阿拉伯联合酋长国渗透测试
阿联酋叠加的网络安全制度之多，几乎超过任何其他国家——联邦层面、酋长国层面、行业专属以及自由区各自的规定——而它们几乎都归结到同一项要求：独立的渗透测试，至少每年一次，并附证据。以下说明哪一项适用于你们，以及测试包含什么。
阿联酋监管全景简述
阿联酋把联邦、酋长国与行业规则层层叠加。多数机构受不止一项约束，而有用的结论是：一次界定得当的测试可以同时满足多项要求——前提是刻意如此设计，而非碰巧。
NESA / UAE Information Assurance Standards
联邦基线，适用于政府机构，以及在能源、水务、交通、电信、金融服务与医疗领域被认定为关键信息基础设施的机构。技术漏洞管理要求开展并跟踪评估与渗透测试——实务上为每年一次。有两项要求最容易被忽略：高危与严重发现须在规定期限内（通常 90 天）形成整改记录与复测证据；以及审计方会核查执行者的资质，明确的期待是 OSCP 或同等证书。NESA 页面有详细说明（英文）。
Dubai ISR（DESC）
Dubai Electronic Security Centre 的 Information Security Regulation 约束迪拜政府机构及为其服务的供应商。它与 NESA 并行而非取而代之，与迪拜政府合作的机构常需同时提供两者的证据。两者的测试要求实质相近，因此一次兼顾两者界定范围的项目可产出同一套证据。
金融服务：CBUAE、DFSA、ADGM
阿联酋中央银行为境内银行与金融公司设定期待；DFSA 监管 DIFC 企业，FSRA 监管 ADGM 企业。三者都期待定期的独立安全测试，三者也都不认可把漏洞扫描当作渗透测试提交。详见此处（英文）。
VARA：虚拟资产
迪拜虚拟资产监管机构依据其 Technology and Information Rulebook，要求每家持牌机构至少每年接受一次独立渗透测试；在其认为必要且相称时，还要求情报驱动测试。该规则手册与基于 HSM 的密钥管理、冷存储最低比例，以及按严重程度 24 至 72 小时内上报事件等要求并存。
医疗：ADHICS
阿布扎比医疗信息安全标准适用于该酋长国的医疗机构及其技术供应商，在临床数据控制之外另有测试与证据要求。更多内容见此（英文）。
数据保护
联邦 PDPL，以及 DIFC 与 ADGM 各自独立的数据保护法，在处理个人数据之处带来安全义务。它们并未点名渗透测试，但标准是「适当的技术措施」，而在事件发生后要证明这一点，手头有一份近期的独立测试会容易得多。
一次测试，多项义务
在阿联酋，代价高昂的做法是按监管机构逐一采购评估。多数情况下技术范围几乎完全重叠——外部暴露面、Web 应用与 API、内部网络与 Active Directory、云租户——不同的是对应关系与报告形式，而非测试本身。
因此项目只需针对你们适用的全部要求界定一次范围，报告再把每条发现对应到每一项适用的控制项。实际范围如下：
- 外部网络——所有可从互联网到达的资产，包括没人记得发布过的主机。
- Web 应用与 API——认证、授权、业务逻辑、注入。每家监管机构都会问到的面向客户层。
- 内部网络——一个立足点能走到哪里，以及你们的分段是否真的撑得住。
- Active Directory——ADCS 滥用、Kerberoasting、委派，以及通往 Domain Admin 的 ACL 路径。
- 云——Entra ID 与 Azure RBAC 中的提权、暴露的存储、身份配置错误。
对于受 VARA 监管的虚拟资产机构，还要加上托管边界：钱包基础设施、签名流程，以及围绕密钥材料的运营控制——损失发生在这里，而不是 Web 前端。
资质要求，说具体些
多数合规类页面对此一笔带过，但在阿联酋它异常具体：NESA 审计方会核查测试由谁执行，期待的是 OSCP 或同等证书。由不具备公认攻击型安全证书者执行的测试会被质疑，审计中有时会被驳回。
我持有 OSCP+——该证书当前的续期形态——攻击侧还有 eCPPT、eWPT 与 eCIR，微软安全侧则有 AZ-500、SC-200 与 SC-300，这让 Entra ID 与 Azure 部分言之有据而非泛泛而谈。全部可在 OffSec 证书钱包中独立核验，该链接应当与报告一并放入你们的证据包。
项目如何推进
先谈范围与报价：你说明义务、环境与期限；我回复固定价格与开工日期，通常在一至两周内。测试执行规则以书面方式约定，包括测试时段、升级联系人，以及监管机构对证据处理或存放地点的任何限制。
测试通常视范围需一至两周，任何严重问题都会在发现当下即时通报，而不会留到最终文件。报告在数日内交付：摘要、带复现步骤与 CVSS 评分的技术发现、控制项对应关系，以及按优先级排列的整改建议。随后是对你们已修复部分的复测与确认函——在阿联酋，这比多数人想象的更重要，因为 90 天内的复测证据本身就是一项要求，而非附加服务。
我在安曼远程作业，比迪拜晚一小时，与该地区同样的工作周节奏，使用阿拉伯语或英语。没有本地办公室，我也不会声称有——你得到的是直接对接实际执行工作的人，且资质可核验。
从这里开始
告诉我你们对哪家监管机构负责，以及范围包含什么。如果不确定——在制度如此交错的环境下完全正常——一次简短沟通就能理清。合规总览把各法规并列对比，免费边界扫描几分钟内显示你们当前的外部暴露，样例报告则原样展示你会收到什么。
欢迎联系——以阿拉伯语咨询同样欢迎；若申报期限决定了时间表，请在第一行说明。
阿联酋：常见问题
大致如下：联邦机构以及被认定为关键的信息基础设施——能源、水务、交通、电信、金融服务、医疗——适用 NESA 的 Information Assurance Standards。迪拜政府机构及其供应商适用 DESC 的 ISR。银行与金融公司对中央银行负责；DIFC 企业对 DFSA 负责，ADGM 企业对 FSRA 负责；迪拜虚拟资产服务提供商对 VARA 负责。阿布扎比的医疗适用 ADHICS。许多机构同时受两三项约束，这通常不成问题——只要从一开始就按此设计，一次界定得当的测试可以为全部制度产出证据。
是的。Information Assurance Standards 下的技术漏洞管理要求开展并跟踪漏洞评估与渗透测试，对适用机构而言，实务上意味着至少每年一次。除测试本身外还有两处要点：高危与严重发现须在规定期限内（通常为 90 天）形成整改记录与复测证据——没有复测的测试是不完整的答卷；并且 NESA 审计方会核查执行者的资质，期待的是 OSCP 或同等证书。
是的。依据 VARA 的 Technology and Information Rulebook，在迪拜获牌的每一家虚拟资产服务提供商都需至少每年接受一次独立渗透测试；在 VARA 认为必要且相称时，还可额外要求情报驱动测试。该规则手册还涵盖基于 HSM 的密钥管理、冷存储最低比例，以及按严重程度在 24 至 72 小时内上报事件。对这类机构而言，范围通常须超出常规 Web 测试——钱包基础设施、签名流程与托管边界才是真实风险所在。
不需要。外部测试、Web 应用、云以及大部分内部测试均以远程交付，这是该地区的常态。内部网络与 Active Directory 通过你们环境内的 VPN 或跳板机进行。若监管机构或贵方政策限制数据处理地点或证据存放位置，会在开工前以书面形式写入测试执行规则。
通常在范围确认后一至两周内；若有申报期限催促则更快。由于你直接与执行者签约，签字与开工之间没有内部资源排队。典型的「外部加 Web 应用」项目测试需一至两周，报告在结束后数日内交付——时间安排详解（英文）。
有 NESA、ISR 或 VARA 的期限？
告诉我义务与范围，即可获得固定报价和开工日期。