Requisitos da NESA para testes de intrusão
Os Information Assurance Standards da NESA são invulgares entre os referenciais de conformidade por serem específicos em dois pontos sobre os quais a maioria é vaga: a remediação dos achados críticos tem um relógio a contar, e as certificações de quem realizou o teste são revistas. Ambos mudam a forma como deve comprar o teste.
O que a norma exige
No âmbito da gestão técnica de vulnerabilidades, os Information Assurance Standards dos Emirados exigem que as avaliações de vulnerabilidades e os testes de intrusão sejam conduzidos e acompanhados. Para as entidades abrangidas isso traduz-se, na prática, em testes anuais — mas a obrigação é um ciclo e não um evento, e as três partes avaliadas são:
- O teste — realizado, de forma independente, contra um âmbito apropriado à entidade.
- A remediação — achados críticos e altos documentados e corrigidos, com as decisões registadas onde um risco seja aceite em alternativa.
- O reteste — evidência de que as correções funcionaram, dentro de uma janela definida, tipicamente 90 dias.
As entidades que falham a NESA em testes de intrusão fizeram quase sempre a primeira parte e não as outras duas.
Dois requisitos que mudam a forma de comprar
O relógio dos 90 dias impede testar tarde
Se os achados críticos e altos têm de ser remediados e retestados dentro de 90 dias, a consequência de calendário é inevitável: um teste executado no último mês do seu ano de conformidade não deixa margem para corrigir fosse o que fosse e prová-lo. Quando o relatório chega, restam-lhe semanas, não um trimestre.
Teste com pelo menos um trimestre de folga. Quando o ambiente for grande ou o último teste tiver sido há muito, mais — porque o esforço de remediação é desconhecido até o relatório existir, e uma lista de achados mais pesada do que o esperado é exatamente o cenário que a janela foi desenhada para testar. Esta única decisão de calendário causa mais falhas da NESA do que qualquer problema técnico.
Os avaliadores revêem quem testou
Os avaliadores da NESA examinam as certificações do prestador de testes de intrusão, e a OSCP ou equivalente é a expectativa declarada. Isto é invulgarmente concreto — a maioria dos referenciais diz «devidamente qualificado» e fica por aí — e tem uma consequência comercial direta: um teste mais barato realizado por alguém sem uma certificação ofensiva reconhecida pode ser rejeitado na avaliação, o que lhe custa os honorários, a janela de remediação e o reteste.
Por isso a pergunta a fazer a qualquer prestador antes de o contratar é simples: quem realizará os testes, o que detém e posso verificá-lo? Para este trabalho a resposta é OSCP+ — a forma renovada atual da certificação — a par de eCPPT, eWPT e eCIR, mais AZ-500, SC-200 e SC-300 do lado da segurança Microsoft. Todas verificáveis de forma independente através da credential wallet da OffSec, e esse link vai para o seu dossiê de evidências ao lado do relatório.
Âmbito
O que um trabalho alinhado com a NESA cobre:
- Rede externa — todo o parque exposto à internet, incluindo os serviços publicados e esquecidos.
- Aplicações web e APIs — autenticação, autorização, lógica de negócio, injeção, e as APIs por detrás das aplicações móveis.
- Rede interna — até onde chega um ponto de apoio; se a segmentação aguenta.
- Active Directory — abuso de modelos de certificado do ADCS, Kerberoasting, delegação, caminhos de ACL até Domain Admin. Para uma entidade governamental ou uma utility dos Emirados é aqui que um pequeno ponto de apoio externo se torna um comprometimento total.
- Nuvem — escalada no Entra ID e no Azure RBAC, armazenamento exposto, configuração incorreta de identidades.
Para as infraestruturas críticas de informação em particular, a pergunta que vale a pena dimensionar deliberadamente não é apenas se o perímetro aguenta, mas até onde alguém chega quando não aguenta — que é o que uma avaliação de violação assumida mede, e o que um conselho ou um regulador realmente quer saber.
NESA e o ISR do Dubai em conjunto
Muitas organizações carregam ambos: NESA a nível federal, e a Information Security Regulation do DESC por serem uma entidade do governo do Dubai ou fornecerem uma. Os dois correm em paralelo em vez de um substituir o outro, e os seus requisitos técnicos de teste sobrepõem-se quase por inteiro.
Dimensionado deliberadamente face a ambos desde o início, um só trabalho produz evidências para os dois — os testes são os mesmos, o mapeamento difere. Dimensionado face a um e recuperado depois, acaba-se normalmente por testar duas vezes. Não custa nada dizer no dimensionamento que regimes se lhe aplicam, e é a coisa mais rentável que me pode dizer na primeira chamada.
O entregável
Um sumário executivo para a direção e para o avaliador, um corpo técnico com passos de reprodução, evidências e classificações CVSS, e o mapeamento de cada achado ao controlo aplicável para que a vossa equipa de conformidade não construa essa folha de cálculo sozinha. Depois, apoio à remediação enquanto corrigem, um reteste dos achados fechados — que é um requisito da NESA e não uma venda adicional — e uma carta de atestação a registar quem testou, com que âmbito e em que datas.
Qualquer coisa crítica é reportada no momento em que é encontrada, não guardada para o relatório. Há um relatório de exemplo se quiser ver o formato antes de se comprometer.
Questões práticas
O trabalho é remoto. Os testes externos, de aplicações web e de nuvem não precisam de nada de vós além de âmbito e autorização; os testes internos e de Active Directory decorrem sobre uma VPN ou um jump host dentro do vosso ambiente. Quando o vosso regulador ou a vossa própria política restringe onde as evidências são processadas ou armazenadas, isso entra por escrito nas regras de empenhamento antes de começar fosse o que fosse.
Estou em Amã, uma hora atrás do Dubai, a trabalhar a mesma semana que a região, em árabe ou inglês. Sem escritório nos Emirados e sem afirmar o contrário — o que obtêm é a pessoa que faz os testes, com certificações que podem verificar em menos de um minuto.
Próximos passos
Diga-me se está abrangido como entidade federal, como CII, ou através de um contrato com uma delas; o que está no âmbito; e quando cai a vossa avaliação. Orçamento fechado e data de início em resposta. Dada a janela de reteste de 90 dias, a pergunta útil a responder primeiro é quanta folga têm: se for menos de um trimestre, isso muda a sequência e devíamos falar mais cedo do que tarde.
Relacionado: testes de intrusão nos Emirados para ver como os regimes se encaixam, CBUAE, DFSA, ADGM e VARA para serviços financeiros, e a visão geral de conformidade para tudo o resto. Entre em contacto — o árabe é bem-vindo.
Perguntas sobre a NESA
As entidades do governo federal e as organizações designadas como infraestruturas críticas de informação — o que abrange energia, água, transportes, telecomunicações, serviços financeiros e saúde. Tal como com o ECC saudita, o alcance prático é maior do que o âmbito formal, porque as entidades abrangidas transferem requisitos equivalentes para os seus fornecedores por contrato. Se um organismo público dos Emirados ou uma utility lhe pediu evidências de teste de intrusão, a NESA é normalmente a razão.
As avaliações de vulnerabilidades e os testes de intrusão têm de ser conduzidos e acompanhados no âmbito da gestão técnica de vulnerabilidades, o que na prática significa pelo menos anualmente para as entidades abrangidas. A palavra acompanhados importa tanto como conduzidos: a NESA procura um ciclo gerido e evidenciado — definir âmbito, testar, remediar, retestar, registar — e não um relatório que aparece uma vez por ano e vai para uma pasta.
Os achados críticos e altos precisam de remediação documentada com evidência de um reteste dentro de um período definido, tipicamente 90 dias. A consequência prática tem a ver com os prazos: se executar o seu teste anual no último mês do seu ano de conformidade, não sobra margem para remediar e retestar dentro da janela antes de o ciclo fechar. Teste com pelo menos um trimestre de folga. É o erro de calendarização mais comum nos programas da NESA e é inteiramente evitável.
Sim — mais do que na maioria dos referenciais. Os avaliadores da NESA revêem as certificações do prestador de testes de intrusão, sendo a OSCP ou equivalente a expectativa. Os testes realizados por alguém sem uma certificação de segurança ofensiva reconhecida são questionados e por vezes rejeitados na avaliação, o que significa que o orçamento mais barato pode tornar-se o resultado mais caro. Peça a certificação e um link de verificação antes de contratar seja quem for, e coloque ambos no dossiê de evidências.
Normalmente sim. Os dois regimes correm em paralelo — NESA a nível federal, o ISR do DESC para as entidades do governo do Dubai e os seus fornecedores — e o âmbito técnico que exigem sobrepõe-se quase por completo. O que difere é o mapeamento e o reporte. Dimensione o trabalho face a ambos desde o início e obtém um teste e dois conjuntos de evidências; dimensione-o face a um e recuperar o outro depois significa normalmente testar de novo.
Avaliação NESA a aproximar-se?
Certificado OSCP+, âmbito conforme ao IAS, com as evidências de reteste que a janela de 90 dias exige.