Leitfaden
Einrichtung eines verwalteten Cybersecurity- oder SOC-Unternehmens in den VAE
Die kurze Antwort
Es gibt keine einzelne Cybersicherheits-Lizenz, auf die man verweisen könnte. Die Lizenzierungsbehörde Ihrer Zone oder Ihres Emirats stellt die Handelslizenz aus, während der UAE Cyber Security Council und die Telecommunications and Digital Government Regulatory Authority (TDRA) jeweils Angelegenheiten innerhalb ihres eigenen Zuständigkeitsbereichs entscheiden. Was den Weg am häufigsten bestimmt, ist, ob das Unternehmen privilegierten Zugriff auf Kundensysteme und -daten haben wird, und unter wessen schriftlicher Befugnis.
Wer entscheidet, und was jede Behörde abdeckt
Drei Arten von Entscheidungsträgern sind an diesem Geschäft beteiligt, und sie überschneiden sich nicht sauber.
Die Lizenzierungsbehörde der Zone oder des Emirats genehmigt die Tätigkeit auf der Handelslizenz. Das ist gewöhnliche Unternehmensgründung. Die Wahl zwischen einer Mainland-Gesellschaft und einem Free-Zone-Weg richtet sich danach, welche Kunden Sie bedienen müssen und wo Ihre Analysten sitzen werden.
Der UAE Cyber Security Council und die TDRA sind von der Lizenzierungsbehörde getrennt. Jede entscheidet, was in ihren eigenen Zuständigkeitsbereich fällt, und eine Handelslizenz ersetzt keine der beiden. Die genauen aktuellen Anforderungen werden vor jeder Einreichung bei jeder Behörde bestätigt, nicht angenommen.
Der Kunde ist die dritte Entscheidungsinstanz und in der Praxis oft die strengste. Regulierte Kunden und staatsnahe Käufer stellen eigene Bedingungen an Personal, Freigaben, Datenstandort und Unterauftragnehmer. Eine Lizenz, die auf dem Papier gültig ist, kann dennoch an der Sicherheitsprüfung eines Kunden scheitern. Ist der Kunde im Versicherungsgeschäft, legt der Leitfaden zum InsurTech-Makler dar, welche Aufsichtsbehörde die Tätigkeit lizenziert und welches Kapital erforderlich ist.
Wenn Ihr Vorhaben sich auf industrielle Steuerungssysteme oder kritische Infrastrukturen erstreckt, lesen Sie auch den Leitfaden zu OT- und Sicherheit kritischer Infrastrukturen. Dieser Bereich wirft eigene Abgrenzungsfragen auf.
Zuerst das Betriebsmodell festlegen
Die vier Modelle verhalten sich unterschiedlich. Wählen Sie daher dasjenige, das das Vorhaben am genauesten beschreibt, bevor Sie eine Jurisdiktion wählen.
- Managed Security Operations Center. Kontinuierliche Überwachung von Kundenumgebungen. Höchste Datenexposition, höchste Personalbelastung.
- Penetrationstests und Red-Team-Dienstleistungen. Aktives Testen von Systemen. Das Risiko liegt in der Zulassung, nicht in den Werkzeugen.
- Incident Response und digitale Forensik. Beweismittelbehandlung, Beweiskette und mitunter Kontakt mit Strafverfolgungsbehörden.
- Sicherheitssoftware mit optionalem Managed Support. Ein Produktunternehmen, das in die Dienstleistungserbringung abgleitet, sobald Kunden um Hilfe beim Betrieb bitten.
Viele Gründer beginnen mit einem Modell und fügen später ein weiteres hinzu. Schreiben Sie das jetzt in den Businessplan, denn eine Tätigkeitsbeschreibung, die nur zum ersten Modell passt, kann eine Änderung erzwingen.
Schriftliche Vollmacht und Datenverarbeitung
Zwei Themen machen in dieser Branche den Großteil der Arbeit aus.
Befugnis zum Testen oder Zugriff. Ein System ohne präzise schriftliche Zustimmung seines Eigentümers zu testen, ist für ein Sicherheitsunternehmen der sicherste Weg, eine Haftung zu begründen. Das Rules-of-Engagement-Dokument legt fest, welche Systeme, welche Techniken, welche Termine und wer beim Kunden die Arbeit stoppen kann. Entwerfen Sie diese Vorlagen vor dem ersten Vertrag, nicht währenddessen.
Personenbezogene und vertrauliche Daten. Sicherheitstelemetrie wirkt technisch, enthält aber routinemäßig Benutzernamen, IP-Adressen, E-Mail-Inhalte und Zugangsdaten. Sie als unkritisch zu behandeln, ist ein häufiger Fehler. Die Seite der Regierung der VAE zu Datenschutzgesetzen ist der Ausgangspunkt für die föderalen und die Free-Zone-Regelwerke. Welches Regelwerk gilt, hängt davon ab, wo das Unternehmen niedergelassen ist und wo sich die betroffenen Personen und Kunden befinden. Grenzüberschreitende Überwachung, bei der ein Analyst außerhalb der VAE die Protokolle eines Kunden in den VAE einsieht, erfordert eine bewusste Antwort zu Übermittlung, Zugriffskontrolle und Kundenzustimmung. Lassen Sie die Position für Ihr genaues Setup von in den VAE zugelassenen Anwälten bestätigen.
Substanz, Personal und Rollen
Ein Managed-Security-Unternehmen ist ein personengetriebenes Geschäft, und das Unternehmen, das die Kundenverträge unterzeichnet, sollte die Analysten beschäftigen, die Werkzeuge halten und die Berufshaftpflicht- und Cyberversicherung tragen. Eine ausländische Muttergesellschaft oder eine Gesellschaft für geistiges Eigentum kann an anderer Stelle in der Gruppe sitzen, aber jede benötigt eine echte Funktion.
Entscheiden Sie Folgendes, bevor Sie den Antrag stellen:
- Ob die Analysten in den VAE, im Ausland oder in beiden sitzen, und was jeder Kunde erlaubt.
- Wer die Analysten überprüft, und wie der Zugriff auf Kundenzugangsdaten gewährt, protokolliert und entzogen wird.
- Ob das Unternehmen oder der Kunde privilegierte Zugangsdaten hält.
- Welche Subunternehmer mit Kundendaten in Berührung kommen, und wie die Beweiskette gewahrt wird.
- Wer der namentlich benannte leitende Verantwortliche für Sicherheit und Compliance ist.
Die Visumskapazität richtet sich nach der Mitarbeiterzahl. Ein rund um die Uhr besetztes SOC benötigt Schichtabdeckung, planen Sie daher anhand der tatsächlichen Besetzung, nicht allein anhand der Gründer. Der Businessplan und die Begleitdokumente sollten diese Besetzung und das dahinterstehende Liefermodell zeigen. Die Kosten setzen sich in Schichten zusammen, und das Honorar der Firma wird in der Mandatsvereinbarung einzeln ausgewiesen, wie in wie Velarozone funktioniert dargelegt. In dieser Branche ist die größte Schicht meist Personal, Werkzeuge und Versicherung, nicht die Lizenz.
Worauf eine Bank achtet
Banken betrachten ein Sicherheitsunternehmen als ein Geschäft, das mit den Daten anderer Menschen umgeht. Bevor Sie den Antrag stellen, sollten Sie Folgendes vorweisen können:
- Rules-of-Engagement- und Einwilligungsvorlagen.
- Verfahren zur Überprüfung von Analysten und zur Zugriffskontrolle.
- Verfahren zur Beweismittelbehandlung und -aufbewahrung.
- Incident-Response-Playbooks und die gegenüber Kunden eingegangenen Verpflichtungen.
- Alle vorhandenen Zertifizierungen und der Assurance-Fahrplan.
Kunden und Zahlungswege sollten im Pitch, im Finanzmodell und in der Bankunterlage übereinstimmen. Vorbereitung auf das Unternehmenskonto fällt leichter, wenn das Liefermodell bereits schriftlich festgehalten ist. Sie garantiert kein Konto.
Was häufig schiefgeht
- Tests ohne präzise schriftliche Befugnis. Der Umfang wurde in einem E-Mail-Verlauf vereinbart, und der Kunde bestreitet später, was abgedeckt war.
- Telemetriedaten als unsensibel behandeln. Protokolle werden an einem Ort gespeichert oder analysiert, den der Vertrag des Kunden nicht zulässt.
- Offshore-Personal entgegen den Kundenbedingungen. Ein regierungsnaher Auftraggeber verlangt lokales Personal, doch das Liefermodell ging von etwas anderem aus.
- Prävention versprechen. Verträge, die versprechen, jeden Angriff zu verhindern, sind ein Haftungsrisiko. Messbare Reaktionszusagen, etwa die Zeit bis zur Triage, lassen sich dagegen rechtfertigen.
- Kein Plan für während der Arbeit entdeckte rechtswidrige Aktivitäten. Das Unternehmen findet Hinweise auf eine Straftat und hat kein schriftliches Verfahren dafür, wer wann informiert wird.
