اختبار الاختراق في السعودية: النطاق والمراحل والتقرير

اختبار الاختراق الجيد ينتهي بثلاثة أشياء على مكتبك: قائمة بالثغرات التي يستطيع المهاجم استغلالها فعلًا، ودليل عملي على كل ثغرة، وإعادة اختبار تثبت أنها أُغلقت. هذا الدليل يشرح كيف تحدد نطاق اختبار الاختراق في السعودية، وما مراحله ومدتها التقريبية، وما الذي يجب أن يحتويه التقرير، والأسئلة التي تفرّق بين اختبار حقيقي وفحص آلي بغلاف أنيق.

لماذا تختبر المنشآت السعودية؟

اختبار الاختراق ليس خيارًا تحسينيًا لكثير من الجهات في المملكة، بل متطلب تنظيمي واضح.

• الضوابط الأساسية للأمن السيبراني. يُلزم المكوّن الفرعي 2-11 في الضوابط الأساسية للأمن السيبراني ECC-2:2024 الجهةَ بتحديد متطلبات اختبار الاختراق وتطبيقها ومراجعتها دوريًا. ويشمل النطاق في حده الأدنى جميع الخدمات المقدمة خارجيًا عبر الإنترنت ومكوناتها التقنية: البنية التحتية، والمواقع الإلكترونية، وتطبيقات الويب، وتطبيقات الهواتف الذكية والأجهزة اللوحية، والبريد الإلكتروني، والدخول عن بُعد، مع إجراء الاختبار بشكل دوري. وتنطبق هذه الضوابط على الجهات الحكومية والشركات والجهات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وفق ما تنص عليه صفحة الضوابط لدى الهيئة.
• ضوابط القطاع الخاص من غير البنى التحتية الحساسة. تتضمن ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة NCNICC-1:2025 ضابطًا مماثلًا برقم 2-11، وهو ملزم للجهات الكبيرة في الفئة أ، وموصى به للجهات الصغيرة والمتوسطة في الفئة ب.
• إطار الأمن السيبراني للبنك المركزي السعودي. ينص إطار الأمن السيبراني (CSF) في الضابط 3.2.4 على أن تخضع الخدمات الموجهة للعملاء والمقدمة عبر الإنترنت لمراجعة سنوية واختبارات اختراق، ويُدرج اختبارات الاختراق ضمن الاختبارات الأمنية في إجراءات إدارة التغيير (3.3.7). ويخاطب الإطار البنوك وشركات التأمين وشركات التمويل وغيرها من المؤسسات الخاضعة لإشراف البنك.
• المتطلبات الأساسية للمرونة السيبرانية. تنطبق المتطلبات الأساسية (CRFR) على المؤسسات التي تنوي التأهل للبيئة التجريبية التشريعية لدى البنك المركزي أو تسعى إلى الحصول على ترخيص، ويشترط الضابط 3.2.6 فيها إجراء اختبار الاختراق مرتين في السنة كحد أدنى أو بعد أي تغيير كبير أو حساس.

الخلاصة العملية: إذا كانت منشأتك خاضعة للتنظيم، فالسؤال ليس هل تختبر، بل كيف تختبر بجودة تصمد أمام المدقق والمهاجم معًا.

اختبار الاختراق أم تقييم الثغرات؟

تفصل الضوابط الأساسية بين الأمرين في مكونين مستقلين: 2-10 لإدارة الثغرات، و2-11 لاختبار الاختراق. تقييم الثغرات واسع ومؤتمت في معظمه، يكشف الثغرات المعروفة ويرتّبها حسب خطورتها. أما اختبار الاختراق فيعتمد على وقت مختبِر متمرس يربط الثغرات ببعضها، ويثبت أثرها، ويصل إلى ما لا تلتقطه الأدوات الآلية: صلاحيات تتسرب بين الأدوار، وخلل في منطق عملية الدفع، وتطبيق جوال يصدّق كل ما يرسله الجهاز.

تحتاج الاثنين. التقييم الدوري يُبقي قائمة الثغرات المعروفة قصيرة، والاختبار يخبرك بما سيفعله المهاجم بما تبقى منها.

النطاق: القرار الذي يحدد قيمة الاختبار

معظم الاختبارات الضعيفة تفشل عند تحديد النطاق، لا عند التنفيذ. احسم هذه النقاط قبل التوقيع.

ماذا يدخل في النطاق؟

ابدأ من الحد الأدنى الذي تطلبه الضوابط: كل ما يمكن الوصول إليه من الإنترنت. ثم أضف ما يهم عملك. في شركات الخدمات المالية يعني ذلك عادةً:

• بوابة العملاء أو الخدمات المصرفية الإلكترونية، وواجهات API التي تعمل خلفها
• تطبيقات الجوال على المنصتين الرئيسيتين
• المحيط الخارجي للشبكة، بما فيه بوابات الدخول عن بُعد والبريد الإلكتروني
• الشبكة الداخلية، كما يراها موظف من الداخل أو جهاز محمول مخترَق
• إعدادات البيئة السحابية التي تحفظ بيانات العملاء

كم يعرف المختبِر؟

• الصندوق الأسود: دون أي معلومات، كما يفعل مهاجم خارجي. واقعي، لكنه بطيء ويترك مناطق كاملة دون اختبار.
• الصندوق الرمادي: حسابات اختبار لكل دور مع توثيق واجهات API. الخيار المعتاد للتطبيقات، لأن أخطر الثغرات تقع غالبًا بعد تسجيل الدخول.
• الصندوق الأبيض: الشفرة المصدرية والبنية المعمارية. يستحق كلفته في الإصدارات عالية القيمة.

قواعد الاشتباك

اكتبها ووقّعها:

• تفويض موقّع من مالك الأنظمة
• نوافذ اختبار تتجنب إقفال نهاية الشهر وذروة صرف الرواتب
• بيئة الإنتاج أم بيئة الاختبار، وهل تطابق بيئة الاختبار الإنتاج فعلًا؟
• جهات اتصال للطوارئ من الطرفين بالاسم
• ماذا يحدث عند اكتشاف ثغرة حرجة أثناء الاختبار: يتوقف المختبِر ويتصل فورًا، ولا ينتظر التقرير
• أين تُحفظ بيانات الاختبار والأدلة، ومتى تُتلف

المراحل الخمس

المرحلة	ما يحدث فيها	المسؤول
1. تحديد النطاق والتفويض	قائمة الأصول، حسابات الاختبار، قواعد الاشتباك، الموافقة الموقّعة	العميل والمختبِر
2. الاستطلاع ورسم الخريطة	حصر الخوادم والنقاط الطرفية والأدوار وتدفقات البيانات	المختبِر
3. الاختبار والاستغلال	اختبار يدوي وفق المنهجية المتفق عليها مع إثبات الأثر	المختبِر
4. التقرير والعرض	مسودة التقرير، جلسة تقنية، إحاطة للإدارة	المختبِر
5. المعالجة وإعادة الاختبار	فريقك يعالج، والمختبِر يتحقق من كل ملاحظة	الطرفان

للتخطيط: تطبيق ويب واحد مع واجهات API الخاصة به يحتاج عادةً من أسبوع إلى أسبوعين من جهد الاختبار، وتطبيق الجوال يضيف وقته الخاص. وكثيرًا ما يستغرق تحديد النطاق وقتًا أطول من الاختبار نفسه إذا تأخرت حسابات الاختبار والموافقات، فابدأ بها أولًا. واحجز موعد إعادة الاختبار عند الانطلاق، حتى لا تبقى الملاحظات مفتوحة إلى دورة العام القادم.

المنهجية يجب أن تُسمّى صراحة. يصف المعهد الوطني الأمريكي للمعايير والتقنية في الإصدار NIST SP 800-115 مراحل التخطيط والاكتشاف والهجوم والتقرير في الاختبارات الأمنية التقنية. وللتطبيقات، المراجع الشائعة هي دليل OWASP لاختبار أمن تطبيقات الويب، ودليل OWASP لاختبار أمن تطبيقات الجوال، وقائمة OWASP لأهم مخاطر أمن واجهات API. اسأل المختبِر أيها يتبع، وكيف يوثّق تغطيته.

ماذا يتضمن التقرير؟

التقرير هو المنتج الذي تدفع مقابله. وله قارئان: المسؤول التنفيذي الذي يقبل المخاطر، والمهندس الذي يعالجها.

1. ملخص تنفيذي في صفحة واحدة: مستوى المخاطر العام، والملاحظات القليلة الأهم، وما يُعالَج أولًا.
2. النطاق والتواريخ: ما الذي اختُبر بالضبط، ومن أين، وبأي حسابات، وما الذي استُبعد. هذا ما سيطابقه المدقق مع متطلب تغطية جميع الخدمات المقدمة خارجيًا.
3. المنهجية: المعايير المتبعة وحالات الاختبار المغطاة.
4. الملاحظات: لكل ملاحظة عنوان، والأصل المتأثر، ودرجة الخطورة بطريقة تقييم معلنة مثل CVSS، والأدلة من طلبات واستجابات ولقطات شاشة، وخطوات إعادة الإنتاج، والأثر على العمل بلغة واضحة، وإجراء معالجة محدد.
5. مسار الهجوم: كيف ترابطت الملاحظات المنفردة لتصنع طريق اختراق فعلي. هنا يثبت الاختبار قيمته مقارنة بالفحص الآلي.
6. ربط الملاحظات بالضوابط: كل ملاحظة مرتبطة بالضابط ذي العلاقة في ECC أو NCNICC أو إطار البنك المركزي، ليعمل فريقا الامتثال والتقنية من قائمة واحدة.
7. نتائج إعادة الاختبار: حالة كل ملاحظة بعد المعالجة: مغلقة، أو معالجة جزئيًا، أو مفتوحة بمخاطر مقبولة ومالك محدد.

إذا كان نموذج التقرير الذي يُعرض عليك مجرد مخرجات أدوات منسوخة، فالاختبار سيكون كذلك.

ما الذي يختلف في القطاع المالي؟

في البنوك وشركات التمويل والتقنية المالية، لا يكفي اختبار سنوي واحد. إطار البنك المركزي يربط الاختبارات الأمنية بإدارة التغيير، أي أن كل تغيير جوهري على تطبيق يخدم العملاء يستدعي اختبارًا أمنيًا قبل إطلاقه، قد يشمل اختبار الاختراق. لذلك اربط تقويم الاختبارات بتقويم الإصدارات لا بالسنة المالية، واجعل نتائج آخر اختبار جزءًا من قرار اعتماد الإصدار. وإذا كانت منشأتك في البيئة التجريبية التشريعية أو في طور الترخيص، فخطط من البداية لدورتين في السنة على الأقل، كما تشترط المتطلبات الأساسية للمرونة السيبرانية.

التعامل مع البيانات أثناء الاختبار

المختبِر يرى بيانات حقيقية. ووفق نظام حماية البيانات الشخصية، تظل سجلات العملاء التي تنكشف أثناء الاختبار بيانات شخصية، ومن يطّلع عليها يعالجها. اتفق مسبقًا على أن يثبت المختبِر الوصول بأقل قدر ممكن من البيانات، وأن يحفظ الأدلة على أنظمة توافق عليها، وأن يتلفها في موعد محدد بعد إعادة الاختبار.

أسئلة تطرحها قبل التوقيع

• من سينفّذ الاختبار؟ وهل سيتولى الفريق نفسه إعادة الاختبار؟
• هل يمكن أن نطّلع على نموذج تقرير بعد حجب بياناته؟
• هل إعادة الاختبار مشمولة؟ وخلال أي مدة؟
• ماذا تفعلون عند اكتشاف ثغرة حرجة أثناء الاختبار؟
• أين تُحفظ أدلتنا وبيانات الدخول الخاصة بنا، وكيف تُتلف؟
• ما المنهجية التي تتبعونها لاختبار الويب والجوال وواجهات API؟
• كيف ستُربط الملاحظات بالضوابط التي نرفع تقاريرنا وفقها؟

كيف تنفّذ تقنِ الاختبار

تقدم ممارسة الأمن السيبراني في تقنِ اختبارات الاختراق للويب والجوال وواجهات API والشبكات، وتقييم الثغرات، واختبار أمن التطبيقات ضمن مسارات الإصدار، ومراجعة الإعدادات السحابية، وإعادة الاختبار بعد المعالجة. عملنا مصمم لدعم متطلبات نظام حماية البيانات الشخصية والهيئة الوطنية للأمن السيبراني، وكل تقرير يربط الملاحظات بالضوابط التي يعتمدها مدققوك. وللبنوك وشركات التأمين والتقنية المالية، اطّلع على صفحة قطاع الخدمات المالية. وإذا كنت ما زلت تحدد أي مجموعة من ضوابط الهيئة تنطبق عليك، فاقرأ ضوابط الأمن السيبراني للشركات المتوسطة: من أين تبدأ.

ابدأ بمراجعة الوضع الأمني

امنحنا 30 دقيقة وقائمة الأنظمة التي ترى أنها ضمن النطاق. نعود إليك بنطاق اختبار مقترح، وترتيب للبدء، والضوابط التي يدعمها كل جزء. المراجعة مجانية. احجز مراجعة الوضع الأمني.