Ինչպես հիմնել պաշտպանական կամ երկակի օգտագործման տեխնոլոգիաների ընկերություն ԱՄԷ-ում

Առևտրային լիցենզիան նկարագրում է գործունեությունը, բայց չի տալիս վերահսկվող ապրանքով գործարք կատարելու թույլտվություն։ EOCN-ը կառավարում է ԱՄԷ-ի վերահսկողության ցանկը և այն մարմինն է, որը որոշում է՝ արդյոք կարողությունը, ծրագրային ապահովումը, տեխնիկական տվյալները կամ վերջնական օգտագործումը գործարքը ներառում են թույլտվությունների համակարգի մեջ։ Այդ որոշումը կայացվում է ապրանքի և հաճախորդի փաստերի հիման վրա, այլ ոչ թե դիմողի նախընտրած՝ բիզնեսի նկարագրության։

Երկու ընկերություններ, որոնք առաջարկում են նմանատիպ ծրագրային ապահովում, կարող են հայտնվել սահմանագծի հակառակ կողմերում՝ կախված նրանից, թե ով է հաճախորդը, ինչի համար է այն օգտագործվում, և արդյոք հիմքում ընկած հնարավորությունը հայտնվում է ցանկում։ Ընկերությունը, որը քաղաքացիական գնորդներին վաճառում է միայն ընդհանուր նշանակության վերլուծություն, կարող է ամբողջությամբ գտնվել ռեժիմից դուրս. գրեթե նույնական առաջարկը, որը վաճառվում է արտահանման իրավունքներով կառավարական վերջնական օգտագործողին, կարող է չգտնվել։ Այդ որոշումը պետք է կայացվի մինչև կառուցվածքի ամրագրումը, քանի որ այն որոշում է, թե որ մարմնին է պատասխանատու ձեռնարկությունը և ինչ ապացույցներ պետք է պահի։

EOCN-ի վերահսկողության ցանկի գործառույթը ամենալայն կիրառվող փուլն է. եթե ապրանքը, տեխնոլոգիան կամ ծրագրային ապահովումը ներառված է ցանկում, դրանցով գործարք կատարելը, դրանց արտահանումը, վերաարտահանումը կամ տվյալ վերջնական օգտագործողին փոխանցումը նախ պահանջում է EOCN-ի թույլտվություն։ Եթե ծրագրում նախատեսված է տեղական արտադրություն, հավաքում կամ արդյունաբերական արտադրական տարածք, MoIAT-ի արդյունաբերական լիցենզավորման շրջանակը գործում է այդ թույլտվության կողքին, այլ ոչ թե փոխարինում է դրան։ Եթե ընկերությունն ինքն է մատուցում կիբերանվտանգության ծառայություններ, Cyber Security Council-ի National Cyber Security Accreditation Program-ը կարող է ավելացնել հավելյալ հավատարմագրման պահանջ՝ երկուսի վրա էլ, որը գնահատվում է կիբերանվտանգության բազային ստանդարտների համաձայն, այլ ոչ թե արտադրանք առ արտադրանք հաստատվում է։

Երեքից ոչ մեկը չի հրապարակում մեկ միասնական ցանկ «պաշտպանական տեխնոլոգիաների ընկերությունների» համար. յուրաքանչյուրը պատասխանատու է շղթայի իր մասի համար, և ընկերությանը կարող են անհրաժեշտ լինել երեքն էլ, երկուսը, կամ ոչ մեկը՝ կախված դասակարգումից։ Գործունեության նկարագրության, հաճախորդների ցանկի և արտադրանքի տեխնիկական բնութագրի կազմումը՝ նախքան ցանկացած լիցենզիայի դիմում, թույլ է տալիս յուրաքանչյուր մարմնին մոտենալ մեկ հետևողական փաստաթղթերով, այլ ոչ ենթադրությամբ։

Այս ոլորտում բանկերը և վճարային գործընկերները նախ կարդում են հաստատումների պատմությունը, ապա միայն հաշվեկշիռը։ Մինչև հաճախորդի ընդունման սկիզբը, բանկը սովորաբար ցանկանում է տեսնել արտադրանքի և հսկողության դասակարգումը, յուրաքանչյուր հաճախորդի հետևում կանգնած վերջնական օգտագործողի և երկրի ստուգման գործընթացը, ինչպես նաև տեխնոլոգիայի հսկողության պլան, որը նկարագրում է, թե ով կարող է մուտք ունենալ վերահսկվող տվյալներին և բաղադրիչներին։ Ընկերությունը, որը չի կարող ցույց տալ այս ապացույցները, ընկալվում է որպես չփաստաթղթավորված ռիսկ՝ անկախ առևտրային պատմությունից։

Բանկի համար պատրաստ փաթեթի կազմումը և կապիտալի հետևում կանգնած միջոցների աղբյուրի ապացուցումը առանձին աշխատանքներ են. տե՛ս կորպորատիվ բանկային հաշվի պատրաստվածություն և հարստության և միջոցների աղբյուրը՝ տեսնելու համար, թե դրանցից յուրաքանչյուրն ինչ է ընդգրկում։ Այստեղ ծախսը կառուցվում է շերտերով, այլ ոչ թե մեկ ընդհանուր թվով, և ծառայությունների պայմանների նամակ-համաձայնագիրը (engagement letter) մանրամասնում է ընկերության վճարը յուրաքանչյուր շերտի համար. գործնականում հենց սա է Velarozone-ի աշխատանքի կարգը։

Հիմնական անձինք հաստատման մասն են, ոչ թե դրա շուրջ եղած փաստաթղթերը։ Այս ոլորտի մարմինները սովորաբար ցանկանում են իմանալ, թե ընկերության ներսում ով կարող է մուտք ունենալ վերահսկվող տեխնիկական տվյալներին, ով է հաստատում վերջնական օգտագործողի ստուգումը, և ով է պատասխանատու, եթե դասակարգումը սխալ է ստացվում։ Այդ պաշտոնները պետք է գոյություն ունենան և անվանված լինեն մինչև դիմումի ներկայացումը, ոչ թե հավաքագրվեն հետագայում։

Երբ կարգավորվող և չկարգավորվող գործունեությունը գտնվում են նույն ընկերությունում, ամբողջ իրավաբանական անձի հաստատումների շրջանակը կարող է ընդլայնվել՝ համապատասխանելու կարգավորվող մասին, նույնիսկ եթե եկամտի մեծ մասը չկարգավորվող է։ Կառուցվածքի բաժանումը (գործող իրավաբանական անձ, որը պահում է թույլտվությունը, և առանձին կառույց՝ չկարգավորվող մատակարարման կամ IP-ի համար) իրական տարբերակ է, որը արժե համեմատել վաղ փուլում. նույն տրամաբանությունը կիրառվում է նաև այլ սահմանափակված ոլորտների համար, օրինակ՝ երկաթուղու, մետրոյի կամ տրանսպորտային տեխնոլոգիաների ընկերության դեպքում։ Սեփականության այն կառուցվածքները, որոնք ներառում են մի քանի ազգություն, հավատարմագրային կառույցներ (trusts) կամ անվանական (nominee) դասավորություններ, ավելացնում են ստուգման լրացուցիչ շերտ. տե՛ս կարգավորվող և բարդ սեփականության կառուցվածքի ձևավորում՝ դա սովորաբար ինչպես է փաստաթղթավորվում։

Երբ ուղիները համեմատվում են միայն գրանցման վճարի հիման վրա, անտեսվում է այն, ինչն իրականում որոշում է բյուջեն և ժամանակացույցը՝ հսկիչ ցանկի թույլտվությունը, արտադրական կամ կիբեռանվտանգության հաստատումները, ինչպես նաև յուրաքանչյուրին կից անձնակազմի և տարածքների պայմանները։

Տրված թույլտվությունը պարտավորության ավարտը չէ։ Արտահանման հսկողության թույլտվությունները, արդյունաբերական հաստատումները և կիբեռհավատարմագրումները յուրաքանչյուրն ունեն սեփական նորացման ցիկլ, որը առևտրային լիցենզիայի նորացումից առանձին է, և յուրաքանչյուրը կարող է պահանջել նույն ստուգման և հսկողության միջոցների թարմ ապացույցներ, որոնք հիմք հանդիսացել են առաջին հայտի համար։ Հիմնական աշխատակիցների վիզաները նույն տրամաբանությանը են հետևում. հաստատման մեջ մարմնի կողմից նշված դերը սովորաբար պահանջում է անվանված, ռեզիդենտ անձի առկայություն, ոչ թե պարզապես կազմակերպական կառուցվածքի մեջ նշված պաշտոն։

Տարածքների պայմանները հաճախ ամենադանդաղ շարժվող բաղադրիչն են, քանի որ ստուգումը կամ հավատարմագրումը կարող է կատարվել օբյեկտի վրա նախքան որևէ թույլտվության տրամադրումը։ Տարածքների ժամանակացույցը կառուցելը մարմնի ժամացույցի, այլ ոչ թե վարձակալության ստորագրման ամսաթվի շուրջ, թույլ է տալիս պլանի մնացած մասին չսպասել մի քայլի, որը ոչ ոք նախապես չի ժամանակացույցագրել։