Тестирование на проникновение для финансов и виртуальных активов в ОАЭ
Четыре регулятора, четыре лицензии, одно повторяющееся требование: независимое тестирование безопасности с доказательствами. Для фирм, работающих с виртуальными активами под VARA, требование явное и ежегодное — а значимый объём выходит далеко за пределы веб-приложения, к границе хранения активов.
Четыре регулятора, одно базовое требование
Финансовые услуги ОАЭ разделены между материковой частью и двумя свободными зонами, плюс отдельный регулятор виртуальных активов. То, кто вас лицензирует, определяет формулировку вашей обязанности, но суть сходится: независимое тестирование безопасности, проводимое регулярно, с доказательствами, которые вы можете предъявить.
VARA — виртуальные активы Дубая
Самый явный из четырёх. Согласно Technology and Information Rulebook каждый лицензированный VASP обязан проходить независимый тест на проникновение не реже одного раза в год, а VARA может дополнительно потребовать тестирование, управляемое разведданными, если сочтёт это необходимым и соразмерным. Rulebook также охватывает управление кибербезопасностью, мультиподписное управление ключами с опорой на аппаратные модули безопасности, минимумы холодного хранения и уведомление об инцидентах по шкале 24–72 часа в зависимости от критичности.
CBUAE — материковые банки и финансовые компании
Центральный банк устанавливает ожидания по безопасности для лицензированных материковых организаций, где регулярное независимое тестирование систем, доступных из интернета, и клиентских приложений является постоянным, а не разовым ожиданием. Если в объёме есть карточные данные, параллельно применяется требование 11.4 PCI DSS и сильно пересекается — при совместном определении объёма это одна работа.
DFSA (DIFC) и FSRA (ADGM)
Оба регулятора свободных зон ожидают независимого тестирования безопасности, соразмерного профилю риска фирмы, при этом ежегодный интервал — тот, который фирмы принимают и отстаивают. Ни один из них не публикует единую универсальную периодичность, как VARA, что на практике означает: бремя обоснования вашего цикла лежит на вас, и обоснование, которое держится, — «ежегодно, плюс после существенных изменений».
И NESA снизу
Финансовые услуги отнесены к критической информационной инфраструктуре, поэтому Information Assurance Standards NESA часто применяются наряду с вашим отраслевым регулятором — включая ожидание повторного теста за 90 дней для критических и высоких находок и проверку квалификаций тестировщика. Определяйте объём сразу под оба; доработка позже обычно означает тестирование дважды.
Для VASP: включайте в объём границу хранения, а не фронтенд
Об этом стоит сказать прямо. Обычный тест веб-приложения против торгового интерфейса найдёт проблемы аутентификации и авторизации и оставит реальный сценарий потерь полностью непроверенным. Биржи, как правило, теряют активы не из-за межсайтового скриптинга.
Вопросы, которые важны для фирмы виртуальных активов:
- Процесс подписи — кто и что может авторизовать перевод, как согласования обеспечиваются технически, а не процедурно, и может ли один скомпрометированный администратор или сервисная учётная запись переместить стоимость.
- Разделение горячего и холодного — действительно ли граница обеспечена технически или лишь задокументирована, и что её пересекает.
- Обращение с ключевым материалом — как вызывается подпись с опорой на HSM, что может её вызвать и эквивалентен ли доступ к вызывающей системе доступу к ключу.
- Обход согласований — чего может добиться обладатель частичного доступа: операционная учётная запись, скомпрометированная рабочая станция разработчика, привилегированное чтение в казначейской системе.
- Операционный процесс — человеческие шаги вокруг выводов и списков разрешённых адресов; именно сюда в этом секторе попадает социальная инженерия.
Это вопросы проектирования и процесса не меньше, чем кода, — именно поэтому они требуют тестировщика, а не сканера. Базовая платформа по-прежнему нуждается в стандартном подходе — веб и API, внешняя и внутренняя сеть, облако, — но сосредоточиться объём должен на границе хранения.
Тестирование, управляемое разведданными, если вопрос возникнет
Тестирование, управляемое разведданными — семейство, включающее TIBER-EU и CBEST, — начинается с реальных разведданных о том, кто атакует фирмы вроде вашей, а затем эмулирует именно этих противников против продуктивной среды, как правило не уведомляя защищающуюся команду. Оно измеряет обнаружение и реагирование не меньше, чем уязвимости, и дольше и дороже стандартного теста.
VARA может потребовать его там, где сочтёт соразмерным, что в целом следует за размером фирмы и объёмом активов на хранении. Большинство недавно лицензированных VASP начинают с ежегодного независимого теста; фирмам со значительным хранением стоит планировать появление этого вопроса. Честный совет по последовательности: сначала стандартный тест на проникновение. Тестирование, управляемое разведданными, против среды, которая никогда не проходила обычную оценку, даёт дорогой отчёт, полный находок, которые нашла бы более дешёвая работа.
Что вы получаете
Фиксированная цена, согласованная до начала работ. Письменные правила проведения работ, включая окна тестирования и контакты эскалации — здесь это важнее, чем в большинстве секторов, потому что тестирование вблизи продуктивной инфраструктуры хранения требует согласованного пути прекращения работ. О критических находках сообщается в момент обнаружения.
Отчёт содержит резюме для вашего совета директоров и регулятора, техническую часть с шагами воспроизведения и оценками CVSS, и сопоставление с тем rulebook или контролем, который потребовал тест. Затем сопровождение устранения, повторное тестирование того, что вы закрыли, и аттестационное письмо с указанием тестировщика, объёма и дат — обычно именно его вы передаёте регулятору или институциональному контрагенту, проводящему вашу проверку. Для формата есть образец отчёта.
Кто выполняет
Вы работаете напрямую с тестировщиком. Квалификации, поскольку в закупках финансового сектора и VASP о них спрашивают всегда: OSCP+, eCPPT, eWPT, eCIR, плюс AZ-500, SC-200 и SC-300 — все проверяются через credential wallet OffSec. Опыт в инженерии обнаружения до перехода в наступательную безопасность здесь напрямую релевантен: отчёт охватывает не только то, как работает цепочка атаки, но и то, как она выглядела бы в вашем мониторинге и поймало бы её хоть что-нибудь. Для регулятора, спрашивающего о возможностях обнаружения и реагирования, это различие и есть ответ.
Удалённо из Аммана, на час позади Дубая, та же рабочая неделя, на арабском или английском.
Следующие шаги
Сообщите, какая у вас лицензия, как выглядит платформа и входит ли в объём инфраструктура хранения. В ответ — фиксированная стоимость и дата старта. Если вы недавно получили лицензию и пытаетесь понять, что на самом деле должен покрывать ваш первый тест, это короткий и полезный разговор — свяжитесь со мной.
Смежное: тестирование на проникновение в ОАЭ, требования NESA и обзор соответствия.
Вопросы по финансам ОАЭ
Согласно Technology and Information Rulebook VARA, каждый лицензированный в Дубае поставщик услуг в сфере виртуальных активов должен проходить независимый тест на проникновение не реже одного раза в год, а VARA дополнительно может потребовать тестирование, управляемое разведданными, если сочтёт это необходимым и соразмерным. Rulebook соседствует с требованиями по управлению программой кибербезопасности, мультиподписному управлению ключами с опорой на HSM, минимумам холодного хранения и уведомлению об инцидентах в течение 24–72 часов в зависимости от критичности. Обязанность тестирования — не весь rulebook, но та его часть, для которой нужна внешняя сторона.
Тестирование, управляемое разведданными — модель, лежащая в основе TIBER-EU и CBEST, — начинается с реальных разведданных о том, кто на самом деле атакует фирмы вроде вашей, а затем имитирует именно этих противников против продуктивной среды, обычно без ведома защищающейся команды. Оно дольше, дороже и показательнее стандартного теста на проникновение. VARA может потребовать его там, где сочтёт соразмерным, что на практике следует за размером фирмы и объёмом активов на хранении. Большинство недавно лицензированных VASP начинают с ежегодного независимого теста; фирмам со значительным объёмом хранения стоит ожидать этот вопрос рано или поздно.
И DFSA в DIFC, и FSRA в ADGM ожидают регулярного независимого тестирования безопасности, соразмерного профилю риска фирмы, вместо публикации единого универсального интервала, как это делает VARA. Ежегодно — норма, которую фирмы принимают и отстаивают, с дополнительным тестированием после существенных изменений. Практическое ожидание в обеих свободных зонах такое же, как на материке: независимое тестирование, документированное устранение и доказательства, которые вы можете предъявить по запросу.
Почти наверняка, и раньше, чем ожидает большинство основателей. Обязанность приходит вместе с лицензией, а не с масштабом, поэтому фирма в песочнице или недавно получившая лицензию несёт её ровно на том этапе, когда программа безопасности наименее зрелая. Полезный взгляд: первый тест дешевле и гораздо менее болезненный, когда платформа небольшая, а находки — ещё те, которые можно исправить архитектурно, а не обходить заплатками.
Да, и для VASP именно там должен быть сосредоточен объём. Тест веб-приложения на торговом фронтенде оставляет реальный сценарий потерь непроверенным. Вопросы, на которые стоит ответить, касаются процесса подписи, разделения горячей и холодной инфраструктуры, того, кто и что может авторизовать перевод, как согласования могут быть обойдены обладателем частичного доступа и переживает ли операционный процесс вокруг ключевого материала компрометацию администратора. Это вопросы проектирования и процесса не меньше, чем кода, — поэтому они требуют человека, а не сканера.
Лицензия VARA, DFSA, ADGM или CBUAE?
Независимое тестирование в объёме rulebook — включая границу хранения активов, а не только фронтенд.