Panduan
Mendirikan Perusahaan Keamanan Siber atau SOC yang Dikelola di UAE
Jawaban singkat
Tidak ada satu lisensi keamanan siber tunggal yang dapat ditunjuk. Otoritas pemberi lisensi untuk zona atau emirat Anda menerbitkan lisensi komersial, sementara UAE Cyber Security Council dan Telecommunications and Digital Government Regulatory Authority (TDRA) masing-masing memutuskan hal-hal dalam ranahnya sendiri. Yang paling sering menentukan jalurnya adalah apakah perusahaan akan memegang akses istimewa terhadap sistem dan data pelanggan, serta di bawah otorisasi tertulis siapa.
Siapa yang memutuskan, dan apa yang dicakup masing-masing otoritas
Ada tiga jenis pengambil keputusan di sekitar bisnis ini, dan ketiganya tidak saling tumpang tindih secara rapi.
Otoritas pemberi lisensi untuk zona atau emirat menyetujui aktivitas pada lisensi komersial. Itu adalah pendirian perusahaan biasa. Pilihan antara perusahaan mainland dan jalur free zone mengikuti pelanggan yang perlu Anda layani dan tempat analis Anda akan berada.
UAE Cyber Security Council dan TDRA terpisah dari otoritas pemberi lisensi. Masing-masing memutuskan apa yang termasuk dalam ranahnya sendiri, dan lisensi komersial tidak dapat menggantikan keduanya. Persyaratan terkini yang tepat dikonfirmasi kepada masing-masing otoritas sebelum pengajuan apa pun, bukan diasumsikan.
Pelanggan adalah pengambil keputusan ketiga, dan dalam praktiknya sering kali yang paling ketat. Pelanggan yang diatur dan pembeli terkait pemerintah menetapkan syarat sendiri tentang staf, izin keamanan, lokasi data, dan subkontraktor. Lisensi yang sah di atas kertas tetap dapat gagal dalam uji tuntas keamanan pelanggan. Jika pelanggan bergerak di bidang asuransi, panduan broker InsurTech menguraikan regulator mana yang melisensikan kegiatan itu dan modal yang diperlukan.
Jika rencana Anda mencakup sistem kontrol industri atau infrastruktur kritis, baca juga panduan keamanan OT dan infrastruktur kritis. Pekerjaan tersebut memiliki pertanyaan batasnya sendiri.
Tentukan model operasi terlebih dahulu
Keempat model ini berperilaku berbeda, jadi pilih yang paling sesuai dengan rencana Anda sebelum memilih yurisdiksi.
- Pusat operasi keamanan terkelola (managed security operations centre). Pemantauan berkelanjutan terhadap lingkungan pelanggan. Eksposur data tertinggi, beban staf tertinggi.
- Pengujian penetrasi dan layanan red-team. Pengujian aktif terhadap sistem. Risikonya terletak pada otorisasi, bukan pada perangkatnya.
- Respons insiden dan forensik digital. Penanganan bukti, rantai pengawasan (chain of custody), dan terkadang, kontak dengan penegak hukum.
- Perangkat lunak keamanan dengan dukungan terkelola opsional. Perusahaan produk yang bergeser ke penyampaian layanan begitu pelanggan meminta bantuan menjalankannya.
Banyak pendiri memulai dari satu model dan menambahkan model lain kemudian. Nyatakan hal ini dalam rencana bisnis sekarang, karena deskripsi aktivitas yang hanya sesuai dengan model pertama dapat memaksa adanya amendemen.
Kewenangan tertulis dan penanganan data
Dua persoalan menjadi inti sebagian besar pekerjaan di sektor ini.
Otorisasi untuk menguji atau mengakses. Menguji suatu sistem tanpa persetujuan tertulis yang tepat dari pemiliknya adalah cara paling jelas bagi perusahaan keamanan untuk menimbulkan tanggung jawab hukum. Dokumen rules-of-engagement menetapkan sistem mana, teknik mana, tanggal mana, dan siapa di pihak pelanggan yang dapat menghentikan pekerjaan tersebut. Susun templat ini sebelum kontrak pertama, bukan selama berlangsungnya kontrak.
Data pribadi dan rahasia. Telemetri keamanan tampak teknis, tetapi secara rutin memuat nama pengguna, alamat IP, isi email, dan kredensial. Memperlakukannya sebagai tidak sensitif adalah kesalahan yang umum terjadi. Halaman Pemerintah UAE mengenai undang-undang perlindungan data adalah titik awal untuk rezim federal dan free zone. Rezim mana yang berlaku tergantung pada tempat perusahaan didirikan dan tempat subjek data serta pelanggan berada. Pemantauan lintas batas, ketika seorang analis di luar UAE melihat log pelanggan UAE, memerlukan jawaban yang disengaja mengenai transfer, kontrol akses, dan persetujuan pelanggan. Mintalah pengacara yang berlisensi untuk berpraktik di UAE mengonfirmasi posisi untuk konfigurasi Anda yang tepat.
Substance, personel, dan peran
Perusahaan keamanan terkelola adalah bisnis yang bertumpu pada orang, dan perusahaan yang menandatangani kontrak pelanggan harus mempekerjakan para analis, memegang perangkatnya, serta menanggung asuransi tanggung jawab profesional dan perlindungan siber. Induk perusahaan di luar negeri atau perusahaan kekayaan intelektual dapat berada di tempat lain dalam grup, tetapi masing-masing harus memiliki peran yang nyata.
Putuskan hal-hal berikut sebelum mengajukan permohonan:
- Apakah analis berada di UAE, di luar negeri (offshore), atau keduanya, dan apa yang diizinkan oleh masing-masing pelanggan.
- Siapa yang memeriksa latar belakang analis, dan bagaimana akses ke kredensial pelanggan diberikan, dicatat, dan dicabut.
- Apakah perusahaan atau pelanggan yang memegang kredensial istimewa.
- Subkontraktor mana yang bersentuhan dengan data pelanggan, dan bagaimana rantai pengawasan (chain of custody) dijaga.
- Siapa yang ditunjuk sebagai pemimpin senior keamanan dan kepatuhan.
Kapasitas visa mengikuti jumlah staf. SOC yang beroperasi 24 jam memerlukan cakupan shift, jadi rencanakan berdasarkan susunan staf yang nyata, bukan hanya para pendiri. Rencana bisnis dan dokumen pendukung harus menunjukkan susunan staf tersebut beserta model penyampaiannya. Biaya dibangun secara berlapis, dan biaya firma dirinci dalam surat perikatan, sebagaimana dijelaskan dalam cara kerja Velarozone. Untuk sektor ini, lapisan terbesar biasanya adalah penggajian, perangkat, dan asuransi, bukan lisensinya.
Apa yang diperhatikan bank
Bank memandang perusahaan keamanan sebagai bisnis yang menangani data milik orang lain. Sebelum Anda mengajukan permohonan, siapkan untuk menunjukkan:
- Templat rules-of-engagement dan persetujuan.
- Prosedur pemeriksaan latar belakang analis dan kontrol akses.
- Prosedur penanganan dan penyimpanan bukti.
- Playbook respons insiden dan komitmen yang dibuat kepada pelanggan.
- Sertifikasi apa pun yang dimiliki dan peta jalan asurans.
Pelanggan dan jalur pembayaran harus konsisten di seluruh materi presentasi, model keuangan, dan berkas bank. Kesiapan rekening bank korporat menjadi lebih mudah ketika model penyampaian sudah dituliskan. Hal ini tidak menjamin rekening.
Apa yang umumnya salah
- Melakukan pengujian tanpa otorisasi tertulis yang jelas. Ruang lingkup disepakati dalam utas email, dan pelanggan kemudian mempersengketakan apa yang tercakup di dalamnya.
- Memperlakukan telemetri sebagai data yang tidak sensitif. Log disimpan atau dianalisis di suatu tempat yang tidak diizinkan oleh kontrak pelanggan.
- Penempatan staf di luar negeri yang bertentangan dengan ketentuan pelanggan. Pembeli yang terkait dengan pemerintah mensyaratkan staf lokal, sementara model penyampaian layanan justru mengasumsikan sebaliknya.
- Menjanjikan pencegahan. Kontrak yang menjanjikan untuk menghentikan setiap serangan merupakan liabilitas. Komitmen respons yang dapat diukur, seperti waktu untuk triase, jauh lebih dapat dipertahankan.
- Tidak memiliki rencana untuk aktivitas melanggar hukum yang ditemukan selama pekerjaan berlangsung. Perusahaan menemukan bukti tindak pidana namun tidak memiliki prosedur tertulis mengenai siapa yang harus diberi tahu dan kapan.
