Teste de intrusão na Arábia Saudita
A maioria dos testes de intrusão no Reino é contratada porque um regulador os exige. Os Essential Cybersecurity Controls da NCA, os controles de sistemas críticos e o framework da SAMA impõem cada um o seu próprio calendário — e cada um espera evidências que um auditor consiga ler. Isto é o que esse trabalho envolve e como eu o entrego.
O que os reguladores sauditas realmente exigem
Três regimes distintos obrigam a testes de intrusão no Reino, e qual deles se aplica define o escopo, a frequência e as evidências que você precisa manter.
NCA Essential Cybersecurity Controls (ECC)
Os ECC da National Cybersecurity Authority são a base nacional e obrigam órgãos públicos, seus contratados e operadores de infraestrutura nacional crítica. O controle 2-11 trata de teste de intrusão (página em inglês): os requisitos precisam ser definidos, documentados e aprovados, precisam ser implementados, e o escopo precisa cobrir os serviços expostos à Internet e a infraestrutura técnica por trás deles. O teste é periódico, e a evidência que um auditor procura é o ciclo completo — documento de escopo, relatório, remediação, reteste — e não um PDF com data.
Critical Systems Cybersecurity Controls (CSCC)
Se algum dos seus sistemas for classificado como crítico, os CSCC elevam o nível: esses sistemas precisam ser testados pelo menos a cada seis meses em vez de anualmente. Isso surpreende muitas organizações, porque orçamento e ciclo de compras costumam ser montados sobre um teste por ano. Classifique cedo, porque uma cadência semestral muda inteiramente a forma comercial do trabalho.
SAMA Cyber Security Framework
Espera-se que instituições financeiras supervisionadas pelo banco central saudita — bancos, seguradoras, financeiras, provedores de pagamento — realizem testes de intrusão externos independentes no mínimo anuais (página em inglês), cobrindo sistemas expostos à Internet, aplicações web e infraestrutura de rede. A independência é o requisito operante: um teste feito pela equipe que constrói ou opera o sistema não o satisfaz, e um scan de vulnerabilidades apresentado como teste de intrusão também não.
E o que corre em paralelo
A lei de proteção de dados pessoais da SDAIA traz obrigações próprias de segurança onde haja tratamento de dados pessoais, os Cloud Cybersecurity Controls se aplicam onde as cargas de trabalho estiverem em um provedor de nuvem, e grandes empresas impõem cada vez mais seus próprios padrões a fornecedores — os requisitos da Aramco para terceiros são o exemplo que os fornecedores sauditas encontram primeiro. Se você aceita pagamentos com cartão, o requisito 11.4 do PCI DSS se soma a tudo isso; está tratado na página de PCI DSS.
O que um teste realmente cobre
O escopo que atende ao controle 2-11 e à SAMA na prática, na ordem usual:
- Testes de rede externa - tudo o que sua organização expõe à Internet: concentradores VPN, e-mail, acesso remoto, servidores de homologação esquecidos e serviços que ninguém lembra ter publicado. Explicitamente no escopo do 2-11, e onde começa a maioria das invasões reais.
- Testes web e de API - autenticação, autorização, lógica de negócio e injeção contra suas aplicações voltadas ao cliente e as APIs por trás delas. Citado no escopo da SAMA.
- Testes de rede interna - o que alcança quem já tem um ponto de apoio: segmentação que não se sustenta, redes planas, credenciais guardadas onde não deveriam.
- Active Directory - abuso de modelos de certificado ADCS, Kerberoasting, problemas de delegação e caminhos de ACL até Domain Admin. Quase toda grande organização saudita roda sobre AD, e é ali que um ponto de apoio externo vira um comprometimento completo.
- Nuvem - caminhos de escalada no Entra ID e no Azure RBAC, armazenamento exposto e erros de configuração de identidade que transformam um tenant em atalho em vez de barreira.
O que você recebe
Um relatório escrito para dois públicos ao mesmo tempo: um resumo executivo que um conselho ou um regulador acompanha sem tradutor, e um corpo técnico com passos de reprodução, evidências e pontuações CVSS com o qual seus engenheiros trabalham diretamente. Cada achado é vinculado ao controle que motivou o teste, para que um auditor consiga ir da obrigação à evidência sem que você construa esse mapeamento.
O apoio à remediação está incluído em vez de vendido à parte — dúvidas durante as correções são respondidas — assim como um reteste dos achados que você fechou e uma carta de atestação informando que o teste foi realizado, por quem, com que escopo e em quais datas. Pela minha experiência, a atestação é o documento que chega ao auditor ou ao cliente corporativo que pede comprovação. Há um relatório de exemplo se quiser ver o formato antes de fechar (em inglês).
Por que trabalhar com um consultor independente
Você fala com quem faz o teste. Sem gerente de contas repassando perguntas, sem um júnior rodando um scanner sob o nome de um sênior na fatura, e sem três semanas de intervalo entre o fim do teste e a chegada do relatório. Diante de um prazo do ECC ou da SAMA, essa proximidade costuma ser a diferença entre cumprir a data e explicar por que não cumpriu.
O encaixe prático com o Golfo merece ser dito claramente: trabalho desde Amã em GMT+3 — mesmos horários e mesma semana de trabalho de Riade, Jidá e Dammam — então uma dúvida levantada durante o teste é respondida no mesmo dia. Árabe e inglês funcionam igualmente. Tenho OSCP+ junto com eCPPT, eWPT, eCIR, AZ-500, SC-200 e SC-300, todas verificáveis de forma independente na carteira de credenciais da OffSec — o que importa aqui, porque auditores perguntam cada vez mais quem realizou o teste e o que essa pessoa possui.
O que eu não farei é fingir ser uma empresa local. Não tenho escritório em Riade e não vou alegar que tenho. O que eu sou: um especialista que você contrata diretamente, no seu fuso e no seu idioma, com credenciais verificáveis em trinta segundos.
Como começar
Diga-me qual controle precisa atender — 2-11, um ciclo semestral de CSCC, um teste anual da SAMA — além do escopo e do seu prazo. Você recebe uma proposta de preço fechado e uma data de início, não um processo de descoberta. Se preferir ver algo concreto primeiro, o scan de perímetro gratuito mostra o que sua superfície externa expõe hoje, e a visão geral de conformidade compara as demais normas.
Se não tiver certeza de qual regime se aplica, é uma dúvida normal e uma conversa curta resolve. Entre em contato — consultas em árabe são bem-vindas.
Arábia Saudita: perguntas frequentes
Sim. O controle 2-11 dos Essential Cybersecurity Controls trata especificamente de teste de intrusão e tem três partes: os requisitos precisam ser definidos e documentados, precisam ser aprovados e precisam ser implementados. O escopo precisa cobrir no mínimo os serviços expostos à Internet e a infraestrutura técnica por trás deles. O teste é exigido periodicamente. Se você também estiver sujeito aos Critical Systems Cybersecurity Controls, os sistemas críticos precisam ser testados pelo menos a cada seis meses em vez de anualmente.
Espera-se que as instituições supervisionadas pelo banco central saudita realizem testes de intrusão externos independentes no mínimo anualmente, cobrindo sistemas expostos à Internet, aplicações web e infraestrutura de rede. A palavra de maior peso ali é independentes: um teste feito pela equipe que construiu ou opera o sistema não atende ao requisito. Para bancos, seguradoras, financeiras e provedores de pagamento, é uma obrigação anual recorrente, não algo pontual.
Para testes externos, aplicações web, nuvem e a maior parte dos testes internos, não — o trabalho é remoto, que é como a grande maioria das avaliações é entregue na região. Testes de rede interna e Active Directory são feitos por VPN ou um pequeno host de salto que você controla, e posso trabalhar a partir de uma máquina dentro do seu ambiente se sua política exigir. Se houver requisito de residência de dados limitando onde evidências são armazenadas ou processadas, informe no escopo: isso entra por escrito nas regras de engajamento.
É para isso que ele é escrito. Cada relatório traz um resumo executivo para a diretoria, um corpo técnico com passos de reprodução e pontuações CVSS, o mapeamento para o controle que motivou o teste e uma seção de remediação escrita para que seus engenheiros atuem sem precisar de uma ligação adicional. Estão incluídos o reteste dos achados corrigidos e uma carta de atestação confirmando que o teste foi realizado, por quem e com que escopo — e a atestação costuma ser o documento que o auditor ou o cliente de fato arquiva.
Em inglês por padrão, que é o idioma dos reguladores e da maior parte das áreas de compras sauditas. Árabe está disponível mediante pedido, e a comunicação do dia a dia durante o trabalho pode ser inteiramente em árabe. Trabalho desde Amã em GMT+3, com a mesma semana e os mesmos horários de Riade — perguntas durante o teste são respondidas no mesmo dia, não no seguinte.
Tem prazo com a NCA ou a SAMA?
Diga-me qual controle precisa atender e o escopo, e você recebe preço fechado e data.