Cómo establecer una empresa de pruebas de penetración, equipo rojo o aseguramiento cibernético en los EAU

Dos preguntas distintas determinan el perímetro aquí. La primera es una cuestión de licencia: ¿la descripción de la actividad bajo la que se registra la empresa es señalada por la autoridad licenciadora como relacionada con la seguridad, lo que exige una aprobación externa antes de que se conceda la licencia comercial? El Department of Economy and Tourism de Dubái y las autoridades de las free zones mantienen cada una su propia lista de actividades que activan esta remisión, y la redacción «seguridad de la información» o «pruebas de penetración» figura habitualmente en ella. La segunda es una cuestión de normas: ¿incluye la base de clientes a entidades gubernamentales, operadores de telecomunicaciones u operadores de infraestructuras críticas, cuyas propias obligaciones de seguridad pasan por el UAE Cyber Security Council en lugar de por la licencia de la empresa de pruebas?

Una firma que solo somete a prueba aplicaciones comerciales privadas para clientes comerciales privados se enfrenta a un perímetro más estrecho que otra que compite por encargos gubernamentales o de infraestructuras críticas nacionales, el territorio cubierto en seguridad de infraestructuras críticas en los EAU. La misma empresa puede situarse en ambas categorías en distintos momentos de su crecimiento, por lo que el modelo de lanzamiento debería describir la base de clientes para la que está construida hoy, no la que espera alcanzar más adelante.

El Cyber Security Council establece y coordina la política y las normas nacionales de ciberseguridad en las entidades gubernamentales y los sectores críticos. Cuando los encargos de una empresa entran en ese ámbito, las propias obligaciones del cliente conforme a esas normas condicionan lo que la empresa de pruebas debe documentar: probadores designados y habilitados, un alcance definido con reglas de compromiso y un proceso de gestión de vulnerabilidades. La Telecommunications and Digital Government Regulatory Authority regula las redes de telecomunicaciones y el espectro que un ejercicio de red team podría afectar si las pruebas alcanzan la infraestructura de un operador de telecomunicaciones, un alcance distinto al de probar la aplicación web de un cliente.

La legislación federal de protección de datos se aplica siempre que un encargo alcance sistemas que contengan datos personales, algo casi automático en este caso: una prueba de penetración que recupera una base de datos, o un ejercicio de red team que llega a un sistema de recursos humanos, sitúa a la empresa en una posición de tratamiento de datos durante la vigencia del encargo. El contrato debe indicar cómo se almacenan esos datos, quién puede verlos y cuándo se destruyen una vez concluido el encargo, y no dejarlo a las condiciones estándar que aporta por defecto un paquete de constitución.

Los bancos que evalúan la solicitud de cuenta de una firma de ciberseguridad van más allá de la licencia comercial para examinar los hechos operativos: quiénes son los clientes, si los encargos tocan sistemas regulados o gubernamentales, cómo se verifica a los probadores, y cómo respondería la firma a un incidente durante una prueba en vivo. Una plantilla de reglas de intervención, un contacto de respuesta a incidentes designado y una póliza de responsabilidad civil profesional vigente responden a la mayor parte de esto en la primera revisión; un plan sin ellos se lee como una sociedad pantalla que solicita una cuenta, no como una firma operativa. La preparación de la cuenta bancaria corporativa construida alrededor de los tipos de encargo que la empresa realmente ejecuta avanza más rápido que un dosier bancario genérico.

El coste aquí se construye en capas en lugar de en una sola cifra destacada: la constitución de la entidad, cualquier aprobación de seguridad o verificación profesional, la construcción operativa (infraestructura de pruebas, almacenamiento seguro de pruebas, herramientas, seguro), el personal y las renovaciones recurrentes. Los propios honorarios de la firma se detallan en la carta de encargo; cómo funciona Velarozone expone esa estructura.

Una empresa de pruebas creíble necesita personas reales detrás de la licencia: probadores cuya competencia y antecedentes puedan acreditarse, alguien que pueda autorizar un alcance antes de que comience el trabajo y un contacto designado para una parada de emergencia. Las estructuras de propiedad que canalizan los trabajos de pruebas a través de varias entidades de los EAU y offshore suscitan más escrutinio por parte de bancos y clientes gubernamentales, no menos, porque nadie puede ver quién responde. Cuando la propiedad es realmente estratificada (por ejemplo, un grupo internacional que realiza pruebas a través de una sociedad operativa de los EAU), conviene preparar documentación que exponga la estructura de toma de decisiones antes de que un banco pregunte quién firma. Una empresa cuya cartera de clientes se extiende a territorio regulado o próximo al sector público se beneficia de la disciplina descrita en configuración de propiedad regulada y compleja.

El fallo más frecuente es la deriva del alcance: un probador encuentra una vía de acceso a una infraestructura compartida o a un sistema que el cliente no posee realmente, y sigue adelante sin detenerse a obtener autorización. La autorización por escrito debe indicar el objetivo y su propietario, y no solo el cliente que paga la factura: un cliente puede autorizar las pruebas de sus propios sistemas, no las de su proveedor de nube ni las de un socio.

El segundo fallo recurrente es la gestión de la evidencia: datos de explotación y detalles de vulnerabilidades que quedan en unidades compartidas o en herramientas de chat sin control una vez finalizado el encargo. Un comprador, una aseguradora o un cliente gubernamental preguntarán cómo se almacena la evidencia y durante cuánto tiempo, y «donde el auditor haya decidido guardarla» no supera la diligencia debida. El tercero es la sobreafirmación: describir una sola prueba como demostración de seguridad continuada, cuando el hallazgo solo cubre la fecha en que se ejecutó y el alcance acordado.

Una vez obtenidos la licencia y cualquier aprobación de seguridad, las cuestiones operativas giran principalmente en torno al personal y a las renovaciones. Los auditores especialistas contratados fuera de los EAU necesitan visados a través de la cuota de inmigración de la entidad, y una aprobación de actividad relacionada con la seguridad, cuando corresponda, normalmente se renueva junto con la licencia comercial en lugar de como un trámite puntual. La cobertura de responsabilidad civil profesional y cualquier certificación específica del cliente siguen sus propios ciclos de renovación, y que caduque cualquiera de ellas puede impedir que un cliente renueve un contrato incluso cuando la licencia en sí siga vigente.