SAMA 渗透测试要求
若你受沙特中央银行监管，渗透测试就是一项每年重复的义务，而非一个项目。该框架在两点上十分明确，而这两点决定了你的证据能否通过审查：测试必须独立，范围必须触及客户能够接触到的系统。
直截了当地表述该要求
受沙特中央银行监管的机构，应当开展至少每年一次的独立外部渗透测试，范围覆盖对外暴露的系统、Web 应用与网络基础设施。
这句话中有三个词承载了全部分量，而每一个都是证据在审查中常常失守之处：
- 独立——并非由构建或运维被测系统的团队执行。
- 至少每年——年度周期是下限，面向互联网系统的重大变更是独立的触发条件。
- 渗透测试——不是换了封面的漏洞扫描。评估师已经很擅长区分二者。
SAMA 证据真正失守的地方
被质疑的内容大多可用四种失败模式解释，而这四种的预防成本都低于补救成本。
把扫描当作渗透测试提交
其特征是结构性的：每一条发现事项都是一个带厂商提供描述的 CVE，没有任何环节被串联起来，也没有叙述说明攻击者究竟能够达成什么。渗透测试展示的是影响：这个暴露的服务交出一组凭据，这组凭据可以抵达那台内部系统，而该系统承载着这些数据。如果你的报告是一份按序排列的版本号清单，那就是扫描。完整的区别说明在此。
站不住脚的独立性
由工程团队执行的测试、由同时负责基础设施运维的托管服务商执行的测试，或由厂商评估自家产品。无论测试本身水平多高，这几种情形都不满足独立性要求。
遗漏客户侧层面的范围
手机银行后端、合作方 API、在范围签署之后才上线的新金融科技对接。面向互联网的系统与 Web 应用在框架中被明确列出，因此此处的缺口属于直接遗漏，而非判断问题。
没有复测
一份列有十二项高危发现、却没有任何一项已被关闭之证据的报告，在审查者看来只是对一个未解决问题的记录。整改与复测的闭环，才是把测试转化为合规证据的环节。
项目涵盖的内容
监管基线，每年执行：
- 外部网络测试——全部面向互联网的资产：网上银行、支付接口、VPN 与远程接入、邮件基础设施，以及曾为某个项目发布却从未下线的主机。
- Web 应用与 API 测试——身份认证与会话处理、客户之间的授权与访问控制、交易流程中的业务逻辑、注入，以及手机应用背后的 API。在金融机构中，业务逻辑类发现往往最为关键，也正是自动化永远找不出来的那一类。
建议同时开展、并被多数机构纳入年度或隔年周期的内容：
- 内部网络测试——立足点实际能够触及多远，以及办公环境与支付环境之间的分段隔离是否守得住。
- Active Directory——ADCS 滥用、Kerberoasting、委派，以及通往 Domain Admin 的 ACL 路径。一个不起眼的立足点正是经由这条路径演变为全行范围的失陷，而外部测试对此完全不可见。
- 云——工作负载迁移之处的 Entra ID 与 Azure RBAC 提权、暴露的存储与身份配置错误。
- 假定失陷评估——从立足点而非边界出发，回答董事会真正会问的问题：有人究竟能走多远？
若你同时处理卡数据，PCI DSS 要求 11.4 将同步适用且高度重叠——合并界定范围后是一个项目，而不是两个。
交付成果
这份报告是按照金融机构实际使用方式来组织的：一份董事会与监管机构无需转译即可阅读的管理层摘要；一份面向工程人员、含复现步骤、证据与 CVSS 评级的技术正文；以及每条发现事项对其所涉框架控制项的明确映射，使你的合规团队无需自行构建这套映射。
随后是把报告转化为证据的那些环节：整改期间的支持、对已关闭发现事项的复测，以及一份载明测试已执行、由谁执行、针对何种范围、于何日期执行的实施证明函。以上均已包含在内。示例报告可供查看格式。
由谁执行
你直接与测试执行者对接——没有客户经理，没有在账单上挂着资深人员姓名、实际由初级人员跑工具的情况，也不会在测试与报告之间等上三周。面对监管期限时，正是这种直接性通常让日期得以守住。
资质情况（金融业采购一定会问，故此列明）：OSCP+、eCPPT、eWPT、eCIR，以及用于 Microsoft 与 Azure 部分的 AZ-500、SC-200 与 SC-300，全部可通过 OffSec credential wallet 核验。在全职转向攻击方工作之前，我曾担任检测工程师与 CTI 分析师，这一背景在本行业尤为有用：报告不仅会说明攻击路径如何运作，还会说明它在你的 SIEM 中会呈现为何种样貌，以及你的监控是否能够捕捉到它。
本人在安曼远程工作，时区 GMT+3，与利雅得的作息和工作周完全一致，可用阿拉伯语或英语沟通。
如何开始
请告知牌照类型、范围内包含哪些内容，以及测试需在何时完成。我会回复固定报价与开工日期。若年度周期临近、希望先了解当前的外部暴露面，免费边界扫描只需几分钟。
相关内容：关于 SAMA 与 NCA ECC 如何并行，参见沙特阿拉伯的渗透测试；若你同时承担政府方面的义务，参见 ECC 控制项 2-11；其余内容参见合规总览。欢迎联系我，阿拉伯语同样欢迎。
SAMA 常见问题
受沙特中央银行监管的成员机构：银行、保险与再保险公司、金融公司、征信机构，以及支付服务提供方，包括持 SAMA 牌照或在其监管沙盒中运营的金融科技企业。若你的牌照来自 SAMA，该框架即适用于你。金融科技企业常对此感到意外：义务随牌照而来，而那往往是安全体系尚在成形的阶段。
至少每年一次独立的外部渗透测试。「至少」一词在这句话中承担着实质作用：面向互联网的系统发生重大变更时，通常被认为应当触发测试，无论你处在年度周期的哪个阶段；一家在年度测试六个月后上线新的面向客户平台却未加测试的机构，将面临一场艰难的说明。请把年度测试视为下限，把重大变更视为独立的触发条件。
意味着测试不得由构建或运维被测系统的人员执行。一个独立于工程条线汇报的内部安全部门更接近要求，但最清晰且最被广泛接受的答案，是在环境的构建与运行中均无角色的外部第三方。这是各机构最常出错的要求，而他们往往在审查阶段而非范围界定阶段才发现——这正是代价高昂的顺序。
明确列出的范围是面向互联网的系统、Web 应用与网络基础设施。多数机构会走得更远，也有充分理由：一次只证明攻击者能够抵达边界、却从不追问其后会发生什么的测试，只回答了问题的一半。行之有效的模式是：每年完成一次完整的外部与 Web 应用评估作为监管基线，并至少每隔一年、或在资产发生重大变化时，纳入内部网络与 Active Directory 测试。
可以，而且这正是通常的情形。你通常已经具备框架映射、GRC 职能以及与内审的协作关系；所需要的是能够嵌入其中的测试与证据。我会针对你需要满足的控制项界定范围，在报告中把发现事项映射回该控制项，并交付合规团队需要归档的复测与实施证明。本方不是 GRC 咨询机构，也不会试图向你推销框架落地项目——测试才是我负责的部分。
年度 SAMA 测试临近了吗？
独立执行，按框架界定范围，并附合规团队用于归档的复测与实施证明。