Mise en place d'une entreprise de cybersécurité ou de SOC gérée aux ÉAU

Trois types de décideurs gravitent autour de cette activité, et leurs compétences ne se recoupent pas nettement.

L'autorité de délivrance des licences de la zone ou de l'émirat approuve l'activité sur la licence commerciale. Il s'agit là d'une constitution de société ordinaire. Le choix entre une société mainland et une voie free-zone dépend des clients que vous devez servir et de l'endroit où vos analystes seront basés.

L'UAE Cyber Security Council et la TDRA sont distincts de l'autorité de délivrance des licences. Chacun décide de ce qui relève de sa propre compétence, et une licence commerciale ne tient lieu ni de l'un ni de l'autre. Les exigences exactes et actuelles sont confirmées auprès de chaque autorité avant tout dépôt de dossier, et ne doivent jamais être présumées.

Le client est le troisième décideur, et en pratique souvent le plus strict. Les clients réglementés et les acheteurs liés à l'État fixent leurs propres conditions sur le personnel, l'habilitation, l'emplacement des données et les sous-traitants. Une licence valable sur le papier peut malgré tout échouer à l'audit de sécurité d'un client. Lorsque le client relève de l'assurance, le guide du courtier InsurTech indique quel régulateur autorise l'activité et le capital exigé.

Si votre projet s'étend aux systèmes de contrôle industriel ou aux infrastructures critiques, lisez également le guide sur la sécurité OT et des infrastructures critiques. Ce travail soulève ses propres questions de périmètre.

Les quatre modèles se comportent différemment ; choisissez donc celui qui décrit le mieux votre projet avant de choisir une juridiction.

De nombreux fondateurs commencent par l'un des modèles et en ajoutent un autre plus tard. Indiquez-le dès maintenant dans le business plan, car une description d'activité qui ne correspond qu'au premier modèle peut imposer une modification.

Deux enjeux concentrent l'essentiel du travail dans ce secteur.

L'autorisation de tester ou d'accéder. Tester un système sans le consentement écrit précis de son propriétaire est le moyen le plus sûr, pour une société de sécurité, de créer une responsabilité. Le document de règles d'engagement définit quels systèmes, quelles techniques, quelles dates, et qui, chez le client, peut arrêter les travaux. Rédigez ces modèles avant le premier contrat, pas pendant celui-ci.

Les données personnelles et confidentielles. La télémétrie de sécurité paraît technique, mais elle contient couramment des noms d'utilisateur, des adresses IP, du contenu de courriels et des identifiants. La traiter comme non sensible est une erreur courante. La page du gouvernement des Émirats arabes unis sur les lois relatives à la protection des données est le point de départ pour les régimes fédéral et free-zone. Le régime applicable dépend du lieu d'établissement de la société et du lieu où se trouvent les personnes concernées et les clients. La surveillance transfrontalière, lorsqu'un analyste situé hors des Émirats arabes unis consulte les journaux d'un client émirati, exige une réponse réfléchie sur le transfert, le contrôle d'accès et le consentement du client. Faites confirmer la position pour votre configuration exacte par des avocats habilités à exercer aux Émirats arabes unis.

Une société de sécurité managée est avant tout une activité de personnes, et la société qui signe les contrats clients devrait employer les analystes, détenir les outils et porter l'assurance responsabilité civile professionnelle et la couverture cyber. Une société mère étrangère ou une société de propriété intellectuelle peut se situer ailleurs dans le groupe, mais chacune doit avoir un rôle véritable.

Décidez de ces points avant de déposer votre demande :

La capacité en visas suit les effectifs. Un SOC fonctionnant 24 heures sur 24 nécessite une couverture par roulement, planifiez donc en fonction de l'effectif réel, pas des seuls fondateurs. Le business plan et les documents justificatifs doivent montrer cet effectif et le modèle de prestation qui le sous-tend. Le coût se construit en strates, et les honoraires du cabinet sont détaillés dans la lettre de mission, comme l'expose le fonctionnement de Velarozone. Dans ce secteur, la strate la plus importante est généralement la masse salariale, les outils et l'assurance, pas la licence.

Les banques considèrent une société de sécurité comme une activité qui traite les données d'autrui. Avant de déposer votre demande, soyez prêt à montrer :

Les clients et les circuits de paiement doivent concorder entre le pitch, le modèle financier et le dossier bancaire. La préparation du compte bancaire d'entreprise est plus simple lorsque le modèle de prestation est déjà formalisé par écrit. Elle ne garantit pas un compte.