Ուղեցույց
Ուղեցույց՝ ներխուժումային փորձարկման, Red-Team կամ կիբեր անվերահսկման ընկերություն ստեղծելու համար Միացյալ Արաբայի Էմիրություններում
Հրապարակված
Կարճ պատասխան
Ստանդարտ կոմերցիոն կամ պրոֆեսիոնալ լիցենզիան ընդգրկում է ներթափանցման թեստավորման, կարմիր թիմի և կիբերապահովման աշխատանքների մեծ մասը, սակայն լիցենզավորող իշխանությունը կարող է նշել «տեղեկատվական անվտանգության» գործունեությունները արտաքին անվտանգության հաստատման համար, նախքան լիցենզիայի տրամադրումը, և կառավարական կամ կրիտիկական ենթակառուցվածքի համակարգերի թեստավորումը նաև ներառում է UAE Cyber Security Council-ի ազգային ստանդարտները։ Փաստը, որը ամենից հաճախ որոշում է ուղին, այն է, թե ինչի հետ իրականում առնչվում են աշխատանքները՝ մասնավոր կոմերցիոն ցանցեր, թե կառավարական, հեռահաղորդակցության օպերատորի և կրիտիկական ենթակառուցվածքի համակարգեր։ Գրավոր հաճախորդի լիազորությունը և հստակ սահմանված թիրախի սեփականությունը երկու դեպքում էլ հիմք են հանդիսանում յուրաքանչյուր աշխատանքի համար։
Կարգավորման սահմանները և ո՞վ է որոշում կայացնում
Այստեղ սահմանը որոշվում է երկու առանձին հարցով: Առաջինը լիցենզավորման հարց է՝ արդյոք ընկերության գրանցման հիմքում ընկած գործունեության նկարագրությունը լիցենզավորող մարմնի կողմից դասակարգվում է որպես անվտանգության հետ կապված, ինչը պահանջում է արտաքին հաստատում մինչև առևտրային լիցենզիայի տրամադրումը: Դուբայի Department of Economy and Tourism-ը և ազատ գոտիների (free zone) մարմինները յուրաքանչյուրը պահում են գործունեության տեսակների իրենց սեփական ցանկը, որոնք հարուցում են այս ուղղորդումը, և «տեղեկատվական անվտանգություն» կամ «ներխուժման փորձարկում» ձևակերպումները հաճախ հանդիպում են այդ ցանկում: Երկրորդը չափորոշիչների հարց է՝ արդյոք հաճախորդների շրջանակը ներառում է պետական կազմակերպություններ, հեռահաղորդակցության օպերատորներ կամ կրիտիկական ենթակառուցվածքի օպերատորներ, որոնց անվտանգության սեփական պարտավորությունները անցնում են UAE Cyber Security Council-ի միջոցով, այլ ոչ թե փորձարկող ընկերության լիցենզիայի միջոցով:
Ընկերությունը, որը փորձարկում է միայն մասնավոր կոմերցիոն հավելվածներ մասնավոր կոմերցիոն հաճախորդների համար, ունի ավելի նեղ սահման, քան այն ընկերությունը, որը ներկայացնում է առաջարկներ պետական կամ կրիտիկական ազգային ենթակառուցվածքի նախագծերի համար. այս տիրույթը ներկայացված է կրիտիկական ենթակառուցվածքի անվտանգություն ԱՄԷ-ում էջում: Նույն ընկերությունը կարող է հանդիսանալ երկու կատեգորիաներում էլ՝ իր աճի տարբեր փուլերում, ուստի գործարկման մոդելը պետք է նկարագրի այն հաճախորդային բազան, որի համար այն կառուցված է այսօր, այլ ոչ թե այն, որին հույս ունի հասնել ավելի ուշ:
Ինչ է իրականում պահանջում կարգավորողը
Կիբերանվտանգության խորհուրդը սահմանում և համակարգում է ազգային կիբերանվտանգության քաղաքականությունն ու ստանդարտները պետական կառույցներում և կրիտիկական ոլորտներում։ Երբ ընկերության պայմանագրերը ընկնում են այդ իրավասության տակ, հաճախորդի սեփական պարտավորությունները այդ ստանդարտներով որոշում են, թե ինչ պետք է փաստաթղթավորի փորձարկող ընկերությունը՝ անվանված, ստուգված փորձարկողներ, սահմանված շրջանակ և ներգրավման կանոններ, և խոցելիությունների մշակման գործընթաց։ Հեռահաղորդակցության և թվային կառավարման կարգավորող մարմինը (TDRA) կարգավորում է հեռահաղորդակցության ցանցերն ու սպեկտրը, որին կարող է դիպչել կարմիր թիմի ներգրավումը, եթե փորձարկումը հասնում է հեռահաղորդակցության օպերատորի ենթակառուցվածքին. սա այլ շրջանակ է, քան հաճախորդի սեփական վեբ հավելվածի փորձարկումը։
Տվյալների պաշտպանության դաշնային օրենքը կիրառվում է ամեն անգամ, երբ ներգրավումը հասնում է անձնական տվյալներ պարունակող համակարգերի, ինչը այստեղ գրեթե ավտոմատ է. տվյալների բազա վերականգնող ներթափանցման փորձարկումը կամ HR համակարգին հասնող կարմիր թիմի վարժանքը ընկերությանը դնում է տվյալների մշակման դերում ներգրավման ողջ ընթացքում։ Պայմանագիրը պետք է նշի, թե ինչպես են այդ տվյալները պահվում, ովքեր կարող են տեսնել դրանք, և երբ են դրանք ոչնչացվում ներգրավման ավարտից հետո, և այն չպետք է թողնվի ստանդարտ պայմաններին, որոնք ձևավորման փաթեթը տրամադրում է լռելյայն։
Ինչպես է շարժվում փողը, և ինչին է նայում բանկը
Բանկերը, որոնք գնահատում են կիբեռապահովման ընկերության հաշվի դիմումը, առևտրային լիցենզիայից անդին նայում են գործառնական փաստերին՝ ովքեր են հաճախորդները, արդյոք աշխատանքները հպվում են կարգավորվող կամ պետական համակարգերին, ինչպես են ստուգվում փորձարկողները, և ինչպես ընկերությունը կարձագանքեր միջադեպին իրական փորձարկման ժամանակ: Աշխատանքի կանոնների ձևանմուշը, միջադեպերի արձագանքման համար նշանակված կոնտակտը և ուժի մեջ գտնվող պրոֆեսիոնալ պատասխանատվության ապահովագրությունը առաջին ստուգման ընթացքում պատասխանում են այդ հարցերի մեծ մասին. առանց դրանց պլանը ընկալվում է ինչպես հաշիվ հայցող ձևական (shell) ընկերություն, ոչ թե գործող ընկերություն: Կորպորատիվ բանկային հաշվի պատրաստվածություն, որը կառուցված է ընկերության իրականում կատարող աշխատանքների տեսակների շուրջ, ավելի արագ է առաջ շարժվում, քան ընդհանուր բանկային փաքեթը:
Այստեղ արժեքը կազմված է շերտերից, այլ ոչ թե մեկ գլխավոր թիվից՝ կազմակերպության հիմնադրում, ցանկացած անվտանգային հաստատում կամ պրոֆեսիոնալ ստուգում, գործառնական կառուցում (փորձարկման ենթակառուցվածք, ապացույցների ապահով պահպանում, գործիքակազմ, ապահովագրություն), անձնակազմ և կրկնվող նորացումներ: Ընկերության սեփական վճարը մանրամասնված է ծառայությունների պայմանների նամակ-համաձայնագրում; ինչպես է աշխատում Velarozone-ը շարադրում է այդ կառուցվածքը:
Սեփականություն, էություն և դերեր, որոնք պետք է համալրվեն
Վստահելի փորձարկող ընկերությանը լիցենզիայի հետևում անհրաժեշտ են իրական մարդիկ՝ փորձարկողներ, որոնց իրավասությունն ու նախապատմությունը կարելի է ապացուցել, մեկը, ով կարող է հաստատել շրջանակը աշխատանքի սկսվելուց առաջ, և անվանված կոնտակտ՝ շտապ կանգառի համար։ Սեփականության կառուցվածքները, որոնք փորձարկման աշխատանքը անցկացնում են մի քանի ԱԷՀ-ի և օֆշորային իրավաբանական անձանց միջոցով, բանկերի և պետական հաճախորդների կողմից ավելի շատ ուշադրություն են հրավիրում, այլ ոչ թե պակաս, քանի որ ոչ ոք չի կարող տեսնել, թե ով է պատասխանատու։ Երբ սեփականությունը իրոք բազմաշերտ է (օրինակ՝ միջազգային խումբ, որը փորձարկում է իրականացնում ԱԷՀ-ի գործառնական ընկերության միջոցով), որոշումների կայացման կառուցվածքը ներկայացնող փաստաթղթերը արժե պատրաստել նախքան բանկը հարցնի, թե ով է ստորագրում։ Ընկերությունը, որի հաճախորդների շրջանակը անցնում է կարգավորվող կամ պետական հարակից տիրույթ, օգտվում է կարգավորվող և բարդ սեփականության կառուցվածքի ձևավորման մեջ նկարագրված կարգապահությունից։
Ինչն է սովորաբար սխալ ընթանում այս ոլորտում։
Ամենահաճախ հանդիպող խափանումը շրջանակի շեղումն է. փորձարկողը գտնում է ճանապարհ դեպի ընդհանուր ենթակառուցվածք կամ համակարգ, որը հաճախորդն իրականում չի ունի, և շարունակում է առանց կանգ առնելու՝ այն թույլատրել տալու համար։ Գրավոր թույլտվությունը պետք է անվանի թիրախը և դրա սեփականատիրոջը, այլ ոչ միայն հաճախորդին, որը վճարում է հաշիվ-ապրանքագիրը. հաճախորդը կարող է թույլատրել իր սեփական համակարգերի փորձարկումը, այլ ոչ թե իր ամպային ծառայություն մատուցողի կամ գործընկերոջ համակարգերինը։
Երկրորդ հաճախ կրկնվող խախտումը ապացույցների կառավարումն է. շահագործման տվյալները և խոցելիության մանրամասները մնում են ընդհանուր օգտագործման սարքերում կամ չվերահսկվող չատ գործիքներում աշխատանքի ավարտից հետո: Գնորդը, ապահովագրողը կամ պետական հաճախորդը կհարցնեն, թե ինչպես և որքան ժամանակ են պահվում ապացույցները, և «ինչ տեղ պատահեցավ, որ փորձարկողը պահեց» պատասխանը չի դիմանում ուսումնասիրությանը (due diligence): Երրորդը չափազանցված հավակնություններն են. մեկ փորձարկումը նկարագրելը որպես շարունակական անվտանգության ապացույց, մինչդեռ արդյունքը ներառում է միայն այն ամսաթիվը, երբ այն իրականացվել է, և համաձայնեցված շրջանակը:
Լիցենզիայից մինչև գործունեության իրականացում
Երբ լիցենզիան և ցանկացած անվտանգային հաստատում արդեն առկա են, գործառնական հարցերը հիմնականում վերաբերում են անձնակազմին և նորացումներին: Մասնագետ փորձարկողները, որոնք վարձվում են ԱՄԷ-ից դուրս, կարիք ունեն վիզաների՝ կազմակերպության իմիգրացիոն քվոտայի միջոցով, և անվտանգության հետ կապված գործունեության հաստատումը, եթե այն կիրառելի է, սովորաբար նորացվում է առևտրային լիցենզիայի հետ միասին, ոչ թե որպես առանձին քայլ: Պրոֆեսիոնալ պատասխանատվության ապահովագրությունը և հաճախորդի հետ կապված ցանկացած հավաստագրումներ ունեն իրենց սեփական նորացման ցիկլերը, և դրանցից որևէ մեկի ժամկետանցումը կարող է կանգնեցնել հաճախորդի կողմից պայմանագրի նորացումը, նույնիսկ եթե լիցենզիան ինքնին մնում է ուժի մեջ:
