Mendirikan Perusahaan Pengujian Penetrasi, Tim Merah, atau Jaminan Siber di UAE

Ada dua pertanyaan terpisah yang menentukan batas di sini. Pertanyaan pertama adalah pertanyaan terkait lisensi: apakah deskripsi aktivitas yang didaftarkan perusahaan ditandai oleh otoritas pemberi lisensi sebagai terkait keamanan, sehingga memerlukan persetujuan eksternal sebelum lisensi dagang diterbitkan? Department of Economy and Tourism Dubai dan otoritas free zone masing-masing memiliki daftar aktivitas sendiri yang memicu rujukan ini, dan kata-kata seperti "information security" atau "penetration testing" umumnya termasuk di dalamnya. Pertanyaan kedua adalah pertanyaan terkait standar: apakah basis klien mencakup entitas pemerintah, operator telekomunikasi, atau operator infrastruktur kritis, yang kewajiban keamanannya sendiri berjalan melalui UAE Cyber Security Council dan bukan melalui lisensi perusahaan pengujian.

Perusahaan yang hanya menguji aplikasi komersial swasta untuk klien komersial swasta menghadapi perimeter yang lebih sempit dibandingkan perusahaan yang mengajukan penawaran untuk keterlibatan pemerintah atau infrastruktur nasional kritis, wilayah yang dibahas dalam keamanan infrastruktur kritis UAE. Perusahaan yang sama dapat berada dalam kedua kategori tersebut pada titik pertumbuhan yang berbeda, sehingga model peluncuran harus menggambarkan basis klien yang dilayani saat ini, bukan basis klien yang diharapkan dapat dicapai di kemudian hari.

Cyber Security Council menetapkan dan mengoordinasikan kebijakan serta standar keamanan siber nasional di seluruh entitas pemerintah dan sektor kritis. Apabila keterlibatan suatu firma berada dalam lingkup kewenangan tersebut, kewajiban klien sendiri berdasarkan standar itu membentuk apa yang harus didokumentasikan oleh firma penguji: penguji yang disebutkan namanya dan telah diperiksa latar belakangnya, ruang lingkup dan aturan keterlibatan yang jelas, serta proses penanganan kerentanan. Telecommunications and Digital Government Regulatory Authority mengatur jaringan telekomunikasi dan spektrum yang mungkin tersentuh oleh keterlibatan red-team jika pengujian menjangkau infrastruktur operator telekomunikasi, yang merupakan ruang lingkup berbeda dari pengujian aplikasi web milik klien sendiri.

Hukum perlindungan data federal berlaku setiap kali suatu keterlibatan menjangkau sistem yang menyimpan data pribadi, yang di sini hampir otomatis: uji penetrasi yang memperoleh basis data, atau latihan red-team yang menjangkau sistem HR, menempatkan firma dalam peran pengelola data selama keterlibatan berlangsung. Kontrak harus menyebutkan bagaimana data tersebut disimpan, siapa yang dapat melihatnya, dan kapan data itu dimusnahkan setelah keterlibatan berakhir, bukan diserahkan pada ketentuan standar yang disediakan paket pembentukan secara bawaan.

Bank yang menilai aplikasi rekening dari perusahaan cyber-assurance akan melihat lebih jauh dari lisensi dagang hingga ke fakta operasional: siapa kliennya, apakah keterlibatan menyentuh sistem yang diregulasi atau sistem pemerintah, bagaimana penguji diperiksa latar belakangnya, dan bagaimana perusahaan akan merespons suatu insiden selama pengujian langsung. Templat rules-of-engagement, kontak respons insiden yang disebutkan namanya, dan polis asuransi tanggung gugat profesional yang masih berlaku menjawab sebagian besar hal tersebut pada tinjauan pertama; rencana tanpa hal-hal itu terlihat seperti perusahaan cangkang yang mengajukan rekening, bukan perusahaan yang benar-benar beroperasi. Kesiapan rekening bank korporat yang dibangun berdasarkan jenis keterlibatan yang benar-benar dijalankan perusahaan bergerak lebih cepat dibandingkan paket perbankan generik.

Biaya di sini dibangun secara berlapis, bukan dalam satu angka tunggal: pendirian entitas, persetujuan keamanan atau pemeriksaan profesional apa pun yang diperlukan, pembangunan operasional (infrastruktur pengujian, penyimpanan bukti yang aman, perangkat, asuransi), sumber daya manusia, dan perpanjangan berkala. Biaya perusahaan sendiri dirinci dalam surat perikatan; how Velarozone works menjelaskan struktur tersebut.

Firma pengujian yang kredibel membutuhkan orang-orang nyata di balik lisensinya: penguji yang kompetensi dan pemeriksaan latar belakangnya dapat dibuktikan, seseorang yang dapat menyetujui ruang lingkup sebelum pekerjaan dimulai, dan kontak yang ditunjuk untuk penghentian darurat. Struktur kepemilikan yang menyalurkan pekerjaan pengujian melalui beberapa entitas UAE dan offshore mengundang pengawasan lebih besar dari bank dan klien pemerintah, bukan lebih sedikit, karena tidak ada yang dapat melihat siapa yang bertanggung jawab. Apabila kepemilikan memang berlapis (misalnya, grup internasional yang melakukan pengujian melalui perusahaan operasional di UAE), dokumentasi yang menguraikan struktur pengambilan keputusan layak dipersiapkan sebelum bank menanyakan siapa yang menandatangani. Firma yang basis kliennya merambah ke wilayah teregulasi atau yang berdekatan dengan pemerintah akan diuntungkan oleh disiplin yang diuraikan dalam penyiapan kepemilikan teregulasi dan kompleks.

Kegagalan yang paling sering terjadi adalah pergeseran ruang lingkup: seorang penguji menemukan jalur masuk ke infrastruktur bersama atau sistem yang sebenarnya bukan milik klien, lalu terus melanjutkan tanpa berhenti untuk memperoleh persetujuan. Otorisasi tertulis harus menyebutkan sasaran dan pemiliknya, bukan hanya klien yang membayar faktur: klien dapat memberi wewenang untuk menguji sistemnya sendiri, bukan sistem penyedia cloud-nya atau mitranya.

Kegagalan kedua yang sering terjadi adalah penanganan bukti: data exploit dan rincian kerentanan yang ditinggalkan di drive bersama atau alat chat yang tidak terkelola setelah keterlibatan berakhir. Pembeli, perusahaan asuransi, atau klien pemerintah akan menanyakan bagaimana dan selama berapa lama bukti disimpan, dan jawaban "di mana pun penguji kebetulan menyimpannya" tidak akan lolos uji tuntas. Kegagalan ketiga adalah overclaiming (klaim berlebihan): menggambarkan satu pengujian sebagai bukti keamanan yang berkelanjutan, padahal temuan tersebut hanya berlaku untuk tanggal pelaksanaan dan lingkup yang disepakati.

Setelah lisensi dan persetujuan keamanan yang diperlukan diperoleh, pertanyaan operasional sebagian besar berkaitan dengan sumber daya manusia dan perpanjangan. Penguji spesialis yang direkrut dari luar UAE membutuhkan visa melalui kuota imigrasi entitas, dan persetujuan aktivitas terkait keamanan, jika berlaku, biasanya diperpanjang bersamaan dengan lisensi dagang, bukan sebagai langkah tersendiri. Asuransi tanggung jawab profesional dan sertifikasi khusus klien apa pun berjalan pada siklus perpanjangan masing-masing, dan kelalaian pada salah satunya dapat menghentikan klien dari memperpanjang kontrak meskipun lisensi itu sendiri masih berlaku.