Jak založit společnost OT kybernetické bezpečnosti nebo bezpečnosti kritické infrastruktury v SAE

Obchodní licence od DET nebo úřadu free zone registruje obchodní činnost. Sama o sobě neříká, zda společnost dělá něco, co TDRA nebo Cyber Security Council považují za regulované. Působnost TDRA se vztahuje na telekomunikační sítě, zařízení a šifrování v UAE; společnost, která vytváří, dále prodává nebo provozuje konektivitu, nebo dodává kryptografické zařízení, spadá do této působnosti bez ohledu na to, jak je formulována její licence. Cyber Security Council byl zřízen za účelem vytvoření národní kybernetické bezpečnostní strategie UAE a provozuje politiku Critical Information Infrastructure Protection, která stanovuje základní bezpečnostní povinnosti pro provozovatele určené kritické infrastruktury. Tyto povinnosti dopadají na provozovatele infrastruktury, ale k dodavateli se dostávají prostřednictvím smlouvy: banka, dodavatel energie nebo dopravní provozovatel, který je sám určeným subjektem CII, obvykle přenáší své základní kontroly, pravidla přístupu a povinnosti hlásit incidenty na jakéhokoli dodavatele OT bezpečnosti, kterého zapojí.

Praktická otázka pro zakladatele zní, kterých z těchto tří orgánů se pravidla navrhované činnosti skutečně dotýkají, podobně jako otázka, kterou si musí zodpovědět společnost v oblasti zabezpečení identit nebo správy privilegovaného přístupu ohledně vlastních přístupových práv. Čistě hodnoticí nebo architektonický poradenský byznys, bez živého přístupu a bez vlastního vybavení, stojí nejblíže běžné obchodní činnosti. Podnik, který nepřetržitě monitoruje síť zákazníka, udržuje trvalé vzdálené připojení nebo dodává a konfiguruje brány (gateways), se přesouvá blíže k působnosti TDRA a Rady, podobně jako společnost zabývající se postkvantovou kryptografií nebo zabezpečenou komunikací musí klasifikovat vlastní kryptografickou činnost dříve, než může klasifikovat svou licenci.

Působnost TDRA ani rámec CIIP Rady nelze zredukovat na jediný poplatek nebo kategorii licence, které by bylo možné zveřejnit obecně. TDRA rozhoduje případ od případu o tom, zda daná činnost týkající se sítí, zařízení nebo šifrování spadá do telekomunikační regulace; společnost, jejíž nabídka zahrnuje konektivitu, monitoring umožňující zachytávání komunikace nebo kryptografický hardware, by měla tuto otázku položit přímo TDRA, nikoli si odpověď domýšlet z marketingových materiálů konkurenta. Politika CIIP Rady pro kybernetickou bezpečnost je nástroj, který identifikuje kritická aktiva, stanovuje základní bezpečnostní požadavky pro subjekty CII a provozuje mechanismus dohledu a vymáhání kolem nich; je psána pro provozovatele infrastruktury, takže povinnosti dodavatele podle ní jsou smluvní, nikoli samostatná licence, o kterou by dodavatel sám žádal. Vedle obou těchto režimů existují povinnosti v oblasti ochrany osobních údajů: společnost zpracovávající osobní nebo provozní data v rámci své monitorovací služby by měla být schopna doložit, kde jsou tato data uložena a kdo k nim má přístup. Není zde uveden žádný kód činnosti, kategorie licence ani výše kapitálu; ty se ověřují podle aktuálních materiálů TDRA a Rady, než je zvolena forma subjektu.

Banka nebo firemní nákupní tým posuzující dodavatele OT bezpečnosti primárně nekontroluje rozvahu. Kontroluje, kdo se může dostat k živým řídicím systémům klienta, na základě jakého písemného oprávnění, a co se stane, když je tento přístup zneužit nebo jednoduše zapomenut. Lze očekávat otázky na rozsah jakéhokoli ujednání o vzdáleném přístupu, jak je přístup časově omezen a odebírán, jaké logování existuje a zda přístup skutečně mají vlastní zaměstnanci společnosti, nebo subdodavatel. Jediné nezdokumentované předání přístupu matce, přidružené společnosti nebo specializovanému partnerovi je obvykle první věc, která zastaví jednání o otevření účtu. Vybudování těchto podkladů ještě před první schůzkou s bankou, a ne až po vydání licence, je rozdíl, který má uzavřít práce v oblasti připravenosti na otevření firemního bankovního účtu.

Klienti v oblasti OT a kritické infrastruktury se nedívají jen na seznam akcionářů, ale na lidi, kteří budou skutečně pracovat s jejich systémy. Regulátor, banka nebo klient posuzující podklady budou chtít vidět někoho, kdo může prokázat odbornou způsobilost v OT inženýrství, nikoli obecné zázemí v IT bezpečnosti, než bude schváleno jakékoli skenování, monitorování nebo provádění změn v živém průmyslovém prostředí. Pokud samotná vlastnická struktura společnosti vede přes několik holdingových úrovní, fondů nebo rodinných struktur, je tento řetězec součástí stejných podkladů, které si klient nebo banka přečtou, a cesta nastavení regulovaného a komplexního vlastnictví je určena přesně pro tento případ. Písemný podnikatelský plán a podpůrná dokumentace by měl na jednom místě popisovat provozní model, hranice přístupu a osoby, které tento přístup mají.

Společným jmenovatelem je totéž, s čím se potýká podnik v oblasti konektivitní infrastruktury: platná obchodní licence je mylně zaměňována za povolení, smlouvy a technickou autoritu, které provoz v tomto sektoru skutečně vyžaduje. Licence je ta snadná část; hranice přístupu a písemná autorita za ní nikoli.

Standardní mainland obchodní licence pro tento druh poradenské nebo technologické činnosti začíná na 14 000 AED, přičemž balíček free zone zahrnující pouze licenci je k dispozici zhruba od 5 000 do 6 000 AED; žádná z těchto částek nezahrnuje inženýrský personál, zabezpečené prostory, testovací infrastrukturu ani kapacitu pro řešení incidentů, které provozní model skutečně potřebuje. Kapacita víz by měla odpovídat počtu inženýrů OT a provozního personálu, které společnost skutečně plánuje najmout, nikoli pomyslnému počtu zaměstnanců stanovenému při zakládání. Licence a establishment card se obnovují každoročně a společnost, která vlastní vybavení, monitorovací pracoviště nebo zabezpečenou provozní místnost, by měla s touto obnovou počítat spolu s případným nájmem prostor, nikoli ji považovat za samostatnou událost. Náklady nad rámec těchto částek se skládají po vrstvách a servisní poplatek Velarozone je rozepsán v smluvním dopisu, nikoli zveřejněn jako úvodní číslo.