ガイド
UAEにおけるマネージドサイバーセキュリティまたはSOC会社の設立
短い回答
これひとつと指し示せるサイバーセキュリティライセンスは存在しません。所在するゾーンまたは首長国のライセンス発行当局が商業ライセンスを発行する一方で、UAE Cyber Security CouncilとTelecommunications and Digital Government Regulatory Authority(TDRA)は、それぞれ自らの所管事項について判断します。経路を最も多く左右するのは、その会社が顧客のシステムおよびデータに対する特権的なアクセス権を保持するかどうか、そして誰の書面による権限の下でそれを行うかです。
所管機関とその管轄範囲
この事業の周囲には三種類の意思決定者が存在し、それらはきれいに重なり合うものではありません。
ゾーンまたは首長国のライセンス発行当局が、商業ライセンス上の事業内容を承認します。これは通常の会社設立にあたります。メインランド(mainland)企業とフリーゾーン(free zone)経路のどちらを選ぶかは、対応すべき顧客と、アナリストをどこに配置するかによって決まります。
UAE Cyber Security CouncilとTDRAは、ライセンス発行当局とは別の存在です。それぞれが自らの所管に属する事項を判断し、商業ライセンスはそのいずれにも代わるものではありません。現時点での正確な要件は、想定するのではなく、申請前に各当局に確認してください。
顧客は3番目の意思決定者であり、実際には最も厳しいことがよくあります。規制対象の顧客や政府系の買い手は、人員配置、クリアランス、データの所在地、再委託先について独自の条件を設けます。書類上は有効なライセンスでも、顧客のセキュリティ審査には通らないことがあります。顧客が保険分野にいる場合は、インシュアテック仲介のガイドが、どの規制当局が活動をライセンスし、どの資本が必要かを説明しています。
計画が産業制御システムや重要インフラにまで及ぶ場合は、OTおよび重要インフラセキュリティガイドもあわせてお読みください。その領域には独自の規制対象範囲に関する論点があります。
まず事業モデルを決める
この四つのモデルはそれぞれ異なる扱いを受けるため、法域を選ぶ前に、計画に最も近いものを選んでください。
- マネージドセキュリティオペレーションセンター(SOC)。顧客環境の継続的な監視。データへの露出が最も大きく、人員負荷も最も高くなります。
- ペネトレーションテストおよびレッドチームサービス。システムに対する能動的なテストです。リスクはツールではなく、認可のあり方にあります。
- インシデント対応およびデジタルフォレンジック。証拠の取り扱い、証拠保全の連続性(チェーン・オブ・カストディ)、そして場合によっては法執行機関との接触です。
- オプションでマネージドサポートを付したセキュリティソフトウェア。顧客から運用支援を求められるうちに、サービス提供へと流れ込んでいく製品企業です。
多くの創業者は一つのモデルから始め、後から別のモデルを加えます。最初のモデルにしか合わない事業内容の記載は、後に修正を強いることになりかねないため、その見込みを事業計画書の段階で記載しておいてください。
書面による委任とデータ管理
この分野では、二つの論点が大部分を占めます。
テストまたはアクセスに対する権限です。所有者からの正確な書面による同意なしにシステムをテストすることは、セキュリティ会社が責任を負うことになる最も明白な原因です。ルール・オブ・エンゲージメント文書は、対象となるシステム、用いる技術、日程、そして顧客側の誰が作業を中止させられるかを定めます。これらのひな形は、最初の契約の最中ではなく、その前に作成してください。
個人情報および機密データです。セキュリティのテレメトリーデータは技術的なものに見えますが、ユーザー名、IPアドレス、メールの内容、認証情報を日常的に含んでいます。これを機微でないものとして扱うのはよくある誤りです。UAE政府のデータ保護法に関するページが、連邦制度およびフリーゾーン(free zone)制度それぞれの出発点となります。どちらの制度が適用されるかは、会社の設立地、そしてデータ主体と顧客がどこに所在するかによって決まります。UAE国外のアナリストがUAE国内の顧客のログを閲覧するといった越境監視には、移転、アクセス制御、顧客の同意について意図的な答えが必要です。UAEで業務を行う資格を持つ弁護士に、自社の具体的な体制についての立場を確認してもらってください。
サブスタンス(substance)、人員、役割
マネージドセキュリティ会社は人材が中心の事業であり、顧客との契約に署名する会社がアナリストを雇用し、ツールを保有し、専門職業賠償責任保険およびサイバー保険を付保すべきです。海外の親会社や知的財産を保有する会社をグループ内の別の場所に置くことはできますが、それぞれに正当な役割が必要です。
申請前に、以下を決めておいてください。
- アナリストをUAE国内、国外、あるいはその両方に配置するか、そして各顧客がそれぞれ何を許容するか。
- アナリストを審査するのは誰か、そして顧客の認証情報へのアクセスがどのように付与、記録、取り消されるか。
- 特権的な認証情報を保有するのは会社か顧客か。
- どの再委託先が顧客データに触れるか、そして証拠保全の連続性(チェーン・オブ・カストディ)がどのように維持されるか。
- 指名されたセキュリティおよびコンプライアンスの責任者は誰か。
ビザの枠は人員数に連動します。24時間体制のSOCにはシフト交代の人員が必要になるため、創業者だけでなく、実際の人員構成を前提に計画を立ててください。事業計画書および裏付け書類には、その人員構成と、それを支える提供モデルを示すべきです。コストは階層的に積み上がるものであり、当社の報酬は、Velarozoneの仕組みに示すとおり業務委託契約書に明記されます。この分野で最も大きな層は、通常、ライセンスではなく人件費、ツール費用、保険料です。
銀行が確認するポイント
銀行は、セキュリティ会社を他人のデータを扱う事業として見ます。申請前に、以下を示せるよう準備しておいてください。
- 業務遂行規定および同意書のテンプレート。
- アナリストの審査およびアクセス制御の手続き。
- 証拠の取り扱いおよび保存に関する手続き。
- インシデント対応のプレイブック、および顧客に対して行う約束事項。
- 保有する認証資格、および保証(アシュアランス)に関するロードマップ。
顧客層および決済ルートは、提案内容、財務モデル、銀行提出資料のあいだで一致している必要があります。提供モデルがすでに文書化されていれば、法人銀行口座開設準備はより容易になります。口座開設を保証するものではありません。
よくある失敗
- 正確な書面による許可なくテストを実施すること。スコープはメールのやり取りで合意されていたが、後になって顧客が対象範囲について異議を唱える。
- テレメトリを機微情報ではないものとして扱うこと。ログが、顧客との契約で許可されていない場所に保存または分析される。
- 顧客の条件に反したオフショア人員配置。政府系の発注者が現地スタッフを要求しているにもかかわらず、提供モデルはそれを前提としていなかった。
- 防御の確約。あらゆる攻撃を阻止すると約束する契約は、責任の原因となる。トリアージまでの時間など、測定可能な対応コミットメントであれば正当化できる。
- 業務中に違法行為が発見された場合の計画がないこと。会社が犯罪の証拠を発見しても、誰にいつ報告するかについての書面による手続きが存在しない。
