Creare una società di cybersecurity o SOC negli Emirati Arabi Uniti

Intorno a questa attività gravitano tre tipi di soggetti decisori, e le loro competenze non si sovrappongono in modo ordinato.

L'autorità di rilascio delle licenze della zona o dell'emirato approva l'attività sulla licenza commerciale. Si tratta di una normale costituzione societaria. La scelta tra una società mainland e un percorso in free zone dipende dai clienti che dovete servire e da dove si troveranno i vostri analisti.

Lo UAE Cyber Security Council e la TDRA sono distinti dall'autorità di rilascio delle licenze. Ciascuno decide ciò che rientra nella propria competenza, e una licenza commerciale non sostituisce nessuno dei due. I requisiti attuali esatti vanno confermati con ciascuna autorità prima di qualsiasi presentazione, non dati per scontati.

Il cliente è il terzo decisore e, in pratica, spesso il più severo. I clienti regolamentati e gli acquirenti legati al governo fissano condizioni proprie su personale, autorizzazioni, ubicazione dei dati e subappaltatori. Una licenza valida sulla carta può comunque non superare la verifica di sicurezza di un cliente. Quando il cliente opera nel settore assicurativo, la guida ai broker assicurativi digitali indica quale ente regolatore autorizza l'attività e il capitale richiesto.

Se il vostro progetto si estende ai sistemi di controllo industriale o alle infrastrutture critiche, leggete anche la guida sulla sicurezza OT e delle infrastrutture critiche. Quell'attività comporta proprie questioni di perimetro.

I quattro modelli si comportano in modo diverso, quindi scegliete quello che descrive più da vicino il progetto prima di scegliere una giurisdizione.

Molti fondatori iniziano con un modello e ne aggiungono un altro in seguito. Indicatelo fin da ora nel business plan, perché una descrizione dell'attività che si adatta solo al primo modello può rendere necessaria una modifica.

In questo settore, due questioni fanno la parte più rilevante del lavoro.

Autorizzazione a testare o accedere. Testare un sistema senza un consenso scritto preciso da parte del proprietario è il modo più evidente in cui una società di sicurezza può generare responsabilità. Il documento delle regole di ingaggio definisce quali sistemi, quali tecniche, quali date e chi presso il cliente può interrompere il lavoro. Predisponete questi modelli prima del primo contratto, non durante lo stesso.

Dati personali e riservati. La telemetria di sicurezza sembra un elemento tecnico, ma contiene abitualmente nomi utente, indirizzi IP, contenuti di email e credenziali. Trattarla come non sensibile è un errore comune. La pagina del Governo degli Emirati Arabi Uniti sulle leggi in materia di protezione dei dati è il punto di partenza per i regimi federali e di free zone. Quale regime si applichi dipende da dove è stabilita la società e da dove si trovano gli interessati e i clienti. Il monitoraggio transfrontaliero, in cui un analista al di fuori degli Emirati Arabi Uniti consulta i log di un cliente negli Emirati Arabi Uniti, richiede una risposta ponderata su trasferimento, controllo degli accessi e consenso del cliente. Fate confermare la posizione per la vostra configurazione esatta da avvocati abilitati a esercitare negli Emirati Arabi Uniti.

Una società di sicurezza gestita è un'attività basata sulle persone, e la società che firma i contratti con i clienti dovrebbe impiegare gli analisti, detenere gli strumenti e disporre della copertura assicurativa per responsabilità professionale e cyber. Una società madre estera o una società di proprietà intellettuale possono collocarsi altrove nel gruppo, ma ciascuna deve svolgere un ruolo autentico.

Decidete questi aspetti prima di presentare la domanda:

La capacità dei visti segue il numero di dipendenti. Un SOC operativo 24 ore su 24 richiede una copertura a turni, quindi pianificate in base all'organico reale, non solo ai fondatori. Il business plan e la documentazione di supporto dovrebbero mostrare tale organico e il modello di erogazione che lo sostiene. Il costo è strutturato su più livelli, e l'onorario dello studio è dettagliato nella lettera di incarico, come indicato in come funziona Velarozone. In questo settore il livello più consistente è di solito costituito da retribuzioni, strumenti e assicurazione, non dalla licenza.

Le banche considerano una società di sicurezza come un'attività che gestisce i dati di terzi. Prima di presentare la domanda, siate pronti a dimostrare:

Clienti e canali di pagamento devono corrispondere tra la presentazione, il modello finanziario e il fascicolo bancario. La preparazione del conto bancario aziendale è più semplice quando il modello di erogazione è già messo per iscritto. Non garantisce un conto.