Cumplimiento del SAMA Cyber Security Framework
El Marco de Ciberseguridad de la SAMA es obligatorio para las instituciones financieras saudíes. Descubre cómo ImmuniWeb cumple con sus requisitos de gestión de vulnerabilidades y pruebas de penetración.
Cumplimiento del Marco de Ciberseguridad (1.0) de la Autoridad Monetaria de Arabia Saudita (SAMA)
¿Qué es el Marco de Ciberseguridad de la SAMA?
El SAMA CSF establece la línea base de ciberseguridad para las instituciones financieras saudíes. Está organizado en dominios principales —que cubren liderazgo y gobernanza, gestión de riesgos y cumplimiento, operaciones y tecnología, y ciberseguridad de terceros—, cada uno con subdominios y controles.
Los controles se evalúan según un modelo de madurez, y las organizaciones miembros presentan autoevaluaciones periódicas a SAMA. Las revisiones de supervisión exigen pruebas demostrables —incluidos los resultados de las pruebas de penetración— de que los controles técnicos están funcionando, y no solo que estén documentados.
Descubre cómo ImmuniWeb facilita la gestión de vulnerabilidades y las pruebas de penetración del SAMA CSF para las aplicaciones que ejecuta tu institución. Solicita una demostración · o ejecuta una prueba gratuita de la Community Edition.
¿Quién debe cumplir con el SAMA CSF?
El SAMA CSF se aplica a todas las Organizaciones Miembro de la SAMA:
- Bancos y aseguradoras regulados por el Banco Central de Arabia Saudí.
- Empresas financieras y agencias de información crediticia bajo la supervisión de la SAMA.
- Infraestructura del mercado financiero y otras entidades reguladas por SAMA.
Las aplicaciones web, móviles y de API que operan estas instituciones están sujetas a los controles técnicos del marco.
Requisitos clave del CSF de la SAMA para la seguridad de las aplicaciones
Dentro del dominio de operaciones y tecnología, varios controles impulsan las actividades de seguridad de aplicaciones:
- Desarrollo seguro de software: aplique un ciclo de vida de desarrollo de software seguro para las aplicaciones.
- Gestión de vulnerabilidades: realizar evaluaciones periódicas de vulnerabilidades y subsanar los hallazgos dentro de los plazos previstos por la SAMA.
- Pruebas de penetración: realizar pruebas de penetración periódicas y estructuradas como evidencia de que los controles técnicos funcionan, a diferencia del escaneo de vulnerabilidades.
Requisitos de seguridad de aplicaciones del SAMA CSF a fondo
Gestión de vulnerabilidades y pruebas de penetración
La SAMA espera que las instituciones realicen evaluaciones periódicas de vulnerabilidades y pruebas de penetración estructuradas, con los hallazgos críticos y de alto riesgo subsanados dentro de los plazos previstos. Las revisiones supervisorias buscan específicamente evidencia de pruebas de penetración, por lo que combinar el escaneo continuo con pruebas de penetración manuales periódicas es clave.
Desarrollo seguro de software
El marco exige un ciclo de vida de desarrollo de software seguro. Incorporar pruebas de seguridad en el desarrollo y probar las aplicaciones antes de su lanzamiento mantiene su seguridad y proporciona evidencia de madurez frente al SAMA CSF.
Riesgos comunes en aplicaciones web y móviles a abordar
Las vulnerabilidades de la aplicación que el marco espera que encuentres se corresponden estrechamente con el OWASP Top 10:
- Control de acceso defectuoso: los usuarios acceden a datos o acciones a las que no deberían.
- Fallos Criptográficos: cifrado débil o ausente que expone datos sensibles.
- Inyección — Inyección SQL, de comandos u otro tipo a través de entradas no validadas.
- Insecure Design — falta de controles de seguridad por diseño, no solo por errores.
- Configuración de seguridad incorrecta: configuración predeterminada, incompleta o insegura.
- Componentes vulnerables y desactualizados — librerías y frameworks sin parches.
- Fallos de identificación y autenticación: gestión débil de inicios de sesión, sesiones o credenciales.
- Fallos de integridad del software y los datos: actualizaciones no fiables, procesos de CI/CD inseguros.
- Fallos en el registro y monitoreo de seguridad: ataques que pasan desapercibidos.
- Server-Side Request Forgery (SSRF): el servidor es engañado para realizar solicitudes maliciosas.
En el caso de las aplicaciones móviles, OWASP Mobile Top 10 es la referencia equivalente (almacenamiento de datos inseguro, comunicación insegura, cifrado débil, etc.). Detectar estos problemas de manera fiable requiere probar la aplicación en ejecución, no solo revisar la documentación.
Cómo apoyar el cumplimiento del CSF de la SAMA con ImmuniWeb
- Mapee sus activos. Inventarie las aplicaciones y APIs expuestas a Internet con ImmuniWeb Discovery.
- Gestione las vulnerabilidades con Neuron scanning y tracked remediation.
- Pruebas de penetración de aplicaciones web y móviles con On-Demand y MobileSuite.
- Desarrollo seguro con Continuous en CI/CD.
- Remedie dentro del SLA utilizando informes accionables sin falsos positivos.
- Prepare la evidencia para la autoevaluación anual de SAMA y las revisiones de supervisión.
Cómo le ayuda ImmuniWeb a cumplir con el SAMA CSF
ImmuniWeb soporta los requisitos de gestión de vulnerabilidades, pruebas de penetración y desarrollo seguro del SAMA CSF con evidencia lista para evaluación.
| Requisito | Lo que requiere | Productos ImmuniWeb |
|---|---|---|
| Pruebas de penetración | Pruebas de penetración periódicas y estructuradas. | On-Demand, MobileSuite |
| Gestión de vulnerabilidades | Evaluaciones periódicas y medidas correctivas. | Neuron, Discovery |
| Desarrollo seguro | Ciclo de vida del desarrollo de software seguro. | Continuous, On-Demand |
ImmuniWeb On-Demand y MobileSuite entregan pruebas de penetración web y móviles; Neuron y Neuron Mobile proporcionan escaneos automatizados; Continuous integra las pruebas en CI/CD; y Discovery mapea su superficie de ataque, generando la evidencia que esperan las revisiones de supervisión de SAMA.
El CSF de SAMA frente a los marcos internacionales
Si ya trabaja con estándares internacionales, las mismas pruebas de ImmuniWeb apoyan todos ellos:
| Framework | Perspectiva de la seguridad de aplicaciones | Cómo mapea ImmuniWeb |
|---|---|---|
| SAMA CSF | Gestión de vulnerabilidades + pruebas de penetración | Pruebas de penetración web/móvil, escaneo, ASM |
| ECC de la NCA de Arabia Saudí | National Essential Cybersecurity Controls | Las mismas pruebas cubren ambos |
| ISO/IEC 27001 | Controles técnicos del Anexo A | Pruebas como evidencia de controles |
| PCI DSS 4.0.1 | Requisitos 6 y 11 | Pentest + escaneo de aplicaciones web |
Pruebas de penetración frente a escaneo de seguridad
Both are needed. El escaneo automatizado (DAST) proporciona una cobertura amplia y frecuente, siendo ideal para las pruebas continuas en CI/CD; las pruebas de penetración manuales detectan vulnerabilidades de lógica de negocio y complejas que los escáneres pasan por alto, y ofrecen la profundidad que esperan los auditores y reguladores. Combina el escaneo continuo con pruebas de penetración manuales periódicas, y vuelve a probar tras cambios significativos.
Lista de verificación de cumplimiento (Application Security)
- Inventario de aplicaciones, API y activos expuestos a Internet
- Evaluaciones periódicas de vulnerabilidades realizadas
- Pruebas de penetración estructuradas realizadas
- Los hallazgos críticos o de alto riesgo se remedian dentro de los plazos previstos
- Ciclo de vida de desarrollo de software seguro aplicado
- Objetivos de madurez alcanzados (normalmente Nivel 3 o superior)
- Evidence prepared for the annual SAMA self-assessment
Por qué importa el cumplimiento del SAMA CSF
El SAMA CSF es obligatorio para las instituciones financieras saudíes, y el Banco Central de Arabia Saudí realiza revisiones de supervisión y puede emitir advertencias formales, directivas y requisitos de medidas correctivas. Se espera que las instituciones alcancen niveles de madurez definidos y demuestren que los controles funcionan realmente.
Dado que las aplicaciones web, móviles y de API constituyen una superficie de ataque principal para las instituciones financieras, las pruebas de penetración demostrables y la gestión de vulnerabilidades se encuentran entre las formas más directas de evidenciar los controles técnicos del framework.