Uyumluluk odaklı sızma testleri
Sızma testlerinin çoğu, bir düzenleme zorunlu kıldığı için satın alınır. Çerçeve; kapsamı, sıklığı ve - genellikle hafife alınan kısım - sonrasında sunabilmeniz gereken kanıtı belirler. Bu sayfa, test ettiğim rejimleri karşılaştırır; böylece hangisinin gerçekten sizi ilgilendirdiğini görürsünüz.
Çerçevelerin karşılaştırması
Bu rejimlerin her biri bağımsız güvenlik testlerini zorunlu kılar ya da fiilen gerektirir. Önemli olan farklar: kimi bağladığı, hangi sıklıkta ve sonrasında neyi gösterebilmeniz gerektiği.
Suudi Arabistan
- NCA Essential Cybersecurity Controls (İngilizce) - kamu kurumları, yüklenicileri ve kritik altyapı için ulusal temel. Kontrol 2-11 sızma testini kapsar: tanımlanmış, belgelenmiş, onaylanmış ve uygulanmış olmalı; kapsam en azından internete açık hizmetleri ve arkasındaki teknik altyapıyı içermeli. Periyodik olarak.
- NCA Critical Systems Cybersecurity Controls - sistemler kritik olarak sınıflandırıldığında sıklık en az altı ayda bire çıkar. Bütçe varsayımını genellikle bu ritim değişikliği bozar.
- SAMA Cyber Security Framework (İngilizce) - Suudi merkez bankasının denetimindeki bankalar, sigortacılar, finansman şirketleri ve ödeme hizmeti sağlayıcıları. En az yıllık bağımsız dış testler; internete açık sistemler, web uygulamaları ve ağ altyapısı kapsamında.
Birleşik Arap Emirlikleri
- NESA / UAE Information Assurance Standards (İngilizce) - federal kurumlar ve kritik olarak belirlenmiş bilgi altyapısı. Zafiyet değerlendirmeleri ve sızma testleri yürütülür ve izlenir; pratikte yıllık, kritik ve yüksek bulgular için belirlenmiş süre içinde belgelenmiş giderim ve yeniden test kanıtıyla. Denetçiler testi yapanın yetkinliklerini inceler.
- Dubai ISR (DESC) - Dubai kamu kurumları ve tedarikçileri. NESA ile paralel yürür; tek bir çalışma ikisini birden belgeleyebilir.
- CBUAE, DFSA ve ADGM (İngilizce) - onshore bankalar ve finansman şirketleri, DIFC şirketleri, ADGM şirketleri. Üçünde de düzenli bağımsız testler beklenir.
- VARA - Dubai'deki sanal varlık hizmet sağlayıcıları. Technology and Information Rulebook kapsamında en az yıllık bağımsız sızma testi; VARA orantılı gördüğünde istihbarat güdümlü testlerle birlikte.
- ADHICS (İngilizce) - Abu Dabi'deki sağlık kuruluşları ve teknoloji tedarikçileri.
Uluslararası
- PCI DSS - kart hamili verisi saklayan, işleyen veya ileten herkes için. Gereklilik 11.4, en az yıllık ve önemli değişiklik sonrasında iç ve dış sızma testlerini; kapsamı daraltmak için segmentasyon kullanılıyorsa segmentasyon testlerini zorunlu kılar.
- SOC 2 - emredici bir zorunluluk değil, ancak sızma testi çoğu denetçinin CC4.1 ve CC7.1 için beklediği kanıttır ve kurumsal müşteriler bunu giderek raporda talep ediyor.
- ISO 27001 - Ek A kapsamında teknik zafiyet yönetimi; kontrolün işlediğini göstermenin pratik yolu testtir.
Denetçiler gerçekte ne ister
Rapor gereklidir ama yeterli değildir. Eksiksiz bir kanıt paketini dört belge oluşturur ve çoğu kuruluş yalnızca ikincisiyle gelir:
- Kapsam belgesi - neyin test edildiği, neyin edilmediği ve bu kapsamın kontrole neden uygun olduğu. Kontrolün ilgilendiği sistemleri dışarıda bırakan bir test, ne kadar iyi olursa olsun kalır.
- Rapor - bulgular, önem dereceleri, yeniden üretim ayrıntıları ve ilgili kontrollerle eşleştirme.
- Belgelenmiş giderim - neyi ne zaman düzelttiğiniz ve gerekçesiyle hangi riski kabul ettiğiniz. Risk kabul etmek serbesttir; kararı kayda geçirmemek değil.
- Yeniden test kanıtı - kritik ve yüksek bulguların gerçekten kapandığının doğrulanması, çerçevenizin öngördüğü süre içinde. NESA'nın 90 günlük beklentisi insanları yakalayan odur: on birinci ayda yapılan bir test, döngü kapanmadan yeniden teste yer bırakmaz.
Kimin, hangi kapsamda, hangi tarihlerde test ettiğini belirten beyan mektubu paketi bağlar ve genellikle dosyalanan ya da müşteriye iletilen belge odur. Buradaki her çalışma bir tanesini içerir.
Yanlış okunan koşul: bağımsızlık
Bu çerçevelerin birkaçı bağımsız sözcüğünü kullanır ve bunun somut bir anlamı vardır: test, incelenen sistemi kuran veya işleten kişilerce yapılamaz. Kendi kuruluşunun altyapısını test eden bir iç güvenlik ekibi bazı çerçeveleri karşılar, bazılarını karşılamaz; uygulamayı yazıp sonra onu test eden ekip ise hiçbirini karşılamaz.
Bu pazarda dış danışmanların var olmasının büyük bölümü buradan gelir ve iç kapasitenizin yeterli olduğunu varsaymadan önce bunu kendi somut yükümlülüğünüzle karşılaştırmaya değer. Burada yanılmak pahalıdır, çünkü kapsam aşamasında değil denetimde ortaya çıkar.
Bir uyumluluk çalışmasını nasıl kapsamlandırırım
İlk görüşme teknolojiyle değil yükümlülükle ilgilidir: hangi çerçeve, hangi kontrol, hangi son tarih ve son testten bu yana esaslı bir değişiklik olup olmadığı. Buradan hareketle, genellikle tek bir görüşmede tek bir çalışmanın tabi olduğunuz her şeyi kapsayıp kapsamadığını ve denetimden geçecek kanıt üretmek için kapsamın neleri içermesi gerektiğini söyleyebilirim.
Alacaklarınız: başlamadan önce sabit fiyat, konuştuğunuz kişi tarafından yürütülen test, kritik bir bulgunun nihai belgede sürpriz olmak yerine anında bildirilmesi, hem yönetim hem mühendisler için yazılmış bir rapor, giderim sırasında destek, bir yeniden test ve beyan mektubu. Biçimi önce görmek isterseniz bir örnek rapor var (İngilizce), büyüklük mertebeleri için ise fiyat sayfası.
Bölgeye göre
Körfez'deyseniz bölgesel sayfalar hangi rejimlerin geçerli olduğunu ve nasıl kesiştiklerini derinlemesine anlatıyor: Suudi Arabistan'da sızma testi ve BAE'de sızma testi. Diğer durumlarda hizmet sayfaları testin kendisini anlatır ve iletişime geçmek net bir yanıta giden en hızlı yoldur.
Uyumluluk testleri hakkında sorular
Çoğu zaman evet ve alternatifine göre çok daha ucuzdur. Teknik kapsam büyük ölçüde örtüşür - dış yüzey, web uygulamaları ve API'ler, iç ağ, Active Directory, bulut - dolayısıyla değişen şey kontrollerle eşleştirme ve raporlama biçimidir, testin kendisi değil. Koşul, en baştan böyle kapsamlandırılmasıdır: yalnızca PCI için kapsamlandırılmış bir test, altındaki iş neredeyse aynı olsa da NESA'nın istediği kanıtı üretmez. Kapsam görüşmesinde tabi olduğunuz tüm rejimleri söyleyin; rapor bulguları her birine bağlar.
Hayır ve kanıtın reddedilmesinin en yaygın nedeni budur. Tarama, bilinen imzaları bilinen sürümlerle eşleştirip bir liste üretir; sızma testi ise bulguları birbirine bağlayarak birinin bunlarla gerçekte ne yapabileceğini gösterir. Çerçeveler bunu giderek daha açık ifade ediyor ve denetçiler artık sızma testi kapağı takılmış tarama raporlarını iyi ayırt ediyor - işaret, her bulgunun bir CVE olması ve hiçbirinin diğeriyle ilişkilenmemesidir. Farkın ayrıntısı (İngilizce).
Dört şey ve çoğu kuruluş yalnızca ikincisini saklar. Neyin test edildiğini ve bu kapsamın neden uygun olduğunu gösteren bir kapsam belgesi. Bulgular, önem dereceleri ve yeniden üretim ayrıntılarıyla raporun kendisi. Kritik ve yüksek bulguların belgelenmiş giderimi. Ve düzeltmelerin işe yaradığını doğrulayan bir yeniden testin kanıtı - çerçevenizin belirlediği süre içinde; 90 gün yaygındır. Kimin, hangi kapsamda ve hangi tarihlerde test ettiğini belirten bir beyan mektubu hepsini birbirine bağlar ve genellikle dosyaya konulan sayfa odur.
Yıllık, alışılmış temeldir: SAMA, NESA, VARA ve PCI DSS hepsi oraya varır. İki şey bu süreyi kısaltır: Suudi CSCC kapsamında kritik sistem sınıflandırması, ki en az altı ayda bir test gerektirir, ve önemli değişiklikler. Neredeyse her çerçeve, ortamda esaslı değişiklikler sonrasında son yıllık testin ne zaman yapıldığına bakmaksızın yeniden test ister - büyük bir göç ya da internete açık yeni bir uygulama sayacı fiilen sıfırlar.
Genelde evet ve nedenler öngörülebilir: kapsam, kontrolün gerektirdiğine göre fazla dardı; testi sistemi kuran ekip yaptı, dolayısıyla bağımsız değildi; yeniden test kanıtı üretilmedi; ya da bir tarama sızma testi olarak sunuldu. Dördü de giderilebilir ve çözüm genellikle doğru kapsamlandırılmış tek bir çalışmadır, bir program değil. Denetçinin bulgusunu ve önceki raporu bana gönderin; hiçbir harcama yapmadan önce hangisi olduğunu söyleyeyim.
Hangi çerçevenin sizi ilgilendirdiğinden emin değil misiniz?
Kısa bir görüşme genellikle yeter - ve tek bir testin hepsini kapsayıp kapsayamayacağını gösterir.