Guía
Configuración de una empresa de ciberseguridad gestionada o SOC en los EAU
La respuesta corta
No existe una única licencia de ciberseguridad a la que remitirse. La autoridad de licencias de su zona o emirato emite la licencia comercial, mientras que el UAE Cyber Security Council y la Telecommunications and Digital Government Regulatory Authority (TDRA) deciden cada uno sobre las materias de su propio ámbito. Lo que con más frecuencia determina la vía es si la empresa tendrá acceso privilegiado a los sistemas y datos del cliente, y bajo qué autorización por escrito.
Quién decide, y qué abarca cada autoridad
Tres tipos de decisores rodean este negocio, y no se solapan de forma ordenada.
La autoridad de licencias de la zona o el emirato aprueba la actividad en la licencia comercial. Eso es constitución de sociedades ordinaria. La elección entre una empresa mainland y una vía de free zone depende de los clientes a los que necesite atender y de dónde se ubicarán sus analistas.
El UAE Cyber Security Council y la TDRA son independientes de la autoridad de licencias. Cada uno decide lo que entra dentro de su propio ámbito, y una licencia comercial no sustituye a ninguno de los dos. Los requisitos exactos y vigentes se confirman con cada autoridad antes de cualquier presentación, no se dan por supuestos.
El cliente es el tercer decisor y, en la práctica, a menudo el más estricto. Los clientes regulados y los compradores vinculados al gobierno fijan sus propias condiciones sobre personal, habilitación, ubicación de los datos y subcontratistas. Una licencia válida sobre el papel aún puede fallar en la diligencia debida de seguridad de un cliente. Cuando el cliente es del sector asegurador, la guía de corredores InsurTech expone qué regulador otorga la licencia a la actividad y el capital exigido.
Si su plan se extiende a sistemas de control industrial o a infraestructuras críticas, lea también la guía de seguridad de OT e infraestructuras críticas. Ese trabajo plantea sus propias cuestiones de perímetro.
Elija primero el modelo operativo
Los cuatro modelos se comportan de forma distinta, así que elija el que describa con más precisión el plan antes de elegir una jurisdicción.
- Centro de operaciones de seguridad gestionado. Monitorización continua de los entornos del cliente. Máxima exposición de datos, máxima carga de personal.
- Servicios de pruebas de penetración y red team. Pruebas activas de sistemas. El riesgo reside en la autorización, no en las herramientas.
- Respuesta a incidentes y análisis forense digital. Gestión de pruebas, cadena de custodia y, en ocasiones, contacto con las fuerzas del orden.
- Software de seguridad con soporte gestionado opcional. Una empresa de producto que deriva hacia la prestación de servicios cuando los clientes piden ayuda para operarlo.
Muchos fundadores empiezan en un modelo y añaden otro más adelante. Indíquelo ya en el plan de negocio, porque una descripción de actividad que solo encaje con el primer modelo puede obligar a una modificación.
Autorización por escrito y tratamiento de datos
Dos cuestiones concentran la mayor parte del trabajo en este sector.
Autorización para realizar pruebas o acceder. Probar un sistema sin el consentimiento preciso y por escrito de su propietario es la forma más clara en que una empresa de seguridad puede generar responsabilidad. El documento de reglas de actuación («rules of engagement») define qué sistemas, qué técnicas, qué fechas y quién, por parte del cliente, puede detener el trabajo. Redacte estas plantillas antes del primer contrato, no durante él.
Datos personales y confidenciales. La telemetría de seguridad parece algo técnico, pero habitualmente contiene nombres de usuario, direcciones IP, contenido de correos electrónicos y credenciales. Tratarla como no sensible es un error habitual. La página del Gobierno de los EAU sobre las leyes de protección de datos es el punto de partida para los regímenes federal y de free zone. El régimen aplicable depende de dónde esté establecida la empresa y de dónde se encuentren los interesados y los clientes. La monitorización transfronteriza, cuando un analista fuera de los EAU consulta los registros de un cliente radicado en los EAU, exige una respuesta deliberada sobre la transferencia, el control de acceso y el consentimiento del cliente. Haga que abogados habilitados para ejercer en los EAU confirmen la situación para su configuración exacta.
Substance, personal y roles
Una empresa de seguridad gestionada es, ante todo, un negocio de personas, y la empresa que firma los contratos con los clientes debe emplear a los analistas, ser titular de las herramientas y mantener el seguro de responsabilidad civil profesional y de ciberriesgo. Una matriz extranjera o una empresa de propiedad intelectual pueden situarse en otro punto del grupo, pero cada una necesita una función genuina.
Decida lo siguiente antes de presentar la solicitud:
- Si los analistas se ubican en los EAU, en el extranjero o en ambos, y qué permite cada cliente.
- Quién verifica a los analistas, y cómo se concede, registra y revoca el acceso a las credenciales del cliente.
- Si las credenciales privilegiadas las mantiene la empresa o el cliente.
- Qué subcontratistas tienen acceso a los datos del cliente, y cómo se mantiene la cadena de custodia.
- Quién es el responsable principal designado de seguridad y cumplimiento.
La capacidad de visados sigue a la plantilla. Un SOC operativo las veinticuatro horas necesita cobertura por turnos, así que planifique en función de la plantilla real, no solo de los fundadores. El plan de negocio y la documentación de respaldo deben mostrar esa plantilla y el modelo de prestación que hay detrás. El coste se construye por capas, y los honorarios de la firma se detallan en la carta de encargo, tal como se expone en cómo funciona Velarozone. En este sector, la capa más importante suele ser la nómina, las herramientas y el seguro, no la licencia.
En qué se fija un banco
Los bancos interpretan que una empresa de seguridad es un negocio que maneja datos ajenos. Antes de presentar la solicitud, tenga preparado para mostrar:
- Plantillas de reglas de actuación y de consentimiento.
- Procedimientos de verificación de analistas y de control de acceso.
- Procedimientos de gestión y conservación de pruebas.
- Protocolos de respuesta a incidentes y los compromisos asumidos con los clientes.
- Las certificaciones obtenidas y la hoja de ruta de garantía.
Los clientes y las vías de pago deben coincidir entre la presentación comercial, el modelo financiero y el expediente bancario. Preparación para la apertura de cuenta bancaria corporativa resulta más sencilla cuando el modelo de prestación ya está por escrito. No garantiza una cuenta.
Qué suele salir mal
- Pruebas sin una autorización por escrito precisa. El alcance se acordó en un hilo de correo electrónico, y el cliente posteriormente discute lo que quedaba cubierto.
- Tratar la telemetría como no sensible. Los registros (logs) se almacenan o analizan en un lugar que el contrato del cliente no permite.
- Personal offshore en contra de los términos del cliente. Un comprador vinculado al gobierno exige personal local, y el modelo de prestación del servicio asumía lo contrario.
- Prometer la prevención. Los contratos que prometen detener todos los ataques suponen una responsabilidad. Los compromisos de respuesta medibles, como el tiempo de triaje, son defendibles.
- Ausencia de un plan para actividad ilícita detectada durante el trabajo. La empresa descubre pruebas de un delito y no dispone de un procedimiento escrito sobre a quién se informa y cuándo.
