UAEにおけるOTサイバーセキュリティまたは重要インフラセキュリティ会社の設立方法

DETまたはフリーゾーン当局からのトレードライセンスは、商業活動を登記するものです。それ自体は、その企業がTDRAまたはCyber Security Councilが規制対象と見なす活動を行っているかどうかを示すものではありません。TDRAの管轄範囲はUAEの電気通信ネットワーク、機器、暗号技術をカバーしており、接続性(connectivity)を構築・再販・運用する企業や、暗号機器を供給する企業は、ライセンスの記載内容にかかわらずこの管轄範囲に入ります。Cyber Security Councilは、UAEの国家サイバーセキュリティ戦略を構築するために設立され、指定された重要インフラの事業者に対して基準となるセキュリティ義務を定めるCritical Information Infrastructure Protectionポリシーを運用しています。これらの義務はインフラ事業者に課されるものですが、契約を通じてベンダーにも及びます。自らが指定CII事業体であるような銀行、電力会社、運輸事業者は、通常、その基準となる管理体制、アクセス規則、インシデント報告義務を、自らが契約するOTセキュリティ供給事業者に下流展開します。

創業者にとって実務上の問いは、想定する業務がこれら3つの機関のうちどの機関の規則に実際に関わるかという点であり、これはアイデンティティ・セキュリティまたは特権アクセス管理の会社が自社のアクセス権について答えなければならない問いと似ています。ライブのアクセスも自社の機器も持たない、純粋な評価またはアーキテクチャ・レビューの事業は、通常の商業活動に最も近い位置にあります。顧客のネットワークを継続的に監視する事業、常設のリモート接続を保持する事業、ゲートウェイを供給・設定する事業は、TDRA（通信・デジタル政府規制庁）およびCouncil（サイバーセキュリティ評議会）の管轄領域に近づきます。これは、耐量子暗号または安全な通信の会社が、ライセンスを分類する前に自社の暗号関連業務を分類しなければならないのと同様です。

TDRAの所管事項もCouncilのCIIPフレームワークも、一般向けに公表できる単一の手数料やライセンス区分に還元することはできません。特定のネットワーク、機器または暗号化に関する活動が通信規制の範囲に入るかどうかは、TDRAが個別に判断します。提案するサービスに接続性、傍受が可能なモニタリング、暗号ハードウェアが含まれる会社は、競合他社の宣伝から答えを推測するのではなく、この点をTDRAに直接確認すべきです。Cyber Security CouncilのCIIPポリシーは、重要資産を特定し、重要情報インフラ（CII）事業者に基本的なセキュリティ要件を定め、それらをめぐる監督・執行の仕組みを運用する文書です。インフラ事業者を対象として書かれているため、これに基づくベンダーの義務は契約上のものであり、ベンダー自身が申請する別個のライセンスではありません。データ保護に関する義務は、この両方と並んで存在します。モニタリング・サービスの一環として個人データまたは業務データを処理する会社は、そのデータがどこに保管されているか、および誰がアクセスできるかを示せる状態にしておく必要があります。ここでは、活動コード、ライセンス区分、資本金額は示していません。これらは、事業体の形態を選択する前に、最新のTDRAおよびCouncilの資料に照らして確認します。

OTセキュリティ供給事業者を審査する銀行や企業の調達チームは、主にバランスシートを確認しているわけではありません。確認しているのは、誰が顧客の稼働中の制御システムにアクセスできるのか、どのような文書化された権限のもとでなのか、そしてそのアクセスが悪用された場合や単に放置された場合に何が起きるのか、という点です。リモートアクセスの取り決めの範囲、アクセスがどのように期間限定され取り消されるのか、どのようなログが存在するのか、実際にアクセスを保持しているのが自社スタッフなのか外部委託先なのか、といった質問を想定しておくべきです。親会社、関連会社、または専門パートナーへの文書化されていない一度限りの引き渡しは、通常、口座開設の協議を最初に停滞させる要因となります。ライセンスが発行された後ではなく最初の銀行との面談の前にその証跡を整えておくことこそが、法人銀行口座開設準備(corporate bank account readiness)業務が埋めるべく作られている差です。

OTおよび重要インフラの顧客は、株主名簿の先にある、実際にそのシステムに触れる人物に注目します。規制当局、銀行、または顧客がファイルを審査する際には、稼働中の産業環境に対するスキャン、監視、変更作業を承認する前に、一般的なITセキュリティの経歴ではなく、OTエンジニアリングの実務能力を示せる人物の存在を確認したいと考えます。会社自身の所有構造が複数のホールディング層、ファンド、またはファミリー構造を経由している場合、その連鎖も顧客や銀行が読むファイルの一部となり、規制対応・複雑な所有構造の設定(regulated and complex ownership setup)の経路は、まさにそうした場合のために構築されています。書面による事業計画書および補足資料(business plan and supporting documentation)には、運営モデル、アクセスの境界、それを保持する人物を一か所にまとめて示すべきです。

共通するのは、コネクティビティ・インフラ事業(connectivity infrastructure business)が直面するのと同じ問題です。有効なトレードライセンスが、この分野で事業を行うために実際に必要な許可、契約、技術的権限と取り違えられてしまうのです。ライセンスの取得自体は簡単な部分であり、アクセスの境界とその背後にある文書化された権限はそうではありません。

この種のコンサルティングまたはテクノロジー活動に対する標準的なメインランド（mainland）の商業ライセンスは、AED 14,000から始まります。フリーゾーン（free zone）のライセンスのみのパッケージは、おおよそAED 5,000～6,000で利用できます。いずれの金額にも、運営モデルが実際に必要とするエンジニア、安全な施設、テスト用インフラ、インシデント対応能力は含まれません。ビザの枠は、設立時に仮定した人数ではなく、会社が実際に採用を予定しているOTエンジニアおよび運用スタッフの人数に合わせるべきです。ライセンスと設立カード（establishment card）は毎年更新されます。機器、モニタリング施設、または安全な運用室を保有する会社は、この更新を別個の出来事として扱うのではなく、施設の賃貸借契約と併せて計画してください。これらを超える費用は段階的に積み上げられ、Velarozone サービス料は、見出しの金額として公表するのではなく、業務委託契約書に明細として記載されます。