यूएई में एक OT साइबर सुरक्षा या महत्वपूर्ण अवसंरचना सुरक्षा कंपनी कैसे स्थापित करें

DET या किसी फ्री ज़ोन (free zone) प्राधिकरण से लिया गया व्यापार लाइसेंस व्यावसायिक गतिविधि को दर्ज करता है। यह अपने आप में यह नहीं बताता कि कंपनी वह कुछ कर रही है जिसे TDRA या Cyber Security Council विनियमित मानती है। TDRA का क्षेत्राधिकार UAE के टेलीकॉम नेटवर्क, उपकरण और एन्क्रिप्शन को कवर करता है; जो कंपनी कनेक्टिविटी बनाती, पुनर्विक्रय करती या संचालित करती है, या क्रिप्टोग्राफिक उपकरण सप्लाई करती है, वह इस क्षेत्राधिकार में आती है, चाहे उसका लाइसेंस किसी भी तरह से लिखा गया हो। Cyber Security Council की स्थापना UAE की राष्ट्रीय साइबर सुरक्षा रणनीति बनाने के लिए की गई थी, और यह Critical Information Infrastructure Protection नीति चलाती है, जो नामित क्रिटिकल इंफ्रास्ट्रक्चर के ऑपरेटरों के लिए न्यूनतम सुरक्षा दायित्व तय करती है। ये दायित्व इंफ्रास्ट्रक्चर ऑपरेटर पर लागू होते हैं, लेकिन अनुबंध के माध्यम से विक्रेता तक भी पहुँचते हैं: कोई बैंक, उपयोगिता कंपनी या परिवहन ऑपरेटर जो स्वयं एक नामित CII एंटिटी है, सामान्यतः अपने न्यूनतम नियंत्रण, एक्सेस नियम और इंसिडेंट-रिपोर्टिंग दायित्व किसी भी OT सिक्योरिटी सप्लायर पर, जिसे वह नियुक्त करता है, आगे बढ़ा देगा।

एक संस्थापक के लिए व्यावहारिक प्रश्न यह है कि इन तीन निकायों में से किसके नियम प्रस्तावित कार्य को वास्तव में छूते हैं, जैसा प्रश्न एक आइडेंटिटी-सिक्योरिटी या प्रिविलेज्ड-एक्सेस-मैनेजमेंट कंपनी को अपने एक्सेस अधिकारों के बारे में हल करना पड़ता है। केवल मूल्यांकन या आर्किटेक्चर-समीक्षा करने वाला व्यवसाय, जिसके पास न लाइव एक्सेस है और न अपने उपकरण, सामान्य वाणिज्यिक गतिविधि के सबसे निकट बैठता है। जो व्यवसाय किसी ग्राहक के नेटवर्क की निरंतर निगरानी करता है, स्थायी रिमोट कनेक्शन रखता है, या गेटवे की आपूर्ति और कॉन्फ़िगरेशन करता है, वह TDRA और काउंसिल के क्षेत्र के अधिक निकट पहुँच जाता है, ठीक वैसे ही जैसे एक पोस्ट-क्वांटम क्रिप्टोग्राफ़ी या सुरक्षित-संचार कंपनी को अपने लाइसेंस का वर्गीकरण करने से पहले अपने क्रिप्टोग्राफ़िक कार्य का वर्गीकरण करना पड़ता है।

न तो TDRA का दायरा और न ही काउंसिल का CIIP फ्रेमवर्क किसी ऐसे एकल शुल्क या लाइसेंस श्रेणी में समेटा जा सकता है जिसे सामान्य रूप से प्रकाशित किया जा सके। TDRA प्रत्येक मामले के आधार पर तय करता है कि कोई नेटवर्क, उपकरण या एन्क्रिप्शन गतिविधि दूरसंचार विनियमन के भीतर आती है या नहीं; जिस कंपनी की पेशकश में कनेक्टिविटी, इंटरसेप्शन-सक्षम निगरानी या क्रिप्टोग्राफ़िक हार्डवेयर शामिल है, उसे यह प्रश्न सीधे TDRA के समक्ष रखना चाहिए, न कि किसी प्रतिस्पर्धी की मार्केटिंग से उत्तर का अनुमान लगाना चाहिए। साइबर सिक्योरिटी काउंसिल की CIIP नीति वह साधन है जो महत्वपूर्ण परिसंपत्तियों की पहचान करता है, CII संस्थाओं के लिए आधारभूत सुरक्षा आवश्यकताएँ निर्धारित करता है और उनके आसपास निगरानी एवं प्रवर्तन तंत्र चलाता है; यह बुनियादी ढाँचे के संचालक के लिए लिखी गई है, इसलिए इसके अंतर्गत विक्रेता के दायित्व संविदात्मक हैं, कोई अलग लाइसेंस नहीं जिसके लिए विक्रेता स्वयं आवेदन करे। डेटा-सुरक्षा दायित्व इन दोनों के साथ-साथ चलते हैं: जो कंपनी अपनी निगरानी सेवा के भाग के रूप में व्यक्तिगत या संचालन संबंधी डेटा संसाधित करती है, उसे यह दिखा पाना चाहिए कि वह डेटा कहाँ रखा गया है और उस तक किसकी पहुँच है। यहाँ कोई गतिविधि कोड, लाइसेंस श्रेणी या पूँजी आँकड़ा नहीं बताया गया है; इन्हें एंटिटी मार्ग चुनने से पहले TDRA और काउंसिल की वर्तमान सामग्री के विरुद्ध पुष्ट किया जाता है।

किसी OT सिक्योरिटी सप्लायर की समीक्षा करने वाली बैंक या एंटरप्राइज़ प्रोक्योरमेंट टीम मुख्य रूप से बैलेंस शीट नहीं जाँच रही होती। वह यह जाँच रही होती है कि ग्राहक की लाइव कंट्रोल प्रणालियों तक कौन पहुँच सकता है, किस लिखित अधिकार के तहत, और जब उस एक्सेस का दुरुपयोग हो जाए या उसे बस भुला दिया जाए तो क्या होता है। किसी भी रिमोट-एक्सेस व्यवस्था के दायरे, एक्सेस को किस तरह समय-सीमित और निरस्त किया जाता है, क्या लॉगिंग मौजूद है, और क्या एक्सेस वास्तव में कंपनी के अपने स्टाफ़ के पास है या किसी सबकॉन्ट्रैक्टर के पास, इस पर सवालों की अपेक्षा रखें। किसी पैरेंट, एफिलिएट या विशेषज्ञ पार्टनर को एक भी अदस्तावेज़ीकृत हैंड-ऑफ़ आमतौर पर पहली चीज़ होती है जो अकाउंट-ओपनिंग की बातचीत को रोक देती है। लाइसेंस जारी होने के बाद के बजाय पहली बैंक मीटिंग से पहले यह प्रमाण तैयार करना ही वह अंतर है जिसे बंद करने के लिए कॉरपोरेट बैंक अकाउंट रेडीनेस कार्य बनाया गया है।

OT और क्रिटिकल-इंफ्रास्ट्रक्चर ग्राहक शेयरधारक रजिस्टर से आगे देखकर उन लोगों पर ध्यान देते हैं जो वास्तव में उनकी प्रणालियों को छूएंगे। फ़ाइल की समीक्षा करने वाला कोई रेगुलेटर, बैंक या ग्राहक किसी ऐसे व्यक्ति को देखना चाहेगा जो OT इंजीनियरिंग क्षमता दिखा सके, न कि केवल सामान्य IT सिक्योरिटी पृष्ठभूमि, इससे पहले कि किसी लाइव औद्योगिक वातावरण पर कोई स्कैनिंग, मॉनिटरिंग या बदलाव का काम स्वीकृत किया जाए। जहाँ कंपनी का अपना स्वामित्व कई होल्डिंग स्तरों, फंडों या परिवार संरचनाओं से गुज़रता है, वह श्रृंखला भी उसी फ़ाइल का हिस्सा है जिसे कोई ग्राहक या बैंक पढ़ेगा, और रेगुलेटेड एंड कॉम्प्लेक्स ओनरशिप सेटअप रूट ठीक इसी स्थिति के लिए बनाया गया है। एक लिखित बिज़नेस प्लान एंड सपोर्टिंग डॉक्यूमेंटेशन को एक ही स्थान पर ऑपरेटिंग मॉडल, एक्सेस सीमा और उसे धारण करने वाले लोगों को स्पष्ट करना चाहिए।

सामान्य सूत्र वही है जिससे किसी कनेक्टिविटी इंफ्रास्ट्रक्चर बिज़नेस का सामना होता है: एक वैध व्यापार लाइसेंस को उन अनुमतियों, अनुबंधों और तकनीकी अधिकार के बराबर समझ लिया जाता है जिनकी इस क्षेत्र में काम करने के लिए वास्तव में ज़रूरत होती है। लाइसेंस आसान हिस्सा है; एक्सेस सीमा और उसके पीछे का लिखित अधिकार आसान नहीं है।

इस प्रकार की परामर्श या प्रौद्योगिकी गतिविधि के लिए एक मानक मेनलैंड (mainland) वाणिज्यिक लाइसेंस AED 14,000 से शुरू होता है, और फ्री ज़ोन (free zone) का केवल-लाइसेंस पैकेज लगभग AED 5,000 से 6,000 तक उपलब्ध है; इनमें से कोई भी आँकड़ा उन इंजीनियरिंग कर्मचारियों, सुरक्षित सुविधाओं, परीक्षण अवसंरचना या घटना-प्रतिक्रिया क्षमता को शामिल नहीं करता जिनकी संचालन मॉडल को वास्तव में आवश्यकता होती है। वीज़ा क्षमता उतने ही OT इंजीनियरों और संचालन कर्मचारियों के अनुरूप होनी चाहिए जितनों को कंपनी वास्तव में नियुक्त करने की योजना बनाती है, न कि गठन के समय तय की गई काल्पनिक संख्या के अनुरूप। लाइसेंस और एस्टैब्लिशमेंट कार्ड (establishment card) का नवीनीकरण प्रतिवर्ष होता है, और उपकरण, निगरानी सुविधा या सुरक्षित संचालन कक्ष रखने वाली कंपनी को इस नवीनीकरण की योजना किसी भी परिसर पट्टे के साथ बनानी चाहिए, इसे अलग घटना नहीं मानना चाहिए। इन आँकड़ों से परे लागत परतों में निर्मित होती है, और Velarozone सेवा शुल्क को किसी शीर्षक आँकड़े के रूप में प्रकाशित करने के बजाय एंगेजमेंट लेटर (engagement letter) में मदवार दर्शाया जाता है।