Тестирование на проникновение в Объединённых Арабских Эмиратах
В ОАЭ пересекается больше режимов кибербезопасности, чем почти где-либо ещё — федеральные, на уровне эмирата, отраслевые и в свободных зонах, — и почти все они сходятся к одному требованию: независимый тест на проникновение, не реже раза в год, с доказательствами. Вот какой из них касается вас и что включает тест.
Карта регулирования ОАЭ, кратко
ОАЭ наслаивают федеральные, эмиратские и отраслевые правила друг на друга. Большинство организаций охвачены более чем одним режимом, и полезный вывод таков: один грамотно спланированный тест может удовлетворить сразу нескольким — если так задумано намеренно, а не вышло случайно.
NESA / UAE Information Assurance Standards
Федеральная база, применимая к госорганам и к организациям, отнесённым к критической информационной инфраструктуре в энергетике, водоснабжении, транспорте, телекоме, финансовых услугах и здравоохранении. Управление техническими уязвимостями требует, чтобы оценки и тесты на проникновение проводились и отслеживались — на практике ежегодно. Два требования застают врасплох: критичные и высокие находки требуют документированного устранения с доказательством повторного теста в установленный срок, обычно 90 дней; и аудиторы проверяют квалификацию исполнителя, при этом заявленное ожидание — OSCP или эквивалент. Страница NESA разбирает это подробно (на английском).
Dubai ISR (DESC)
Information Security Regulation от Dubai Electronic Security Centre обязывает госорганы Дубая и обслуживающих их поставщиков. Она действует параллельно с NESA, а не заменяет её, и организациям, работающим с правительством Дубая, часто нужно подтверждать оба режима. Требование к тестированию по сути схоже, поэтому одна работа, спланированная под оба, даёт единый комплект доказательств.
Финансовые услуги: CBUAE, DFSA, ADGM
Центральный банк ОАЭ задаёт ожидания для банков и финансовых компаний внутри страны; DFSA регулирует компании DIFC, а FSRA — компании ADGM. Все трое ожидают регулярного независимого тестирования безопасности, и все трое скептически смотрят на сканирование уязвимостей, поданное как тест на проникновение. Подробно здесь (на английском).
VARA: виртуальные активы
Регулятор виртуальных активов Дубая требует от каждого лицензированного поставщика независимого теста на проникновение не реже раза в год по своему Technology and Information Rulebook, а также тестирования на основе разведданных там, где считает это необходимым и соразмерным. Правила соседствуют с требованиями к управлению ключами на базе HSM, минимумам холодного хранения и уведомлению об инцидентах в течение 24–72 часов по критичности.
Здравоохранение: ADHICS
Стандарт Абу-Даби по информационной безопасности в здравоохранении применяется к медицинским организациям и их технологическим поставщикам в эмирате, с требованиями к тестированию и доказательствам наряду с контролями над клиническими данными. Подробнее здесь (на английском).
Защита данных
Федеральный PDPL, а также отдельные законы DIFC и ADGM приносят обязанности по безопасности везде, где обрабатываются персональные данные. Они не называют тест на проникновение прямо, но стандартом являются «надлежащие технические меры», и доказать их после инцидента существенно проще, имея в деле свежий независимый тест.
Один тест, несколько обязанностей
Дорогая ошибка в ОАЭ — покупать отдельную оценку под каждого регулятора. В большинстве случаев технический объём совпадает почти полностью — внешняя поверхность, веб-приложения и API, внутренняя сеть и Active Directory, облачный тенант, — а различаются сопоставление и форма отчёта, но не тестирование.
Поэтому работа планируется один раз против всего, под что вы подпадаете, а отчёт связывает каждую находку с каждым применимым контролем. Практический объём:
- Внешняя сеть — всё, что достижимо из интернета, включая узлы, о публикации которых никто не помнит.
- Веб-приложения и API — аутентификация, авторизация, бизнес-логика, инъекции. Клиентский слой, о котором спрашивает любой регулятор.
- Внутренняя сеть — куда дотягивается точка опоры и держится ли ваша сегментация на самом деле.
- Active Directory — злоупотребление ADCS, Kerberoasting, делегирование и пути ACL до Domain Admin.
- Облако — повышение привилегий в Entra ID и Azure RBAC, открытое хранилище, ошибки конфигурации identity.
Для поставщиков виртуальных активов под VARA добавьте границу хранения: инфраструктуру кошельков, процессы подписания и операционные контроли вокруг ключевого материала — потеря происходит именно там, а не в веб-интерфейсе.
Требование к квалификации, конкретно
Большинство страниц о комплаенсе проскакивают это, но в ОАЭ оно необычно конкретно: аудиторы NESA проверяют, кто выполнял тест, и ожидается OSCP или эквивалент. Тесты, выполненные человеком без признанной наступательной сертификации, ставятся под вопрос, а иногда и отклоняются на аудите.
У меня есть OSCP+ — текущая, обновлённая форма сертификации — вместе с eCPPT, eWPT и eCIR на наступательной стороне, а также AZ-500, SC-200 и SC-300 на стороне безопасности Microsoft, что делает часть по Entra ID и Azure предметной, а не общей. Все они независимо проверяемы в кошельке сертификатов OffSec, и эта ссылка должна лежать в вашем пакете доказательств рядом с отчётом.
Как идёт работа
Сначала объём и смета: вы называете обязанность, среду и срок; получаете фиксированную цену и дату старта, обычно в течение одной-двух недель. Правила проведения работ согласуются письменно, включая окна тестирования, контакты для эскалации и всё, что ваш регулятор предписывает относительно обработки или хранения доказательств.
Тестирование обычно занимает одну-две недели в зависимости от объёма, а всё критичное сообщается немедленно, а не придерживается до итогового документа. Отчёт следует в течение нескольких дней: резюме, технические находки с шагами воспроизведения и оценками CVSS, сопоставление с контролями и приоритизированное устранение. Затем повторный тест исправленного и письмо-аттестация — в ОАЭ оно важнее, чем принято думать, поскольку доказательство повторного теста в 90 дней само по себе является требованием, а не дополнительной услугой.
Я работаю удалённо из Аммана, на час позади Дубая, в том же недельном ритме, что и регион, на арабском или английском. Местного офиса нет, и я не стану этого утверждать — взамен вы получаете человека, который делает работу, напрямую и с проверяемой квалификацией.
Начните отсюда
Скажите, перед каким регулятором вы отвечаете и что входит в объём. Если не уверены — при таком количестве пересекающихся режимов это совершенно нормально — короткий разговор это решит. Обзор по комплаенсу сравнивает стандарты бок о бок, бесплатное сканирование периметра показывает текущую внешнюю открытость за минуты, а пример отчёта показывает ровно то, что вы получите.
Свяжитесь со мной — обращения на арабском приветствуются, и если график диктует срок подачи, напишите об этом в первой строке.
ОАЭ: частые вопросы
Грубо говоря: федеральные органы и информационная инфраструктура, отнесённая к критической — энергетика, вода, транспорт, телеком, финансовые услуги, здравоохранение, — подпадают под Information Assurance Standards от NESA. Госорганы Дубая и их поставщики — под ISR от DESC. Банки и финансовые компании отвечают перед Центральным банком; компании DIFC — перед DFSA, компании ADGM — перед FSRA; поставщики услуг виртуальных активов в Дубае — перед VARA. Здравоохранение Абу-Даби подпадает под ADHICS. Многие организации охвачены двумя или тремя сразу, и это обычно не проблема — один грамотно спланированный тест может дать доказательства для всех, если так задумано с самого начала.
Да. Управление техническими уязвимостями в рамках Information Assurance Standards требует, чтобы оценки уязвимостей и тесты на проникновение проводились и отслеживались, что на практике означает не реже раза в год для охваченных организаций. Помимо самого теста важны две детали: критичные и высокие находки требуют документированного устранения с доказательством повторного теста в установленный срок, обычно 90 дней — тест без повторного теста это неполный ответ. И аудиторы NESA проверяют квалификацию исполнителя, при этом ожидается OSCP или эквивалент.
Да. По Technology and Information Rulebook от VARA каждому лицензированному в Дубае поставщику услуг виртуальных активов нужен независимый тест на проникновение не реже раза в год, а VARA дополнительно может потребовать тестирование на основе разведданных, если сочтёт это необходимым и соразмерным. Правила также охватывают управление ключами с HSM, минимумы холодного хранения и уведомление об инцидентах в течение 24–72 часов в зависимости от критичности. Для таких поставщиков объём обычно должен выходить за рамки стандартного веб-теста: инфраструктура кошельков, процессы подписания и граница хранения несут основной риск.
Нет. Внешнее тестирование, веб-приложения, облако и большая часть внутренних работ выполняются удалённо, что в регионе является стандартом. Внутренняя сеть и Active Directory обрабатываются через VPN или промежуточный узел внутри вашей среды. Если регулятор или ваша собственная политика ограничивает, где обрабатываются данные или хранятся доказательства, это письменно фиксируется в правилах проведения работ до начала.
Обычно в течение одной-двух недель после согласования объёма, быстрее — когда поджимает срок подачи. Поскольку вы нанимаете исполнителя напрямую, между подписанием и стартом нет внутренней очереди на ресурсы. Типичная работа «внешний периметр плюс веб-приложения» занимает одну-две недели тестирования, отчёт — в течение нескольких дней после завершения: график подробно (на английском).
Есть срок по NESA, ISR или VARA?
Назовите обязанность и объём — получите фиксированную цену и дату старта.