Ինչպես ստեղծել OT կիբերանվտանգություն կամ κρίτικ մատակարարման անվտանգության ընկերություն Միացյալ Արաբայի Էմիրություններում

DET-ի կամ ազատ գոտու (free zone) մարմնի տրամադրած առևտրային լիցենզիան գրանցում է առևտրային գործունեությունը։ Ինքնին այն չի ասում, թե ընկերությունն անում է այնպիսի ինչ-որ բան, որը TDRA-ն կամ Կիբերանվտանգության խորհուրդը համարում է կարգավորվող։ TDRA-ի իրավազորությունը ընդգրկում է ԱՄԷ-ի հեռահաղորդակցության ցանցերը, սարքավորումները և գաղտնագրումը. ընկերությունը, որը կառուցում, վերավաճառում կամ շահագործում է կապակցում, կամ մատակարարում է գաղտնագրային սարքավորում, անցնում է այդ իրավազորության ներքո, անկախ նրանից, թե ինչպես է ձևակերպված նրա լիցենզիան։ Կիբերանվտանգության խորհուրդը ստեղծված է ԱՄԷ-ի ազգային կիբերանվտանգության ստրատեգիան մշակելու համար և իրականացնում է Կրիտիկական տեղեկատվական ենթակառուցվածքի պաշտպանության քաղաքականությունը, որը սահմանում է հիմնական անվտանգության պարտականություններ նշանակված կրիտիկական ենթակառուցվածքի օպերատորների համար։ Այդ պարտականությունները կրում է ենթակառուցվածքի օպերատորը, սակայն դրանք հասնում են մատակարարին պայմանագրի միջոցով. բանկը, կոմունալ ծառայության կամ տրանսպորտի օպերատորը, որը ինքն իսկ նշանակված CII սուբյեկտ է, սովորաբար կփորձի իր հիմնական հսկողությունները, մուտքի կանոնները և միջադեպերի մասին հաղորդելու պարտականությունները փոխանցել ցանկացած ՕԹ անվտանգության մատակարարի, որը ներգրավում է։

Հիմնադրի համար գործնական հարցն այն է, թե առաջարկվող աշխատանքը իրականում հպվում է այս երեք մարմինների որ կանոններին, ինչպես այն հարցը, որին նույնականացման անվտանգության կամ արտոնյալ մուտքի կառավարման ընկերությունը պետք է պատասխանի իր սեփական մուտքի իրավունքների վերաբերյալ։ Զուտ գնահատման կամ ճարտարապետության վերանայման բիզնեսը, առանց ակտիվ մուտքի և սեփական սարքավորումների, ամենամոտն է սովորական առևտրային գործունեությանը։ Բիզնեսը, որը անընդհատ մոնիթորինգի է ենթարկում հաճախորդի ցանցը, պահպանում է մշտական հեռավար կապ կամ մատակարարում և կարգավորում է դարպասներ, մոտենում է TDRA-ի և Խորհրդի տիրույթին, ինչպես հետկվանտային գաղտնագրության կամ ապահով կապի ընկերությունը, որը պետք է դասակարգի իր սեփական գաղտնագրային աշխատանքը՝ նախքան իր լիցենզիան դասակարգելը։

Ո՛չ TDRA-ի իրավասությունը, ո՛չ Խորհրդի CIIP շրջանակը չի կարող հանգեցվել մեկ վճարի կամ լիցենզիայի կատեգորիայի, որը կարելի է հրապարակել ընդհանուր ձևով։ TDRA-ն յուրաքանչյուր դեպքում առանձին որոշում է, թե արդյոք տվյալ ցանցային, սարքավորումների կամ գաղտնագրման գործունեությունը ընկնում է հեռահաղորդակցության կարգավորման տիրույթում. ընկերությունը, որի առաջարկը ներառում է կապ, գաղտնալսման հնարավորություն ունեցող մոնիթորինգ կամ գաղտնագրային սարքավորումներ, պետք է այդ հարցը ուղղակիորեն ուղղի TDRA-ին, այլ ոչ թե պատասխանը եզրակացնի մրցակցի մարքեթինգից։ Կիբեռանվտանգության խորհրդի CIIP քաղաքականությունը այն փաստաթուղթն է, որը բացահայտում է կրիտիկական ակտիվները, սահմանում է CII սուբյեկտների անվտանգության բազային պահանջները և ղեկավարում է դրանց շուրջ վերահսկողության և կիրառման մեխանիզմը. այն գրված է ենթակառուցվածքի օպերատորի համար, ուստի մատակարարի պարտավորությունները դրա շրջանակում պայմանագրային են, այլ ոչ թե առանձին լիցենզիա, որի համար մատակարարն ինքը դիմում է։ Տվյալների պաշտպանության պարտավորությունները գործում են երկուսի կողքին. ընկերությունը, որը մոնիթորինգի ծառայության շրջանակում մշակում է անձնական կամ գործառնական տվյալներ, պետք է կարողանա ցույց տալ, թե որտեղ են պահվում այդ տվյալները և ով կարող է դրանց հասանելիություն ունենալ։ Այստեղ չի նշվում գործունեության ոչ մի կոդ, լիցենզիայի կատեգորիա կամ կապիտալի գումար. դրանք հաստատվում են TDRA-ի և Խորհրդի ընթացիկ նյութերի համեմատ՝ նախքան իրավաբանական անձի ուղու ընտրությունը։

Բանկը կամ ընկերության գնումների թիմը, որը ուսումնասիրում է ՕԹ անվտանգության մատակարարին, առաջին հերթին չի ստուգում հաշվեկշիռը։ Այն ստուգում է, թե ով կարող է հասնել հաճախորդի կենդանի կառավարման համակարգերին, ինչ գրավոր լիազորության ներքո, և ինչ տեղի է ունենում, երբ այդ մուտքը չարաշահվում է կամ պարզապես մոռացվում։ Սպասվում են հարցեր ցանկացած հեռահար մուտքի կարգավորման շրջանակի, մուտքի ժամանակային սահմանափակման և չեղարկման եղանակի, առկա գրանցամատյանների, և թե արդյոք ընկերության սեփական աշխատակազմը, թե ենթապայմանագրային կատարողը փաստացի ունի մուտքը, վերաբերյալ։ Մեկ չփաստագրված փոխանցումը մայր ընկերությանը, ասոցացված կազմակերպությանը կամ մասնագիտացված գործընկերին սովորաբար առաջինն է, որ կանգնեցնում է հաշվի բացման զրույցը։ Այդ ապացույցների կառուցումը մինչև բանկի հետ առաջին հանդիպումը, այլ ոչ թե լիցենզիայի տրամադրումից հետո, այն տարբերությունն է, որը կորպորատիվ բանկային հաշվի պատրաստվածության աշխատանքը նախատեսված է փակելու համար։

ՕԹ և կրիտիկական ենթակառուցվածքի հաճախորդները նայում են ոչ միայն բաժնետոմսատերերի գրանցամատյանին, այլ նրանց, ովքեր փաստացի կշփվեն իրենց համակարգերի հետ։ Կարգավորիչը, բանկը կամ հաճախորդը, որը ուսումնասիրում է գործը, կուզենա տեսնել մեկին, ով կարող է ապացուցել ՕԹ ինժեներական կոմպետենտություն, ոչ թե ընդհանուր ԱՏ անվտանգության փորձառություն, նախքան կենդանի արդարական միջավայրում սկանավորման, վերահսկման կամ փոփոխման ցանկացած աշխատանքի հաստատումը։ Եթե ընկերության սեփական սեփականությունն անցնում է մի քանի հոլդինգային շերտերով, ֆոնդերով կամ ընտանեկան կառույցներով, այդ շղթան նույն գործի մասն է, որը հաճախորդը կամ բանկը կկարդա, և կարգավորվող և բարդ սեփականության կազմավորման ուղին հենվում է ճիշտ այդ դեպքի համար։ Գրավոր բիզնես ծրագիրը և աջակցող փաստաթղթերը մեկ տեղում պետք է շարադրի գործառնական մոդելը, մուտքի սահմանը և նրանց, ում մոտ է այն գտնվում։

Ընդհանուր թելը նույնն է, որին հանդիպում է կապակցման ենթակառուցվածքի բիզնեսը՝ վավեր առևտրային լիցենզիան սխալմամբ ընկալվում է որպես թույլտվությունները, պայմանագրերը և տեխնիկական լիազորությունը, որոնք այս ոլորտում գործելու համար փաստացի անհրաժեշտ են։ Լիցենզիան հեշտ մասն է. մուտքի սահմանը և դրա հետևում կանգնած գրավոր լիազորությունը՝ ոչ։

Այս տեսակի խորհրդատվական կամ տեխնոլոգիական գործունեության համար ստանդարտ մայրցամաքային առևտրային լիցենզիան սկսվում է AED 14,000-ից, իսկ ազատ գոտու միայն լիցենզիայի փաթեթը հասանելի է մոտավորապես AED 5,000-ից մինչև 6,000, և ոչ մի թիվ չի ներառում ինժեներական անձնակազմը, պաշտպանված տարածքները, փորձարկման ենթակառուցվածքը կամ միջադեպերին արձագանքելու կարողությունը, որոնք գործառնական մոդելն իրականում պահանջում է։ Վիզաների հնարավորությունը պետք է համապատասխանի OT ինժեներների և գործառնական անձնակազմի այն թվին, որը ընկերությունը իսկապես նախատեսում է վարձել, այլ ոչ թե ձևավորման ժամանակ սահմանված պայմանական թվաքանակին։ Լիցենզիաներն ու հիմնադրման քարտերը թարմացվում են ամեն տարի, և սարքավորում, մոնիտորինգի օբյեկտ կամ պաշտպանված գործառնական սենյակ ունեցող ընկերությունը պետք է այդ թարմացումը պլանավորի տարածքի վարձակալության հետ միասին, այլ ոչ թե այն դիտարկի որպես առանձին իրադարձություն։ Այս թվերից վեր ծախսը կառուցվում է շերտերով, և Velarozone-ի ծառայության վճարը մանրամասնվում է պայմանագրային նամակում, այլ ոչ հրապարակվում որպես գլխավոր թիվ։