Come impostare un'azienda di cybersecurity OT o sicurezza delle infrastrutture critiche negli UAE

Una licenza commerciale del DET o di un'autorità di free zone registra l'attività commerciale. Non indica, di per sé, se l'azienda svolge qualcosa che la TDRA o il Cyber Security Council trattano come regolamentato. Il mandato della TDRA riguarda le reti di telecomunicazioni, le apparecchiature e la crittografia degli Emirati Arabi Uniti; un'azienda che costruisce, rivende o gestisce connettività, o fornisce apparecchiature crittografiche, rientra in quel mandato indipendentemente da come è formulata la sua licenza. Il Cyber Security Council è stato istituito per costruire la strategia nazionale di cybersecurity degli Emirati Arabi Uniti e gestisce la politica Critical Information Infrastructure Protection, che stabilisce gli obblighi di sicurezza di base per gli operatori delle infrastrutture critiche designate. Tali obblighi gravano sull'operatore dell'infrastruttura, ma raggiungono il fornitore tramite il contratto: una banca, un'utility o un operatore dei trasporti che sia essa stessa un'entità CII designata di norma trasferirà i propri controlli di base, le regole di accesso e gli obblighi di segnalazione degli incidenti a qualsiasi fornitore di sicurezza OT con cui collabora.

La questione pratica per un fondatore è quali tra le regole di questi tre organismi interessino effettivamente l'attività proposta, in modo analogo alla questione a cui deve rispondere una società di identity security o di privileged access management in merito ai propri diritti di accesso. Un'attività di sola valutazione o di revisione dell'architettura, senza accesso in tempo reale e senza apparecchiature proprie, si colloca nella posizione più vicina a una normale attività commerciale. Un'attività che monitora la rete di un cliente in modo continuo, mantiene una connessione remota permanente oppure fornisce e configura gateway si avvicina all'ambito di competenza della TDRA e del Council, così come una società di crittografia post-quantistica o di comunicazioni sicure deve classificare la propria attività crittografica prima di poter classificare la propria licenza.

Né l'ambito di competenza della TDRA né il framework CIIP del Council sono riconducibili a un'unica tariffa o a un'unica categoria di licenza che possa essere pubblicata in termini generici. La TDRA decide, caso per caso, se una determinata attività di rete, di apparecchiature o di crittografia rientri nella regolamentazione delle telecomunicazioni; una società la cui offerta comprende connettività, monitoraggio in grado di intercettare o hardware crittografico dovrebbe rivolgere tale quesito direttamente alla TDRA, anziché dedurre una risposta dal materiale di marketing di un concorrente. La policy CIIP del Cyber Security Council è lo strumento che individua gli asset critici, stabilisce i requisiti di sicurezza di base per le entità CII e gestisce il meccanismo di vigilanza e di applicazione che li accompagna; è scritta per l'operatore dell'infrastruttura, per cui gli obblighi del fornitore al riguardo sono di natura contrattuale e non costituiscono una licenza distinta per la quale il fornitore stesso debba presentare domanda. Gli obblighi in materia di protezione dei dati si affiancano a entrambi: una società che tratta dati personali od operativi nell'ambito del proprio servizio di monitoraggio dovrebbe essere in grado di dimostrare dove tali dati sono conservati e chi può accedervi. Non viene indicato alcun codice di attività, categoria di licenza o importo di capitale; questi elementi vengono verificati rispetto alla documentazione aggiornata della TDRA e del Council prima di scegliere la via societaria.

Una banca o un team di procurement aziendale che valuta un fornitore di sicurezza OT non controlla principalmente il bilancio. Verifica chi può raggiungere i sistemi di controllo attivi di un cliente, sotto quale autorità scritta, e cosa accade quando tale accesso viene usato in modo improprio o semplicemente dimenticato. Ci si deve aspettare domande sull'ambito di qualsiasi accordo di accesso remoto, su come l'accesso venga delimitato nel tempo e revocato, su quale registrazione (logging) esista, e su chi detenga effettivamente l'accesso: il personale dell'azienda stessa o un subcontraente. Un singolo passaggio di consegne non documentato verso una capogruppo, un'affiliata o un partner specialistico è di solito la prima cosa che blocca una conversazione sull'apertura di un conto. Costruire queste prove prima del primo incontro in banca, piuttosto che dopo il rilascio della licenza, è la differenza che il lavoro di preparazione al conto bancario aziendale è pensato per colmare.

I clienti OT e delle infrastrutture critiche guardano oltre il registro degli azionisti, alle persone che toccheranno effettivamente i loro sistemi. Un regolatore, una banca o un cliente che esamina il fascicolo vorrà vedere qualcuno in grado di dimostrare competenza di ingegneria OT, non un generico background di sicurezza IT, prima che venga approvato qualsiasi lavoro di scansione, monitoraggio o modifica su un ambiente industriale attivo. Laddove la proprietà stessa dell'azienda passi attraverso diversi livelli di holding, fondi o strutture familiari, tale catena fa parte dello stesso fascicolo che un cliente o una banca leggerà, e il percorso impostazione di proprietà regolamentata e complessa è pensato esattamente per questo caso. Un business plan e documentazione di supporto scritto dovrebbe definire, in un unico documento, il modello operativo, il perimetro di accesso e le persone che lo detengono.

Il filo comune è lo stesso in cui si imbatte un'attività di infrastruttura di connettività: una licenza commerciale valida viene confusa con i permessi, i contratti e l'autorità tecnica di cui operare in questo settore ha effettivamente bisogno. La licenza è la parte facile; il perimetro di accesso e l'autorità scritta che lo sostiene non lo sono.

Una licenza commerciale mainland standard per questo tipo di attività di consulenza o tecnologica parte da AED 14,000, mentre è disponibile un pacchetto di sola licenza free zone da circa AED 5,000 a 6,000; nessuna delle due cifre include il personale tecnico, le strutture sicure, l'infrastruttura di test o la capacità di gestione degli incidenti di cui il modello operativo ha effettivamente bisogno. La capacità di visti dovrebbe corrispondere al numero di ingegneri OT e di personale operativo che la società intende realmente assumere, non a un organico nominale fissato al momento della costituzione. Le licenze e gli establishment card si rinnovano annualmente, e una società che detiene apparecchiature, una struttura di monitoraggio o una sala operativa sicura dovrebbe pianificare tale rinnovo insieme a qualsiasi contratto di locazione dei locali, anziché trattarlo come un evento separato. I costi ulteriori rispetto a queste cifre si costruiscono per livelli, e l'onorario di servizio Velarozone è dettagliato nella lettera di incarico anziché pubblicato come cifra di intestazione.