كيفية إنشاء شركة للأمن السيبراني للعمليات أو أمان البنية التحتية الحرجة في الإمارات العربية المتحدة

تُسجّل الرخصة التجارية الصادرة من DET أو من جهة منطقة حرة (free zone) النشاط التجاري. ولا تحدد بذاتها ما إذا كانت الشركة تقوم بشيء تعتبره TDRA أو Cyber Security Council خاضعًا للتنظيم. ويشمل اختصاص TDRA شبكات الاتصالات والمعدات والتشفير في الإمارات؛ وأي شركة تبني أو تعيد بيع أو تشغّل خدمات الاتصال، أو تورّد معدات تشفير، تدخل في هذا الاختصاص بصرف النظر عن صيغة رخصتها. وقد أُنشئ Cyber Security Council لوضع استراتيجية الأمن السيبراني الوطنية للإمارات، وهو يتولى إدارة سياسة حماية البنية التحتية الحيوية للمعلومات (Critical Information Infrastructure Protection)، التي تحدد الحد الأدنى من الالتزامات الأمنية لمشغلي البنية التحتية الحيوية المعتمدين. وتقع هذه الالتزامات على مشغل البنية التحتية، لكنها تصل إلى المورّد عبر العقد: فالمصرف أو شركة المرافق أو مشغل النقل الذي يُعدّ هو نفسه كيانًا معتمدًا من فئة CII سيفرض عادةً ضوابطه الأساسية وقواعد الوصول وواجبات الإبلاغ عن الحوادث على أي مورّد لأمن التكنولوجيا التشغيلية يتعاقد معه.

السؤال العملي بالنسبة إلى المؤسس هو أيٌّ من قواعد هذه الجهات الثلاث يمسّه العمل المقترح فعلًا، وهو شبيه بالسؤال الذي يتعين على شركة أمن الهوية أو إدارة الوصول المميز الإجابة عنه بشأن صلاحيات الوصول الخاصة بها. فالنشاط القائم على التقييم المحض أو مراجعة البنية المعمارية، دون وصول مباشر ودون معدات خاصة به، أقرب ما يكون إلى النشاط التجاري العادي. أما النشاط الذي يراقب شبكة العميل بصورة مستمرة، أو يحتفظ باتصال عن بُعد دائم، أو يورّد بوابات ويضبط إعداداتها، فيقترب من نطاق هيئة تنظيم الاتصالات والحكومة الرقمية (TDRA) ومجلس الأمن السيبراني، كما يتعين على شركة التشفير ما بعد الكم أو الاتصالات الآمنة أن تصنّف عملها التشفيري قبل أن تتمكن من تصنيف رخصتها.

لا يمكن اختزال نطاق اختصاص هيئة TDRA ولا إطار حماية البنية التحتية الحيوية للمعلومات (CIIP) الخاص بمجلس الأمن السيبراني في رسم واحد أو فئة ترخيص واحدة يمكن نشرها بصورة عامة. فالهيئة تقرر، حالةً بحالة، ما إذا كان نشاط معين متعلق بالشبكات أو المعدات أو التشفير يدخل ضمن التنظيم الخاص بالاتصالات؛ وينبغي للشركة التي يتضمن عرضها خدمات الاتصال أو المراقبة القادرة على الاعتراض أو عتاد التشفير أن تطرح هذا السؤال على الهيئة مباشرةً بدلًا من استنتاج الإجابة من الدعاية التسويقية لأحد المنافسين. وسياسة CIIP الصادرة عن مجلس الأمن السيبراني هي الأداة التي تحدد الأصول الحيوية، وتضع متطلبات الأمان الأساسية للجهات المعنية بالبنية التحتية الحيوية للمعلومات، وتدير آلية الرقابة والإنفاذ المحيطة بها؛ وهي مكتوبة للجهة المشغّلة للبنية التحتية، ولذلك فإن التزامات المورّد بموجبها تعاقدية وليست رخصة منفصلة يتقدم المورّد بطلبها بنفسه. وتوجد التزامات حماية البيانات إلى جانب كليهما: فالشركة التي تعالج بيانات شخصية أو تشغيلية ضمن خدمة المراقبة ينبغي أن تكون قادرة على إثبات مكان حفظ تلك البيانات ومن يستطيع الوصول إليها. ولا يرد هنا أي رمز نشاط أو فئة ترخيص أو رقم لرأس المال؛ فهذه تُؤكَّد بمطابقتها مع المواد الحالية الصادرة عن TDRA والمجلس قبل اختيار مسار الكيان.

عندما يراجع مصرف أو فريق مشتريات في مؤسسة ما مورّد أمن التكنولوجيا التشغيلية، فهو لا يتحقق أساسًا من الميزانية العمومية. بل يتحقق من هوية من يمكنه الوصول إلى أنظمة التحكم الحية للعميل، وبأي صلاحية خطية، وماذا يحدث عندما يُساء استخدام هذا الوصول أو يُنسى ببساطة. وتوقّع أسئلة حول نطاق أي ترتيب للوصول عن بُعد، وكيف يُحدَّد الوصول بمدة زمنية ويُلغى، وما السجلات الموجودة، وما إذا كان موظفو الشركة نفسها أو مقاول من الباطن هم من يملكون هذا الوصول فعليًا. وغالبًا ما يكون أول ما يوقف محادثة فتح الحساب هو تسليم غير موثّق لشركة أم أو شركة تابعة أو شريك متخصص. وبناء هذه الأدلة قبل أول اجتماع مصرفي، بدلاً من بنائها بعد إصدار الرخصة، هو ما يهدف عمل جاهزية الحساب المصرفي للشركات إلى تحقيقه.

يتجاوز عملاء التكنولوجيا التشغيلية والبنية التحتية الحيوية سجل المساهمين إلى الأشخاص الذين سيتعاملون فعليًا مع أنظمتهم. وسيرغب الجهة التنظيمية أو المصرف أو العميل الذي يراجع الملف في رؤية شخص يمكنه إظهار كفاءة هندسية في التكنولوجيا التشغيلية، لا خلفية عامة في أمن تكنولوجيا المعلومات، قبل الموافقة على أي عمل فحص أو مراقبة أو تغيير على بيئة صناعية حية. وحيث تمر ملكية الشركة نفسها عبر عدة طبقات قابضة أو صناديق أو هياكل عائلية، تكون تلك السلسلة جزءًا من الملف نفسه الذي سيقرأه العميل أو المصرف، ومسار إعداد هياكل الملكية المنظمة والمعقدة مصمم تحديدًا لهذه الحالة. وينبغي أن تحدد خطة العمل والوثائق الداعمة المكتوبة، في مكان واحد، نموذج التشغيل وحدود الوصول والأشخاص الذين يملكونها.

والخيط المشترك هو نفسه الذي تواجهه شركة البنية التحتية للاتصال: حيث يُخلط بين الرخصة التجارية الصالحة والتصاريح والعقود والصلاحية التقنية التي يحتاجها التشغيل فعليًا في هذا القطاع. فالرخصة هي الجزء السهل؛ أما حدود الوصول والصلاحية الخطية التي تقف خلفها فليست كذلك.

تبدأ الرخصة التجارية القياسية في البر الرئيسي (mainland) لهذا النوع من أنشطة الاستشارات أو التقنية من 14,000 درهم، وتتوافر باقة رخصة فقط في المنطقة الحرة (free zone) بما يقارب 5,000 إلى 6,000 درهم؛ ولا يشمل أيٌّ من الرقمين الكوادر الهندسية أو المرافق الآمنة أو بنية الاختبار أو القدرة على التعامل مع الحوادث التي يتطلبها نموذج التشغيل فعليًا. وينبغي أن تتوافق طاقة التأشيرات مع عدد مهندسي التقنية التشغيلية (OT) وموظفي العمليات الذين تخطط الشركة لتعيينهم فعلًا، لا مع عدد افتراضي يُحدَّد عند التأسيس. وتُجدَّد الرخص وبطاقات المنشأة (establishment cards) سنويًا، وعلى الشركة التي تحتفظ بمعدات أو منشأة مراقبة أو غرفة عمليات آمنة أن تخطط لهذا التجديد بالتزامن مع أي عقد إيجار للمقر لا أن تعامله كحدث منفصل. وتُبنى التكلفة التي تتجاوز هذه الأرقام على طبقات، وتُفصَّل رسوم خدمة Velarozone في كتاب الارتباط (engagement letter) بدلًا من نشرها كرقم رئيسي.