BAE Finans ve Sanal Varlıklar için Sızma Testi
Dört düzenleyici, dört lisans, yinelenen tek bir gereklilik: bağımsız güvenlik testi, kanıtlanmış hâliyle. VARA kapsamındaki sanal varlık firmaları için gereklilik açık ve yıllıktır — ve önemli olan kapsam, web uygulamasının çok ötesine, saklama sınırına uzanır.
Dört düzenleyici, tek bir temel gereklilik
BAE finansal hizmetleri kıyı içi ve iki serbest bölge ile sanal varlıklara ayrılmış bir düzenleyici arasında bölünmüştür. Hangisinin sizi lisansladığı yükümlülüğünüzün ifadesini belirler, ancak öz aynı noktada buluşur: düzenli olarak yürütülen bağımsız güvenlik testi ve sunabileceğiniz kanıt.
VARA — Dubai sanal varlıkları
Dördü arasında en açık olanı. Technology and Information Rulebook uyarınca lisanslı her VASP en az yıllık bağımsız bir sızma testi gerektirir ve VARA gerekli ve orantılı gördüğü yerde ayrıca istihbarat güdümlü test isteyebilir. Rulebook ayrıca siber güvenlik yönetişimini, donanım güvenlik modülleriyle desteklenen çoklu imza anahtar yönetimini, soğuk saklama asgarilerini ve önem derecesine göre 24 ila 72 saatlik bir saatle olay bildirimini kapsar.
CBUAE — kıyı içi bankalar ve finans şirketleri
Merkez Bankası kıyı içi lisanslı kurumlar için güvenlik beklentileri belirler; internete açık sistemlerin ve müşteriye dönük uygulamaların düzenli bağımsız testi tek seferlik değil sürekli bir beklentidir. Kapsamda kart verisi varsa PCI DSS Gereklilik 11.4 paralel olarak uygulanır ve büyük ölçüde örtüşür — birlikte kapsamlandırıldığında tek bir çalışmadır.
DFSA (DIFC) ve FSRA (ADGM)
Her iki serbest bölge düzenleyicisi de firmanın risk profiliyle orantılı bağımsız güvenlik testi bekler; firmaların benimsediği ve savunduğu aralık yıllıktır. Hiçbiri VARA gibi tek bir evrensel sıklık yayımlamaz; bu da pratikte döngünüzü gerekçelendirme yükünün sizde olduğu anlamına gelir — ve ayakta kalan gerekçe «yıllık, ayrıca maddi değişiklik sonrası»dır.
Ve altta NESA
Finansal hizmetler kritik bilgi altyapısı olarak belirlenmiştir; bu nedenle NESA'nın Information Assurance Standards düzenlemesi sektör düzenleyicinizin yanında sıklıkla uygulanır — kritik ve yüksek bulgular için 90 günlük yeniden test beklentisi ve test uzmanının sertifikalarının incelenmesi dahil. İkisi için birden kapsamlandırın; sonradan tamamlamak genellikle iki kez test etmek demektir.
VASP'ler için: ön yüzü değil saklama sınırını kapsamlandırın
Bu, açık konuşmaya değer kısım. Bir işlem arayüzüne karşı geleneksel bir web uygulaması testi kimlik doğrulama ve yetkilendirme sorunları bulacak ve asıl kayıp senaryosunu tamamen test edilmemiş bırakacaktır. Borsalar genellikle siteler arası betik çalıştırma nedeniyle varlık kaybetmez.
Bir sanal varlık firması için önemli olan sorular:
- İmzalama akışı — bir transferi kimin ve neyin yetkilendirebildiği, onayların prosedürel değil teknik olarak nasıl dayatıldığı ve ele geçirilmiş tek bir yönetici veya servis hesabının değer taşıyıp taşıyamayacağı.
- Sıcak/soğuk ayrımı — sınırın gerçekten dayatılıp dayatılmadığı yoksa yalnızca belgelenmiş mi olduğu ve sınırı neyin aştığı.
- Anahtar materyali işleme — HSM destekli imzalamanın nasıl çağrıldığı, neyin çağırabildiği ve çağıran sisteme erişimin anahtara erişimle eşdeğer olup olmadığı.
- Onay atlatma — kısmi erişimi olan birinin neyi başarabileceği: bir operasyon hesabı, ele geçirilmiş bir geliştirici iş istasyonu, hazine sisteminde ayrıcalıklı bir okuma yetkisi.
- Operasyonel süreç — para çekme ve adres izin listeleri etrafındaki insan adımları; bu sektörde sosyal mühendisliğin indiği yer burasıdır.
Bunlar koda olduğu kadar tasarıma ve sürece dair sorulardır; tam da bu yüzden tarayıcı değil bir test uzmanı gerektirir. Alttaki platform yine standart muameleye ihtiyaç duyar — web ve API, dış ve iç ağ, bulut — ancak kapsamın yoğunlaşması gereken yer saklama sınırıdır.
İstihbarat güdümlü test, gündeme gelirse
İstihbarat güdümlü test — TIBER-EU ve CBEST'i içeren aile — sizinki gibi firmaları kimin hedef aldığına dair gerçek tehdit istihbaratından başlar, sonra bu belirli düşmanları üretim ortamına karşı, tipik olarak savunan ekibe haber verilmeden taklit eder. Zafiyet kadar tespit ve müdahaleyi de ölçer ve standart bir testten daha uzun ve pahalıdır.
VARA orantılı gördüğü yerde isteyebilir; bu kabaca firma büyüklüğünü ve saklamadaki varlıkları takip eder. Yeni lisanslanan VASP'lerin çoğu yıllık bağımsız testle başlar; kayda değer saklama tutan firmalar sorunun geleceğini planlamalıdır. Sıralama konusunda dürüst tavsiye: önce standart bir sızma testi. Hiç geleneksel değerlendirme görmemiş bir ortama karşı istihbarat güdümlü test, daha ucuz bir çalışmanın yakalayacağı bulgularla dolu pahalı bir rapor üretir.
Ne elde edersiniz
Hiçbir şey başlamadan önce üzerinde anlaşılan sabit fiyat. Test pencereleri ve yükseltme irtibatları dahil yazılı katılım kuralları — burada bu çoğu sektörden daha önemlidir, çünkü üretimdeki saklama altyapısının yakınında test yapmak üzerinde anlaşılmış bir durdurma yolu gerektirir. Kritik bulgular bulundukları anda bildirilir.
Rapor; yönetim kurulunuz ve düzenleyiciniz için bir yönetici özeti, yeniden üretim adımları ve CVSS derecelendirmeleri içeren teknik bir gövde ve testi gerektiren rulebook ya da kontrole eşleme taşır. Ardından giderme desteği, kapattıklarınızın yeniden testi ve test uzmanını, kapsamı ve tarihleri belirten bir beyan mektubu — ki bu tipik olarak düzenleyiciye veya size durum tespiti yapan kurumsal bir karşı tarafa verdiğiniz belgedir. Biçim için bir örnek rapor var.
Testi kim yapar
Doğrudan testi yapan kişiyle çalışırsınız. Sertifikalar, finans sektörü ve VASP satın alması her zaman sorduğu için: OSCP+, eCPPT, eWPT, eCIR, ayrıca AZ-500, SC-200 ve SC-300 — hepsi OffSec credential wallet üzerinden doğrulanabilir. Saldırgan güvenlik öncesindeki tespit mühendisliği geçmişi burada doğrudan ilgilidir: rapor yalnızca bir saldırı yolunun nasıl işlediğini değil, izlemenizde nasıl görüneceğini ve herhangi bir şeyin bunu yakalayıp yakalamayacağını da kapsar. Tespit ve müdahale kabiliyetini soran bir düzenleyici için bu ayrım cevabın kendisidir.
Amman'dan uzaktan, Dubai'den bir saat geride, aynı çalışma haftasında, Arapça veya İngilizce.
Sonraki adımlar
Hangi lisansa sahip olduğunuzu, platformun nasıl göründüğünü ve saklama altyapısının kapsamda olup olmadığını bana iletin. Karşılığında sabit teklif ve başlangıç tarihi. Yeni lisanslandıysanız ve ilk testinizin gerçekte neyi kapsaması gerektiğini çözmeye çalışıyorsanız, bu kısa ve yararlı bir görüşmedir — iletişime geçin.
İlgili: BAE'de sızma testi, NESA gereklilikleri ve uyum genel bakışı.
BAE finans soruları
VARA'nın Technology and Information Rulebook düzenlemesi uyarınca, Dubai'de lisanslı her sanal varlık hizmet sağlayıcısı en az yıllık bağımsız bir sızma testinden geçmelidir ve VARA gerekli ve orantılı gördüğü durumlarda ayrıca istihbarat güdümlü test isteyebilir. Rulebook; siber güvenlik programı yönetişimi, HSM destekli çoklu imza anahtar yönetimi, soğuk saklama asgarileri ve önem derecesine göre 24 ila 72 saat içinde olay bildirimi gerekliliklerinin yanında yer alır. Test yükümlülüğü rulebook'un tamamı değildir, ama dış bir taraf gerektiren kısmıdır.
İstihbarat güdümlü test — TIBER-EU ve CBEST'in arkasındaki model — sizinki gibi firmaları gerçekte kimin hedef aldığına dair gerçek tehdit istihbaratından başlar, sonra bu belirli düşmanları üretim ortamına karşı, genellikle savunan ekibin haberi olmadan simüle eder. Standart bir sızma testinden daha uzun, daha pahalı ve daha açıklayıcıdır. VARA orantılı gördüğü yerde isteyebilir; bu da pratikte firmanın büyüklüğünü ve saklamadaki varlıkları takip eder. Yeni lisanslanan VASP'lerin çoğu yıllık bağımsız testle başlar; kayda değer saklama tutan firmalar bu sorunun er geç geleceğini beklemelidir.
DIFC'deki DFSA da ADGM'deki FSRA da, VARA'nın yaptığı gibi tek bir evrensel aralık yayımlamak yerine firmanın risk profiliyle orantılı düzenli bağımsız güvenlik testi bekler. Firmaların benimsediği ve savunduğu norm yıllıktır; maddi değişiklik sonrasında ek testle birlikte. Her iki serbest bölgedeki pratik beklenti kıyı içiyle aynıdır: bağımsız test, belgelenmiş giderme ve talep üzerine sunabileceğiniz kanıt.
Neredeyse kesinlikle ve çoğu kurucunun beklediğinden daha erken. Yükümlülük ölçekle değil lisansla gelir; dolayısıyla kum havuzundaki veya yeni lisanslanmış bir firma onu tam da güvenlik programının en az olgun olduğu aşamada taşır. Yararlı bakış açısı şudur: ilk test platform küçükken hem daha ucuz hem çok daha az sancılıdır — ve bulgular hâlâ etrafından dolaşmak yerine mimari olarak düzeltebileceğiniz bulgulardır.
Evet ve bir VASP için kapsamın yoğunlaşması gereken yer burasıdır. İşlem ön yüzüne yapılan bir web uygulaması testi, asıl kayıp senaryosunu test edilmemiş bırakır. Yanıtlanmaya değer sorular şunlardır: imzalama akışı, sıcak ve soğuk altyapı arasındaki ayrım, bir transferi kimin ve neyin yetkilendirebildiği, kısmi erişimi olan birinin onayları nasıl atlatabileceği ve anahtar materyali çevresindeki operasyonel sürecin ele geçirilmiş bir yöneticiye dayanıp dayanmadığı. Bunlar koda olduğu kadar tasarıma ve sürece dair sorulardır; bu yüzden tarayıcı değil insan gerektirir.
VARA, DFSA, ADGM veya CBUAE lisanslı mısınız?
Rulebook'a göre kapsamlandırılmış bağımsız test — yalnızca ön yüz değil, saklama sınırı dahil.