دليل
إعداد شركة خدمات الأمن السيبراني المدارة أو SOC في الإمارات العربية المتحدة
الإجابة المختصرة
لا توجد رخصة واحدة للأمن السيبراني يمكن الإشارة إليها. فجهة الترخيص في منطقتك الحرة (free zone) أو إمارتك هي التي تصدر الرخصة التجارية (business licence)، في حين يبتّ كل من مجلس الأمن السيبراني لدولة الإمارات وهيئة تنظيم الاتصالات والحكومة الرقمية (TDRA) في المسائل التي تقع ضمن اختصاصه. وغالبًا ما يحدد المسار بالدرجة الأولى ما إذا كانت الشركة ستحظى بصلاحية وصول مميزة إلى أنظمة العميل وبياناته، وبموجب تفويض خطي صادر عن أي جهة.
من يقرر، وما تشمله كل جهة
هناك ثلاثة أنواع من صنّاع القرار المحيطين بهذا النشاط التجاري، ولا يتداخلون بشكل منظم.
توافق جهة الترخيص في المنطقة أو الإمارة على النشاط المذكور في الرخصة التجارية (business licence). وهذا يندرج ضمن تأسيس الشركات العادي. ويتوقف الاختيار بين شركة في البر الرئيسي (mainland) ومسار المنطقة الحرة (free zone) على العملاء الذين تحتاج إلى خدمتهم وموقع جلوس محلليك.
مجلس الأمن السيبراني لدولة الإمارات وTDRA منفصلان عن جهة الترخيص. ويقرر كل منهما ما يقع ضمن اختصاصه، ولا تحل الرخصة التجارية (business licence) محل أيٍّ منهما. ويجب التحقق من المتطلبات الحالية الدقيقة لدى كل جهة قبل أي تقديم، لا افتراضها.
العميل هو صاحب القرار الثالث، وغالبًا الأكثر تشددًا عمليًا. فالعملاء الخاضعون للتنظيم والمشترون المرتبطون بالحكومة يضعون شروطهم الخاصة بشأن التوظيف والتصريح الأمني وموقع البيانات والمتعاقدين من الباطن. وقد تفشل رخصة سارية على الورق في العناية الأمنية الواجبة لدى العميل. وحيث يكون العميل في قطاع التأمين، يبين دليل وسيط التأمين الرقمي أي جهة تنظيمية ترخص النشاط ورأس المال المطلوب.
إذا كانت خطتك تمتد لتشمل أنظمة التحكم الصناعي أو البنية التحتية الحيوية، فاطّلع أيضًا على دليل أمن التقنية التشغيلية (OT) والبنية التحتية الحيوية. فهذا العمل له أسئلة النطاق التنظيمي الخاصة به.
حدّد نموذج التشغيل أولًا
تتصرف النماذج الأربعة بشكل مختلف، لذا اختر النموذج الأقرب لوصف خطتك قبل اختيار الولاية القضائية (jurisdiction).
- مركز عمليات أمنية مُدار. مراقبة مستمرة لبيئات العملاء. أعلى درجة من التعرض للبيانات، وأعلى عبء توظيف.
- خدمات اختبار الاختراق والفريق الأحمر. اختبار فعلي للأنظمة. تكمن المخاطرة في التفويض، لا في الأدوات.
- الاستجابة للحوادث والتحقيق الجنائي الرقمي. التعامل مع الأدلة، وسلسلة الحيازة، والتواصل أحيانًا مع جهات إنفاذ القانون.
- برمجيات أمنية مع دعم إداري اختياري. شركة منتجات تنجرف نحو تقديم الخدمات بمجرد أن يطلب العملاء المساعدة في تشغيلها.
يبدأ كثير من المؤسسين بنموذج واحد ثم يضيفون نموذجًا آخر لاحقًا. فاذكر ذلك في خطة العمل من الآن، لأن وصف النشاط الذي يناسب النموذج الأول فقط قد يفرض تعديلاً لاحقًا.
التفويض الخطي ومعالجة البيانات
تتحمل مسألتان الجزء الأكبر من العمل في هذا القطاع.
التفويض بالاختبار أو الوصول. يُعد اختبار نظام ما دون موافقة خطية دقيقة من مالكه أوضح طريقة تُحمّل شركة الأمن مسؤولية قانونية. تحدد وثيقة قواعد الاشتباك الأنظمة المعنية، والتقنيات المستخدمة، والتواريخ، ومن يملك صلاحية إيقاف العمل لدى العميل. أعدّ هذه النماذج قبل العقد الأول، لا أثناءه.
البيانات الشخصية والسرية. قد تبدو بيانات القياس الأمني تقنية الطابع، لكنها تحمل عادةً أسماء المستخدمين، وعناوين IP، ومحتوى البريد الإلكتروني، وبيانات الاعتماد. ومعاملتها على أنها غير حساسة خطأ شائع. تُعد صفحة حكومة الإمارات الخاصة بقوانين حماية البيانات نقطة البداية لفهم الأنظمة الاتحادية وأنظمة المناطق الحرة (free zone). ويعتمد النظام المعمول به على مكان تأسيس الشركة ومكان وجود أصحاب البيانات والعملاء. وتحتاج المراقبة عبر الحدود، حين يطّلع محلل خارج الإمارات على سجلات عميل داخل الإمارات، إلى إجابة واضحة بشأن النقل والتحكم في الوصول وموافقة العميل. اطلب من محامين مرخّص لهم بمزاولة المهنة في الإمارات تأكيد الموقف القانوني لإعدادك الدقيق.
الجوهر الاقتصادي (substance) والكادر والأدوار
شركة الأمن المُدارة هي في جوهرها نشاط قائم على الأفراد، وينبغي أن تكون الشركة التي توقع عقود العملاء هي التي توظف المحللين، وتمتلك الأدوات، وتحمل تأمين المسؤولية المهنية والتغطية السيبرانية. ويمكن أن تتموضع شركة أم في الخارج أو شركة للملكية الفكرية في موضع آخر من المجموعة، لكن يجب أن يكون لكل منها دور حقيقي.
قرر ما يلي قبل التقديم:
- ما إذا كان المحللون متمركزين داخل الإمارات، أو في الخارج، أو كلا الموقعين، وما يسمح به كل عميل.
- من يفحص خلفيات المحللين، وكيف يُمنح الوصول إلى بيانات اعتماد العميل، وكيف يُسجَّل ويُلغى.
- ما إذا كانت الشركة أم العميل من يحتفظ ببيانات الاعتماد المميزة.
- أي المقاولين من الباطن يتعامل مع بيانات العميل، وكيف يتم الحفاظ على سلسلة الحيازة.
- من هو القائد الأمني وقائد الامتثال الأول المُعيَّن بالاسم.
تتبع سعة التأشيرات عدد الموظفين. يحتاج مركز العمليات الأمنية (SOC) العامل على مدار الساعة إلى تغطية بنظام النوبات، لذا خطط بناءً على القوام الفعلي للفريق، لا على المؤسسين وحدهم. وينبغي أن تُظهر خطة العمل والمستندات الداعمة هذا القوام ونموذج التنفيذ القائم عليه. تتكون التكلفة من طبقات، وتُفصَّل أتعاب الشركة في كتاب الارتباط (engagement letter)، كما هو موضح في كيف تعمل Velarozone. وفي هذا القطاع، عادةً ما تكون الطبقة الأكبر هي الرواتب والأدوات والتأمين، لا الرخصة.
ما تنظر إليه البنوك
تنظر البنوك إلى شركة الأمن باعتبارها نشاطًا تجاريًا يتعامل مع بيانات أشخاص آخرين. قبل التقديم، كن مستعدًا لتقديم ما يلي:
- نماذج قواعد الاشتباك والموافقة.
- إجراءات فحص خلفيات المحللين والتحكم في الوصول.
- إجراءات التعامل مع الأدلة والاحتفاظ بها.
- أدلة إجراءات الاستجابة للحوادث والالتزامات المقدَّمة للعملاء.
- أي شهادات معتمدة يتم الحصول عليها وخارطة طريق الضمان.
يجب أن يتطابق العملاء ومسارات الدفع عبر العرض التقديمي والنموذج المالي وملف البنك. يصبح الاستعداد لفتح حساب مصرفي للشركات أسهل عندما يكون نموذج التسليم موثقًا بالفعل. وهذا لا يضمن الحصول على حساب.
الأخطاء الشائعة
- الاختبار دون تفويض كتابي دقيق. تم الاتفاق على النطاق ضمن سلسلة رسائل بريد إلكتروني، ثم يعترض العميل لاحقًا على ما كان مشمولًا.
- التعامل مع بيانات القياس عن بُعد باعتبارها غير حساسة. يتم تخزين السجلات أو تحليلها في مكان لا يسمح به عقد العميل.
- التوظيف من الخارج بما يخالف شروط العميل. تشترط جهة شراء مرتبطة بالحكومة وجود موظفين محليين، بينما افترض نموذج التسليم خلاف ذلك.
- الوعد بالمنع التام. العقود التي تَعِد بإيقاف كل هجوم تشكّل مسؤولية قانونية. أما الالتزامات القابلة للقياس في الاستجابة، مثل الوقت اللازم للفرز الأولي، فهي قابلة للدفاع عنها.
- عدم وجود خطة للتعامل مع نشاط غير قانوني يُكتشف أثناء العمل. تكتشف الشركة أدلة على وقوع جريمة ولا تملك إجراءً مكتوبًا يحدد من يُبلَّغ ومتى.
