowywaniem powinny zaplanować pojawienie się tego pytania. Uczciwa rada co do kolejności: najpierw standardowy test penetracyjny. Test sterowany wywiadem wobec środowiska, które nigdy nie miało konwencjonalnej oceny, daje drogi raport pełen ustaleń, które znalazłoby tańsze zlecenie.
Co Państwo otrzymują
Cena ryczałtowa uzgodniona przed rozpoczęciem czegokolwiek. Pisemne zasady prowadzenia prac, w tym okna testowe i kontakty eskalacyjne — co ma tu większe znaczenie niż w większości sektorów, ponieważ testowanie w pobliżu produkcyjnej infrastruktury przechowywania wymaga uzgodnionej ścieżki przerwania. Ustalenia krytyczne zgłaszane są w momencie znalezienia.
Raport zawiera streszczenie dla Państwa zarządu i regulatora, część techniczną z krokami odtworzenia i ocenami CVSS oraz mapowanie do rulebooka lub kontroli, która wymagała testu. Następnie wsparcie przy naprawie, retest tego, co Państwo zamknęli, i pismo poświadczające wskazujące testera, zakres i terminy — to zwykle dokument, który przekazują Państwo regulatorowi albo instytucjonalnemu kontrahentowi prowadzącemu due diligence. Format pokazuje przykładowy raport.
Kto wykonuje
Pracują Państwo bezpośrednio z testerem. Kwalifikacje, bo zakupy w sektorze finansowym i u VASP zawsze o nie pytają: OSCP+, eCPPT, eWPT, eCIR, a także AZ-500, SC-200 i SC-300 — wszystkie weryfikowalne przez credential wallet OffSec. Zaplecze w inżynierii detekcji sprzed pracy ofensywnej jest tu bezpośrednio istotne: raport obejmuje nie tylko to, jak działa ścieżka ataku, ale też jak wyglądałaby w Państwa monitoringu i czy cokolwiek by ją wychwyciło. Dla regulatora pytającego o zdolność detekcji i reakcji to rozróżnienie jest odpowiedzią.
Zdalnie z Ammanu, godzinę za Dubajem, ten sam tydzień roboczy, po arabsku lub angielsku.
Kolejne kroki
Proszę napisać, jaką mają Państwo licencję, jak wygląda platforma i czy infrastruktura przechowywania wchodzi w zakres. W odpowiedzi wycena ryczałtowa i data startu. Jeśli są Państwo świeżo licencjonowani i próbują ustalić, co powinien faktycznie obejmować pierwszy test, to krótka i użyteczna rozmowa — skontaktujcie się.
Powiązane: testy penetracyjne w ZEA, wymagania NESA oraz przegląd zgodności.
Pytania o finanse w ZEA
Zgodnie z Technology and Information Rulebook wydanym przez VARA każdy licencjonowany w Dubaju dostawca usług w zakresie aktywów wirtualnych musi przechodzić niezależny test penetracyjny co najmniej raz w roku, a VARA może dodatkowo wymagać testów sterowanych wywiadem tam, gdzie uzna to za konieczne i proporcjonalne. Rulebook sąsiaduje z wymaganiami dotyczącymi nadzoru nad programem cyberbezpieczeństwa, zarządzania kluczami wielopodpisowymi w oparciu o HSM, minimów zimnego przechowywania oraz zgłaszania incydentów w ciągu 24 do 72 godzin w zależności od istotności. Obowiązek testowania to nie cały rulebook, ale ta jego część, która wymaga podmiotu zewnętrznego.
Testy sterowane wywiadem — model stojący za TIBER-EU i CBEST — zaczynają się od rzeczywistych informacji o tym, kto faktycznie atakuje firmy takie jak Państwa, a następnie symulują tych konkretnych przeciwników wobec produkcji, zwykle bez wiedzy zespołu broniącego. Są dłuższe, droższe i bardziej odkrywcze niż standardowy test penetracyjny. VARA może ich wymagać tam, gdzie uzna to za proporcjonalne, co w praktyce podąża za wielkością firmy i aktywami w przechowywaniu. Większość nowo licencjonowanych VASP zaczyna od corocznego testu niezależnego; firmy z istotnym przechowywaniem powinny spodziewać się tego pytania prędzej czy później.
Zarówno DFSA w DIFC, jak i FSRA w ADGM oczekują regularnych niezależnych testów bezpieczeństwa proporcjonalnych do profilu ryzyka firmy, zamiast publikować jeden uniwersalny interwał, jak robi to VARA. Rocznie to norma, którą firmy przyjmują i bronią, z dodatkowymi testami po istotnej zmianie. Praktyczne oczekiwanie w obu strefach wolnocłowych jest takie samo jak na lądzie: niezależne testy, udokumentowana naprawa i dowody, które można przedstawić na żądanie.
Niemal na pewno i wcześniej, niż spodziewa się większość założycieli. Obowiązek przychodzi wraz z licencją, a nie ze skalą, więc firma w piaskownicy albo świeżo licencjonowana niesie go dokładnie na etapie, gdy program bezpieczeństwa jest najmniej dojrzały. Użyteczne ujęcie: pierwszy test jest tańszy i znacznie mniej bolesny, gdy platforma jest mała — a ustalenia są jeszcze tymi, które można naprawić architektonicznie, zamiast je obchodzić łatkami.
Tak, a dla VASP to właśnie tam powinien skupić się zakres. Test aplikacji webowej na froncie handlowym pozostawia rzeczywisty scenariusz straty nieprzetestowany. Pytania warte odpowiedzi dotyczą przepływu podpisu, rozdzielenia infrastruktury gorącej i zimnej, kto i co może autoryzować przelew, jak zatwierdzenia mogą zostać obejście przez kogoś z dostępem częściowym oraz czy proces operacyjny wokół materiału kluczowego przetrwa skompromitowanego administratora. To pytania projektowe i procesowe w równym stopniu co kodowe, dlatego wymagają człowieka, a nie skanera.
Licencja VARA, DFSA, ADGM czy CBUAE?
Niezależne testy w zakresie rulebooka — wraz z granicą przechowywania, nie tylko frontem.