معيار اختبار الاختراق :
المعيار الأول: المتطلبات العامة :
الهدف : تحديد المتطلبات العامة والنطاق لاختبار الاختراق (Penetration Testing) التي يجب أن يتبعها فريق اختبار الاختراق الداخلي أو الخارجي قبل بدء عملية اختبار الاختراق.
المخاطر المحتملة : مكن أن يؤدي اختبار الاختراق غير المخطط له بشكل صحيح إلى مخرجات غير كافية أو غير دقيقة، أو قد يؤثر على كفاءة الأنظمة.
الإجراءات المطلوبة :
- يجب تطوير واعتماد خطة لاختبار الاختراق يوضح فيها نطاق العمل للتطبيقات والأنظمة وتاريخ البدء والانتهاء وآلية وسيناريوهات تنفيذ عمل محاكاة لتقنيات وأساليب الهجوم السيبراني الفعلية.
- يجب التأكد من أن خطة العمل لاختبار الاختراق متوافقة مع المتطلبات التشريعية والتنظيمية ذات العلاقة.
- يجب التأكد من أن اختبار الاختراق يسير وفقًا لمنهجية محددة ومعتمدة ووفقًا للمتطلبات التشريعية والتنظيمية ذات العلاقة.
- يجب صياغة وثيقة قواعد التنفيذ قبل بدء عملية اختبار الاختراق (Penetration Testing) وتتضمن هذه الوثيقة مالك النظام، مسؤول النظام، ضوابط الاتصال الرئيسية خلال الاختبار، الصلاحيات المعطاة لمسؤول الاختبار، نطاق الاختبار، الأجهزة النشطة والمنافذ والخدمات التابعة لها، نوع الاختبار، مدة الاختبار، عدد أعضاء فريق الاختبار، آلية اختبار الاختراق والأدوات والتقنيات المستخدمة التي يجب أن يتبعها فريق اختبار الاختراق الداخلي أو الخارجي، المتطلبات العامة وغيرها.
- جب إعداد تقرير لنتائج مفصلة لاختبار الاختراق يتضمن لأقسام التالية على الأقل:
- الملخص التنفيذي
- مقدمة لإعداد التقارير
- الأصول المستهدفة
- المنهجية المتبعة في تصنيف الثغرات
- مسار الهجوم
- الجدول الزمني لأعمال التقييم
- الاختبارات التي تم إجراؤها
- التحديات
- تفاصيل الملاحظات المكتشفة والتوصيات
- بعد الانتهاء من تقرير اختبار الاختراق، يجب إعداد خطة عمل لتنفيذ التوصيات، على أن يتضمن التقرير ما يلي على الأقل:
- المسؤول التقني عن الأصل (Technical Owner).
- مالك الأصل (Business Owner).
- الإجراءات المطلوبة لتنفيذ التوصيات.
- الفترة الزمنية اللازمة لتنفيذ التوصيات.
المعيار الثاني: آلية اختبار الاختراق :
الهدف : تحديد آلية اختبار الاختراق والأدوات والتقنيات المستخدمة التي يجب أن يتبعها فريق اختبار الاختراق الداخلي أو الخارجي قبل بدء عملية اختبار الاختراق.
المخاطر المحتملة : يمكن أن يؤدي اختبار الاختراق غير المدروس إلى حصول ثغرات جديدة أو وصول غير مصرح به أو استمرار وجود نقاط ضعف أمنية في البيئة لا يتم اكتشافها مما يؤدي إلى نتائج غير دقيقة، كما يمكن أن يؤدي إلى تسرب البيانات أو كشفها أو إلحاق الضرر بالأنظمة والخدمات والمكونات التقنية.
الإجراءات المطلوبة :
- يجب إجراء اختبار الاختراق دوريًا وفقًا لسياسة اختبار الاختراق المعتمدة لدى جامعة الإمام محمد بن سعود الإسلامية.
- يجب إجراء اختبار الاختراق لجميع الخدمات المقدمة خارجيًا ومكوناتها التقنية دوريًا وحسب جدول محدد، ووفقًا لمنهجية وإجراءات محددة ومعتمدة.
- يجب إجراء اختبار الاختراق لجميع المكونات التقنية للأنظمة الحساسة، وجميع الخدمات المقدمة داخلياً وخارجياً بانتظام وبحسب جدول محدد (كل 6 أشهر) وفقًا لمنهجية وإجراءات محددة ومعتمدة.
- يجب إجراء اختبار الاختراق لأنظمة العمل عن بعد مرة واحدة كل سنة على الأقل وفقًا لمنهجية وإجراءات محددة ومعتمدة.
- يجب التأكد من تنفيذ اختبار الاختراق وفقًا للمتطلبات التشريعية والتنظيمية ذات العلاقة، مع الأخذ بالاعتبار الإرشادات التالية:
