गाइड
UAE में प्रबंधित साइबर सुरक्षा या SOC कंपनी स्थापित करना
संक्षेप में उत्तर
कोई एक अकेला साइबर सिक्योरिटी लाइसेंस नहीं है जिसकी ओर इशारा किया जा सके। आपके ज़ोन या अमीरात के लाइसेंसिंग प्राधिकरण द्वारा कमर्शियल लाइसेंस जारी किया जाता है, जबकि UAE Cyber Security Council और Telecommunications and Digital Government Regulatory Authority (TDRA) अपने-अपने अधिकार क्षेत्र में मामलों का निर्णय करते हैं। मार्ग का निर्णय प्रायः इस बात से होता है कि क्या कंपनी ग्राहक सिस्टम और डेटा तक विशेषाधिकार प्राप्त पहुँच रखेगी, और किसके लिखित प्राधिकार के तहत।
कौन निर्णय लेता है, और हर प्राधिकरण क्या कवर करता है
इस व्यवसाय के इर्द-गिर्द तीन प्रकार के निर्णयकर्ता होते हैं, और वे आपस में सफ़ाई से मेल नहीं खाते।
ज़ोन या अमीरात का लाइसेंसिंग प्राधिकरण कमर्शियल लाइसेंस पर गतिविधि को स्वीकृति देता है। यह सामान्य कंपनी गठन है। मेनलैंड (mainland) कंपनी और फ्री ज़ोन (free zone) मार्ग के बीच का चुनाव इस पर निर्भर करता है कि आपको किन ग्राहकों की सेवा करनी है और आपके विश्लेषक कहाँ बैठेंगे।
UAE Cyber Security Council और TDRA लाइसेंसिंग प्राधिकरण से अलग हैं। हर एक यह तय करता है कि क्या उसके अपने अधिकार क्षेत्र में आता है, और कोई कमर्शियल लाइसेंस किसी का भी विकल्प नहीं बनता। सटीक वर्तमान आवश्यकताओं की पुष्टि किसी भी फाइलिंग से पहले हर प्राधिकरण से की जानी चाहिए, न कि मान ली जानी चाहिए।
ग्राहक तीसरा निर्णयकर्ता है, और व्यवहार में अक्सर सबसे सख्त। विनियमित ग्राहक और सरकार से जुड़े खरीदार स्टाफ़िंग, मंज़ूरी, डेटा स्थान और उप-ठेकेदारों पर अपनी शर्तें तय करते हैं। कागज़ पर वैध लाइसेंस भी ग्राहक की सुरक्षा जाँच में विफल हो सकता है। जहाँ ग्राहक बीमा क्षेत्र में है, वहाँ InsurTech ब्रोकर गाइड बताती है कि गतिविधि को कौन सा नियामक लाइसेंस देता है और कितनी पूंजी चाहिए।
यदि आपकी योजना इंडस्ट्रियल कंट्रोल सिस्टम या क्रिटिकल इंफ्रास्ट्रक्चर तक फैली हुई है, तो OT और क्रिटिकल-इंफ्रास्ट्रक्चर सिक्योरिटी गाइड भी पढ़ें। उस काम के अपने अलग सीमा-संबंधी प्रश्न होते हैं।
पहले ऑपरेटिंग मॉडल चुनें
चारों मॉडल अलग-अलग तरीके से काम करते हैं, इसलिए अधिकार क्षेत्र चुनने से पहले वह मॉडल चुनें जो योजना का सबसे सटीक वर्णन करता हो।
- मैनेज्ड सिक्योरिटी ऑपरेशंस सेंटर। ग्राहक वातावरण की निरंतर निगरानी। सबसे अधिक डेटा एक्सपोज़र, सबसे अधिक स्टाफिंग भार।
- पेनिट्रेशन टेस्टिंग और रेड-टीम सेवाएँ। सिस्टम की सक्रिय जांच। जोखिम प्राधिकरण में होता है, टूलिंग में नहीं।
- इंसिडेंट रिस्पॉन्स और डिजिटल फोरेंसिक्स। साक्ष्य प्रबंधन, चेन ऑफ़ कस्टडी, और कभी-कभी कानून प्रवर्तन एजेंसियों से संपर्क।
- वैकल्पिक मैनेज्ड सपोर्ट के साथ सिक्योरिटी सॉफ़्टवेयर। एक प्रोडक्ट कंपनी जो सेवा डिलीवरी की ओर खिसक जाती है जब ग्राहक इसे चलाने में मदद माँगते हैं।
कई फाउंडर एक मॉडल से शुरुआत करते हैं और बाद में दूसरा जोड़ लेते हैं। इसे अभी व्यापार योजना में स्पष्ट रूप से लिखें, क्योंकि केवल पहले मॉडल से मेल खाने वाला गतिविधि विवरण बाद में संशोधन करने पर मजबूर कर सकता है।
लिखित प्राधिकार और डेटा हैंडलिंग
इस क्षेत्र में अधिकांश काम दो मुद्दे तय करते हैं।
परीक्षण या पहुँच का प्राधिकार। किसी सिस्टम के मालिक की सटीक लिखित सहमति के बिना उसका परीक्षण करना किसी सिक्योरिटी कंपनी के लिए दायित्व पैदा करने का सबसे स्पष्ट तरीका है। रूल्स-ऑफ़-इंगेजमेंट दस्तावेज़ यह तय करता है कि कौन-से सिस्टम, कौन-सी तकनीकें, कौन-सी तारीखें, और ग्राहक की ओर से कौन काम रोक सकता है। ये टेम्पलेट पहले अनुबंध से पहले तैयार करें, उसके दौरान नहीं।
व्यक्तिगत और गोपनीय डेटा। सिक्योरिटी टेलीमेट्री देखने में तकनीकी लगती है, लेकिन इसमें आमतौर पर यूज़रनेम, IP पते, ईमेल सामग्री और क्रेडेंशियल्स शामिल होते हैं। इसे असंवेदनशील मान लेना एक सामान्य गलती है। यूएई सरकार का डेटा संरक्षण कानूनों से जुड़ा पृष्ठ संघीय और फ्री ज़ोन (free zone) व्यवस्थाओं के लिए शुरुआती बिंदु है। कौन-सी व्यवस्था लागू होती है, यह इस पर निर्भर करता है कि कंपनी कहाँ स्थापित है और डेटा विषय तथा ग्राहक कहाँ स्थित हैं। क्रॉस-बॉर्डर निगरानी, यानी जब यूएई के बाहर का कोई विश्लेषक किसी यूएई ग्राहक के लॉग देखता है, तो स्थानांतरण, एक्सेस नियंत्रण और ग्राहक सहमति पर एक सुविचारित उत्तर आवश्यक होता है। अपनी सटीक संरचना के लिए यूएई में अभ्यास करने हेतु लाइसेंस प्राप्त वकीलों से स्थिति की पुष्टि कराएँ।
सब्सटेंस (substance), कर्मचारी और भूमिकाएँ
एक मैनेज्ड सिक्योरिटी कंपनी मूलतः एक पीपल बिज़नेस है, और जो कंपनी ग्राहक अनुबंधों पर हस्ताक्षर करती है, उसे ही विश्लेषकों को नियुक्त करना चाहिए, टूलिंग रखनी चाहिए, और प्रोफेशनल इंडेम्निटी तथा साइबर कवर रखना चाहिए। कोई विदेशी पैरेंट कंपनी या इंटेलेक्चुअल-प्रॉपर्टी कंपनी समूह में कहीं और स्थित हो सकती है, लेकिन हर एक की वास्तविक भूमिका होनी चाहिए।
आवेदन करने से पहले इन बातों का निर्णय करें:
- क्या विश्लेषक यूएई में बैठते हैं, ऑफ़शोर, या दोनों में, और हर ग्राहक क्या अनुमति देता है।
- विश्लेषकों की जांच कौन करता है, और ग्राहक क्रेडेंशियल्स तक पहुँच कैसे दी जाती है, लॉग की जाती है और रद्द की जाती है।
- क्या विशेषाधिकार प्राप्त क्रेडेंशियल्स कंपनी के पास होते हैं या ग्राहक के पास।
- कौन-से सब-कॉन्ट्रैक्टर ग्राहक डेटा को छूते हैं, और चेन ऑफ़ कस्टडी कैसे बनाए रखी जाती है।
- नामित वरिष्ठ सिक्योरिटी और कंप्लायंस लीड कौन है।
वीज़ा क्षमता हेडकाउंट के अनुसार तय होती है। चौबीसों घंटे चलने वाले SOC को शिफ़्ट कवर की आवश्यकता होती है, इसलिए योजना वास्तविक रोस्टर के आधार पर बनाएं, केवल फाउंडरों के आधार पर नहीं। व्यापार योजना और सहायक दस्तावेज़ों में यह रोस्टर और उसके पीछे का डिलीवरी मॉडल दिखना चाहिए। लागत कई परतों में बनती है, और फर्म की फ़ीस एंगेजमेंट लेटर में मद-वार दी जाती है, जैसा कि Velarozone कैसे काम करता है में बताया गया है। इस क्षेत्र में सबसे बड़ी परत आमतौर पर पेरोल, टूलिंग और इंश्योरेंस होती है, लाइसेंस नहीं।
बैंक किस पर ध्यान देता है
बैंक किसी सिक्योरिटी कंपनी को ऐसे व्यवसाय के रूप में देखते हैं जो दूसरे लोगों का डेटा संभालता है। आवेदन करने से पहले, यह दिखाने के लिए तैयार रहें:
- रूल्स-ऑफ़-इंगेजमेंट और सहमति टेम्पलेट।
- विश्लेषक जांच और एक्सेस-नियंत्रण प्रक्रियाएँ।
- साक्ष्य प्रबंधन और प्रतिधारण प्रक्रियाएँ।
- घटना-प्रतिक्रिया प्लेबुक और ग्राहकों से किए गए वादे।
- मौजूद कोई भी प्रमाणन (certifications) और आश्वासन रोडमैप।
ग्राहक और भुगतान मार्ग पिच, वित्तीय मॉडल और बैंक फ़ाइल में एक समान होने चाहिए। जब डिलीवरी मॉडल पहले से लिखित हो, तो कॉर्पोरेट बैंक खाता तैयारी आसान हो जाती है। यह खाते की गारंटी नहीं देता।
सामान्यतः क्या गलत होता है
- सटीक लिखित प्राधिकार के बिना परीक्षण। दायरा एक ईमेल थ्रेड में सहमत हुआ था, और ग्राहक बाद में विवाद करता है कि क्या शामिल था।
- टेलीमेट्री को गैर-संवेदनशील मानना। लॉग्स को ऐसी जगह संग्रहीत या विश्लेषित किया जाता है जिसकी अनुमति ग्राहक का अनुबंध नहीं देता।
- ग्राहक की शर्तों के विरुद्ध ऑफ़शोर स्टाफिंग। एक सरकार-संबद्ध खरीदार को स्थानीय स्टाफ की आवश्यकता होती है, जबकि डिलीवरी मॉडल ने इसके विपरीत मान लिया था।
- रोकथाम का वादा करना। हर हमले को रोकने का वादा करने वाले अनुबंध एक दायित्व (liability) हैं। मापने योग्य प्रतिक्रिया प्रतिबद्धताएँ, जैसे कि ट्राएज का समय, बचाव-योग्य होती हैं।
- कार्य के दौरान पाई गई अवैध गतिविधि के लिए कोई योजना न होना। कंपनी को किसी अपराध का प्रमाण मिलता है और उसके पास यह लिखित प्रक्रिया नहीं होती कि किसे और कब बताया जाए।
