Testes de intrusão para finanças e ativos virtuais nos Emirados
Quatro reguladores, quatro licenças, um requisito recorrente: testes de segurança independentes, evidenciados. Para as firmas de ativos virtuais sob a VARA o requisito é explícito e anual — e o âmbito que importa vai bastante para além da aplicação web, até à fronteira da custódia.
Quatro reguladores, um requisito de fundo
Os serviços financeiros dos Emirados repartem-se entre onshore e duas zonas francas, mais um regulador dedicado aos ativos virtuais. Qual deles vos licencia decide a redação da vossa obrigação, mas a substância converge: testes de segurança independentes, realizados com regularidade, com evidências que possam apresentar.
VARA — ativos virtuais do Dubai
O mais explícito dos quatro. Ao abrigo do Technology and Information Rulebook, todo o VASP licenciado requer um teste de intrusão independente pelo menos anual, e a VARA pode exigir adicionalmente testes dirigidos por inteligência onde o julgue necessário e proporcionado. O rulebook cobre também governação de cibersegurança, gestão de chaves multiassinatura suportada por módulos de segurança de hardware, mínimos de armazenamento a frio e notificação de incidentes num relógio de 24 a 72 horas por gravidade.
CBUAE — bancos e sociedades financeiras onshore
O Banco Central fixa expectativas de segurança para as instituições licenciadas onshore, com testes independentes regulares dos sistemas expostos à internet e das aplicações voltadas ao cliente como expectativa permanente e não pontual. Onde haja dados de cartão no âmbito, o requisito 11.4 do PCI DSS aplica-se em paralelo e sobrepõe-se fortemente — dimensionados em conjunto, é um só trabalho.
DFSA (DIFC) e FSRA (ADGM)
Ambos os reguladores de zona franca esperam testes de segurança independentes proporcionados ao perfil de risco da firma, sendo o anual o intervalo que as firmas adotam e defendem. Nenhum publica uma frequência universal única como faz a VARA, o que na prática significa que o ónus de justificar o vosso ciclo recai sobre vós — e «anual, mais após alteração material» é a justificação que se aguenta.
E a NESA por baixo
Os serviços financeiros estão designados infraestrutura crítica de informação, pelo que os Information Assurance Standards da NESA se aplicam frequentemente a par do vosso regulador setorial — incluindo a sua expectativa de reteste a 90 dias para achados críticos e altos, e a sua revisão das certificações de quem testa. Dimensionem para ambos de uma vez; recuperar depois significa normalmente testar duas vezes.
Para os VASP: dimensionem a fronteira da custódia, não o front end
É a parte sobre a qual convém ser direto. Um teste convencional de aplicação web contra uma interface de negociação encontrará problemas de autenticação e autorização, e deixará o verdadeiro cenário de perda inteiramente por testar. As exchanges normalmente não perdem ativos por causa de cross-site scripting.
As perguntas que importam para uma firma de ativos virtuais:
- O fluxo de assinatura — quem e o que pode autorizar uma transferência, como as aprovações são impostas tecnicamente e não apenas por procedimento, e se um único administrador ou conta de serviço comprometida pode mover valor.
- Separação quente/fria — se a fronteira está genuinamente imposta ou apenas documentada, e o que a atravessa.
- Manuseamento do material de chaves — como é invocada a assinatura suportada por HSM, o que a pode invocar, e se o acesso ao sistema invocador equivale ao acesso à chave.
- Contorno de aprovações — o que pode conseguir alguém com acesso parcial: uma conta de operações, um posto de trabalho de programação comprometido, uma leitura privilegiada num sistema de tesouraria.
- O processo operacional — os passos humanos em torno dos levantamentos e das listas de endereços permitidos, que é onde a engenharia social aterra neste setor.
São perguntas de desenho e de processo tanto como de código, e é exatamente por isso que precisam de alguém que teste e não de um scanner. A plataforma subjacente continua a precisar do tratamento padrão — web e API, rede externa e interna, nuvem — mas é na fronteira da custódia que o âmbito deve concentrar-se.
Testes dirigidos por inteligência, caso surjam
Os testes dirigidos por inteligência — a família que inclui o TIBER-EU e o CBEST — partem de inteligência de ameaças real sobre quem ataca firmas como a vossa, e depois emulam esses adversários concretos contra a produção, tipicamente sem avisar a equipa defensora. Medem deteção e resposta tanto como vulnerabilidade, e são mais longos e caros do que um teste padrão.
A VARA pode exigi-los quando o considerar proporcionado, o que acompanha em traços largos a dimensão da firma e os ativos sob custódia. A maioria dos VASP recém-licenciados começa com o teste independente anual; as firmas com custódia significativa devem planear a chegada da pergunta. O conselho honesto sobre a sequência: primeiro um teste de intrusão padrão. Testes dirigidos por inteligência contra um ambiente que nunca teve uma avaliação convencional produzem um relatório caro cheio de achados que um trabalho mais barato teria apanhado.
O que obtêm
Preço fechado acordado antes de começar fosse o que fosse. Regras de empenhamento por escrito, incluindo janelas de teste e contactos de escalamento — o que aqui importa mais do que na maioria dos setores, porque testar perto de infraestrutura de custódia em produção precisa de uma via de interrupção acordada. Os achados críticos são reportados no momento em que são encontrados.
O relatório traz um sumário executivo para o vosso conselho e o vosso regulador, um corpo técnico com passos de reprodução e classificações CVSS, e o mapeamento ao rulebook ou controlo que exigiu o teste. Depois, apoio à remediação, um reteste do que tiverem fechado e uma carta de atestação a nomear quem testou, o âmbito e as datas — que é tipicamente o que entregam ao regulador ou a uma contraparte institucional que vos está a fazer diligência. Há um relatório de exemplo para o formato.
Quem o realiza
Trabalham diretamente com quem testa. Certificações, já que as compras do setor financeiro e dos VASP perguntam sempre: OSCP+, eCPPT, eWPT, eCIR, mais AZ-500, SC-200 e SC-300 — todas verificáveis através da credential wallet da OffSec. A bagagem em engenharia de deteção anterior ao trabalho ofensivo é diretamente relevante aqui: o relatório cobre não só como funciona um caminho de ataque, mas que aspeto teria tido na vossa monitorização e se alguma coisa o teria apanhado. Para um regulador que pergunta sobre capacidade de deteção e resposta, essa distinção é a resposta.
Remotamente a partir de Amã, uma hora atrás do Dubai, a mesma semana de trabalho, em árabe ou inglês.
Próximos passos
Diga-me que licença têm, como é a plataforma e se a infraestrutura de custódia está no âmbito. Orçamento fechado e data de início em resposta. Se foram recém-licenciados e estão a tentar perceber o que o vosso primeiro teste deve realmente cobrir, é uma conversa breve e útil — entre em contacto.
Relacionado: testes de intrusão nos Emirados, requisitos da NESA, e a visão geral de conformidade.
Perguntas sobre finanças nos Emirados
Ao abrigo do Technology and Information Rulebook da VARA, todo o prestador de serviços de ativos virtuais licenciado no Dubai tem de ser submetido a um teste de intrusão independente pelo menos anualmente, e a VARA pode ainda exigir testes dirigidos por inteligência onde o considere necessário e proporcionado. O rulebook convive com requisitos sobre governação do programa de cibersegurança, gestão de chaves multiassinatura suportada por HSM, mínimos de armazenamento a frio e notificação de incidentes em 24 a 72 horas conforme a gravidade. A obrigação de testes não é todo o rulebook, mas é a parte que precisa de uma parte externa.
Os testes dirigidos por inteligência — o modelo por detrás do TIBER-EU e do CBEST — partem de inteligência de ameaças real sobre quem efetivamente ataca firmas como a vossa, e depois simulam esses adversários concretos contra a produção, normalmente sem que a equipa defensora saiba. São mais longos, mais caros e mais reveladores do que um teste de intrusão padrão. A VARA pode exigi-los quando o julgar proporcionado, o que na prática acompanha a dimensão da firma e os ativos sob custódia. A maioria dos VASP recém-licenciados começa com o teste independente anual; as firmas com custódia significativa devem contar com a pergunta mais cedo ou mais tarde.
Tanto a DFSA no DIFC como a FSRA na ADGM esperam testes de segurança independentes regulares, proporcionados ao perfil de risco da firma, em vez de publicarem um intervalo universal único como faz a VARA. O anual é a norma que as firmas adotam e defendem, com testes adicionais após alteração material. A expectativa prática em ambas as zonas francas é a mesma que onshore: testes independentes, remediação documentada e evidências que possam apresentar quando solicitadas.
Quase de certeza, e mais cedo do que a maioria dos fundadores espera. A obrigação chega com a licença e não com a escala, pelo que uma firma em sandbox ou recém-licenciada carrega-a exatamente na fase em que o programa de segurança está menos maduro. O enquadramento útil é que o primeiro teste é mais barato e muito menos doloroso quando a plataforma é pequena — e os achados são ainda aqueles que se podem corrigir arquitetonicamente em vez de contornar com remendos.
Sim, e para um VASP é aí que o âmbito deve concentrar-se. Um teste de aplicação web sobre o front end de negociação deixa por testar o cenário real de perda. As perguntas que vale a pena responder são sobre o fluxo de assinatura, a separação entre infraestrutura quente e fria, quem e o que pode autorizar uma transferência, como as aprovações podem ser contornadas por alguém com acesso parcial, e se o processo operacional em torno do material de chaves sobrevive a um administrador comprometido. São perguntas de desenho e de processo tanto como de código, e é por isso que precisam de uma pessoa e não de um scanner.
Licenciados pela VARA, DFSA, ADGM ou CBUAE?
Testes independentes com o âmbito do rulebook — incluindo a fronteira da custódia, não apenas o front end.