Cara Mendirikan Perusahaan Keamanan Siber OT atau Keamanan Infrastruktur Kritis di UAE

Lisensi dagang dari DET atau otoritas free zone mendaftarkan aktivitas komersial tersebut. Lisensi ini sendiri tidak menyatakan apakah perusahaan melakukan sesuatu yang dianggap diregulasi oleh TDRA atau Cyber Security Council. Kewenangan TDRA mencakup jaringan telekomunikasi, peralatan, dan enkripsi di UAE; perusahaan yang membangun, menjual kembali, atau mengoperasikan konektivitas, atau memasok peralatan kriptografi, masuk ke dalam kewenangan tersebut terlepas dari bagaimana lisensinya dirumuskan. Cyber Security Council didirikan untuk membangun strategi keamanan siber nasional UAE dan menjalankan kebijakan Critical Information Infrastructure Protection, yang menetapkan kewajiban keamanan dasar bagi operator infrastruktur kritis yang ditetapkan. Kewajiban tersebut dibebankan pada operator infrastruktur, tetapi menjangkau vendor melalui kontrak: bank, utility, atau operator transportasi yang sendiri merupakan entitas CII yang ditetapkan biasanya akan menurunkan kontrol dasar, aturan akses, dan kewajiban pelaporan insidennya kepada setiap pemasok keamanan OT yang mereka libatkan.

Pertanyaan praktis bagi seorang pendiri adalah aturan dari ketiga lembaga ini yang benar-benar tersentuh oleh pekerjaan yang diusulkan, serupa dengan pertanyaan yang harus dijawab oleh perusahaan keamanan identitas atau manajemen akses istimewa mengenai hak aksesnya sendiri. Bisnis penilaian atau tinjauan arsitektur murni, tanpa akses langsung dan tanpa peralatan sendiri, paling dekat dengan kegiatan komersial biasa. Bisnis yang memantau jaringan pelanggan secara terus-menerus, memegang koneksi jarak jauh yang permanen, atau memasok dan mengonfigurasi gateway bergerak lebih dekat ke wilayah TDRA dan Council, seperti halnya perusahaan kriptografi pasca-kuantum atau komunikasi aman yang harus mengklasifikasikan pekerjaan kriptografinya sendiri sebelum dapat mengklasifikasikan lisensinya.

Baik lingkup kewenangan TDRA maupun kerangka CIIP Council tidak dapat disederhanakan menjadi satu biaya atau kategori lisensi yang dapat dipublikasikan secara umum. TDRA memutuskan, kasus per kasus, apakah suatu jaringan, peralatan, atau kegiatan enkripsi berada dalam cakupan regulasi telekomunikasi; perusahaan yang penawarannya mencakup konektivitas, pemantauan yang mampu melakukan intersepsi, atau perangkat keras kriptografi sebaiknya mengajukan pertanyaan tersebut langsung kepada TDRA, bukan menyimpulkan jawabannya dari materi pemasaran pesaing. Kebijakan CIIP Cyber Security Council adalah instrumen yang mengidentifikasi aset kritis, menetapkan persyaratan keamanan dasar bagi entitas CII, dan menjalankan mekanisme pengawasan serta penegakan di sekitarnya; kebijakan ini ditulis untuk operator infrastruktur, sehingga kewajiban vendor di bawahnya bersifat kontraktual, bukan lisensi terpisah yang diajukan sendiri oleh vendor. Kewajiban perlindungan data berlaku berdampingan dengan keduanya: perusahaan yang memproses data pribadi atau data operasional sebagai bagian dari layanan pemantauannya harus mampu menunjukkan di mana data tersebut disimpan dan siapa yang dapat mengaksesnya. Tidak ada kode aktivitas, kategori lisensi, atau angka modal yang dinyatakan di sini; hal-hal tersebut dikonfirmasi terhadap materi terkini TDRA dan Council sebelum rute entitas dipilih.

Bank atau tim pengadaan perusahaan yang meninjau pemasok keamanan OT tidak terutama memeriksa neraca. Mereka memeriksa siapa yang dapat menjangkau sistem kontrol live milik pelanggan, dengan otoritas tertulis apa, dan apa yang terjadi ketika akses tersebut disalahgunakan atau sekadar terlupakan. Perkirakan akan ada pertanyaan tentang lingkup setiap pengaturan akses jarak jauh, bagaimana akses dibatasi waktu dan dicabut, pencatatan apa yang tersedia, dan apakah staf perusahaan sendiri atau subkontraktor yang sebenarnya memegang akses tersebut. Satu saja pengalihan yang tidak terdokumentasi kepada induk perusahaan, afiliasi, atau mitra spesialis biasanya menjadi hal pertama yang menghentikan percakapan pembukaan rekening. Membangun bukti tersebut sebelum pertemuan pertama dengan bank, bukan setelah lisensi diterbitkan, adalah perbedaan yang pekerjaan kesiapan rekening bank korporat dibangun untuk mengatasinya.

Pelanggan OT dan infrastruktur kritis melihat lebih jauh dari daftar pemegang saham, kepada orang-orang yang akan benar-benar menyentuh sistem mereka. Regulator, bank, atau pelanggan yang meninjau berkas tersebut akan ingin melihat seseorang yang dapat menunjukkan kompetensi teknik OT, bukan sekadar latar belakang keamanan IT umum, sebelum pekerjaan pemindaian, pemantauan, atau perubahan apa pun pada lingkungan industri live disetujui. Ketika kepemilikan perusahaan sendiri melalui beberapa lapis perusahaan induk, dana, atau struktur keluarga, rantai tersebut merupakan bagian dari berkas yang sama yang akan dibaca oleh pelanggan atau bank, dan jalur penyusunan kepemilikan yang diregulasi dan kompleks dibangun khusus untuk kasus tersebut. Rencana bisnis dan dokumentasi pendukung tertulis harus menguraikan, dalam satu tempat, model operasional, batas akses, dan orang-orang yang memegangnya.

Pola yang sama berulang seperti yang dihadapi oleh bisnis infrastruktur konektivitas: lisensi dagang yang sah dikelirukan sebagai izin, kontrak, dan otoritas teknis yang sebenarnya dibutuhkan untuk beroperasi di sektor ini. Lisensinya adalah bagian yang mudah; batas akses dan otoritas tertulis di baliknya tidak.

Lisensi komersial mainland standar untuk jenis konsultansi atau aktivitas teknologi ini dimulai dari AED 14,000, dengan paket lisensi saja untuk free zone yang tersedia dari sekitar AED 5,000 hingga 6,000; kedua angka tersebut tidak mencakup staf teknik, fasilitas aman, infrastruktur pengujian, atau kapasitas penanganan insiden yang sebenarnya dibutuhkan oleh model operasi. Kapasitas visa harus sesuai dengan jumlah insinyur OT dan staf operasional yang benar-benar direncanakan untuk direkrut, bukan jumlah hipotetis yang ditetapkan saat pembentukan. Lisensi dan establishment card diperpanjang setiap tahun, dan perusahaan yang memegang peralatan, fasilitas pemantauan, atau ruang operasi yang aman sebaiknya merencanakan perpanjangan tersebut bersamaan dengan sewa tempat, bukan memperlakukannya sebagai peristiwa terpisah. Biaya di luar angka-angka ini disusun berlapis, dan biaya layanan Velarozone dirinci dalam surat perikatan, bukan dipublikasikan sebagai angka utama.