NESA 渗透测试要求
在各类合规框架中，NESA 的 Information Assurance Standards 颇为少见地在两件多数框架语焉不详的事情上给出了明确规定：严重发现事项的整改设有时限，且执行测试者的资质会被审查。这两点都会改变你采购测试的方式。
该标准的要求
在技术漏洞管理之下，阿联酋 Information Assurance Standards 要求漏洞评估与渗透测试须执行并予以跟踪。对受监管主体而言，这在实务上落到年度测试——但该义务是一个闭环而非一次性事件，受审查的三个部分是：
- 测试——由独立方执行，范围与该主体相称。
- 整改——严重与高危发现事项已记录并修复；若选择接受风险，相应决定已留档。
- 复测——在规定窗口内（通常 90 天）取得修复确已生效的证据。
在渗透测试一项上未能通过 NESA 的主体，几乎无一例外都完成了第一部分，而未完成另外两部分。
改变采购方式的两项要求
90 天的时限意味着不能拖到最后才测试
若严重与高危发现事项必须在 90 天内完成整改并复测，排期上的后果便不可避免：在合规年度最后一个月执行的测试，不会留下任何余地去修复什么并加以证明。等到报告交付时，你剩下的是几周，而不是一个季度。
请至少留出一个季度的余量。若环境规模较大，或距上次测试已有时日，则应留得更多——因为在报告出来之前，整改工作量是未知的，而一份比预期更沉重的发现清单，恰恰是这个窗口在设计上要施加压力的情形。单是这一项排期决定，造成的 NESA 不通过比任何技术问题都多。
评估师会审查由谁执行测试
NESA 评估师会检视渗透测试服务方的资质，而明示的预期标准是 OSCP 或同等资质。这在同类框架中异常具体——多数框架只说「具备适当资质」便就此打住——并且带来直接的商业后果：由不具备公认攻击性资质者执行的较低价测试，可能在评估中被拒绝，这将让你同时损失费用、整改窗口与复测机会。
因此，在委托任何服务方之前应当提出的问题很简单：由谁执行测试，他持有什么资质，我能否核验？就本项目而言，答案是该认证的现行续期版本 OSCP+，以及 eCPPT、eWPT 与 eCIR，另有 Microsoft 安全方向的 AZ-500、SC-200 与 SC-300。全部可通过 OffSec credential wallet 独立核验，该链接将与报告一并进入你的证据材料。
范围
一个符合 NESA 要求的项目所涵盖的内容：
- 外部网络——全部面向互联网的资产，包括已发布却被遗忘的服务。
- Web 应用与 API——身份认证、授权、业务逻辑、注入，以及手机应用背后的 API。
- 内部网络——立足点能够触及多远；分段隔离是否守得住。
- Active Directory——ADCS 证书模板滥用、Kerberoasting、委派，以及通往 Domain Admin 的 ACL 路径。对阿联酋政府机构或公用事业单位而言，一个微小的外部立足点正是在这里演变为全面失陷。
- 云——Entra ID 与 Azure RBAC 提权、暴露的存储、身份配置错误。
尤其对关键信息基础设施而言，值得刻意纳入范围的问题不只是边界是否守得住，还包括当边界失守时有人能走多远——这正是假定失陷评估所衡量的内容，也是董事会或监管机构真正想知道的事。
NESA 与迪拜 ISR 一并处理
许多组织同时承担两者：联邦层面的 NESA，以及因其属于迪拜政府机构或为其供货而适用的 DESC Information Security Regulation。二者并行运作而非彼此取代，其技术测试要求几乎完全重叠。
若从一开始就刻意按两套制度界定范围，一个项目即可产出两套证据——测试相同，不同的是映射。若只按其中一套界定、事后再补，通常会变成测两次。在范围界定阶段说明哪些制度适用于你，不会增加任何成本，而这是你在首次沟通中能够提供的最具价值的信息。
交付成果
面向管理层与评估师的摘要；含复现步骤、证据与 CVSS 评级的技术正文；以及每条发现事项到适用控制项的映射，使你的合规团队无需自行整理这张表。随后是整改期间的支持、对已关闭发现事项的复测（这是 NESA 的要求，而非增值销售），以及一份记录由谁测试、何种范围、何日期执行的实施证明函。
任何严重事项都会在发现当下即时通报，而不会留到报告中。若希望在决定前先看格式，可参阅示例报告。
实务安排
工作以远程方式开展。外部、Web 应用与云测试除范围与授权外无需贵方准备任何内容；内部与 Active Directory 测试通过贵方环境内的 VPN 或跳板主机执行。若贵方监管机构或贵方自身政策对证据的处理与存储地点有所限制，该限制将在任何工作开始前以书面形式写入测试约定规则。
本人在安曼，比迪拜晚一小时，与本地区作息相同，可用阿拉伯语或英语沟通。本人在阿联酋没有办公室，也不作此类声称——你得到的是亲自执行测试的人，其资质可在一分钟内核验。
下一步
请告知你是作为联邦机构、作为 CII，还是通过与两者之一的合同而被纳入监管；范围内包含哪些内容；以及评估时间。我会回复固定报价与开工日期。鉴于 90 天的复测窗口，首先值得厘清的问题是你还有多少余量：若不足一个季度，推进顺序将有所不同，宜尽早沟通。
相关内容：各制度如何衔接，参见阿联酋的渗透测试；金融服务参见 CBUAE、DFSA、ADGM 与 VARA；其余内容参见合规总览。欢迎联系我，阿拉伯语同样欢迎。
NESA 常见问题
联邦政府机构，以及被认定为关键信息基础设施的组织——涵盖能源、水务、交通、电信、金融服务与医疗卫生。与沙特的 ECC 类似，实务覆盖面比形式范围更广，因为受监管主体会通过合同把同等要求传导给供应商。若某家阿联酋政府机构或公用事业单位向你索要渗透测试证据，原因通常就是 NESA。
漏洞评估与渗透测试须在技术漏洞管理框架下执行并予以跟踪，对受监管主体而言，这在实务上意味着至少每年一次。跟踪一词与执行同等重要：NESA 要找的是一个受管理且留有证据的闭环——界定范围、测试、整改、复测、记录——而不是一份一年出现一次、随后被归入文件夹的报告。
严重与高危发现事项需要有书面整改，并在规定期限内（通常为 90 天）留有复测证据。其实际影响在于时间安排：若你在合规年度的最后一个月才做年度测试，在周期结束前就没有余地在窗口内完成整改与复测。请至少留出一个季度的余量再开展测试。这是 NESA 项目中最常见的排期失误，而且完全可以避免。
是的——比在多数框架中都更重要。NESA 评估师会审查渗透测试服务方的资质，预期标准是 OSCP 或同等资质。由不具备公认攻击性安全资质者执行的测试会被质疑，有时会在评估中被拒绝，这意味着最低的报价可能带来最昂贵的结果。在委托任何一方之前，请索取资质与核验链接，并将两者一并放入证据材料。
通常可以。两套制度并行运作——NESA 在联邦层面，DESC 的 ISR 面向迪拜政府机构及其供应商——二者要求的技术范围几乎完全重叠。不同之处在于映射与报告方式。若从一开始就按两套制度界定范围，你将获得一次测试和两套证据；若只按其中一套界定，之后再补另一套，通常意味着要重新测试。
NESA 评估即将到来？
持有 OSCP+，按 IAS 界定范围，并提供 90 天窗口所要求的复测证据。