Ուղեցույց
Կառավարվող կիբեռանվտանգության կամ SOC ընկերության ստեղծում UAE-ում
Կարճ պատասխան
Չկա մեկ միասնական կիբերանվտանգության լիցենզիա, որին կարելի է հղվել։ Ձեր գոտու կամ էմիրության լիցենզավորող մարմինը տրամադրում է առևտրային լիցենզիան, մինչդեռ ԱՄԷ Կիբերանվտանգության խորհուրդը և Հեռահաղորդակցության և թվային կառավարության կարգավորող մարմինը (TDRA) յուրաքանչյուրն իր իրավասության շրջանակում որոշումներ են կայացնում։ Ուղին առավելապես որոշվում է նրանով, թե արդյոք ընկերությունը հաճախորդի համակարգերին և տվյալներին արտոնյալ հասանելիություն կունենա, և ում գրավոր թույլտվության հիման վրա։
Ո՞վ է որոշում, և ի՞նչ է ընդգրկում յուրաքանչյուր մարմին
Այս բիզնեսի շուրջ կան որոշում կայացնող երեք տեսակի մարմիններ, և դրանց իրավասությունները հստակ չեն համընկնում։
Գոտու կամ էմիրության լիցենզավորող մարմինը հաստատում է գործունեությունը առևտրային լիցենզիայում։ Սա սովորական ընկերության հիմնադրման գործընթաց է։ Ընտրությունը մեյնլենդ (mainland) ընկերության և ազատ գոտու (free zone) ուղու միջև կախված է այն հաճախորդներից, որոնց դուք պետք է սպասարկեք, և այն վայրից, որտեղ կնստեն ձեր վերլուծաբանները։
ԱՄԷ Կիբերանվտանգության խորհուրդը և TDRA-ն առանձին են լիցենզավորող մարմնից։ Յուրաքանչյուրը որոշում է, թե ինչն է մտնում իր իրավասության մեջ, և առևտրային լիցենզիան չի փոխարինում ոչ մեկին դրանցից։ Ճշգրիտ ընթացիկ պահանջները հաստատվում են յուրաքանչյուր մարմնի հետ՝ նախքան որևէ հայտ ներկայացնելը, այլ ոչ թե ենթադրվում։
Հաճախորդը երրորդ որոշում կայացնողն է և գործնականում հաճախ ամենախիստը։ Կարգավորվող հաճախորդները և պետության հետ կապված գնորդները սահմանում են իրենց պայմանները անձնակազմի, թույլտվության, տվյալների գտնվելու վայրի և ենթակապալառուների վերաբերյալ։ Թղթի վրա վավեր լիցենզիան դեռ կարող է չանցնել հաճախորդի անվտանգության ստուգումը։ Եթե հաճախորդը ապահովագրության ոլորտում է, ապահովագրական տեխնոլոգիաների բրոքերի ուղեցույցը ներկայացնում է, թե որ կարգավորողն է լիցենզավորում գործունեությունը և ինչ կապիտալ է պահանջվում։
Եթե ձեր ծրագիրը տարածվում է արդյունաբերական կառավարման համակարգերի կամ կրիտիկական ենթակառուցվածքի վրա, կարդացեք նաև արտադրական տեխնոլոգիաների (OT) և կրիտիկական ենթակառուցվածքի անվտանգության ուղեցույցը։ Այդ ոլորտն ունի իր սեփական սահմանազատման հարցերը։
Նախ ընտրեք գործառնական մոդելը
Այս չորս մոդելներն իրենց տարբեր կերպ են դրսևորում, ուստի նախքան իրավազորությունն ընտրելը՝ ընտրեք այն մոդելը, որն առավել ճշգրիտ նկարագրում է ձեր ծրագիրը։
- Կառավարվող անվտանգության գործառնական կենտրոն (SOC)։ Հաճախորդի միջավայրերի շարունակական մոնիտորինգ։ Ամենաբարձր տվյալների ռիսկայնությունը, ամենաբարձր անձնակազմային ծանրաբեռնվածությունը։
- Ներթափանցման փորձարկում (penetration testing) և կարմիր թիմի (red-team) ծառայություններ։ Համակարգերի ակտիվ փորձարկում։ Ռիսկը կայանում է թույլտվության (authorisation) մեջ, ոչ թե գործիքակազմում։
- Միջադեպերի արձագանքում և թվային դատաբժշկական փորձաքննություն (digital forensics)։ Ապացույցների հետ աշխատանք, պահպանման շղթա (chain of custody) և երբեմն՝ կապ իրավապահ մարմինների հետ։
- Անվտանգության ծրագրային ապահովում՝ ըստ ցանկության կառավարվող աջակցությամբ։ Արտադրանք մատակարարող ընկերություն, որը աստիճանաբար տեղափոխվում է ծառայությունների մատուցման ոլորտ, հենց հաճախորդները խնդրում են օգնություն դրա շահագործման հարցում։
Շատ հիմնադիրներ սկսում են մեկով և հետագայում ավելացնում ևս մեկը։ Նշեք դա բիզնես ծրագրում դեռ հիմա, քանի որ միայն առաջին մոդելին համապատասխանող գործունեության նկարագրությունը կարող է հարկադրել փոփոխություն կատարել։
Գրավոր իրավասություն և տվյալների մշակում
Այս ոլորտում հիմնական դերը խաղում են երկու հարց։
Փորձարկելու կամ հասանելիություն ունենալու իրավասություն։ Համակարգը նրա սեփականատիրոջ հստակ գրավոր համաձայնությունից առանց փորձարկելը անվտանգության ընկերության համար պատասխանատվություն ստեղծելու ամենահստակ ձևն է։ Աշխատանքի կանոնների (rules of engagement) փաստաթուղթը սահմանում է, թե որ համակարգերը, որ մեթոդները, որ ամսաթվերը և հաճախորդի կողմից ով կարող է դադարեցնել աշխատանքը։ Այս ձևանմուշները կազմեք նախքան առաջին պայմանագիրը, ոչ թե դրա ընթացքում։
Անձնական և գաղտնի տվյալներ։ Անվտանգության հեռահաղորդագրման տվյալները (telemetry) տեխնիկական տեսք ունեն, սակայն դրանք սովորաբար պարունակում են օգտանուններ, IP հասցեներ, էլփոստի բովանդակություն և մուտքի տվյալներ։ Դրանք ոչ զգայուն համարելը տարածված սխալ է։ ԱՄԷ կառավարության տվյալների պաշտպանության օրենքների էջը ելակետ է դաշնային և ազատ գոտու (free zone) ռեժիմների համար։ Թե որ ռեժիմն է կիրառվում, կախված է նրանից, թե որտեղ է հիմնադրված ընկերությունը, և որտեղ են գտնվում տվյալների սուբյեկտներն ու հաճախորդները։ Սահմանահատ մոնիտորինգը, երբ ԱՄԷ-ից դուրս գտնվող վերլուծաբանը դիտում է ԱՄԷ հաճախորդի լոգերը, պահանջում է կշռադատված պատասխան՝ փոխանցման, հասանելիության վերահսկման և հաճախորդի համաձայնության վերաբերյալ։ Ձեր կոնկրետ կառուցվածքի համար դիրքորոշումը թող հաստատեն ԱՄԷ-ում փաստաբանական գործունեության իրավունք ունեցող իրավաբանները։
Էական ներկայություն, մարդիկ և դերեր
Կառավարվող անվտանգության ընկերությունը մարդկային ռեսուրսների վրա հիմնված բիզնես է, և այն ընկերությունը, որը ստորագրում է հաճախորդների հետ պայմանագրերը, պետք է աշխատանքի ընդունի վերլուծաբաններին, տիրապետի գործիքակազմին և ունենա մասնագիտական պատասխանատվության և կիբեռ ապահովագրություն։ Արտասահմանյան մայր ընկերությունը կամ մտավոր սեփականության ընկերությունը կարող է գտնվել խմբի այլ մասում, սակայն յուրաքանչյուրը պետք է ունենա իրական դեր։
Սրանք որոշեք նախքան հայտ ներկայացնելը՝
- Արդյոք վերլուծաբանները գտնվում են ԱՄԷ-ում, օֆշորում, թե՞ երկուսում, և ինչ է թույլատրում յուրաքանչյուր հաճախորդ։
- Ո՞վ է ստուգում վերլուծաբաններին, և ինչպես է հաճախորդի մուտքային տվյալներին հասանելիությունը տրամադրվում, գրանցվում և չեղարկվում։
- Արդյոք ընկերությունը, թե հաճախորդն է տիրապետում արտոնյալ մուտքային տվյալներին։
- Որ ենթակապալառուներն են շփվում հաճախորդի տվյալների հետ, և ինչպես է պահպանվում պահպանման շղթան (chain of custody)։
- Ո՞վ է անվանված անվտանգության և համապատասխանության բարձրաստիճան պատասխանատուն։
Վիզայի հզորությունը հետևում է անձնակազմի թվաքանակին։ Շուրջօրյա աշխատող SOC-ին անհրաժեշտ է հերթափոխային ծածկույթ, ուստի ծրագրավորեք ըստ իրական անձնակազմի ցուցակի, ոչ միայն հիմնադիրների։ Բիզնես ծրագիրը և ուղեկցող փաստաթղթերը պետք է ցույց տան այդ ցուցակը և դրա հետևում կանգնած մատուցման մոդելը։ Ծախսերը կառուցված են շերտերով, և ընկերության վճարը մանրամասնված է ծառայությունների պայմանների նամակ-համաձայնագրում, ինչպես նկարագրված է Velarozone-ի աշխատելու կարգում։ Այս ոլորտում ամենամեծ շերտը սովորաբար աշխատավարձն է, գործիքակազմը և ապահովագրությունը, ոչ թե լիցենզիան։
Ինչին է նայում բանկը
Բանկերն անվտանգության ընկերությունը դիտարկում են որպես բիզնես, որը զբաղվում է այլ մարդկանց տվյալներով։ Նախքան հայտ ներկայացնելը, պատրաստ եղեք ցույց տալու՝
- Աշխատանքի կանոնների (rules of engagement) և համաձայնության ձևանմուշներ։
- Վերլուծաբանների ստուգման և հասանելիության վերահսկման ընթացակարգեր։
- Ապացույցների հետ աշխատանքի և պահպանման ընթացակարգեր։
- Միջադեպերի արձագանքման գործողությունների ուղեցույցներ (playbooks) և հաճախորդներին տրված պարտավորությունները։
- Ունեցած ցանկացած սերտիֆիկացում և երաշխավորման ծրագրային ուղեգիծը (assurance roadmap)։
Հաճախորդները և վճարային ուղիները պետք է համապատասխանեն միմյանց՝ ներկայացմանը, ֆինանսական մոդելին և բանկային փաստաթղթերին։ Կորպորատիվ բանկային հաշվի պատրաստվածությունը ավելի հեշտ է, երբ մատուցման մոդելն արդեն գրի է առնված։ Այն հաշիվ չի երաշխավորում։
Ինչն է սովորաբար սխալ ընթանում։
- Փորձարկում՝ առանց հստակ գրավոր թույլտվության։ Շրջանակը համաձայնեցվել է էլեկտրոնային նամակագրության շղթայում, և հետագայում հաճախորդը վիճարկում է, թե ինչն է ընդգրկված եղել։
- Հեռահաղորդագրման տվյալների (telemetry)՝ որպես ոչ զգայուն տվյալների դիտարկում։ Լոգերը պահվում կամ վերլուծվում են այնպիսի վայրում, որը հաճախորդի պայմանագիրը չի թույլատրում։
- Օֆշոր անձնակազմի օգտագործում՝ հակառակ հաճախորդի պայմանների։ Պետության հետ կապված գնորդը պահանջում է տեղական անձնակազմ, մինչդեռ մատուցման մոդելը ենթադրել էր այլ բան։
- Կանխարգելում խոստանալը։ Պայմանագրերը, որոնք խոստանում են կանխել յուրաքանչյուր հարձակում, պատասխանատվության ռիսկ են ներկայացնում։ Չափելի արձագանքման պարտավորությունները, ինչպիսին է արձագանքման ժամանակը (time to triage), հիմնավորված են։
- Աշխատանքի ընթացքում հայտնաբերված անօրինական գործունեության համար ծրագրի բացակայություն։ Ընկերությունը հայտնաբերում է հանցագործության ապացույց, սակայն չունի գրավոր ընթացակարգ, թե ով և երբ պետք է տեղեկացվի։
