Impostare un'azienda di penetration testing, red team o assurance informatica negli UAE

Due questioni distinte determinano il perimetro in questo caso. La prima è una questione di licenza: la descrizione dell'attività con cui la società si registra viene segnalata dall'autorità competente come legata alla sicurezza, il che richiede un'approvazione esterna prima che venga concessa la licenza commerciale? Il Department of Economy and Tourism di Dubai e le autorità delle free zone mantengono ciascuno il proprio elenco di attività che fanno scattare questo rinvio, e la formulazione "information security" o "penetration testing" vi compare comunemente. La seconda è una questione di standard: la base clienti comprende enti governativi, operatori di telecomunicazioni o operatori di infrastrutture critiche, i cui obblighi di sicurezza fanno capo allo UAE Cyber Security Council piuttosto che alla licenza della società di testing.

Un'azienda che effettua test solo su applicazioni commerciali private per clienti commerciali privati affronta un perimetro più ristretto rispetto a una che si propone per incarichi governativi o relativi a infrastrutture critiche nazionali, il territorio trattato in sicurezza delle infrastrutture critiche negli Emirati Arabi Uniti. La stessa azienda può collocarsi in entrambe le categorie in momenti diversi della sua crescita, perciò il modello di avvio dovrebbe descrivere la base clienti per cui è costruita oggi, non quella che spera di raggiungere in futuro.

Il Cyber Security Council definisce e coordina le politiche e gli standard nazionali di cybersicurezza nelle entità governative e nei settori critici. Quando gli incarichi di una società rientrano in tale ambito, gli obblighi del cliente stesso ai sensi di tali standard condizionano ciò che la società di testing deve documentare: tester designati e sottoposti a verifica, un perimetro definito con regole di ingaggio e un processo di gestione delle vulnerabilità. La Telecommunications and Digital Government Regulatory Authority regola le reti di telecomunicazione e lo spettro che un incarico di red-team potrebbe toccare qualora i test raggiungessero l'infrastruttura di un operatore di telecomunicazioni, un perimetro diverso rispetto al test di un'applicazione web del cliente.

La normativa federale sulla protezione dei dati si applica ogniqualvolta un incarico raggiunga sistemi che contengono dati personali, il che qui avviene quasi automaticamente: un pentest che recupera un database, o un esercizio di red-team che raggiunge un sistema HR, pone la società in un ruolo di trattamento dei dati per la durata dell'incarico. Il contratto dovrebbe indicare come tali dati vengono conservati, chi può vederli e quando vengono distrutti al termine dell'incarico, anziché lasciare la questione ai termini standard che un pacchetto di costituzione fornisce per impostazione predefinita.

Le banche che valutano la richiesta di apertura di un conto di un'azienda di cyber-assurance guardano oltre la licenza commerciale, alle circostanze operative: chi sono i clienti, se gli incarichi riguardano sistemi regolamentati o governativi, come vengono vagliati i tester e come l'azienda risponderebbe a un incidente durante un test dal vivo. Un modello di regole d'impegno (rules of engagement), un referente nominato per la risposta agli incidenti e una polizza di assicurazione di responsabilità professionale in corso di validità rispondono alla maggior parte di questi punti già nella prima verifica; un piano senza questi elementi si presenta come una società di comodo che richiede un conto, non come un'azienda operativa. Preparazione al conto bancario aziendale costruita attorno ai tipi di incarico che l'azienda effettivamente svolge procede più rapidamente di un pacchetto bancario generico.

Il costo qui si costruisce a livelli, piuttosto che in un'unica cifra complessiva: costituzione della società, eventuale approvazione di sicurezza o verifica professionale, allestimento operativo (infrastruttura di testing, archiviazione sicura delle evidenze, strumenti, assicurazione), personale e rinnovi periodici. L'onorario della società stessa è dettagliato nella lettera di incarico; how Velarozone works illustra tale struttura.

Una società di testing credibile ha bisogno di persone reali dietro la licenza: tester la cui competenza e i cui controlli sui precedenti possano essere dimostrati, una persona in grado di autorizzare un perimetro prima dell'inizio dei lavori e un referente designato per l'interruzione di emergenza. Le strutture proprietarie che instradano l'attività di testing attraverso diverse entità degli EAU e offshore attirano maggiore attenzione da parte di banche e clienti governativi, non minore, perché nessuno riesce a vedere chi ne sia responsabile. Quando la proprietà è effettivamente stratificata (ad esempio un gruppo internazionale che opera attraverso una società operativa degli EAU), è opportuno predisporre una documentazione che illustri la struttura decisionale prima che una banca chieda chi firma. Una società la cui clientela si estende a settori regolamentati o contigui al governo trae beneficio dalla disciplina descritta in costituzione con assetti proprietari regolamentati e complessi.

Il guasto più frequente è la deriva del perimetro: un tester trova un percorso verso un'infrastruttura condivisa o verso un sistema che il cliente non possiede effettivamente, e prosegue senza fermarsi per ottenerne l'autorizzazione. L'autorizzazione scritta deve indicare il bersaglio e il suo proprietario, non soltanto il cliente che paga la fattura: un cliente può autorizzare il test dei propri sistemi, non di quelli del suo fornitore cloud o di un partner.

Il secondo errore ricorrente è la gestione delle evidenze: dati di exploit e dettagli delle vulnerabilità lasciati su drive condivisi o strumenti di chat non gestiti dopo la chiusura dell'incarico. Un acquirente, un assicuratore o un cliente governativo chiederanno come vengono conservate le evidenze e per quanto tempo, e "dovunque il tester abbia deciso di salvarle" non supera la due diligence. Il terzo è l'overclaiming: descrivere un singolo test come prova di una sicurezza continuativa, quando il risultato riguarda solo la data in cui è stato eseguito e l'ambito concordato.

Una volta ottenute la licenza ed eventuale approvazione di sicurezza, le questioni operative riguardano soprattutto il personale e i rinnovi. I tester specializzati assunti dall'estero hanno bisogno di visti tramite la quota di immigrazione dell'entità, e un'approvazione per attività legate alla sicurezza, dove applicabile, si rinnova tipicamente insieme alla licenza commerciale piuttosto che come passaggio unico. La copertura di assicurazione di responsabilità professionale ed eventuali certificazioni specifiche per il cliente seguono i propri cicli di rinnovo, e un'interruzione in uno di essi può impedire a un cliente di rinnovare un contratto anche quando la licenza stessa resta valida.