यूएई में पैठ- परीक्षण, रेड-टीम या साइबर-आश्वासन कंपनी स्थापित करना

यहाँ दो अलग-अलग सवाल दायरा तय करते हैं। पहला एक लाइसेंसिंग सवाल है: क्या कंपनी जिस गतिविधि विवरण के अंतर्गत रजिस्टर होती है, उसे लाइसेंसिंग प्राधिकरण द्वारा सिक्योरिटी-संबंधी के रूप में चिह्नित किया जाता है, जिसके लिए ट्रेड लाइसेंस दिए जाने से पहले बाहरी मंज़ूरी चाहिए होती है? Dubai का Department of Economy and Tourism और फ्री ज़ोन (free zone) प्राधिकरण अपनी-अपनी वह सूची रखते हैं जो इस रेफरल को ट्रिगर करती है, और "इंफॉर्मेशन सिक्योरिटी" या "पेनिट्रेशन टेस्टिंग" जैसे शब्द आमतौर पर उसमें शामिल होते हैं। दूसरा एक मानकों से जुड़ा सवाल है: क्या ग्राहक आधार (client base) में सरकारी इकाइयाँ, टेलीकॉम ऑपरेटर या क्रिटिकल-इंफ्रास्ट्रक्चर ऑपरेटर शामिल हैं, जिनके अपने सिक्योरिटी दायित्व टेस्टिंग फर्म के लाइसेंस के बजाय UAE Cyber Security Council के ज़रिए चलते हैं।

केवल निजी कमर्शियल ग्राहकों (client) के लिए निजी कमर्शियल एप्लिकेशन का परीक्षण करने वाली फर्म का दायरा उस फर्म से छोटा होता है जो सरकारी या क्रिटिकल-नेशनल-इंफ्रास्ट्रक्चर एंगेजमेंट के लिए प्रस्ताव देती है, यह वह क्षेत्र है जो UAE क्रिटिकल इंफ्रास्ट्रक्चर सिक्योरिटी में शामिल है। एक ही कंपनी अपनी वृद्धि के अलग-अलग चरणों में दोनों श्रेणियों में आ सकती है, इसलिए लॉन्च मॉडल को उस ग्राहक आधार का वर्णन करना चाहिए जिसके लिए वह आज बनी है, न कि उस ग्राहक आधार का जिसे वह बाद में पाने की उम्मीद करती है।

साइबर सिक्योरिटी काउंसिल सरकारी संस्थाओं और महत्वपूर्ण क्षेत्रों में राष्ट्रीय साइबर सुरक्षा नीति और मानकों को निर्धारित एवं समन्वित करती है। जहाँ किसी फर्म के कार्य उस दायरे में आते हैं, वहाँ उन मानकों के अंतर्गत ग्राहक के अपने दायित्व तय करते हैं कि परीक्षण करने वाली फर्म को क्या दस्तावेज़ीकृत करना होगा: नामित, सत्यापित परीक्षक, परिभाषित दायरा और एंगेजमेंट के नियम, तथा एक भेद्यता-प्रबंधन प्रक्रिया। Telecommunications and Digital Government Regulatory Authority उन दूरसंचार नेटवर्क और स्पेक्ट्रम को विनियमित करती है जिन्हें रेड-टीम एंगेजमेंट छू सकता है, यदि परीक्षण दूरसंचार-संचालक के बुनियादी ढाँचे तक पहुँचता है, जो किसी ग्राहक के अपने वेब एप्लिकेशन के परीक्षण से भिन्न दायरा है।

जब भी कोई एंगेजमेंट व्यक्तिगत डेटा रखने वाली प्रणालियों तक पहुँचता है, तब संघीय डेटा सुरक्षा कानून लागू होता है, जो यहाँ लगभग स्वतः ही होता है: जो पेनटेस्ट किसी डेटाबेस को बरामद करता है, या जो रेड-टीम अभ्यास किसी HR प्रणाली तक पहुँचता है, वह फर्म को एंगेजमेंट की अवधि के लिए डेटा-प्रबंधन की भूमिका में रख देता है। अनुबंध में यह स्पष्ट होना चाहिए कि उस डेटा को कैसे संग्रहीत किया जाता है, उसे कौन देख सकता है, और एंगेजमेंट समाप्त होने पर उसे कब नष्ट किया जाता है, और इसे उन मानक शर्तों पर नहीं छोड़ा जाना चाहिए जो गठन पैकेज डिफ़ॉल्ट रूप से देता है।

किसी साइबर-एश्योरेंस फर्म के खाता आवेदन का मूल्यांकन करते समय बैंक ट्रेड लाइसेंस से आगे जाकर परिचालन तथ्यों को देखते हैं: ग्राहक (client) कौन हैं, क्या एंगेजमेंट नियंत्रित या सरकारी सिस्टम को छूते हैं, टेस्टर की वेटिंग कैसे होती है, और लाइव टेस्ट के दौरान किसी घटना पर फर्म कैसे प्रतिक्रिया देगी। एक रूल्स-ऑफ-एंगेजमेंट टेम्पलेट, एक नामित इंसिडेंट-रेस्पॉन्स संपर्क, और एक मौजूदा प्रोफेशनल इंडेमनिटी पॉलिसी पहली समीक्षा में इसमें से अधिकांश का जवाब दे देती है; इनके बिना कोई योजना किसी परिचालन फर्म के बजाय खाता माँगने वाली एक शेल कंपनी जैसी लगती है। कंपनी वास्तव में जिस तरह के एंगेजमेंट चलाती है उसी के इर्द-गिर्द बना कॉर्पोरेट बैंक खाता तैयारी किसी सामान्य बैंकिंग पैक से ज़्यादा तेज़ी से आगे बढ़ता है।

यहाँ लागत एक ही मुख्य आँकड़े के बजाय कई स्तरों में बनती है: एंटिटी गठन, कोई भी सुरक्षा अनुमोदन या पेशेवर जांच, ऑपरेटिंग सेटअप (टेस्टिंग इन्फ्रास्ट्रक्चर, सुरक्षित एविडेंस स्टोरेज, टूलिंग, इंश्योरेंस), स्टाफ और बार-बार होने वाले नवीनीकरण। फर्म की अपनी फीस एंगेजमेंट लेटर में मदवार दी जाती है; Velarozone कैसे काम करता है उस संरचना को बताता है।

एक विश्वसनीय परीक्षण फर्म को लाइसेंस के पीछे वास्तविक लोगों की आवश्यकता होती है: ऐसे परीक्षक जिनकी दक्षता और पृष्ठभूमि जाँच का साक्ष्य दिया जा सके, कोई ऐसा व्यक्ति जो कार्य शुरू होने से पहले दायरे को अधिकृत कर सके, और आपातकालीन रोक के लिए एक नामित संपर्क। जो स्वामित्व संरचनाएँ परीक्षण कार्य को कई UAE और ऑफ़शोर संस्थाओं के माध्यम से भेजती हैं, वे बैंकों और सरकारी ग्राहकों की ओर से अधिक जाँच को आमंत्रित करती हैं, कम नहीं, क्योंकि कोई नहीं देख पाता कि जवाबदेह कौन है। जहाँ स्वामित्व वास्तव में परतदार है (उदाहरण के लिए, कोई अंतरराष्ट्रीय समूह UAE की संचालन कंपनी के माध्यम से परीक्षण कर रहा हो), वहाँ निर्णय-प्रक्रिया की संरचना को स्पष्ट करने वाले दस्तावेज़ तैयार करना उचित है, इससे पहले कि कोई बैंक पूछे कि हस्ताक्षर कौन करता है। जिस फर्म का ग्राहक आधार विनियमित या सरकार-संलग्न क्षेत्र तक फैला है, उसे विनियमित और जटिल स्वामित्व सेटअप में वर्णित अनुशासन से लाभ होता है।

सबसे आम विफलता दायरे का खिसकना है: कोई परीक्षक साझा बुनियादी ढाँचे या ऐसी प्रणाली में जाने का रास्ता पा लेता है जो वास्तव में ग्राहक की नहीं है, और उसे अधिकृत कराने के लिए रुके बिना आगे बढ़ता रहता है। लिखित प्राधिकरण में केवल चालान का भुगतान करने वाले ग्राहक का नहीं, बल्कि लक्ष्य और उसके स्वामी का नाम होना चाहिए: कोई ग्राहक अपनी प्रणालियों के परीक्षण को अधिकृत कर सकता है, अपने क्लाउड प्रदाता या किसी भागीदार की प्रणालियों के परीक्षण को नहीं।

दूसरी बार-बार होने वाली विफलता है एविडेंस हैंडलिंग: एक्सप्लॉइट डेटा और वल्नरेबिलिटी विवरण जो एंगेजमेंट समाप्त होने के बाद भी साझा ड्राइव या अव्यवस्थित चैट टूल्स में छोड़ दिए जाते हैं। कोई खरीदार, इंश्योरर या सरकारी ग्राहक पूछेगा कि एविडेंस कैसे और कितने समय तक संग्रहित किया जाता है, और "जहाँ भी टेस्टर ने उसे सेव कर दिया" जैसा जवाब ड्यू डिलिजेंस में टिक नहीं पाता। तीसरी विफलता है अधिक-दावा करना: एक ही परीक्षण को निरंतर सुरक्षा के प्रमाण के रूप में प्रस्तुत करना, जबकि वह निष्कर्ष केवल उस तारीख और सहमत स्कोप को कवर करता है जिस पर वह परीक्षण किया गया था।

एक बार लाइसेंस और कोई भी आवश्यक सुरक्षा अनुमोदन मिल जाने पर, ऑपरेटिंग संबंधी सवाल अधिकतर स्टाफ और नवीनीकरण से जुड़े होते हैं। UAE से बाहर से नियुक्त विशेषज्ञ टेस्टरों को एंटिटी के इमिग्रेशन कोटे के माध्यम से वीज़ा चाहिए होता है, और जहाँ सुरक्षा-संबंधी गतिविधि अनुमोदन लागू होता है, वह आमतौर पर एक अलग कदम के बजाय व्यापार लाइसेंस के साथ ही नवीनीकृत होता है। प्रोफेशनल इंडेम्निटी कवर और कोई भी ग्राहक-विशिष्ट प्रमाणन अपने स्वयं के नवीनीकरण चक्र पर चलते हैं, और इनमें से किसी एक की समाप्ति किसी ग्राहक को अनुबंध नवीनीकृत करने से रोक सकती है, भले ही लाइसेंस स्वयं वैध बना रहे।