تأسيس شركة لاختبار الاختراق أو الفريق الأحمر أو ضمان الأمن السيبراني في الإمارات العربية المتحدة

يحدد النطاق هنا سؤالان مستقلان. الأول سؤال ترخيص: هل يُصنَّف وصف النشاط الذي تُسجَّل الشركة بموجبه من قِبل الجهة المرخِّصة على أنه متعلق بالأمن، بما يستوجب موافقة خارجية قبل منح الرخصة التجارية؟ فدائرة الاقتصاد والسياحة في دبي (DET) وسلطات المناطق الحرة تحتفظ كل منها بقائمتها الخاصة بالأنشطة التي تستدعي هذه الإحالة، وكثيراً ما تقع عبارات مثل "أمن المعلومات" أو "اختبار الاختراق" ضمنها. والثاني سؤال معايير: هل تشمل قاعدة العملاء جهات حكومية أو مشغّلي اتصالات أو مشغّلي بنية تحتية حيوية، تمر التزاماتهم الأمنية الخاصة عبر مجلس الأمن السيبراني للإمارات العربية المتحدة لا عبر رخصة شركة الاختبار.

تواجه الشركة التي تختبر فقط تطبيقات تجارية خاصة لعملاء تجاريين خاصين نطاقاً أضيق من الشركة التي تسعى للحصول على عمليات اختبار حكومية أو خاصة بالبنية التحتية الوطنية الحيوية، وهو المجال الذي يتناوله أمن البنية التحتية الحيوية في الإمارات. ويمكن للشركة نفسها أن تنتقل بين الفئتين في مراحل مختلفة من نموها، ولذلك ينبغي لنموذج الانطلاق أن يصف قاعدة العملاء التي بُني من أجلها اليوم، لا التي يأمل الوصول إليها لاحقاً.

يضع مجلس الأمن السيبراني السياسات والمعايير الوطنية للأمن السيبراني وينسّقها عبر الجهات الحكومية والقطاعات الحيوية. وحيثما تقع ارتباطات الشركة ضمن هذا النطاق، فإن التزامات العميل نفسه بموجب تلك المعايير تحدد ما يتعين على شركة الاختبار توثيقه: مختبرون مسمّون ومجتازون لإجراءات التدقيق، ونطاق محدد وقواعد للارتباط، وإجراء للتعامل مع الثغرات. وتنظّم هيئة تنظيم الاتصالات والحكومة الرقمية شبكات الاتصالات والطيف الترددي التي قد يمسّها ارتباط الفريق الأحمر (red team) إذا امتد الاختبار إلى البنية التحتية لمشغّل اتصالات، وهو نطاق يختلف عن اختبار تطبيق ويب يخص العميل نفسه.

ينطبق قانون حماية البيانات الاتحادي متى وصل الارتباط إلى أنظمة تحتوي على بيانات شخصية، وهو أمر يكاد يكون تلقائيًا هنا: فاختبار الاختراق الذي يستخرج قاعدة بيانات، أو تمرين الفريق الأحمر الذي يصل إلى نظام للموارد البشرية، يضع الشركة في موقع معالِج للبيانات طوال مدة الارتباط. وينبغي أن ينص العقد على كيفية تخزين تلك البيانات ومن يستطيع الاطلاع عليها ومتى تُتلَف بعد انتهاء الارتباط، لا أن يُترك ذلك للشروط القياسية التي توفرها باقة التأسيس افتراضيًا.

تنظر البنوك عند تقييم طلب فتح حساب لشركة ضمان سيبراني إلى ما وراء الرخصة التجارية وصولاً إلى الحقائق التشغيلية: من هم العملاء، وهل تتناول عمليات الاختبار أنظمة منظَّمة أو حكومية، وكيف يُفحَص المختبِرون، وكيف ستتصرف الشركة في حال وقوع حادث خلال اختبار فعلي. ويجيب نموذج لقواعد الاشتباك، وجهة اتصال مسمّاة للاستجابة للحوادث، وبوليصة تأمين مسؤولية مهنية سارية، عن أغلب ذلك في المراجعة الأولى؛ أما الخطة التي تفتقر إليها فتبدو كشركة واجهة تتقدم لفتح حساب لا كشركة تعمل فعلياً. وتتحرك جاهزية الحساب المصرفي للشركات المصمَّمة حول أنواع عمليات الاختبار التي تنفذها الشركة فعلياً بشكل أسرع من حزمة مصرفية عامة.

تُبنى التكلفة هنا على طبقات لا في رقم إجمالي واحد: تأسيس الكيان، وأي موافقة أمنية أو فحص مهني، وبناء التشغيل (البنية التحتية للاختبار، وتخزين الأدلة الآمن، والأدوات، والتأمين)، والموظفون، والتجديدات الدورية. وتُفصَّل أتعاب الشركة نفسها في كتاب الارتباط (engagement letter)؛ ويوضح كيف تعمل Velarozone ذلك الهيكل.

تحتاج شركة الاختبار الجديرة بالثقة إلى أشخاص حقيقيين خلف الرخصة: مختبرين يمكن إثبات كفاءتهم وخلفياتهم، وشخص قادر على اعتماد النطاق قبل بدء العمل، وجهة اتصال مسماة لإيقاف الطوارئ. أما هياكل الملكية التي توجّه أعمال الاختبار عبر عدة كيانات في الإمارات وخارجها فتستدعي تدقيقًا أكبر من البنوك والعملاء الحكوميين لا أقل، لأن أحدًا لا يستطيع أن يرى من المسؤول. وحيثما تكون الملكية متعددة الطبقات فعلًا (مجموعة دولية تجري الاختبار عبر شركة تشغيل في الإمارات، مثلًا)، فإن إعداد وثائق توضح هيكل اتخاذ القرار يستحق التحضير قبل أن يسأل البنك عمّن يوقّع. وتستفيد الشركة التي تمتد قاعدة عملائها إلى جهات خاضعة للتنظيم أو قريبة من الجهات الحكومية من الانضباط الموصوف في تأسيس الملكية المنظّمة والمعقّدة.

أكثر حالات الإخفاق شيوعًا هي انحراف النطاق: يجد المختبِر طريقًا إلى بنية تحتية مشتركة أو إلى نظام لا يملكه العميل فعليًا، فيواصل دون التوقف للحصول على اعتماد. ويجب أن يسمّي التفويض الكتابي الهدف ومالكه، لا العميل الذي يدفع الفاتورة فحسب: فالعميل يستطيع أن يأذن باختبار أنظمته هو، لا أنظمة مزوّد الحوسبة السحابية لديه ولا أنظمة شريك له.

الإخفاق المتكرر الثاني يتعلق بالتعامل مع الأدلة: بيانات الاستغلال وتفاصيل الثغرات التي تُترك في مساحات تخزين مشتركة أو أدوات محادثة غير مُدارة بعد انتهاء المهمة. سيسأل المشتري أو شركة التأمين أو العميل الحكومي عن كيفية تخزين الأدلة ولأي مدة، وعبارة "في أي مكان صادف أن يحفظها المختبِر فيه" لا تصمد أمام تدقيق العناية الواجبة (due diligence). والإخفاق الثالث هو المبالغة في الزعم: وصف اختبار واحد بأنه دليل على استمرار الأمان، في حين أن النتيجة لا تغطي إلا تاريخ تنفيذه والنطاق المتفق عليه.

بعد الحصول على الرخصة وأي موافقة أمنية مطلوبة، تتعلق أسئلة التشغيل في معظمها بالموارد البشرية والتجديدات. يحتاج المختبِرون المتخصصون الذين يُستقدَمون من خارج الإمارات إلى تأشيرات عبر حصة الهجرة الخاصة بالكيان، كما أن الموافقة على النشاط ذا الصلة بالأمن، حيثما تنطبق، تُجدَّد عادةً بالتوازي مع الرخصة التجارية بدل أن تكون خطوة منفصلة تُنفَّذ مرة واحدة. أما تغطية التأمين من المسؤولية المهنية وأي شهادات خاصة بالعميل، فتسير وفق دورات تجديد خاصة بها، وأي انقطاع في أي منهما قد يمنع العميل من تجديد العقد حتى لو ظلت الرخصة نفسها سارية.