沙特阿拉伯渗透测试
在沙特，多数渗透测试之所以被采购，是因为监管机构提出了要求。NCA 的 Essential Cybersecurity Controls、关键系统控制项与 SAMA 框架各自规定了周期，并且都期待审计方能够读懂的证据。以下说明这项工作包含什么，以及我如何交付。
沙特监管机构真正要求什么
沙特有三套各自独立的制度强制要求渗透测试，适用哪一套决定了范围、频率以及你们必须保存的证据。
NCA Essential Cybersecurity Controls（ECC）
National Cybersecurity Authority 的 ECC 是国家基线，约束政府机构、其承包商以及关键国家基础设施运营者。控制项 2-11 涵盖渗透测试（页面为英文）：要求须定义、记录并获批准，须落实执行，范围须涵盖对互联网开放的服务及其背后的技术基础设施。测试按周期开展，而审计方寻找的证据是完整闭环——范围说明书、测试报告、整改、复测——而不是一份标着日期的 PDF。
Critical Systems Cybersecurity Controls（CSCC）
若你们有系统被归类为关键，CSCC 会抬高门槛：这些系统须至少每六个月测试一次，而非每年一次。这让不少机构措手不及，因为预算与采购周期通常按一年一次测试来搭建。请先完成分类，因为半年一次的节奏会彻底改变项目的商务形态。
SAMA Cyber Security Framework
受沙特中央银行监管的金融机构——银行、保险公司、金融公司、支付机构——应开展至少每年一次的独立外部渗透测试（页面为英文），覆盖对互联网开放的系统、Web 应用与网络基础设施。真正起作用的要求是独立性：由构建或运维该系统的团队执行的测试不满足要求，把漏洞扫描当作渗透测试提交同样不满足。
与之并行的其他要求
SDAIA 的个人数据保护法在处理个人数据之处带来自身的安全义务；Cloud Cybersecurity Controls 适用于工作负载位于云服务商的情形；大型企业也越来越多地对供应商施加自有安全标准——沙特供应商最先遇到的例子是 Aramco 的第三方要求。若你们受理银行卡支付，在上述之上还适用 PCI DSS 要求 11.4；相关内容见 PCI DSS 页面。
一次测试实际覆盖什么
实务中满足控制项 2-11 与 SAMA 的范围，按通常顺序如下：
- 外部网络测试——你们对互联网开放的一切：VPN 集中器、邮件、远程接入、被遗忘的预发布主机，以及没人记得发布过的服务。明确属于 2-11 的范围，也是多数真实入侵的起点。
- Web 与 API 测试——面向客户的应用及其背后 API 的认证、授权、业务逻辑与注入问题。SAMA 范围中有明确提及。
- 内部网络测试——已经取得立足点的人能走到哪里：撑不住的网络分段、扁平网络、放在不该放之处的凭据。
- Active Directory——ADCS 证书模板滥用、Kerberoasting、委派问题，以及通往 Domain Admin 的 ACL 路径。几乎每家沙特大型机构都运行在 AD 上，外部的一个小立足点正是在这里变成全面沦陷。
- 云——Entra ID 与 Azure RBAC 中的提权路径、暴露的存储，以及让云租户从屏障变成捷径的身份配置错误。
你会得到什么
一份同时面向两类读者的报告：董事会或监管机构无需翻译即可读懂的摘要，以及工程师可直接据以作业、包含复现步骤、证据与 CVSS 评分的技术正文。每条发现都对应到触发测试的控制项，审计方因此可以从义务追溯到证据，而不必由你们自行搭建这层对应关系。
整改支持包含在内而非另行收费——修复过程中的疑问都会得到答复——已关闭发现的复测，以及载明测试已执行、由谁执行、按何范围、在何日期的确认函同样包含在内。以我的经验，送到审计方手里、或发给索要证明的大企业客户的，正是这封确认函。若想在决定前先看格式，有样例报告（英文）。
为什么与独立顾问合作
你直接与执行测试的人沟通。没有转述问题的客户经理，没有账单上挂着资深人员姓名、实际由新人跑扫描器的情况，也没有测试结束到报告送达之间三周的空档。面对 ECC 或 SAMA 的期限时，这种直接性通常就是按期完成与事后解释之间的区别。
与海湾地区在实务上的契合值得明说：我在安曼以 GMT+3 工作——与利雅得、吉达、达曼相同的工作时间与工作周——因此测试期间提出的问题当天就有答复。阿拉伯语与英语均可。我持有 OSCP+，以及 eCPPT、eWPT、eCIR、AZ-500、SC-200 与 SC-300，全部可在 OffSec 证书钱包中独立核验。这一点在此地颇为重要，因为审计方越来越多地追问测试由谁执行、持有什么资质。
我不会做的是：假装自己是本地公司。我在利雅得没有办公室，也不会声称有。我所提供的，是一位你可以直接签约、与你同处一个时区、使用同一语言、资质三十秒即可核验的专业人员。
如何开始
告诉我需要满足的控制项——2-11、CSCC 的半年周期，或 SAMA 的年度测试——以及范围与期限。你会收到固定报价和开工日期，而不是一套调研流程。若想先看点具体的，免费边界扫描会显示你们外部暴露面当前开放了什么，合规总览则对比其余法规。
如果不确定适用哪套制度，这是很正常的问题，一次简短沟通即可厘清。欢迎联系——以阿拉伯语咨询同样欢迎。
沙特阿拉伯：常见问题
是的。Essential Cybersecurity Controls 的控制项 2-11 专门涵盖渗透测试，包含三部分：要求须经定义与记录、须经批准、须落实执行。范围至少须涵盖对互联网开放的服务及其背后的技术基础设施。测试须按周期开展。若你们同时适用 Critical Systems Cybersecurity Controls，关键系统须至少每六个月测试一次，而非每年一次。
受沙特中央银行监管的机构，应至少每年开展一次独立的外部渗透测试，覆盖对互联网开放的系统、Web 应用与网络基础设施。其中分量最重的词是独立：由构建或运维该系统的团队执行的测试并不满足要求。对银行、保险公司、金融公司与支付机构而言，这是每年循环的义务，而非一次性事项。
外部测试、Web 应用、云以及大部分内部测试都不需要——工作以远程方式进行，该地区绝大多数评估也都是这样交付的。内部网络与 Active Directory 测试通过你们掌控的 VPN 或一台小型跳板机进行；若贵方政策要求，我也可以在你们环境内的机器上作业。如果存在限制证据存放或处理位置的数据驻留要求，请在界定范围时告知，会以书面形式写入测试执行规则。
它正是为此而写。每份报告包含面向管理层的摘要、带复现步骤与 CVSS 评分的技术正文、与触发该测试的控制项的对应关系，以及写得足以让你们工程师无需再开会就能着手的整改章节。已修复发现的复测，以及确认测试已执行、由谁执行、按何范围执行的确认函，均包含在内——实务中，审计方或客户真正归档的往往就是这封确认函。
默认英文，监管机构与多数沙特采购部门都以英文开展工作。阿拉伯文可按需提供，项目期间的日常沟通也可以全程使用阿拉伯语。我在安曼以 GMT+3 工作，与利雅得同一工作周、同一工作时段——测试期间提出的问题当天就有答复，而不是隔天。
有 NCA 或 SAMA 的期限？
告诉我需要满足的控制项与范围，即可获得固定报价和日期。