Cómo establecer una empresa de ciberseguridad OT o seguridad de infraestructura crítica en los EAU

Una licencia comercial del DET o de una autoridad de free zone registra la actividad comercial. Por sí sola, no indica si la empresa está haciendo algo que el TDRA o el Cyber Security Council consideren regulado. El ámbito de competencia del TDRA abarca las redes de telecomunicaciones, los equipos y el cifrado de los EAU; una empresa que construye, revende u opera conectividad, o que suministra equipos criptográficos, queda dentro de ese ámbito independientemente de cómo esté redactada su licencia. El Cyber Security Council se creó para desarrollar la estrategia nacional de ciberseguridad de los EAU y gestiona la política de Critical Information Infrastructure Protection, que establece obligaciones mínimas de seguridad para los operadores de infraestructuras críticas designadas. Esas obligaciones recaen sobre el operador de la infraestructura, pero llegan al proveedor a través del contrato: un banco, una empresa de suministro eléctrico o un operador de transporte que sea a su vez una entidad CII designada normalmente trasladará sus controles mínimos, normas de acceso y obligaciones de notificación de incidentes a cualquier proveedor de seguridad OT que contrate.

La cuestión práctica para un fundador es cuáles de las normas de estos tres organismos afecta realmente el trabajo propuesto, de forma similar a la pregunta que debe responder una empresa de seguridad de la identidad o de gestión de accesos privilegiados sobre sus propios derechos de acceso. Un negocio de pura evaluación o de revisión de arquitectura, sin acceso en directo ni equipos propios, es el que más se acerca a una actividad comercial ordinaria. Un negocio que supervisa de forma continua la red de un cliente, mantiene una conexión remota permanente o suministra y configura pasarelas se acerca más al ámbito de la TDRA y del Consejo, de modo similar a como una empresa de criptografía poscuántica o de comunicaciones seguras debe clasificar su propio trabajo criptográfico antes de poder clasificar su licencia.

Ni el ámbito competencial de la TDRA ni el marco CIIP del Consejo pueden reducirse a una única tarifa o categoría de licencia que pueda publicarse de forma genérica. La TDRA decide, caso por caso, si una determinada actividad de red, de equipos o de cifrado queda dentro de la regulación de telecomunicaciones; una empresa cuya oferta incluya conectividad, supervisión con capacidad de interceptación o hardware criptográfico debería plantear esa cuestión directamente a la TDRA, en lugar de deducir la respuesta del marketing de un competidor. La política CIIP del Cyber Security Council es el instrumento que identifica los activos críticos, fija los requisitos básicos de seguridad para las entidades de CII y pone en marcha el mecanismo de supervisión y ejecución que los rodea; está redactada para el operador de la infraestructura, de modo que las obligaciones de un proveedor derivadas de ella son contractuales y no constituyen una licencia independiente que el propio proveedor solicite. Las obligaciones de protección de datos se suman a ambas: una empresa que trate datos personales u operativos como parte de su servicio de supervisión debería poder acreditar dónde se conservan esos datos y quién puede acceder a ellos. Aquí no se indica ningún código de actividad, categoría de licencia ni cifra de capital; todo ello se confirma con la documentación vigente de la TDRA y del Consejo antes de elegir la vía societaria.

Un banco o un equipo de compras de una gran empresa que revise a un proveedor de seguridad OT no está comprobando principalmente el balance. Está comprobando quién puede acceder a los sistemas de control en producción de un cliente, con qué autorización por escrito, y qué ocurre cuando ese acceso se utiliza de forma indebida o simplemente se olvida. Hay que esperar preguntas sobre el alcance de cualquier acuerdo de acceso remoto, cómo se limita en el tiempo y se revoca el acceso, qué registros existen, y si el acceso lo mantiene de hecho el propio personal de la empresa o un subcontratista. Un único traspaso no documentado a una matriz, una filial o un socio especialista suele ser lo primero que paraliza una conversación de apertura de cuenta. Construir esa evidencia antes de la primera reunión con el banco, y no después de que se emita la licencia, es la diferencia que el trabajo de preparación para la apertura de cuenta bancaria corporativa está pensado para marcar.

Los clientes de OT e infraestructuras críticas miran más allá del registro de accionistas, hacia las personas que realmente van a tener acceso a sus sistemas. Un regulador, un banco o un cliente que revise el expediente querrá ver a alguien que pueda demostrar competencia en ingeniería OT, no solo experiencia general en seguridad informática, antes de aprobar cualquier trabajo de escaneo, supervisión o cambio sobre un entorno industrial en producción. Cuando la propia titularidad de la empresa se estructura a través de varias capas de sociedades holding, fondos o estructuras familiares, esa cadena forma parte del mismo expediente que leerá un cliente o un banco, y la vía de estructura de titularidad regulada y compleja está pensada exactamente para ese caso. Un plan de negocio y documentación de apoyo por escrito debe recoger, en un solo lugar, el modelo operativo, el límite de acceso y las personas que lo mantienen.

El hilo común es el mismo con el que se encuentra un negocio de infraestructura de conectividad: una licencia comercial válida se confunde con los permisos, los contratos y la autorización técnica que realmente exige operar en este sector. La licencia es la parte fácil; el límite de acceso y la autorización por escrito que lo respalda no lo son.

Una licencia comercial mainland estándar para este tipo de consultoría o actividad tecnológica parte de AED 14,000, y existe un paquete de licencia únicamente de free zone desde aproximadamente AED 5,000 a 6,000; ninguna de las dos cifras incluye el personal de ingeniería, las instalaciones seguras, la infraestructura de pruebas ni la capacidad de respuesta a incidentes que el modelo operativo realmente necesita. La capacidad de visados debe ajustarse al número de ingenieros de OT y de personal de operaciones que la empresa tenga realmente previsto contratar, y no a una plantilla teórica fijada en el momento de la constitución. Las licencias y las establishment card se renuevan anualmente, y una empresa que disponga de equipos, de una instalación de supervisión o de una sala de operaciones segura debería planificar esa renovación junto con cualquier arrendamiento de locales, en lugar de tratarla como un hecho aislado. El coste adicional a estas cifras se construye por capas, y los honorarios de servicio de Velarozone se detallan en la carta de encargo en lugar de publicarse como una cifra destacada.