Teste de intrusão nos Emirados Árabes Unidos
Os EAU acumulam mais regimes de cibersegurança sobrepostos do que quase qualquer outro país — federais, de emirado, setoriais e de zona franca — e quase todos desembocam no mesmo requisito: um teste de intrusão independente, no mínimo anual, com evidências. Aqui está qual se aplica a você e o que o teste envolve.
O mapa regulatório dos EAU, em resumo
Os EAU empilham regras federais, de emirado e setoriais. A maioria das organizações é coberta por mais de uma, e a percepção útil é que um único teste bem delimitado pode satisfazer várias ao mesmo tempo — se for planejado assim deliberadamente e não por acaso.
NESA / UAE Information Assurance Standards
A base federal, aplicável a entidades públicas e a organizações designadas como infraestrutura de informação crítica em energia, água, transporte, telecomunicações, serviços financeiros e saúde. A gestão de vulnerabilidades técnicas exige que avaliações e testes de intrusão sejam realizados e acompanhados — anualmente, na prática. Dois requisitos pegam as pessoas de surpresa: achados críticos e altos precisam de remediação documentada com evidência de reteste dentro de um prazo definido, normalmente 90 dias; e os auditores analisam as credenciais de quem testou, sendo OSCP ou equivalente a expectativa declarada. A página do NESA detalha (em inglês).
Dubai ISR (DESC)
A Information Security Regulation do Dubai Electronic Security Centre obriga entidades públicas de Dubai e os fornecedores que as atendem. Convive com o NESA em vez de substituí-lo, e organizações que trabalham com o governo de Dubai com frequência precisam evidenciar ambos. O requisito de teste é substancialmente semelhante, então um trabalho delimitado para os dois produz um único conjunto de evidências.
Serviços financeiros: CBUAE, DFSA, ADGM
O banco central dos EAU define as expectativas para bancos e financeiras onshore; a DFSA regula empresas do DIFC e a FSRA as do ADGM. Os três esperam testes de segurança independentes regulares, e os três veem com reservas um scan de vulnerabilidades apresentado como teste de intrusão. Detalhado aqui (em inglês).
VARA: ativos virtuais
A autoridade reguladora de ativos virtuais de Dubai exige de cada prestador licenciado um teste de intrusão independente no mínimo anual sob seu Technology and Information Rulebook, com testes orientados por inteligência quando julgar necessário e proporcional. O rulebook convive com requisitos de gestão de chaves apoiada em HSM, mínimos de armazenamento frio e notificação de incidentes em 24 a 72 horas conforme a severidade.
Saúde: ADHICS
O padrão de Abu Dhabi para segurança da informação em saúde se aplica a prestadores de saúde e a seus fornecedores de tecnologia no emirado, com requisitos de teste e evidências ao lado dos controles sobre dados clínicos. Mais aqui (em inglês).
Proteção de dados
A PDPL federal, além das leis separadas do DIFC e do ADGM, traz obrigações de segurança onde houver tratamento de dados pessoais. Elas não nomeiam o teste de intrusão, mas o padrão é o de "medidas técnicas apropriadas", e demonstrá-lo após um incidente é consideravelmente mais fácil com um teste independente recente no arquivo.
Um teste, várias obrigações
O erro caro nos EAU é comprar uma avaliação separada por regulador. Na maioria dos casos o escopo técnico se sobrepõe quase inteiramente — superfície externa, aplicações web e APIs, rede interna e Active Directory, tenant de nuvem — e o que muda é o mapeamento e o formato do relatório, não o teste.
Então o trabalho é delimitado uma vez diante de tudo a que você está sujeito, e o relatório vincula cada achado a cada controle aplicável. O escopo prático:
- Rede externa - tudo alcançável pela Internet, incluindo os servidores que ninguém lembra ter publicado.
- Aplicações web e APIs - autenticação, autorização, lógica de negócio, injeção. A camada voltada ao cliente sobre a qual todo regulador pergunta.
- Rede interna - o que um ponto de apoio alcança e se sua segmentação realmente se sustenta.
- Active Directory - abuso de ADCS, Kerberoasting, delegação e caminhos de ACL até Domain Admin.
- Nuvem - escalada no Entra ID e no Azure RBAC, armazenamento exposto, erro de configuração de identidade.
Para prestadores de ativos virtuais sob a VARA, acrescente a fronteira de custódia: infraestrutura de carteiras, fluxos de assinatura e os controles operacionais em torno do material de chaves — é ali que a perda acontece, e não na interface web.
O requisito de credenciais, especificamente
A maioria das páginas de conformidade passa por cima disso, mas nos EAU é incomumente concreto: auditores do NESA analisam quem realizou o teste, e OSCP ou equivalente é a expectativa. Testes realizados por alguém sem uma certificação ofensiva reconhecida são questionados e, por vezes, rejeitados na auditoria.
Tenho OSCP+ — a forma atual e renovada da certificação — junto com eCPPT, eWPT e eCIR no lado ofensivo, e AZ-500, SC-200 e SC-300 no lado de segurança Microsoft, o que torna a parte de Entra ID e Azure confiável em vez de genérica. Todas são verificáveis de forma independente na carteira de credenciais da OffSec, e esse link pertence ao seu pacote de evidências, ao lado do relatório.
Como o trabalho transcorre
Escopo e proposta primeiro: você informa a obrigação, o ambiente e o prazo; recebe um preço fechado e uma data de início, normalmente em uma ou duas semanas. As regras de engajamento são acordadas por escrito, incluindo janelas de teste, contatos de escalonamento e qualquer limitação do seu regulador sobre onde evidências são processadas ou armazenadas.
O teste costuma durar uma a duas semanas conforme o escopo, com qualquer achado crítico informado de imediato em vez de guardado para o documento final. O relatório vem em poucos dias: resumo executivo, achados técnicos com passos de reprodução e pontuações CVSS, mapeamento de controles e remediação priorizada. Depois, um reteste do que você corrigiu e uma carta de atestação — mais importante do que se imagina nos EAU, porque a evidência de reteste em 90 dias é, ela própria, um requisito e não um adicional.
Trabalho remotamente desde Amã, uma hora atrás de Dubai, no mesmo ritmo semanal da região, em árabe ou inglês. Sem escritório local, e não vou alegar que tenho — o que você recebe é a pessoa que faz o trabalho, diretamente, com credenciais verificáveis.
Comece por aqui
Diga-me a qual regulador você responde e o que entra no escopo. Se não tiver certeza — perfeitamente normal com tantos regimes sobrepostos — uma conversa curta resolve. A visão geral de conformidade compara as normas lado a lado, o scan de perímetro gratuito mostra sua exposição externa atual em minutos, e o relatório de exemplo mostra exatamente o que você receberia.
Entre em contato — consultas em árabe são bem-vindas, e se um prazo de submissão define o cronograma, diga isso na primeira linha.
Emirados: perguntas frequentes
Em linhas gerais: entidades federais e infraestrutura de informação designada crítica — energia, água, transporte, telecomunicações, serviços financeiros, saúde — ficam sob os Information Assurance Standards do NESA. Entidades públicas de Dubai e seus fornecedores ficam sob a ISR do DESC. Bancos e financeiras respondem ao banco central; empresas do DIFC à DFSA e as do ADGM à FSRA; prestadores de serviços de ativos virtuais de Dubai à VARA. A saúde em Abu Dhabi fica sob o ADHICS. Muitas organizações são cobertas por duas ou três ao mesmo tempo, o que normalmente não é problema — um teste bem delimitado pode produzir evidências para todas, se for planejado assim desde o início.
Sim. A gestão de vulnerabilidades técnicas dentro dos Information Assurance Standards exige que avaliações de vulnerabilidade e testes de intrusão sejam realizados e acompanhados, o que na prática significa no mínimo anualmente para as entidades cobertas. Dois detalhes importam além do teste: achados críticos e altos precisam de remediação documentada com evidência de reteste dentro de um prazo definido, tipicamente 90 dias — um teste sem reteste é uma resposta incompleta. E os auditores do NESA analisam as credenciais de quem realizou o teste, sendo OSCP ou equivalente a expectativa.
Sim. Sob o Technology and Information Rulebook da VARA, todo prestador de serviços de ativos virtuais licenciado em Dubai precisa de um teste de intrusão independente pelo menos uma vez por ano, e a VARA pode ainda exigir testes orientados por inteligência quando julgar necessário e proporcional. O rulebook também cobre gestão de chaves com HSM, mínimos de armazenamento frio e notificação de incidentes em 24 a 72 horas conforme a severidade. Para esses prestadores, o escopo normalmente precisa ir além de um teste web padrão — infraestrutura de carteiras, fluxos de assinatura e a fronteira de custódia concentram o risco real.
Não. Testes externos, de aplicações web, de nuvem e a maior parte dos internos são entregues remotamente, o que é padrão na região. Rede interna e Active Directory são trabalhados por VPN ou um host de salto dentro do seu ambiente. Quando um regulador ou sua própria política limita onde dados são processados ou evidências armazenadas, isso entra por escrito nas regras de engajamento antes de qualquer início.
Normalmente em uma a duas semanas após o acordo de escopo, e mais rápido quando há um prazo de submissão pressionando. Como você contrata o pentester diretamente, não há fila interna de alocação de recursos entre a assinatura e a data de início. Um trabalho típico de externo mais aplicações web leva uma a duas semanas de teste, com o relatório poucos dias após o término — o cronograma em detalhe (em inglês).
Tem prazo com NESA, ISR ou VARA?
Diga-me a obrigação e o escopo, e você recebe preço fechado e data de início.