اختبار الاختراق وفق المكوّن الفرعي 2-11 من الضوابط الأساسية للأمن السيبراني

ما يتطلبه المكوّن الفرعي 2-11

يضم المكوّن الفرعي 2-11 أربعة ضوابط:

• 2-11-1 تحديد متطلبات الأمن السيبراني لعمليات اختبار الاختراق في الجهة وتوثيقها واعتمادها.
• 2-11-2 تنفيذ عمليات اختبار الاختراق في الجهة.
• 2-11-3 أن تغطي هذه المتطلبات بحد أدنى نطاقاً يشمل جميع الخدمات المقدَّمة خارجياً عن طريق الإنترنت ومكوّناتها التقنية (2-11-3-1)، وإجراء اختبار الاختراق دورياً (2-11-3-2).
• 2-11-4 مراجعة تطبيق هذه المتطلبات في الجهة دورياً.

وتنص الضوابط على الهدف بوضوح: تقييم مدى فعالية قدرات الجهة في الأمن السيبراني واختبارها بمحاكاة تقنيات الهجوم السيبراني الفعلية وأساليبه، لاكتشاف نقاط الضعف غير المعروفة التي قد تؤدي إلى اختراقها.

على من تنطبق الضوابط؟

تنطبق الضوابط على:

• الجهات الحكومية في المملكة، من وزارات وهيئات ومؤسسات وغيرها
• الجهات والشركات التابعة لها، داخل المملكة وخارجها
• جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها

وتشجّع الهيئة الوطنية للأمن السيبراني بشدة الجهاتِ الأخرى في المملكة على الاستفادة من هذه الضوابط.

وقد تصل إليكم متطلباتها عبر العقود أيضاً. فالضابط 4-1-2-3 يطلب من الجهة الخاضعة لها أن تُلزم الأطراف الخارجية، في العقود التي قد تتأثر بها بياناتها أو خدماتها، بتطبيق متطلبات الأمن السيبراني وسياساته لديها. فإن كنتم تقدّمون خدمات لجهة حكومية، فقد ينقل إليكم عقدكم معها هذه المتطلبات.

كيف نحدد نطاق اختباركم وفق الضابط 2-11-3-1

يذكر الضابط 2-11-3-1 المكوّنات التقنية التي يجب أن يشملها اختبار الاختراق، وهذا ما نختبره في كل منها.

• البنية التحتية

  الخوادم والخدمات المكشوفة على الإنترنت والمحيط الخارجي.

  خدمتنا: اختبار الشبكات والبنية التحتية

• المواقع الإلكترونية وتطبيقات الويب

  المصادقة وإدارة الجلسات وضوابط الوصول وثغرات الحقن ومنطق الأعمال.

  خدمتنا: اختبار اختراق تطبيقات الويب

• تطبيقات الهواتف الذكية واللوحية

  تطبيقات iOS و Android وواجهات برمجة التطبيقات التي تعتمد عليها.

  خدمتنا: اختبار اختراق تطبيقات الجوال

• البريد الإلكتروني

  خدمات البريد المكشوفة على الإنترنت وبوابات البريد على الويب.

  خدمتنا: اختبار الشبكات والبنية التحتية

• الدخول عن بُعد

  بوابات VPN وغيرها من بوابات الدخول عن بُعد.

  خدمتنا: اختبار الشبكات والبنية التحتية

نتفق معكم على الخدمات التي تقدّمونها عبر الإنترنت، وندرجها في وثيقة نطاق العمل وخطاب التفويض، ولا نختبر إلا ما أُدرج فيهما. وإذا صادفنا أصلاً يبدو أنه يخصّكم وهو خارج النطاق، فلا نختبره، بل نخبركم ونسألكم كيف تودّون المتابعة. أما الأنظمة التي تستضيفها أطراف أخرى، كالمنصات السحابية ومزوّدي الخدمات المُدارة، فلا نختبرها إلا بما تسمح به سياساتها أو بإذن منها.

اختبار اختراق أم فحص ثغرات؟

تتعامل الضوابط معهما بوصفهما متطلبين منفصلين. فالمكوّن الفرعي 2-10 الخاص بإدارة الثغرات يتطلب فحص الثغرات واكتشافها دورياً، وتصنيفها حسب خطورتها، ومعالجتها. أما المكوّن الفرعي 2-11 فيتطلب اختبار اختراق يحاكي الهجمات الفعلية.

يفيدكم تقرير أداة الفحص في الأول، لكنه لا يبيّن ما يستطيع المهاجم فعله بالثغرة، وهذا ما يطلب منكم الثاني اختباره. ولذلك يؤكد مختصونا كل نتيجة بأنفسهم، ويبحثون فيما لا تلتقطه أدوات الفحص الآلي، مثل ثغرات منطق الأعمال والثغرات التي لا تظهر خطورتها إلا مجتمعة.

ما يستلمه فريق الامتثال لديكم

• ربط كل نتيجة بالضوابط التي تمسّها، بصيغة يقدّمها فريق الامتثال لديكم دليلاً في أعمال التدقيق
• قسم للنطاق يذكر كل خدمة شملها الاختبار، لتُثبتوا ما غطّاه
• ملخص تنفيذي للإدارة العليا، وتقرير تقني لفرقكم التقنية، وخارطة طريق للمعالجة مرتّبة حسب المخاطر والجهد
• جولة واحدة لإعادة اختبار جميع النتائج المؤكدة خلال 90 يوماً دون تكلفة إضافية، ثم خطاب إغلاق يوثّق حالة كل نتيجة
• المخرجات كلها بالعربية أو الإنجليزية أو باللغتين

ولا نُصدر شهادات امتثال ولا نُجري التقييمات الرسمية للامتثال، فالهيئة الوطنية للأمن السيبراني هي التي تقيّم التزام الجهات، من خلال الزيارات الميدانية للتدقيق أو التقييم الذاتي أو الآلية التي تراها مناسبة.

كم مرة ينبغي الاختبار؟

تشترط الضوابط إجراء اختبار الاختراق دورياً (2-11-3-2)، وتترك تحديد المدة لمتطلباتكم التي توثّقونها وتعتمدونها وفق الضابط 2-11-1. وعند تحديدها، راعوا المتطلبات الأخرى التي تلتزمون بها، فإطار الأمن السيبراني للبنك المركزي السعودي مثلاً يدعو إلى اختبار سنوي للخدمات المقدَّمة للعملاء وعبر الإنترنت. كما أن إعادة الاختبار بعد أي تغيير كبير، كإطلاق تطبيق جديد أو الانتقال إلى منصة جديدة، تُبقي أدلتكم محدّثة.

ويتطلب الضابط 2-11-4 أيضاً مراجعة تطبيق متطلبات اختبار الاختراق دورياً، فاحتفظوا بكل تقرير وخطاب إغلاق.

أسئلة شائعة