ガイド
UAEにおけるペネトレーションテスト、レッドチームまたはサイバー保証会社の設立
公開済み
短い回答
標準的な商業用または専門職用のトレードライセンス(business licence)は、ペネトレーションテスト、レッドチーム及びサイバーアシュアランス業務の大半をカバーするが、免許当局が「情報セキュリティ」活動をトレードライセンス発行前の外部セキュリティ承認の対象としてフラグを立てることがあり、政府機関または重要インフラシステムを対象とするテストでは、UAE Cyber Security Council(UAEサイバーセキュリティ評議会)の国家基準も関わってくる。どちらの経路になるかを最も頻繁に決定する事実は、業務が実際に関わる対象が、民間の商業ネットワークか、あるいは政府機関、通信事業者及び重要インフラシステムかという点である。いずれの場合も、すべての業務の基盤には、クライアント(client)による書面での承認と、明確に定義された対象の所有関係が存在する。
規制の適用範囲と判断主体
ここで業務範囲を決定するのは、2つの別個の問いである。第一は免許に関する問いである。会社が登録する活動内容の記述が、免許当局によってセキュリティ関連とフラグ付けされ、トレードライセンスが付与される前に外部承認が必要とされるかどうか、という点である。ドバイのDepartment of Economy and Tourism(経済観光局)及び各フリーゾーン(free zone)当局は、それぞれ独自にこの照会を発生させる活動のリストを保持しており、「情報セキュリティ」または「ペネトレーションテスト」という表現が、そこに含まれることが多い。第二は基準に関する問いである。クライアント(client)基盤に政府機関、通信事業者または重要インフラ事業者が含まれるかどうかという点であり、これらの事業者自身のセキュリティ義務は、テスト実施企業のトレードライセンス(business licence)を通じてではなく、UAE Cyber Security Council(UAEサイバーセキュリティ評議会)を通じて適用される。
民間の商業アプリケーションのみを民間の商業クライアント(client)向けにテストする企業は、政府または国家の重要インフラに関わる業務を目指す企業よりも狭い業務範囲に収まり、その領域はUAEの重要インフラセキュリティで取り扱われている。同一の企業が、成長の段階によって両方の区分に当てはまることもあるため、立ち上げ時のモデルは、将来到達したいと望む顧客基盤ではなく、現在対象としているクライアント基盤を記述すべきである。
規制機関が実際に求める要件
Cyber Security Councilは、政府機関および重要セクター全体にわたり、国のサイバーセキュリティに関する方針と基準を定め、調整しています。事業者の業務がこの所管の範囲に入る場合、これらの基準に基づくクライアント自身の義務が、テスト事業者に求められる文書化の内容を左右します。すなわち、氏名が特定され審査を受けたテスター、定義された範囲と交戦規則（rules of engagement）、脆弱性対応プロセスです。Telecommunications and Digital Government Regulatory Authorityは、レッドチーム演習が通信事業者のインフラに及ぶ場合に関わる通信ネットワークと周波数を規制しており、これはクライアント自身のウェブ・アプリケーションをテストする場合とは異なる範囲です。
エンゲージメントが個人データを保有するシステムに及ぶ場合は、常に連邦のデータ保護法が適用されます。ここではそれがほぼ自動的に当てはまります。データベースを復元するペネトレーション・テストや、人事システムに到達するレッドチーム演習では、事業者はそのエンゲージメントの期間中、データを取り扱う立場に置かれます。契約書には、そのデータをどのように保管するか、誰が閲覧できるか、エンゲージメントの終了後にいつ破棄するかを明記すべきであり、会社設立パッケージが標準で付ける約款に任せてはいけません。
資金の流れと銀行が確認するポイント
サイバーアシュアランス企業の口座開設申請を審査する銀行は、トレードライセンス(business licence)の先にある運営上の事実に着目する。クライアント(client)が誰であるか、業務が規制対象または政府系システムに及ぶかどうか、テスターがどのように審査されているか、そして実際のテスト中にインシデントが発生した場合に企業がどう対応するか、といった点である。業務規程(rules of engagement)のテンプレート、名前が明示されたインシデント対応窓口、及び有効な専門職業賠償責任保険は、最初の審査でこれらの大半に答えるものとなる。これらを備えない計画は、運営実体のある企業ではなく、口座を申請するだけのペーパーカンパニーとして見られる。企業が実際に行う業務の種類に合わせて構築されたコーポレートバンクアカウントの開設準備は、汎用的な銀行向け資料よりも速く進む。
ここでのコストは、単一の見出し数値ではなく、複数の層で構成される。法人設立、セキュリティ承認や専門職審査がある場合のそれ、運営体制の構築(テスト用インフラ、安全な証拠保管、ツール、保険)、人員、そして継続的な更新費用である。企業自身の手数料は業務委託契約書(engagement letter)に項目別に明記され、Velarozoneの仕組みでその構成が説明されている。
所有構造、実体と満たすべき役割
信頼されるテスト事業者には、ライセンスの背後に実在する人材が必要です。すなわち、能力と身元調査を証明できるテスター、作業開始前に範囲を承認できる担当者、緊急停止の連絡窓口となる指名された担当者です。テスト業務を複数のUAE法人やオフショア法人を経由させる所有構造は、誰が責任を負うのかが見えなくなるため、銀行や政府系のクライアントからの審査をかえって強めます。所有構造が実際に多層的である場合（たとえば、国際グループがUAEの事業会社を通じてテストを行う場合）、意思決定の構造を示す文書は、銀行から署名者を尋ねられる前に準備しておく価値があります。顧客基盤が規制対象または政府に近い分野にまたがる事業者は、規制対象または複雑な所有構造の設立で説明している規律の恩恵を受けられます。
この業種でよくある失敗
最も多い失敗は範囲の逸脱です。テスターが共有インフラや、クライアントが実際には所有していないシステムへの経路を見つけ、承認を得るために立ち止まることなく先へ進んでしまいます。書面による承認では、請求書を支払うクライアントだけでなく、対象とその所有者を明記しなければなりません。クライアントが承認できるのは自社のシステムのテストであり、そのクラウド・プロバイダーやパートナーのシステムのテストではありません。
2つ目の繰り返し発生する失敗は、証拠の取扱いである。業務終了後も、エクスプロイトデータや脆弱性の詳細が共有ドライブや管理されていないチャットツールに残されたままになっているケースである。買主、保険会社または政府系クライアント(client)は、証拠がどのように、どのくらいの期間保管されているかを問うため、「テスターがたまたま保存した場所」という答えでは、デューデリジェンスを通過できない。3つ目は過大な主張である。1回のテストの結果が、実施日と合意された範囲のみを対象とするにもかかわらず、それを継続的な安全性の証明であるかのように説明してしまうことである。
ライセンス取得から事業運営まで
トレードライセンス(business licence)及び必要なセキュリティ承認が整った後は、運営上の問題は主に人員と更新に関するものとなる。UAE国外から採用する専門テスターには、当該法人の移民クォータを通じたビザが必要であり、セキュリティ関連活動の承認が適用される場合、それは一度限りの手続きではなく、通常トレードライセンスと合わせて更新される。専門職業賠償責任保険及びクライアント(client)固有の資格認定は、それぞれ独自の更新サイクルで運用されており、いずれかが失効すると、トレードライセンス自体が有効であっても、クライアントが契約を更新できなくなることがある。
