Jak založit společnost pro testování penetrace, červený tým nebo kybernetické zajištění v SAE

Zde o perimetru rozhodují dvě samostatné otázky. První je otázka licencování: je popis činnosti, pod kterou se společnost registruje, licenční autoritou označen jako bezpečnostně relevantní, což vyžaduje externí schválení před vydáním obchodní licence? Dubajský Department of Economy and Tourism a jednotlivé free zone autority si každý vedou vlastní seznam činností, které tento postup vyvolávají, a formulace jako „information security“ nebo „penetration testing“ na něm běžně figuruje. Druhou je otázka standardů: zahrnuje klientská základna vládní subjekty, telekomunikační operátory nebo provozovatele kritické infrastruktury, jejichž vlastní bezpečnostní povinnosti spadají pod UAE Cyber Security Council, a nikoli pod licenci testovací firmy.

Firma, která testuje pouze soukromé komerční aplikace pro soukromé komerční klienty, čelí užšímu perimetru než firma, která se uchází o zakázky pro vládní sektor nebo kritickou národní infrastrukturu, což je oblast, kterou pokrývá zabezpečení kritické infrastruktury SAE. Stejná společnost se může v různých fázích svého růstu nacházet v obou kategoriích, proto by model spouštění provozu měl popisovat klientskou základnu, pro kterou je firma budována dnes, nikoli tu, kterou doufá oslovit později.

Rada pro kybernetickou bezpečnost stanovuje a koordinuje národní politiku a standardy kybernetické bezpečnosti napříč vládními subjekty a kritickými odvětvími. Pokud zakázky firmy spadají do této působnosti, vlastní povinnosti klienta podle těchto standardů určují, co musí testovací firma dokumentovat: jmenovité prověřené testery, vymezený rozsah a pravidla zapojení (rules of engagement) a proces nakládání se zranitelnostmi. Telecommunications and Digital Government Regulatory Authority reguluje telekomunikační sítě a spektrum, kterých by se mohla dotknout zakázka typu red team, pokud testování zasáhne infrastrukturu telekomunikačního operátora, což je jiný rozsah než testování vlastní webové aplikace klienta.

Federální právo o ochraně údajů se uplatní vždy, když zakázka zasáhne systémy obsahující osobní údaje, což je zde téměř automatické: penetrační test, který získá databázi, nebo cvičení typu red team, které dosáhne do HR systému, staví firmu na dobu trvání zakázky do role zpracovatele údajů. Smlouva by měla stanovit, jak jsou tato data uložena, kdo je může vidět a kdy jsou po skončení zakázky zničena, a nenechávat to na standardních podmínkách, které balíček pro založení společnosti ve výchozím stavu obsahuje.

Banky, které posuzují žádost o účet firmy poskytující služby kybernetické bezpečnosti (cyber-assurance), se nedívají jen na obchodní licenci, ale na provozní skutečnosti: kdo jsou klienti, zda se zakázky dotýkají regulovaných nebo vládních systémů, jak jsou testeři prověřováni a jak by firma reagovala na incident během živého testu. Šablona pravidel provádění testu, jmenovitě uvedený kontakt pro řešení incidentů a platná pojistka profesní odpovědnosti zodpoví většinu z toho již při první kontrole; plán bez nich působí jako žádost o účet podaná prázdnou skořápkou, nikoli provozní firmou. Připravenost na firemní bankovní účet postavená kolem typů zakázek, které společnost skutečně realizuje, postupuje rychleji než obecný bankovní balíček.

Náklady se zde skládají z vrstev, nikoli z jedné hlavní částky: založení entity, případné bezpečnostní schválení nebo odborné prověření, vybudování provozu (testovací infrastruktura, bezpečné uložiště důkazů, nástroje, pojištění), lidé a opakovaná obnovení. Vlastní poplatek firmy je rozepsán ve smluvním dopisu; jak Velarozone funguje tuto strukturu popisuje.

Důvěryhodná testovací firma potřebuje za licencí skutečné lidi: testery, jejichž odbornost a prověření lze doložit, někoho, kdo může před zahájením prací schválit rozsah, a jmenovaný kontakt pro nouzové zastavení. Vlastnické struktury, které vedou testovací práce přes několik subjektů v SAE a offshore, vyvolávají u bank a vládních klientů větší, nikoli menší pozornost, protože nikdo nevidí, kdo za co odpovídá. Tam, kde je vlastnictví skutečně vrstvené (například mezinárodní skupina testující prostřednictvím provozní společnosti v SAE), stojí za to připravit dokumentaci, která popisuje rozhodovací strukturu, dříve než se banka zeptá, kdo podepisuje. Firma, jejíž klientská základna zasahuje do regulovaného nebo státu blízkého prostředí, má prospěch z disciplíny popsané v části regulovaná a složitá struktura vlastnictví.

Nejčastějším selháním je posun rozsahu (scope drift): tester najde cestu do sdílené infrastruktury nebo do systému, který klient ve skutečnosti nevlastní, a pokračuje, aniž by se zastavil a nechal si to schválit. Písemné oprávnění musí jmenovat cíl a jeho vlastníka, nejen klienta, který platí fakturu: klient může povolit testování svých vlastních systémů, nikoli systémů svého poskytovatele cloudu nebo partnera.

Druhým opakujícím se selháním je nakládání s důkazy: data o zneužitelných chybách a podrobnosti o zranitelnostech zůstávají po skončení zakázky ve sdílených diskách nebo v nekontrolovaných chatovacích nástrojích. Kupující, pojistitel nebo vládní klient se zeptají, jak a jak dlouho jsou důkazy uchovávány, a odpověď „kamkoli to tester zrovna uložil“ due diligence neobstojí. Třetím je přehnané tvrzení: popisovat jeden test jako důkaz trvající bezpečnosti, zatímco zjištění se vztahuje pouze k datu, kdy byl proveden, a k dohodnutému rozsahu.

Jakmile jsou licence a případné bezpečnostní schválení na místě, provozní otázky se týkají především lidí a obnovování. Specializovaní testeři najatí ze zahraničí potřebují víza prostřednictvím imigrační kvóty entity, a schválení pro bezpečnostně související činnost, pokud se uplatňuje, se obvykle obnovuje společně s obchodní licencí, nikoli jako jednorázový krok. Pojištění profesní odpovědnosti a případné certifikace specifické pro klienta běží ve vlastních cyklech obnovování, a výpadek u kteréhokoli z nich může klientovi zabránit v obnovení smlouvy, i když samotná licence zůstává platná.